Une norme pour la gestion de crise ? C’est possible ?

Système de Management en Continuité d’Activité (SMCA)

Dans un précèdent article, je vous ai parlé des différents plans constituant le Plan de continuité d’Activité (PCA) pour qu’une organisation puisse gérer sa crise toute seule comme une grande.

Néanmoins un PCA peut vite devenir obsolète. En effet,

• le choix des activités et des applications prioritaires sont-elles les mêmes qu’autrefois?
• Les stratégies de communication de crise interne ou externe étaient probablement valables à l’époque, mais le sont-elles encore aujourd’hui ?
• Le Plan de Repli des Utilisateur (PRU) (choix du site de reprise ou encore choix du travail à distance, pour ne citer que quelques-unes des stratégies) correspond-t-il aux actuelles ressources humaines de l’organisation ?
• Les risques qui ont été identifiés sont-ils toujours d’actualité ?
• Le PCA a-t-il été correctement formalisé ?
• L’organisation sera-t-elle fournir ses produits ou services même lors d’un sinistre ?

Autant de questions qu’un client, fournisseur ou toutes parties intéressées peuvent se poser avant de s’engager auprès d’une organisation.

Mais alors, comment fait-on pour se prouver soi-même et aux partenaires qu’on est beau, résilient et trop dans la hype baby ?

Norme ISO 22301

Système de Management en Continuité d’Activité (SMCA)

Du calme ! Moi aussi j’ai réagi pareil quand j’ai vu le mot « norme » avec tout plein de chiffres bizarroïdes derrières le terme ISO. Mais ce n’est pas aussi enquiquinant que ça en a l’air.

Être certifié permet de se préparer à l’inattendu. C’est un rouage vivant autour du PCA pour mettre en œuvre, contrôler et surtout pour s’améliorer en Continuité d’Activité.

- Améliorer vous dites ?

- Et oui ! C’est un processus d’amélioration continue. Ce qui veut dire que la norme ne demande pas d’être parfait (comme peut croire l’imaginaire collectif). La norme SMCA demande simplement de reconnaitre ses défauts et d’y travailler.

« Je suis malade, je sais que je suis malade, mais je me soigne ».

- Mais alors, cela veut dire qu’on m’aime avec mes défauts !

- Alors Poupée ? Pas si terrifiante que cela la norme ISO. Elle est tolérante et s’adapte à chaque organisation.

Mais concrètement, comment ça fonctionne ?

Elle est basée sur le cycle de vie PDCA (Planifier — Déployer — Contrôler — Agir ; ou en anglais : Plan — Do — Check — Act) comme toute autre norme ISO de système de management.

C’est-à-dire qu’avec cette norme on :

• Planifie (Plan) : l’organisation implante le SMCA en définissant les rôles et responsabilités, en nommant un Responsable du Plan de Continuité d’Activité (RPCA), en impliquant la Direction ( très très très et très important !), en analysant les impacts et les risques à son encontre et en délimitant le périmètre du SMCA. D’ailleurs, il n’est pas obligatoire d’implanter le SMCA dans toute l’organisation. À titre d’exemple, un de mes précédents clients n’a souhaité qu’inclure certains services dans sa certification. Ce qui allège considérablement le travail 😉.
• Déploie (Do) : l’organisation déploie la stratégie en continuité d’activité (sa ligne directrice), gère efficacement la documentation, met en œuvre le PCA et la communication de crise. Pour que la Continuité d’Activité soit déployée dans la culture de l’organisation, la norme impose à cette dernière de mener des ateliers de sensibilisation pour que chaque collaborateur adopte des réflexes quotidiens en Continuité d’Activité. De plus, des tests et exercices de crise sont à organiser chaque année. Mais, je le répète, la norme SMCA s’adapte, les tests et exercices peuvent être le plus simple possible si le contexte de l’organisation s’y prête.
• Contrôle (Check) : le RPCA et les responsables métiers membres de la Cellule de Crise (Communication, Juridique, RH…) contrôlent, surveillent et mesurent continuellement l’efficacité des plans de crise, les analyses qui ont permis de les formaliser ainsi que les résultats des exercices lors des Revues de direction ou des audits interne. Un petit contrôle technique en somme !
• Agit (Act) : en fonction des résultats de l’étape précédente, l’organisation traite et rectifie les non conformités, puis planifie ( P ) de nouveau afin de déployer ( D ) les nouvelles décisions prises, pour les contrôler de nouveau ( C ) et ainsi va le cycle de vie PDCA tel un majestueux cercle vertueux !

La société est en mouvement perpétuel et les organisations doivent s’y adapter si elles ne veulent pas se retrouver sur le banc de touche. Idem pour la gestion de crise.

En somme être certifié ISO 22301 permet d’avoir un PCA efficace, à jour et au final gagner du temps et éviter du stress lors de situation de crise puisque la culture de la Continuité d’Activité est omniprésente dans l’organisation.

Mais au-delà d’avoir un beau PCA trop fashion qu’on peut afficher fièrement au-dessus de son bureau, la norme SMCA offre bien d’autres avantages pour une organisation. Ce sera l’objet de mon prochain article.