Transcript La démarche Continuité d`Activité
22 mai 2008 JJ Mois Année Les enjeux de la Continuité d’Activité et de la Résilience dans le secteur bancaire Club de l’IRIS 22 mai 2008
Sommaire
Introduction :
Pourquoi la continuité d’activité ?
La gestion des risques dans la banque Gestion du Risque Opérationnel Organisation de la filière PCA du Groupe Société Générale
Objectifs de la Continuité d’Activité
Assurer la continuité des activités critiques Obligations réglementaires
La démarche Continuité d’Activité
Le cycle de vie de la Continuité d’Activité Risk Assessement & scénarii 1- Comprendre son organisation :
Business Impact Analysis
2 Déterminer la stratégie et ressources critiques 3- Elaborer et mettre en place des solutions 4 Documenter et maintenir à jour 5 Promouvoir la Culture Continuité d’Activité Critères de qualités d’un Plan de Continuité Activité Déclenchement du Plan de Continuité
De la Continuité d’Activité à la Résilience
22 mai 2008
Club de l’IRIS RB – 03/03/2008
page 03 page 05 page 06 page 07 page 09 page 10 page 11 page 12-13 page 14-17 page 18 page 19-22 page 23-25 page 26 page 27 page 28 page 29
2
RB – 03/03/2008
objectifs
Pourquoi la Continuité d’Activité ?
Parce que les menaces sont réelles…
Attaques terroristes
11 sept. 2001 - New York 11 mars 2004 - Madrid 07 juillet 2005 - Londres
Catastrophes naturelles
2005 tsunami Océan Indien 2006 - ouragan Katrina 2007 séisme à Jakarta
Sinistre majeur sur infrastructures
Août 2003 - Blackout USA 22 mai 2008
Malveillance
2006 alerte à la bombe 2007 - attaque virale IT
Club de l’IRIS
Crises sanitaires
1997 - grippe aviaire Hong Kong 2003 épidemie de S.R.A.S. 2006 - intox. alimentaire Valmy
Incidents techniques
Fev. 2006 - inondation SdM Paris Oct. 2006 - coupure Tower Hill Dec. 2006 évacuation Sydney Juil. 2007 - incendie Johannesburg
Mouvements sociaux / sociétaux
2006 2007 grève des transports New York grève des transports en France
3
RB – 03/03/2008
introduction
Gestion des Risques dans la Banque
Risques de Marché
: risques de perte ou d’immobilisation résultant d’une évolution défavorable des conditions de couverture des positions sur les marchés.
Risques de Contrepartie
: risques de perte ou d’immobilisation engendrés par le défaut d’une contrepartie (= Risques de Crédit )
Risques Opérationnels
résultant d’événements externes (catastrophe, incendie, agression, changement de réglementation, etc.). Les risques opérationnels sont inhérents à tous les produits, activités, procédures et systèmes de la banque. Sa gestion fait partie intégrante des fonctions de management à tous les niveaux : risques de perte résultant de l’inadaptation ou de la défaillance de procédures, personnes, systèmes internes ou
RISQUES DE MARCH É RISQUES DE CONTREPARTIE RISQUES OP ÉRATIONNELS
Suivi quotidien des positions et risques sur activités de marché Définition des limites - comparaison par rapport aux positions et risques Définition des mesures de risques, procédures de contrôles, validation des modèles de valorisation, définition des provisions pour les risques de marché Instruction des demandes de limites et suivi de leur utilisation Contrôle indépendant de niveau 1 et reporting Groupe Connaissance des contreparties Notations des contreparties et des transactions Contreparties en défaut ou fragilisées Suivi du risque de crédit - Axe produits Suivi du risque de crédit- Axe contreparties Règles de gestion du risque de crédit dans les Systèmes d'Informations 22 mai 2008
Club de l’IRIS
Référentiels réglementaireset spécifiques à la banque Collecte des pertes internes Référentiel de Pertes externes Auto évaluation des Risques et Contrôles (RSCA) & Surveillance Permanente Indicateurs Clefs Risques (KRI) Analyses de scénario Reporting réglementaire Gestion de Crises Programmes de la Continuité d’Activité
4
RB – 03/03/2008
introduction
Gestion du Risque Opérationnel
Filière Risques Opérationnels ENVIRONNEMENT BUSINESS
Cadre politique, économique, législatif et réglementaire
La Continuité d’Activité dans la Filière Risques Op.
Les Programmes de Continuité d’Activité sont intégrés dans la filière Risques Opérationnels
PREVENTION DES RISQUES
Surveillance Perm., PCA, Sécurité info., Conformité
MESURE DES RISQUES
Collecte pertes RSCA / KRI
GESTION DES RISQUES
Objectifs et Actions correctives Scénarii
TRANSFERT DES RISQUES
Assurance
O P E R A T I O N N E L S R E P O R T I N G R I S Q U E S
Les PCA permettent d’atténuer par la mise en place de mesures spécifiques les risques liés à la perte des environnements de production ou l’interruption des systèmes Les PCA participent à la diminution du Capital Réglementaire au titre du Risque Opérationnel La Continuité d’Activité évite les pertes opérationnelles « matérielles » en cas de sinistres Certaines analyses de scénario prennent en considération les capacités de Continuité d’Activité Direction des Risques de Marché Pilotage des Risques Opérationnels Direction des Risques Direction des Risques Opérationnels Gestion de Crise Direction des Risques de Contrepartie Programmes de la Continuité d’Activité 22 mai 2008
Club de l’IRIS
5
RB – 03/03/2008
introduction
Organisation de la Continuité d’Activité à la SG
La Filière Continuité d’Activité Rôles et responsabilités PCA des Pôles et DF
La filière repose sur deux principes structurants de la banque :
COH ÉRENCE SUBSIDIARIT É
La filière Continuité d’Activité repose sur : Une équipe centrale
Programmes de la Continuité d’Activité du Groupe
(RISQ/OPE/PCA) Une organisation par Pôles et par DF avec : • une coordination centrale • des équipes opérationnelles dans les lignes métiers, les fonctions supports et dans les filiales • un management « métier » propriétaire et responsable de ses Plans de Continuité d’Activité
Les missions de la cellule centrale PCA
La
coordination centrale PCA
du Pôle / de la DF définit/déroule les directives PCA au sein de son périmètre s’assure que les dispositifs PCA sont proprement implémentés, mis à jour et testés (contrôle de niveau 1) développe les méthodologies et déploie les outils PCA garantit un reporting régulier au senior management et aux autorités réglementaires sur son périmètre
Responsables PCA
Lignes Métiers / Fonctions Supports / Filiales sont responsables d’implémenter les stratégies PCA validées par le management sur leur périmètre d’activité s’assurent de l’alignement et de la cohérence des stratégies et solutions PCA entre lignes métier, fonctions supports et implantations élaborent les solutions PCA qui satisfont aux besoins des métiers, en conformité avec les directives internes et les exigences réglementaires assurent l’animation et le contrôle de l’implémentation des solutions PCA validées par le management organisent la mise à jour et le test des solutions déployées
Stratégie Gouvernance PCA Normes Méthodologie Contrôle Niveau 2 C O N T R Ô L E D E S R IS Q U E S C O & N S R O E L P ID O R A T T IO IN G N D E S IN Direction Générale F O Reporting à la Reporting aux autorités Relations avec la place
Le senior management
nomme le Directeur PCA, approuve les stratégies proposées, alloue les ressources et les budgets adéquats valide la gouvernance PCA et évalue périodiquement les réalisations du Programme de Continuité d’Activité
PRESTATIONS DE SERVICES COMMUNS Pilotage des Projets transversaux Coordination des Tests transversaux
L’audit
interne procède à une revue périodique des stratégies et solutions déployées et de leur adéquation avec la stratégie du Groupe, du Pôle/ de la DF et des exigences réglementaires 22 mai 2008
Club de l’IRIS
6
RB – 03/03/2008
22 mai 2008
objectifs
Assurer la continuité des activités critiques
Activités
Maintient des activités les plus critiques suite à un sinistre.
La gestion de la continuité d’activité est une approche globale de management. Son objectif est d’identifier les impacts potentiels qui menacent la banque et de la doter des capacités de répondre efficacement à des sinistres en sauvegardant ses activités vitales et critiques, sa réputation et les intérêts de ses clients et partenaires. 100% autres sensibles critiques vitales Temps
-
niveau de criticité niveau de criticité !!
niveau de criticité
Activité Vitale
: une activité dont l’exécution est fondamentale / obligatoire pour la banque + Impacts jugés inacceptables par le management en cas d’arrêt d’activité : impact financier extrêmement lourd pour l’entreprise très forte dégradation de son image de marque auprès des institutions financières et des partenaires impact Réglementaire majeur sans possibilité de négociation avec les institutions gouvernementales (la banque ne peut se soustraire à ses obligations)
Activité Critique
: une activité dont l’exécution est souhaitée pour la banque, mais ne revêt pas de caractère obligatoire + Impacts, en cas d’arrêt des activités, jugés très préoccupants voire inacceptables pour la stratégie de la banque mais ne compromettant pas sa survie en cas de crise : impact financier lourd pour l’entreprise impact stratégique majeur très forte dégradation de son image de marque auprès des salariés et des médias impact réglementaire majeur avec possibilité de négociation avec les institutions gouvernementales
Activité Sensible
: une activité dont l’exécution est préférable pour le bon déroulement des opérations.
+ Impacts, en cas d’arrêt des activité, jugés préoccupants, mais potentiellement acceptables dans un contexte de crise : impact financier moyen pour l’entreprise impact stratégique nul dégradation significative de son image de marque auprès des salariés et des médias impact réglementaire mineur avec possibilité de négociation avec les institutions gouvernementales
Club de l’IRIS
7
RB – 03/03/2008
objectifs
Obligations réglementaires
Les Régulateurs financiers
Les régulateurs sont les autorités financières chargées de mettre en place les règles visant à garantir la stabilité des places financières et le contrôle des marchés financiers
Protection des épargnants
Surveillance de l’introduction d’instruments financiers sur les marchés financiers
Régularité de l’information donnée aux acteurs des marchés financiers
Encadrement des offres publiques (OPA, OPE, etc…)
Bon fonctionnement des marchés financiers
Conseil au législateur pour l’élaboration de la réglementation des marchés financiers Quelques régulateurs majeurs :
MINEFE
Ministère Economie & Finances
CB Commission Bancaire
AMF
Autorité des Marchés Financiers
BCE
Banque Centrale Européenne
FED Governors of Federal Reserve Syst. NYSE New York Stock Exchange SEC Securities & Exchange Commission FSA Financial Services Authority BaFin Bundesbank & Fin. Supervision
CFB
Commission Fédérale des Banques
MAS Monetary Authority of Singapore FSAJ Financial Services Auth. of Japan HKMA Honk Kong Monetary Authority
BRI
Banque des Règlements Internat.
En réaction aux évènements et menaces de ces dernières années, les autorités et les régulateurs ont accentué, ou du moins précisé, leurs attentes vis-à-vis des banques en matière de continuité d’activité afin de prévenir les crises systémiques sur les principales places financières Réglementations générales Règlementations CRBF 97-02 + AMF (FR) DNS Finance (FR) Réglementations détaillées Réglementation SIPS (EU) Règles NASD & NYSE (US) Recommandations Interagency White Paper, FED (US) Recommandations et saines pratiques BRI Plan National « Pandémie Grippale », Robustesse (FR) Benchmarking BCM Business Guide (UK : FSA + HMT + BoE) Exigences réglementaires et bonnes pratiques de Continuité d’Activité :
Scénarii de sinistres à analyser
Plusieurs scénarii Chocs extrêmes / sinistres régionaux Sinistres simultanés / plusieurs acteurs Impact fort pour le personnel Pandémie
Délais de reprise
Journée de règlement respectée Intra day pour les opérations critiques 4H pour le clearing & le settlement (<2H) Reprise IT critique sous 2H Reprise de 60 à 80% du volume normal sous 4H à bonne valeur
Niveau de reprise (activités prioritaires)
Paiements, clearing & settlements Paiements d’importance systémique Accès clients aux fonds titres Monnaie fiduciaire & minimas sociaux Salle de marché et chaîne Titres
Éloignement du site de secours
Eviter les zones de concentration Décorréler les risques avec la production (infrastructures différentes) Site répondant à un sinistre régional Secours IT >10 km (best practice) Dispersion des équipes de production 22 mai 2008
Club de l’IRIS
8
RB – 03/03/2008
la démarche
Le cycle de vie de la Continuité d’Activité
5 1 comprendre l’organisation 4 révision, mise à jour et exercices Programme Continuité d’Activité 2 déterminer la stratégie 3 développement et implémentation des réponses PCA culture PCA
La démarche Continuité d’Activité est un processus cyclique à travers lequel la banque
1 2 3 4 5
évalue la solidité de son organisation et la vulnérabilité de ses activités
des sinistres de scénarii multiples à
définit la stratégie
de continuité de ses activités critiques après sinistre met en place les
solutions de continuité
pertinentes et
les documente teste ses dispositifs
, les maintient opérationnels et les révise à fréquence régulière
informe ses personnels et les exerce
à utiliser les solutions de continuité en cas de sinistre Deux prérequis sont indispensables pour engager la démarche Continuité d’Activité : une
stratégie d’entreprise
clairement définie un
Risks Assessment
solide et exhaustif Les principaux résultats attendus (livrables) : 22 mai 2008 Une
cartographie des risques
un
Business Impact Analysis
, une collecte des expressions de besoins des métiers, mettant en évidence les activités critiques une
stratégie de Continuité d’Activité
déclinée en fonction de différents scénarii de sinistres, et adressant les objectifs métiers, les priorités et les niveaux d’activité à recouvrir après un sinistre un
inventaire des ressources critiques
et le séquencement de leur montée en charge des
plans de Continuité d’Activité
décrivant les dispositifs mis en place et les procédures pour mettre en œuvre la stratégie des
programmes de tests
et des
plans d’actions correctrices
des
supports d’information / de sensibilisation / de formation Club de l’IRIS
9
RB – 03/03/2008
la démarche
Risk Assessment
La démarche Continuité d’Activité doit s’appuyer sur un
Risks Assessment
, c’est-à-dire une
analyse des menaces
qui peuvent provoquer une interruption des activités de la banque. Il est impossible d’identifier tous les risques, néanmoins on peut distinguer quelques grandes familles de menaces et évaluer leur probabilité L’analyse des menaces permet d’identifier les concentrations de risques inacceptables et les points névralgiques (
SPOF
).
La hiérarchisation des menaces rend possible la mise en place de mesures pour réduire la probabilité d’occurrence, c’est-à-dire diminuer exposition à la menace pour minimiser les impacts, c’est à dire renforcer la protection Risques naturels
tempêtes, typhons, séismes, ect…
Risques infrastructures
incendie, destruction d’un bâtiment…
Risques informatiques
bug an 2000, virus informatique…
Risques techniques
coupure d’électricité, de climatisation, d’eau…
Risques environnementaux
incidents industriels type AZF ou Seveso…
Risques sanitaires
SRAS, grippe aviaire, etc…
Risques sociétaux / sociaux
grève des transports, mouvement social…
Risques terroristes
attentats…
Risques pays
émeutes, coup d’état, couvre-feu, guerre civile…
Risques de malveillance
piratage informatique, sabotage…
22 mai 2008
Club de l’IRIS
Gestion de Risque VS.
Continuité d’Activité Méthode d’analyse Paramètres Type d’incident Etendue des événements Périmètre de l’analyse Intensité des évènements analysés
Analyse de risques Impacts & probabilité Tous les incidents Evènements de toute taille (en terme de coût) Focus sur l’intégration de la gestion de risques dans les objectifs business (amont) Tous, depuis les incidents progressifs aux incidents soudains Business Impact Analysis Impacts & temps Sinistres significatifs (impacts) Sinistres significatif pour la survie et/ou la stratégie de la banque Focus sur la gestion du sinistre habituellement hors des compétences métiers (aval) sinistres rapides ou soudains ( + parfois pour évènements larvés qui deviendraient graves)
10
RB – 03/03/2008
la démarche
Scénarii de sinistres
Pour assurer la sauvegarde de ses activités critiques, la banque doit être en mesure de faire face à une grande diversité de sinistres et d’y apporter les réponses les plus pertinentes dans les meilleurs délais . Des sinistres de natures différentes (coupures électriques, catastrophes naturelles, grèves, etc. ) peuvent se traduire par les mêmes
impacts sur les ressources
de production et par conséquent par 3 grands scénarii : Perte ou inaccessibilité (totale ou partielle) des
ressources informatiques et télécoms
Perte ou inaccessibilité (totale ou partielle) des
ressources immobilières
Perte ou indisponibilité (totale ou partielle) des
ressources humaines
Scénarii « informatiques »
Les scénarii de personnel
perte ou inaccessibilité des ressources IT
se traduisent par l’incapacité totale ou partielle du à accéder aux systèmes d’information / aux applications, à accéder/recevoir des données à se servir des moyens de télécommunications (téléphonie générale ou spécialisée). Exemples de sinistres à l’origine de la perte des ressources IT perte de serveurs / applications destruction d’un datacenter attaque virale des systèmes et réseaux informatiques
Scénarii « Ressources immobilières »
Les scénarii de perte ou inaccessibilité des ressources immobilières se traduisent par l
’incapacité totale ou partielle du personnel à accéder à son lieu de travail habituel
. Exemples de sinistres à l’origine de la perte des ressources immobilières incendie évacuation coupure électrique inondation panne de climatisation piquet de grève attentat terroriste tremblement de terre …
Scénarii « Ressources Humaines »
Les scénarii de perte ou d’indisponibilité du personnel se traduisent par l’incapacité totale ou partielle de la banque à disposer des effectifs habituels pour conduire ses activités.
stress fort sur le personnel
Exemples de sinistres à l’origine des scénarii de stress important sur les ressources humaines incidents avec blessés ou décès pandémie (SRAS, H5N1, etc.) crue centennale paralysie des transports (grèves, attentats, etc…) troubles de l’ordre public 22 mai 2008
Club de l’IRIS
11
RB – 03/03/2008
la démarche
1 - Comprendre l’organisation : Business Impact Analysis
Le
Business Impact Analysis
est une démarche analytique dont l’objectif consiste à :
identifier les activités vitales / critiques
inventorier les ressources critiques définir les priorités
nécessaires pour assurer la continuité de ces activités vitales / critiques de continuité et/ou de reprise après sinistre Le BIA permet
d’évaluer les impacts
pour la banque d’un sinistre touchant ses activités. La démarche doit être entreprise pour chacun des processus métiers conduits dans la banque, identifiés dans la phase de cartographie des processus. Les conséquences d’un sinistre sur les activités de la banque sont évaluées dans le temps selon différents types d’impacts :
Impacts financiers
(évaluation quantitative)
Impact non-financiers
(évaluation qualitative)
temps
Bien que les sinistres auxquels la banque doit se préparer sont de nature différente et peuvent influencer la gravité et/ou la rapidité d’apparition/de résorption des impacts, les bonnes pratiques recommandent de mener le BIA en prenant certains postulats : toutes les activités sont interrompues sans possibilité de reprise la banque seule est impactée par le sinistre tous les acteurs du marché continuent «
Business As Usual
» 22 mai 2008 La démarche BIA est conduite par les coordinateurs PCA sur la base d’
interviewes
réalisées avec les managers des activités. Les informations collectées ainsi que les analyses d’impact sont
systématiquement validées par le management
qui est
responsable de l’expressions des besoins,
de la définition des
moyens humains et financiers stratégies,
de l’allocation des nécessaires à la démarche et qui est
propriétaire des plans de continuité
.
Club de l’IRIS
12
RB – 03/03/2008
22 mai 2008
Démarche BIA : cartographie des processus métiers
la démarche
La compréhension de l’organisation commence nécessairement par une
cartographie
décrivant les activités de chacune des entités de la banque :
identifier
les principaux processus métiers
inventorier
les ressources requises pour mener à bien chacun de ces processus Cette cartographie est le
préalable indispensable
au déploiement de la démarche BIA et plus généralement de la démarche de Continuité d’Activité : l’analyse d’impact, la définition des objectifs de reprise et les expressions de besoin en terme de ressources sont construites au niveau de chaque processus métiers.
A noter que s’il existe déjà des descriptions de processus dans l’organisation, elles doivent être systématiquement réutilisées dans un soucis de cohérence et d’efficacité
La cartographie doit aussi mettre en lumière les les plus pénalisants pour la banque (
périodes critiques « scénario du pire »
). de chaque processus, c’est-à-dire les périodes durant lesquelles un sinistre aurait les impacts
Ressources critiques
Les ressources critiques à identifier sont les ressources indispensables à l’accomplissement d’un processus métier qui doivent nécessairement être restaurées pour garantir la continuité des activités critiques suite à un sinistre.
Staff
: nombre de personnes allouées au processus métier en production
Systèmes informatiques
applications métiers market data accès marchés électroniques disques partagés
Poste de travail
spécialisée, etc.) : type de configuration requise (nb et puissance des pc, nb d’écrans, téléphonie normale ou
Télécoms
: inventaire des moyens de communication nécessaires en plus de la téléphonie (fax, télex) La définition des périodes critiques permet : de
définir les stratégies de reprise
en intégrant le scénario dans lequel un sinistre aurait lieu aux moments les plus critiques du processus d’informer le cas échéant les gestionnaires de crise des circonstances particulières liées à la période où se déclenche le sinistre
Exemples de périodes critiques : arrêtés comptables, cut-offs, sommet de l’OPEP (pour activité commodities), échéances à terme, etc.
Sauvegardes vitales
: ensemble des documents sur tout support dont l’absence après sinistre empêcherait de reprendre le processus métier
Dépendances
: ensemble des services, fournis par un acteur interne ou externe, nécessaires à l’accomplissement du processus métier (qui ? quoi ?)
Club de l’IRIS
13
RB – 03/03/2008
la démarche
Démarche BIA : évaluation des impacts
1
typologie d’impacts
Pertes financières directes
Ensemble des pertes financières supportées par la banque résultant de son incapacité à gérer ses risques de marchés ou de crédits (contreparties) suite à un sinistre : incapacité de couvrir ou fermer une position de trading ouverte sur le marché ; incapacité d’actualiser ou d’annuler un prix sur le marché ; etc…
Pertes de revenu
Impacts financiers dus à l’incapacité de la banque de réaliser de nouvelles transactions tant que ses processus métiers restent dégradés (= perte d’opportunités)
Impacts réglementaires
Risques de pénalités de la part des régulateurs et des autorités financières à l’encontre de la banque dans l’incapacité totale ou partielle de faire face à ses obligations réglementaires
Impacts légaux / juridiques
Impacts potentiels ou pertes encourues à cause d’actions en justice ou de poursuites de la part de clients, contreparties ou infrastructures de marché suite à l’incapacité de la banque à faire face à ses engagements contractuels
Impacts sur l’image / la réputation
Préjudices portés à la crédibilité de la banque vis-à-vis des ses clients, des investisseurs, de ses actionnaires, des agences de rating ou des médias, conduisant à une perte substantielle d’opportunités à venir
Impacts sur d’autres processus de la banque
Risques d’extension d’impacts sur d’autres processus de la banque lorsque des impacts directs ne peuvent pas être mis directement en évidence. Ce type d’impacts est directement liés aux interdépendances entre les différentes activités de la banque.
échelles Échelle de temps
Le critère de temps est une dimension clef dans l’évaluation des impacts car il permet de concentrer les efforts sur les activités dont les délais de reprise sont les plus critiques L’échelle de temps est construite selon : les impératifs de reprise définis par les régulateurs (en France et à l’international) les bonnes pratiques de l’industrie les délais contractuels de bascule IT et de mise à dispositions des solutions de replis
impacts H+2 H+4 H+8 D+1 D+2 +1wk +2wk +1m Échelle de gravité
Chaque activité doit définir une échelle pertinente lui permettant de quantifier de manière homogène et cohérente ses pertes financières potentielles Ces quantifications sont ensuite traduite en degrés d’impacts en fonction de leur importance
impacts
Très élevé Elevé Moyen Faible
Il appartient au management de chaque entité de définir et valider cette échelle : c’est elle qui sera utilisée pour définir les objectifs et arbitrer les priorités de reprise. Les impacts qui ne peuvent pas être quantifiés en termes financiers sont qualifiés selon le même type d’échelle 22 mai 2008
Club de l’IRIS
14
RB – 03/03/2008
la démarche
Démarche BIA : évaluation des impacts
2 Indicateurs financiers Valeur en Risque (VAR) :
Perte potentielle maximale encourue par une banque dans un délai déterminé.
Cette perte maximale est obtenue par application d'une méthode d’évaluation des risques, après élimination des 1 % des occurrences les plus défavorables.
Cette méthode, utilisée à partir de 1998 pour répondre aux exigences des régulateurs en matière de calcul des fonds propres réglementaires sur l'essentiel des risques de marché, est celle de la " simulation historique " et repose sur les principes suivants : constitution d'un historique de paramètres de marché représentatifs du risque des positions, détermination de deux cent cinquante scénarios correspondant aux variations sur un jour observées sur un historique d'un an glissant, déformation des paramètres du jour selon ces deux cent cinquante scénarios, - revalorisation des positions du jour sur la base de ces deux cent cinquante déformations des conditions de marché.
Produit Net Bancaire (PNB) :
Résultat obtenu en déduisant du produit bancaire les charges d’exploitation bancaire autres que les frais généraux, provisions et impôts.
Le produit bancaire comprend les produits financiers des opérations : avec la clientèle, de trésorerie, - du portefeuille titres de la banque, - de change Les charges d'exploitation sont celles sur : - emprunts obligataires, opérations de trésorerie avec la clientèle
Pertes financières directes Pertes de revenu Impacts réglementaires Impacts légaux / juridiques Impacts sur l’image / la réputation Impacts sur les autres processus de la banque Très élevé Elevé Moyen Faible
total des pertes ( €) total des pertes ( €) L’échelle des pertes est définie par le management en s’appuyant sur les données comptables de l’activité étudiée (PNB moyens journaliers / mensuels / annuels) et sur les indicateurs de risques (ex: VAR) Incapacité à répondre aux obligations réglementaires. Pertes de licence ou de droit à opérer sur les marchés
n
x VaR VaR
PNB mensuel moyen
temps T0 T+1 pertes financières directes Incapacité à répondre à certaines obligations réglementaires majeures. Mises sous surveillance. Risques de suspension temporaires des activités.
Incapacité à répondre à certaines obligations réglementaires dans les délais impartis, bien que les régulateurs puissent accepter quelques retards.
J0 J+30 pertes de revenus temps La banque n’est pas dans l’incapacité de faire face à ses obligations et/ou tolérance probable des régulateurs Nombreuses plaintes et poursuites avec pénalités financières majeures. Les dirigeants de la banque sont exposés à des poursuites.
Plaintes et poursuites avec des clients et des contreparties avec possibilité de pénalités financières conséquentes Quelques plaintes ou poursuites possibles de la part de clients ou de contreparties mais avec des pénalités financières limitées Possibilité limitée d’actions en justice contre la banque.
La banque est mise en dehors du marché. La reconstruction de la réputation demandera plusieurs mois / années avec des coûts et des efforts très importants.
Perturbations importantes de la plupart des activités critiques de la banque. Perte d’un nombre significatif de clients majeurs. Altération sensible des relations avec les contreparties. La reconstruction de la réputation demandera des mois avec des coûts et des efforts supplémentaires Perturbations majeures sur un nombre significatif d’autres activités de la banque.
Pertes de clients mineurs ou perte limitée de clients majeurs. La réputation de la banque pourra être reconstruite en quelques semaines avec des efforts supplémentaires.
Quelques perturbations mineures sur d’autres activités à travers la banque Probabilité faible de perdre des clients à court terme. Pas d’effort supplémentaire requis pour gérer l’image de la banque après le sinistre.
Peu ou pas d’impact sur les autres activités de la banque.
Matrice d’évaluation des impacts dans le temps
exemple pour un processus donné
impacts
Pertes financières Pertes de revenus Impacts réglementaires Impacts légaux Impacts image Impacts sur autres processus
H+2 M F F F F F H+4 M M F F F F H+8 E M M F F F D+1 T M M F F F D+2 T E E F F F +1wk T E E F F F +2wk T T E F F F +1m T T E F F F
22 mai 2008
Club de l’IRIS
15
RB – 03/03/2008
la démarche
2- Déterminer la stratégie : définition des objectifs de reprise
Une fois l’analyse d’impacts réalisée, la banque est en mesure de définir pour chacun des processus métiers étudiés : la
période de temps maximale
après le sinistre sous laquelle chacune des ressources nécessaires à l’accomplissement d’un processus métier pour être opérationnel doivent être recouvertes
Recovery Time Objectives (RTO)
le
niveau d’activité
qui doit être repris pour chaque processus, ainsi que son évolution dans le temps sur une période d’un mois à compter de la survenance du sinistre La
définition des objectifs de reprise
doit permettre de
comprendre la stratégie
que les métiers souhaitent mettre en place pour assurer la continuité de leur activité avec un niveau acceptable de dégradation suite à un sinistre La stratégie est ainsi formulée de manière simple : en cas de sinistre et pour chaque métier,
quelles capacités
la banque veut elle conserver ou recouvrir et à
quelle échéances
?
Comme lors de l’analyse d’impact, la bonne pratique veut que la stratégie et les objectifs de reprise soient définis au regard du
scénario le plus impactant
normalement) pour le processus métier considéré (la banque est la seule impactée, les autres acteurs de la place opèrent 22 mai 2008 La définition des RTO repose obligatoirement sur la cartographie et l’analyse d’impact réalisée avec le BIA : implicitement, le RTO indique le niveau d’impact que le métier accepte de supporter (
= seuil de tolérance
) les
périodes critiques
identifiées lors de la cartographie des processus sont prises en compte dans la définition de la stratégie de reprise (objectifs et priorités en cas de sinistre survenant à la pire période)
Club de l’IRIS RTO du Processus métier
capacité opérationnelle
sinistre
100%
Recovery Time Objective processus critique à nouveau opérationnel
0% Pertes financières Pertes de revenus Impacts réglementaires Impacts légaux Impacts image Impacts sur les autres processus
H+2 M F F F F F H+4 M M F F F F H+8 E M M F F F D+1 T M M F F F D+2 T E E F F F +1wk T E E F F F +2wk T T E F F F +1m T T E F F F RTO des Ressources
On définit le RTO pour chaque ressource critique nécessaire à la reprise du processus capacité opérationnelle
sinistre processus critique à nouveau opérationnel
100%
restauration des ressources critiques RTO RTO RTO
0%
H+2 H+4 Recovery Point Objectives RTO RTO H+8 RTO D+1
capacité opérationnelle
sinistre RTO
100%
restauration des données critiques R P O
0% temps
D+2 +1wk +2wk +1m
La définition du RPO consiste à identifier « la fraicheur » des données qu’il faut restaurer pour reprendre l’activité.
Implicitement le RPO indique à quelle fréquence les sauvegardes doivent être effectuées.
16
RB – 03/03/2008
la démarche
3 - Elaborer & mettre en place des solutions
Les métiers ayant défini leur stratégie de Continuité d’Activité et formulé leurs expressions de besoin en ressources critiques, sont maintenant en mesure de :
consolider les besoins de secours applicatifs
en spécifiant aux maitrises d’ouvrages informatiques les besoins à couvrir en terme d’objectifs de reprise et de restauration de données :
RTO & RPO identifier les alternatives et mesures conservatoires
reprise du processus métier impacté à déployer pour couvrir la période entre le sinistre et la
concevoir les solutions de continuité
adéquates pour permettre aux personnels de redémarrer les processus métiers impactés par le sinistre et assurer la continuité des activités vitales et critiques de la banque
organiser la cohérence des stratégies et des solutions
déployées au sein de la banque La mise en place des solutions de continuité se déroule en 3 étapes
Choix des solutions
solutions de solutions de de continuité :
continuité informatique continuité « utilisateurs »
pour redonner un poste de travail aux personnels impactés
Mise en cohérence des stratégies et des solutions
alignement bout-en-bout (front-to-end) alignement transversal rationalisation des investissements mutualisation des moyens déployées au sein de la banque
Mise en place
des solutions et
documentation
des plans de continuité d’activité 22 mai 2008 Le management de chaque entité est
propriétaire
de son plan de continuité d’activité et en valide chacune des étapes : Validation des expressions de besoin Validation des choix de solutions retenues Validation des alignements Validation des investissements à réaliser Validation des solutions implémentées (recettes) Validation de la documentation
La validation étape par étape permet de garantir que les solutions élaborées, mises en place et documentées répondent aux besoins exprimés et sont conformes avec la stratégie formulée. En cas de désaccord, on redémarre la démarche à partir de la dernière étape validée
démarche itérative
Club de l’IRIS
17
RB – 03/03/2008
la démarche
Choix des solutions « utilisateurs »
22 mai 2008
Positions sur site de repli
(site interne ou sous contrat avec un prestataire)
positions dédiées
: postes de travail entièrement pré-équipés sur un
site de secours utilisateurs
, à distance raisonnable du site primaire pour permettre un repli rapide après un sinistre. Ces positions sont exclusivement et en permanence
réservées à l’usage de la banque
en cas d’activation et leur disponibilité est garantie
positions mutualisées :
postes de travail entièrement pré-équipés sur
un site de secours utilisateurs
, à distance raisonnable du site primaire pour permettre un repli rapide après un sinistre. Les positions mutualisées ne sont pas exclusives et sont contractées parallèlement par plusieurs entreprises. En cas d’activations simultanées, les positions sont réparties selon le ratio contractuel de
mutualisation
(1/5, 1/10, 1/15).
Secours croisés
Cross Back-Up :
solution consistant à reloger un utilisateur ayant perdu l’accessibilité à son poste de travail sur un autre poste dans un autre immeuble de production non impacté.
Cross Border :
solution consistant à reloger le personnel sur une autre implantation de la banque à l’international
Ces solutions croisées supposent que des positions et équipements de production et/ou de réserve puissent être libérés à la demande, où et quand nécessaire. En outre, la solution à l’international n’est raisonnablement pas opérationnelle avant J+2 après sinistre*.
Accès à distance
: Capacité de mener des activités depuis un site n’appartenant pas à la banque avec un accès à distance aux applications informatiques si nécessaire (domicile, internet café, entreprise tierce, …)
L’accès à distance n’est pas la solution à privilégier pour certaines activités critiques (trading, paiements, etc…) car elle suppose une qualité de contrôle et de sécurité dégradée (accès via Internet)
Position dédiée Coûts* Garantie de disponibilité* Rapidité d’activation* Position mutualisée
Split Operations
: Solution consistant à éclater temporairement les personnels critiques sur un plus grand nombre de sites (production, repli, accès à distance) en prévision d’un risque accru de perturbation des activités (ex : manifestation type G8, Convention Républicaine à NY, etc.) ou pour répondre à une incapacité conjoncturelle de rejoindre le lieu de travail habituel (ex : grève des transports) Lorsque cet éclatement des compétences n’est plus conjoncturel mais est
intrinsèque par construction
structure de la banque, on parle de
Résilience
à la Cross Back-Up Cross Border Accès à distance Split Operations Résilience
* évaluation empirique
Club de l’IRIS
18
RB – 03/03/2008
la démarche
Mise en cohérence : alignements
Alignement bout-en-bout
Pour garantir la cohérence du dispositif de continuité il est essentiel d’aligner les stratégies et solutions des Fonctions Supports (FS) et de l’informatique (IT) sur les objectifs de reprise des Front métiers (FO) Les FS intègrent les expressions de besoin et la stratégie des FO dans la définition de leurs objectifs PCA (itérations si besoin) L’IT aligne sa stratégie de reprise pour répondre aux exigences métiers consolidées Le Business Case est consolidé de bout-en bout et est validé par le management L’implantation (ou la révision) des solutions retenues fait l’objet d’un plan d’action. Le dispositif mis en place est documenté et validé par le management
FO FS Activité A
IT
Consolidation Business Case Implémentation des solutions Documentation du dispositif de Continuité d’Activité
Alignement avec les scénarii
Le choix des solutions à déployer peut changer en fonction du scénario de sinistre auquel la banque est confrontée. Il convient donc de procéder à une mise en cohérence pour mettre en face de chaque scénarii les impacts à considérer et les solutions permettant la couverture des activités (scénarii impactant directement les métiers + problématiques hub régionaux).
Scénarii génériques
perte des immeubles de prod Perte des système IT (locaux) Perte des systèmes IT (globaux) Perte simultanée des locaux et IT Sinistre régional / sinistre de place
Stress fort sur le personnel staff immeubles IT local IT global disponible disponible disponible disponible indisponible indisponible indisponible disponible disponible indisponible indisponible disponible disponible indisponible disponible indisponible indisponible disponible disponible disponible indisponible disponible disponible disponible Alignement transversal
De façon similaire à l’alignement de bout-en-bout (en silo), une mise en
cohérence transversale
est nécessaire pour les activités ayant identifié des
interdépendances critiques
entre elles ou bien lorsqu’elles partagent les mêmes ressources critiques.
Activité A
Consolidation Business Case
Activité B
Consolidation Business Case
Si deux activités ont besoin de la même ressource critique, mais selon un RTO différent, par défaut le RTO le plus court sera le RTO appliqué à la ressource.
consolidation transversale Implémentation des solutions Implémentation des solutions
exemple Les Activités A & B ont identifié l’application informatique TOTO comme une ressource critique : Activité A : RTO = H+4 Activité B : RTO = J+1 alors RTO TOTO = H+4
Remarque : Au niveau de la place, la pression de la banque à recouvrir ses activités est généralement inversement proportionnelle à l’étendue du sinistre : dans le cadre d’un sinistre d’ampleur régionale, plus il y a d’acteurs de la place directement impactés par le sinistre (exemple : attentats du 11/09), plus les actions de reprise jouieront de la « tolérance » des autorités et contreparties en terme de délais.
22 mai 2008
Club de l’IRIS
19
RB – 03/03/2008
la démarche
Optimiser les investissements
Quel est le périmètre à couvrir ?
Optimiser les investissements probabilité occurrence
très forte forte moyenne
ensemble des scénarii que la banque choisit de couvrir
impact
La seule mise en conformité du dispositif de continuité avec les objectifs réglementaires ne présente
pas d’apport significatif
en terme de continuité, et ce
malgré un investissement lourd
, notamment au niveau informatique A l’inverse, les solutions informatiques requises pour répondre aux exigences réglementaires donnent à la banque une capacité à assurer la continuité des systèmes d’information bien au-delà du strict minimum réglementaire Un investissement supplémentaire sur des solutions métiers pour assurer la continuité des activités vitales et critiques présente un retour sur investissement plus favorable et permet
d’optimiser l’investissement minimal
requis pour répondre aux exigences réglementaires mineur faible très faible modéré majeur critique très critique
le positionnement dépend du seuil de risque acceptable défini par la banque Coûts vs. efficacité
important couverture
optimisée totale
pouvez-vous justifier les investissements ?
insuffisante mal ciblée
faible
investissements nécessaires
important 22 mai 2008
Club de l’IRIS
20
RB – 03/03/2008
22 mai 2008
la démarche
3- Documenter & maintenir à jour
La dernière étape consiste à documenter la façon dont les métiers projettent de répondre aux différents scénarii de sinistres en activant tout ou partie des solutions élaborées. C’est
l’étape clef de la démarche
: elle est incontournable et a pour objectif : d’expliquer la manière dont
les solutions déployées correspondent aux besoins exprimés
différents scénarii de sinistre par les métiers face aux
de consigner les restrictions possibles
auxquelles les métiers ont souscrit, et donc leurs conséquences, en acceptant une dégradation plus ou moins importante de leurs conditions et performances de travail suite à un sinistre
d’obtenir la validation
par le management des solutions retenues avant leur implémentation de
démontrer la gestion véritable et efficace
du Programme de Continuité d’Activité lors des audits internes ou externes Les différents éléments du corpus documentaire de la Continuité d’Activité sont :
la directive PCA
, qui décrit la déclinaison des grands principes de la Continuité d’Activité et la gouvernance dans la banque (directives à différentes échelles possibles, au niveau Groupe, au niveau d’un Pôle / d’une direction etc.)
La cartoghraphie et l’analyse des risques
qui permettent le suivi d’exposition aux risques en s’appuyant sur un
système de veille
(veille réglementaire, veille sécuritaire, veille sanitaire, etc…).
le Business Impact Analysis
qui identifie les activités et les ressources critiques et évalue les impacts d’un sinistre
la stratégie PCA
qui définit les objectifs, les priorités et les profils de reprise suite à un sinistre
les Plans de Continuité d’Activité
qui décrivent pour chaque activité les solutions mises en place, leur modalité d’activation et leur montée en charge
les programmes de tests
, qui définissent les objectifs de tests, les protocoles de tests, les critères de succès auxquels s’ajoutent les compte-rendus de tests (résultats mesurés + plan d’actions correctives)
les supports pour la sensibilisation et la formation les Services Level Agreement les contrats
pour le management, les personnels et les auditeurs internes (SLA) qui fixent les besoins et niveaux de réponse attendus entre les différents acteurs avec les fournisseurs et prestataires de services de secours Le
cycle de révision
processus de est clairement identifié et figure sur chaque document. Le suivi des mises à jour s’inscrit idéalement dans le
surveillance permanente
interne et les documents sont
tenus à la disposition des auditeurs
internes et externes
Club de l’IRIS
21
RB – 03/03/2008
la démarche
Tests des Plans de Continuité d’Activité
Bien que la maintenance de la documentation PCA est importante, elle ne constitue pas en soi la preuve de la capacité de la banque à répondre à un sinistre : pour pouvoir considérer les dispositifs mis en place comme opérationnels,
il faut les tester régulièrement !
Les tests ont un caractère obligatoire (c’est une obligation réglementaire). Ils ont pour objectif d’évaluer l’efficacité du dispositif de continuité d’activité et permettent de :
valider les solutions
mises en place : elles sont opérationnelles et permettent de reprendre les activités qui doivent être secourues (fonctionnalité des positions de secours, disponibilités des ressources critiques, restauration des données)
valider les procédures
qui décrivent les actions à déployer pour assurer la continuité
valider l’effectivité des délais de reprise identifier les points d’améliorations
à apporter
former les personnels sensibiliser
critiques qui devront assurer la continuité des activités critiques les personnels et le management aux problématiques de Continuité d’Activité
donner la preuve
à la Direction Générale et aux Autorités que la banque est préparée à répondre à un sinistre 22 mai 2008 On distingue deux types de tests :
Tests techniques
Les tests techniques servent à s’assurer de la capacité à : basculer les systèmes informatiques & télécoms en secours restaurer dans les délais impartis les applications (RTO) et les données critiques (RPO) rediriger les liens de la production vers le secours
Les tests techniques comportent des risques importants pour la production et sont généralement réalisés hors des heures d’exploitation
Tests utilisateurs
Les tests utilisateurs servent à : vérifier la disponibilité des ressources critiques en secours valider la configuration des solutions et les procédures s’assurer de la capacité à reprendre les activités critiques et mener à bien les processus métiers familiariser les personnels avec l’environnement de secours
Les tests utilisateurs seuls (sans test technique) peuvent être exécutés sur la production, c à-d en déroulant de vraies opérations de prodution
Club de l’IRIS
22
RB – 03/03/2008
la démarche
Tests des Plans de Continuité d’Activité
Catégories de test Organisation d’un test
Différentes catégories de tests, en fonction du périmètre couvert :
Le test unitaire
Test conduit sur un périmètre limité à une activité. Il permet de vérifier le caractère opérationnel d’une solution, sans prise en compte des interdépendances. Il ne permet pas de vérifier la capacité de la banque à continuer un processus métier critique dans son intégralité
Le test bout-en-bout
Test conduit pour vérifier l’inter-opérationnalité des solutions mises en place pour une même activité (chaine verticale d’opérations) : le Front peut-il travailler avec ses fonctions supports et ses contreparties ? ses résultats peuvent-ils être enregistrés sur le plan comptable ?
Le test transversal
Test conduit entre différentes entités (pôles/DF) pour vérifier la capacité de la banque à assurer la continuité d’un processus bancaire transversal tel que les processus de paiements ou de trésorerie
Le test global
Test intégrant les problématiques de bout-en-bout, de transversalité et de réseaux (hubs opérationnels et/ou informatiques) auquel prennent part plusieurs pôles et/ou implantations
Le test de split operations
Test conduit pour vérifier la capacité de répondre à un scénario de stress RH important (type pandémie) en dispersant les personnels sur un nombre plus important de sites de production et de repli.
Le test de place
Test de Continuité d’Activité organisé par les Autorités de place auquel participent les banques et établissements financiers.
L’organisation d’un test doit inclure les étapes suivantes : définir le
périmètre et les objectifs du test
établir un
budget
si besoin se mettre d’accord sur l’organisation du test avec le
management
les
fournisseurs
de logistique ou de services nécessaires et concevoir un
scénario réaliste
et suffisamment détaillé
s’assurer de la disponibilité
des participants faire une
analyse de risques
sur le déroulement du test afin de circonscrire le risque d’impacts sur les opérations de production (vérifier qu’à la date prévue pour le test ne sont pas programmées d’autres opérations prioritaires ou incompatibles : arrêté comptable, mise en production, ect.)
briefer
les observateurs et les participants; préparer des
questionnaires
pour enregistrer les enseignements du test et confirmer les
protocoles de tests
exécuter le test et enregistrer les résultats faire un
débriefing à chaud
avec les participants organiser un
débriefing à froid
à une date ultérieure évaluer les
résultats
du test et préparer un
compte-rendu
une présentation générale (rappel du périmètre, des objectifs, de la participation, etc.), le compte-rendu doit rendre compte des : outre
succès et des ratés du test,
idéalement les
traduire en impacts business
(cf. BIA) et adresser des
recommandations
d’actions correctrices
diffuser
le compte-rendu au senior management et aux participants dresser un
plan d’action
pour implémenter les recommandations transcrites dans le compte rendu, c’est-à-dire mettre à jour la stratégie, les solutions et les plans, et reprogrammer un exercice ultérieur pour valider les changements apportés 22 mai 2008
Club de l’IRIS
23
RB – 03/03/2008
la démarche
5- Promouvoir la Culture Continuité d’Activité
La place de la Continuité d’Activité dans la culture de l’entreprise dépend de son degré d’intégration dans la
stratégie
de la banque
au quotidien
dans les opérations et projets de la banque dans la définition les
priorités
business La culture Continuité d’Activité doit permettre : de déployer avec plus de
facilité et d’efficacité
les Programmes de Continuité d’Activité de
soutenir la confiance
du senior management, des personnels, des clients et des autorités sur les capacités de la banque à faire face à un sinistre
d’accroître le niveau de résilience
de la banque au fil du temps en s’assurant que les problématiques de Continuité d’Activité sont adressées à tous les niveaux de l’organisation et font l’objet des décisions nécessaires au final de
minimiser les impacts et les probabilités
de perturbations sévères des activités La Culture Continuité se décline à travers 3 grands domaines :
INFORMATION SENSIBILISATION FORMATION
22 mai 2008 Le succès de l’implémentation de la Culture Continuité d’Activité dans la banque repose sur 2 facteurs
1.
Un support visible et continu du senior management
allocation des ressources
humaines et financières nécessaires au déploiement des Programmes de CA
implication forte
des managers et des opérationnels dans les différentes phases du cycle de vie PCA
décisions
et arbitrages rendus en temps et en heure au bon niveau hiérarchique
2.
La promotion des Programmes Continuité d’Activité
par tous les acteurs d’information, de sensibilisation et de formation sur mesure
. de la démarche avec des
campagnes
What’s In It For Me ?
Club de l’IRIS
24
RB – 03/03/2008
la démarche
1
Les critères de qualité d’un Plan de Continuité d’Activité
Un Plan de Continuité d’Activité doit être :
OPTIMIS É
bonnes pratiques systématiques
Opérationne l
Il couvre un large éventail de scénarii Il comprend un plan de retour à la normal Il ne repose pas exclusivement sur des solutions de back up mais vise une résilience optimale
MAITRISÉ
plan contrôlé évalué et testé
COMPLET
plan documenté et communiqué
Flexible
Permet de dimensionner les réponses en fonction de la gravité du sinistre et de passer d’un scénario à un autre sans rupture Un sinistre dans une implantation n’affecte pas le reste du réseau de la banque
Documenté
Toutes les procédures sont documentées (invocation, opérations en secours et retour à la normale) et régulièrement révisées Elles sont opérationnelles, cohérentes avec la gouvernance et la stratégie définie et disponible à la demande en production, en secours, à distance
À jour
Les composants (staff, business, IT) sont mis à jour dans le cadre de la Surveillance Permanente Le personnel est régulièrement entrainé tout changement en production est appliqué immédiatement en secours
INDUSTRIALISÉ
procédures sous un format standard
INITIALISÉ
procédures
ad hoc
pas de coordination
Cohérent
La gouvernance globale assure la cohérence transversale entre les branches et implantations Le niveau de protection et d’investissement sont cohérents, homogènes et optimal vis-à-vis de la stratégie de la banque Les bonnes pratiques sont respectées
Opposable
Les stratégies de continuité / de résilience sont clairement définies pour le Groupe & les branches Les preuves de décisions et de leur mise en place sont à la disposition du senior management, auditeurs, régulateurs, agences de rating…
INEXISTANT
pas de plan de Continuité d’Activité
Complet
Toutes les fonctions activités de la banque sont couvertes en totalité y-c les interdépendances Les objectifs spécifiques de continuité sont définis pour toutes les fonctions de la banque en commençant par les plus critiques
Testé
régulièrement déclenché (24/7 x 365) les processus métiers sont testés de bout-en-bout et de manière transversale avec données et transactions réelles sans impact 22 mai 2008
Club de l’IRIS
25
RB – 03/03/2008
la démarche
Déclenchement du Plan de Continuité d’Activité
La continuité des activités ne se suffit pas à elle même : elle doit nécessairement s’appuyer sur la
continuité de la chaine de décision
et donc sur un
dispositif de gestion de crise
qui a pour objectif : de
confirmer le sinistre
à gérer de s’assurer de la mise en
sécurité des personnels
d’évaluer les
premiers impacts sur les ressources et sur les activités
d’organiser la
communication de crise
en interne / en externe de décider si nécessaire
d’activer tout ou partie des solutions
de continuité d’activité pour faire face à la situation de
définir les priorités
(en adressant la problématique des périodes critiques) Le déclenchement d’un plan de Continuité d’Activité est
décidé par le Directeur de Crise
les conseils des coordinateurs Continuité d’Activité. sur l’avis des responsables d’activités et Le temps nécessaire pour que le dispositif de crise soit opérationnel et que la décision de déclencher le Plan de Continuité d’Activité est à prendre en compte dans la définition objectifs de reprise. Ce temps est plus ou moins long en fonction de la nature et l’heure de survenance du sinistre. en pleine exploitation, surtout en période critique (clôture de journée par exemple), la décision sera prise très rapidement en dehors des heures d’exploitation (la nuit, le week-end, etc.), la décision pourra être d’autant plus longue que la pression à recouvrir les activités impactées est de moindre intensité Cependant la période séparant la survenue du sinistre et la reprise effective des activités peut être couverte par l’activation immédiate de
solutions de contournement ou workarounds
. Rapides à mettre en place et requérant peu ou pas de ressources , elles permettent d’engager des
mesures conservatoires
qui ont pour objectif d’assurer un niveau minimum de continuité sur les activités les plus critiques en attendant la décision ou non de déclencher le PCA. appel des contreparties reprise des positions par une autre implantation (hedge ou clôture des position si l’IT est intacte) annulation des prix sur les marchés par un opérateur non impacté renvoi des appels entrants sur un autre centre de traitement 22 mai 2008
Club de l’IRIS
26
RB – 03/03/2008
conclusion
De la reprise à la résilience
Hier Aujourd’hui
Reprise après sinistre Continuité d’Activité
Site de production A Site de production B Site de production A Site de production B
Demain
Résilience
Site de production Région A Site de production Région B Secours du site A Secours du site A Secours du site B Secours Région A Secours Région B La survenance d’un sinistre arrête toutes les opérations. La banque n’est plus en mesure de tenir ses engagements et les impacts sont inacceptables : la survie de la banque est menacée Après un certain temps, certaines activités sont redémarrées mais dans des délais supérieurs aux obligations réglementaires.
Activités 100% autres sensibles critiques vitales
Arrêt de toutes les activités avant une reprise progressive
Temps 22 mai 2008
Club de l’IRIS
En déclenchant son dispositif de continuité d’activité, la banque mobilise ses ressources pour conserver sa capacité à faire face à ses obligations et protéger ses intérêts Les activités vitales et les plus critiques sont peu ou pas interrompues et les impacts restent limités à un niveau acceptable Activités 100% autres sensibles critiques vitales
Maintient des activités les plus critiques
Temps En étant résiliente par construction, la banque acquiert une capacité de résistance très importante face aux sinistres, y compris d’ampleur régionale.
La répartition des compétences et des ressources en de multiples sites permet de circonscrire les impacts sur un nombre limité d’activités non significatives. Activités 100% autres sensibles critiques vitales
Dégradation limitée: seules quelques activités non significatives sont perturbées
Temps