Système intégré de continuité d'activité et de gestion de crise : comment passer des risques à la résilience et garder le contrôle lorsque rien ne se passe comme prévu

Les entreprises industrielles et d'infrastructure sont confrontées à des risques qui dépassent largement le cadre des pannes d'équipement standard : les ruptures des chaînes d'approvisionnement, les cybermenaces, les incidents sur les sites voisins et les facteurs de sécurité locaux imposent de passer de la gestion ponctuelle des urgences à une résilience systémique. Lorsqu'une situation d'urgence évolue rapidement, des procédures de fiabilité disparates ne suffisent pas à éviter le chaos dans la prise de décision. Aleksandr Kuzin, responsable de la continuité d'activité chez OTEKO, analyse la mise en place d'une architecture unifiée de gestion de la continuité d'activité et de réponse aux crises au sein d'un pôle industrialo-portuaire.

Évaluation de la maturité et analyse d'impact sur l'activité

Le point de départ du projet, fin 2023, a été l'élaboration de notre propre échelle de maturité à cinq niveaux pour les processus de continuité. Au démarrage, l'entreprise se trouvait à un niveau fragmenté : les équipements et les stocks critiques étaient identifiés, mais il n'existait ni norme à l'échelle de l'organisation ni allocation proactive des ressources. L'objectif était de passer à un niveau mesurable, doté de politiques standardisées et d'un contrôle par la direction.

Pour évaluer la vulnérabilité de l'entreprise, une analyse d'impact sur l'activité (BIA) a été réalisée : nous avons dressé l'inventaire des processus générateurs de revenus et calculé le coût de chaque minute d'arrêt, les pénalités ainsi que les risques pour la sécurité. À l'issue d'entretiens avec les propriétaires de processus, une carte de criticité a été établie, classant les opérations selon la durée maximale d'interruption admissible — des plus vulnérables (moins d'une semaine avant l'apparition d'une crise) aux plus résilientes (avec une marge de sécurité allant jusqu'à un mois). Cela a permis de hiérarchiser l'allocation des ressources de manière rigoureuse.

Stratégies de reprise et exercices sur le terrain

L'analyse de 32 processus clés et ressources critiques a permis de les répartir en trois zones de préparation :

• Couverts par une stratégie et des ressources (16 domaines). Là où les capacités nominales ou des modes de commande redondants permettaient de basculer sans heurt sur un système de secours, des plans de reprise étape par étape ont été élaborés, précisant la répartition des rôles, la procédure d'escalade et l'alerte des services.
• Couverts par une stratégie mais sans ressources suffisantes (7 domaines). Cette catégorie regroupe les scénarios où la solution de contournement théorique ne satisfaisait pas aux exigences de sécurité. Par exemple, en cas de défaillance de la salle technique principale, le plan prévoyait le basculement sur une source d'alimentation alternative ; or, il s'est avéré que dans ce mode, les systèmes de sécurité et d'arrêt d'urgence des convoyeurs se désactivaient. Ces stratégies ont été renvoyées pour révision et justification des investissements en vue d'une mise à niveau technique.
• Sans stratégie ni réserves (9 domaines). Les secteurs où une reprise rapide est impossible et où un arrêt entraîne des pertes directes ont été intégrés au périmètre de la gestion de crise.

L'efficacité des plans est vérifiée au moyen de trois types d'exercices : des exercices sur table (lorsque des arrêts prolongés ou des modernisations sont nécessaires), des exercices en cycle complet pendant les arrêts de maintenance planifiés, et des exercices prioritaires en conditions réelles au cours du cycle d'exploitation. C'est précisément le test sur une installation en fonctionnement qui révèle les obstacles organisationnels cachés. Ainsi, lors du test de défaillance d'une salle de commande, il est apparu que l'opérateur chargé d'effectuer le raccordement direct via le local électrique ne disposait pas de l'habilitation électrique requise. L'élimination de ces non-conformités avant un incident réel rend les plans applicables en pratique.

Architecture de gestion de crise et simulations

Pour les neuf domaines critiques et les menaces externes, une chaîne de commandement de gestion de crise a été mise en place. L'entreprise a défini ses propres critères de crise et une échelle d'escalade permettant de suivre l'évolution d'un événement avant qu'il n'atteigne sa phase aiguë ; par ailleurs, pour assurer la synchronisation entre Moscou et Taman, des gestionnaires de crise ont été nommés parmi les cadres dirigeants.

L'éventail des menaces — allant de la sécurité industrielle et environnementale aux risques réglementaires et humains — a été décliné en 35 scénarios. La cellule de crise, à composition permanente et variable, réunit exclusivement des responsables et spécialistes en poste maîtrisant les processus sur le terrain : exploitation et maintenance, HSE, environnement, sécurité incendie, sécurité de l'information et sûreté de l'entreprise, commerce, logistique et RH.

Le principal outil d'évaluation de la cellule de crise repose sur des simulations de deux jours à raison de 4 heures par jour. Au cours de quatre exercices (attaque contre les infrastructures, accident avec fuite de matières dangereuses sur un site voisin, cyberattaque et black-out dans le port), les participants ne connaissaient pas les scénarios à l'avance, et les dirigeants de premier rang ont été délibérément écartés du processus afin de tester la préparation des suppléants et la transmission des ordres jusqu'aux exécutants. Cela a mis en lumière des goulets d'étranglement : par exemple, lors d'un exercice d'évacuation massive, on a découvert que le plan d'évacuation par bus ne tenait pas compte de l'évacuation simultanée des employés des entreprises voisines par la seule et unique route d'accès. À l'issue des simulations, des itinéraires alternatifs ont été définis, des EPI et du matériel de lutte contre l'incendie ont été achetés, plus de 40 mesures sur 100 ont été mises en œuvre — réduisant ainsi le temps d'évacuation sur le site à trois minutes — et un budget annuel dédié aux mesures de gestion de crise a été approuvé.

Ce que vous apprendrez lors de cette intervention

• Comment élaborer une échelle de maturité du système de continuité d'activité et réaliser l'inventaire des processus critiques en calculant le coût d'une minute d'arrêt ?
• Pourquoi une stratégie de commande de secours techniquement fonctionnelle peut-elle entrer en contradiction avec les exigences de santé et de sécurité au travail, et comment identifier ces risques ?
• Comment combiner les exercices sur table, les tests lors des arrêts de maintenance et les exercices en conditions réelles dans le cycle d'exploitation sans perturber la production courante ?
• Selon quels principes constituer une cellule de crise, former les suppléants et combler les écarts entre le siège social et les terminaux de production ?
• Comment mener des simulations de crise avec des scénarios inconnus à l'avance, et quels problèmes cachés d'évacuation et de communication permettent-elles de résoudre ?