.png)
Les professionnels de la continuité et de la résilience connaissent souvent leur organisation sous un angle que peu d’autres fonctions possèdent. Activités prioritaires, systèmes applicatifs utilisés, ressources essentielles, fournisseurs (tiers), dépendances internes et externes : notre travail nous donne accès à une quantité importante d’informations sur le fonctionnement de l’organisation et surtout, sur ses vulnérabilités.
Mais tirons-nous pleinement parti de ces connaissances?
Lors d’un webinaire Perspectives de Premier Continuum, Marie-Hélène Primeau, MBCI, CPA, Auditrice principale ISO 22301, vice-présidente principale et spécialiste de la continuité et de la résilience depuis plus de 20 ans, et Philippe Tassé-Gagné, MBCI, M.Env, vice-président, Services-conseils et développement des talents, ont discuté de la façon dont les spécialistes de la résilience peuvent faire évoluer leur rôle pour contribuer davantage aux décisions de l’organisation.
Découvrez quatre points forts de leur échange.
BIA, PCA, stratégies et exercices demeurent au cœur d’un programme de continuité. Mais pour Marie-Hélène Primeau, il faut sauter sur l’occasion et aller au-delà de la réalisation et du maintien de ces livrables pour réfléchir à ce que l’information recueillie peut apporter de plus à l’organisation.
Selon une récente étude du Business Continuity Institute (BCI) (Vision 2030 Report), 63 % des professionnels s’attendraient à ce que le rôle de la continuité et de la résilience soit plus élevé dans l’organisation. De même, près de 70 % considèrent également qu’avoir un rôle plus stratégique deviendra essentiel.
Pour y parvenir, les professionnels doivent bien comprendre les priorités stratégiques de leur organisation. C’est cette compréhension qui leur permettra de mieux anticiper les enjeux à venir, de poser les bonnes questions et, surtout, de reconnaître parmi les données recueillies celles qui peuvent réellement éclairer les décisions de la direction.
« Au lieu d’être en train de gérer des documents, on [devrait] être en train de penser à comment l’information, les données auxquelles j’ai accès peuvent être utiles. De ne pas être dans une posture de conformité, mais davantage de création de valeur. »
— Marie-Hélène Primeau, MBCI, CPA, Auditrice principale de la norme ISO 22301
Prenons un BIA – bilan d’impacts sur les activités. Le livrable permet de documenter les activités prioritaires (ou critiques selon votre vocabulaire interne), leurs dépendances et leurs objectifs de délais de rétablissement (RTO). Mais une fois le BIA terminé, ces informations peuvent aussi être croisées et analysées.
C’est à ce moment que l’information recueillie pour la continuité peut commencer à révéler des vulnérabilités utiles à l’ensemble de l’organisation.
« Il faut faire attention que ce ne soit pas juste accumuler de la donnée pour accumuler de la donnée. C’est vraiment accumuler de la donnée et s’assurer de la valoriser pour que les gens soient en mesure de pouvoir prendre action. »
— Marie-Hélène Primeau, MBCI, CPA, Auditrice principale de la norme ISO 22301
Cette évolution change aussi la façon de mesurer la valeur d’un programme de continuité. De son côté, Philippe Tassé-Gagné a offert un exemple très concret : une organisation a réalisé 32 bilans d’impacts sur les activités (BIA), dont 28 sont complétés et approuvés. Pour le responsable du programme, c’est une information importante. Elle permet de voir où les travaux accusent du retard et d’identifier certains secteurs qui nécessitent davantage d’accompagnement.
Pour la direction, cependant, savoir que 28 documents sur 32 sont approuvés ne mène pas nécessairement à une décision.
« J’ai 32 ateliers de BIA de faits, mais j’en ai juste 28 approuvés : c’est important parce que, des fois, ça identifie des secteurs récalcitrants ou des enjeux particuliers. Mais ce n’est pas ce genre d’indicateurs qui va aider l’organisation à prendre des décisions. »
— Philippe Tassé-Gagné, M.Env., MBCI, CBCP
Imaginons maintenant que l’analyse révèle plutôt que 35 % ou 40 % des membres d’une équipe pourraient prendre leur retraite dans les deux prochaines années. Si plusieurs de ces personnes sont nécessaires à la réalisation d’une activité préalablement priorisée, la donnée prend une tout autre dimension. La question n’est plus de savoir si le plan est complété : l’organisation pourrait devoir réfléchir au transfert des connaissances, à la relève ou à sa dépendance envers certaines personnes.
Philippe donne également l’exemple d’un système critique qui présente des problèmes opérationnels depuis quelques années. Pris individuellement, chaque incident peut sembler maîtrisable. Mais si les données de continuité montrent que plusieurs activités prioritaires dépendent de ce dit système, cette information peut aider à appuyer une discussion sur sa fiabilité, sur les investissements nécessaires et même les ajustements contractuels pertinents.
En somme, la différence est fondamentale. D’une part, affirmer que « 28 plans sur 32 sont complétés » décrit l’état du programme. De l’autre, déceler qu’« une activité priorisée dépend d’une équipe dont une proportion importante pourrait partir à la retraite » révèle un enjeu stratégique sur lequel l’organisation peut agir.
C’est ainsi que le rôle du professionnel en continuité commence alors à changer : il ne fait plus seulement le suivi de son programme. On utilise les informations générées par celui-ci pour mettre en lumière des vulnérabilités qui peuvent influencer les décisions de l’organisation.
Par la nature même de notre travail, les professionnel.le.s de la résilience occupent déjà une position privilégiée pour jouer un rôle plus stratégique. Les BIA, les PCA et les exercices leur donnent accès à une grande quantité d’informations, mais aussi à un réseau de personnes provenant de différentes fonctions de l’organisation.
« On se retrouve généralement bien placé au carrefour […] d’un grand nombre de secteurs critiques, de secteurs stratégiques pour l’organisation. »
— Philippe Tassé-Gagné, M.Env., MBCI, CBCP
Notre position nous permet notamment de faire des liens que chaque fonction, prise individuellement, ne voit pas nécessairement. Le gestionnaire TI connaît ses systèmes, les équipes opérationnelles connaissent leurs activités et la sécurité connaît ses propres risques. Le professionnel de la résilience, lui, doit comprendre comment ces éléments s’influencent et surtout, dépendent les uns des autres.
« On est souvent les traducteurs, ceux qui vont faire le pont […] entre les gens TI, entre les gens de sécurité physique, entre les gens de sécurité informatique. »
— Philippe Tassé-Gagné, M.Env., MBCI, CBCP
Cette capacité devient d’autant plus importante que les attentes envers la continuité se resserrent. Comme le souligne Marie-Hélène, il y a quelques années, une organisation pouvait encore parler de 24 ou 48 heures pour déployer un site de relève. Aujourd’hui, pour certaines activités, même une interruption extrêmement courte peut devenir problématique.
Cette évolution oblige les différentes fonctions à travailler beaucoup plus étroitement ensemble. Pour le spécialiste de la résilience, c’est aussi une occasion d’élargir son influence : comprendre les réalités de chacun, vulgariser les enjeux et faire ressortir les liens entre des décisions technologiques, opérationnelles et stratégiques.
À terme, l’objectif est que ces réflexions ne surviennent pas uniquement dans le cadre de la mise à jour des documents ou d’une simulation.
« La résilience devient durable lorsqu’elle ne dépend plus d’une seule équipe, d’un exercice annuel ou d’un cycle de révisions documentaires. »
— Philippe Tassé-Gagné, M.Env., MBCI, CBCP
La résilience gagne à être intégrée plus tôt aux projets et aux décisions de l’organisation. Un investissement technologique, le recours à un nouveau fournisseur ou une transformation organisationnelle sont autant d’occasions d’identifier les dépendances et les vulnérabilités avant qu’elles deviennent des enjeux de continuité. Cela implique aussi de créer des liens avec les équipes responsables de la gestion de projets et des transformations.
« La continuité doit être intégrée aux mécanismes de gouvernance, aux priorités stratégiques, aux décisions d’investissement, à la gestion des risques et au suivi de la performance. »
— Philippe Tassé-Gagné, M.Env., MBCI, CBCP
Cette influence se construit toutefois dans le temps. Comme le souligne Marie-Hélène, c’est lorsque le soleil brille qu’il faut bâtir sa crédibilité, afin que, lorsque la tempête arrive, les gens sachent déjà vers qui se tourner.
En tant que responsable de la continuité des activités et de la résilience organisationnelle, vous détenez probablement déjà une grande quantité d’informations utiles à votre organisation. Le défi n’est pas seulement de produire des bilans d’impacts sur les activités, des plans de continuité ou des exercices, mais de faire ressortir ce que ces travaux révèlent sur les risques, les dépendances et les priorités d’affaires.
Vous aimeriez être accompagnés dans votre démarche vers la résilience organisationnelle?
Nos experts se feront un plaisir d’y travailler avec vous. Contactez-nous dès aujourd’hui.
Poursuivez votre lecture avec : Résilience professionnelle : comment bâtir une carrière résiliente en continuité des activités
.png)
.avif)
.avif)
