Le PCA permet d’organiser la résilience d’une entreprise face aux diverses crises pouvant l’ébranler. Le point sur ce dispositif non-obligatoire pour une entreprise mais néanmoins fortement recommandé.
Texte Yva Gelin
Le PCA, qu’est-ce que c’est ?
Crise économique, sanitaire, écologique, terroriste, informatique… Les risques pour une entreprise sont chaque jour plus nombreux. N’importe quelle structure, quelle que soit sa taille, a la possibilité d’anticiper et de se préparer à encaisser les possibles crises en élaborant un Plan de continuité d’activité (PCA). Tel qu’il est défini dans le guide* réalisé par le secrétariat général de la défense et de la sécurité nationale, « le PCA représente l’ensemble des mesures visant à assurer, selon divers scénarios de crises, y compris face à des chocs extrêmes, le maintien, le cas échéant de façon temporaire selon un mode dégradé, des prestations de services ou d’autres tâches opérationnelles essentielles ou importantes de l’entreprise, puis la reprise planifiée des activités ».
Anticipation, action, réaction
Dernier exemple en date, la collectivité territoriale de Martinique qui, le 16 mai dernier, faisait l’objet d’une cyberattaque. Le Plan de continuité d’activité a tout de suite été déclenché : isoler le système d’informations, activer la cellule de crise, déployer des moyens humains et techniques, maintenir le paiement des prestations, poursuivre les services de l’éducation ou encore assurer les prestations du service financier. Comme le précise Isabelle Lise, responsable du pôle Environnement, transition énergétique et développement durable à la CCI de Martinique, « Le PCA permet d’assurer à l’organisation concernée une certaine résilience en cas d’événements déstabilisants. Il permet notamment de limiter la durée de la crise, d’être en mesure de tenir ses engagements vis-à-vis de ses partenaires et de maintenir sa visibilité sur son marché ». Aujourd’hui, la nature, la fréquence et le coût des crises sont en augmentation. Qu’ils s’agissent de risques naturels tels que cyclones, séisme, inondations ; de risques technologiques, ou encore d’autres risques comprenant le vol, des épidémies ou encore des grèves… le PCA est une pratique d’anticipation qui peut être mise en place en étant accompagné par un bureau d’étude ou bien la CCI qui, en Martinique par exemple, dispose de deux conseillers PCA.
Lire Aussi | Caraïbe : de l’importance de co-construire des actions de prévention
PCA simplifié ou complet ?
S’il y a deux types de PCA, tous deux ont cette même fonction de répondre, en temps de crise, aux enjeux financiers, commerciaux et juridiques d’une entreprise, tout en préservant son image. La version simplifiée, se concentre uniquement sur l’élaboration de mesures d’actions prioritaires pour permettre à l’entreprise de reprendre une activité une fois la crise passée. À la différence, le PCA complet permet d’anticiper et s’intègre dans une stratégie globale de gestion des risques de l’entreprise. Cependant, simplifié ou complet, le PCA est voué à évoluer et n’est en aucun cas figé une fois rédigé. Des mises à jour du PCA sont conseillées au fil du temps afin que celui-ci reste pleinement pertinent. La démarche d’élaboration du PCA est impulsée par la direction de l’entreprise et elle doit impliquer chaque département de l’entreprise, afin que le plan final soit le résultat d’un travail collaboratif correspondant à tous. S’il est non obligatoire pour les entreprises, toute entreprise d’utilité publique est dans l’obligation d’en élaborer un car elle est par nature dans l’obligation d’assurer la continuité d’un service. EDF, SARA, le Grand Port Maritime ou encore certaines grandes surfaces font par exemple partie de la liste. De plus, indique Isabelle Lise, « pour être efficaces dans la mise en place de leurs mesures, ces entreprises d’utilité publique incitent également leurs sous-traitants à faire leur propre PCA ».
5 étapes
Le PCA complet est le plus recommandé et se compose de cinq étapes principales. La première, consiste à définir le contexte et identifier les objectifs et activités essentielles de l’entreprise. Lors de l’étape numéro deux, il s’agit de définir les attentes de sécurité afin de maintenir un seuil d’objectif fixé. La clef de cette étape est de formuler clairement le niveau de risque acceptable et comprendre quels seront les objectifs auxquels il faudra répondre afin de maintenir une activité viable. L’étape trois, quant à elle, consiste à identifier, analyser, évaluer et traiter les risques susceptibles d’impacter la structure. Quels sont-ils ? Quels coûts peuvent-ils représenter pour l’entreprise ? Lors de cette étape, il s’agit de projeter l’entreprise vivant les situations de risques énoncées. Enfin, lors des étapes quatre et cinq, il s’agit de définir la stratégie de continuité d’activité puis de passer à l’action en mettant en œuvre le plan et en se l’appropriant. Cela revient notamment à désigner les responsables ayant un rôle à jouer ou encore les délais associés à chaque étape. « Par exemple », illustre Isabelle Lise, « dans le cas d’un vol d’ordinateur portable non sécurisé, il faudra anticiper sur les possibles conséquences dues à ce vol telles que l’usage de l’image de marque par la concurrence, ou encore le risque d’un chantage. Il faudra dans le PCA définir une procédure opérationnelle logistique. Quels moyens vont être mis en œuvre pour permettre un secours informatique ? Comment organiser une possible sauvegarde des données sensibles ? Il s’agira aussi de réfléchir comment mettre en place une procédure de communication en interne et en externe adaptée à la situation de crise ».
Lire Aussi | The Marine Box : faire de la mer « une boîte à outils »
PCA activé
C’est lors de la crise sanitaire de Covid que bon nombre d’entreprises ont dû activer pour la première fois leur PCA. En Martinique, la raffinerie, du fait du confinement, a observé une baisse de la consommation de carburant. Elle a ainsi déployé son PCA le 17 mars afin d’assurer sa survie économique mais également celle de ses entreprises sous-traitantes. Parmi les mesures adoptées figurait celle d’arrêter les unités de production, les stockages étant plein. À la même période, le Centre national d’études spatiales (CNES) gérant de la station spatiale de Kourou déclenchait également son plan de continuité d’activité afin de préserver « la santé des salariés et des populations locales, tout en assurant les conditions de sécurité requises pour la préparation des lancements planifiés », tel que l’indiquait le communiqué d’Arianespace. Conséquences, les campagnes de tir de lancement étaient suspendues. Enfin, et ce toujours en mars 2020, en Guadeloupe, le Grand Port Maritime suspendait l’accueil physique du public dans les bureaux de l’infrastructure ainsi que les activités de transport de passagers (croisières et trajets inter-îles), et maintenait les activités de réception de marchandises conformément au document préparé et validé sereinement alors que la menace d’un confinement de la population ne faisait même pas partie des scénarios possibles.
*bit.ly/3BUr4co