Comment choisir les risques à traiter en priorité dans un PRA ?
D’après Plan de reprise d’activité
Criticité
Pannes machines : 3 x 2 = 6 (orange)
Ransomware : 3 x 4 = 12 (rouge)
Panne de courant : 2 x 4 = 8 (orange/rouge)
Inondation : 2 x 3 = 6 (orange)
Grève : 2 x 3 = 6 (orange)
Rupture acier : 3 x 3 = 9 (rouge)
Finalement, on constate que le ransomware (12) et la rupture d’approvisionnement (9) sont des scénarios particulièrement critiques.
L’entreprise décide de mettre en place :
Un renforcement de la cybersécurité (sauvegardes isolées, formation anti phishing, monitoring)
Une diversification des fournisseurs pour l’acier (ou la constitution d’un stock de sécurité)
Pour l’électricité, un groupe électrogène de secours ou un contrat prioritaire avec le gestionnaire réseau, etc.
L’entreprise concentre donc d’abord ses ressources sur ces risques “rouges” pour se protéger efficacement.
Conclusion et bonnes pratiques de finalisation
Analyser les risques et menaces est un volet indispensable pour dimensionner correctement son PRA ou son PCA.
Sans une telle analyse, on risque de :
Se suréquiper pour des menaces peu probables,
Passer à côté d’une menace très critique,
Ne pas mettre en place les bonnes mesures de prévention ou de protection.
Les clés du succès :
Impliquer un groupe de travail multidisciplinaire (IT, métiers, direction, experts en sécurité).
Lister de façon systématique les menaces (techniques, physiques, humaines, environnementales, etc.).
Évaluer chaque menace en probabilité et impact, sur la base de données et de retours d’expérience.
Classer les scénarios selon leur criticité, en se dotant d’une matrice de risques ou d’une cartographie visuelle.
Valider les résultats avec la direction et mettre à jour régulièrement la liste pour tenir compte des évolutions de l’entreprise et de l’actualité.
Cette analyse des risques s’articule évidemment avec l’étude BIA, qui quantifie l’impact sur les processus métiers, afin de dégager les priorités et construire un dispositif de reprise qui soit réaliste, efficace et en phase avec les menaces réelles qui pèsent sur l’organisation.
Une entreprise consciente de ses risques et capable de les gérer est mieux préparée à faire face aux crises, à continuer ses activités essentielles et à protéger sa réputation et ses résultats financiers sur le long terme.