Pour suivre la maturité de résilience des différentes entités, évaluez chacune sur la même grille : dix domaines de continuité d'activité, cinq niveaux observables, et un niveau n'est acquis que si sa preuve existe. Refaites l'évaluation chaque année, consolidez par une moyenne pondérée affichée à côté de l'entité la plus faible et présentez le résultat en carte de chaleur. La grille suit les clauses 4 à 10 d'ISO 22301:2019.
Une grille de maturité de la continuité d'activité est un outil de notation qui décrit, pour chaque domaine d'un dispositif de continuité, ce qu'une organisation fait concrètement à chaque stade, de l'improvisation à l'amélioration continue. Cette grille est celle de ResiPlan. ISO 22301 fixe des exigences mais ne définit pas de niveaux de maturité : la grille s'aligne sur ses clauses, ce n'est ni un modèle de maturité officiel de l'ISO ni un test de certification.
À télécharger, gratuitement et sans inscription : classeur Excel (.xlsx).
Quels sont les cinq niveaux de maturité ?
| Niveau | Nom | Ce que l'on observe |
|---|---|---|
| 1 | Initial | La continuité repose sur quelques personnes et sur l'improvisation. Peu d'écrits, rien d'approuvé, des résultats qui varient d'un événement à l'autre. |
| 2 | Reproductible | Des pratiques de base existent et se répètent pour les principaux sites ou activités, avec un responsable nommé. Les méthodes diffèrent d'une équipe ou d'une entité à l'autre. |
| 3 | Défini | Une méthode approuvée s'applique à tout le périmètre. Les documents sont maîtrisés et revus à intervalles planifiés. Les résultats sont comparables entre entités. |
| 4 | Mesuré | La performance est mesurée par rapport à des cibles (délais de reprise atteints, résultats d'exercices, clôture des actions). La direction décide sur des données. |
| 5 | Optimisé | Les enseignements des incidents, des exercices et des pairs nourrissent l'amélioration continue. La continuité est intégrée aux projets, aux achats et aux investissements. |
La grille : dix domaines, cinq niveaux chacun
Chaque case donne un critère observable et la preuve qui le démontre habituellement. Les numéros de clause renvoient à ISO 22301:2019.
1. Gouvernance et politique (clauses 5.1 à 5.3, 6.2, 7.1)
| Niveau | Critère observable | Preuve type |
|---|---|---|
| 1 | Pas de politique approuvée ; la continuité est laissée à l'informatique ou à un volontaire | Aucune, ou un projet non approuvé |
| 2 | Politique rédigée et signée par un responsable ; pilote nommé à temps partiel | Politique signée, courriel de nomination |
| 3 | Politique approuvée par la direction et diffusée ; rôles, suppléants, budget et objectifs mesurables fixés | Procès-verbal de direction, matrice RACI, objectifs, ligne budgétaire |
| 4 | Objectifs suivis par des indicateurs présentés à la direction au moins une fois par an ; moyens ajustés selon les résultats | Compte rendu de revue de direction, tableau de bord |
| 5 | Continuité intégrée aux décisions sur les projets, les acquisitions et les nouveaux fournisseurs ; politique révisée à partir des retours d'expérience | Check-list de lancement de projet, historique des révisions |
2. Contexte et périmètre (clauses 4.1 à 4.4)
| Niveau | Critère observable | Preuve type |
|---|---|---|
| 1 | Périmètre implicite ; obligations légales et contractuelles de continuité inconnues | Aucune |
| 2 | Périmètre écrit pour le site ou les activités principales ; exigences des clients clés listées | Note de périmètre, liste des exigences clients |
| 3 | Périmètre documenté avec exclusions justifiées ; registre des parties intéressées et des exigences légales, réglementaires et contractuelles ; décision consignée sur la pertinence du changement climatique (amendement 1:2024) | Déclaration de périmètre, registre des exigences |
| 4 | Registre revu à intervalles planifiés et après chaque changement ; évolutions du périmètre tracées | Dates de revue, journal des changements |
| 5 | Nouvelles réglementations, nouveaux sites et acquisitions intégrés au périmètre et aux obligations avant leur entrée en vigueur | Notes de veille, périmètre mis à jour avant le démarrage |
3. Analyse d'impact sur l'activité, ou BIA (clause 8.2.2)
| Niveau | Critère observable | Preuve type |
|---|---|---|
| 1 | Pas de BIA ; priorités de reprise supposées par l'informatique | Aucune |
| 2 | BIA réalisée pour quelques activités par entretiens ; délais de reprise fixés sans validation des métiers | Tableurs par service |
| 3 | Méthode et échelle d'impact communes ; activités prioritaires avec DMIA, RTO, RPO, niveau minimal de service et dépendances (personnes, informatique, sites, fournisseurs), validées par les responsables métier | Fiches BIA validées, cartographie des dépendances |
| 4 | BIA revue chaque année et après changement ; RTO et RPO comparés aux délais atteints en test ; écarts suivis | Rapport d'écarts « exigé / testé » |
| 5 | BIA reliée aux plans, aux fournisseurs et aux actifs, tenue à jour ; chiffres d'impact utilisés dans les dossiers d'investissement | Données reliées, dossiers d'investissement |
DMIA : durée maximale d'interruption admissible (MTPD en anglais). Lignes directrices : ISO/TS 22317:2021. Méthode et modèle : analyse d'impact sur l'activité.
4. Appréciation des risques (clause 8.2.3)
| Niveau | Critère observable | Preuve type |
|---|---|---|
| 1 | Risques de perturbation évoqués seulement après un incident | Aucune |
| 2 | Liste des principales menaces (incendie, panne informatique, cyberattaque, fournisseur clé) sans cotation homogène | Liste des menaces |
| 3 | Méthode documentée ; risques de perturbation des activités prioritaires et de leurs ressources appréciés ; traitement décidé et attribué | Registre des risques avec responsables et décisions de traitement |
| 4 | Indicateurs de risque suivis ; efficacité du traitement vérifiée ; registre mis à jour après incidents et exercices | Rapports d'indicateurs, historique du registre |
| 5 | Scénarios graves mais plausibles et risques de concentration (fournisseurs partagés, régions) analysés, en lien avec la gestion des risques de l'entreprise | Bibliothèque de scénarios, lien avec le registre des risques de l'entreprise |
La clause 8.2.3 porte sur les risques de perturbation ; la clause 6.1 sur les risques et opportunités du système de management lui-même. On les note ensemble ici, sans les confondre.
5. Stratégies et solutions (clause 8.3)
| Niveau | Critère observable | Preuve type |
|---|---|---|
| 1 | Contournements improvisés le jour J ; aucune ressource de secours | Aucune |
| 2 | Quelques solutions existent (sauvegardes, PC de secours, second site) sans lien avec la BIA | Inventaires, rapports de sauvegarde |
| 3 | Stratégies choisies à partir de la BIA et des risques pour chaque activité prioritaire ; besoins en ressources documentés (personnes, données, locaux, équipements, informatique, logistique, finances, partenaires et fournisseurs) ; solutions en place | Analyse des options, contrats, documentation de reprise |
| 4 | Solutions testées par rapport aux RTO et RPO ; coûts et bénéfices revus | Résultats de tests avec délais de reprise atteints |
| 5 | Solutions mutualisées entre entités quand c'est pertinent, automatisées si possible, résilience exigée dès la conception | Standards d'architecture, revues de conception |
6. Plans et procédures (clauses 8.4.1, 8.4.2, 8.4.4, 8.4.5)
| Niveau | Critère observable | Preuve type |
|---|---|---|
| 1 | Pas de plan, ou un document générique que personne n'a lu | Aucune |
| 2 | Plans pour la reprise informatique ou un seul site ; annuaires en partie périmés | Fichiers de plan, annuaire |
| 3 | Structure de réponse avec critères d'activation, cellule de crise et suppléants ; plans par activité prioritaire avec actions, ressources et circuits d'information ; étapes de reprise et de retour à la normale ; versions maîtrisées disponibles hors ligne | Jeu de plans, historique des versions, copies hors ligne |
| 4 | Plans mis à jour dans un délai fixé après chaque exercice ou incident ; contacts vérifiés à fréquence fixée | Journal des mises à jour, contrôles d'annuaire |
| 5 | Plans modulaires et fiches réflexes valables quel que soit le scénario, accessibles sur mobile ; revues par des pairs | Fiches réflexes, notes de revue |
Modèle : plan de continuité d'activité.
7. Exercices et tests (clauses 8.5, 8.6, 7.2, 7.3)
| Niveau | Critère observable | Preuve type |
|---|---|---|
| 1 | Aucun exercice, ou seulement des exercices d'évacuation incendie | Aucune |
| 2 | Exercice ponctuel (arbre d'appel, un exercice sur table) sans rapport ni suivi | Invitation, liste de présence |
| 3 | Programme pluriannuel d'exercices couvrant tous les plans et la cellule de crise, scénarios réalistes, rapport et actions après chaque exercice ; responsables de plan formés | Programme, rapports de RETEX, attestations de formation |
| 4 | Objectifs d'exercice mesurés (délai de réunion de la cellule, délai de reprise atteint) ; clôture des actions suivie ; formats de plus en plus exigeants (fonctionnel, basculement, avec fournisseurs) | Grilles d'observation, indicateurs, suivi des actions |
| 5 | Exercices inopinés et exercices conjoints avec les fournisseurs clés ou les autorités ; enseignements partagés entre entités ; scénarios tirés du renseignement sur la menace | Rapports d'exercices conjoints |
Scénarios : 10 scénarios d'exercice de crise.
8. Communication de crise (clauses 8.4.3, 7.4)
| Niveau | Critère observable | Preuve type |
|---|---|---|
| 1 | Celui qui décroche parle ; aucun modèle | Aucune |
| 2 | Porte-parole désigné ; quelques modèles ; liste des parties prenantes clés | Dossier de modèles, liste des parties prenantes |
| 3 | Procédures d'alerte et de communication vers le personnel, les clients, les fournisseurs, les autorités et les médias ; circuit de validation ; déclarations d'attente prévalidées ; traçabilité des messages ; canaux de repli | Plan de communication, modèles, journal des messages |
| 4 | Communication testée en exercice avec délais mesurés (premier message interne, première déclaration d'attente) ; délais de notification réglementaire répétés | Indicateurs d'exercice, traces d'entraînement à la notification |
| 5 | Porte-parole formés aux médias ; modèles dans chaque langue de travail ; veille des réseaux sociaux ; messages du groupe et des entités coordonnés | Attestations de formation, dispositif de veille |
Modèle : plan de communication de crise.
9. Continuité des fournisseurs (clauses 8.1, 8.2.2, 8.3.4, 8.6)
| Niveau | Critère observable | Preuve type |
|---|---|---|
| 1 | Fournisseurs critiques non identifiés | Aucune |
| 2 | Liste des fournisseurs clés connue des achats ; contrats revus au cas par cas | Liste des fournisseurs |
| 3 | Fournisseurs critiques identifiés à partir de la BIA ; clauses de continuité dans les contrats (délais de reprise, notification d'incident, réversibilité) ; capacités de continuité des fournisseurs évaluées ; alternatives pour les points de défaillance uniques | Registre des fournisseurs critiques, clauses, questionnaires |
| 4 | Performance et résultats de tests des fournisseurs suivis ; dépendance à un seul fournisseur mesurée ; fournisseurs clés associés aux exercices | Revues fournisseurs, résultats de tests conjoints |
| 5 | Planification conjointe avec les fournisseurs stratégiques ; double approvisionnement et plans de sortie testés | Plan de sortie testé |
Lignes directrices : ISO/TS 22318:2021.
10. Évaluation des performances et amélioration (clauses 9.1 à 9.3, 10.1, 10.2)
| Niveau | Critère observable | Preuve type |
|---|---|---|
| 1 | Rien n'est mesuré ; les problèmes sont réglés quand ils reviennent | Aucune |
| 2 | Quelques bilans après incident ; actions suivies par courriel | Courriels, comptes rendus |
| 3 | Indicateurs définis ; programme d'audit interne ; revue de direction à intervalles planifiés ; non-conformités traitées par des actions correctives | Rapports d'audit, comptes rendus de revue, registre des actions |
| 4 | Tendances analysées ; efficacité des actions correctives vérifiée ; maturité réévaluée chaque année | Rapports de tendance, preuves de vérification |
| 5 | Quasi-incidents, comparaisons externes et revues indépendantes nourrissent l'amélioration ; résilience présentée au conseil avec les indicateurs financiers | Dossier du conseil d'administration |
Comment noter ?
- Notez chaque domaine de 1 à 5. Le niveau 1 est le point de départ ; un niveau supérieur est acquis quand son critère est rempli et que la preuve peut être montrée, et tous les niveaux en dessous doivent l'être aussi.
- Pas de preuve, pas de niveau. Les traces de tests, de revues et d'audits doivent dater de moins de 12 mois.
- Pas de demi-niveau : un domaine « entre 2 et 3 » vaut 2.
- La note d'une entité est la moyenne des dix domaines, toujours affichée avec son domaine le plus faible.
- Fixez un niveau cible par domaine (voir les questions fréquentes) ; l'écart entre cible et note alimente le plan d'action.
- Les entités réglementées peuvent ajouter des critères dans les cases concernées, par exemple l'article 5, paragraphe 2, point e), de DORA (l'organe de direction approuve et examine périodiquement la politique de continuité des activités de TIC) dans le domaine 1, l'article 11, paragraphe 6, de DORA (tests annuels) dans le domaine 7, et l'article 21, paragraphe 2, point c), de NIS2 (continuité des activités et gestion des crises) dans les domaines 5 à 8.
Comment suivre la maturité de résilience des différentes entités ?
- Une grille, une période. Toutes les entités utilisent la même version de la grille et s'évaluent dans le même trimestre.
- Autoévaluation, puis étalonnage. Chaque entité se note, preuves à l'appui ; un relecteur du groupe contrôle deux ou trois domaines par entité chaque année et corrige les notes sans preuve.
- Pondérer par la criticité. Chaque entité reçoit un poids issu de la BIA du groupe (1 faible, 2 moyen, 3 critique), pas seulement selon l'effectif.
- Afficher la moyenne et le minimum côte à côte. Une moyenne pondérée masque les entités faibles ; le minimum les montre.
- Les alertes priment sur les moyennes. Une entité critique au niveau 1 en BIA, plans, exercices ou communication de crise remonte au groupe, quelle que soit la moyenne.
- Évaluer une seule fois les services partagés. L'informatique du groupe, les prestataires communs et les fonctions du siège sont notés une fois ; une entité ne peut pas dépasser, sur un domaine, le niveau du service partagé dont elle dépend entièrement pour ce domaine.
- Suivre la tendance. Conservez la note précédente et l'évolution de chaque case ; fixez des cibles selon la criticité (par exemple 3 à 4 pour les entités critiques, 2 à 3 pour les autres).
Carte de chaleur d'illustration (niveaux 1 à 5 ; dans le classeur, 1 à 2 en rouge, 3 en orange, 4 à 5 en vert) :
| Entité (poids) | Gouv. | Contexte | BIA | Risques | Strat. | Plans | Exerc. | Comm. | Fourn. | Perf. | Moyenne |
|---|---|---|---|---|---|---|---|---|---|---|---|
| Siège (3) | 3 | 3 | 3 | 3 | 2 | 3 | 3 | 3 | 2 | 3 | 2,8 |
| Usine, Belgique (3) | 2 | 2 | 3 | 2 | 2 | 2 | 2 | 1 | 2 | 2 | 2,0 |
| Distribution, Espagne (2) | 2 | 2 | 1 | 2 | 2 | 2 | 1 | 2 | 1 | 1 | 1,6 |
| Filiale de services (1) | 2 | 2 | 1 | 1 | 2 | 1 | 1 | 2 | 1 | 2 | 1,5 |
| Groupe, moyenne pondérée | 2,3 | 2,3 | 2,3 | 2,2 | 2,0 | 2,2 | 2,0 | 2,0 | 1,7 | 2,1 | 2,1 |
| Groupe, minimum | 2 | 2 | 1 | 1 | 2 | 1 | 1 | 1 | 1 | 1 | 1 |
Lecture : la continuité des fournisseurs est le domaine le plus faible du groupe (1,7), et l'usine belge, entité critique, est au niveau 1 en communication de crise. Ces deux points passent en tête du plan d'action, avant de faire passer le siège de 3 à 4.
Pour un suivi sur de nombreuses entités, l'espace groupe de ResiPlan affiche la couverture BIA, les plans, les exercices et les actions ouvertes entité par entité.
Que demande la norme ISO 22301 ?
ISO 22301:2019 spécifie les exigences pour mettre en œuvre, tenir à jour et améliorer un système de management destiné à protéger l'organisation contre les perturbations, à en réduire la probabilité, à s'y préparer, à y répondre et à s'en rétablir. Les clauses 1 à 3 (domaine d'application, références normatives, termes) ne contiennent pas d'exigences ; elles figurent dans les clauses 4 à 10.
| Clause | Principales exigences | Domaines de la grille |
|---|---|---|
| 4 Contexte de l'organisme | Enjeux internes et externes (dont la pertinence du changement climatique depuis l'amendement 1:2024), parties intéressées, exigences légales et réglementaires, périmètre du système de management de la continuité d'activité (SMCA) | 2 |
| 5 Leadership | Engagement de la direction, politique de continuité d'activité, rôles, responsabilités et autorités | 1 |
| 6 Planification | Risques et opportunités pour le SMCA, objectifs de continuité, planification des changements | 1, 4 |
| 7 Support | Ressources, compétences, sensibilisation, communication, informations documentées | 1, 7, 8 |
| 8 Fonctionnement | Planification et maîtrise opérationnelles, BIA et appréciation des risques, stratégies et solutions, plans et procédures (structure de réponse, alerte et communication, plans, reprise), programme d'exercices, évaluation de la documentation et des capacités | 3 à 9 |
| 9 Évaluation des performances | Surveillance et mesure, audit interne, revue de direction | 10 |
| 10 Amélioration | Non-conformités et actions correctives, amélioration continue | 10 |
Les intitulés ci-dessus sont des descriptions en français, pas les titres officiels de la version française de la norme. Pour vérifier la conformité clause par clause plutôt que la maturité, utilisez la check-list ISO 22301 et analyse d'écarts (Excel) : les deux outils se complètent.
ISO 22301 pour les petites entreprises : par où commencer ?
ISO 22301 précise que ses exigences sont génériques et s'appliquent à toutes les organisations, quels que soient leur type, leur taille et leur nature, et que leur degré d'application dépend de l'environnement et de la complexité de l'organisation. Une petite entreprise n'a pas besoin du niveau 4 partout. Commencez ainsi :
- Un périmètre étroit : un site, les produits et services qui comptent le plus (clause 4.3).
- Une BIA légère sur 5 à 10 activités : DMIA, RTO, RPO et dépendances (clause 8.2.2).
- Les cinq principaux risques pesant sur ces activités, avec une décision pour chacun (clause 8.2.3).
- Un seul plan : cellule de crise, contacts, contournements, reprise informatique, communication (clause 8.4).
- Un exercice sur table avec un court rapport et des actions (clause 8.5).
- Une revue annuelle par le dirigeant, avec cette grille et la check-list (clause 9.3).
Objectif réaliste : le niveau 2 dans tous les domaines la première année, puis le niveau 3 en BIA, plans et exercices l'année suivante. Démarche pas à pas : ISO 22301 en 10 étapes.
Questions fréquentes
Qu'est-ce que la gestion de la continuité d'activité ?
La gestion de la continuité d'activité désigne la manière dont une organisation identifie ce qu'elle doit maintenir en fonctionnement, prépare les moyens de le faire pendant une perturbation et se rétablit ensuite. ISO 22301 l'organise en système de management (SMCA) : planifié, mis en œuvre, contrôlé et amélioré.
Cette grille est-elle un modèle de maturité officiel d'ISO 22301 ?
Non. ISO 22301 fixe des exigences ; elle ne définit pas de niveaux de maturité. Cette grille est celle de ResiPlan, alignée sur les clauses d'ISO 22301:2019.
Quelle différence avec une analyse d'écarts ?
L'analyse d'écarts demande « respectons-nous chaque exigence ? ». La grille de maturité demande « à quel point, et avec quelle homogénéité entre entités ? ». La première prépare la certification, la seconde pilote les progrès d'année en année.
À quelle fréquence réévaluer ?
Une fois par an, à la même période pour toutes les entités, et après tout changement majeur : acquisition, nouveau site, incident grave.
Quel niveau viser ?
Selon la criticité : le niveau 3 est une bonne cible pour la plupart des domaines d'une entité critique, le niveau 2 pour une petite entité à faible impact, le niveau 4 là où les autorités ou les clients attendent une performance mesurée.
Sources
- ISO 22301:2019, Security and resilience — Business continuity management systems — Requirements (fiche ISO)
- ISO 22301:2019/Amd 1:2024, Climate action changes (fiche ISO)
- ISO 22313:2020, Guidance on the use of ISO 22301 (fiche ISO)
- ISO/TS 22317:2021, Guidelines for business impact analysis (fiche ISO)
- ISO/TS 22318:2021, Guidelines for supply chain continuity management (fiche ISO)
- ISO/TC 292, normes publiées (sécurité et résilience)
- Règlement (UE) 2022/2554 (DORA), articles 5 et 11, EUR-Lex
- Directive (UE) 2022/2555 (NIS2), article 21, EUR-Lex