ISO 22301.
Organiser la continuité d’activité comme un système de management : des prestations prioritaires aux solutions éprouvées et aux preuves adaptées.
- ISO 22301:2019 + Amd 1:2024
- Par Jonathan Bezdek
- À jour au 22/10/2026
- Temps de lecture : 8 min
Réponse courte.
ISO 22301 est la norme internationale d’exigences pour les systèmes de management de la continuité d’activité, ou SMCA. Elle aide toute organisation à se préparer aux interruptions, poursuivre ses prestations importantes et rétablir l’activité. ISO 22301:2019 associe ces capacités à l’évaluation et à l’amélioration continues ; une certification indépendante peut attester le système dans son périmètre défini.
ISO 22301 et le management de la continuité d’activité.
ISO 22301 considère la continuité d’une organisation comme une tâche permanente de management. Le management de la continuité d’activité, ou BCM, associe les priorités métier aux solutions face aux interruptions et à la capacité de les appliquer. Un SMCA organise la responsabilité et l’entretien de ce travail. La présentation publique de l’ISO réunit préparation, fonctionnement, évaluation et amélioration du système.
La base publiée est ISO 22301:2019 avec Amd 1:2024. L’amendement ajoute des modifications relatives au climat ; il ne constitue pas une nouvelle édition de base ISO 22301:2024. La page produit de l’ISO mentionne une révision et un projet de comité. Un projet en cours d’élaboration ne remplace pas la norme publiée et ne crée ici aucun nouveau délai de transition.
Une sauvegarde ou un plan d’urgence est un élément du travail de continuité. Un SMCA examine aussi la prestation nécessaire, les personnes et ressources qui la soutiennent, les décideurs lors d’une interruption et l’intégration de l’expérience à la planification suivante. Un fichier existant démontre donc d’abord la planification ; le fonctionnement d’une solution doit être examiné séparément.
À qui s’adresse la norme de continuité d’activité.
Selon la présentation de l’éditeur ISO, ISO 22301 convient aux organisations de différentes tailles et de différents secteurs. Le périmètre peut couvrir des parties clairement définies d’une organisation. Les prestations concernées et leurs dépendances sont déterminantes, au-delà du seul effectif ou des systèmes informatiques existants.
Les clients, partenaires contractuels ou règles sectorielles peuvent exiger des preuves particulières de continuité. Clarifiez donc d’abord l’unité organisationnelle et la prestation à évaluer. Les interfaces restent importantes pour les activités externalisées : un fournisseur peut planifier son propre rétablissement tandis que la prestation de bout en bout pour vos clients nécessite encore des décisions supplémentaires.
Les principaux domaines d’un SMCA.
Un SMCA associe priorités métier, solutions applicables et fonctionnement vérifiable. Les domaines suivants donnent des repères généraux sur ISO 22301 ; ils ne constituent ni une liste exhaustive de clauses ni un découpage de projet imposé.
Direction et périmètre.
Une direction responsable donne au travail de continuité son orientation et ses ressources. La brochure ISO PUB100442 recommande explicitement cet appui pour démarrer. Dans le fonctionnement, les prestations considérées, les domaines participants et les pouvoirs de décision doivent être cohérents. Un périmètre flou ne permet pas de savoir si un plan couvre une seule composante technique ou la prestation complète nécessaire.
Impacts et priorités.
L’analyse d’impact sur l’activité examine les conséquences d’une interruption dans le temps et les activités devant ainsi être prioritaires. La présentation publique d’ISO/TS 22317:2021 décrit la BIA comme un processus d’analyse propre. Ses résultats doivent être compréhensibles par les métiers responsables ; un objectif de rétablissement techniquement possible n’est pas encore une exigence métier confirmée.
Risques et solutions de continuité.
Une solution de continuité doit correspondre aux interruptions attendues et aux prestations nécessaires. La communication de l’éditeur ISO sur l’édition 2019 cite différentes causes, notamment les problèmes de chaîne d’approvisionnement et les cyberattaques. Examinez donc aussi les personnes, les sites et les services externes au-delà de la technique. Le choix d’une solution doit faire apparaître ses conditions et ses limites.
Rôles et plans de réponse.
Des plans compréhensibles traduisent le choix d’une solution en actions exécutables. La communication ISO de 2019 souligne l’importance de rôles clairs et de plans de réponse applicables. Dans l’exploitation concrète, cela comprend le déclenchement de la réponse, les décisions autorisées, les contacts joignables et les transmissions entre métiers et technique. Un suppléant doit comprendre le résultat attendu de lui.
Exercices et évaluation des performances.
Un exercice vérifie une affirmation précise sur la capacité de continuité. La brochure ISO recommande un exercice de rétablissement dès l’évaluation initiale. Un exercice sur table peut vérifier les décisions, un test technique le rétablissement de certains systèmes. Documentez le périmètre effectivement vérifié pour éviter de transformer un résultat limité en affirmation non démontrée sur toute l’exploitation.
Amélioration et changements.
Un SMCA reste utile s’il évolue avec l’organisation. La présentation publique d’ISO 22301 associe explicitement l’évaluation continue à l’amélioration. Les changements de prestations, fournisseurs, personnel ou voies de rétablissement peuvent invalider des hypothèses antérieures. Les enseignements doivent donc être traités sous une responsabilité définie, avec une vérification traçable du résultat.
Appliquer ISO 22301 par étapes.
Délimiter la prestation.
Pour commencer concrètement, choisissez une prestation importante et consignez les parties de l’organisation, clients et interfaces couverts par le périmètre.
Confirmer les priorités.
Faites évaluer les conséquences d’une interruption et le niveau d’activité nécessaire par les responsables métier, plutôt que de déduire les objectifs des seules possibilités techniques existantes.
Évaluer les dépendances.
Recensez les personnes, informations, systèmes, sites et fournisseurs nécessaires, puis vérifiez quelles conditions peuvent faire défaut simultanément lors d’une interruption.
Mettre en œuvre les solutions et les rôles.
Convenez de solutions de secours et de rétablissement viables avec des responsabilités, des pouvoirs de décision et les ressources réellement disponibles.
Mener un exercice délimité et traçable.
Planifiez un exercice sûr avec un scénario et des critères de réussite définis, puis consignez les résultats, y compris les parties omises et les aides nécessaires.
Suivre les enseignements.
Confiez les améliorations nécessaires à une personne responsable et vérifiez à nouveau la capacité concernée avant de considérer le constat comme résolu.
La portée de la certification ISO 22301.
Une certification ISO 22301 est une preuve indépendante relative au système de management dans le périmètre indiqué. La brochure ISO PUB100442 décrit la certification comme une décision volontaire. Selon la page ISO sur la certification, des organismes externes examinent et certifient ; l’ISO ne délivre pas elle-même de certificats. Toute exigence contractuelle précise de preuve doit être clarifiée en complément.
La preuve concrète doit correspondre à l’organisation et à la prestation considérées. Vérifiez l’organisme émetteur, le périmètre indiqué, la version de référence et le statut actuel, y compris la date de validité. Une certification ne promet ni une activité sans interruption ni l’atteinte de chaque objectif de rétablissement dans toute situation. Des plans à jour, des résultats d’exercices et des enseignements traités restent nécessaires au pilotage interne.
ISO 22301 et les autres référentiels.
ISO 27001 organise la sécurité de l’information, tandis qu’ISO 22301 concerne la continuité des prestations prioritaires ; ces deux tâches peuvent toucher les mêmes dépendances opérationnelles. Avec le BSI-Standard 200-4, IT-Grundschutz offre une autre approche méthodologique de la continuité, sans rendre toutes les preuves équivalentes. NIS2 impose ses propres exigences légales qu’un certificat de SMCA ne satisfait pas globalement. ISO 9001 relie objectifs de qualité, responsabilités de processus et évaluation ; des pratiques de management communes peuvent faciliter la collaboration, mais les objectifs propres à chaque domaine restent à vérifier séparément.
- ISO 27001Situer la sécurité de l’information et le périmètre d’un SMSI.
- IT-GrundschutzComprendre la méthode du BSI et ses standards d’organisation de la sécurité.
- NIS2Examiner séparément les obligations légales des entités concernées.
- ISO 9001Situer le management de la qualité et les responsabilités partagées de processus.
Dans Secani.
Secani contient un catalogue de travail éditorial ISO 22301 fondé sur l’édition 2019 avec Amd 1:2024. Les informations de profil distinguent notamment les sites multiples, les fournisseurs critiques et le rétablissement des TIC. Le catalogue est un outil structuré dont l’examen normatif détaillé reste à effectuer. L’organisation responsable doit toujours mettre en œuvre et tester elle-même ses solutions de continuité.
Prochaine étape.
Commencez par une prestation importante et son responsable métier. Convenez de ce qui doit continuer à fonctionner pendant une interruption et des dépendances devant être disponibles. Choisissez ensuite un exercice limité vérifiant l’une de ces hypothèses. Le résultat observé fournit une base solide pour la décision suivante.
Sources.
- ISO 22301:2019 – présentation publique de l’éditeur et statut
- ISO 22301:2019/Amd 1:2024
- Brochure ISO PUB100442 : continuité d’activité, 2019
- ISO 22313:2020 – guide de mise en œuvre du SMCA
- ISO/TS 22317:2021 – analyse d’impact sur l’activité
- ISO : certification – organismes de certification externes
- ISO : Building resilience, communication de l’éditeur du 31 octobre 2019
Questions fréquentes.
Non. Une sauvegarde n’est qu’une partie de la capacité de rétablissement ; les personnes, accès, applications et processus métier nécessaires doivent aussi être pris en compte. Un SMCA organise ces capacités et leur entretien continu.
Non. L’analyse d’impact sur l’activité évalue les conséquences d’une interruption ; le RTO décrit un objectif de délai de rétablissement, le RPO la perte acceptable de données récentes. Ces grandeurs sont liées, mais répondent à des questions différentes.
Non. Selon la brochure ISO, la certification est une décision volontaire de preuve ; les exigences des clients ou partenaires contractuels doivent être examinées en complément. Un SMCA peut fonctionner sans certificat.
Il n’existe pas de réponse générale. La planification des exercices doit correspondre au périmètre, aux risques, aux changements et aux exigences applicables. Un test limité ne démontre que la capacité effectivement vérifiée.
La continuité exige des hypothèses vérifiées.
Discutons de la manière de structurer votre travail de continuité dans Secani.
Cette page présente les normes publiées de manière générale. La version pertinente de la norme et les exigences applicables à votre organisation font foi.