PCA ou PRA : quelle différence et par où commencer pour assurer la continuité d’activité

Le PRA (plan de reprise d’activité) sert à redémarrer l’informatique après un arrêt ; le PCA (plan de continuité d’activité) sert à continuer à servir vos clients pendant cet arrêt. Le premier est technique : sauvegardes, restauration, ordre de remise en route. Le second est une affaire d’organisation : qui décide, comment on prend les commandes quand l’ERP est muet, comment les appels arrivent quand le standard est coupé, que dit-on aux clients. Une PME n’a pas besoin d’un classeur de deux cents pages pour avoir un PCA utile. Elle a besoin de savoir quels processus la font vivre, combien de temps ils peuvent s’arrêter, et ce que chacun fait en attendant.

Nous avons déjà détaillé le volet technique dans notre guide du plan de reprise d’activité pour une PME. Cet article traite de l’étape précédente et plus large : organiser la continuité de l’entreprise, au Maroc comme ailleurs, avec des moyens proportionnés.

PCA et PRA : la différence en une phrase chacun

	Plan de continuité d’activité (PCA)	Plan de reprise d’activité (PRA)
Question posée	Comment continuer à travailler pendant la crise ?	Comment remettre les systèmes en route après l’arrêt ?
Périmètre	Toute l’entreprise : processus, personnes, fournisseurs, communication	L’informatique : serveurs, données, réseau, applications
Qui le porte	La direction, avec les responsables métier	Le responsable informatique ou l’infogérant
Moyens typiques	Modes dégradés, second lien internet, renvoi d’appels, cellule de crise	Sauvegardes, réplication, matériel de remplacement, procédures de restauration
Comment on le teste	Exercice sur table ou simulation avec les équipes	Restauration chronométrée dans un environnement isolé

Le PRA est donc un chapitre du PCA. Une entreprise qui n’a qu’un PRA saura redémarrer son serveur, mais pas forcément répondre au téléphone pendant les heures où il est éteint. À l’inverse, un PCA sans PRA testé repose sur une promesse que personne n’a vérifiée.

Étape 1 : l’analyse d’impact, en langage simple

Les spécialistes parlent de BIA (Business Impact Analysis). Pour une PME, il s’agit de réunir la direction et deux ou trois responsables métier autour de trois questions, processus par processus :

1. Qu’est-ce qui s’arrête si cet outil ou ce service devient indisponible ? Encaisser, facturer, livrer, prendre rendez-vous, répondre aux clients, payer les salaires.
2. Au bout de combien de temps l’arrêt devient-il grave ? Pas en chiffres théoriques : en conséquences concrètes, comme un camion qui ne part pas, une échéance fiscale manquée ou des clients qui appellent un concurrent.
3. De quoi dépend ce processus ? Une application, une connexion internet, une personne qui est seule à savoir faire, un fournisseur externe.

Le résultat tient sur une page : la liste des processus vitaux, classés du plus urgent au moins urgent, avec leurs dépendances. C’est souvent à ce moment que l’on découvre qu’un processus jugé secondaire, comme l’accès au portail bancaire ou l’envoi des bulletins de paie, repose sur un seul poste ou sur une seule personne.

Étape 2 : fixer RTO et RPO par application

Pour chaque application qui porte un processus vital, la direction fixe deux objectifs :

• le RTO, durée d’arrêt acceptable avant retour à la normale ;
• le RPO, quantité de travail que l’on accepte de perdre, qui fixe la fréquence des sauvegardes.

Application	Processus porté	RTO souhaité	RPO souhaité	Mode dégradé prévu
ERP / facturation	Commandes, facturation, stock	À décider avec la direction	À décider	Bons de commande papier numérotés, saisie différée
Messagerie	Échanges clients et fournisseurs	À décider	À décider	Accès web depuis n’importe quel poste, liste de contacts imprimée
Téléphonie	Accueil, service client	À décider	Sans objet	Renvoi vers des mobiles, message d’accueil de crise
Accès internet	Tout ce qui est dans le cloud	À décider	Sans objet	Second lien, partage de connexion mobile en dernier recours
Fichiers partagés	Dossiers, contrats, plans	À décider	À décider	Copie des documents essentiels accessible hors site

Les colonnes restent volontairement vides ici : ces valeurs dépendent de votre activité et de votre budget. L’important est qu’elles soient écrites, validées par la direction et comparées ensuite à ce que l’infrastructure permet réellement.

Étape 3 : écrire les modes dégradés

C’est le cœur du PCA et la partie la plus souvent absente. Un mode dégradé répond à la question : « l’outil est tombé, comment continue-t-on ? » Quatre cas couvrent l’essentiel des PME.

Téléphonie : ne jamais laisser sonner dans le vide

Un standard IP bien configuré peut renvoyer automatiquement les appels vers des mobiles ou vers un autre site si le lien principal tombe, et diffuser un message d’accueil adapté. Avec une solution hébergée ou une application mobile, les équipes restent joignables depuis n’importe où. Notre article sur les erreurs qui dégradent la téléphonie IP montre comment préparer ces règles de débordement, et notre offre de téléphonie IP 3CX les intègre dès l’installation.

Messagerie : un accès qui ne dépend pas du bureau

Une messagerie cloud reste accessible depuis un navigateur ou un téléphone, même si le bureau est privé de réseau. Encore faut-il que les utilisateurs connaissent leurs identifiants, que le MFA fonctionne sur leur mobile et qu’une liste des contacts clés existe hors de la messagerie elle-même.

ERP : la procédure papier que personne n’aime, mais qui sauve la journée

Quand l’ERP est indisponible, les commandes ne doivent pas se perdre. Un jeu de formulaires numérotés, une personne chargée de les centraliser et une règle claire de ressaisie à la reprise suffisent souvent. Le PCA précise aussi ce que l’on ne fait pas en mode dégradé, par exemple accorder un crédit client sans vérifier l’encours.

Internet : la redondance du lien

Dès que l’ERP, la messagerie ou la téléphonie sont dans le cloud, le lien internet devient un point de défaillance unique. Un second accès chez un autre opérateur, idéalement par une autre technologie, avec une bascule automatique sur le pare-feu, change radicalement la situation. Nos guides sur le choix d’une fibre d’entreprise au Maroc et sur le SD-WAN FortiGate multi-sites détaillent les options, que nous déployons notamment avec Fortinet.

Étape 4 : rôles et communication de crise

Une crise mal coordonnée coûte souvent plus que la panne elle-même. Le PCA désigne, avec un suppléant pour chacun :

• Le décideur, qui déclenche le plan et arbitre les priorités.
• Le coordinateur technique, interne ou infogérant, qui pilote le PRA et informe le décideur à heures fixes.
• Les responsables métier, qui activent les modes dégradés dans leur service.
• Le responsable de la communication, qui informe salariés, clients et fournisseurs avec des messages préparés à l’avance.

Les messages types se rédigent à froid : un pour les équipes, un pour les clients, un pour les fournisseurs, et, en cas de fuite de données personnelles, les éléments nécessaires à l’analyse de vos obligations au titre de la loi 09-08. Le canal de secours est défini aussi : groupe de messagerie mobile, liste d’appels, SMS.

Étape 5 : documenter et exercer une fois par an

Le PCA vit dans un document court, disponible en version imprimée et hors du système d’information : processus vitaux, objectifs, modes dégradés, rôles, contacts, messages types et un renvoi vers le PRA technique.

Au moins une fois par an, un exercice sur table réunit les acteurs autour d’un scénario réaliste : « lundi matin, le lien internet du siège est coupé et l’ERP inaccessible ». Chacun explique ce qu’il fait. Les trous apparaissent vite : un numéro obsolète, un formulaire introuvable, un suppléant qui ignore son rôle. Chaque écart donne lieu à une correction datée.

Coût et bénéfice : raisonner sans chiffre magique

Il n’existe pas de budget type pour un PCA. Le bon raisonnement compare, processus par processus, ce que coûte une journée d’arrêt (chiffre d’affaires perdu, pénalités, heures payées sans production, image) avec ce que coûte la mesure de continuité (second lien, licence, matériel, temps de préparation). Beaucoup de mesures sont peu coûteuses : règles de renvoi d’appels, formulaires papier, liste de contacts, exercice annuel. D’autres, comme un site de secours complet, ne se justifient que pour les activités qui ne tolèrent presque aucune interruption.

Les erreurs les plus fréquentes

• Confondre PCA et sauvegarde : une sauvegarde protège les données, pas la capacité à servir les clients pendant la restauration.
• Laisser l’informatique décider seule des priorités, alors qu’elles relèvent de la direction.
• Oublier le lien internet alors que tout est passé dans le cloud.
• Un plan stocké sur le serveur qu’il est censé aider à reconstruire.
• Aucun suppléant : la seule personne qui sait faire est en congé le jour J.
• Ne jamais exercer : le plan vieillit sans que personne ne s’en rende compte.

Checklist : votre continuité d’activité en l’état

• Les processus vitaux sont listés et classés avec la direction.
• Chaque application critique a un RTO et un RPO écrits.
• Un mode dégradé existe pour la téléphonie, la messagerie, l’ERP et internet.
• Un second lien internet, avec bascule automatique, protège les services cloud.
• Les rôles de crise sont attribués, chacun avec un suppléant.
• Les messages types pour équipes, clients et fournisseurs sont prêts.
• Le PCA existe en version imprimée, hors du système d’information.
• Le PRA technique est testé et le PCA exercé au moins une fois par an.

Comment nous procédons

Nous partons de l’audit initial offert, qui identifie les dépendances et les points de défaillance uniques. Nous animons ensuite avec la direction une courte analyse d’impact, puis nous proposons les mesures dans l’ordre du meilleur rapport entre risque réduit et effort : sauvegarde immuable et PRA testé dans le cadre de notre offre sauvegarde et continuité d’activité, avec Veeam ; redondance du lien et de la téléphonie ; rédaction des modes dégradés avec vos équipes. Dans le cadre de notre infogérance informatique, la supervision 24/7 détecte les pannes et nos ingénieurs prennent en charge un incident critique en moins de 15 minutes. Découvrez des exemples concrets dans nos réalisations.

Pour savoir où votre entreprise est vulnérable et par quoi commencer, demandez votre audit gratuit : nous vous répondons sous 24 h ouvrées.