ISO 22301 traite du management de la continuité d’activité, notamment des activités prioritaires après une perturbation. Elle dépasse la sauvegarde des données. Une certification ne garantit pas l’absence de toute interruption.

01

Des services aux limites des activités

Identifiez les produits et services à maintenir pour les clients. Reliez activités, sites, personnes, systèmes et fournisseurs qui les soutiennent. Couvrir le siège ne couvre pas automatiquement l’atelier ou le centre de contact réalisant la prestation. Les dépendances externes et les limites de maîtrise doivent être explicites.

02

Définir les priorités par les impacts

L’analyse d’impact examine l’évolution des conséquences dans le temps et les activités à reprendre en premier. L’évaluation des risques examine les causes et leur traitement ; les deux listes diffèrent. ISO/TS 22317 guide une analyse documentée sans méthode uniforme imposée. La direction doit justifier les objectifs de temps et les ressources nécessaires.

03

Comparer objectifs et moyens réels

Un service de commande fictif vise une reprise en quatre heures, mais l’accès du personnel et l’installation du système de secours demandent huit heures. Le plan présente un écart. Posséder une sauvegarde ne suffit pas à reprendre l’activité à temps. Évaluez ensemble travail alternatif, communication, autorisations et fournisseurs, puis testez la faisabilité par un exercice adapté.

04

Demande et décision indépendante

Présentez périmètre, sites, activités prioritaires, dépendances et état des analyses et exercices. ISO ne délivre pas de certificats ; l’organisme compétent évalue les preuves et décide impartialement. Le conseil ne garantit pas une décision favorable. ISO 22301 ne remplace pas une certification spécifique de sécurité de l’information ou de produit. Le demandeur met en œuvre le système et prépare ses procédures propres à l’activité ainsi que ses enregistrements opérationnels. Une demande de certification adressée à Kayra porte sur les activités et sites réels, les informations de demande, les habilitations et les risques pour l’impartialité ; ce rôle ne comprend pas la conception ou la mise en œuvre du système du client. L’organisme de certification de systèmes de management, les autres parties de la même entité juridique et les entités sous son contrôle organisationnel ne peuvent proposer ou fournir ce conseil ; des contrats distincts ne lèvent pas cette restriction.

Sources et limites d’application

Les exemples sont fictifs. Les objectifs de reprise doivent découler de l’analyse d’impact, des ressources et des décisions approuvées de l’organisation.