ISO 22301:2019
Checklist ISO 22301 : 19 points à contrôler avant la certification
Cette checklist suit les clauses 4 à 10 de la norme et indique, pour chaque point, la preuve que vous avez probablement déjà dans vos dossiers. Si vous cochez la plupart des cases, vous êtes prêt pour l'auto-évaluation en ligne de Zertify. Les cases manquantes vous disent ce qu'il reste à écrire ou à tester.
01: Clauses 4 et 5
Contexte et direction : ce qui encadre le système
Un système de management de la continuité d'activité (SMCA) commence par une décision sur ce qu'il couvre et qui en répond. Ces quatre points sont rapides à traiter si l'entreprise a déjà répondu à un questionnaire fournisseur sur la continuité.
Le périmètre du SMCA est défini par écrit.
Preuve : une page qui liste les sites, services et systèmes inclus, et ceux qui sont exclus avec la raison.
Les parties intéressées et leurs attentes sont connues.
Preuve : un tableau avec clients, autorités, assureurs et fournisseurs clés, complété par les clauses de continuité de vos contrats et les questionnaires reçus.
Une politique de continuité existe et la direction l'a signée.
Preuve : un document daté d'une à deux pages, avec la signature de la direction et la mention de l'engagement d'amélioration.
Les rôles sont attribués, suppléants compris.
Preuve : un organigramme de crise, une liste d'astreinte à jour et les noms des personnes qui peuvent déclencher un plan.
02: Clauses 6 et 7
Planification et ressources : objectifs, moyens, compétences
Ici, la norme demande des objectifs mesurables et les moyens de les atteindre. Un objectif tel que « être résilient » ne passe pas. Une durée maximale d'interruption par service passe.
Des objectifs de continuité mesurables sont fixés.
Preuve : une liste des services avec la durée d'interruption que l'entreprise accepte, approuvée par la direction.
Les risques et opportunités liés au SMCA sont consignés.
Preuve : un registre court, avec responsable et échéance pour chaque entrée.
Les ressources nécessaires sont prévues.
Preuve : une ligne budgétaire ou une décision pour le site de repli, les sauvegardes hors site et les licences de secours.
Les personnes concernées savent quoi faire.
Preuve : une feuille de présence d'une courte formation ou d'un briefing, avec la date.
Les plans sont maîtrisés et accessibles pendant une panne.
Preuve : un numéro de version, une date de validation et une copie hors ligne ou sur papier, car un plan stocké sur le serveur en panne ne sert à rien.
03: Clause 8
Clause 8 : le cœur de la checklist ISO 22301
La clause 8 porte le poids de la norme. Un client qui audite votre continuité regarde presque toujours ces six points en premier, et il demande la date du dernier exercice.
Un bilan d'impact sur l'activité (BIA) identifie les activités prioritaires.
Preuve : un tableau qui montre, pour chaque activité, ce qui se passe après une heure, un jour et une semaine d'arrêt.
Les délais de reprise (RTO) et les pertes de données admissibles (RPO) sont fixés.
Preuve : deux valeurs par activité critique, validées par le responsable du processus et par la direction.
Les risques de perturbation sont appréciés et traités.
Preuve : une analyse qui couvre au moins panne informatique, rupture d'approvisionnement, incendie et absence massive de personnel, avec les mesures décidées.
Des stratégies et solutions de continuité sont en place.
Preuve : un contrat de site de repli, un second fournisseur qualifié, une restauration de sauvegarde réussie, un accès à distance prévu pour l'équipe.
Les plans de continuité et l'organisation de crise sont documentés.
Preuve : des plans avec déclencheurs, étapes, responsables et canaux de communication interne et externe.
Les plans sont exercés.
Preuve : un compte rendu d'exercice avec date, scénario, participants, résultats et points à corriger. Une restauration de données testée compte comme exercice.
04: Clauses 9 et 10
Évaluation et amélioration : prouver que le système vit
Les clauses 9 et 10 vérifient que le SMCA ne reste pas un classeur. Les preuves se créent en un cycle annuel : mesurer, auditer, décider, corriger.
Des indicateurs sont suivis.
Preuve : par exemple le temps de restauration mesuré lors des tests, comparé au RTO fixé.
Un audit interne a eu lieu.
Preuve : un rapport d'une personne qui ne gère pas elle-même le SMCA, avec ses constats.
La direction a revu le système.
Preuve : un procès-verbal de revue avec décisions et ressources accordées.
Les écarts sont corrigés et suivis.
Preuve : une liste d'actions issues des exercices, des audits ou d'un incident réel, avec responsable, date et statut.
05: Preuves
Quelles preuves rassembler pour chaque clause ?
Beaucoup d'entreprises possèdent déjà la moitié de ces documents sous d'autres noms : plan de reprise informatique, procédure d'urgence, contrat de maintenance. Le tableau indique où les chercher.
| Clause | Preuve à rassembler | Où la trouver |
|---|---|---|
| 4 Contexte | Périmètre, liste des parties intéressées | Contrats clients, questionnaires fournisseurs |
| 5 Leadership | Politique signée, rôles de crise | Direction, ressources humaines |
| 6 Planification | Objectifs de continuité, registre des risques | Gestion des risques, comité de direction |
| 7 Support | Budget, formations, plans versionnés | Finance, informatique, qualité |
| 8 Fonctionnement | BIA, RTO et RPO, plans, comptes rendus d'exercice | Responsables de processus, informatique |
| 9 Évaluation | Indicateurs, rapport d'audit interne, revue de direction | Qualité, procès-verbaux |
| 10 Amélioration | Liste d'actions correctives | Suivi des actions, gestion des incidents |
Pour chaque ligne, une preuve datée et signée vaut mieux qu'un long document sans date.
06: Avec Zertify
Passer de la checklist à un certificat ISO 22301
L'auto-évaluation de Zertify comprend 34 questions auxquelles vous répondez par oui ou par non. Treize d'entre elles sont des questions éliminatoires : toutes doivent recevoir un oui. Parmi les 21 autres, au moins 14 réponses positives sont nécessaires. Ces questions reprennent le noyau de l'évaluation, pas chaque exigence de la norme. Votre checklist vous sert donc de préparation, pas de substitut.
SICE examine chaque évaluation avant l'émission. Zertify délivre ensuite le certificat sous licence de SICE, dans un délai de 4 heures après la réussite et le paiement. Il n'y a pas d'audit sur site. Le numéro et le code QR du PDF mènent à une page de vérification publique, que votre service des achats ou un client peut consulter.
Le prix est de 749 CHF la première année, puis de 499 CHF par an, nouvel audit en ligne annuel compris. Le certificat est valable 3 ans. L'abonnement se résilie à tout moment dans votre compte, pour la fin de l'année en cours. Pour comparer cette voie avec l'audit sur site par un organisme de certification, consultez le guide sur les voies de certification.
07: FAQ
Questions fréquentes sur la checklist ISO 22301
Il n'existe pas de nombre officiel. La checklist de cette page compte 19 points, regroupés selon les clauses 4 à 10 de la norme. Elle sert à repérer ce qui manque avant l'évaluation, elle ne remplace pas le texte de l'ISO 22301:2019.
Oui. Le BIA est la base de tout le système : il désigne les activités prioritaires et fixe les délais de reprise. Sans lui, les RTO et RPO n'ont aucune justification.
La norme exige que les plans soient exercés et améliorés régulièrement. Un test de restauration de données, un exercice de communication de crise ou une simulation de panne informatique comptent. Gardez un compte rendu daté pour chacun.
Il couvre une partie de la clause 8, mais pas le reste. La norme attend aussi une organisation de crise, la prise en compte des ruptures d'approvisionnement et des absences de personnel, ainsi qu'une revue de direction.
Cela dépend de la documentation déjà disponible. Si les preuves existent, l'auto-évaluation en ligne se remplit directement. Si le BIA ou les exercices manquent, il faut d'abord les réaliser. Après la réussite et le paiement, le certificat arrive dans les 4 heures.
08: Guide
Pages liées
Vérifiez où vous en êtes avec l'ISO 22301
Répondez aux 34 questions de l'auto-évaluation et sachez tout de suite si votre continuité d'activité est prête pour le certificat.
Gratuit et sans inscription.