Le plan de continuité tient sur le papier mais s'effondre le jour J : qui paie ?

Le piège du plan de continuité d'activité est qu'il rassure avant même d'avoir prouvé quoi que ce soit. Un document de 80 pages, validé en comité de direction, archivé sur l'intranet : tout le monde dort tranquille. Sauf que la seule chose qui compte n'est pas écrite dans le document — c'est sa capacité à tenir le jour où un sinistre réel le sollicite.

Or un PCA repose sur des hypothèses : un délai maximal d'interruption admissible (RTO), une perte de données tolérable (RPO), des sites de repli disponibles, des sauvegardes restaurables, des fournisseurs de secours réactifs. Chacune de ces hypothèses, si elle n'est pas éprouvée par un exercice, n'est qu'un pari. Et le jour J, les paris perdants se cumulent.

Prenons une PME industrielle de 40 salariés, chiffre d'affaires de 12 M€, accompagnée par un consultant pour bâtir son PCA. Le plan affiche un RTO de 48 heures en cas de sinistre majeur sur le site de production. Un incendie détruit l'atelier principal un lundi matin.

Résultat : non pas 48 heures d'interruption, mais onze jours. À 12 M€ de CA, la marge brute quotidienne perdue, additionnée aux pénalités de retard clients et au surcoût d'approvisionnement, dépasse les 300 000 €. L'assureur dommages du client indemnise la perte d'exploitation dans la limite du contrat — puis se retourne, ou laisse le client se retourner, vers celui qui a conçu le plan défaillant.

La responsabilité du consultant ne se présume pas. Elle s'apprécie à l'aune des règles de l'art. Le juge — ou l'expert mandaté — cherchera à savoir si la défaillance procède d'une faute professionnelle ou d'un aléa imprévisible.

Engagent typiquement la responsabilité :

• Un RTO calibré au doigt mouillé, sans analyse d'impact sur l'activité (BIA) sérieuse.
• L'absence de vérification de la disponibilité réelle du site de repli ou du fournisseur de secours.
• Un plan livré sans protocole de test, ou avec des tests recommandés mais jamais accompagnés.

À l'inverse, ne l'engagent pas un événement hors de tout scénario raisonnable, ou une défaillance imputable à une décision du client postérieure à la livraison. D'où l'importance capitale de la frontière entre ce que vous avez préconisé et ce que le client a — ou n'a pas — exécuté.

Quand on remonte la chaîne d'un PCA défaillant, on retombe presque toujours sur le même point de départ : une analyse d'impact sur l'activité (Business Impact Analysis) menée trop vite. Le BIA est la fondation de tout le plan. C'est lui qui établit, processus par processus, le temps d'interruption tolérable, les pertes financières par heure d'arrêt et les interdépendances cachées.

Or c'est l'étape la plus chronophage, donc celle qu'on comprime quand le budget de mission est serré. Les symptômes d'un BIA insuffisant sont reconnaissables :

• Des RTO uniformes appliqués à tous les processus, alors que la paie et la production n'ont pas la même criticité.
• Aucune cartographie des dépendances fournisseurs : on découvre le jour J qu'un sous-traitant unique conditionne toute la reprise.
• Des coûts d'interruption estimés « au jugé », sans données comptables, ce qui rend impossible de calibrer l'investissement de secours.

Un BIA solide ne garantit pas l'absence de sinistre, mais il rend le plan défendable : il prouve que les hypothèses reposaient sur une méthode rigoureuse à la date de la mission. C'est exactement ce que cherchera l'expert en cas de litige.

Un PCA non testé est une responsabilité partagée ; un PCA dont les tests recommandés n'ont pas été réalisés par le client est une responsabilité transférée.

La différence entre payer 300 000 € et n'être pas inquiété tient souvent à quelques lignes écrites au bon moment. Documentez systématiquement :

• Le plan d'exercices recommandé : type de test (restauration, bascule site, exercice de crise), fréquence, périmètre.
• Les relances adressées au client pour qu'il programme ces exercices.
• Le compte rendu de chaque test réalisé, avec les écarts constatés et les actions correctives proposées.

Le jour où la responsabilité est recherchée, ce dossier démontre que vous avez rempli votre devoir de conseil et que la non-exécution des tests relève du client. C'est exactement le type de preuve qu'attend votre assureur pour assurer votre défense.

Deux couvertures se complètent face à ce scénario :

• La RC Pro prend en charge les dommages immatériels subis par le client — au premier rang desquels la perte d'exploitation liée à un PCA défaillant. C'est le cœur de votre protection sur ce métier de conseil.
• La multirisque professionnelle couvre vos interventions sur site (un dommage matériel causé pendant un exercice de crise grandeur nature, par exemple) et votre propre outil de travail, locaux et matériel compris.

Pour un risk manager qui passe la majeure partie de son temps chez ses clients, à manipuler leurs données et à intervenir dans leurs locaux, ce duo couvre l'essentiel de l'exposition. Pensez à vérifier deux points dans votre contrat : le niveau de plafond pour les dommages immatériels, car la perte d'exploitation d'un grand compte peut atteindre des sommes considérables, et la reprise du passé, qui couvre les missions livrées avant la souscription — un PCA conçu il y a deux ans peut très bien céder demain. Comparez les garanties adaptées au conseil en gestion de risque pour calibrer la vôtre.