Résumé :

Die Umsetzung eines PCA ist zu einem obligatorischen Schritt für jede Organisation geworden.
Krisenmanagement. Dennoch variiert die Qualität des Notfallplans erheblich von einem
Unternehmen zu Unternehmen. Alain Coursaget und Laurent Haas schlagen in diesem Artikel vor,
den methodologischen Leitfaden des SGDSN (Generalsekretariat für Verteidigung und nationale Sicherheit) vorzustellen
Nationale Sicherheit) für die Erstellung von Business-Continuity-Plänen, veröffentlicht im Jahr 2014.
Diese für öffentliche und private Organisationen bestimmte Veröffentlichung ist frei zugänglich.
in Übereinstimmung mit den bestehenden Normen und Ansätzen. Die vorgeschlagene Methode soll einfach sein und
beruht auf fünf Schritten, die sowohl sequenziell als auch iterativ sind. Der erste Teil zielt darauf ab, zu geben
dem Leser einen umfassenden Überblick über den methodologischen Ansatz zu geben, der zu befolgen ist, um
eine kontinuierliche und wiederherstellende Vorgehensweise in Übereinstimmung mit den
Normen. Der zweite Teil besteht aus etwa dreißig praxisorientierten Merkblättern, die beschreiben
detailliert die Schritte und zielt darauf ab, die Aneignung der Methode und der
gute Praktiken bei der Unterstützung ihrer Transposition in den spezifischen Kontext jedes
Organisation.

Notfallplan für den Geschäftsbetrieb:

Ein Geschäftskontinuitätsplan (BCP) hat zum Ziel, die Strategie und das gesamte
Bestimmungen, die von einer Organisation vorgesehen sind, um die Wiederaufnahme und die
Fortführung seiner Aktivitäten nach einem Schadensereignis oder einem gravierend störenden Ereignis
sein normales Funktionieren. Der methodische Ansatz zur Ausarbeitung
konkrete eines PCA ist das Hauptobjekt des Leitfadens, der vom SGDSN erstellt wurde und dessen Ziel es ist
um einen solchen Ansatz zu fördern, indem methodische Ratschläge erteilt und verbreitet werden
guten Praktiken. Dieses Dokument dient auch als Hilfe bei der Vorbereitung eines
eventuelles Zertifizierungsprojekt (Konformität mit der Norm ISO 22301).

Eine Methode in 5 Schritten:

-1-
Den Kontext definieren, die Ziele und wesentlichen Aktivitäten identifizieren:
Dieser erste Schritt ist wichtig und bestimmt die Effektivität des gesamten
Vorgehen. Es zielt darauf ab, den geografischen und funktionalen Umfang der Organisation zu präzisieren und
zu identifizieren, was seine strategischen Entscheidungen je nach seiner Spezifität beeinflussen kann und
ihre Beziehungen zu der Umgebung, in die sie eingebettet ist. Die Analyse des Kontextes zielt darauf ab
auch die wesentlichen Aktivitäten zur Erreichung der Ziele der Organisation zu identifizieren
und die Einhaltung seiner Verpflichtungen. Diese wesentlichen Aktivitäten setzen die Existenz von Prozessen voraus.
und Flüsse (Finanzierungen, Rohstoffe, Schnittstellen mit den Informationssystemen...)
die kritischsten müssen kartiert und beschrieben werden für den weiteren Verlauf des Verfahrens.

Die Analyse der wesentlichen Aktivitäten:

Aus dieser Arbeit sollte eine erste Analyse der sogenannten Ressourcen hervorgehen.
Kritiken » zur Erreichung der Ziele der Organisation (Humanressourcen,
Infrastrukturen, Informationssystem, Verfahren, intellektuelle Ressourcen und Anbieter
externes).

Bestimmen Sie die Sicherheitsanforderungen, um die Ziele zu erreichen

La deuxième étape vise à préciser, pour chaque activité essentielle et chaque processus ou
Fluxkritiken, das Mindestserviceniveau, das erreicht werden muss, sowie die Dauer der Unverfügbarkeit
maximal akzeptabel.
Die Schlüsselbegriffe: DMIA und PRMA

A ce stade, il est déjà possible de quantifier les conséquences d’une interruption de

l’activité. Des objectifs relatifs au niveau des ressources critiques doivent être également
definiert. Um die Arbeit zu vereinfachen, wird die Analyse des Bedarfs an Ressourcen durchgeführt auf der
Basis einer begrenzten Anzahl von Szenarien (oder Krisensituationen), die als prioritär angesehen werden, zu
das Ergebnis des Risikomanagementprozesses und unter Berücksichtigung der Bedürfnisse nach Kontinuität.

Identifizieren, analysieren, bewerten und behandeln Sie die Risiken:

In dieser dritten Phase ist es konkret erforderlich:

- die verschiedenen Risiken, das heißt, sie zu identifizieren;

- Sie analysieren (nach den Kriterien Wahrscheinlichkeit und Schwere) und integrieren sie in
signifikante Szenarien (Beispiel: ein schweres Hochwasser der Seine in Paris, eine Pandemie
grippale, ein Cyberangriff mit Dienstverweigerung... usw.
Bewerten Sie diese Risiken im Hinblick auf den Kontext und die Herausforderungen für die Organisation.

Beispielmatrix zur Risikobewertung. Sobald die Risiken bewertet und klassifiziert sind,
müssen Gegenstand einer Behandlungsstrategie sein, die verschiedene Ansätze integriert (Einnahme,
Ablehnung, Beherrschung, Übertragung, Teilen

-2-
Die Strategie zur Sicherstellung der Geschäftskontinuität definieren:

Wählen Sie die zu berücksichtigenden Szenarien aus

Die zuvor erwähnten präventiven und schützenden Maßnahmen haben es ermöglicht, die zu reduzieren.
die Risiken, aber nicht, sie zu beseitigen. Es bleiben Rest-Risiken. Sie haben eine
Wahrscheinlichkeit des Auftretens und können zu einem Verlust von kritischen Ressourcen führen, der möglicherweise
eine Unterbrechung der Tätigkeit über die akzeptable Schwelle hinaus oder eine Verringerung des
niveau de service en deçà du seuil minimum prédéfini. Ces risques, constitutifs de scénarios,
müssen im Rahmen des PCA behandelt werden.

Beispiel für eine synthetische Kartierung von Risikoszenarien

Die Risikomanagementarbeit hat es ermöglicht, sie in Bezug auf zu charakterisieren

Wahrscheinlichkeit und Einfluss. Die entsprechenden Daten werden berücksichtigt.

-3-
 um die Strategie des Notfallplans zu erarbeiten. Aber zuvor ist es notwendig,
Die notwendigen Mittel und Verfahren formalisieren und ihre Kosten einschätzen.

Identifier les moyens et décliner les effets à obtenir sous forme de procédures

Die Umsetzung eines PCA basiert auf identifizierten Mitteln und niedergeschriebenen Verfahren.
vor dem Eintreten eines Krisenszenarios. Nach dem Unglück kann die Krisenzelle aktivieren
diese Mittel und Verfahren des PCA, um eine teilweise und dann vollständige Wiederherstellung zu ermöglichen
Die Maßnahmen und Verfahren, die umgesetzt werden müssen, betreffen zunächst die
Kritische Ressourcen identifiziert. Die Wiederaufnahme der Tätigkeit muss daher vorbereitet werden:

-Indem redundante Ressourcen identifiziert oder erstellt werden, die nicht anfällig sind für
von dem Schaden betroffen;

-En s ’ouvrant la possibilité de faire appel, dans des délais adaptés, à des ressources
extern

- Anwendung von Daten-Backup-Verfahren, die den Anforderungen entsprechen

Termes der maximal zulässigen Datenverlust
-Durch die Verfügung über eine Organisation, eine technische Architektur und Verfahren, die
werden den Betrieb des Rettungszentrums innerhalb der vorgegebenen Fristen ermöglichen und
für die prioritären Anwendungen.

Die Interdependenzen berücksichtigen, um Kaskadeneffekte zu begrenzen

Die Problematik der Interdependenzen und der Kaskadeneffekte erfordert es, eine
spezifische Strategie gegenüber Partnern (Dienstleistern und externen Lieferanten), um
Die internen Anforderungen an die Kontinuität nach außen übertragen. Diese Anforderungen können sein
quantifiziert, besteht die Herausforderung darin, sie zu internalisieren oder in vertragliche Begriffe zu übersetzen
begleitet von Kontrollen und Koordinationsmaßnahmen während einer Krise. Sie können
auch durch Arbeitsmechanismen im kollaborativen Modus mit dem Teilen von
Analysen und Risikobehandlung, die koordinierte Entwicklung der Kontinuitätsstrategie und
die Durchführung gemeinsamer Übungen.

Die Strategie der Kontinuität stoppen und ablehnen:

La détermination de la stratégie de continuité d’activité consiste en l’identification des
Effekte, die im Raum und in der Zeit zu erzeugen und zu koordinieren sind, um die Aktivität aufrechtzuerhalten.
von der Organisation auf einem vordefinierten Niveau, trotz des Auftretens von Risikoszenarien, die
Die funktionale Optimierung dieser Strategie ergibt sich aus einer vergleichenden Analyse.
Vorteile und Nachteile. Aus wirtschaftlicher Sicht kann diese Optimierung
charakterisiert durch den Vergleich der Kosten für die Umsetzung des PCA mit den erwarteten Vorteilen
(Fehlen einer Unterbrechung der Tätigkeit über die festgelegte Schwelle hinweg gewichtet nach der Wahrscheinlichkeit von

-4-
Überwachung, neue Chancen, die durch die Kontinuität dieser Aktivität geschaffen werden, usw.). (siehe
Abbildung ci-contre)

Sobald die Strategie festgelegt und in einen Aktionsplan umgesetzt ist, sind die Mittel zu mobilisieren
Der Platz und das Auslösegerät müssen definiert werden, um die Einhaltung zu gewährleisten.
der festgelegten Kontinuitätsziele im Rahmen des zugewiesenen Budgets. Die Verfahren
Die betroffenen Personen müssen unter normalen Umständen in die Verfahren der Organisation integriert werden.
und während der Krisenmanagementphase.

Umsetzung und Sicherstellung der Aneignung:

Umsetzung des Plans
Am Ende der in den vorhergehenden Abschnitten beschriebenen Arbeiten ist es möglich, den Plan zu erstellen.
von Geschäftskontinuität, die den logischen Ansatz beschreibt, der zur Auswahl der
Strategie zur Kontinuität und zur Reaktion auf die verschiedenen ausgewählten Krisenszenarien. Dieses
Die Antwort besteht darin, die Mittel zu präzisieren und die Verfahren zu dokumentieren, die notwendig sein werden.
umsetzen entsprechend den Regelungen des PCA, die von der Krisenzelle aktiviert werden.

Die spezifischen Verfahren zum PCA müssen perfekt in die Verfahren integriert werden.
normalerweise, um in Notfällen verstanden und leicht aktiviert zu werden. Die Verantwortlichen
Diese Mittel und Verfahren müssen eindeutig identifiziert werden, ebenso wie ihre Rolle und die
erwartete Maßnahmen von ihrer Seite. Die Dokumentation muss im Falle von leicht zugänglich sein.
Bedarf und leicht verständlich sein. Sie muss leicht modifizierbar sein, um dem PCA zu ermöglichen.
sich entwickeln

Auslösung des Plans:

Die Krisenzelle spielt eine Schlüsselrolle bei der Aktivierung der am besten geeigneten Maßnahmen des Notfallplans.
der Situation. Sie muss die Koordination der Beteiligten sicherstellen, indem sie die
Anweisungen zur Einleitung der festgelegten Verfahren und zur Gewährleistung ihrer ordnungsgemäßen Umsetzung
in Kraft gesetzt. Im Gegensatz dazu können bei häufigen Ereignissen PCAs aktiviert werden,
Modus "Reflex", ohne dass unbedingt eine Krisenzelle erforderlich ist. Der
PCA ermöglicht es, die Dringlichkeit zu bewältigen und eine Krise zu vermeiden.

Die Effektivität messen und den Plan weiterentwickeln:

Sobald die PCA durchgeführt wurde und ihre Umsetzbarkeit garantiert ist, ist es
notwendig, die Effizienz zu überprüfen. Der Betrieb im degradierten Modus und die Wiederaufnahme
Die Aktivitäten müssen sich vorbereiten, indem sie zuvor getestete Verfahren bereitstellen.

Die Messung der Effektivität des PCA:

- Überprüfen, ob die Kontinuitätsstrategie die festgelegten Ziele erfüllt, wie z. B. :

- Aufrechterhaltung der Verfügbarkeit wesentlicher Aktivitäten (ein festgelegtes Niveau der DMIA einhalten
pour chaque activité essentielle),

-5-
 -Verfügen Sie über Indikatoren zur Messung des Niveaus der normalen Aktivität und der Aktivität in
Verlaufmodus,

Das anwendungs- und informationsbezogene Erbe schützen,

Die Dauer und das Niveau der gewährten Dienstleistung im Gradmodul für jede Aktivität einhalten.
essenziell, im Falle der Auslösung des Plans,

-Die Dauer der Unverfügbarkeit wesentlicher Aktivitäten der Organisation begrenzen und die
Menge an Daten, die im Falle der Aktivierung des Plans verloren gehen, sowohl zum Zeitpunkt von
die Umschaltung auf die Backup-Website nur bei der Rückkehr zur Hauptwebsite,

Sicherstellung der Bearbeitung der Bedürfnisse nach Priorität

Den Notfallmodus und die Wiederherstellung gemäß den festgelegten Prioritäten sicherstellen.

Die Kosten des PCA nicht überschreiten und die Komplexität der PCA-Lösungen reduzieren.

Sich auf die Risikoanalyse der Aktivitäten und Prozesse der Organisation stützen

- Überprüfen Sie diese Risikoanalyse im Falle der Entdeckung neuer bedeutender Risiken.

- Die Resilienz verbessern, indem die berücksichtigten Szenarien schrittweise erweitert werden.

Über eine bewährte und gut ausgebildete Organisation verfügen, die auf Ereignisse reagiert.
verstehen Sie die unvorhergesehenen Probleme ...

Conclusion :
Der Geschäftskontinuitätsplan ist daher ein strategisches Dokument, das für die ...
Unternehmen, die besonders anfällig für finanzielle, gesundheitliche oder andere Störungen sind
Soziales. LePCA ermöglicht es, Risiken vorherzusehen und ihre Auswirkungen auf die Aktivität zu begrenzen.
de l’entreprise s’ils surgissent. Bien que non obligatoire pour la plupart des entreprises, c’est
eine Präventionsmaßnahme, die nützlich bleibt, um die Nutzung der Ressourcen zu optimieren
materielle und menschliche.

Bibliographie
Leitfaden zur Erstellung eines Business Continuity Plans, SGDSN 2013,
[Link]

Leitfaden für bewährte Praktiken der Geschäftskontinuität für die Geschäftsführungen

Humanressourcen, Clubpca.

Die wirtschaftliche Sicherheit im Alltag in 22 thematischen Blättern, D2IE, April 2014

[Link]
v6_sansblanche.pdf

Strukturiertes Lexikon der Geschäftskontinuität, D2IE, Dezember 2012.

-6-
Weißbuch zur Verteidigung und nationalen Sicherheit 2013
[Link]
[Link]

Weißbuch zur Verteidigung und zur nationalen Sicherheit 2008

[Link]

Plan de Continuité d’Activité & Gestion de Crise –Fascicule pratique de la mise en place du
Gelegentliche Fernarbeit (TOAD).

-7-