BUSINESS CONTINUITY MANAGEMENT Manuel pour l'implémentation

Transcription

1 SPF Intérieur Direction Générale Centre de Crise BUSINESS CONTINUITY MANAGEMENT Manuel pour l'implémentation Sofie Senesael Mémoire réalisé dans le cadre d'une nomination statutaire, juin 2009 Promoteur: Jaak Raes, Directeur général du Centre de Crise

2

3 BUSINESS CONTINUITY MANAGEMENT Un guide pour la mise en oeuvre Executive Summary Les services publics, notamment le SPF Intérieur, ont un rôle social très important à jouer. Ils doivent donc être capables d'assurer la continuité de leur service quelles que soient les circonstances ou les menaces auxquelles ils sont confrontés. Ils peuvent s'y préparer afin qu'en cas d'interruption de leurs activités, ils puissent reprendre les activités les plus critiques dans le délai le plus bref possible. L'objectif de l'ouvrage: BUSINESS CONTINUITY MANAGEMENT: Un guide pour la mise en œuvre est une méthodologie pour mettre en oeuvre un Business Continuity Management au sein du SPF Intérieur. Qu'est-ce que le Business Continuity Management? Quelle est la relation avec d'autres disciplines comme par exemple le management des risques ou l'audit interne et quels sont les avantages d'un Business Continuity Management? Une réponse est donnée à ces questions dans la Partie 1 de ce travail. La Partie 2 explique étape par étape quelles phases doivent être franchies pour mettre en oeuvre un Business Continuity Management au SPF Intérieur et la Partie 3' contient plusieurs documents de travail développés pour soutenir le processus de mise en oeuvre. Partie 1: Business Continuity Management Quoi et Pourquoi? Les termes Business Continuity Management (BCM) et Business Continuity Plan (BCP) prêtent souvent à confusion. Le Business Continuity Management est un processus où l'organisation prend les mesures nécessaires afin de garantir la continuité des processus les plus critiques quelles que soient les circonstances. Lorsqu un ou plusieurs processus sont interrompus, l'organisation doit être capable d'intervenir rapidement et fermement afin de reprendre ces activités dans le délai le plus bref possible. Un Business Continuity Plan décrit comment y parvenir concrètement et est donc un produit du Business Continuity Management. Le Business Continuity Plan est un ensemble de procédures, accords et coordonnées qui peuvent être utilisés lorsqu'une interruption se produit réellement. Quelle est la relation avec d'autres disciplines spécifiques? Il y a un lien étroit entre le Business Continuity Management, le management de crise, le management des risques, le contrôle interne et l'audit interne. Dans le contexte du SPF Intérieur, on entend par management des risques, d'une part la gestion des risques liés au fonctionnement de l'organisation elle-même, et d'autre part, la gestion des risques comme mission de l'organisation. Le Business Continuity Management fait partie de la première catégorie, plus particulièrement la gestion des risques qui mettent en danger la continuité de l'organisation. Dans la Partie 1, à la page 16, le lien entre les diverses disciplines est expliqué de manière schématique. Quels sont les avantages du Business Continuity Management? Un Business Continuity Management au sein de l'organisation permettra non seulement à l'organisation d'assurer son service malgré une interruption d'un ou plusieurs processus ou activités, mais il offrira également d'autres avantages. Il veille ainsi notamment à ce que les obligations légales et réglementaires soient remplies, à renforcer la crédibilité et la réputation de SOFIE SENESAEL SPF INTERIEUR/ DIRECTION GENERALE CENTRE DE CRISE I

4 l'organisation, à ce que le personnel soit formé et préparé à réagir efficacement et à ce que le personnel puisse être engagé dans d'autres équipes. De plus l'examen détaillé des processus offre parfois également des avantages inattendus en soulignant certains points problématiques au sein de l'organisation. Standards de Business Continuity. Il existe plusieurs standards et directives internationaux en matière de Business Continuity. Un standard est un document élaboré par une organisation de normes et standards officiellement reconnue par l'international Organisation Standardization (ISO). Ce standard ou norme décrit une manière d agir convenue. Il propose un cadre théorique qui peut servir d'aide pour les organisations qui souhaitent installer un programme de Business Continuity Management au sein de leur organisation. Le recours à des standards lors de la mise en oeuvre d'un Business Continuity Management n'est pas obligatoire, mais leur utilisation est toutefois vivement recommandée. Il offre à l'organisation des critères lui permettant d'évaluer son propre Business Continuity Plan et le Processus de Business Continuity Management d'appui. Par ailleurs, certains standards permettent également d'obtenir un certificat au sein de l'organisation après la mise en oeuvre du standard. Partie 2: Les 6 phases du Business Continuity Management La partie 2 traite des diverses phases à franchir ou des éléments qui doivent être présents dans l'organisation pour pouvoir parler d'un Business Continuity Management. Outre la description d'un certain nombre de termes et du contenu précis de cette phase, une attention est également accordée à la manière dont cette phase peut être mise en oeuvre au sein du SPF Intérieur. Phase 1 BCM Programme Phase 2 Compréhension de l'organisation Phase 5 Exercice Entretien Révision BUSINESS CONTINUITY MANAGEMENT Phase 4 BCM Response : développement et mise en oeuvre Phase 3 BCM Stratégie Phase 1: Le programme BCM On recommande d'appliquer les principes du management de projet pour mettre en oeuvre le Business Continuity Management. Comme pour chaque projet, il est important de décrire un cadre précis pour la mise en œuvre de celui-ci. Il faut ainsi notamment préciser les objectifs du projet, décrire les rôles et les responsabilités, communiquer sur le projet, etc. Tous ces éléments sont abordés dans le programme BCM, le dit point de départ' du projet. II SOFIE SENESAEL SPF INTERIEUR/ DIRECTION GENERALE CENTRE DE CRISE

5 Il est important que dès le début du projet, le management communique formellement, sous forme d'une ligne politique, sur le projet. Ceci souligne l'importance qu'ils accordent à ce projet et constitue une des conditions essentielles pour une mise en oeuvre réussie. Phase 2: Compréhension de l'organisation Business Analyse Une fois la structure du projet mise en place et les rôles et responsabilités attribués, les activités peuvent démarrer. Dans cette phase, les divers processus de l'organisation doivent être définis et il faut examiner avec le management quels sont, pour eux, les objectifs prioritaires en matière de Business Continuity. En d'autres mots, quels sont les objectifs dont la continuité ne peut pas être interrompue temporairement ou pour une longue durée. Il faut faire une analyse de ces processus (Business Analyse) afin de savoir notamment quels sont les moyens nécessaires pour réaliser le processus, quels sont les règles légales auxquelles le processus est tenu, combien de personnel est nécessaire pour réaliser le processus, quelle est l'infrastructure requise, etc. Business Impact Analyse Il faut ensuite réaliser par processus une Business Impact Analyse. On entend par là qu'il faut d'abord évaluer les conséquences de l'interruption du processus pour l'organisation. De plus, il faut déterminer par processus la durée maximale possible d'interruption du processus, sinon l'organisation risque des dégâts irréparables, ainsi que le délai dans lequel le processus doit être rétabli (objectif de rétablissement). Analyse du risque La détermination de toutes les menaces possibles qui peuvent entraîner une interruption d'un ou plusieurs processus au sein de l'organisation n'est pas une condition absolue pour installer un Business Continuity Management et définir un Business Continuity Plan. On recommande d'élaborer un Global Business Continuity Plan qui couvre un maximum de risques au lieu d'élaborer un plan spécifique par risque. Il vaut mieux joindre en annexe les mesures spécifiques du Global Business Continuity Plan. Il est recommandé de se baser sur les 4 grandes éventuelles conséquences auxquelles une organisation peut être confrontée, à savoir: - Manque de personnel - Manque de facilités (bâtiment, locaux...) - Perte d'accès aux données vitales - Manque d'ict Phase 3: BCM Stratégie Sur base de l'information relative au processus lui-même (Business Analyse) et d'une estimation des conséquences d'une interruption du processus, il faut formuler des mesures pour : - diminuer la probabilité d'une interruption; - diminuer la durée de l'interruption; - limiter l'impact de l'interruption sur les activités critiques. Dans le cadre de la Business Impact Analyse, on a déterminé dans quel laps de temps quelles activités devaient reprendre (objectif de reprise). Cette phase consiste à formuler des SOFIE SENESAEL SPF INTERIEUR/ DIRECTION GENERALE CENTRE DE CRISE III

6 propositions d'action (mesures) susceptibles d'y remédier et réaliser une analyse des coûts et avantages pour chaque mesure proposée. Phase 4: BCM Response : développement et mise en œuvre Business Continuity Management Response est la réponse préparée par une organisation pour pouvoir gérer un incident et minimaliser son impact sur les processus de travail. Les mesures approuvées par le management dans la phase précédente doivent être développées dans cette phase afin que l'organisation puisse réagir rapidement et efficacement en cas d'interruption d'un processus particulier. On distingue trois étapes de response reliées entre elles. L'organisation doit disposer d'un plan ou de procédures par phase de response. Tous ces plans peuvent être décrits comme le Global Business Continuity Plan. - Emergency Response Incident Management Plan - Business Continuity Response Business Continuity Plan - Business Recovery Response Business Recovery Plan Objectif Quoi? Incident Plan Management Contrôler l'incident ou l'interruption. Limiter les dommages indirects. Les contacts avec les services de secours et d'intervention Evacuation bâtiment Aide sociale et accueil personnel Business Continuity Plan Business Recovery Plan Reprise ou poursuite des activités les plus critiques. Reprise de toutes les activités Retour à une situation normale. Toutes les informations pertinentes (coordonnées, procédures,...) pour redémarrer ou poursuivre les activités critiques. Toutes les informations pertinentes pour reprendre ou poursuivre les activités non-critiques (les activités qui ne figurent pas dans le BCP). Phase 5: Exercice, entretien et révision Il ne suffit pas d'avoir un Incident Management Plan, un Business Continuity Plan et un Business Recovery Plan à disposition dans son placard. Les plans ne sont utiles que lorsqu'ils sont connus, actualisés et testés. Le fait de tester les procédures et les mesures prévues dans les plans permet de s'assurer que les activités critiques peuvent être rétablies dans le délai prévu. A la suite des exercices, il sera nécessaire d'adapter ou de compléter le contenu des plans. De plus, il faut prévoir une procédure veillant à ce que pour chaque modification (interne ou externe) ayant un impact pour l'organisation, le programme du Business Continuity Management soit évalué et que les plans soient si nécessaire adaptés. IV SOFIE SENESAEL SPF INTERIEUR/ DIRECTION GENERALE CENTRE DE CRISE

7 Phase 6: Ancrage dans la culture de l'organisation Pour être une réussite le projet de Business Continuity Management doit être soutenu par un maximum de personnes au sein de l'organisation. Le management (à la fois le management supérieur et moyen) joue un rôle essentiel lors de la détermination des processus critiques. Il est donc vital pour le projet de gagner leur soutien. Il faut qu'un nombre maximum de membres du personnel soient convaincus qu'ils ont un rôle important à jouer pour garantir la continuité des activités de l'organisation. Il est dès lors important d'accorder suffisamment d'attention aux programmes de conscientisation et de formation du personnel et d'organiser plusieurs activités de sensibilisation. Approche pratique pour franchir les 6 phases On retrouve à la page 73 un résumé reprenant étape par étape ce qu'il faut concrètement faire pour franchir les 6 phases du Business Continuity Management. Partie 3: Documents de travail La partie 3 comprend plusieurs documents de travail qui peuvent être utilisés pour franchir les diverses phases. SOFIE SENESAEL SPF INTERIEUR/ DIRECTION GENERALE CENTRE DE CRISE V

8 VI SOFIE SENESAEL SPF INTERIEUR/ DIRECTION GENERALE CENTRE DE CRISE

9 TABLE DES MATIERES Préface...3 Introduction méthodologie...3 PARTIE 1 : Business Continuity Management - Quoi & Pourquoi? 1. Qu'est-ce que le Business Continuity Management? Quelle est la relation avec d'autres disciplines spécifiques? Management des risques Contrôle interne et audit interne Management de crise Représentation schématique Quels sont les avantages du programme de Business Continuity Management? Standards de Business Continuity Diverses normes (standards) et directives (guidelines) BCM internationales...17 PARTIE 2 : Les 6 phases de Business Continuity Management 1 Programme BCM Ligne politique / Policy Development Objectifs, délimitations et points de départ de l'organisation / Portée Rôles et responsabilités Structure du projet Structure permanente Structure de crise Acquérir une connaissance approfondie de l organisation Business Analyse Business Impact Analyse Analyse des risques Définir la stratégie BCM BCM response : développement et mise en œuvre Exercice Entretien Révision Ancrage du BCM dans la culture d organisation...71 Conclusion recommandations de synthèse...72 PARTIE 3 - Documents de travail Annexes Bibliographie SOFIE SENESAEL SPF INTERIEUR/ DIRECTION GENERALE CENTRE DE CRISE 1

10 SOFIE SENESAEL SPF INTERIEUR/ DIRECTION GENERALE CENTRE DE CRISE 2

11 Préface En 2007, suite à la propagation du virus de grippe aviaire (H5N1), le SPF Intérieur a mené plusieurs actions de sensibilisation pour conscientiser davantage les gens aux éventuelles conséquences de l'émergence d'une pandémie de grippe sur la vie sociale. Une campagne d'information a notamment été élaborée pour conscientiser le personnel du SPF Intérieur à l'importance d'une bonne hygiène afin de combattre la propagation des virus. De plus, la Direction Générale Centre de Crise a développé et diffusé une liste de contrôle (voir annexe 1) avec des mesures spécifiques qui peuvent être prises au sein des organisations en vue de se préparer à une pandémie de grippe. Sur base de ces actions et compte tenu des évolutions récentes (pandémie A/H1N1), on a pris de plus en plus conscience du fait qu'il est indispensable que les services publics, compte tenu de l'important rôle social qu'ils ont à remplir, soint capables de garantir la continuité de leurs services quelles que soient les circonstances ou les menaces auxquelles ils sont confrontés. La Présidente du SPF Intérieur, Mademoiselle De Knop, accorde beaucoup d'importance au management des risques au sein du SPF et en particulier à la gestion des risques au niveau de la continuité du service, l'éthique, la gestion des connaissances. Par ce travail, réalisé dans le cadre de ma nomination en tant que fonctionnaire statutaire et qui vise à proposer une méthodologie pour la mise en oeuvre d'un Business Continuity Management, j'espère contribuer concrètement à la réalisation de cet objectif du SPF. Introduction - méthodologie Structure du document Sources Ce document comporte trois parties: PARTIE I : traite brièvement du Quoi et Pourquoi du Business Continuity Management et donne des exemples de plusieurs normes et directives existantes en ce qui concerne le Business Continuity management. PARTIE II : donne les diverses phases à suivre pour mettre en place un Business Continuity Management. La fin de la PARTIE II présente une synthèse de toutes les recommandations faites dans l'ensemble du document. PARTIE III : donne d'une part plusieurs documents de travail qui peuvent être utilisés lors de la mise en oeuvre du Business Continuity Management. Pour arriver à ce travail, une étude littéraire a été faite relative au Business Continuity Management (la liste des sources consultées figure à la fin de ce document). Le processus de mise en oeuvre d'un Business Continuity Management au SPF Intérieur, présenté dans la PARTIE II tient dès lors compte des principes fondamentaux de plusieurs standards ou directives internationales faisant autorité en matière de Business Continuity Management comme repris dans la PARTIE I. De plus, on a également pris contact avec plusieurs personnes des services internes du SPF ainsi qu'avec des entreprises ou des organisations externes qui, en raison de leur expertise, apportent tous une contribution intéressante à ce document. SOFIE SENESAEL SPF INTERIEUR/ DIRECTION GENERALE CENTRE DE CRISE 3

12 Documents de travail Information existante Recommandations Dans le cadre de ce mémoire, plusieurs documents ont également été développés pouvant contribuer au développement d'un Business Continuity Management au sein d'un ou plusieurs services du SPF. Il s'agit surtout de questionnaires et de templates qui peuvent être utilisés lors des diverses phases du processus de Business Continuity Management. Ces questionnaires et templates peuvent être adaptés si nécessaire à la spécificité du service. Dans ce travail on tient compte de l'information existante et des actions entreprises au sein du SPF relatives notamment aux descriptions de processus, à l'analyse de risque (voir par exemple l'information obtenue par les processus de modernisation). Dans certains points de cet ouvrage, une référence est également faite à des méthodes et des documents déjà existants. Tout au long de ce travail, des recommandations sont formulées pour la mise en œuvre d'un Business Continuity Management au sein du SPF Intérieur. Un schéma reprend ces recommandations à la fin de la PARTIE II. SOFIE SENESAEL SPF INTERIEUR/ DIRECTION GENERALE CENTRE DE CRISE 4

13 PARTIE 1 Business Continuity Management - Quoi & Pourquoi? -

14

15 1. Qu'est-ce que le Business Continuity Management? Définition Les termes Business Continuity Management (BCM) et Business Continuity Plan (BCP) prêtent souvent à confusion. Ces termes sont régulièrement confondus mais ils ne signifient pas la même chose. Voici quelques définitions spécifiques expliquant la différence entre les deux. Business Continuity Management is a holistic management process that identifies potential threats to an organisation and the impacts to business operations that those threats if realized, might cause, and which provides a framework for building organizational resilience with the capability for an effective response that safeguards the interests of its key stakeholders, reputation, brand and value-creating activities. 1 «Le Business Continuity Management» est un processus de gestion qui identifie et limite les risques, minimise l'éventuel impact d'une interruption des processus d'entreprise critiques (au niveau du temps) et des systèmes d'appui, avec comme unique objectif la reprise rapide des processus d'entreprise critiques". 2 "L'objectif du Business Continuity Management est de garantir la continuité du processus d'entreprise et l'existence de l'organisation. Le produit de BCM consiste en des mesures opérationnelles et applicables à la fois préventives (en vue de prévenir les situations mettant en danger la continuité de l'organisation) et répressives (lorsque le risque est devenu évident, prévoir des mesures répressives pour limiter les dégâts à un niveau acceptable)". 3 Business Continuity Plan (BCP) En d'autres mots, le Business Continuity Plan est un produit du Business Continuity Management. On peut décrire le Business Continuity Plan comme un ensemble de mesures réactives (ou répressives) visant à limiter les conséquences pour la continuité de l'organisation lors de l'apparition d'un risque spécifique. On peut également décrire le Business Continuity Plan comme a documented collection of procedures and information that is developed, compiled and maintained in readiness for use in an incident to enable an organization to continue to deliver its critical activities at an acceptable pre-defined level. 4 Les autorités flamandes utilisent la définition suivante: "Un Business Continuity Plan est un document précis et documenté à utiliser lorsque la continuité de l'entreprise est perturbée par un évènement, un incident ou une crise. Ce plan traite spécifiquement de toutes les personnesclés, moyens, services, activités nécessaires à la gestion du processus BCM. 5 1 British Standard :2006, Business continuity management. Code of practice, p.1. 2 Interne audit: Bedrijfscontinuïteitsmanagement, Les Autorités flamandes, Belgique, 26 février KNEGTEL, Louise, BCM Pocketbook, BCM Academy Harderwijk, British Standard :2006, Business continuity management. Code of practice, p.2. 5 Interne audit: Bedrijfscontinuïteitsmanagement, Les Autorités flamandes, Belgique, 26 février SOFIE SENESAEL SPF INTERIEUR/ DIRECTION GENERALE CENTRE DE CRISE 7

16 En résumé L'importance des définitions En d'autres mots, le Business Continuity Management est un processus de gestion où l'organisation prend les mesures nécessaires afin de garantir la continuité des processus les plus critiques quelles que soient les circonstances. Lorsqu un ou plusieurs processus sont interrompus, l'organisation doit être capable d'intervenir rapidement et fermement afin de reprendre ces activités dans le délai le plus bref possible. Un Business Continuity Plan est un produit du Business Continuity Management. C'est un ensemble de procédures, accords et informations de contact qui peuvent être utilisés lorsqu'une interruption a réellement lieu. Outre les définitions reprises ci-dessus, il existe encore d'innombrables autres définitions du Business Continuity Management. Les unes plus concises que les autres. Il est vraiment important que le management d'une organisation qui souhaite installer un Business Continuity Management, soit d'accord sur le sens donné au sein de l'organisation au Business Continuity Management, sur les objectifs ainsi visés et donc sur le fait qu'un seul et même message soit émis au sein de l'ensemble de l'organisation 6 (voir infra PARTIE II, point 1.1. ligne politique). 2. Quelle est la relation avec d'autres disciplines spécifiques? Quelle est la relation du Business Continuity Management par rapport aux autres disciplines concernées? Plusieurs avis existent en la matière. Sur base de la description de plusieurs disciplines concernées, une représentation schématique du point de vue suivi dans cet ouvrage figure à la page Management des risques Définitions Lien BCM Une première discipline qui se rapproche beaucoup du Business Continuity Management est le management des risques. Le management des risques est le processus de coordination pour analyser les risques (l'analyse des risques), prendre des mesures pour limiter les risques à un niveau acceptable, et entretenir le niveau des risques exigé. 7 Le management des risques est le processus de gestion des risques du management. Le comportement du management par rapport aux risques d'entreprise, à la fois au niveau stratégique et au niveau des processus d'entreprise. 8 Alors que le management des risques traite de la gestion de tous les risques éventuels au sein d'une organisation, le Business Continuity Management vise les risques qui peuvent mettre en danger la continuité de l'organisation. En suivant ce raisonnement, le Business Continuity Management fait intégralement partie du management des risques. Il est difficile d'estimer la part du Business Continuity Management. 7 Interne audit: Bedrijfscontinuïteitsmanagement, Les Autorités flamandes, Belgique, 26 février R. DRIES, L. VAN BRUSSEL, M. WILLEKENS, Handbook auditing, Intersentia, deuxième édition, 2004, p. 16. SOFIE SENESAEL SPF INTERIEUR/ DIRECTION GENERALE CENTRE DE CRISE 8

17 En fonction du contexte à un moment précis, un risque peut constituer une menace importante pour la continuité de l'organisation, alors que ce n'était pas le cas avant. Par contre, certaines sources considèrent plutôt le management des risques comme une partie d'une approche globale de Business Continuity. Tout dépend de ce que l'organisation entend par management des risques (quel est l'objectif de l'organisation en matière de management des risques?) et de l'objectif du programme de Business Continuity Management de l'organisation (gérer les domaines classiques des risques ou gérer plus globalement les éventuels incidents de nature diverse). 9 Conclusion On peut conclure qu'il y a un lien précis entre le management des risques et le Business Continuity Management. Dans les ouvrages, plusieurs points de vue différents surgissent. Le contexte du SPF Intérieur et plus particulièrement, les tâches spécifiques de gestion des risques et de crise, permettent de conclure que le Business Continuity Management, en ce qui concerne le SPF Intérieur, fait partie du management des risques, mais ne concerne cependant que le management d'une sorte spécifique de risques. En effet, tous les risques auxquels le SPF peut être confronté ne représentent pas une menace pour la continuité des missions du SPF. Le traitement des risques est ainsi l'une des missions du SPF sans que ces risques ne constituent toutefois une menace pour sa propre continuité. Le fait de décréter des mesures (par exemple la fermeture des poubelles, l'accompagnement policier, etc.) pour un déroulement en toute sécurité d'un Sommet européen constitue, par exemple, une mission du Centre de Crise, mais le risque de sécurité lié à l'organisation d'un Sommet européen ne constitue pas en soi une menace pour la continuité du Centre de Crise. Management des risques au sein du SPF BiZa En ce qui concerne le management des risques en général, le SPF Intérieur traite les risques de manière fragmentée. Les risques ont été abordés à l'occasion des projets de modernisation (MPM)), le Service Interne de Prévention et de Protection au travail analyse notamment les risques en matière de santé et de bien-être du personnel ainsi qu'au niveau de l'aménagement des lieux et des postes de travail. Le Service Inspection Interne vérifie si les risques sont suffisamment maîtrisés et identifient sans aucun doute de nouveaux risques au cours de leurs missions. Des risques seront également identifiés dans le cadre du Business Continuity Management. On recommande d'identifier tous les risques au sein du SPF, d'inventorier les mesures prises selon une méthodologie précise et de réévaluer annuellement les risques (voir infra, point 2.2., Contrôle interne). 9 Business Continuity Management Congres, Kluwer, Edegem, 31 mars SOFIE SENESAEL SPF INTERIEUR/ DIRECTION GENERALE CENTRE DE CRISE 9

18 2.2. Contrôle interne et audit interne Cette recommandation est conforme à l'arrêté royal du 17 août 2007 relatif au système de contrôle interne dans certains services du pouvoir exécutif fédéral, plus particulièrement la disposition relative à l'obligation de mettre l'inventaire de la documentation relative aux systèmes de contrôle interne à disposition des auditeurs internes et externes. Il est conseillé de vérifier avec les divers intéressés comment réaliser ceci au mieux au sein du SPF. La gestion et la détection des nouveaux risques est un processus continu mais unique. Il est par conséquent important que la direction détermine sa position en ce qui concerne la relation du management des risques par rapport au Business Continuity Management d'une part, et la mesure dans laquelle elle souhaite investir dans le management des risques en général avec comme point spécifique en première instance le Business Continuity Management. Ceci est surtout important lorsqu'on décide de réaliser l'inventaire de la documentation des systèmes de contrôle interne au sein du SPF. Il faut alors se demander qui doit en être désigné responsable. La fonction de risk manager, une fonction qui apparaît dans diverses organisations, peut être une piste éventuelle. Nous constatons par ailleurs que ce rôle est parfois confié au Business Continuity Manager. Le contrôle interne et l'audit interne sont deux disciplines dont le lien avec le Business Continuity Management est très important. En effet, le contrôle interne doit vérifier que l'organisation prend suffisamment de mesures pour éviter les risques. Le contrôle interne examine si les systèmes de contrôle interne, où la mesure dans laquelle les risques sont maîtrisés, sont effectifs et efficaces. Il n'est dès lors pas étonnant que l'intérêt pour le Business Continuity Management s'accroît souvent sur base des résultats d'un audit interne. Ceci est aussi le cas pour les Autorités flamandes où il a été constaté après un audit interne que la majorité des entités au sein des Autorités flamandes ne sont pas suffisamment matures en matière de continuité de l'entreprise. Le point suivant explique la différence entre les termes audit interne et contrôle interne'. La base légale ainsi que la manière dont le SPF Intérieur réalise les deux dans la pratique sont abordés ci-dessous. Définition Conformément à l'arrêté royal de 2007 relatif au système de contrôle interne au sein de certains départements du pouvoir exécutif fédéral, le contrôle interne est un processus intégré élaboré par les responsables et le personnel de l'organisation et qui vise à traiter les risques et à offrir une certitude relative en ce qui concerne la réalisation, dans le cadre de la mission de l'organisation, des objectifs généraux suivants: - réalisation d'opérations ordonnées, éthiques, économiques, efficaces et pratiques; - respect des obligations de rendre des comptes; - concordance avec les lois et la réglementation en vigueur; - protection des moyens contre la perte, l'abus et le dommage. SOFIE SENESAEL SPF INTERIEUR/ DIRECTION GENERALE CENTRE DE CRISE 10