Les bonnes pratiques du plan de continuité des activités pour l’Administration, c’est quoi?

En France, la continuité du service public est un principe constitutionnel intangible.

L’objectif premier d’un plan de continuité des activités (PCA) repose sur la nécessité de répondre aux besoins d’intérêt général de la Nation sans interruption ou avec une interruption la plus courte possible.

Ancien responsable de la continuité d’activité au sein des ministères sociaux, Jean-Marc nous a quittés le 13 septembre 2023. En hommage à sa mémoire, nous avons décidé de publier son article à titre posthume.

Les bonnes pratiques du plan de continuité des activités pour l’Administration, c’est quoi?

Disposer d’un PCA, c’est aussi préserver à la fois ses agents et la population dans le cadre de la stratégie nationale de résilience.

L’aspect préservation du chiffre d’affaires, très prégnant dans le secteur privé, n’est pas ici concerné, l’État ayant une obligation de résultat, quels que soient les moyens à employer.

Alors c’est quoi, le PCA d’une administration? Quelles sont ses particularités et ses qualités? Comment réussir sa mise en œuvre?

La première chose à retenir, c’est qu’il faut s’extirper du cadre normé et hiérarchique pour faire travailler ensemble des personnes-ressources afin de constituer la boîte à outils indispensable pour pouvoir répondre à tout choc qui perturberait gravement le fonctionnement interne d’un service ou d’un ministère.

Il faut identifier les personnes-ressources, qui ne sont pas toujours dans les organigrammes. Cela réclame de faire preuve de persévérance et de bien connaître les rouages administratifs, mais aussi de savoir travailler en équipe, car seul avec un plan, on n’est rien!

La deuxième chose qu’il ne faut jamais oublier, c’est que le PCA, ce n’est pas qu’un document papier; c’est une démarche holistique de type roue de Deming qui favorise l’amélioration continue du dispositif pour qu’il soit opérationnel, connu et efficient.

Le PCA doit être une véritable boîte à outils

Le PCA d’une administration, c’est 80 % d’anticipation avec des outils concrets, et non un énième plan qu’on devrait lire en cas de sinistre.

Disposer d’un bon PCA, ça commence par identifier les risques et les menaces spécifiques aux administrations et à leur localisation.

Ensuite, il faut convaincre chaque direction qu’elle doit identifier et lister ses missions les plus critiques, mais aussi les systèmes d’information (SI) afférents, puis faire des choix de la durée maximale d’interruption acceptable (DMIA).

C’est un travail de longue haleine pour constituer le socle de la boîte. Ce travail doit être revu régulièrement, notamment pour prendre en compte la révolution du télétravail dans le secteur public depuis la crise de COVID.

Désormais, beaucoup de missions critiques peuvent être exercées à distance. C’est un avantage, car cela réduit le dimensionnement du site de repli. Mais attention de ne pas jeter le bébé avec l’eau du bain : le site de repli demeure un besoin capital pour piloter la crise et rétablir la continuité avec ce qu’on appelle « la cellule de crise », mais aussi avec les autorités qu’il faut pouvoir accueillir (ministres).

Un PCA peut être statutaire pour une administration,

mais il ne doit pas être

une statue!

Par ailleurs, si le SI est à terre, pas de télétravail possible.

Pour choisir les bons outils, il est essentiel d’identifier la stratégie spécifique qui répond aux quatre indisponibilités majeures suivantes :

• locaux,

• ressources essentielles (les agents),

• SI et

• prestataires de services.

La finalité n’est pas d’avoir une solution technique, informatique ou réglementaire pour tout incident majeur (on pourrait en envisager des centaines, voire plus), mais d’avoir la boîte à outils idéale, c’est-à-dire celle que l’on saura utiliser et qui répondra à ces quatre indisponibilités.

Le PCA s’intègre dans une démarche d’amélioration continue

Une fois le socle de la boîte à outils mis en place, il faut s’engager dans une démarche vertueuse d’amélioration continue, c’est-à-dire :

• Tester le site de repli deux fois régulièrement en heures ouvrées et en heures non ouvrées;

• Former les référents en PCA des services pour une acculturation commune aux dispositifs;

• Organiser des exercices de crise sur la base de scénarios qui influencent chacune des quatre indisponibilités (envahissement de locaux, blackout électrique, cyberattaque, pandémie, attentat…);

• Formuler, sur la base des retours d’expérience (RETEX) des exercices, des actions correctrices à mettre en œuvre, en définissant les délais de réalisation et en assurant leur suivi.

• Donner de l’information sur le PCA aux agents qui doivent être sensibilisés et savoir réagir en cas d’alerte, particulièrement s’ils exercent des missions critiques;

• Évaluer les PCA par un comité de spécialistes, mais aussi, tous les 5 à 10 ans, par un audit pour avoir un regard extérieur sur les processus.

Le PCA d’une administration ne doit surtout pas être théorique et se réduire à décrire qui fait quoi.

Le tester permet non seulement d’acculturer les agents aux processus, mais réduit aussi de façon conséquente les deux facteurs aggravants qui se produisent quand la crise arrive, à savoir le stress et la gestion du temps.

Former et sensibiliser permet de parler le même langage. L’ennemi dans une crise, c’est l’inconnu, et l’inconnu, c’est aussi l’acceptation sociétale.

Se préparer est important pour la gouvernance au plus haut niveau. Une bonne démarche de continuité, c’est de bien se connaître et d’acquérir des réflexes.

Le facteur humain est important dans la démarche de continuité.

oi, quand et comment.

Il diminue fortement le risque majeur que constituent les « Panous Panous », ces petites bêtes qui pensent que l’autre fait le job et qui disposent d’un lot de parapluies pour ne jamais être responsables...

Avoir une bonne démarche de continuité, c’est aussi faire du benchmark et savoir se remettre en cause régulièrement. Un PCA peut être statutaire pour une administration, mais il ne doit pas être une statue!

Il faut être à l’écoute et s’adapter aux nouvelles menaces et aux dangers du 21e siècle. Envisager l’inenvisageable est un exercice utile pour commencer à pouvoir trouver une réponse qu’il faudra produire coûte que coûte.

L’État ne peut fermer boutique et doit être acteur de la crise, et même son pilote pour les services régaliens.

Qui avait écrit dans son PCA avant 2020 que les deux tiers de la planète pouvaient être confinés?

Personne n’est devin, mais, si on n’a pas prévu de masques et de chaîne d’alerte ou encore de moyens de télétravail, cela devient vite le chaos.

Le maintien en condition opérationnelle d’un PCA est déjà une excellente pratique. Il permet d’améliorer la fameuse boîte à outils.

Article rédigé par Jean-Marc Siry

Jean-Marc Siry, auditeur de la session nationale citoyenne de l’Institut des hautes études de défense nationale (IHEDN) et titulaire d’un master 1 de gestion interministérielle des crises. Il est décédé le 13 septembre 2023.

---

COMPLÉMENTS

LA BOITE À OUTILS IDÉALES

Avec l’expérience des crises qui se sont succédé récemment, les outils de base les plus pertinents que l’on peut citer sont les suivants :

• Une chaîne d’alerte robuste, régulièrement mise à jour et testée de type téléalerte avec des messages préenregistrés et des consignes prêtes à être activées;

• Un site de repli équipé et connu qui prévoit les moyens informatiques et téléphoniques nécessaires;

• Un annuaire de crise qui indique les agents titulaires des missions critiques et leurs suppléances pour tenir dans la durée;

• Des fiches réflexes qui décrivent brièvement la procédure et les clés pour assurer les missions les plus urgentes (ne pas oublier les ID et les mots de passe);

• Un plan de reprise informatique (PRI) qui prévoit les solutions techniques générales de type serveur de secours et la résilience de la messagerie/téléphonie, mais aussi la liste des SI à rétablir par ordre de priorité;

• Les moyens logistiques, comme les groupes électrogènes ou les masques de protection en cas de pandémie;

• La liste des prestataires critiques et leur procédure 24 h/24, 7 j/7, pour pallier toute défaillance (grève incluse) en faisant de vous un client prioritaire.

CARRIÈRE DE JEAN-MARC SIRY

Attaché hors classe et juriste de formation, Jean-Marc Siry a commencé sa carrière en préfecture.

Après un parcours traditionnel marqué par les concours interministériels et les écoles du service public (IRA, ESEN), il a occupé des emplois fonctionnels de niveau A+ au sein d'établissements publics, de services déconcentrés et en administration centrale (Ministère de l'intérieur).

En 2009, il a rejoint les ministères sociaux, d’abord au secrétariat général de l'INJEP puis, en 2016, au sein de la DJEPVA. Dans ce poste, il avait la charge du traitement des dossiers interministériels relevant du SGMCAS (Modernisation, CSMR, RGPD, PCA, déontologie) et notamment les questions de défense et de sécurité (PCA, exercices de crise, consignes aux ACM).

Auditeur de l'IHEDN (CNC), il s’est alors spécialisé sur les questions sécurité/défense et a rejoint le SHFDS en 2019, au sein duquel il avait la responsabilité de la continuité d'activité.

Jean-Marc Siry est décédé le 13 septembre 2023