Gestion de crise & PCA/PRA (alignée ISO 22301) : ce que le stagiaire doit maîtriser avant d'entrer en salle

Gestion de crise & PCA/PRA (alignée ISO 22301) : ce que le stagiaire doit maîtriser avant d'entrer en salle

Une session PCA/PRA n'est pas un séminaire de sensibilisation : le stagiaire doit arriver avec la cartographie de ses processus critiques, la liste de ses ressources clés et la capacité à lire un BIA. Sans ces prérequis, il passe deux jours à rattraper le vocabulaire pendant que les autres construisent leur plan. Le formateur vérifie dès l'ouverture que chacun peut nommer trois scénarios de rupture propres à son périmètre et expliquer ce qu'il entend par RTO.

Ce que l'ISO 22301 impose au stagiaire avant la formation

L'ISO 22301 exige que l'organisation identifie ses activités critiques, évalue leur vulnérabilité et définisse les objectifs de reprise avant de bâtir le plan de continuité. Le stagiaire qui entre en salle sans avoir lu le BIA de son périmètre, sans connaître la différence entre RTO et RPO, et sans savoir quels processus il doit protéger ne peut pas participer aux ateliers de construction du PCA. Le formateur s'appuie sur ces données pour faire travailler chaque participant sur son propre contexte : pas de données, pas de plan utilisable. La norme impose aussi que les responsables de processus comprennent les interdépendances : le stagiaire doit savoir quels fournisseurs, quels systèmes, quels locaux conditionnent la continuité de son activité. Sans cette cartographie, il produit un document générique qui ne résiste pas au premier incident réel.

• Le stagiaire lit le BIA (Business Impact Analysis) de son périmètre avant la session et en extrait les trois activités les plus critiques.
• Il connaît la définition opérationnelle de RTO (Recovery Time Objective) et RPO (Recovery Point Objective) et sait les appliquer à un processus.
• Il apporte la liste des ressources clés de son périmètre : locaux, systèmes, fournisseurs, compétences rares.
• Il sait expliquer en trois phrases ce qui se passe si son activité s'arrête pendant 24 heures, 72 heures, une semaine.

Comment préparer le stagiaire avant l'inscription

1. Transmettre le BIA du périmètre concerné — Le responsable envoie au stagiaire le dernier BIA validé, avec surlignage des processus dont il a la charge. Le stagiaire lit les colonnes « impact financier », « impact réglementaire », « délai de reprise acceptable ». Il note les trois activités classées priorité 1 ou 2.
2. Faire remplir la fiche de cartographie des ressources — Le stagiaire complète un tableau à quatre colonnes : locaux indispensables, systèmes informatiques critiques, fournisseurs sans alternative immédiate, compétences détenues par une seule personne. Il joint les contrats de maintenance et les SLA des prestataires clés.
3. Vérifier la compréhension des indicateurs de reprise — Le responsable pose deux questions au stagiaire : « Quel est le RTO de ton processus principal ? » et « Combien de temps peux-tu perdre de données sans impact majeur (RPO) ? ». Si le stagiaire ne répond pas en moins de trente secondes, il relit le BIA avec lui.
4. Demander trois scénarios de rupture réalistes — Le stagiaire rédige trois scénarios d'incident qui peuvent bloquer son activité : incendie du local, panne du système de gestion, absence simultanée de deux personnes clés. Pour chacun, il écrit en une phrase la conséquence immédiate sur la production ou le service.
5. Faire lire le PCA existant si l'organisation en possède un — Le stagiaire consulte le plan de continuité en vigueur, repère la section qui concerne son périmètre, note les procédures de secours déjà prévues. Il arrive en formation avec la liste des points qu'il juge incomplets ou obsolètes.

Ce que le formateur vérifie en ouverture de session

• Le formateur demande à chaque stagiaire de citer ses trois activités critiques et leur RTO : celui qui hésite ou donne une réponse vague reçoit un rappel de 20 minutes avant de rejoindre l'atelier.
• Il fait un tour de table où chacun nomme un scénario de rupture propre à son périmètre : les réponses génériques (« panne informatique ») signalent un manque de préparation.
• Il vérifie que chaque participant a apporté la liste de ses ressources clés : pas de liste, pas de participation aux exercices de construction du plan de secours.
• Il pose la question « Qui détient la compétence X dans votre équipe ? » pour trois compétences au hasard : le stagiaire doit répondre avec un nom ou « personne d'autre ».
• Il contrôle que le stagiaire sait où trouver le BIA de son organisation et peut en citer une conclusion chiffrée (délai, coût, impact).

Ce que le prérequis change dans le déroulement de la formation

Le stagiaire préparé passe directement aux ateliers de rédaction du PCA : il construit les fiches réflexes de son périmètre, définit les modes dégradés, identifie les solutions de secours. Celui qui arrive sans prérequis passe la première demi-journée à comprendre le vocabulaire et à rattraper les concepts, pendant que les autres avancent. Le formateur ne peut pas refaire le BIA en séance : il renvoie le stagiaire non préparé vers une lecture guidée et lui demande de rejoindre l'atelier l'après-midi. À la fin de la session, le stagiaire préparé repart avec un plan de continuité rédigé, testé sur un scénario, prêt à être intégré dans le système de management. Le stagiaire non préparé repart avec des notes générales et doit reprendre le travail seul, ce qui rallonge le délai de mise en œuvre de trois à six semaines.

Un stagiaire qui ne connaît pas son RTO avant d'entrer en salle ne construira pas de PCA utilisable avant d'en sortir.

Les omissions qui vident la session de sa valeur

• Envoyer un stagiaire qui ne gère pas de processus critique — Le PCA se construit périmètre par périmètre : un stagiaire sans responsabilité opérationnelle ne peut pas définir de RTO, ni rédiger de procédure de secours. Il assiste à la formation sans produire de livrable. Le responsable inscrit la personne qui pilote le processus, pas celle qui observe.
• Ne pas transmettre le BIA avant la session — Le formateur s'appuie sur les conclusions du BIA pour calibrer les exercices. Sans ce document, le stagiaire invente des priorités qui ne correspondent pas à la réalité de l'organisation. Le plan qu'il rédige ne passe pas la revue de direction. Le responsable envoie le BIA au moins dix jours avant la formation.
• Confondre formation PCA et sensibilisation à la gestion de crise — La sensibilisation explique pourquoi il faut un plan ; la formation PCA le construit. Le stagiaire qui arrive en pensant assister à un séminaire général perd deux jours. Le responsable précise dans la convocation : « Vous rédigerez votre plan de continuité pendant la session, apportez vos données. »
• Inscrire plusieurs stagiaires d'un même périmètre sans répartir les rôles — Deux personnes du même service qui arrivent avec les mêmes données font le même travail et produisent le même plan. Le responsable inscrit un stagiaire par processus critique, ou répartit les périmètres avant la session : l'un traite la production, l'autre la logistique, le troisième les systèmes.

Questions fréquentes

Le stagiaire peut-il suivre la formation sans BIA préalable ?

Non. Le BIA identifie les activités critiques et fixe les objectifs de reprise : sans lui, le stagiaire ne sait pas quoi protéger en priorité. Le formateur lui demande de réaliser un BIA simplifié avant la session, ou de reporter son inscription. Un PCA construit sans BIA ne résiste pas au premier audit ISO 22301.

Qui doit remplir la fiche de cartographie des ressources ?

Le stagiaire lui-même, avec l'aide du responsable informatique pour les systèmes et du responsable achats pour les fournisseurs critiques. Il liste les ressources dont l'indisponibilité bloque son activité au-delà du RTO. Cette fiche sert de base aux ateliers de recherche de solutions de secours pendant la formation.

Que faire si le stagiaire ne connaît pas son RTO en arrivant ?

Le formateur lui donne une heure pour le définir avec son responsable par téléphone, en s'appuyant sur les impacts métier. Si le RTO reste flou, le stagiaire rejoint l'atelier l'après-midi et travaille sur un périmètre secondaire pour s'exercer. Le plan définitif sera rédigé après la session, une fois le RTO validé.

Et si vous le faisiez vous-même

Rien de ce qui précède n'exige un consultant. Si vous préférez avancer en interne, la bibliothèque technique détaille la méthode référentiel par référentiel : consulter les dossiers d'expertise.