BIA Business Impact Analysis.

Ce qu'une BIA fait réellement

Une Business Impact Analysis répond à une question dont dépend le reste du programme de continuité : si cette activité s'arrête, quelle est la gravité de la situation, et à quelle vitesse ? Vous prenez chaque activité métier, vous la projetez dans le temps et vous décrivez les conséquences de son interruption à chaque intervalle. Certaines activités font mal en quelques minutes, le traitement des paiements ou le bureau des admissions d'un hôpital. D'autres peuvent rester à l'arrêt plusieurs jours avant que quiconque en dehors de l'équipe ne s'en aperçoive. La BIA est ce qui distingue les deux, afin que les ressources de reprise, rares, aillent là où le préjudice s'accumule le plus vite plutôt que là où se trouve le manager le plus bruyant.

L'impact est évalué selon plusieurs dimensions, et pas seulement la perte de chiffre d'affaires. La perte financière est la plus évidente, mais une BIA sérieuse capture aussi l'exposition réglementaire et juridique, les pénalités contractuelles, la sécurité des personnes et l'atteinte à la réputation. Une conséquence anodine en euros peut être existentielle en matière de confiance. L'intérêt d'examiner plusieurs dimensions est que l'activité qui arrive en tête sur le plan financier est rarement la même que celle qui arrive en tête sur le plan juridique ou de la sécurité, et le conseil d'administration doit toutes les voir avant de fixer ses priorités.

De l'impact aux objectifs

La BIA ne s'arrête pas à la description. Elle produit les chiffres sur lesquels repose la stratégie de reprise. À mesure que l'impact augmente dans le temps, vous atteignez le point où il devient inacceptable. Ce seuil fixe le recovery time objective, la durée maximale tolérable pendant laquelle l'activité peut rester à l'arrêt. Le recovery point objective découle du même exercice côté données : quelle quantité de travail récent, mesurée en temps, peut être perdue avant que la perturbation ne cause un préjudice inacceptable. Le minimum business continuity objective décrit le niveau de fonctionnement réduit que vous devez maintenir pendant la perturbation, pas le service complet, mais assez pour rester viable.

Ces produits sont l'entrée formelle de la stratégie de continuité. Un recovery time objective est une exigence imposée à la solution de reprise, pas un souhait. Si la BIA indique qu'une activité doit être rétablie dans un délai serré, la stratégie et le budget doivent le permettre, ou l'organisation doit consciemment accepter l'écart. C'est pourquoi la BIA est le document qui devrait être validé par les responsables métier et lu par le conseil d'administration, plutôt que rédigé par l'IT de manière isolée.

Où se situe la BIA dans les normes

Sous ISO 22301, la BIA est une étape obligatoire de la mise en place d'un système de management de la continuité d'activité. La norme attend de vous que vous déterminiez les activités qui soutiennent la fourniture des produits et services, que vous évaluiez les impacts dans le temps de leur non-exécution, et que vous vous en serviez pour fixer des délais de reprise priorisés. La BIA alimente directement l'appréciation des risques et le choix de la stratégie de continuité. Sous DORA, la même logique s'applique à la résilience opérationnelle numérique : les entités financières sont censées comprendre l'impact d'une perturbation sur leurs fonctions critiques ou importantes, et cette compréhension commence par une analyse d'impact.

Une BIA n'est pas une appréciation des risques, et confondre les deux affaiblit l'une et l'autre. L'appréciation des risques demande ce qui pourrait provoquer une perturbation et quelle en est la probabilité. La BIA est délibérément agnostique vis-à-vis des menaces : elle demande à quel point une perturbation fait mal, quelle qu'en soit la cause, que le déclencheur soit une cyberattaque, une inondation ou un fournisseur défaillant. Vous les menez comme des exercices complémentaires. La BIA vous dit ce qui doit être protégé et à quelle vitesse cela doit être rétabli ; l'appréciation des risques vous dit ce qui est le plus susceptible de le menacer. Ensemble, elles justifient l'orientation des investissements de continuité.

Concrètement, une BIA est répétée selon un cycle et après tout changement majeur, parce que les activités, les dépendances et les tolérances dérivent. Le fournisseur qui était périphérique l'an dernier est désormais sur votre chemin critique ; le processus que vous pouviez perdre pendant deux jours est désormais en contact avec le client. Une BIA vieille de deux restructurations n'est qu'une décoration.