Dans le précédent article de cette série, nous avons parcouru les solutions à mettre en place pour maintenir votre activité et restaurer vos services en cas d’incident. Mais vos activités dépend aussi d’acteurs sur lesquels vous n’avez pas toujours la main : les prestataires externes. PCA PRA et fournisseurs sont étroitement liés : votre hébergeur peut-il rétablir ses services dans les délais dont vous avez besoin ? Votre prestataire informatique sait-il quelles applications restaurer en priorité ? Et que se passe-t-il si un incident touche directement l’un de vos partenaires ? Il y a des questions auxquelles on préfère ne pas découvrir la réponse en pleine crise.
Dans cet article, nous allons voir ensemble comment impliquer vos fournisseurs dans la construction de votre PCA PRA.
🤔 PCA PRA et fournisseurs : quels tiers associer à vos plans ?
Tous vos fournisseurs n’ont pas besoin d’être associés à vos plans au même niveau. Pour identifier les bons interlocuteurs, posez-vous deux questions :
- De qui dépend votre activité au quotidien ?
- De qui aurez-vous besoin pour faire face à un incident ?
Les fournisseurs dont vos activités dépendent
Pour identifier les fournisseurs à intégrer dans votre PCA PRA, partez des activités critiques que vous avez recensées à la 1ère étape de cette série : de quels services externes avez-vous besoin pour les faire fonctionner ? Prendre une commande, assurer une production ou expédier une livraison dépendent souvent de plusieurs prestataires.
On peut par exemple lister :
- les fournisseurs informatiques : hébergeur, éditeur de logiciel SaaS, opérateur télécom ou prestataire chargé de l’exploitation de votre SI ;
- les fournisseurs métiers : matières premières, composants ou consommables indispensables à votre production ;
- les prestataires logistiques : transport, stockage ou livraison ;
- les acteurs liés à vos locaux : fourniture d’énergie, maintenance des installations ou mise à disposition des bâtiments.
Une fois la liste effectuée, demandez vous, pour chacun d’entre eux, quelles activités seraient affectées par son indisponibilité, au bout de combien de temps et si une alternative est envisageable.
Ce premier travail va vous permettre de hiérarchiser vos dépendances externes et de concentrer vos efforts sur les fournisseurs dont la défaillance compromet sérieusement la continuité de vos activités.
Exemple concret 👇
Votre entreprise utilise un ERP SaaS pour gérer ses commandes et une plateforme de formation en ligne pour ses collaborateurs. Si l’ERP devient inaccessible, les équipes ne peuvent plus préparer les expéditions : l’activité est affectée immédiatement. L’indisponibilité de la plateforme de formation pendant deux jours peut, elle, être absorbée en reportant les sessions. Les deux fournisseurs participent à votre fonctionnement, mais leur hiérarchie dans votre PCA PRA ne sera pas la même.
Les partenaires nécessaires à la continuité et à la reprise
OK, vos dépendances sont identifiées. Il faut maintenant vous demander : sur quels partenaires comptez-vous pour maintenir ou reprendre votre activité en cas d’incident ? Certains de vos fournisseurs habituels peuvent assurer cette fonction, d’autres devront être sollicités pour un besoin spécifique, comme par exemple la mise à disposition de locaux temporaires ou une intervention après une cyberattaque.
Partez des scénarios retenus dans vos plans, identifiés aux étapes 5 et 6, et des moyens nécessaires pour y répondre. Vous pourriez notamment avoir besoin :
- de votre prestataire informatique ou d’un spécialiste de la réponse à incident pour reconstruire les systèmes, restaurer les données ou sécuriser l’environnement avant la reprise ;
- de vos éditeurs et intégrateurs, pour reconfigurer les applications métiers et vérifier leur fonctionnement ;
- de fournisseurs « de secours » pour disposer d’équipements de remplacement, d’une connexion temporaire ou d’un site de repli ;
- de partenaires métiers ou logistiques pour prendre temporairement le relais sur une production, un stockage ou des livraisons.
Un même partenaire peut donc à la fois être indispensable au quotidien et jouer un rôle central dans votre reprise. À ce stade, l’objectif est d’associer chaque besoin de continuité ou de reprise à un partenaire identifié, puis de repérer ceux pour lesquels vous n’avez encore aucune solution.
Exemple concret 👇
Vous utilisez un ERP On Prem. Le serveur hébergeant l’ERP tombe définitivement en panne. Votre prestataire informatique peut restaurer les sauvegardes, mais il lui faut un environnement pour le faire. Si vous n’avez identifié personne pour fournir cet hébergement de secours, une étape essentielle reste sans solution : vous savez qui peut restaurer vos données, mais pas où.
🧐 Quels engagements vérifier dans les contrats de vos fournisseurs ?
Une fois les tiers critiques identifiés, vous devez vérifier ce que vos contrats prévoient réellement en cas d’incident. La disponibilité d’un support, le remplacement d’un équipement ou la restauration d’un service correspondent à des engagements différents. Pour construire votre PCA PRA, vous devez savoir précisément sur lesquels vous pouvez compter et dans quelles conditions.
Distinguer disponibilité, délai d’intervention et rétablissement
Les engagements de niveau de service, ou SLA (Service Level Agreement), définissent les niveaux de service convenus avec votre fournisseur. Mais derrière un délai annoncé, plusieurs réalités peuvent se cacher :
- La disponibilité correspond à un taux de fonctionnement du service sur une période donnée ;
- La prise en charge désigne le moment où le prestataire commence à traiter votre demande (attribution du ticket, prise de l’appel, etc.);
- L’intervention correspond à une action technique, à distance ou sur site, dont le périmètre doit être précisé ;
- Le rétablissement concerne le retour du service dans les conditions définies au contrat, éventuellement grâce à une solution provisoire.
Un taux de disponibilité ne constitue pas une garantie de durée maximale pour chaque interruption. De même, une intervention sous quatre heures ne signifie pas que votre activité aura repris dans ce délai.
Exemple concret 👇
Un contrat de maintenance prévoit une intervention sur site sous 4 heures. En cas d’incident sur un serveur, vous faites appel au prestataire de maintenance. Le technicien arrive dans les 2h, constate la panne et indique qu’il est nécessaire commander une pièce pour la réparation. Un délai de 2 semaines est indiqué pour la livraison de cette pièce. L’engagement de prise en charge de 4h a été respecté, mais votre serveur restera indisponible 2 semaines minimum. D’où l’intérêt d’inclure une solution alternative dans votre PCA PRA !
Deux autres points important sont à vérifier dans vos contrats :
- ce qui déclenche le décompte du délai (la survenue de la panne, l’ouverture d’un ticket ou sa qualification par le support par exemple) ;
- les conséquences prévues en cas de non-respect (un avoir sur la prochaine facture est sympathique, mais ne remettra pas votre application en service plus rapidement).
Vérifier les conditions concrètes de mobilisation
Un engagement n’est utile à votre plan que si ses conditions d’application correspondent au scénario envisagé. Avant de signer un contrat (et ça ne fait pas de mal de vérifier ceux qui sont déjà signé !), examinez notamment qu’il mentionne explicitement :
- les horaires de couverture : heures ouvrées, nuits, week-ends et jours fériés ;
- les modalités de déclenchement : canal à utiliser, personnes autorisées à solliciter le support et niveau de gravité requis ;
- le périmètre couvert : équipements, applications, sites et opérations incluses, notamment les restaurations ou reconstructions ;
- les prérequis et exclusions : accès distant disponible, contrat constructeur actif, actions préalables à réaliser par vos équipes ou situations exclues ;
- les moyens mobilisables : compétences, pièces, équipements de remplacement et éventuelles limites en cas de demandes simultanées ;
- les coûts supplémentaires : astreinte, déplacement, intervention exceptionnelle ou mise à disposition d’une infrastructure temporaire.
Faites préciser les points ambigus par écrit, en particulier les prestations que vous supposez incluses. Le résultat attendu est simple : savoir ce qui est couvert, ce qui nécessite une option ou une commande complémentaire, et ce qui ne fait l’objet d’aucun engagement. Vous disposerez ainsi d’une base concrète pour construire vos scénarios de reprise.
Construire des scénarios de reprise avec vos prestataires
Vous savez désormais ce que vos fournisseurs s’engagent à fournir et dans quelles conditions. Reste à intégrer ces éléments dans vos scénarios : les délais sont-ils compatibles avec vos besoins ? Les interventions peuvent-elles s’enchaîner comme prévu ? C’est à ce stade que vos plans prennent une dimension concrète, avec des actions, des responsables et des contraintes à prendre en compte.
Partager vos priorités et vos objectifs de reprise
Vos objectifs de délai de reprise (RTO) et de perte de données maximale admissible (RPO), définis à l’étape 7, traduisent les besoins de votre entreprise. Ils ne deviennent pas automatiquement ceux de vos fournisseurs. Avec un prestataire chargé de vos restaurations, vous pouvez organiser les priorités et définir les moyens nécessaires. Mais avec une plateforme SaaS proposant un service standardisé, vous devrez généralement composer avec les conditions existantes.
Pour chaque scénario, confrontez donc vos objectifs aux informations recueillies précédemment. Le délai de reprise doit couvrir l’ensemble du parcours jusqu’au retour d’un service utilisable, en tenant compte de la mobilisation des intervenants, des opérations techniques et des vérifications métiers. Certaines actions peuvent être réalisées en parallèle ; d’autres devront attendre la fin des précédentes.
Exemple concret 👇
Une entreprise doit pouvoir reprendre ses expéditions au maximum 4 heures après leur interruption. En cas de panne du serveur hébergeant son application de gestion des expéditions, le prestataire estime avoir besoin de 3 heures pour restaurer le serveur. L’intégrateur doit ensuite disposer de 2 heures supplémentaires pour remettre l’application en service et effectuer les vérifications avec les utilisateurs. La reprise nécessite donc au moins 5 heures, sans même compter le temps de mobilisation des équipes : l’objectif de 4 heures ne peut pas être tenu dans ce scénario.
Les écarts doivent conduire à une décision : renforcer les moyens prévus, adapter la prestation ou prévoir un fonctionnement temporaire différent. Un délai inconnu ou non confirmé ne peut pas devenir une hypothèse favorable simplement parce qu’il arrange le planning.
Définir les rôles et les dépendances entre intervenants
Qui déclenche le PRA ? Autorise une restauration ? Rétablit le réseau avant la remise en service des applications ? Une reprise mobilise souvent plusieurs partenaires en complément de vos équipes. Pour éviter les blocages, construisez des « fiches incident » sur lesquels vous pourrez préciser qui décide, qui intervient et qui valide le résultat à chaque étape. Indiquez par exemple :
- Qui autorise le déclenchement du PRA et les opérations associées ;
- Qui coordonne les intervenants et suit l’avancement ;
- Quels accès, informations ou moyens chaque partenaire doit recevoir avant d’agir ;
- Quelles opérations doivent être terminées avant les suivantes ;
- Qui vérifie que le service fonctionne et autorise sa remise à disposition.
L’objectif est construire un déroulement cohérent de l’incident à la validation métier sur lequel vous appuyer en temps de crise.
Exemple concret 👇
Suite à un incident, votre ERP doit être redémarré sur une infrastructure de secours. La fiche incident prévoit que le responsable informatique autorise la bascule et coordonne les interventions. Le prestataire réseau établit d’abord les accès nécessaires, puis confirme leur disponibilité à l’intégrateur, qui remet l’application en service. Le responsable logistique vérifie ensuite qu’une commande peut être traitée jusqu’à l’édition du bon de livraison et donne son feu vert à la reprise des expéditions. Chacun sait ainsi quand intervenir, de qui attendre une confirmation et à qui passer le relais.
🔥 Comment anticiper la défaillance d’un prestataire critique ?
Jusqu’à présent, vous avez prévu les défaillances de votre SI. Mais vos prestataires ne sont pas à l’abri non plus de leur côté. Panne majeure, cyberattaque, indisponibilité de ses équipes ou cessation d’activité : l’interruption peut être temporaire… ou définitive. Vous devez anticiper cette situation, surtout pour vos fournisseurs les plus critiques, et préparer vos options si leur service devient indisponible à plus ou moins long terme.
Évaluer sa capacité de continuité
Au-delà des engagements contractuels, cherchez à comprendre comment votre prestataire s’organise pour maintenir ses services et les rétablir après un incident. Dispose-t-il de moyens de secours ? Ses sauvegardes sont-elles protégées contre un incident touchant son infrastructure principale ? Peut-il mobiliser d’autres personnes si ses interlocuteurs habituels sont indisponibles ?
Selon la criticité du service, vous pouvez demander une synthèse de son PCA PRA, des informations sur ses dispositifs de secours ou les conclusions des derniers exercices réalisés. L’objectif n’est pas d’obtenir toute sa documentation interne, mais suffisamment d’éléments pour apprécier la solidité d’un dispositif sur lequel vous comptez.
💡 Il arrive souvent que le service informatique ne soit intégré que tardivement dans le processus de choix d’un nouveau prestataire. Trop tard pour assurer certaines vérifications en matière de sécurité, de . Pour vous faciliter la tâche, j’ai créé des fiches à distribuer aux différents services de votre entreprise :
📑 Le guide des bonnes questions à poser à un prestataire Cloud
Prévoir un fonctionnement dégradé ou une solution de remplacement
Pour chaque fournisseur critique, déterminez ce que vous pourriez continuer à faire sans le service concerné, pendant combien de temps et avec quelles limites. Selon le service, la réponse peut être une procédure manuelle, un stock de sécurité, un autre fournisseur ou une infrastructure de secours.
Si vous envisagez un fournisseur de remplacement, vérifiez sa capacité à prendre le relais, les prérequis et le délai nécessaire. Avoir son numéro dans un tableau ne signifie pas qu’il disposera du personnel, du matériel ou des capacités d’accueil au moment voulu.
Préparer la récupération des données et la réversibilité
Parfois, attendre la reprise n’est pas une option. Une indisponibilité qui s’éternise, un contrat non respecté, une cessation d’activité… Dans ces cas là, il est temps de parler « réversibilité ». C’est à dire, préparer le transfert vers un autre prestataire, ou la reprise en interne.
Attention ! Récupérer des fichiers ne suffit pas à disposer d’un service opérationnel. Il faut notamment prévoir :
- Les données, historiques et pièces jointes à récupérer, dans des formats exploitables ;
- Les configurations, documentations, accès et licences nécessaires à la reprise ;
- Les moyens d’accéder à ces éléments si le prestataire ne répond plus ;
- Les délais, les coûts et l’accompagnement nécessaires au transfert.
Vérifiez ce qui peut réellement être récupéré et réutilisé. La réversibilité prépare une sortie durable : elle ne garantit pas une bascule immédiate.
Exemple concret 👇
Vous utilisez un CRM SaaS dont l’éditeur annonce de nouvelles conditions que vous ne pouvez pas accepter. Vous devez donc migrer avant leur entrée en vigueur. Vous trouvez un autre CRM et pouvez exporter vos contacts au format CSV : jusqu’ici, tout va bien. Mais cet export ne contient ni les pièces jointes ni l’historique des échanges. Quant aux automatisations, elles devront être recréées dans le nouvel outil. Vous pouvez transférer votre carnet d’adresses, mais vos commerciaux sont encore loin de retrouver leur environnement de travail.
⚙️ Mise en pratique : que préparer pour votre PCA PRA ?
L’objectif de cette partie n’est pas de constituer un classeur supplémentaire que personne n’ouvrira, mais de pouvoir retrouver rapidement qui appeler, ce qui est prévu et comment agir. Vous pouvez compléter vos documents existants avec les éléments suivants.
Un tableau de suivi des fournisseurs critiques
Ce tableau rassemble les informations nécessaires pour comprendre vos dépendances et les moyens prévus pour y répondre. Pour chaque fournisseur, indiquez :
- Le service fourni et les activités qui en dépendent ;
- Son rôle dans la continuité ou la reprise ;
- Les engagements vérifiés (disponibilité, intervention, rétablissement, horaires de couverture, etc.) ;
- La solution de secours ou le fonctionnement dégradé envisagé ;
- Le responsable interne du suivi et la date de dernière vérification ;
- Les liens vers les contrats et les documents utiles.
Un annuaire de crise avec les modalités de contact
Cette partie peut être ajoutée au tableau précédent. Pour chaque fournisseur, préparez une « fiche de contact » pour constituer votre annuaire de crise : numéro du support ou de l’astreinte, portail de déclaration, référence client et contrat, personnes autorisées à ouvrir un incident, contact d’escalade et interlocuteur interne suppléant.
Précisez les informations à transmettre dès le premier appel : numéro du contrat, incident constaté, service affecté, heure de début, conséquences sur l’activité, etc. Vous éviterez de perdre du temps à rechercher les références nécessaires à l’ouverture du dossier.
Point important : prévoyez un endroit où conserver ces documents et la façon d’y accéder si votre SI « habituel » est indisponible. Si vous stockez votre annuaire de crise sur votre serveur de stockage principal, vous risquez d’avoir quelques difficultés en cas d’incident sur ledit serveur. Prévoyez un espace dédié, mais surtout, COMMUNIQUEZ. Avoir la liste des personnes à contacter en cas de crise, c’est bien. Savoir où trouver la liste, c’est mieux 😉
Nous avons maintenant de quoi construire un PCA PRA solide, qui s’appuie sur des documents complets, utiles et constitués à partir de situations concrètes. Il est temps d’aborder le nerf de la guerre : l’argent. Ce sera le sujet du prochain article de la série.
Retournez au 1er article de la série
Retrouvez ici le 8ème article de cette série sur le choix des solutions techniques pour atteindre vos objectifs.
Retrouvez ici le 9ème article de cette série sur l’estimation du coût d’une interruption. 