Beaucoup d'organisations se sentent aujourd'hui rassurées parce qu'elles disposent d'un Plan de Continuité d'Activité. Sur le papier, tout semble prêt : scénarios identifiés, procédures documentées, objectifs de reprise définis. Pourtant, lorsque survient un événement majeur, cette impression de maîtrise s'effondre souvent très vite.
La raison est simple : un PCA ne fait pas une capacité de gestion de crise. Et confondre les deux revient à croire que disposer d'un plan d'évacuation suffit à savoir diriger les secours en pleine catastrophe.
Avec l'entrée en application de DORA et la montée en exigence autour de la résilience opérationnelle, cette confusion n'est plus anodine. Elle devient un véritable angle mort de gouvernance.
Un PCA ne fait pas une capacité de gestion de crise. Et confondre les deux revient à croire que disposer d'un plan d'évacuation suffit à savoir diriger les secours en pleine catastrophe.
Piloter l'inattendu : la logique de la gestion de crise
La gestion de crise ne commence pas par des procédures. Elle commence par une rupture : le moment où la situation ne peut plus être traitée dans le cadre habituel. Les repères disparaissent, les informations sont partielles, les impacts évoluent, et les décisions doivent pourtant être prises rapidement.
C'est précisément là qu'intervient le dispositif de gestion de crise. Sa fonction première n'est pas technique. Elle est organisationnelle et décisionnelle. Il s'agit de créer un cadre de pilotage capable d'absorber l'incertitude : réunir les bonnes parties prenantes, structurer la remontée d'information, arbitrer entre des priorités parfois contradictoires, décider sous pression et coordonner des équipes qui, sans cela, agiraient en silos.
Dans ce contexte, la gestion de crise est avant tout un mécanisme de gouvernance exceptionnelle. Elle définit qui décide, sur quelle base, avec quelles informations, et selon quel rythme. Elle organise la communication, interne comme externe, et fixe les critères permettant de dire qu'on entre en crise… puis qu'on en sort.
Autrement dit, elle donne à l'organisation la capacité de tenir la barre quand la mer devient imprévisible.
Exécuter ce qui a été prévu : la logique du PCA
Le Plan de Continuité d'Activité répond à une autre logique. Il part du principe que certains scénarios peuvent être anticipés : indisponibilité d'un site, panne d'un système critique, rupture d'un fournisseur, perte d'accès à certaines données. À partir de ces hypothèses, l'organisation identifie ses activités essentielles, évalue les impacts d'une interruption et définit des solutions de repli.
Le PCA formalise alors des objectifs de reprise, des modes de fonctionnement dégradés, des solutions de secours et des procédures précises. Il décrit comment maintenir un service minimum, comment basculer vers des environnements alternatifs, comment restaurer progressivement l'activité.
Il s'agit donc d'un outil d'exécution. Le PCA n'a pas vocation à arbitrer entre plusieurs priorités stratégiques ou à décider de la posture globale de l'organisation face à un événement inédit. Il permet d'appliquer des réponses déjà pensées et testées, dans un cadre qui reste relativement balisé.
Là où la gestion de crise gère l'imprévu, le PCA met en œuvre ce qui a été anticipé.
Deux dispositifs, une articulation indispensable
Dans la réalité, ces deux dimensions ne s'opposent pas : elles se succèdent et se complètent. Lorsqu'un incident majeur survient, il ne déclenche pas automatiquement un PCA. Il déclenche d'abord un besoin de pilotage. C'est la gestion de crise qui s'active en premier, pour comprendre la situation, qualifier les impacts, évaluer les options et décider des orientations.
C'est dans ce cadre que peut être décidé le déclenchement de tout ou partie du PCA. Le plan de continuité devient alors un levier opérationnel mobilisé par la cellule de crise. Il permet d'exécuter des mesures concrètes : basculer vers des environnements de secours, activer des procédures dégradées, rétablir progressivement certaines fonctions critiques.
En résumé
Pendant ce temps, la gestion de crise continue de jouer son rôle : arbitrer, prioriser, adapter la stratégie à mesure que la situation évolue. Le PCA agit ; la gestion de crise pilote. Sans ce pilotage, le PCA risque d'être déclenché trop tard, de manière incomplète, ou sans cohérence globale. Sans PCA, la gestion de crise peut décider, mais manquer de solutions concrètes à activer.
La résilience naît de cette articulation, pas de l'un ou l'autre pris isolément.
Pourquoi cette confusion persiste
Si la confusion entre continuité d'activité et gestion de crise reste si fréquente, c'est souvent parce que les deux sujets ont été traités séparément, à des moments différents, par des équipes différentes. Le PCA a parfois été construit comme un exercice documentaire, centré sur des exigences normatives. La gestion de crise, elle, a pu rester théorique, limitée à quelques fiches réflexes ou à un organigramme rarement testé.
Le résultat est une illusion de préparation. Les plans existent, mais la capacité réelle à décider sous pression, à coordonner des acteurs multiples et à activer les bons leviers au bon moment n'a pas été éprouvée.
Or, une crise réelle ne suit jamais parfaitement un scénario. Elle déborde, combine plusieurs types d'impacts et met à l'épreuve les chaînes de décision autant que les infrastructures techniques.
DORA : vers une résilience démontrée, pas seulement déclarée
C'est précisément cette maturité opérationnelle que DORA vient interroger. Le texte ne se limite pas à exiger des plans formalisés. Il pousse les organisations à démontrer leur capacité à gérer des incidents majeurs de bout en bout, avec une gouvernance claire, des rôles définis, des dispositifs testés et une coordination transverse effective.
La continuité d'activité et la gestion de crise ne peuvent plus être des briques indépendantes. Elles doivent s'inscrire dans une approche cohérente de résilience opérationnelle, intégrant les dimensions métiers, technologiques, organisationnelles et communicationnelles.
Autrement dit, il ne suffit plus d'avoir un PCA. Il faut être capable de l'inscrire dans une dynamique de pilotage globale, adaptée à des situations complexes et évolutives.
Être résilient, vraiment
Être résilient ne signifie pas éviter toutes les crises. Cela signifie être capable d'absorber un choc, de continuer à fonctionner, de prendre les bonnes décisions dans l'incertitude et de retrouver un état stable avec un minimum de dommages durables.
Cela suppose à la fois une capacité à décider et une capacité à agir. Une gouvernance capable de piloter l'imprévu et des dispositifs opérationnels capables d'exécuter rapidement des solutions éprouvées.
La continuité d'activité et la gestion de crise ne sont donc ni interchangeables ni concurrentes. Elles sont les deux faces d'une même ambition : permettre à l'organisation de tenir, même quand tout vacille.
La vraie résilience ne se lit pas dans les documents. Elle se mesure dans la capacité collective à faire face, ensemble, quand le réel dépasse le scénario.