ISO 22301 pour entreprises de services

Une entreprise de services n'a pas de stock à écouler. Elle livre du temps, des compétences et des systèmes. Quand la messagerie, l'outil de tickets ou la plateforme cloud s'arrête, la prestation s'arrête avec eux, et le client le constate dans l'heure.

Les services achats connaissent ce risque. De nombreux questionnaires fournisseurs comportent une rubrique sur la continuité d'activité, et certains appels d'offres exigent la preuve que le prestataire a identifié ses activités critiques. Répondre par une déclaration d'intention ne suffit pas toujours.

Un certificat ISO 22301 donne une réponse documentée et vérifiable. Lors d'un audit client, il évite de reprendre chaque question depuis zéro.

ISO 22301 part de vos activités, pas de l'informatique seule. Voici les notions centrales, avec des exemples tirés de métiers de services.

Activité critique

La prestation dont l'arrêt pénalise le client le plus vite. Pour un prestataire de support, c'est la prise en charge des tickets urgents. Pour une fiduciaire, c'est la remise des décomptes de salaires à date fixe.

RTO (délai de reprise)

Le temps maximal avant qu'une activité redémarre. Une agence qui héberge le site de ses clients peut fixer quatre heures pour la remise en ligne, et vérifier qu'elle en est capable.

RPO (perte de données admissible)

La quantité de travail que vous acceptez de perdre. Un cabinet de conseil qui sauvegarde ses dossiers chaque nuit accepte de perdre une journée. Si ce n'est pas tolérable, le rythme de sauvegarde change.

Dépendance critique

Un fournisseur, un outil ou une personne sans lesquels la prestation s'arrête. Exemples : l'hébergeur de l'outil de gestion de projets, ou le seul collaborateur qui connaît la configuration d'un client.

Organisation de crise

Qui décide, qui informe les clients, qui remplace qui. Dans une société de services de 40 personnes, trois noms et leurs suppléants suffisent, à condition qu'ils soient écrits et connus.

Les exigences se suivent dans un ordre logique. Voici comment une entreprise de services les traite concrètement.

1. 01

   Bilan d'impact sur l'activité

   Vous listez vos prestations, estimez ce que coûte une journée d'arrêt de chacune et les classez. Un tableau partagé avec la direction suffit pour commencer. Cette analyse relève du chapitre 8 de la norme.

2. 02

   Délais de reprise et pertes admissibles

   Pour chaque activité prioritaire, vous fixez un RTO et un RPO, puis vous les comparez à ce que vos systèmes permettent réellement.

3. 03

   Appréciation des risques de perturbation

   Panne de l'outil principal, indisponibilité d'un site, absence simultanée de plusieurs collaborateurs, défaillance d'un sous-traitant : vous évaluez chaque scénario et décidez de la réponse.

4. 04

   Stratégies de continuité

   Accès à distance pour toute l'équipe, deuxième fournisseur pour la connexion, sauvegardes restaurées hors site, suppléants formés sur les clients sensibles.

5. 05

   Plans et organisation de crise

   Chaque plan tient sur quelques pages : déclencheur, responsable, étapes, contacts clients. Il se trouve ailleurs que sur le serveur qu'il doit aider à remettre en route.

6. 06

   Exercices et amélioration

   Une fois par an au moins, vous simulez une panne, par exemple une matinée sans l'outil principal, et notez ce qui n'a pas fonctionné. Les corrections entrent dans le plan.

Le tableau ci-dessous illustre la démarche avec quatre types de prestataires. Les mesures sont des exemples, à adapter à votre organisation.

Vous répondez en ligne à 34 questions par oui ou non. Treize sont des questions éliminatoires : toutes doivent recevoir la réponse oui. Il faut en outre au moins 14 oui parmi les 21 autres. Ces questions portent sur le cœur de l'évaluation, pas sur chaque exigence de la norme. Aucun audit sur site n'a lieu.

Le certificat est émis par Zertify sous licence de SICE, l'institut suisse de certification et de formation, qui examine chaque évaluation avant l'émission. Il coûte 749 CHF la première année, puis 499 CHF par an, re-audit en ligne annuel inclus. Sa validité est de 3 ans. L'abonnement est reconduit automatiquement et se résilie à tout moment dans l'espace client, pour la fin de l'année en cours. Une remise de 20 % s'applique pour deux normes, 30 % dès trois, y compris sur la cotisation annuelle. Aucun compte n'est nécessaire pour acheter.

Si vous hésitez entre cette voie et la voie classique avec audit sur site par un organisme de certification, le guide de comparaison détaille les différences.

• Page de la norme ISO 22301
• Voir les prix
• Démarrer l'auto-évaluation gratuite

Le certificat arrive en PDF avec un numéro et un code QR. Votre client, ou son service achats, les saisit ou les scanne sur la page de vérification publique et voit immédiatement si le certificat est valide.

Joignez le PDF à votre prochaine réponse de questionnaire fournisseur ou à votre dossier d'offre. Mentionnez le numéro dans la signature de vos offres si vos clients le demandent. Le re-audit en ligne de chaque année confirme que le certificat reste d'actualité.

• Comparer les voies de certification
• Certification sans audit sur site