Régulièrement, le secteur bancaire est ébranlé, comme au début de l’année 2023 suite à la faillite de la Silicon Valley Bank (SVB) et au rachat de Crédit Suisse par UBS. Face aux incertitudes et à la menace d’une crise de plus grande ampleur, il est devenu crucial pour les entreprises de la finance d’élaborer un plan de continuité d’activité (PCA), qui leur permettrait de maintenir leurs activités essentielles face à une crise éventuelle.
–> Découvrir aussi notre article sur le role de la blockchain
Plan de continuité d’activité (PCA) : définition
–> Découvrir aussi notre article sur la sensibiliation cyber
La définition du plan de continuité d’activité (PCA) est donnée par le règlement n° 97-02 du Comité de la réglementation bancaire et financière du 21 février 1997 relatif au contrôle interne des établissements de crédit et des entreprises d’investissement, mis à jour en 2005.
Le PCA est défini comme l’ensemble des mesures établies par une organisation et qui permettent d’anticiper les conséquences d’une crise sur son activité principale. L’objectif est non seulement de se doter des capacités de faire face à cette crise en assurant le maintien (total ou partiel) des tâches opérationnelles essentielles ; mais aussi de prévoir la reprise complète de ces activités à l’issue de la crise.
Le plan de continuité d’activité permet à l’entreprise de répondre à ses obligations externes (engagements contractuels, respect des réglementations…) et internes (image de marque, stratégie, survie de l’organisation…).
–> Découvrir aussi notre article sur le role de l’IA dans la lutte contre les fraudes financières
La mise en place d'un plan de continuité d’activité
Au cours des dernières décennies et plus particulièrement pendant la pandémie de COVID-19, le secteur bancaire et financier a été confronté à de nombreuses crises, plus ou moins importantes. Dans ce contexte mouvant, les entreprises doivent plus que jamais faire preuve de résilience pour surmonter les crises et limiter leur impact sur la sécurité des données utilisateurs, leur chiffre d’affaires, leur réputation ou leur fonctionnement en interne.
PCA simplifié et PCA complet
Le plan de continuité d’activité peut être complet ou simplifié. Les entreprises qui n’ont pas de stratégie de gestion des risques identifiée pourront mettre en place un PCA simplifié, c’est-à-dire se concentrer sur des actions majeures prioritaires qui lui permettront de maintenir ses activités essentielles pendant la crise et de les rétablir après.
Le PCA complet, lui, s’intègre dans la stratégie de gestion des risques de l’organisation. Il est privilégié par les banques et les assurances, qui sont responsables de procédures incluant la manipulation de données sensibles, et se doivent donc de mettre en place une stratégie de gestion des risques efficace.
Les étapes de la mise en place d'un PCA
Pour mettre en œuvre un plan de continuité d’activité, les entreprises doivent d’abord définir le périmètre géographique et fonctionnel qui sera pris en compte dans ce plan. Ensuite, elles doivent formaliser les besoins de continuité de manière concrète. Autrement dit, il est nécessaire d’identifier, pour chaque activité essentielle, le niveau de service minimal à maintenir et la durée maximale d’indisponibilité que l’entreprise peut tolérer.
Une fois les activités essentielles identifiées, l’entreprise doit analyser les risques prioritaires ainsi que les risques résiduels qui risquent de se produire malgré les actions de prévention mises en place.
Ensuite, elle pourra formaliser les procédures qui seront déployées en cas de crise et définir la stratégie de continuité. Pour cela, elle doit identifier les méthodes de veille et les mesures de communication qui permettront d’informer les responsables en cas de signal d’alerte.
Une fois que toute la stratégie a été mise en place, l’entreprise doit produire un document écrit qui servira de guide en cas de crise. régulièrement, des contrôles devront être menés pour s’assurer que ces mesures sont toujours à jour. L’entreprise pourra faire évoluer le PCA autant que besoin en fonction des résultats de ces contrôles.
Les responsables du PCA
Il est indispensable de définir des représentants du plan de continuité d’activité. Généralement, il est soutenu par la cellule de gestion de crise de l’organisation. Un responsable du PCA doit être nommé pour piloter les actions à déployer en cas de crise, conformément au plan établi par l’entreprise. Il travaille en coordination avec le responsable de la gestion de crise.
Bon à savoir : Pour mettre en place un plan de continuité d’activité, les entreprises peuvent se baser sur la norme ISO 22301, référentiel international qui fournit un cadre méthodologique pour anticiper et gérer les crises. Il est important d’intégrer les principes de la norme ISO 22301 à sa stratégie de résilience pour minimiser l’impact d’une crise sur l’état de santé financier et la réputation de l’entreprise.
