Consultant PCA : industrialiser vos missions de continuité

Un consultant PCA accompagne une organisation dans la construction, le test et le maintien de son plan de continuité d'activité : cadrage, analyse d'impact sur l'activité (BIA), scénarios de risque, stratégies, rédaction des plans, exercices et préparation de l'audit. Sa valeur ne tient pas au volume de documents livrés, mais à sa capacité à faire décider le client et à laisser un dispositif qui fonctionne sans lui.

La demande augmente, mais le modèle classique (entretiens, tableurs, relances par e-mail, livrables Word mis en forme à la main) plafonne vite : chaque client repart presque de zéro, et la marge fond dans des tâches invisibles. Ce guide décrit l'anatomie d'une mission PCA, les fuites de marge, comment industrialiser sans dégrader la qualité et comment passer au récurrent sans rendre le client dépendant de vous.

L'essentiel en 30 secondes

• NIS2, DORA, les questionnaires fournisseurs et les assureurs étendent la demande à des organisations qui n'avaient jamais commandé de mission PCA.
• Le temps d'une mission part rarement dans la rédaction : il part dans la collecte des données de BIA, la consolidation et les validations.
• Industrialisez la collecte, la consolidation et la mise en forme ; gardez pour vous le jugement, l'arbitrage et l'animation.
• Le maintien en condition opérationnelle (BIA actualisée, exercice annuel, préparation d'audit) transforme un projet en revenu récurrent.
• Le client reste propriétaire de ses décisions, de son plan et de ses données : la passation fait partie du livrable.

Pourquoi la demande de missions PCA augmente-t-elle ?

Quatre forces se combinent :

• NIS2 élargit le périmètre. La directive (UE) 2022/2555 couvre 18 secteurs et s'applique en principe dès la taille d'entreprise moyenne. Son article 21 vise explicitement « la continuité des activités, par exemple la gestion des sauvegardes et la reprise des activités, et la gestion des crises », et l'article 20 impose aux organes de direction d'approuver ces mesures et de se former : le sujet monte au comité de direction. En France, l'ANSSI annonce plusieurs milliers d'entités concernées, dont des collectivités territoriales ; la loi de transposition n'était pas définitivement adoptée à la mi-octobre 2026.
• DORA touche les entités financières et leurs prestataires TIC. Applicable depuis le 17 janvier 2025, le règlement (UE) 2022/2554 exige une politique de continuité des TIC et des tests au moins annuels (article 11). Son article 30 impose, dans les contrats de services TIC qui soutiennent des fonctions critiques ou importantes, l'obligation pour le prestataire de « mettre en œuvre et de tester des plans d'urgence ».
• Les questionnaires clients descendent la chaîne. NIS2 (article 21, paragraphe 3) demande aux entités de tenir compte des pratiques de cybersécurité de leurs fournisseurs directs. Des PME hors champ reçoivent donc des questionnaires qui demandent un RTO, un plan testé et la date du dernier exercice.
• Les assureurs cyber interrogent la capacité de reprise. En pratique, leurs questionnaires de souscription et de renouvellement portent souvent sur les sauvegardes, les tests de restauration et la préparation aux incidents.

Les incidents font le reste : la mise à jour défectueuse de CrowdStrike du 19 juillet 2024 (environ 8,5 millions de postes Windows touchés, selon Microsoft) a montré qu'une dépendance non cartographiée pouvait tout arrêter. Détail des obligations : NIS2, entités essentielles et importantes et guide DORA 2026.

À quoi ressemble une mission PCA type ?

Le déroulé suit la logique d'ISO 22301 ; seule la profondeur change entre une PME et un groupe. Le tableau reflète l'expérience de terrain : les livrables de chaque phase, et ce qui consomme réellement les jours.

Deux constats reviennent. La BIA est le goulet d'étranglement : ce n'est pas l'analyse qui prend du temps, c'est d'obtenir des réponses complètes de responsables qui ont d'autres priorités. Et la valeur perçue se concentre sur trois moments : l'atelier où les RTO sont challengés, la réunion où la direction arbitre, et l'exercice. Méthode détaillée : guide PCA en 8 étapes et guide BIA.

Où la marge d'une mission PCA s'évapore-t-elle ?

Au forfait, chaque jour non prévu se paie sur la marge. Six fuites reviennent sans cesse :

1. Les relances BIA par e-mail. Questionnaire en pièce jointe, réponses partielles, trois versions du même fichier. Le consultant devient secrétaire de projet.
2. La consolidation de tableurs. Colonnes modifiées, échelles d'impact interprétées différemment, dépendances en texte libre : consolider prend parfois plus de temps que collecter.
3. La réécriture de la même structure de plan. Déclenchement, organisation de crise, annuaire, procédures : la trame est identique d'un client à l'autre, mais recopiée à la main.
4. La mise en forme des livrables Word. Styles cassés, tableaux qui débordent, numérotation à refaire après chaque relecture.
5. La reconstitution des preuves pour l'auditeur. Qui a validé quelle BIA, quand l'exercice a eu lieu, quelles actions sont closes : sans historique, il faut tout retrouver.
6. Les plans qui se périment après la passation. Six mois plus tard, l'annuaire est faux. Le client conclut que le PCA ne sert à rien, et la mission suivante devient plus difficile à vendre.

Le point commun : ces tâches portent sur la circulation et la mise en forme de l'information, pas sur l'expertise. C'est précisément ce qui s'industrialise.

Comment industrialiser une mission PCA sans perdre en qualité ?

La règle : standardiser la méthode et la collecte, jamais le contenu ni le jugement. Un PCA générique ne résiste pas au premier exercice.

Une bibliothèque de méthode versionnée

Trame de cadrage, échelles d'impact, questionnaire BIA, structure de plan, modèle de retour d'expérience : tout ce qui ne dépend pas du client doit exister une seule fois, versionné, et s'améliorer de mission en mission. Le modèle de BIA gratuit et le générateur de plan de continuité donnent un point de départ.

Des catalogues de processus par secteur

Deux distributeurs se ressemblent beaucoup plus qu'un distributeur et un hôpital. Un catalogue sectoriel évite la page blanche, à condition de le présenter comme une hypothèse à corriger : c'est au client de supprimer, renommer et compléter.

Des campagnes BIA asynchrones

Plutôt que d'enchaîner les entretiens de deux heures, envoyez à chaque responsable de processus un formulaire structuré avec une échéance, des relances et un circuit de relecture : il saisit, vous contrôlez la cohérence, un approbateur valide ou renvoie pour correction. L'atelier ne sert plus à remplir des cases mais à challenger les RTO et arbitrer les écarts. C'est là que votre expertise se voit.

Des livrables générés depuis des données structurées

Quand la BIA, les dépendances et les stratégies vivent dans un modèle de données, le document Word devient un export. Une correction de RTO se propage dans le plan au lieu d'être recopiée dans quatre fichiers. L'IA peut produire un premier jet à partir de ces données, mais elle ne connaît ni les modes dégradés réels ni la culture du client : le consultant relit, corrige et assume.

Des scénarios d'exercice réutilisables

Rançongiciel, perte d'un site, défaillance d'un fournisseur critique : la structure d'un scénario se réutilise, les injects s'adaptent aux dépendances du client. Voir nos 10 scénarios d'exercice de crise.

Un espace par client, strictement isolé

Une BIA contient des faiblesses, des fournisseurs critiques, des numéros personnels. Un espace par client, avec ses rôles et sa piste d'audit, protège le client et vous protège. Au sens du RGPD, vous traitez souvent ces données pour son compte : vos contrats et vos outils doivent le permettre.

Ce qu'il ne faut pas industrialiser : l'entretien de cadrage avec la direction, le challenge des RTO, l'animation de l'exercice et le retour d'expérience. C'est ce que le client achète.

Du projet ponctuel au revenu récurrent : quelle offre de maintien ?

Un PCA livré puis abandonné se dégrade en quelques mois. Le maintien en condition opérationnelle (MCO) répond donc à un besoin réel et souvent imposé : DORA exige un test au moins annuel des plans de continuité TIC ; ISO 22301 demande des exercices à intervalles planifiés, un audit interne et une revue de direction. Un cycle annuel type :

• 1er trimestre : BIA actualisée par campagne, chaque responsable repartant des valeurs validées l'année précédente.
• 2e trimestre : revue des plans et de l'annuaire, intégration des changements (applications, fournisseurs, organisation).
• 3e trimestre : exercice et retour d'expérience.
• 4e trimestre : suivi des actions correctives, préparation de l'audit et de la revue de direction.

Le piège de la régie : au temps passé, l'industrialisation réduit votre chiffre d'affaires. Elle ne paie qu'au forfait ou à l'abonnement, quand le client achète un résultat (BIA à jour, exercice réalisé, audit préparé) et non des jours.

Comment garder le client propriétaire de son PCA ?

Un consultant devenu indispensable a mal fait son travail. Trois principes protègent l'indépendance du client.

Le client décide. RTO, stratégies, acceptation d'un risque résiduel, budget : ce sont des décisions de direction. Le consultant prépare, chiffre, recommande et fait arbitrer ; il ne signe pas. Faites valider chaque arbitrage par écrit : c'est aussi une preuve d'audit sur le leadership (clause 5 d'ISO 22301).

Le client opère. Un responsable du PCA interne nommé, des correspondants formés, des procédures rédigées avec les équipes. Si vous êtes le seul à savoir lancer une campagne BIA ou retrouver la dernière version du plan, vous êtes devenu un point de défaillance unique de votre client.

Le client garde ses données. Plans, BIA, preuves et historique doivent être récupérables à tout moment dans un format exploitable. Écrivez la réversibilité dans le contrat : qui détient l'espace de travail, qui paie l'outil, comment les données sont restituées.

Une passation propre comprend au minimum les plans validés et datés, la BIA et ses validations, la cartographie des dépendances, le dernier retour d'expérience et ses actions, le calendrier de maintien et des accès transférés à l'équipe interne. Enfin, l'audit interne doit être objectif et impartial : le cabinet qui a construit le dispositif peut le préparer, mais ne devrait pas le réaliser lui-même.

Quels critères pour choisir un outil quand on est consultant ?

Un outil pensé pour une seule organisation convient mal à un cabinet qui en accompagne dix :

Si votre pratique repose encore sur des tableurs, comparez honnêtement : tableur ou ResiPlan ? et l'offre cabinets de conseil.

Ce que fait ResiPlan, concrètement

• Mode opérateur : un espace isolé par client, une seule connexion pour passer de l'un à l'autre. Licences Starter (jusqu'à 3 clients, 299 € HT par mois, facturation mensuelle), Pro (10 clients, 799 € HT par mois), Scale (50 clients, 1 499 € HT par mois), Operator+ sur devis.
• Campagnes BIA envoyées aux responsables de processus du client via un espace contributeur où chacun ne voit que ses BIA : relances par e-mail avant l'échéance, renvoi pour correction, approbation avec séparation des tâches.
• Processus pré-remplis par secteur, calcul du RTO et de la DMIA.
• Plans pré-remplis depuis la BIA, avec un premier jet généré par IA que le consultant relit et valide.
• Exercices sur table, dont les constats deviennent des actions correctives suivies.
• Exports Word et PDF, dossier de preuves ISO 22301 ; ISO 22301, NIS2 et DORA cartographiés.
• Essai consultant de 7 jours avec deux clients fictifs de démonstration.

Une précision honnête : un logiciel ne rend personne « conforme » et ne certifie personne ; il structure le travail du consultant et de son client sans le remplacer. Essai gratuit de 7 jours, sans carte bancaire.

Checklist : votre pratique PCA est-elle industrialisée ?

• Votre méthode (trames, échelles d'impact, questionnaire BIA, structure de plan) existe en une seule version de référence.
• Vos catalogues de processus sectoriels sont présentés comme des hypothèses à corriger.
• La collecte BIA passe par des campagnes avec échéance, relances et validation.
• Les ateliers servent à challenger les RTO et à arbitrer, pas à remplir des formulaires.
• Vos livrables sont générés depuis des données structurées.
• Chaque arbitrage de direction est validé par écrit et daté.
• Chaque client dispose d'un espace isolé, avec ses rôles et sa piste d'audit.
• Les preuves (validations, versions, exercices, actions) sont historisées au fil de l'eau.
• Une offre de maintien annuelle figure dès la proposition initiale.
• Le contrat prévoit la réversibilité et la restitution des données.
• Un responsable du PCA interne sait lancer seul une campagne BIA et mettre à jour un plan.

FAQ

Combien de temps dure une mission PCA ?

À titre indicatif, 6 à 12 semaines pour une première version exercée dans une PME qui démarre sur deux ou trois services critiques, plusieurs mois pour un groupe multi-sites. Les facteurs déterminants sont le nombre de processus, la disponibilité des métiers pour la BIA et la rapidité des arbitrages. La rédaction est rarement le facteur limitant.

Comment facturer une mission PCA : forfait, régie ou abonnement ?

Le forfait convient à la construction quand le périmètre est clair, la régie aux périmètres incertains, l'abonnement au maintien annuel. Beaucoup de cabinets combinent forfait de construction et abonnement de maintien. Plus votre méthode est industrialisée, plus ces deux modèles deviennent avantageux face à la régie.

Faut-il une certification pour être consultant PCA ?

Le titre n'est pas réglementé. Les certifications de personnes ISO 22301 Lead Implementer ou Lead Auditor, ou celles du Business Continuity Institute et de DRI International, sont des repères connus des acheteurs. En France, l'ANSSI qualifie par ailleurs des prestataires d'accompagnement et de conseil en sécurité (PACS), un repère utile pour les missions à forte composante cyber.

Le consultant peut-il rédiger le PCA à la place du client ?

Il peut rédiger, pas décider ni opérer. Les procédures en mode dégradé s'écrivent avec les métiers et les arbitrages se valident en direction ; sinon, le plan ne sera pas appliqué le jour J.

Que deviennent les données du client à la fin de la mission ?

Elles appartiennent au client. Prévoyez un export complet (plans, BIA, preuves, historique) dans un format exploitable, ou le transfert de l'espace de travail à l'équipe interne. Un outil qui complique cette restitution crée une dépendance que les acheteurs avertis refusent.

Comment adapter une mission PCA à NIS2 ou DORA ?

Ajoutez au cadrage la qualification du client (entité essentielle ou importante, entité financière, prestataire TIC) et reliez chaque livrable aux exigences concernées : article 21 de NIS2, articles 11 et 30 de DORA. Pour une entité financière, planifiez dès le départ le test annuel des plans de continuité TIC.

Pour aller plus loin

• Plan de continuité d'activité (PCA) : guide 2026 en 8 étapes
• BIA en 7 étapes, avec modèle gratuit
• ISO 22301 en 10 étapes
• NIS2 : entités essentielles et importantes
• Guide DORA 2026
• 10 scénarios d'exercice de crise

Un cabinet de continuité se juge moins au nombre de plans livrés qu'au nombre de clients dont le plan est encore vrai un an après la fin de la mission.