Le bilan d’impact sur l’activité (BIA) mesure ce que coûte à une entreprise l’arrêt de chacun de ses processus métier. C’est la phase qui précède tout choix technique dans un PRA PCA : sans elle, le dimensionnement se fait au ressenti.
À retenir sur le BIA et le PCA
- Le BIA mesure une conséquence, pas une probabilité.
- Il part des processus métier, jamais de la cartographie applicative.
- Il produit deux seuils chiffrés : le RTO et le RPO.
- Trois niveaux de criticité suffisent à classer un parc applicatif.
- La norme ISO/TS 22317 en fixe le cadre méthodologique.
Ce que mesure un BIA
Un BIA ne cherche pas la probabilité d’un sinistre mais ses effets dans le temps : ce qui se produit si un processus s’arrête une heure, une journée, une semaine. Trois coûts se cumulent :
Lire également : Comment évaluer l'impact du risque client sur la stratégie de croissance de votre entreprise ?
- la perte directe (chiffre d’affaires non réalisé, production arrêtée),
- la perte différée (clients partis, pénalités contractuelles),
- et le coût de rattrapage (ressaisie, retard répercuté).
Ces coûts ne progressent pas linéairement : un processus absorbe quelques heures d’arrêt, puis franchit un seuil au-delà duquel les conséquences deviennent disproportionnées. C’est ce seuil qui détermine le dimensionnement de l’infrastructure de secours, chez Naitways comme chez tout hébergeur.
Partir des processus métier, pas des applications
Partir de la cartographie applicative revient à demander à la DSI de hiérarchiser ce qu’elle connaît déjà. Le BIA fonctionne dans l’autre sens : on part de ce que fait l’entreprise — encaisser, livrer, produire, payer les salaires — puis on remonte aux applications qui portent chaque activité. Cette remontée révèle ce qu’aucun schéma technique ne montre : un flux externe vers un client majeur sur un serveur non surveillé, un service d’authentification dont dépendent onze applications, un prestataire sans lequel la paie ne part pas. Ces dépendances sont les vraies causes d’échec d’une reprise.
A lire également : Coût d'une panne de site web : calculez l'impact financier réel
Du BIA aux seuils RTO et RPO
La durée d’interruption acceptable devient le RTO, le volume de données perdables le RPO. Un service de prise de commandes absorbe une demi-journée d’arrêt en décalant les livraisons : son RTO se situe autour de quatre heures. Mais la perte des commandes déjà saisies imposerait de rappeler chaque client : son RPO se compte en minutes. Les deux seuils sont indépendants, et leur combinaison détermine l’architecture retenue.
Questions fréquentes sur le BIA et PCA
Quelle différence entre BIA et analyse de risques ?
L’analyse de risques identifie les menaces et leur probabilité. Le BIA mesure l’impact d’une interruption, quelle qu’en soit la cause. Les deux sont complémentaires et alimentent le même plan.
Qui conduit un BIA ?
La DSI l’organise, les directions métier fournissent les données, la direction générale arbitre. Un BIA validé uniquement par la DSI n’a pas de valeur d’engagement.
À quelle fréquence le réviser ?
Une fois par an, et immédiatement après tout changement d’organisation, de périmètre ou d’application critique.
Sources
- ISO 22301:2019 — Sécurité et résilience, systèmes de management de la continuité d’activité (iso.org)
- ISO/TS 22317:2021 — Lignes directrices pour le bilan d’impact sur l’activité (iso.org)
- ANSSI — Crise d’origine cyber, les clés d’une gestion opérationnelle et stratégique (ssi.gouv.fr)
