ISO 22301 : continuité d'activité
ISO 22301 obligatoire : ce qui est vraiment exigé
Non, l'ISO 22301 n'est pas obligatoire en soi : la certification est volontaire. Elle le devient dans les faits dès qu'un client, un appel d'offres ou un contrat-cadre la réclame. Dans ce cas, vous pouvez l'obtenir en ligne, sans audit sur site.
01: Cadre
L'ISO 22301 est-elle obligatoire par la loi ?
L'ISO 22301 est une norme volontaire. Personne ne vous oblige à la mettre en oeuvre ni à vous faire certifier, et une norme ISO n'a pas force de loi par elle-même.
Certains secteurs, la finance ou la santé par exemple, formulent leurs propres attentes en matière de continuité d'activité. Ces attentes viennent d'une autorité de surveillance ou d'un contrat, pas de la norme. Demandez à votre client ou à votre autorité quel texte s'applique à votre cas et quelle preuve il attend. Cette page ne constitue pas un avis juridique.
02: Pratique
Quand l'ISO 22301 devient-elle obligatoire dans les faits ?
L'obligation naît presque toujours d'un document que vous recevez, pas d'un texte de loi.
- Questionnaire fournisseur
- Le service achats d'une banque, d'un assureur ou d'un groupe industriel demande si votre système de continuité d'activité est certifié. Un « non » coûte des points, parfois le dossier.
- Appel d'offres
- Certains cahiers des charges font de l'ISO 22301 un critère d'éligibilité ou de notation. Sans certificat à joindre, l'offre peut être écartée.
- Audit client
- Un client qui externalise un processus critique veut savoir ce qui se passe si vous tombez en panne. Un certificat répond à une partie de ses questions avant la visite.
- Clause de la chaîne d'approvisionnement
- Quand votre donneur d'ordre répercute ses propres exigences sur ses fournisseurs, la demande arrive chez vous sous forme de clause contractuelle.
Dans ces quatre cas, l'obligation est contractuelle. Elle pèse sur votre chiffre d'affaires, même si aucune loi ne l'écrit.
03: Secteurs
Qui reçoit ces demandes le plus souvent ?
Le tableau décrit des situations courantes. Ce n'est pas une liste officielle.
| Secteur | Ce que le client demande | Qui pose la question |
|---|---|---|
| Prestataires informatiques et cloud | Preuve de continuité pour les services exploités pour le client | Achats et sécurité de l'information du client |
| Fournisseurs de banques et d'assurances | Réponse au questionnaire sur les prestataires externes | Achats et gestion des risques |
| Logistique et transport | Clause de continuité dans le contrat-cadre | Direction des achats du donneur d'ordre |
| Production dans les chaînes d'approvisionnement | Preuve de la capacité de livrer malgré une panne ou une rupture | Qualité fournisseurs |
| Santé et approvisionnement en énergie | Garantie de continuité du service | Direction ou achats |
| Outsourcing et processus métier | Plans de reprise pour les processus externalisés | Le client, lors de l'audit |
04: Contenu
Ce que la norme demande réellement
Comme les autres normes ISO de système de management, l'ISO 22301 suit une structure en dix chapitres, du contexte (chapitre 4) à l'amélioration (chapitre 10). Le chapitre 8, consacré à l'exploitation, concentre l'analyse d'impact et les plans de continuité. Voici les exigences centrales.
Bilan d'impact sur l'activité
Vous identifiez les activités prioritaires et ce qu'une interruption coûterait.
Délais de reprise et pertes de données
Vous fixez le RTO, le délai de reprise visé, et le RPO, la perte de données admissible.
Appréciation des risques
Vous évaluez les risques de perturbation et décidez comment les traiter.
Stratégies de continuité
Vous choisissez et mettez en place les solutions : site de repli, sauvegardes, fournisseur alternatif.
Plans et organisation de crise
Vous documentez les plans et définissez qui décide, qui agit et qui informe.
Exercices et amélioration
Vous testez les plans à intervalles réguliers et corrigez ce que l'exercice révèle.
05: Zertify
Obtenir le certificat rapidement quand un client le demande
Le parcours Zertify commence par une évaluation en ligne de 34 questions auxquelles on répond par oui ou non. Treize d'entre elles sont éliminatoires : toutes doivent recevoir un oui. Ce sont les questions centrales de l'évaluation, elles ne couvrent pas chaque exigence de la norme. Parmi les 21 autres, au moins 14 oui sont nécessaires. Vous n'avez pas besoin de compte pour acheter.
SICE, l'Institut suisse de certification et de formation, examine chaque évaluation avant l'émission. Le certificat est ensuite délivré par Zertify sous licence de SICE, dans les 4 heures qui suivent l'évaluation réussie et le paiement. Il n'y a pas d'audit sur site. Chaque certificat porte un numéro et un code QR, et sa validité se contrôle sur une page de vérification publique.
Le certificat coûte 749 CHF la première année, puis 499 CHF par an, réaudit annuel en ligne inclus. Il est valable 3 ans. L'abonnement annuel se renouvelle automatiquement. Vous le résiliez à tout moment dans votre compte client, avec effet à la fin de l'année en cours. Une remise de 20 % s'applique pour deux normes, de 30 % dès trois, y compris sur la cotisation annuelle. Les prix incluent la TVA suisse de 8,1 % pour les clients en Suisse et au Liechtenstein.
06: Réponse
Que répondre au client une fois le certificat obtenu ?
Relisez d'abord la formulation de la demande. « Certifié ISO 22301 » n'a pas le même sens que « certificat issu d'un audit sur site par un organisme de certification ». Si le texte ne précise rien, le certificat Zertify répond à la question posée. S'il précise la seconde forme, écrivez au client avant de payer quoi que ce soit.
Joignez le PDF au questionnaire ou à l'offre. Le client peut scanner le code QR ou saisir le numéro sur la page de vérification, sans vous écrire. La voie classique, avec audit sur site, reste la bonne réponse si le contrat l'impose expressément.
07: FAQ
Questions fréquentes sur l'ISO 22301 obligatoire
La norme est volontaire et la certification ne s'impose pas d'elle-même. Un client, une autorité de surveillance ou un cahier des charges peut toutefois l'exiger pour une activité précise. Vérifiez ce que prévoit votre contrat ou votre cadre sectoriel.
Demandez par écrit quelle preuve il attend et pour quelle date. Passez ensuite l'évaluation en ligne pour savoir où vous en êtes. Si vous la réussissez, le certificat est émis dans les 4 heures suivant le paiement.
Avec Zertify, non. Le certificat repose sur une évaluation en ligne examinée par SICE, puis sur un réaudit annuel en ligne. Si votre client exige expressément un audit sur site, la voie classique avec un organisme de certification est celle qu'il faut suivre.
Chaque certificat a un numéro et un code QR imprimé sur le PDF. Le client les saisit ou les scanne sur la page de vérification publique de Zertify. Il voit immédiatement si le certificat est valide.
Vous résiliez à tout moment dans votre compte client, avec effet à la fin de l'année en cours. Le certificat prend fin avec l'année payée. Vous gardez donc la preuve jusqu'à cette date.
08: Guide
Pages liées
Votre client attend une réponse sur l'ISO 22301
Répondez aux 34 questions et sachez en quelques minutes si vous remplissez les conditions du certificat.
Gratuit et sans inscription.