Votre exemple de PCA, construit sur vos réponses
Cochez vos dépendances, vos risques et vos capacités : ce générateur assemble une trame de plan de continuité d’activité personnalisée, avec les fiches réflexes de vos scénarios, le tableau des écarts et vos numéros de crise. Gratuit, sans inscription : aperçu immédiat à l’écran, et le document complet vous est envoyé en version éditable (Word).
L’aperçu du générateur de PCA ne s’imprime pas. Pour obtenir le document complet au format éditable, saisissez votre e-mail professionnel sur itaia.fr/exemple-de-pca : la trame vous est envoyée immédiatement.
PCA, PRA : de quoi parle-t-on exactement
Un plan de continuité d’activité (PCA) organise la survie de l’activité pendant un incident grave : qui décide, quels sont les premiers gestes, comment on travaille en mode dégradé, qui l’on appelle. Le plan de reprise d’activité (PRA) en est le volet technique : restaurer, basculer, redémarrer dans le bon ordre. On les confond partout ; la distinction est pourtant simple. Le PCA répond à « comment continue-t-on de travailler pendant ? », le PRA à « comment l’informatique revient-elle après ? ».
| PCA (continuité) | PRA (reprise) | |
|---|---|---|
| Question | Comment l’activité continue pendant l’incident | Comment l’informatique redémarre après |
| Porté par | La direction et les équipes | Le prestataire ou le responsable informatique |
| Contenu type | Fiches réflexes, mode dégradé, communication, numéros de crise | Sauvegardes, ordre de restauration, bascule, RTO/RPO techniques |
| Se teste par | Un exercice sur table | Une restauration réelle, chronométrée |
Deux indicateurs relient les deux plans : le RTO (le temps d’arrêt que vous acceptez) et le RPO (les données que vous acceptez de perdre). Ce sont des décisions de direction, pas des réglages techniques : elles se prennent en connaissant le coût réel d’une heure d’arrêt, que notre calculateur chiffre en une minute. Et elles s’appuient sur une analyse de risques : si vous n’en avez jamais fait, le simulateur EBIOS RM en déroule une esquisse en dix minutes ; c’est l’étape d’avant le PCA.
Le fond du sujetLes sept scénarios qu’une PME doit savoir jouer
La trame générée contient une fiche réflexe par scénario coché. En voici la logique, scénario par scénario : si vous ne générez rien aujourd’hui, retenez au moins les premiers gestes.
Le rançongiciel
Le seul scénario où chaque minute compte. Si vos postes portent une détection à isolation automatique (un EDR managé), le confinement démarre sans vous : n’y touchez pas et appelez votre prestataire sécurité. Sans cette protection, débranchez du réseau les machines touchées ; et dans le doute, éteindre vaut mieux que laisser chiffrer. On n’appelle jamais au secours depuis la messagerie potentiellement compromise : le téléphone, et un canal de secours créé avant l’incident. Détail qui change tout : un attaquant moderne cherche vos sauvegardes avant de chiffrer, d’où l’exigence de copie immuable détaillée dans notre méthode de sauvegarde.
La panne d’un serveur
Deux questions qualifient l’incident en trente secondes : tout le monde est-il touché, et le courant comme internet fonctionnent-ils ? Ensuite, on appelle le support au lieu de manipuler la machine, et on bascule sur le mode dégradé prévu en notant l’heure : cette heure de début d’interruption servira à l’assureur comme au rapport d’incident.
Le sinistre du local
Les personnes d’abord, toujours : évacuation, secours, comptage, et personne ne retourne chercher un ordinateur. Puis l’assureur (le numéro et la police sont dans la trame) et le repli : télétravail immédiat quand il est possible à 100 %, lieu de secours sinon. C’est le scénario qui punit les sauvegardes stockées dans le même local que les serveurs.
La coupure électricité ou internet
La décision se prend sur la durée annoncée : en dessous de deux heures, les onduleurs servent à éteindre proprement, pas à travailler ; au-delà, on bascule sur le partage de connexion mobile pour les seules fonctions critiques, ou sur le télétravail. Le piège classique : la téléphonie IP tombe avec internet, et le renvoi vers les mobiles se prépare chez l’opérateur avant l’incident, pas pendant.
La défaillance d’un prestataire critique
Premier réflexe contre-intuitif : vérifier la page de statut officielle du service avant de chercher une panne chez soi. Ensuite, obtenir un engagement de délai, activer le mode dégradé métier, et journaliser l’indisponibilité heure par heure. Pour un régulé, ce journal alimente la qualification de l’incident et le registre des prestataires TIC.
L’absence massive
Épidémie, grève des transports, canicule : le plan tient en une liste écrite d’avance, celle des trois activités qui ne peuvent pas s’arrêter et de leurs binômes de suppléance. On bascule en distanciel ce qui peut l’être, on suspend explicitement le reste, et on informe les clients des délais plutôt que de les laisser deviner.
La personne clé indisponible
Le scénario qu’on n’ose pas écrire, et le plus fréquent de la liste. Le jour même : sécuriser les accès par la délégation prévue sur des comptes nominatifs (jamais de compte partagé improvisé), rassembler la documentation, activer le suppléant nommé dans la trame. Si ce paragraphe vous met mal à l’aise, notre page sur l’équipe d’un seul homme est faite pour vous.
La mécaniqueLe tableau des écarts : là où la trame devient la vôtre
Un modèle de PCA générique décrit l’entreprise de quelqu’un d’autre. Ce générateur fait une chose qu’un document statique ne peut pas faire : il confronte vos objectifs à vos moyens. Vous visez un redémarrage en 4 heures sans restauration testée ? La trame l’écrit noir sur blanc : « un RTO sans test est un vœu ». Vous cochez le scénario rançongiciel sans copie immuable ? « Vos sauvegardes seront la première cible. » Chaque écart est classé (couvert, écart, écart critique) et assorti de l’action qui le referme. C’est ce tableau, plus que les fiches, qui transforme un exemple de PCA en décision de direction.
Un PCA se teste, sinon il n’existe pas
Le régulateur du secteur le plus contraint de France a mesuré le problème : dans son enquête 2024 auprès de 224 organismes d’assurance, l’ACPR relève que 27 % ne testent pas leur plan de continuité annuellement, tout en précisant que le déclaratif lui paraît plus optimiste que ce que constatent ses contrôles sur place. Si le secteur assurance en est là, la PME non régulée fait rarement mieux. La trame générée inclut donc son propre protocole de test : un exercice sur table par an, un scénario tiré au sort, une heure, un animateur, un scribe qui note les blocages, une liste d’actions datées en sortie. La première fois est toujours inconfortable. C’est le but.
ConformitéPour les régulés : la continuité est une preuve exigible
Société de gestion, fonds, courtier : DORA fait de la continuité un exercice tracé, avec tests datés et rapports exigibles en contrôle. La trame générée avec la case « régulé » cochée intègre ces exigences : tests horodatés, place du PCA dans le dossier réglementaire, articulation avec le registre des prestataires TIC. Le dispositif complet que nous opérons pour nos clients régulés est décrit sur sauvegarde et reprise pour la finance régulée ; et pour situer le PCA dans l’ensemble des documents de sécurité, qui rédige quoi fait le tour. Le guide de fond, lui, reste notre page plan de continuité d’activité : construire, chiffrer et tester.
Questions fréquentesVos questions sur le PCA
Qu’est-ce qu’un plan de continuité d’activité (PCA) ?
Le document qui organise la survie de l’activité pendant un incident grave : qui décide, quels sont les premiers gestes pour chaque scénario, comment on travaille en mode dégradé et qui l’on appelle. Un PCA utile tient en quelques fiches réflexes connues des équipes, pas en un classeur de cent pages.
Quelle est la différence entre PCA et PRA ?
Le PCA (continuité) organise la poursuite de l’activité pendant l’incident, y compris en mode dégradé. Le PRA (reprise) organise la remise en route de l’informatique après l’incident : restauration, bascule, ordre de redémarrage. Le PRA est le volet technique du PCA, pas son synonyme.
Un PCA est-il obligatoire ?
Pour la plupart des PME, non : il est fortement recommandé, et de plus en plus exigé par les assureurs cyber et les grands donneurs d’ordre. Pour une entité financière régulée soumise à DORA, la réponse change : la continuité doit être organisée, testée et tracée, preuves datées à l’appui.
Que doit contenir un PCA ?
Les scénarios retenus, une fiche réflexe par scénario (qui décide, les premiers gestes, le canal de communication de secours, le critère de retour à la normale), les tolérances RTO et RPO, les numéros de crise et un plan de test. C’est exactement ce que la trame générée ici assemble à partir de vos réponses.
Comment tester un PCA ?
Par un exercice sur table annuel : un scénario tiré au sort, une heure, un animateur, un scribe qui note tout ce qui bloque, et une liste d’actions datées en sortie. Un PCA jamais exercé est une hypothèse ; l’ACPR relève d’ailleurs que 27 % des organismes d’assurance ne testent pas leur PCA annuellement (enquête 2024).
Qui doit rédiger le PCA ?
La direction porte les arbitrages (que doit-on maintenir, combien de temps peut-on attendre), le prestataire ou le responsable informatique garantit que les capacités déclarées sont réelles, et les équipes valident les fiches réflexes en les jouant. Un PCA écrit par une seule personne décrit rarement l’entreprise réelle.
Que valent les modèles de PCA gratuits ?
Un modèle générique décrit l’entreprise de quelqu’un d’autre : ses scénarios, ses tolérances, ses moyens. Cette trame est différente sur un point précis : elle se construit sur vos réponses (dépendances, capacités, tolérances) et confronte les deux dans un tableau des écarts. Elle reste un document de travail, à éprouver par un exercice.
À quelle fréquence mettre à jour un PCA ?
À chaque changement majeur (déménagement, migration, rachat, nouveau prestataire critique) et au minimum une fois par an, à l’occasion de l’exercice sur table. La date de dernière mise à jour et celle du dernier test figurent en tête du document : ce sont les deux premières choses qu’un auditeur regarde.
Vous écouter est dans notre nature
Une question, un projet en urgence ou à long terme : parlons-en, cela n’engage à rien.
Tarifs publics · réversible dès le premier jour