Pourquoi un BIA et à quoi cela peut-il servir ?
Pourquoi un BIA et à quoi cela peut-il servir ?
Business Impact Analysis et ses avantages
La réalisation d’une analyse des impacts métiers (BIA) nécessite une compréhension approfondie des processus métiers et une intégration des spécificités de ceux-ci : leurs adhérences, leurs capacités à être dégradés, leurs saisonnalités et l’évaluation de leurs impacts potentiels suite à un sinistre.
La réalisation de ce BIA doit permettre de formaliser une matrice de criticités des applications, permettant de prioriser les processus métiers.
Un des intérêts majeurs est d’organiser des échanges entre l’ensemble des acteurs de la DSI, des Directions métiers et de la Direction Générale, afin de valider et partager une vision commune de ce qui est vital pour l’entreprise (et donc pour lesquels la DSI doit apporter un « engagement de résultat ») et ce qui l’est moins (donc avec seulement un « engagement de moyens » pour la DSI).
Un des bénéfices supplémentaires (mais très intéressant) est de disposer d’une visibilité sur les besoins d’investissements (notamment pour répondre aux besoins du SI vital), et sur les éléments du SI sur lesquels le besoin de continuité est sans doute moins nécessaire (toujours utile en période de tension budgétaire).
Une des craintes traditionnelles des équipes de la DSI sur ce sujet est d’avoir les Directions métiers qui demandent la Lune : c’est sans doute une vision très (trop) réductrice et simpliste, et souvent une excuse pour ne pas démarrer cette analyse d’impacts (ce qui provoque une gestion de l’ensemble des applications sur le même niveau de criticité). Mais, dans leur très grande majorité, les directions métiers sont très claires sur leurs contraintes et sur les plans B dont ils disposent.
Cet exercice est donc aussi un moyen de faire travailler ensemble toutes les équipes de l’entreprise, afin que chacun puisse mieux appréhender les contraintes des autres.
Un autre avantage de la réalisation de ce BIA est de pouvoir prioriser les incidents pour les équipes de la DSI : en cas de multiples incidents, les applications critiques sont priorisées (d’autant plus que la criticité a été arbitrée par la Direction Générale de l’entreprise) : cela évite souvent des tensions inutiles .
La méthodologie ANTAUEN : réalisation d’un BIA
L’analyse de l’impact sur l’activité (BIA) en informatique est cruciale pour la gestion de la continuité des activités (BCP). Voici le process délivré par Antauen afin de réaliser une Matrice de criticité des applications ou BIA (Business Impact Analysis) :
Identification des asset informatiques :
Identifier les équipements et les applications, afin de pouvoir les lier à chaque processus métier.
Identification des processus métiers :
Identifier les contraintes applicatives, des plages de servie, des périodes de moratoires, , liés à chaque processus métier.
Évaluation de la grille d’impact des interruptions :
Evaluer les critères d’d’impacts sur différents axes : financier, opération, réglementaire, image/réputation, …, avec des graduations par ordre d’importance.
Évaluation d’hypothèses :
Identifier une hypothèse de sinistre (durée d’interruption : 4heures, 8 heures, 1 jour, 1 semaine, …) et une typologie de sinistre (cyber-attaque, incendie, inondation, dégradation volontaire, …), opération, réglementaire, image/réputation, …, avec des graduations par ordre d’importance.
Evaluation des criticités :
Evaluer lors d’ateliers avec les équipes DSI les priorités en termes de continuité des activités,
Evaluer lors d’ateliers avec les équipes métiers les priorités en termes de continuité des activités,
Réaliser un arbitrage auprès de la Direction Générale des priorités en termes de continuité des activités,
Adéquation BIA/IT :
Pour les applications vitales, chercher à déterminer les objectifs de temps de récupération (RTO/DMIA) et de points de reprise (RPO/PDMT).
Identifier, pour les applications vitales, les points de remédiation (résilience, roadmap éditeur, …), avec formalisation d’un macro-chiffrage et d’un macro-planning,
Réaliser un arbitrage auprès de la Direction Générale du Plan de remédiation afin de définir la feuille de route.
Rapport BIA :
Publier, auprès de la DSI et des métiers, un rapport détaillé sur les résultats de l’analyse en incluant les points de remédiations pour garantir la continuité des applications vitales.
En conclusion, un Business Impact Analysis (BIA) est un outil stratégique essentiel pour une Direction des Systèmes d’Information (DSI). Il permet d’anticiper les impacts potentiels d’un sinistre ou d’un incident majeur sur les systèmes critiques. En identifiant les processus métier sensibles et les dépendances technologiques, la DSI peut prioriser ses actions, optimiser son plan de reprise d’activité (PRA) et garantir la résilience de l’organisation. Un BIA bien mené contribue ainsi à la continuité des opérations, à la maîtrise des risques et à une meilleure allocation des ressources IT. Pour aller plus loin sur le sujet, nous vous invitons à consulter ce cas client relatif à la mise œuvre d’un BIA.