ISO 22301 est souvent citée, rarement lue. Pour un dirigeant de PME ou un responsable continuité, l’enjeu n’est pas de connaître la norme par cœur, mais de comprendre ce qu’elle demande d’organiser et comment cela se traduit dans le quotidien d’une entreprise.
Cet article est une synthèse pédagogique. Il ne reproduit pas la norme et ne constitue pas une liste de contrôle de certification. Cette synthèse s’appuie sur les présentations officielles et les éléments publiquement accessibles. Les exemples et questions proposés sont des pistes pratiques, pas une interprétation exhaustive des exigences. L’entreprise utilisée comme fil rouge, « Atelier Dumont », 60 salariés, fabricant de pièces mécaniques, est entièrement fictive.
Quelle version, et quelle norme pour quoi ?
Ce que publie l’ISO (sources en fin d’article) :
- L’édition en vigueur est ISO 22301:2019, deuxième édition, publiée en octobre 2019. Elle fixe des exigences pour mettre en place, maintenir et améliorer un système de management de la continuité d’activité (SMCA).
- Un amendement, ISO 22301:2019/Amd 1:2024, publié en février 2024, ajoute des dispositions liées au climat : l’organisation doit déterminer si le changement climatique est un enjeu pertinent pour elle.
- Au jour de notre consultation, le site de l’ISO indique que la norme est « à réviser ». Une nouvelle édition est donc en préparation : vérifiez la version applicable avant tout projet de certification.
- ISO 22361:2022 est une autre norme. Elle donne des lignes directrices sur la gestion de crise : capacité de gestion de crise, leadership, prise de décision, communication, entraînement et apprentissage. Ce sont des recommandations, pas des exigences certifiables comme celles d’ISO 22301.
En résumé : ISO 22301 organise la continuité de vos activités dans la durée ; ISO 22361 éclaire la conduite stratégique d’une crise. Les deux se complètent sans se confondre.
Les dix domaines à comprendre
ISO 22301 suit la structure commune aux normes de systèmes de management : contexte (chapitre 4), leadership (5), planification (6), support (7), fonctionnement (8), évaluation des performances (9) et amélioration (10). Le chapitre 8 contient le cœur métier de la continuité.
Les dix domaines ci-dessous constituent notre regroupement pédagogique des principaux thèmes de la norme, et non son découpage officiel : le chapitre 8, notamment, y est réparti en plusieurs thèmes. Les intitulés cités entre guillemets proviennent du sommaire de la norme.
1. Contexte et périmètre (chapitre 4)
Objectif : comprendre son environnement, ses parties intéressées et décider ce que couvre le dispositif.
Exemple fictif : Atelier Dumont inclut son site de production et sa logistique, mais exclut pour l’instant son bureau commercial à l’étranger, en le justifiant.
Question utile : savez-vous expliquer, en une phrase, ce qui est dans le périmètre et pourquoi ?
2. Leadership et engagement de la direction (chapitre 5)
Objectif : la continuité est portée par la direction, avec une politique et des rôles attribués.
Exemple fictif : le dirigeant signe une politique d’une page et nomme une responsable continuité et son suppléant.
Question utile : qui, nommément, décide d’activer vos plans un dimanche soir ?
3. Planification et objectifs (chapitre 6)
Objectif : fixer des objectifs de continuité mesurables et planifier les moyens de les atteindre.
Exemple fictif : reprendre les expéditions vers les trois clients principaux sous 48 heures après un sinistre.
Question utile : vos objectifs sont-ils chiffrés, datés et suivis ?
4. Ressources, compétences, sensibilisation et documentation (chapitre 7)
Objectif : donner les moyens, former les personnes concernées et tenir à jour l’information utile.
Exemple fictif : les chefs d’équipe suivent une sensibilisation annuelle ; les plans existent aussi en version papier.
Question utile : vos plans restent-ils accessibles si votre informatique tombe ?
5. Analyse d’impact et appréciation du risque (chapitre 8)
Dans la norme : une partie intitulée « analyse d’impact sur l’activité et appréciation du risque ».
Objectif : identifier les activités prioritaires, le délai au-delà duquel leur arrêt devient inacceptable, et les risques qui les menacent.
Exemple fictif : l’usinage et la facturation ressortent comme prioritaires ; la panne prolongée du serveur de production est le risque principal.
Question utile : vos priorités de reprise ont-elles été validées par la direction ?
6. Stratégies et solutions de continuité (chapitre 8)
Dans la norme : une partie consacrée aux stratégies et solutions de continuité.
Objectif : choisir comment maintenir ou reprendre chaque activité prioritaire.
Exemple fictif : accord avec un sous-traitant voisin pour usiner en cas d’arrêt, stock de sécurité sur deux références critiques.
Question utile : vos solutions ont-elles un coût et un responsable identifiés ?
7. Réponse, communication, plans et procédures (chapitre 8)
Dans la norme : une partie consacrée aux plans et procédures de continuité.
Objectif : savoir qui fait quoi, comment on communique et comment on revient à la normale.
Exemple fictif : une structure de réponse à trois rôles, un annuaire de crise imprimé, une procédure de retour au fonctionnement normal.
Question utile : un nouveau salarié saurait-il trouver la bonne procédure en dix minutes ?
8. Exercices et évaluation des capacités (chapitre 8)
Dans la norme : un « programme d’exercices » et une « évaluation de la documentation et des capacités » de continuité.
Objectif : évaluer les capacités de réponse dans les conditions testées et identifier les améliorations nécessaires.
Exemple fictif : un exercice sur table par semestre, un test de bascule informatique par an. Les fréquences de cet exemple, comme celle de l’audit du domaine suivant, ne constituent pas une périodicité universelle imposée par la norme.
Question utile : quand vos plans ont-ils été confrontés à une situation simulée pour la dernière fois ?
9. Performances, audit interne et revue de direction (chapitre 9)
Objectif : mesurer l’efficacité du dispositif, l’auditer et en rendre compte à la direction.
Exemple fictif : un audit interne annuel et une revue de direction qui arbitre les investissements.
Question utile : la direction a-t-elle examiné les résultats du dispositif cette année ?
10. Actions correctives et amélioration continue (chapitre 10)
Objectif : traiter les écarts constatés et faire progresser le dispositif.
Exemple fictif : après analyse, chaque amélioration retenue reçoit un porteur et une échéance, puis son efficacité est vérifiée.
Question utile : combien d’actions issues du dernier exercice sont réellement clôturées ?
Les exercices : le moment de vérité
Les exercices relient tous les domaines : ils éprouvent les priorités, les solutions, les plans et les personnes. Ce qui suit relève de notre conseil pratique, pas du texte de la norme.
Ce qu’un exercice permet d’évaluer :
- la compréhension des rôles et des circuits de décision ;
- la circulation de l’information et le délai de réaction ;
- l’applicabilité réelle des procédures et des solutions de repli ;
- la coordination avec les partenaires et fournisseurs.
Les observations à conserver :
- un déroulé horodaté des événements, décisions et échanges ;
- les écarts entre ce que prévoit le plan et ce qui s’est passé ;
- les réussites, pour les consolider ;
- les difficultés, formulées sans désigner de coupable.
Pour exploiter les enseignements, analysez les constats, priorisez les améliorations et attribuez aux actions retenues un responsable et une échéance. Vérifiez ensuite leur efficacité.
Point important : un exercice, même réussi, ne vaut pas certification. La certification ISO 22301 repose sur l’audit de l’ensemble du système de management par un organisme de certification. Aucun outil ni aucun exercice ne la garantit à lui seul.
Checklist de premiers pas
- Définir et écrire le périmètre de votre dispositif.
- Obtenir un engagement écrit de la direction et nommer un responsable.
- Lister vos activités prioritaires et leur délai d’interruption acceptable.
- Identifier une solution de continuité pour chacune.
- Rédiger un premier plan court, disponible hors informatique.
- Organiser un premier exercice sur table et en conserver les observations.
- Planifier une revue de direction pour décider des actions.
- Vérifier la version applicable de la norme avant tout projet de certification.
Comment Exerce-Ease peut soutenir l’entraînement
Exerce-Ease accompagne la préparation des organisations, l’entraînement et l’exploitation des enseignements. Ces prestations ne constituent pas une certification ISO 22301.
Pour les PME de 10 à 200 salariés, un diagnostic de résilience permet d’identifier risques, dépendances et actions prioritaires avant tout investissement logiciel.
La plateforme Exerce-Ease permet de concevoir un scénario, de construire un chronogramme diffusé par emails, SMS, appels et contenus médias, d’animer l’exercice en présentiel ou à distance, d’observer les décisions et la circulation de l’information, puis de préparer le retour d’expérience et un plan d’amélioration.
Exerce-Ease Studio s’adresse aux animateurs : préparation des injects et des réactions attendues, attribution des rôles, pilotage du rythme avec ajout d’injects à chaud, prise de notes d’observation, puis rapports retrouvant chronogramme, participants, injects et échanges, exportables au format JSON. Ces traces alimentent directement les observations à conserver décrites plus haut.
Action utile cette semaine : posez à votre comité de direction la question du domaine 2. Si la réponse hésite, c’est par là qu’il faut commencer.
Pour voir comment préparer et animer un exercice adapté à votre contexte : https://www.exerce-ease.com/contact.php