Dans le cadre d'une gestion de crise, le plan de continuité, aussi appelé plan de continuité d'activité (PCA) ou parfois plan de continuité des opérations (en anglais, business continuity plan ou BCP) est un document devant permettre à une entité (gouvernement, collectivité, institution, entreprise, centrale énergétique, hôpital, école, service public délégué etc.) de fonctionner même en cas de désastre ou de crise majeure ; quitte à ce que ce soit en « mode dégradé ». Il a pour but d'anticiper un événement qui perturbe gravement l’organisation normale de l'entité et de mettre en place une stratégie qui permet d’en limiter l’impact.
Le plan de continuité est un document stratégique, formalisé et régulièrement mis à jour (et si possible testé via des exercices ad hoc) de planification de la réaction à une catastrophe ou à un sinistre grave. Il est de plus en plus associé à un système d'information[1]. Dans certains domaines, il peut y avoir plusieurs plans de continuité, chacun dédié à une ligne métier, en identifiant bien les activités indispensables. La réalisation d’un plan de continuité d’activité est généralement le résultat d’une analyse en groupe de travail, rassemblant les différentes compétences de l’entreprise.
Le PCA a 3 étapes :
une analyse de vulnérabilité, visant à évaluer le risque et les objectifs que l’on se fixe pour son niveau d’acceptation. De cette analyse découle une évaluation des besoins de continuité, du niveau de service minimum indispensable ainsi que de la durée d’indisponibilité maximale acceptable pour chaque service ;
la définition des actions préalables à mettre en place pour rester sous le seuil de vulnérabilité, qui se fait par le biais d'un plan de traitement ;
la définition et mise en œuvre d'un plan de survie, définissant les ressources et procédures requises en période de crise, pour rétablir les ressources critiques, jusqu’à la reprise de la situation normale.
Ils doivent minimiser les impacts d’une crise ou d’une catastrophe naturelle, technologique ou sociale sur l’activité (et donc la pérennité) de l'entité concernée (entreprise, gouvernement, institution, groupe…).
Pour un gouvernement, il est essentiel que les secteurs fournissant des services et réseaux vitaux[2] tels que l’alimentation, la défense, la sécurité civile, les soins, la fourniture d'eau de nourriture et d’énergies (dont électricité), le transport en commun, les télécommunications, les banques, la collectes et gestion des déchets, etc. soient capables de résilience face à une crise grave.
Les individus et entreprises sont de plus en plus dépendantes d'une source d'énergie (électricité en général) et de leurs fournisseurs ou sous-traitants. Il est donc de leur intérêt que la planification de la continuité soit faite et partagée par la chaîne des acteurs (du fournisseur au consommateur de biens ou de services).
La norme ISO 22301 cadre l'ensemble des démarches à mettre en œuvre pour un plan de continuité d'activité cohérent.
Le Disaster Recovery Institute International met aussi à disposition des pratiques professionnelles pour la gestion de la continuité d’activités, conçues pour aider à élaborer, évaluer, mettre en œuvre et maintenir un programme de gestion de la continuité des activités[3].
