PRA : construire un plan de reprise d'activité pour une PME
Pourquoi la plupart des PME n'ont pas de plan de reprise d'activité, et comment en construire un de manière pragmatique, étape par étape.
Un incendie, une cyberattaque, une panne majeure : quand le SI tombe, chaque heure d’arrêt coûte cher. Pourtant, selon les études du CESIN, moins de 30 % des PME disposent d’un plan de reprise d’activité formalisé.
Qu’est-ce qu’un PRA (Plan de Reprise d’Activité) ?
Le Plan de Reprise d’Activité (PRA) est un document opérationnel qui décrit comment restaurer le système d’information après un sinistre majeur. Il répond à deux questions fondamentales :
- RPO (Recovery Point Objective) : quelle quantité de données peut-on se permettre de perdre ? (1 heure, 24 heures, une semaine ?)
- RTO (Recovery Time Objective) : en combien de temps le SI doit-il être de nouveau opérationnel ?
Pourquoi les PME n’en ont pas
Les raisons sont toujours les mêmes :
- “Ça n’arrive qu’aux autres”
- Pas de DSI en interne pour porter le sujet
- Le prestataire informatique ne l’a jamais proposé
- Le coût perçu semble disproportionné
En réalité, un PRA adapté à une PME ne nécessite ni budget colossal, ni infrastructure complexe.
Construire son PRA en 5 étapes
1. Identifier les actifs critiques
Lister les applications, données et services sans lesquels l’activité s’arrête. Pour un distributeur, c’est l’ERP et la messagerie. Pour un cabinet d’avocats, c’est le serveur de fichiers et le logiciel métier.
2. Évaluer les risques
Pour chaque actif critique, identifier les menaces : panne matérielle, ransomware, erreur humaine, sinistre physique. Estimer la probabilité et l’impact.
3. Définir RPO et RTO
Fixer des objectifs réalistes en fonction de l’activité. Un RPO (perte de données maximale tolérée) de 4 heures et un RTO (délai de remise en service) de 24 heures est un objectif raisonnable pour beaucoup de PME.
4. Choisir les solutions techniques
Selon les objectifs :
- Sauvegarde externalisée (Veeam, Acronis, solution cloud) avec restauration testée
- Réplication vers un site secondaire ou un environnement cloud (Azure Site Recovery, AWS Disaster Recovery)
- Contrat de remplacement matériel avec le prestataire (livraison sous 4h, sous 24h)
5. Documenter et tester
Le PRA doit tenir en quelques pages claires, avec les contacts d’urgence, les procédures pas à pas et les accès nécessaires. Surtout : le tester au moins une fois par an. Un plan non testé est un plan qui ne fonctionnera pas le jour J.
Le coût réel
Pour une PME de 20 à 100 postes, un PRA opérationnel coûte typiquement entre 2 000 et 10 000 euros par an (sauvegarde externalisée + test annuel). À comparer au coût d’un arrêt complet de l’activité, qui se chiffre en dizaines de milliers d’euros par jour.