Presque aucune PME ne s’effondre à cause d’une cyberattaque de cinéma. Elle s’effondre à cause du plus banal : un serveur qui s’éteint et ne redémarre plus, un rançongiciel qui chiffre le dossier partagé un vendredi après-midi, une canalisation qui cède au-dessus de la baie, un fournisseur cloud avec une panne de six heures. La vraie question n’est pas si cela arrivera, mais combien d’heures votre entreprise peut rester sans facturer, sans produire ou sans servir ses clients avant que les dégâts ne soient irréversibles. Un plan de continuité d’activité pour PME est exactement la réponse à cette question, couchée sur le papier et testée.
Et non, il ne faut ni un manuel de 200 pages ni le budget d’une multinationale. Il faut savoir quels processus ne peuvent pas s’arrêter, combien de temps vous tenez réellement et quelles trois choses vous faites dans la première heure. Le reste n’est que décor. Passons au concret.
Continuité vs. reprise : qu’est-ce qu’un PCA et qu’est-ce qu’un PRA
On les confond en permanence, et cette confusion coûte cher. Le PCA (Plan de Continuité d’Activité) répond à « comment mon entreprise continue de fonctionner pendant que quelque chose est cassé ». Le PRA (Plan de Reprise d’Activité) répond à « comment je récupère la technologie qui est tombée ». L’un regarde l’activité ; l’autre, les systèmes.
Un exemple : votre ERP tombe. Le PRA indique comment vous restaurez la base de données depuis la sauvegarde et sur quel serveur vous la relancez. Le PCA indique comment l’équipe de facturation continue d’émettre des bons de livraison sur un modèle provisoire en attendant, pour que l’entrepôt ne s’arrête pas. Le PRA répare la machine ; le PCA maintient l’argent qui entre par la porte. Vous avez besoin des deux, et vous avez besoin qu’ils se parlent.
Récupérer le système en deux jours ne sert à rien si votre entreprise meurt en quatre heures sans lui.
L’erreur classique de la PME, c’est d’avoir (avec de la chance) un bout de PRA —les sauvegardes— et pas la moindre trace de PCA. Vous avez des sauvegardes, oui, mais personne ne sait qui décide de déclencher la reprise, qui est prévenu, comment on s’occupe des clients pendant ce temps ni à partir de quand c’est « trop long ». Ça, ce n’est pas un plan : c’est un dossier de fichiers et les doigts croisés.
Quels processus ne peuvent pas s’arrêter et combien de temps vous tenez : RTO et RPO en clair
Tout plan sérieux part du même point : tout n’a pas la même importance. Si vous tentez de protéger chaque système avec la même urgence, vous ne finirez jamais et vous ne pourrez pas vous le payer. Dressez une liste honnête de vos processus —facturer, produire, traiter les commandes, payer les salaires, assurer le support— et classez-les selon ce qui arrive s’ils s’arrêtent une heure, un jour, une semaine. Ceux qui font mal en quelques heures sont vos processus critiques. Ce sont eux qui commandent.
Sur cette liste apparaissent deux sigles qui sonnent techniques mais relèvent du pur bon sens :
- RTO (objectif de temps de reprise) : combien de temps un processus peut rester à l’arrêt avant que les dégâts ne deviennent graves. C’est votre « horloge ». Si votre boutique en ligne ne peut pas rester plus de 2 heures sans vendre, votre RTO est de 2 heures.
- RPO (objectif de point de reprise) : combien de données vous pouvez vous permettre de perdre, mesuré en temps. Si vous sauvegardez toutes les 24 heures, votre RPO est d’un jour : face à un sinistre, vous perdez jusqu’à une journée de travail. Pour un ERP de facturation, c’est généralement inacceptable.
Toute la subtilité consiste à croiser les deux avec la réalité. Si votre processus critique exige un RTO de 2 heures mais que votre seule sauvegarde se trouve sur un disque USB que quelqu’un emporte chez lui le vendredi, votre capacité réelle de reprise se compte en jours, pas en heures. Voilà le trou, mesuré et chiffré. Et avec ces chiffres, vous pouvez enfin décider où investir : réplication dans le cloud, sauvegardes plus fréquentes, un serveur secondaire. Non par peur, mais par discernement.
Un conseil qui fait économiser de l’argent : ajustez le RTO et le RPO à la valeur du processus, pas à votre anxiété. Le serveur de fichiers du marketing peut tolérer un RPO de 24 heures sans drame. La base de données des commandes, non. Protéger tout comme si c’était critique, c’est le moyen le plus rapide de faire exploser le budget et de ne jamais finir le plan.
Un plan simple que vous allez vraiment utiliser
Le meilleur plan de continuité n’est pas le plus complet : c’est celui que votre équipe peut exécuter à 3 heures du matin, sous adrénaline, sans que l’informaticien d’astreinte soit joignable. Cela veut dire court, clair et actionnable. Un document de deux ou trois pages bien faites vaut mieux qu’un pavé que personne n’a jamais ouvert.
Le minimum qu’il doit contenir :
- Les processus critiques et leurs RTO/RPO : la liste du point précédent, priorisée. Ce qui se récupère en premier et ce qui peut attendre.
- Qui décide et qui exécute : noms et suppléants. Qui déclare l’incident, qui autorise la reprise, qui parle aux clients. Sans rôles, c’est la paralysie.
- Les contacts clés hors du système : téléphones de l’équipe, du prestataire IT, de la banque, de l’assurance. Imprimés ou sur le mobile, car si le réseau tombe vous n’aurez pas accès au Drive.
- Où sont les sauvegardes et comment les restaurer : emplacement, identifiants d’accès contrôlés et la procédure pas à pas. Une sauvegarde que personne ne sait restaurer n’est pas une sauvegarde.
- Le plan B manuel : comment chaque processus critique continue de fonctionner sans son système. Facturer sur un modèle, prendre les commandes par téléphone, tout ce qui maintient l’entreprise en vie ces heures-là.
Remarquez ce qui n’y est pas : le jargon, les magnifiques schémas d’architecture, les scénarios improbables. Le plan décrit quoi faire dans la première heure des trois ou quatre pannes qui peuvent vraiment vous arriver. Tout le reste est superflu tant que ce noyau ne fonctionne pas. Commencez petit, mettez-le par écrit aujourd’hui et améliorez-le ensuite.
Comment le tester pour qu’il fonctionne vraiment
Un plan non testé est une hypothèse. Et en continuité, les hypothèses s’effondrent précisément quand vous en avez le plus besoin. La sauvegarde qui « se faisait toute seule » échouait en silence depuis trois mois ; la procédure de restauration mettait huit heures au lieu de deux parce que personne ne l’avait chronométrée. Ces choses-là ne se découvrent pas en lisant le plan : elles se découvrent en l’exécutant.
Pas besoin de simuler un incendie. Testez par couches :
- Restauration réelle des sauvegardes : prenez une sauvegarde et récupérez-la dans un environnement à part. Chronométrez. Respecte-t-elle votre RTO ? Toutes les données sont-elles là ? Cela se fait chaque trimestre, pas une fois dans une vie.
- Exercice sur table : réunissez l’équipe une heure, posez « il est 9h00 et l’ERP ne démarre pas » et que chacun dise ce qu’il fait. Les failles remontent sans toucher un seul système.
- Test du plan B manuel : passez une demi-journée à facturer ou à prendre des commandes comme si le système n’existait pas. Vous découvrirez ce qui manque avant d’en avoir vraiment besoin.
Chaque test laisse des tâches : mettre à jour un contact, corriger une sauvegarde, clarifier une étape confuse. Ce cycle —tester, trouver la faille, la corriger— est ce qui transforme un document en capacité réelle. Et ici la supervision joue un rôle silencieux mais décisif : si vous surveillez les systèmes et les sauvegardes en temps réel, de nombreux incidents sont détectés et contenus avant de se transformer en sinistre déclenchant tout le plan. Prévenir revient bien moins cher que récupérer.
Comment MagicBoxDesk le met en place
Tout cela —classer les processus, fixer des RTO et RPO réalistes, monter des sauvegardes qui se restaurent vraiment, écrire le plan et le tester chaque trimestre— est un travail spécialisé et continu. C’est exactement ce que nous faisons lorsque nous externalisons le service informatique d’une entreprise : nous ne vendons pas un PDF avant de disparaître, nous laissons en place la capacité réelle d’encaisser un coup et de continuer à facturer. Nous concevons le PCA et le PRA sur mesure pour votre activité, avec une supervision 24/7 qui détecte les problèmes avant qu’ils ne vous mettent à terre et avec des sauvegardes vérifiées automatiquement, pas « en théorie ».
Nous assurons un support à distance et sur site dans toute l’Espagne, avec l’expérience de ceux qui ont remis debout des systèmes tombés un dimanche soir plus souvent qu’ils ne le voudraient. Si vous ne savez pas combien d’heures votre entreprise tient sans ses systèmes, c’est précisément le point de départ. Demandez un devis sans engagement et nous vous dirons, chiffres à l’appui, où se situe votre risque réel et ce dont vous avez vraiment besoin pour dormir tranquille.
