Qu'est-ce qu'une procédure PCA et comment la mettre en place ?

Connaître la définition d'un plan de continuité d'activité et en comprendre les enjeux stratégiques est une première étape indispensable. Mais savoir le construire méthodiquement, pour qu'il soit réellement opérationnel le jour J, est une démarche à part entière.

Comment identifier les activités essentielles à protéger en priorité ? Comment cartographier les ressources critiques ? Quelles stratégies adopter face à une indisponibilité durable ? C'est précisément l'objet de cet article, nourri des retours d'expérience terrain des consultants du CNPP partagés lors du webinaire « Structurer son plan de continuité d'activité avec méthode » — disponible en replay si vous souhaitez aller plus loin.

Le plan de continuité d'activité est un dispositif organisationnel et documentaire qui permet à une organisation de maintenir ses activités essentielles lors d'un événement majeur : cyberattaque, incendie, catastrophe naturelle, rupture fournisseur ou acte de malveillance. Son objectif fondamental est d'assurer la fourniture des services prioritaires, même en fonctionnant en mode dégradé.

À la différence d'un Plan de Reprise d'Activité (PRA), centré sur la restauration des systèmes informatiques, la procédure PCA couvre l'ensemble des ressources nécessaires à la production : humaines, bâtimentaires, technologiques et logistiques. Son principe cardinal : fonctionner, même imparfaitement, dès les premières heures de la crise.

Le plan de continuité d'activité s'inscrit dans une stratégie de résilience opérationnelle globale. En amont d'un événement, il complète la cartographie des risques et l'organisation de gestion de crise. Lors de la crise, il est activé pour préserver les services prioritaires. Après la crise, il encadre le retour progressif à la normale.

Longtemps perçue comme un outil réservé aux grandes entreprises, la procédure PCA s'impose aujourd'hui à un spectre très large d'organisations, sous l'effet conjugué des réglementations européennes, des normes de management et des exigences assurantielles.

• NIS 2 : L'article 21 paragraphe 2c impose des exigences explicites de continuité, de sauvegarde, de reprise et de gestion de crise pour les entités essentielles et importantes relevant de secteurs stratégiques : énergie, santé, transports, infrastructures numériques.
• DORA : Ce règlement dédié à la résilience opérationnelle numérique du secteur financier impose, en ses articles 11 et 12, des plans de continuité et de reprise des technologies de l'information et de la communication, avec des tests réguliers et un reporting obligatoire au comité de direction.
• REC : La directive sur la résilience des entités critiques dépasse le seul périmètre cyber : elle oblige les entités jugées essentielles au fonctionnement de la nation à garantir leur continuité face aux risques physiques, naturels et climatiques. Le terme est sans équivoque — il ne s'agit plus seulement de protection, mais de résilience opérationnelle.

Ces trois textes convergent en France dans un unique projet de loi : la loi Résilience, dont la discussion était inscrite à l'agenda de l'Assemblée nationale le 7 octobre 2026. Elle affirme que cybersécurité, résilience physique et continuité opérationnelle relèvent d'une seule et même exigence, et impose une réflexion étendue à toute la chaîne de valeur : fournisseurs, sous-traitants et prestataires sont désormais dans le périmètre.

• ISO 22301 est le référentiel international du système de management de la continuité d'activité. Il fournit un cadre structuré pour planifier, implémenter, tester et améliorer les dispositifs de continuité. De nombreuses organisations certifiées ISO 27001 visent aujourd'hui la certification ISO 22301 comme étape complémentaire de leur démarche de résilience opérationnelle.
• ISO 27001 intègre dans son annexe A des mesures dédiées à la continuité : définition des objectifs RTO et RPO, réalisation d'une analyse d'impact métier (BIA) et test régulier des procédures de restauration des systèmes d'information.

Publiée le 16 septembre 2026, ISO 9001:2026 renforce les exigences d'analyse des risques susceptibles d'affecter la capacité à fournir des produits ou services. Sans mentionner explicitement le plan de continuité d'activité, elle pousse les organisations à documenter et prouver leur démarche de continuité — une convergence normative qui s'accélère et qui fait de la procédure PCA un enjeu transversal de gouvernance.

Oui. Les collectivités territoriales sont soumises aux Plans Intercommunaux de Sauvegarde (PICS), qui incluent le maintien des services essentiels à la population : soins à domicile, portage de repas, accueil en crèche. Dans le secteur industriel, les assureurs jouent un rôle prescripteur : face à des risques importants de perte d'exploitation, ils peuvent conditionner leur couverture à l'existence d'un plan de continuité d'activité formalisé et régulièrement testé.

La formalisation d'une procédure PCA suit une méthodologie rigoureuse en cinq phases. Un écueil fréquent identifié par les consultants CNPP : le travail en silo, qui consiste à construire un plan de continuité d'activité cyber, un plan de continuité d'activité incendie et un plan de continuité d'activité sûreté de façon cloisonnée, en raisonnant par scénario d'impact. L'approche efficace est inverse — partir des activités essentielles et identifier les ressources critiques qui les font tenir, quelle que soit la nature du risque.

Tout commence par une compréhension approfondie de l'organisation : ses enjeux métiers, ses processus, ses exigences réglementaires applicables et ses interdépendances internes et externes. Cette phase détermine le périmètre du futur plan de continuité d'activité — mono-site ou multi-sites, inclusion ou exclusion de certaines familles d'activités — avant d'engager toute démarche de gestion des risques opérationnels.

Le BIA constitue le cœur de la démarche. Il consiste à évaluer, activité par activité, les conséquences d'une interruption sur l'organisation, en déterminant notamment le DMIA — Délai Maximum d'Interruption Admissible : la durée pendant laquelle une activité peut s'arrêter sans entraîner de conséquences irréversibles.

Le BIA conduit à identifier les activités essentielles. Un principe fondamental doit être collectivement accepté : toutes les activités d'une organisation ne sont pas essentielles. Des arbitrages s'imposent et doivent être validés au niveau de la direction. Les critères sont multicritères : chiffre d'affaires, obligations contractuelles, exigences réglementaires, impact réputationnel.

Pour chaque activité essentielle, les ressources critiques sont cartographiées : compétences humaines spécifiques, bâtiments avec leurs contraintes réglementaires propres, équipements, systèmes d'information, matières premières, prestataires stratégiques.

Pour chaque ressource critique, on raisonne par indisponibilité durable et on définit une stratégie de continuité concrète. C'est une co-construction avec les acteurs métiers, seuls détenteurs de la connaissance réelle de leur activité. Les stratégies retenues font l'objet d'une validation et d'un arbitrage, car certaines impliquent des investissements significatifs.

La procédure PCA doit être opérationnelle, pas seulement documentaire. Elle doit s'articuler avec l'organisation de gestion de crise : qui déclenche le plan de continuité d'activité ? Selon quels critères ? Avec quelle cellule ? Elle intègre des outils concrets utilisables dans le feu de l'action : fiches réflexes, annuaires de crise, procédures de fonctionnement en mode dégradé. La qualité des preuves documentaires compte autant que leur existence, notamment au regard des exigences de NIS 2, DORA et ISO 22301.

Un plan de continuité d'activité non testé est un plan non fiable. Les exercices réguliers permettent de vérifier l'opérationnalité réelle des stratégies : le prestataire répond-il dans les délais convenus ? Le site de repli est-il disponible ? Les équipes maîtrisent-elles leurs fiches réflexes ? Les enseignements des exercices alimentent l'amélioration continue du dispositif.

Dans le cadre d'un Plan Intercommunal de Sauvegarde, une communauté de communes a engagé une procédure PCA pour ses services essentiels à la population. Parmi les activités essentielles retenues : l'accueil en crèche. Après analyse des ressources critiques — bâtiment agréé PMI, taux d'encadrement réglementé, systèmes de planification du personnel —, la stratégie de continuité retenue est le transfert de l'activité vers un centre de loisirs voisin, préalablement évalué. Des actions préparatoires ont été documentées en amont : pré-instruction du dossier réglementaire, capacité alternative dimensionnée, règles de priorisation des enfants accueillis et adaptation des contrats d'assurance.

Dans le cas d'une activité logistique à température dirigée, la salle machine — fonctionnant à l'ammoniac — a été identifiée comme ressource critique majeure. Son indisponibilité entraîne la perte de l'ensemble des produits stockés et l'impossibilité de livrer les clients. Les stratégies retenues : contrats d'intervention prioritaire avec délais maîtrisés, identification de groupes froids de substitution dimensionnés à la puissance nécessaire, cartographie des capacités de stockage sur les autres sites du groupe. L'exercice a aussi conduit à explorer des mesures préventives : une meilleure protection de la salle machine face au risque incendie.

Ces deux cas pratiques sont détaillés en profondeur dans notre webinaire « Structurer son plan de continuité d'activité avec méthode ». Nos consultants y décrivent pas à pas la démarche menée sur le terrain, les arbitrages réalisés et les enseignements à retenir. 

Le plan de continuité d'activité s'inscrit dans un cycle structuré de gestion des risques, dont il constitue l'aboutissement opérationnel. Ce cycle comprend quatre étapes fondamentales.

La première étape recense l'ensemble des événements susceptibles d'affecter les activités essentielles : cyberattaques, incendies, crues, défaillances fournisseurs, actes de malveillance. Cette identification s'organise par catégorie de ressources : humaines, bâtimentaires, technologiques et logistiques.

Chaque risque est évalué selon sa probabilité d'occurrence et la gravité de ses conséquences sur les activités essentielles. Cette hiérarchisation guide les priorités de la procédure PCA et concentre les efforts sur les scénarios les plus critiques pour l'organisation.

Le traitement prend quatre formes : réduction (mesures préventives ou protectrices), transfert (notamment assurantiel), évitement ou acceptation. Dans le cadre du plan de continuité d'activité, le traitement se traduit principalement par des stratégies de continuité et des solutions de fonctionnement en mode dégradé, documentées et testées.

La gestion des risques est un processus permanent. L'environnement de l'organisation évolue, les menaces se transforment, les équipes changent. La procédure PCA doit être révisée régulièrement, testée périodiquement et mise à jour pour conserver toute sa pertinence opérationnelle.

La sûreté est souvent reléguée au rang d'activité support dans les plans de continuité d'activité. C'est une erreur stratégique. En situation de crise, lorsque l'organisation fonctionne en mode dégradé, elle devient plus vulnérable aux actes de malveillance, aux tentatives de captation d'informations sensibles ou au débauchage de compétences clés.

La sûreté doit être intégrée comme une activité essentielle à part entière, car elle conditionne directement la capacité de l'organisation à protéger ses ressources critiques tout au long de la crise. Pas de procédure PCA réellement opérationnelle sans une fonction sûreté dimensionnée pour la situation dégradée. Si rien ne se passe, c'est qu'elle a bien fait son travail.

Fort de 70 ans d'expertise en prévention et maîtrise des risques opérationnels, le CNPP propose un accompagnement complet pour structurer votre plan de continuité d'activité avec méthode :

• En conseil : analyse de votre contexte, réalisation du BIA, identification des ressources critiques, formalisation de votre procédure PCA et articulation avec votre organisation de gestion de crise.
• En formation : stages dédiés « Établir un plan de continuité d'activité pour votre entreprise ou collectivité » et « Manager la résilience » — éligible CPF — intégrant gestion de crise, communication de crise et résilience opérationnelle dans une approche globale.
• En test et exercice : mise en pratique des stratégies de continuité, sensibilisation des équipes et amélioration continue du dispositif.

Découvrez notre offre complète d'accompagnement en gestion des risques et des crises et contactez nos experts pour un diagnostic personnalisé de votre situation.