ISO 22301 pour finance : prouver que vos services continuent en cas de panne

Une banque qui confie le traitement de ses paiements, l'archivage de ses documents ou son support informatique à un tiers reste responsable envers ses clients quand ce tiers s'arrête. C'est pourquoi le questionnaire fournisseur contient presque toujours une question sur la continuité d'activité. Avez-vous un plan, est-il testé, quand l'a-t-il été pour la dernière fois ?

Un certificat ISO 22301 répond à ces questions par un document que le service achats peut classer au dossier. Il apparaît aussi dans les appels d'offres d'assureurs, de caisses de pension et de gestionnaires de fortune qui sous-traitent une partie de leurs opérations.

Pour une PME financière, fiduciaire, courtier, fintech ou prestataire de back-office, la demande vient souvent d'un seul grand client. Mieux vaut détenir le certificat avant de répondre à l'appel d'offres que le promettre pour plus tard.

• La norme ISO 22301 en détail

ISO 22301 ne part pas d'une liste de menaces mais des activités qui ne peuvent pas s'arrêter. Dans le secteur financier, ces activités sont faciles à nommer.

Exécution des paiements

Un lot de virements qui ne part pas avant l'heure limite bloque les clients de votre client. Le délai de reprise (RTO) de ce processus se compte en heures, pas en jours.

Plateforme de négoce ou de gestion

Une panne de la plateforme pendant les heures de marché crée une perte immédiate. La perte de données admissible (RPO) y est proche de zéro.

Traitement des sinistres

Chez un assureur ou un courtier, une inondation de bureaux ou une panne du système de gestion des sinistres retarde les indemnisations. Un mode de travail de secours doit être défini.

Ouverture de comptes et identification des clients

Si l'outil d'identification est indisponible, l'accueil de nouveaux clients s'arrête. Une procédure manuelle de remplacement limite la perte.

Prestataire cloud ou informatique

La défaillance d'un fournisseur critique touche plusieurs processus à la fois. L'évaluation de ce risque et une solution de rechange font partie de l'analyse.

Pandémie ou indisponibilité des locaux

Une équipe qui ne peut plus accéder au bureau doit pouvoir travailler à distance avec des accès sécurisés, des postes préparés et des responsabilités claires.

La norme demande un système de management de la continuité d'activité, structuré selon les chapitres 4 à 10 de la structure commune des normes ISO. Le tableau montre à quoi ressemblent les exigences principales dans une petite structure financière.

L'évaluation pose des questions oui ou non sur votre système. Vous y répondez plus vite si les documents suivants existent déjà.

1. 01

   Liste des processus critiques

   Nommez les activités qui ne peuvent pas s'arrêter et la personne responsable de chacune.

2. 02

   Délais de reprise et pertes de données admissibles

   Fixez un RTO et un RPO par processus et vérifiez qu'ils correspondent à vos sauvegardes réelles.

3. 03

   Plan de continuité et liste de crise

   Rédigez un plan court, avec les numéros de téléphone à jour et un remplaçant pour chaque rôle clé.

4. 04

   Trace d'un exercice

   Conservez le compte rendu d'un test, même simple : restauration de sauvegarde, bascule en télétravail ou appel de la cellule de crise.

5. 05

   Engagement de la direction

   Une décision écrite de la direction qui fixe l'objectif de continuité et attribue les ressources.

L'auto-évaluation compte 34 questions oui ou non. Treize d'entre elles sont éliminatoires : vous devez toutes y répondre oui. Ce sont les questions centrales de l'évaluation, non l'ensemble des exigences de la norme. Parmi les 21 autres, au moins 14 réponses oui sont nécessaires. Vous n'avez pas besoin de compte pour commencer ni pour acheter.

Le certificat est émis par Zertify sous licence de SICE (Swiss Institute of Certification and Education), et SICE examine chaque évaluation avant l'émission. Il n'y a pas d'audit sur site. Après réussite et paiement, vous le recevez dans les 4 heures sous forme de PDF avec un numéro et un code QR. Votre client ouvre la page de vérification publique et contrôle le certificat lui-même.

Le prix est de 749 CHF la première année, puis de 499 CHF par an, re-audit en ligne annuel inclus. Le certificat est valable 3 ans et confirmé chaque année par ce court re-audit. L'abonnement annuel est résiliable à tout moment dans votre compte client, jusqu'à la fin de l'année en cours. Si vous résiliez, le certificat prend fin avec l'année payée. La TVA suisse de 8,1 % est comprise pour les clients en Suisse et au Liechtenstein.

Si votre client demande aussi ISO 27001, un rabais de 20 % s'applique pour deux normes et de 30 % à partir de trois, y compris sur la cotisation annuelle.

• Démarrer l'auto-évaluation gratuite
• Voir les prix
• Page de la norme ISO 22301

La voie classique passe par un audit sur site réalisé par un organisme de certification. Elle demande plus de temps de préparation et mobilise vos équipes pendant l'audit. Certains grands donneurs d'ordre précisent dans leur cahier des charges quel type de certificat ils attendent.

Relisez donc le questionnaire fournisseur ou l'appel d'offres avant de choisir. Si le texte parle simplement d'un certificat ISO 22301 valide et vérifiable, la voie en ligne répond à cette demande. En cas de doute, posez la question à l'acheteur avant de commencer.

• Comparer les voies de certification
• Certification sans audit sur site