2.1 Le BIA et ses quatre indicateurs : RTO, RPO, MTPD, MBCO

Le Business Impact Analysis (BIA) — analyse d'impact sur l'activité — est l'étape fondatrice de toute démarche PCA. Son objectif : identifier les processus métier critiques de l'organisation, quantifier les impacts d'une interruption et fixer les objectifs de reprise.

La spécification technique ISO/TS 22317 est entièrement consacrée au BIA et en détaille la conduite. Méthodologie en 5 étapes principales :

1. Cartographier les processus de l'organisation, en remontant aux objectifs métier (vente, production, support).
2. Évaluer les impacts d'une interruption selon plusieurs axes : financier, opérationnel, réputationnel, juridique, humain, environnemental.
3. Déterminer la criticité de chaque processus en fonction de la dynamique temporelle des impacts.
4. Identifier les dépendances : ressources humaines, applications, infrastructures, fournisseurs, locaux.
5. Fixer les RTO, RPO et autres objectifs de reprise pour chaque processus critique.

Méthodes de collecte typiques :

• Entretiens avec les responsables métier (1 à 3 heures par processus).
• Ateliers par direction (3 à 6 heures).
• Questionnaires structurés en complément.
• Examen documentaire : cartographie des SI, procédures, contrats fournisseurs.
• Analyse des incidents passés et de leur impact réel constaté.

Un BIA complet sur une PME mobilise typiquement 2 à 4 mois. Sur un grand groupe, 6 à 12 mois. C'est l'investissement initial le plus structurant du PCA — un BIA bâclé condamne la suite du dispositif.

Le RTO (Recovery Time Objective) est le temps maximal accepté entre la survenue d'un sinistre et la reprise d'un processus métier à un niveau acceptable.

Exemples concrets de RTO typiques :

Le RTO conditionne directement la stratégie technique du PRA :

• RTO < 15 min : haute disponibilité, sites actifs/actifs, réplication synchrone — coût très élevé.
• RTO 15 min - 4 h : sites actifs/passifs avec bascule automatique ou semi-automatique.
• RTO 4-24 h : site de secours tiède (warm site), restauration semi-automatisée depuis les sauvegardes.
• RTO 24-72 h : site froid, restauration manuelle depuis sauvegardes.
• RTO > 72 h : éventuellement pas de PRA spécifique, reconstruction sur la base d'une simple sauvegarde.

Le RPO (Recovery Point Objective) est la quantité maximale de données accepté en perte en cas de sinistre. Il s'exprime généralement en durée (minutes, heures, jours de données).

Exemples :

• RPO = 0 (zéro perte de données) : exige une réplication synchrone sur un site distant. Toute transaction est dupliquée en temps réel. Coût très élevé, latence réseau exigeante. Cas typique : trading haute fréquence, paiements bancaires interbancaires.
• RPO < 15 minutes : réplication asynchrone à fréquence très haute, journal de transactions en quasi-continu. ERP critiques, SI bancaires.
• RPO = 1-4 heures : sauvegardes incrémentales fréquentes. Cas standard pour applications critiques.
• RPO = 24 heures : sauvegardes journalières classiques. Cas le plus courant en PME.
• RPO = 7 jours : sauvegardes hebdomadaires uniquement. Acceptable pour des données peu volatiles.

Erreur classique : confondre RPO et fréquence de sauvegarde. Une sauvegarde toutes les 4 heures donne un RPO maximum de 4 heures, mais la moyenne réelle est de 2 heures. Le RPO est l'engagement maximum, pas la moyenne.

Le RPO conditionne :

• La fréquence et le type de sauvegarde (snapshot, incrémental, complet, log shipping).
• La technologie de réplication : synchrone (RPO=0), asynchrone, par batch.
• La capacité réseau entre les sites (bande passante, latence).
• Le coût de la solution : un RPO de 0 coûte 10 à 100 fois plus cher qu'un RPO de 24 h.

Le MTPD (Maximum Tolerable Period of Disruption), aussi appelé MAO (Maximum Acceptable Outage) ou MTD (Maximum Tolerable Downtime) selon les référentiels, est le seuil temporel au-delà duquel les conséquences de l'interruption deviennent inacceptables — le « point de non-retour ». C'est une caractéristique de l'activité, constatée : on ne la choisit pas, on la découvre en interrogeant les métiers.

Le RTO, lui, est un objectif que l'on se fixe. D'où la règle de cohérence : RTO ≤ MTPD, avec une marge de sécurité entre les deux. Un RTO calé exactement sur le MTPD ne laisse aucune place à l'imprévu — or les reprises réelles dépassent presque toujours les durées prévues aux tests.

Exemples :

• Vente en ligne : RTO = 2 h, MTPD = 24 h — au-delà, les clients basculent chez un concurrent et ne reviennent pas.
• Industrie agroalimentaire en frais : RTO = 4 h, MTPD = 48 h — chaîne du froid et engagements de livraison.
• Banque de détail : RTO = 4 h, MTPD = 72 h.
• Cabinet d'avocats : RTO = 24 h, MTPD = 2 semaines — les délais de procédure ne se rattrapent pas.
• Établissement d'enseignement : RTO = 48 h, MTPD = 1 mois, avec un MTPD beaucoup plus court en période d'examens.

Le MAO est rarement explicite dans la discussion avec les métiers — il faut le faire émerger par des questions ciblées : « Si ce processus reste arrêté X jours, est-ce qu'on perd définitivement des clients ? Des marchés ? La marque ? L'entreprise ? »

Le MBCO (Minimum Business Continuity Objective), parfois aussi appelé « niveau dégradé acceptable », est le niveau minimum d'activité qui doit être maintenu en mode crise pour préserver la survie. Ex : un e-commerce peut accepter 30 % de son activité normale via un mode dégradé (catalogue partiel + paiement basique).

Le BIA évalue les impacts d'une interruption selon 6 axes complémentaires :

• Financier : perte de chiffre d'affaires direct, pénalités contractuelles, coûts de récupération, perte de productivité, coût des heures supplémentaires.
• Opérationnel : arrêt de production, retards de livraison, dégradation de la qualité, mobilisation de ressources de secours.
• Réputationnel : couverture médiatique négative, perte de confiance des clients, partage social négatif, atteinte à la marque.
• Juridique et conformité : sanctions administratives, contentieux civils, défaut de notification (RGPD, NIS2, DORA).
• Humain : santé et sécurité des salariés, des clients, des riverains, conséquences sociales.
• Environnemental : pollution, déversements, défaillance d'équipements critiques de protection.

Pour chaque axe, on évalue l'impact à plusieurs paliers temporels : 1 heure, 4 heures, 24 heures, 72 heures, 1 semaine, 1 mois. La courbe d'impact permet de visualiser à quel moment chaque processus devient critique.

Format type d'une fiche BIA par processus :

À la sortie du BIA, on dispose d'une cartographie hiérarchisée des processus. Classification typique :

• Niveau 1 — Vital : processus dont l'arrêt > quelques heures menace la survie. À sauvegarder à tout prix. RTO court, RPO faible. Investissement maximum.
• Niveau 2 — Critique : processus dont l'arrêt > 24 h cause des dégâts importants. RTO 4-24 h, RPO de 1 à 4 h. Stratégie active.
• Niveau 3 — Important : processus dont l'arrêt > 72 h gêne fortement. RTO 24-72 h, RPO 12 h. Stratégie standard.
• Niveau 4 — Non critique : processus dont l'arrêt > 1 semaine reste gérable. RTO > 72 h, RPO > 24 h. Stratégie minimale.

Cette hiérarchisation permet de focaliser l'investissement sur les processus critiques. La règle des 80/20 s'applique souvent : 20 % des processus génèrent 80 % de la criticité. Identifier ces 20 % est l'enjeu du BIA.

Pour une PME industrielle de 200 salariés typique, on observe en général :

• 3 à 5 processus niveau 1 (production, vente, paie, sécurité).
• 8 à 12 processus niveau 2.
• 15 à 25 processus niveau 3.
• 20 à 40 processus niveau 4.

Le BIA doit être validé formellement par la direction générale — c'est elle qui arbitre les niveaux de criticité et engage les budgets associés. Sans cette validation, les arbitrages opérationnels deviendront impossibles.