Le PRA n'a pas redémarré : anatomie d'un sinistre à 340 000 €

Un PRA (Plan de Reprise d'Activité) est une promesse contractuelle : « en cas de sinistre majeur, votre activité repart en X minutes avec au plus Y minutes de données perdues ». Ces deux engagements ont des noms précis : le RTO (Recovery Time Objective, délai de reprise) et le RPO (Recovery Point Objective, perte de données maximale tolérée). L'architecte qui les conçoit engage sa signature sur ces chiffres.

Le problème est que la plupart des PRA ne sont jamais réellement testés en conditions réelles. Ils existent sur le papier, dans un beau document d'architecture, mais le basculement n'a jamais été déclenché pour de vrai. Le jour du sinistre — incendie d'une salle, corruption d'un volume de stockage, indisponibilité régionale du fournisseur cloud — on découvre alors les écarts entre la théorie et le réel : une réplication désynchronisée depuis des semaines, un script de bascule qui pointe vers une ressource supprimée, un certificat expiré, ou des dépendances oubliées qui empêchent le redémarrage applicatif.

Le RTO promis de quinze minutes devient onze heures. Le RPO de cinq minutes devient une journée entière de transactions perdues. Et le client, dont l'activité est à l'arrêt, se retourne vers celui qui a conçu le dispositif.

Prenons un cas représentatif : un client SaaS B2B réalisant 1,2 M€ de chiffre d'affaires mensuel, dont le datacenter principal tombe un samedi à 3h du matin. Le PRA, conçu deux ans plus tôt et jamais re-testé depuis, échoue. La reprise prend onze heures au lieu de quinze minutes.

Aucun de ces postes n'est un dommage matériel. Le serveur, l'incendie, la panne — ce sont des causes, pas le préjudice réclamé à l'architecte. Ce qu'on lui réclame, c'est l'écart entre la continuité promise et la continuité réelle. C'est un préjudice immatériel pur, et c'est précisément la zone que seule une RC Pro spécialisée IT prend en charge.

Avant toute indemnisation, l'expert tranche une question décisive : qu'aviez-vous exactement contractuellement à faire ? Trois niveaux de mission, trois niveaux de responsabilité radicalement différents.

Vous avez seulement documenté le PRA

Vous avez livré un document de conception, sans mandat de mise en œuvre ni de test. Votre responsabilité se limite à la qualité du design : si la conception était cohérente sur le papier, la défaillance d'exécution incombe à celui qui devait l'opérer.

Vous avez conçu et mis en œuvre

Vous avez construit le dispositif. Vous êtes alors responsable de sa conformité au design : réplication fonctionnelle, scripts opérationnels, dépendances résolues. Une bascule qui ne démarre pas est ici clairement de votre ressort.

Vous étiez aussi en charge des tests réguliers

C'est le niveau de responsabilité le plus lourd. Si votre contrat prévoyait des tests de bascule périodiques et que vous ne les avez pas réalisés (ou pas tracés), l'absence de test devient une faute caractérisée. Le PRA non testé est, en jurisprudence d'expertise, l'équivalent d'un extincteur jamais vérifié.

Un PRA qui n'a jamais été testé n'est pas un PRA : c'est une hypothèse. Et une hypothèse vendue comme une garantie de continuité est le terrain idéal d'un litige.

La défense d'un sinistre PRA se prépare des mois à l'avance, dans la rédaction de la mission et la traçabilité de l'exploitation. Quelques réflexes décisifs.

• Définissez RTO et RPO par écrit, validés par le client, avec les hypothèses de scénario de sinistre retenues.
• Précisez si les tests de bascule sont dans votre périmètre — et si oui, à quelle fréquence et qui en assume le coût.
• Tracez chaque test : date, scénario, résultat, écarts constatés, actions correctives. Un test non documenté est un test inexistant en expertise.
• Excluez explicitement la dérive d'exploitation si vous ne gérez pas le run au quotidien : la réplication peut se désynchroniser après votre départ.
• Formulez des réserves écrites si le client refuse de budgéter les tests : cette trace inverse la charge de la responsabilité.

Ces précautions ne suppriment pas l'aléa technique, mais elles déterminent qui le porte. Pour un panorama complet des fautes de conception couvertes, notre page assurance RC Pro détaille les situations indemnisables.

Si tant de PRA échouent le jour J, c'est à cause d'un paradoxe économique simple : tester un PRA coûte cher, immédiatement, pour parer à un risque hypothétique et lointain. Un test de bascule réel mobilise des ressources, peut perturber la production, exige une fenêtre de maintenance, et n'apporte aucune valeur métier visible quand tout se passe bien. Résultat : le test est systématiquement repoussé, puis oublié.

L'architecte se retrouve alors dans une position inconfortable. Il sait que sans test, le PRA n'est qu'une hypothèse. Mais c'est le client qui détient le budget et qui arbitre. Trois attitudes sont possibles, et seule la dernière protège réellement :

• Concevoir et se taire : vous livrez le PRA, vous savez qu'il n'est pas testé, vous n'écrivez rien. C'est la position la plus exposée : votre silence vaut acceptation tacite du risque.
• Recommander oralement les tests : vous évoquez en réunion la nécessité de tester. Sans trace écrite, cela ne vous protège pas : la parole ne se prouve pas en expertise.
• Recommander par écrit et acter le refus : vous formalisez la nécessité des tests, leur fréquence et leur coût ; si le client refuse, vous l'actez par écrit. Cette trace inverse la charge de la responsabilité.

Le coût d'un test périodique est dérisoire face au préjudice d'un PRA inopérant. Mais tant que ce calcul reste invisible, c'est l'architecte qui en porte le risque résiduel. Documenter ce calcul auprès du client n'est pas seulement une bonne pratique technique : c'est un acte de protection juridique.

Un PRA non testé pendant deux ans n'a pas été conçu pour le sinistre de demain : il a été conçu pour le contexte d'avant-hier. L'infrastructure a changé, lui non.

Le sinistre PRA cumule tout ce que les assurances classiques refusent : un dommage immatériel non consécutif (perte d'exploitation, pénalités, perte de données) sans aucun dommage matériel chez vous. Une multirisque professionnelle ou une RC Pro généraliste exclut presque systématiquement ce poste.

La RC Pro IT senior est construite pour cela. Elle couvre la faute de conception, d'audit ou de pilotage, et indemnise les dommages immatériels subis par le client du fait d'une défaillance de votre architecture. Les frais de défense, qui peuvent atteindre plusieurs dizaines de milliers d'euros dès qu'un cabinet d'expertise contradictoire est mandaté, sont pris en charge dès la réclamation.

Compte tenu des montants en jeu — un seul sinistre PRA dépasse fréquemment 300 000 € — le plafond de garantie doit être calibré sur la criticité réelle des activités que vous protégez. Retrouvez vos garanties et votre tarif sur la page assurance architecte systèmes, réseaux et cloud.