le management de la continuité d activité

le management de la continuité d activité

Le management de la continuité d activité au service de la performance de votre organisation Les entreprises évoluent dans un environnement de plus en plus complexe : instabilité des marchés, interdépendance des acteurs, mondialisation des échanges, diversification des risques (technologiques, géopolitiques, environnementaux..) et exigence de transparence. Elles doivent, aujourd hui plus que jamais, réfléchir à leur(s) stratégie(s) de continuité pour rester performante et maintenir la qualité de service au meilleur niveau en toute circonstance. Dans ce contexte, les établissements financiers ont l obligation réglementaire de disposer d un Plan de Continuité d Activité, c est à dire de mettre en place un «ensemble de mesures visant à assurer, selon divers scénarios de crise, y compris face à des chocs extrêmes, le maintien, le cas échéant de façon temporaire selon un mode dégradé, des prestations de services ou d autres tâches opérationnelles essentielles ou importantes de l entreprise puis la reprise planifiée des activités» (cf. Règlement 97-02 du Comité de Réglementation Bancaire et Financière). Un PCA doit donc prévoir l ensemble des solutions de secours (organisationnelles, logistiques, techniques, humaines et de communication) permettant de réagir efficacement à une crise non maîtrisable et assurer la reprise rapide des fonctions vitales de l entreprise en cas d inaccessibilité des sites de production ou d indisponibilité des moyens matériels et/ou humains nécessaires à leur exercice. 2

Depuis plusieurs années, de nombreux évènements exceptionnels ont rappelé la vulnérabilité des entreprises face à des catastrophes ou sinistres de grande ampleur dont les conséquences économiques sont désastreuses. Catastrophes naturelles Crues de la Somme - France - 2001 Tsunami - Océan Indien - 2004 Ouragan Katrina - Etats-Unis - 2005 Accidents / Terrorisme Incendie du siège du Crédit Lyonnais - 1996 Attentats de New York - 2001 Explosion usine AZF - 2001 Défaillances d infrastructures Panne du système d information LSE - 2000 Panne du système d information - Euronext - 2004 Arrêt des réseaux électriques nationaux - Etats-Unis - 2008 Risques sanitaires Épidémie de SRAS - Hong Kong - 2003 Grippe aviaire Virus A(H5N1) - Asie et Afrique 2006 Attentats de New-York (11 Septembre 2001) 60 milliards de dommages directs 11 milliards de pertes d activités sur 2001 et 2002 108 000 emplois supprimés (Etat de New-York) Explosion Usine AZF (21 Septembre 2001) 2,5 milliards de dommages directs 1300 entreprises sinistrées 1200 emplois supprimés (Toulouse et agglomération) 3

Les enjeux du PCA La survenue d incidents majeurs, même si leur probabilité d occurrence est faible, est susceptible d altérer de manière durable l activité courante d une entreprise et engendrer de multiples impacts : commerciaux Perte de clients et de parts de marchés financiers Perte de revenus, coûts de reprise d activité juridiques Sanctions disciplinaires ou financières, voire pénales, pour non respect d obligations réglementaires d image Conséquences négatives sur l image et la réputation de l entreprise Par conséquent, la mise en place d un PCA répond à plusieurs types d enjeux : Opérationnels : garantir la survie de l entreprise en minimisant les impacts financiers, juridiques et d image d un sinistre grave, Selon de nombreuses études statistiques, 80% des entreprises qui subissent une interruption d activité consécutive à un sinistre majeur disparaissent dans un délai de 18 mois. Commerciaux et concurrentiels : favoriser la conquête de marchés en rassurant les clients sur la sécurité de leurs intérêts en cas de sinistre, La capacité à assurer la continuité de son activité constituant un argument commercial de poids, les entreprises sont fréquemment amenées à dévoiler les composantes de leur PCA dans les réponses à appel d offres. Réglementaires : répondre à une obligation légale pour les acteurs du secteur financier (Règlement CRBF 97-02, Joint Forum de Bâle, Directives de l AMF ). La problématique de la continuité d activité ne fait plus seulement partie des préoccupations majeures des établissements financiers. Elle s étend aujourd hui à d autres secteurs, notamment les Assurances et Mutuelles (Solvency II, Recommandations de l Autorité de Contrôle des Assurances et des Mutuelles ). 4

Les objectifs du PCA et moyens associés Objectifs 1 Anticiper et maîtriser les risques opérationnels de grande envergure 2 Analyser et réduire les impacts potentiels d une interruption d activité Moyens Catégoriser les incidents potentiels (le plus probable, le pire, l extrême..), Sécuriser l environnement informatique et de production (backup applicatifs, de flux et des ressources humaines.), Instaurer une gestion efficace des «utilities» (eau, transport, électricité, télécommunications) et améliorer la relation avec les prestataires critiques, Mettre en place une structure de gouvernance du PCA (stratégie, veille, analyse et reporting), Participer au renforcement du dispositif global de prévention des risques opérationnels. Recenser les activités et ressources vitales, Cartographier les risques et analyser les impacts d une interruption des processus Métier, Déployer les solutions de continuité multi-dimensionnelles et/ou multiterritoires, Mettre en place une gestion de crise perfomante, Assurer la réactivité des collaborateurs et de l entreprise. 5

Les opportunités pour l entreprise Pour justifier la mise en œuvre d une démarche PCA, comme pour tout projet, il est indispensable de mettre en adéquation les enjeux de l entreprise (risques encourus vs. bénéfices attendus) et le souci de maîtrise de l investissement (chiffrage des pertes potentielles vs. coûts de mise en œuvre). Outre la gestion quotidienne du risque, le projet d implémentation d un PCA présente de véritables opportunités pour une entreprise. Cela constitue incontestablement un facteur de bonne gouvernance et un levier d amélioration continue. Le retour sur investissement d un PCA s évalue au-delà de simples critères financiers 1 2 3 4 Sur le plan financier Sur le plan concurrentiel Sur le plan RH Sur le plan organisationnel Un levier permettant de limiter les pertes financières en cas de sinistre Un levier susceptible de générer des allègements de charges auprès de certains fournisseurs (révision des primes d assurance, diminution des franchises ) Un levier concurrentiel vis-à-vis de clients auprès desquels communiquer sur sa capacité à gérer l imprévisible est un facteur différentiant Un levier permettant de préserver son image de marque Un moyen de sensibilisation des collaborateurs aux risques opérationnels Un projet d entreprise mobilisateur autour de l entreprise et fédérateur pour les collaborateurs Une opportunité pour procéder à une mise à niveau ou à une révision des organisations et processus clés de l entreprise Une mise en lumière des processus transverses de l entreprise et une amélioration de leur performance 6

Les facteurs clés de succès d une démarche PCA Le PCA est dorénavant un axe structurant de la politique de couverture des risques de l entreprise. Il constitue à ce titre une composante de la stratégie de l entreprise et n est donc pas une simple solution de back-up informatique, mais un véritable outil de gestion du risque opérationnel et des situations de crise. 1 Le PCA doit être un projet d entreprise à part entière > Implication de la Direction Générale > Mobilisation et sensibilisation de tous les collaborateurs 2 Les solutions de secours ne doivent plus être abordées uniquement sous un angle technique > > Priorisation des enjeux métiers de l entreprise Mise en place d une organisation relais et de moyens spécifiques 3 De nouveaux risques doivent être pris en compte > > Prévention des chocs «extrêmes» (pandémie, terrorisme ) Mise en place de dispositifs spécifiques s appuyant sur la polyvalence des ressources humaines, la communication et l analyse préalable des processus. 4 La stratégie de continuité doit s inscrire dans une politique globale de maîtrise des risques opérationnels > > Harmonisation des objectifs de reprise avec le risk management et respect des normes Groupe Mutualisation des référentiels de contrôle interne et mise en cohérence des plans d action L anticipation et l adaptation sont au cœur de la démarche. D une part, l entreprise doit favoriser l anticipation, ce qui évite la réflexion dans l urgence et permet de limiter les effets de chaîne incontrôlés. D autre part, l entreprise doit concevoir un dispositif souple et adaptable, aussi bien vis-à-vis des contraintes internes (réorganisation, nouvel applicatif métier...) qu externes (besoins clients, exigences des prestataires ). 7

Notre savoir-faire : une démarche éprouvée, séquencée et normée Equinox Consulting s appuie sur sa maîtrise du processus de création d un PCA, sa connaissance de l ensemble des solutions de secours envisageables et son expertise Métier pour vous aider à anticiper la survenance des risques opérationnels de grande envergure et réduire leurs impacts. La réussite d un projet PCA impliquant une construction méthodique et adaptée (en fonction du type d entreprise, de sa taille, de son secteur..), la démarche d Equinox se décompose en 4 étapes séquencées : Cadrage du projet Diagnostic 1 Analyse des impacts Métier et Expression du Besoin de Continuité évaluation 2 Définition et mise en place du dispositif organisationnel Documentation 3 Validation opérationnelle du PCA 4 Maintien opérationnel du PCA test mise à jour copil copil copil Développement d une Culture PCA : Sensibilisation et implication des collaborateurs 8

L étape 1 L étape 1 permet d identifier les processus vitaux de l entreprise et définir le besoin de continuité. Elle comporte 3 éléments : L analyse des impacts métier Evaluer les conséquences que peut avoir une interruption d activité sur la société et à partir de quand ces impacts (financiers, légaux..) deviennent intolérables et mettent en danger sa pérennité. L Expression des Besoins de Continuité Recenser les moyens nécessaires au redémarrage des activités «critiques» en cas d indisponibilité du site nominal, des installations informatiques et/ou du personnel. L analyse de risque Identifier les menaces sur l informatique, les locaux et les hommes (internes, externes, humaines...) et déduire le risque (périmètre, nature...) découlant des menaces identifiées (gravité, potentialité et durée prévisible) pour mettre en œuvre des mesures d atténuation. Le lancement d un projet PCA permet de décomposer les fonctions de l entreprise (stratégie, environnement, processus et collaborateurs clés) et définir des priorités en matière de reprise d activité. Analyse des impacts métier Le risque global est calculé à partir d une mesure des niveaux de criticité : du risque d image du risque financier du risque juridique et réglementaire 9

L étape 2 L étape 2 permet d élaborer la stratégie de continuité adéquate. Choix de la solution de secours interne ou externe Préparation du site de repli hébergeant les collaborateurs clés composant les services prioritaires Création de la documentation du plan de secours (communication, mise en œuvre, gestion, contrôle) Sensibilisation des collaborateurs aux enjeux et procédures du PCA Le volet «accompagnement du changement» est essentiel pour assurer la pérennité du projet et l instauration d une culture PCA. Développement d une communication de crise efficace et rapide Le plan doit s adapter aux contraintes de l entreprise et prévoir une ou plusieurs solutions de continuité complètes et réalisables. Structure de gouvernance du PCA Zoning 10

L étape 3 L étape 3 permet de tester le dispositif de continuité d activité mis en place. Contrôle de la fiabilité des travaux effectués par l équipe projet et/ou le prestataire du secours externe Mise en place d un PCA opérationnel répondant à l expression des besoins de continuité par activité et favorisant la «résilience organisationnelle» de l entreprise Maintien d un niveau de compétence suffisant des équipes de pilotage et évaluation de leur résistance au stress Entrainement des équipes opérationnelles pour une réactivité optimale en cas de crise Le plan doit être testé régulièrement (revue des procédures, jeu de rôles, test grandeur nature réel ou «à blanc» ), et ce à chaque introduction d une application / infrastructure informatique nouvelle ou réorganisation. Fiche de test 11

L étape 4 L étape 4 vise à assurer le maintien opérationnel du PCA. Définition des principes organisationnels de maintien opérationnel du PCA Création des procédures de mise à jour du plan et outils de reporting Maintenance effective du PCA et de ses composantes fondamentales (Plan de Sauvegarde Informatique, Plan de gestion de crise, Plan de reprise des moyens techniques de l entreprise et des activités Métier et Plan de Retour à la Normale) Mise en place d un processus d amélioration continue de «gestion de crise» - Industrialisation et pérennisation des process Le plan doit être revu et mis à jour régulièrement (au moins une fois par an) pour tenir compte de l évolution de la technologie et des objectifs de l entreprise. Extrait d une procédure type de mise à jour du PCA 12

et vous? Êtes-vous aujourd hui en mesure de prévenir et gérer les risques opérationnels de grande envergure? Si vous ne disposez pas de Plan de Continuité d Activité : Avez-vous évalué la criticité des activités de votre société (critique, vitale, stratégique, non sensible)? Avez-vous identifié les différents types d incidents susceptibles d interrompre vos activités, leur niveau de gravité et leur probabilité de survenance? Vos fonctions critiques sont-elles les plus à risque? Avez-vous analysé les impacts d une interruption d activité, sur les plans économique et financier, opérationnel, juridique, ainsi qu en terme d image? Si vous disposez d un Plan de Continuité d Activité ou d une solution intermédiaire (plan de reprise..), avez-vous mis en œuvre les solutions adéquates pour couvrir ces risques? Quelles solutions de prévention / secours avez-vous déployées pour protéger vos ressources clés (humaines, informatiques, )? plan de secours informatique et redondance des données site de secours pour les utilisateurs mesures de gestion du risque sanitaire accès à distance Avez-vous formalisé un plan d actions en cas de sinistre déclaré (scénarios de crise, procédure d évacuation, de crise )? Disposez-vous d un PCA mis à jour et testé régulièrement? 13

business case Création du PCA des filiales de la branche Gestion d Actifs d un Groupe bancaire et près de 400 milliards d euros d actifs gérés Objectifs de la mission : Mettre en place un dispositif global de gestion de crise documenté, opérationnel, validé et testé pour permettre à l entreprise de réagir efficacement à une crise majeure et se mettre en conformité avec les normes réglementaires internationales Organiser un test grandeur nature pour valider les solutions de continuité prévues par le PCA, en contrôler la cohérence et favoriser la préparation des collaborateurs amenés à intervenir en cas de crise Dimension Résultats obtenus Livrables Organisation Des activités vitales reprises en moins d une heure sur le site de secours Une équipe de coordination opérationnelle et disponible Un centre décisionnel formé et capable de gérer tout type de crise Un dispositif de secours qui se décline par site géographique, scenarii de crise à couvrir et problématiques métier à traiter Plus d une centaine de procédures opérationnelles, organisationnelles, et techniques rédigées et tenues à jour Dossier d analyse des impacts et d évaluation des risques Expression du Besoin de Continuité Procédures opérationnelles Procédures de crise et Plan de retour à la normale Procédures de mise à jour Technique Une surveillance IT permanente Un environnement de travail répliqué et immédiatement disponible Plus de 300 postes de travail opérationnels dont une centaine de positions dédiées Procédures techniques Humaine Une sensibilisation de tous les collaborateurs aux enjeux et procédures du PCA Plus de 500 collaborateurs mobilisés lors du test grandeur nature Supports de formation Logistique Un site de secours aménagé et prêt à accueillir les collaborateurs impliqués dans le PCA Plus de 1000 lignes téléphoniques transférées en moins d une heure Zoning Procédures d accueil et de gestion de la téléphonie Communication Des moyens de communication de crise diversifiés et performants Cartes Mémento Site web Serveur vocal interactif 14

de dimension internationale Plus de 2000 collaborateurs répartis dans 70 pays Dispositif de déclenchement du PCA et Outils associés Réunion de la Cellule de crise Activation des moyens de communication Supports PCA Communication interne et externe (Clients, Autorités, Partenaires) Comex Crise Activation du PCA activation du site de secours ou toute autre solution de secours Préparation du site de secours déploiement de la coordination PCA Supports PCA Support PCA et Prestataires internes/externes Mobilisation des Responsables PCA Par la Cellule de crise Coordination des Ressources Humaines Responsables Métier Mobilisation des équipes opérationnelles par les Responsables PCA Collaborateurs Métier Accès au site de secours et reprise immédiate des activités Procédure cellule de crise Moyens de communication internes et externes Procédures organisationnelles et techniques : support PCA Procédures opérationnelles Retour à la normale Reprise des activités sur le site nominal 15

Dédié aux établissements bancaires et financiers, Equinox Consulting a connu une croissance continue depuis sa création en janvier 2004. Equinox Consulting se positionne aujourd hui comme l un des cabinets de référence auprès des établissements bancaires et institutions financières. Dans la déclinaison de nos prestations de conseil, nous conservons une priorité absolue : comprendre le métier du client et la culture de l entreprise. Cette exigence nous conduit à rechercher et apporter les réponses les plus adaptées et les plus opérationnelles aux problématiques de nos clients. Stratégie Opérationnelle Plan stratégique / Projet d entreprise / Mode de gouvernance / Gestion des situations de crise / Étude d opportunité / Approche client / Plan de Continuité d Activité Organisation et processus Refonte du processus, filières / Externalisation, centralisation, partage / Étude des performances / Allocation des ressources / Cadrage et mise en œuvre (fusion, rapprochements) Gestion des projets Pilotage des fusions et rapprochements / Formalisation et suivi budgétaire / Évaluation des besoins / Lotissement des chantiers / Reporting et gestion des alertes / Formation métier Systèmes d information Aide au choix des solutions / Assistance à maîtrise d ouvrage / Mise en œuvre : cahier des charges, recettes utilisateur / Reporting et gestion des alertes / Formation aux outils Un cabinet de conseil en organisation et management Une force de plus de 150 consultants au service de vos projets des équipes métier dédiées à l ensemble des problématiques de la banque Anticiper, identifier, analyser les évolutions du marché afin de contribuer à la performance et à l excellence de nos clients principales références BNP PARIBAS INVESTMENT PARTNERS (BNPP AM, FundQuest, OAM, CNAM, Private Equity...), Axa, Ribank, Carlson Wagonlit Travel, Mondial Assistance, Santander contacts Olivier Baumard - associé Tél. : 01 53 43 06 43 obaumard@equinox-consulting.com Virginie Morel - consultante senior Tél. : 06 09 66 00 86 vmorel@equinox-consulting.com www.mybeautiful.fr 63 boulevard Haussmann, 75008 Paris standard : 01 53 43 06 43 télécopie : 01 53 43 06 40 www.equinox-consulting.com