· Reprendre en mode dégradé dans les brefs délais?

· Le PCI n’est pas suffisant

ATTENTATS du 11 septembre où 30% à peu près des sociétés qui exercent dans les tours jumelles ont déposé bilan, AZF et Crédit Lyonnais en France, SRAS… Les dernières années ont mis en exergue une multiplicité des risques qu’on n’a pas imaginé ou que la survenance était considérée comme hautement improbable. Certains établissements ont déclaré faillite directement après. D’autres, plus intelligents et mieux préparés ont pu reprendre leurs processus les plus critiques dans les conditions les plus acceptables et dans des délais extrêmement courts (Crédit Lyonnais dont la salle des marchés est partie en fumée…). Au Maroc, la majorité des établissements concentre leur attention sur le plan de continuité informatique (PCI) qui ne constitue qu’une partie, certes importante, du PCA mais pas suffisante. Là encore, les filiales des banques françaises déclarent avoir des sites de back-up distants plus ou moins prêts à reprendre surtout les activités de marché en mode dégradé.
Conscient de la survenance de ces risques exogènes à faible probabilité mais à impact potentiellement très élevés, le comité de Bâle a fait du plan de continuité d’activité un des piliers des bonnes pratiques en matière de gestion des risques opérationnels.
La méthodologie générale se base sur trois étapes principales:
- L’analyse de risques et de besoins en continuité. Cette étape consiste d’abord à déterminer les scénarios de crise susceptibles de se produire au niveau de l’établissement (sinistre de bâtiment, panne électrique, rupture télécoms…). Ensuite, identifier les processus ou les métiers de la banque les plus critiques et à définir pour chaque processus le délai maximum d’interruption d’activité autorisé. Enfin, les besoins de continuité concernant ces processus doivent être définis: nombre de personnes et profils de compétences pour assurer le fonctionnement en mode dégradé de l’activité, moyens informatiques et télécoms nécessaires, espaces de travail physique (bureau, ordinateurs…). Sur ces bases, une stratégie de continuité devra être définie par la direction générale. Cette stratégie pourra consister, soit à gérer le PCA en interne, soit à l’externaliser auprès des prestataires spécialisés qui mutualisent des moyens de secours. IBM, Sun Gard, étant les principaux acteurs du marché de la continuité dans le monde. IBM dispose par exemple de plusieurs centres de secours dans la région parisienne.
- La deuxième étape consiste à mettre en place des moyens techniques et à documenter les procédures de crise, le personnel devra être aussi sensibilisé à la problématique.
- La troisième étape consistera à tester régulièrement le dispositif pour s’assurer de son efficacité. Les meilleures pratiques font état d’un à deux tests par an.

--------------------------------------------------------------------------------

Les stratégies de reprise d’activité

LA reprise d’activité s’appuie sur des solutions techniques utilisées en fonction des besoins et du budget de l’organisation. Parmi les stratégies qui utilisent des sites de remplacement, on peut citer:
- Salle blanche: une salle machine protégée par des procédures d’accès particulières, généralement secourue électriquement.
- Site chaud : site de secours où l’ensemble des serveurs et autres systèmes sont allumés, à jour, interconnectés, alimentés à partir des données sauvegardées et prêt à fonctionner. Le site doit aussi fournir l’ensemble des infrastructures pour accueillir l’ensemble du personnel à tout moment et permet une reprise d’activité dans des délais relativement courts (quelques heures).
- Site froid: site de secours qui peut avoir une autre utilisation en temps normal. Les serveurs et autres systèmes sont stockés mais non installés. Lors d’un désastre, un important travail doit être effectué pour mettre en service le site, ce qui conduit à des temps de reprise longs (quelques jours).
- Site tiède: site de secours intermédiaire. En général on trouve des machines installées (mise à jour décalée par rapport au site de production) avec les données sur bande mais non importées dans les systèmes de données.
Plus les temps de rétablissements garantis sont courts, plus la stratégie est coûteuse. Il faut donc choisir la stratégie qui offre le meilleur équilibre entre le coût et la rapidité de reprise.

Saïd MABROUK
Source: Leconomiste