PCA, PRA : de quoi parle-t-on ?
| Plan | Question à laquelle il répond | Exemple |
|---|---|---|
| Plan de continuité d’activité (PCA) | Comment continuer à fonctionner pendant la crise ? | Prendre les commandes par téléphone et sur papier quand le logiciel est indisponible |
| Plan de reprise d’activité (PRA) | Comment rétablir les systèmes après l’incident ? | Restaurer les serveurs à partir des sauvegardes en moins de 48 heures |
| Plan de gestion de crise | Qui décide et qui communique ? | Cellule de crise, liste d’appels, messages aux clients |
Le PRA est souvent informatique ; le PCA est un sujet de direction générale. Pour une PME, rien n’empêche de réunir les trois dans un seul document, à condition qu’il reste court et à jour.
Étape 1 et 2 : identifier les activités critiques et l’impact d’un arrêt
Listez les activités de l’entreprise et, pour chacune, demandez-vous ce qui se passe si elle s’arrête une heure, une journée, une semaine. C’est l’analyse d’impact : elle hiérarchise ce qu’il faut protéger en premier.
- Impact client : retards, pénalités contractuelles, perte de clients.
- Impact financier : chiffre d’affaires perdu, encaissements bloqués, coûts de remise en route.
- Impact réglementaire : obligations déclaratives, sécurité, données personnelles.
- Impact sur l’image : clients et partenaires informés trop tard, ou mal.
Pour chaque activité critique, fixez la durée maximale d’interruption admissible (combien de temps l’entreprise peut tenir sans elle) et la perte de données maximale admissible (combien d’heures de saisie on accepte de perdre). Ces deux chiffres dictent le niveau de protection à mettre en place.
Étape 3 : les scénarios à couvrir en priorité
| Scénario | Ce qu’il bloque | Mesures de continuité typiques |
|---|---|---|
| Cyberattaque (rançongiciel) | Informatique, facturation, messagerie | Sauvegardes hors ligne testées, procédures papier, contact d’un prestataire de réponse à incident |
| Défaillance d’un fournisseur clé | Approvisionnement, production | Second fournisseur qualifié, stock de sécurité, clauses contractuelles |
| Incendie, dégât des eaux | Locaux, stocks, matériel | Site de repli ou travail à distance, inventaire assuré, sauvegardes externalisées |
| Absence prolongée du dirigeant | Décisions, signatures, relations clés | Délégations écrites, suppléant désigné, accès bancaires partagés |
| Départ d’une compétence rare | Savoir-faire, maintenance, relation client | Documentation, binômes, formation croisée |
| Panne d’un logiciel ou d’un prestataire en ligne | Ventes, paie, comptabilité | Exports réguliers, procédure dégradée, contacts du support |
Ne cherchez pas l’exhaustivité. Partez de votre cartographie des risques et traitez d’abord les scénarios à la fois probables et graves.
Étape 4 et 5 : solutions de repli et organisation de crise
- Pour chaque activité critique, décrivez la façon de fonctionner en mode dégradé : qui fait quoi, avec quels moyens, pendant combien de temps.
- Désignez une cellule de crise : le dirigeant ou son suppléant, un responsable des opérations, un responsable informatique (interne ou prestataire), un responsable de la communication.
- Préparez la liste d’appels : équipe, clients principaux, fournisseurs critiques, banque, assureur, prestataire informatique. Gardez-en une copie hors du système informatique.
- Rédigez les messages types pour les clients et les partenaires : on communique mieux quand le texte est prêt.
- Vérifiez la trésorerie de crise : combien de semaines l’entreprise tient-elle avec des encaissements réduits ? Le plan de trésorerie à 13 semaines donne la réponse.
Les accès. Qui peut se connecter à la banque, signer un virement, administrer la messagerie ou le site si le dirigeant est injoignable ? Une délégation écrite et des accès partagés de façon sécurisée évitent qu’une absence bloque toute l’entreprise.
Modèle de PCA en une page
| Activité critique | Interruption tolérable | Mode dégradé | Responsable | Ressources de repli |
|---|---|---|---|---|
| Prise de commandes | 1 jour | Commandes par téléphone et e-mail personnel, saisie différée | Responsable commercial | Liste clients exportée chaque semaine |
| Production et expédition | 3 jours | Priorisation des 20 clients principaux, sous-traitance ponctuelle | Responsable des opérations | Sous-traitant identifié, stock de sécurité |
| Facturation et encaissements | 1 semaine | Factures émises depuis un modèle hors ligne | Responsable administratif | Modèle de facture, coordonnées bancaires |
| Paie | Jusqu’à la date de paie | Reconduction de la paie du mois précédent avec régularisation | Responsable administratif | Export de la dernière paie, contact du cabinet |
| Décisions et signatures | 48 heures | Suppléant désigné avec délégation | Dirigeant | Délégation écrite, accès bancaires du suppléant |
Cet exemple concerne une PME fictive de fabrication et de distribution. Adaptez les activités, les durées et les ressources à votre situation.
Tableau de bord, objectifs budget / réel, trésorerie, risques et rapports mensuels, avec un conseiller IA. Essai gratuit 14 jours, sans carte bancaire.
Étape 6 : tester et faire vivre le plan
Un PCA jamais testé ne fonctionne pas le jour venu. Les tests n’ont pas besoin d’être lourds : une simulation d’une heure autour d’une table révèle déjà la plupart des failles.
- Une fois par an, un exercice sur table : « le serveur est chiffré lundi à 8 heures, que fait-on ? ».
- Chaque trimestre, un test de restauration d’une sauvegarde.
- À chaque changement important (nouveau logiciel, départ d’un responsable, nouveau fournisseur), une mise à jour du plan.
- Au [comité de direction](/guides/preparer-comite-de-direction), un point sur l’avancement des actions issues des tests.
Questions fréquentes
Un PCA est-il obligatoire pour une PME ?
Pas de façon générale. Il peut être exigé par certains clients, donneurs d’ordre, assureurs ou par la réglementation de secteurs particuliers. Même sans obligation, c’est l’un des meilleurs investissements de prévention pour une petite structure.
Quelle différence entre PCA et PRA ?
Le PCA organise la poursuite de l’activité pendant la crise, souvent en mode dégradé. Le PRA organise le rétablissement des systèmes, en particulier informatiques, après l’incident. Le premier est un sujet de direction, le second plutôt technique.
Combien de temps faut-il pour rédiger un PCA ?
Pour une PME, quelques ateliers de deux heures avec l’équipe de direction suffisent à produire une première version utile. L’essentiel est ensuite de la tester et de la mettre à jour.
Par quel scénario commencer ?
Par la cyberattaque et l’absence du dirigeant : ce sont deux scénarios qui peuvent paralyser n’importe quelle PME, quel que soit son secteur. Ajoutez ensuite ceux propres à votre activité, comme la dépendance à un fournisseur.
Que doit contenir une liste d’appels de crise ?
Les coordonnées des membres de la cellule de crise, des clients et fournisseurs critiques, de la banque, de l’assureur et du prestataire informatique, avec une copie accessible hors du système informatique de l’entreprise.
Tableau de bord, objectifs budget / réel, trésorerie, risques et rapports mensuels, avec un conseiller IA. Essai gratuit 14 jours, sans carte bancaire.