Ce qui arrête une PME n''est presque jamais spectaculaire
Un serveur chiffré par un rançongiciel. Un dirigeant hospitalisé trois semaines. Un fournisseur unique qui dépose le bilan. Un dégât des eaux dans le local de stockage. Aucun de ces événements n''est rare, et chacun peut stopper une PME plusieurs semaines.
Le plan de continuité d''activité (PCA) n''est pas un document de grand groupe. C''est une réponse pragmatique à une question simple : demain matin, si ceci tombe, qu''est-ce qu''on fait ? En PME, il tient en dix à quinze pages et se construit en une journée. C''est la suite logique de la cartographie des risques : la carte identifie, le PCA organise la réponse.
Étape 1 — L''analyse d''impact (2 heures)
Listez vos activités et posez pour chacune deux chiffres :
- DMIA — durée maximale d''interruption admissible. Combien de temps cette activité peut-elle s''arrêter avant que les conséquences deviennent irréversibles (client perdu, pénalité, arrêt de production) ?
- PDMA — perte de données maximale admissible. Combien d''heures de données pouvez-vous vous permettre de perdre ?
| Activité | DMIA | PDMA |
|---|---|---|
| Prise de commande / facturation | 24 h | 4 h |
| Production / chantiers | 3 jours | — |
| Paie | 5 jours | 24 h |
| Comptabilité générale | 15 jours | 24 h |
Ce tableau seul vaut la moitié du PCA : il vous dit où mettre l''argent. Une sauvegarde toutes les 24 heures est incompatible avec un PDMA de 4 heures — vous venez d''identifier un investissement à faire.
Étape 2 — Les scénarios (2 heures)
Quatre suffisent pour couvrir l''essentiel :
Indisponibilité du système d''information. Rançongiciel, panne serveur, perte d''accès au logiciel métier. C''est aujourd''hui le scénario numéro un en PME, et le plus sous-estimé.
Sinistre sur le site principal. Incendie, inondation, sinistre chez le voisin qui rend le bâtiment inaccessible.
Absence prolongée d''une personne clé. Le dirigeant, mais aussi le seul conducteur de travaux, la seule personne qui sait paramétrer la machine, la seule qui connaît les mots de passe. Ce risque de dépendance humaine est le jumeau de la dépendance client, et il est aussi dangereux.
Défaillance d''un fournisseur critique. Fournisseur unique, pièce spécifique, prestataire informatique.
Étape 3 — Les solutions de repli (2 heures)
Pour chaque scénario, trois questions et rien d''autre :
- Qui décide de déclencher le plan ? Nommez une personne et un suppléant. Un PCA sans déclencheur identifié ne se déclenche jamais.
- Comment on fonctionne en mode dégradé ? Souvent très simple : bons de commande papier, téléphone personnel, atelier de secours chez un confrère, télétravail généralisé, machine de remplacement en location.
- Comment on revient à la normale ? Restauration des données, reprise du retard, information des clients.
Quelques mesures concrètes qui couvrent beaucoup :
- Sauvegarde hors ligne et hors site, testée en restauration réelle au moins une fois par an. Une sauvegarde jamais restaurée n''est pas une sauvegarde.
- Authentification à deux facteurs sur la messagerie et les accès bancaires.
- Coffre-fort numérique des accès critiques, accessible par deux personnes.
- Un accord informel de secours mutuel avec un confrère de votre secteur.
- Une procuration bancaire et une délégation de signature à jour. C''est la mesure la moins coûteuse et celle qui manque le plus souvent : sans elle, l''hospitalisation du dirigeant bloque les paiements.
Étape 4 — La fiche réflexe (1 heure)
Le PCA complet reste dans un classeur. Ce qui sert vraiment, c''est une page par scénario, imprimée et affichée, plus une copie hors des locaux :
- Les 5 premières actions, dans l''ordre.
- Les numéros : assureur, prestataire informatique, banque, expert-comptable, principaux clients.
- Le message type à envoyer aux clients et aux salariés.
Testez-la une fois par an sur un scénario, en une heure, autour d''une table. Cet exercice révèle systématiquement deux ou trois trous — c''est son seul objectif.
L''articulation avec l''assurance
Relisez votre contrat perte d''exploitation avec votre analyse d''impact en main. Deux points à vérifier : la période d''indemnisation (12 mois est souvent insuffisant quand la reconstruction prend plus longtemps) et la franchise en jours, qui doit rester compatible avec votre trésorerie. Un PCA documenté améliore souvent les conditions de couverture, et il est de plus en plus demandé dans les appels d''offres des grands donneurs d''ordre.
Le vrai bénéfice
Ce n''est pas le classeur. C''est la journée passée à se poser les questions. La plupart des dirigeants qui font l''exercice découvrent en chemin trois vulnérabilités simples à corriger dans la semaine — une sauvegarde qui ne tournait plus, un fournisseur unique jamais remis en question, une procuration bancaire qui n''existait pas. Le plan de continuité, c''est d''abord ça.