PCA et PRA d’un prestataire externalisé : comment vérifier sa continuité d’activité ?

Votre prestataire traite quatre cents dossiers par semaine. Un lundi matin, plus rien.

Le site est coupé, l’équipe ne parvient pas à se connecter, et personne chez vous ne sait combien de temps l’arrêt va durer. Le contrat mentionne une disponibilité de service, sans préciser ce que ce mot recouvre.

C’est exactement le scénario que le PCA d’un prestataire externalisé est censé couvrir. Encore faut-il que ce plan existe, qu’il ait été testé, et qu’il porte sur votre mission plutôt que sur le siège du fournisseur. La continuité ne se mesure pas dans une réunion commerciale : elle se lit dans des documents datés et des délais de reprise constatés.

Les pages qui suivent donnent les définitions utiles, la liste des incidents à couvrir, une grille de notation sur 100 points et les indicateurs à suivre une fois la mission lancée.

Quelle différence entre PCA et PRA ?

Les deux sigles circulent ensemble et désignent deux choses distinctes. Le PCA, plan de continuité d’activité, organise le maintien du service pendant l’incident. Le PRA, plan de reprise d’activité, organise le retour à la normale une fois l’incident passé.

Un exemple rend la différence lisible. Sur un service client externalisé, le PCA prévoit le basculement des appels vers une seconde équipe ou un second site. Le PRA décrit comment l’outil de ticketing, les historiques et les droits d’accès sont remis en état.

Une nuance revient dans presque toutes les négociations. Le prestataire présente d’abord son PCA d’entreprise, celui qui protège son siège et sa direction. Ce document ne dit rien de votre mission. Réclamez le volet applicable à votre périmètre, avec le nom des personnes qui l’exécutent.

RTO et RPO, les deux seuls chiffres à négocier

Deux indicateurs suffisent à cadrer la discussion. Le RTO, recovery time objective, fixe le délai maximal avant reprise du service. Le RPO, recovery point objective, fixe la quantité de données que vous acceptez de perdre.

La norme ISO 22301 et le guide NIST SP 800-34 emploient le même vocabulaire, ce qui évite les malentendus avec un prestataire anglophone. Le tableau ci-dessous donne des ordres de grandeur par type de mission.

Ces valeurs sont des points de départ de négociation, pas des standards. Un troisième terme circule dans les documents anglophones : le MTD, maximum tolerable downtime, durée d’arrêt au-delà de laquelle l’activité ne se rattrape plus. Le RTO se fixe toujours en dessous de ce seuil.

Qui fixe le RTO, vous ou le prestataire ?

La réponse détermine tout le reste. Un RTO proposé par le fournisseur reflète sa capacité technique. Un RTO calculé par vous reflète votre exposition commerciale. Les deux chiffres se rencontrent rarement du premier coup.

Le calcul côté client tient en une ligne : combien coûte une journée sans ce processus, en chiffre d’affaires perdu, en heures internes de rattrapage et en clients à récupérer ? Ce montant justifie ensuite le surcoût d’un engagement de reprise plus court.

Méfiez-vous de la confusion la plus courante. Un taux de disponibilité de 99 pour cent autorise plus de trois jours d’arrêt cumulés par an, répartis comme le prestataire l’entend. La continuité porte sur un événement unique et sur le temps nécessaire pour en sortir.

Quels incidents doivent être anticipés ?

Un plan de continuité qui ne couvre que la panne informatique laisse la moitié du risque de côté. Dans une prestation externalisée, l’arrêt vient aussi souvent des locaux, du réseau ou des personnes.

• Coupure d’électricité ou de connexion internet sur le site de production.
• Cyberattaque, avec chiffrement des postes ou blocage des accès.
• Indisponibilité prolongée d’un outil SaaS utilisé pour la mission.
• Absence simultanée d’une partie de l’équipe : épidémie, grève, mouvement social.
• Crise locale, politique ou climatique, affectant les déplacements.
• Perte d’un site de production après un incendie ou un dégât des eaux.

L’ordre de probabilité n’est pas celui que l’on imagine. Les arrêts les plus fréquents viennent du réseau et des personnes, pas des scénarios spectaculaires qui occupent les plans les mieux rédigés.

La réglementation pousse dans le bon sens, lentement. Selon l’étude ENISA consacrée aux investissements de sécurité publiée en 2025, 35 pour cent des organisations interrogées détectent les incidents plus vite et 26 pour cent constatent une amélioration de leur capacité de réponse et de reprise. Trois organisations sur quatre n’ont donc rien vu changer sur la reprise.

Le cas particulier des dépendances invisibles

Une partie des incidents ne vient pas du prestataire mais de ses propres fournisseurs : hébergeur, éditeur d’outil, opérateur télécom. La directive NIS2 en fait un sujet explicite en imposant aux entités concernées de sécuriser leur chaîne d’approvisionnement.

Demandez la liste. Un prestataire incapable de nommer son hébergeur et son opérateur n’a pas de plan de continuité, il a une intention.

Écrire des scénarios, pas des catégories

Un plan utile nomme des scénarios, pas des catégories. « Incident majeur » ne veut rien dire. « Perte de la connexion principale pendant plus de quatre heures » se teste, se chiffre et se contractualise.

Deux questions suffisent à tester la solidité d’un plan en réunion. Que se passe-t-il si l’incident survient un vendredi soir ? Et si le responsable du PCA est lui-même injoignable ? Les réponses distinguent vite un document vivant d’un document d’appel d’offres.

La géographie compte aussi quand la mission part loin. Un site offshore ajoute des aléas d’infrastructure locale que le contrat doit nommer, sans que cela disqualifie la destination pour autant.

Quelles preuves demander au prestataire ?

Un plan de continuité se juge sur pièces. Sept documents suffisent, et leur date compte autant que leur contenu.

La grille ci-dessous attribue 100 points. Elle sert de base à un premier échange, avant même la visite de site.

Trois seuils de lecture. En dessous de 50 points, aucune mission critique. Entre 50 et 74, un pilote reste envisageable avec un plan d’action daté. À partir de 75 points, le prestataire peut prendre un processus dont l’arrêt vous coûte cher.

La ligne la plus discriminante reste le compte rendu d’exercice. Beaucoup de prestataires disposent d’un PCA rédigé par un consultant il y a trois ans et jamais rejoué depuis. Un plan qui n’a jamais été testé vaut zéro sur cette ligne, quelle que soit sa qualité rédactionnelle.

Ce que contient un compte rendu d’exercice crédible

Le document dépasse rarement trois pages. Ce qui compte tient dans cinq rubriques.

• La date, le scénario joué et la liste nominative des participants.
• Les délais réellement constatés, comparés aux RTO annoncés au contrat.
• Les difficultés rencontrées, y compris celles qui font mauvais effet.
• Les actions correctives décidées, avec un responsable et une échéance.
• L’état d’avancement de ces actions au moment de la remise du document.

Un compte rendu sans aucune difficulté rencontrée est un compte rendu de complaisance. Un exercice réussi du premier coup sur tous les points n’existe pas.

La visite de site, quand elle est possible, règle en une heure ce que trois échanges de mails n’éclaircissent pas. Regardez où arrivent les câbles, où se trouve le groupe électrogène et si quelqu’un sait le démarrer.

Sauvegardes et données, le poste le plus survendu

La question à poser tient en une phrase : quand avez-vous restauré pour la dernière fois, et combien de temps cela a-t-il pris ? Une sauvegarde jamais restaurée est une hypothèse, pas une preuve.

Les règles applicables au traitement de données confié à un prestataire hors Union européenne valent aussi pour les copies de secours, qui traversent parfois une frontière sans que personne ne l’ait décidé.

Cette grille s’insère dans un contrôle plus large. La même logique de preuve que pour auditer un prestataire avant un projet pilote s’applique ici : des documents datés plutôt que des déclarations en réunion.

Comment classer les missions selon leur criticité ?

Toutes les missions externalisées ne méritent pas le même niveau d’exigence. Appliquer la grille à 100 points sur une saisie de données mensuelle revient à payer une assurance dont vous n’avez pas l’usage.

Le classement se fait par processus, pas par prestataire. Un même fournisseur peut porter une mission critique et une mission tolérable, avec deux niveaux d’exigence distincts inscrits dans le même contrat.

Un test rapide permet de trancher : combien de temps pouvez-vous rester sans ce processus avant qu’un client, un salarié ou une autorité ne s’en aperçoive ? En dessous de 48 heures, la mission est critique.

Construire le classement en atelier

Le classement se construit en atelier, pas dans un tableur envoyé par mail. Réunissez le responsable opérationnel, la personne qui pilote le prestataire et quelqu’un du commercial. Trois profils suffisent, et l’exercice tient en deux heures pour une dizaine de processus.

Ce que le classement change dans le contrat

Chaque niveau se traduit ensuite dans le contrat. Un processus critique déclenche une clause de test annuel, un délai de notification court et une pénalité en cas de dépassement du RTO. Un processus tolérable se contente d’un engagement de moyens.

L’erreur la plus fréquente consiste à tout classer critique. Le résultat est prévisible : le prestataire facture un surcoût général, et personne ne sait plus quelle mission relancer en premier le jour d’un arrêt.

Reclassez chaque année. Une mission tolérable en 2026 peut devenir critique quand un canal de vente monte en volume, sans que le contrat ait bougé d’une ligne.

Ce classement sert aussi le jour où la relation s’arrête. Un processus critique impose de préparer le plan de sortie et la reprise des opérations dès la signature, plutôt qu’au moment de la rupture.

Quels KPI suivre pendant la mission ?

Un PCA validé à la signature vieillit vite. Six indicateurs, relevés en comité de pilotage, montrent si la capacité de reprise tient dans le temps.

• Taux de disponibilité du service sur la période, hors maintenance planifiée.
• Délai de reprise constaté lors des incidents réels, comparé au RTO contractuel.
• Volume de retard accumulé pendant l’arrêt et temps nécessaire pour l’absorber.
• Délai entre la détection de l’incident par le prestataire et votre information.
• Volume de données perdues ou à ressaisir, comparé au RPO contractuel.
• Niveau de service constaté dans les deux semaines qui suivent la reprise.

Le quatrième indicateur est le plus révélateur et le moins souvent contractualisé. Un prestataire qui vous prévient trois heures après le début de la panne vous a privé de trois heures d’arbitrage vis-à-vis de vos propres clients.

Le dernier mérite lui aussi de l’attention. La qualité chute souvent après une reprise, quand l’équipe rattrape le retard dans l’urgence. Sur une mission de service client externalisé et ses indicateurs de pilotage, ce creux se voit dans le taux de résolution au premier contact.

À quelle fréquence revoir le plan ?

La revue du plan suit un rythme simple : relecture annuelle du document, exercice une fois par an, vérification après tout incident réel. Un changement de site, d’outil ou de responsable chez le prestataire déclenche une relecture immédiate, hors calendrier.

Un dernier réflexe utile : archivez les incidents, même mineurs. Trois coupures de deux heures dans le même trimestre racontent une histoire que le taux de disponibilité mensuel efface complètement.

Une remarque de terrain : trois de ces six indicateurs ne coûtent rien à produire, parce que le prestataire les mesure déjà pour son propre pilotage. Réclamez-les avant d’accepter un tableau de bord conçu pour vous rassurer.

Un prestataire fiable se juge aussi quand tout s’arrête

Le meilleur taux de qualité du marché ne pèse rien pendant les cinq jours où le service est à l’arrêt.

La continuité ne se négocie pas pendant l’incident. Elle se documente à la signature, se teste une fois par an et se relit à chaque renouvellement. Un prestataire qui accepte cette discipline en tire d’ailleurs un argument commercial, ce que beaucoup n’ont pas encore compris.

Une action à programmer avant le prochain renouvellement : passez vos deux missions les plus critiques au filtre de la grille sur 100 points, puis demandez le compte rendu du dernier exercice de continuité. La réponse à cette seule question classe déjà les prestataires.

Sources et références

Cet article s’appuie notamment sur la norme ISO 22301 relative aux systèmes de management de la continuité d’activité, le guide NIST SP 800-34 consacré à la planification de contingence et le rapport ENISA NIS360 2026 sur la maturité des secteurs critiques européens. Les données relatives à la détection et à la capacité de reprise proviennent de l’étude ENISA sur les investissements de sécurité publiée en 2025, tandis que le cadre réglementaire et les mesures d’hygiène ont été confrontés au texte de la directive NIS2 publié par EUR-Lex et au guide d’hygiène informatique de l’ANSSI.