ISO 22301:2019
ISO 22301 exigences : ce que la norme demande à votre entreprise
ISO 22301 décrit comment une entreprise maintient ses activités critiques lors d'une panne informatique, d'une rupture d'approvisionnement, d'un incendie ou d'une pandémie. Les exigences suivent la structure habituelle des normes de management, des chapitres 4 à 10. Cette page les explique en langage courant et indique ce que vous devez documenter.
01: Vue d'ensemble
Que demande la norme ISO 22301 ?
La norme exige un système de management de la continuité d'activité, le SMCA. Concrètement : vous savez quelles activités ne peuvent pas s'arrêter, vous avez fixé combien de temps une interruption est tolérable, et vous disposez de plans que vous avez réellement testés.
Les exigences sont regroupées en sept chapitres numérotés de 4 à 10. Les chapitres 1 à 3 (domaine d'application, références, termes) ne contiennent pas d'exigence à remplir. Le tableau donne le tracé général, les sections suivantes détaillent chaque bloc.
| Chapitre | Thème | Ce que vous documentez en général |
|---|---|---|
| 4 | Contexte de l'organisation | Domaine d'application, parties intéressées, exigences légales et contractuelles |
| 5 | Leadership | Politique de continuité, rôles et responsabilités |
| 6 | Planification | Risques et opportunités, objectifs de continuité |
| 7 | Support | Ressources, compétences, communication, informations documentées |
| 8 | Fonctionnement | Bilan d'impact, appréciation des risques, stratégies, plans, exercices |
| 9 | Évaluation des performances | Indicateurs, audit interne, revue de direction |
| 10 | Amélioration | Non-conformités, actions correctives |
02: Chapitres 4 à 7
Contexte, direction, planification et moyens : les chapitres 4 à 7
Ces quatre chapitres posent le cadre. Ils ne parlent pas encore de plans de secours, mais sans eux le reste n'a pas de base.
- Chapitre 4, contexte de l'organisation
- Vous décrivez ce qui influence votre continuité : clients, fournisseurs, autorités, contrats avec pénalités. Vous fixez le périmètre du SMCA, par exemple un site ou un service. Document attendu : une description du périmètre et la liste des exigences de vos parties intéressées.
- Chapitre 5, leadership
- La direction s'engage, signe la politique de continuité et nomme les responsables. Une personne doit savoir qui décide en cas de crise. Document attendu : la politique et un organigramme de crise.
- Chapitre 6, planification
- Vous identifiez les risques et opportunités liés au système, puis vous fixez des objectifs de continuité mesurables. Un exemple : reprendre la facturation en moins de 24 heures. Document attendu : un registre des risques et la liste des objectifs.
- Chapitre 7, support
- Il s'agit des ressources, des compétences, de la sensibilisation du personnel, de la communication interne et externe et de la maîtrise des documents. Document attendu : preuves de formation, liste de contacts d'urgence, règles de gestion documentaire.
03: Chapitre 8
Les exigences opérationnelles du chapitre 8
Le chapitre 8 est le cœur de la norme et de ce que vos clients vérifient lors d'un audit. Il suit l'ordre logique d'un projet de continuité.
Bilan d'impact sur l'activité (8.2)
Pour chaque activité, vous mesurez les conséquences d'un arrêt dans le temps et vous fixez les priorités. Résultat : une liste d'activités critiques avec leurs dépendances, comme un système, un fournisseur ou une équipe.
Délais de reprise et pertes de données
Pour chaque activité prioritaire, vous définissez le RTO, le délai de reprise visé, et le RPO, la perte de données admissible. Un RPO d'une heure signifie que la sauvegarde doit être au plus aussi ancienne.
Appréciation des risques (8.2)
Vous évaluez ce qui peut interrompre vos activités critiques : panne du centre de calcul, indisponibilité d'un fournisseur unique, absence massive de personnel. Les risques inacceptables reçoivent un traitement.
Stratégies et solutions de continuité (8.3)
Vous choisissez comment tenir vos RTO : site de repli, deuxième fournisseur, travail à distance, stock de sécurité. Le choix est justifié et budgété.
Plans et procédures de continuité (8.4)
Vous rédigez l'organisation de crise et les procédures : qui alerte qui, quelles étapes, quels contacts. Les plans doivent être utilisables par une personne qui n'a pas écrit le document.
Exercices et tests (8.5)
Les plans sont exercés selon un programme. Vous conservez le compte rendu de chaque exercice, les écarts constatés et les corrections décidées.
04: Chapitres 9 et 10
Contrôler et améliorer le système : chapitres 9 et 10
Le chapitre 9 demande de mesurer. Vous suivez des indicateurs, par exemple le nombre d'exercices réalisés ou les RTO atteints lors des tests. Un audit interne vérifie ensuite que le système fonctionne comme décrit. La direction examine les résultats lors d'une revue au moins une fois par an, et le procès-verbal fait foi.
Le chapitre 10 traite des écarts. Quand un exercice échoue ou qu'un incident révèle une faille, vous enregistrez la non-conformité, vous en cherchez la cause et vous corrigez. Les corrections doivent être suivies jusqu'à leur clôture.
05: Avec Zertify
Vérifier vos exigences avec l'auto-évaluation Zertify
L'auto-évaluation en ligne comprend 34 questions auxquelles vous répondez par oui ou non. Treize d'entre elles sont éliminatoires : toutes doivent recevoir un oui. Parmi les 21 autres, au moins 14 réponses positives sont nécessaires. Ces questions portent sur les points centraux de la norme, pas sur chacune de ses exigences.
Le certificat est émis par Zertify sous licence de SICE, qui examine chaque évaluation avant l'émission. Il n'y a pas d'audit sur site. Après réussite et paiement, vous le recevez dans les 4 heures. Son numéro et son code QR renvoient à une page de vérification publique que vos clients peuvent consulter.
Le tarif est de 749 CHF la première année, puis de 499 CHF par an, re-audit en ligne annuel inclus. Le certificat est valable 3 ans. Vous pouvez résilier à tout moment dans votre compte, jusqu'à la fin de l'année en cours.
06: Comparer
Faut-il choisir la voie classique avec audit sur site ?
Certains donneurs d'ordre, notamment dans la banque, exigent dans leurs questionnaires fournisseurs une forme de certification précise. Lisez ces exigences avant de décider. Si elles ne précisent pas la voie, le certificat en ligne répond en général à la question posée.
Le guide sur les voies de certification compare la voie classique, avec un audit sur site par un organisme de certification, et la voie en ligne.
07: FAQ
Questions fréquentes sur les exigences de l'ISO 22301
Un bilan d'impact sur l'activité, des RTO et RPO fixés pour les activités prioritaires, une appréciation des risques de perturbation, des stratégies de continuité, des plans documentés et des exercices réguliers. S'y ajoutent l'engagement de la direction, l'audit interne et l'amélioration continue.
La norme demande des informations documentées plutôt qu'une liste fixe de manuels. On attend notamment le périmètre, la politique de continuité, les objectifs, le bilan d'impact, l'appréciation des risques, les plans de continuité, les comptes rendus d'exercices, les résultats d'audit interne et le procès-verbal de la revue de direction.
Le RTO est le délai dans lequel une activité doit être reprise après une interruption. Le RPO est la quantité de données que vous acceptez de perdre, exprimée en temps. Un RTO de quatre heures et un RPO d'une heure signifient que le système repart en quatre heures avec des données vieilles d'une heure au plus.
Les exigences s'appliquent au périmètre que vous définissez. Une PME peut limiter le SMCA à ses activités critiques, ce qui réduit la charge de travail. L'ampleur des plans dépend de la taille de l'entreprise, mais les chapitres 4 à 10 restent tous à traiter.
La norme impose un programme d'exercices, sans fréquence fixe. Vous la déterminez selon vos risques, et la plupart des entreprises testent au moins une fois par an. Chaque exercice donne lieu à un compte rendu et, si nécessaire, à des corrections.
08: Guide
Pages liées
Où en est votre entreprise face aux exigences de l'ISO 22301 ?
L'auto-évaluation de 34 questions vous montre en quelques minutes ce qui est en place et ce qui manque.
Gratuite et sans inscription.