Que faut-il savoir sur « Contexte et enjeux » — Définition du périmètre et analyse de risques › Analyser les risques et menaces ?

Dans la démarche globale d’élaboration d’un Plan de Reprise d’Activité (PRA) ou d’un Plan de Continuité d’Activité (PCA), on cherche à protéger l’entreprise contre les interruptions majeures susceptibles de mettre en péril sa pérennité, ses finances, son image ou encore sa conformité réglementaire.

Pour ce faire, il est indispensable de disposer d’une vision claire des différents types de risques qui pourraient provoquer :

Un arrêt total ou partiel des opérations,

Une indisponibilité de systèmes informatiques,

Une mise en danger de la sécurité physique des locaux,

Une rupture dans la chaîne logistique ou la fourniture de services.

L’analyse des risques et menaces consiste à déterminer les scénarios dans lesquels un sinistre se produirait (panne, cyberattaque, incendie, etc.), puis à estimer pour chacun la probabilité de survenue et l’impact potentiel sur l’entreprise.

Cette étape nourrit plusieurs objectifs :

Hiérarchiser les scénarios de sinistre par ordre de priorité, afin de ne pas tout traiter au même niveau.

Dimensionner les politiques de gestion et de prévention (sécurité informatique, dispositifs anti-incendie, redondances, etc.) en fonction de la criticité.

Préparer les procédures de reprise pour les situations les plus probables et/ou les plus dangereuses.

Sensibiliser les équipes dirigeantes et opérationnelles à la réalité des menaces et à la nécessité de mesures adaptées.

La réalisation d’une telle analyse peut relever de différentes méthodologies de gestion des risques, parmi lesquelles on peut citer l’approche ISO 31000, l’EBIOS (pour la sécurité informatique, en France), ou encore des standards propres à certains secteurs (ex. : NIST pour la cybersécurité aux États-Unis).

L’important est d’avoir une démarche structurée pour :

Recenser les menaces,

Les décrire,

Les évaluer (probabilité, impact),

Les cartographier pour en extraire une priorisation.