Qu’est-ce que l’Analyse d’impact sur l’activité (AIA) dans Acuna GRC ?

Une analyse d’impact sur l’activité (AIA, ou BIA en anglais) indique quels processus comptent le plus quand quelque chose s’arrête, en combien de temps chacun doit redémarrer et de quoi il dépend. C’est le point de départ de la continuité d’activité : les stratégies de reprise, la conception des sauvegardes et les plans de continuité se dimensionnent à partir de ses résultats, et non l’inverse.

ISO 22301, la norme internationale des systèmes de management de la continuité d’activité, place l’AIA aux côtés de l’appréciation des risques dans son article 8.2. La réglementation l’exige aussi :

• DORA (règlement (UE) 2022/2554) impose aux entités financières, dans le cadre de leur gestion du risque lié aux TIC, de réaliser une analyse d’impact sur l’activité de leur exposition à de graves perturbations de l’activité (article 11, paragraphe 5). L’analyse s’appuie sur des critères quantitatifs et qualitatifs et tient compte de la criticité des fonctions, des processus de soutien, des dépendances à l’égard de tiers et des actifs informationnels. Les actifs et services de TIC sont ensuite conçus et utilisés en cohérence avec l’AIA, notamment pour assurer la redondance des composants critiques.
• NIS2 (directive (UE) 2022/2555) range la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, ainsi que la gestion des crises, parmi les mesures de l’article 21, paragraphe 2, point c).

• Les processus du périmètre, avec un responsable et une criticité.
• Des scénarios d’impact : ce qui arrive aux clients, au chiffre d’affaires, aux obligations légales et à la réputation quand une interruption dure une heure, un jour, une semaine.
• Les objectifs de reprise de chaque processus : la DMTA, moment où l’impact devient inacceptable, puis le RTO et le RPO fixés à l’intérieur. Voir RTO, RPO et DMTA.
• Les dépendances : systèmes, données, personnes, locaux et fournisseurs nécessaires au fonctionnement de chaque processus.
• Les points de défaillance uniques : les dépendances dont la seule perte arrête un processus critique.

L’AIA est ensuite revue quand les processus, les systèmes ou les fournisseurs changent, et ses hypothèses de reprise sont testées. Sous DORA, les plans de continuité des activités de TIC et les plans de réponse et de rétablissement sont testés au moins une fois par an et après toute modification substantielle des systèmes de TIC qui soutiennent des fonctions critiques ou importantes (article 11, paragraphe 6).

• Évaluer des systèmes au lieu de processus métier : l’analyse dit ce que fait tourner l’informatique, pas ce que perd l’entreprise.
• Des objectifs de reprise en texte libre, différents d’une équipe à l’autre et impossibles à comparer.
• Oublier les fournisseurs. Un processus qui dépend d’un seul prestataire hérite de son délai de reprise.
• Ne pas voir les dépendances partagées : un actif qui soutient discrètement plusieurs processus critiques.
• Une AIA réalisée une fois pour un audit, jamais mise à jour quand l’organisation évolue.

Dans Acuna GRC, chaque processus entre dans le périmètre de l’AIA jusqu’à ce que quelqu’un l’en retire ; les processus hors périmètre quittent la liste, les compteurs et l’analyse des points de défaillance uniques, et conservent leur AIA. Chaque processus du registre porte son responsable, sa criticité et sa classification CIAT, et son AIA consigne le RTO, le RPO et la DMTA choisis dans la liste de seuils de temps, des scénarios d’impact avec une gravité et un seuil de temps, ainsi que les actifs, le personnel, les tiers et les actifs critiques dont il dépend.

Les fournisseurs reliés à un processus reçoivent une criticité pour ce processus, suggérée à partir de leur exposition au risque et de leur niveau ; ce sont les mêmes liens que ceux visibles sur le fournisseur dans TPRM. Les constats reliés à un processus apparaissent dans son AIA. L’analyse des points de défaillance uniques liste les actifs qui soutiennent plusieurs processus critiques au-delà d’un seuil que vous fixez, pour prioriser la redondance, la polyvalence des équipes et la diversification des fournisseurs. Le tout se trouve dans l’espace de travail Operate, à côté des risques et des plans de traitement qui s’appuient sur les mêmes actifs et processus.