La gouvernance et l’orchestration d’un Plan de Reprise d’Activité (PRA) ne se résument pas à des indicateurs techniques. Le vrai défi, c’est d’aligner la DSI et les directions métier — avant que la crise ne le fasse à leur place. Les équipes de Sécurité Off le constatent très souvent : les PRA mis en place par des prestataires IT ou des solutions basées sur l’IA ne marchent que sur une jambe. Ils ne sont pas stables et efficaces, car ils ne reposent que sur le pilier technique, le plus « simple » et rapide à mettre en place. Le pilier humain est oublié (volontairement ?) parce qu’il est plus exigeant ! Une erreur qui coutera cher le jour où l’entreprise devra redémarrer ses activités…
Il est minuit passé. Le datacenter principal vient de tomber. L’équipe IT active le PRA avec une précision d’horloger : bascule réseau en 12 minutes, restauration des bases de données en 38 minutes, RTO (Recovery Time Objective) respecté à la lettre. Une performance technique indéniable. Sauf que personne n’a pensé à prévenir la direction financière, dont la clôture mensuelle devait démarrer à 6h du matin. Et que le système de comptabilité, pourtant « restauré », pointe vers un environnement de recette au lieu de la production. Bienvenue dans le parent pauvre du PRA : la dimension métier.
Des heures sur les RTO, zéro heure sur les priorités métier
La grande majorité des entreprises investissent massivement dans la partie technique de leur PRA. Les équipes IT passent des semaines à affiner les RTO, à tester les réplications, à valider les runbooks de bascule. C’est légitime : la technique est mesurable, testable, certifiable. Elle plaît aux auditeurs et rassure les COMEX.
Mais dans l’ombre de ces beaux tableaux de bord, une question fondamentale reste souvent sans réponse : dans quel ordre réactive-t-on les processus métier ? Peut-on vraiment demander au DAF si sa clôture mensuelle peut attendre 48 heures ? Est-ce que la direction commerciale peut fonctionner sans CRM pendant une journée, ou est-ce que cela compromet 200 000 euros de commandes en cours ? Est-ce que la chaîne logistique peut absorber un arrêt de 4 heures sans pénalités contractuelles ?
Ces questions ne trouvent pas leur réponse dans une architecture technique ou un tableau à remplir avec de l’IA, aussi robuste soit-elle. Elles nécessitent un dialogue structuré entre la DSI (ou des prestataires spécialisés en PCA-PRA comme Securite Off) et les directions métier — un dialogue que beaucoup d’organisations n’ont tout simplement jamais eu.
L’orchestration : l’art de coordonner l’humain autant que les systèmes
L’orchestration d’un PRA, c’est d’abord une question de gouvernance. Qui décide de déclencher le plan ? Qui valide les priorités de reprise ? Qui communique vers les clients, les partenaires, les régulateurs ? Dans la plupart des PRA observés sur le terrain, ces rôles sont soit absents, soit flous, soit théoriques — c’est-à-dire qu’ils n’ont jamais été testés avec les vraies personnes concernées.
Un PRA sans cellule de crise clairement définie, c’est une partition sans chef d’orchestre. Les musiciens jouent chacun de leur côté, avec talent parfois, mais sans cohérence d’ensemble. La technique redémarre les serveurs ; personne ne sait si les utilisateurs doivent se connecter, attendre, ou utiliser un mode dégradé. La communication interne est inexistante. Les clients appellent en masse. Le support improvise.
La bonne pratique consiste à cartographier les processus métier critiques avant d’architecturer la solution technique. Cette analyse d’impact métier (BIA, Business Impact Analysis) doit être menée avec les directions opérationnelles, et non pour elles par la DSI seule. Chaque processus doit être associé à un RTO métier — différent, souvent plus contraignant, du RTO technique. Une application peut redémarrer en 2 heures ; si les équipes ne peuvent pas travailler avant 4 heures faute de formation sur le mode dégradé, le RTO réel est de 4 heures.
Tester avec les métiers, ou ne pas tester du tout
Les exercices de PRA sont trop souvent des affaires de DSI entre DSI. On teste les runbooks, on chronométre les bascules, on documente les écarts. Les directions métier sont invitées à signer un procès-verbal qu’elles n’ont pas vraiment participé à construire.
Or un test de PRA sans les métiers est fondamentalement incomplet. Il valide la capacité technique à restaurer des systèmes, pas la capacité organisationnelle à reprendre l’activité. La nuance est énorme. Un exercice annuel impliquant le DAF, la DRH, la direction commerciale — même sur un périmètre limité — apporte infiniment plus de valeur que dix tests techniques menés en vase clos.
Vers une gouvernance PRA à deux vitesses
La maturité en matière de PRA se mesure à la qualité du dialogue entre la technique et le métier. Les organisations les plus résilientes ont mis en place une gouvernance à deux niveaux : un comité technique qui gère la performance des systèmes de reprise, et un comité de pilotage métier qui valide les priorités, arbitre les conflits de ressources et décide des compromis acceptables en situation de crise.
Ce double niveau de gouvernance force les conversations difficiles en amont — plutôt que de les découvrir, dans la douleur, à 3h du matin quand le datacenter est en flammes et que le DAF apprend que sa clôture devra attendre.
La résilience, ce n’est pas seulement savoir redémarrer des serveurs. C’est savoir redémarrer une entreprise. N’oubliez pas ce conseil de Securite Off si vous êtes concerné, directement ou indirectement par NIS2.
Vos métiers vous remercieront !