ISO 22301:2019 Liste de contrôle

• Site de réalisation

  Select

• Effectué le

  Date

• Préparé par

• Position
  Address

4.1 Comprendre l'organisation et son contexte

• L'organisation doit déterminer les observations externes et internes pertinentes pour ses objectifs et qui affectent sa capacité à atteindre le(s) résultat(s) escompté(s) de son système de gestion de la continuité des activités (BCMS).

  Conforme

  Non conforme

  Sans objet

• COMMENTAIRE : ces questions seront influencées par les objectifs généraux de l'organisation, ses produits et services et la taille et le type de risque qu'elle peut ou non prendre.

4.2 Comprendre les besoins et les attentes des parties intéressées

4.2.1 Généralités

• Lors de l'établissement de son système de gestion de la continuité des activités (BCMS), l'organisation doit déterminer :

• a) les parties intéressées qui sont pertinentes pour le système de gestion de la continuité des activités (BCMS) ;

  Conforme

  Non conforme

  Sans objet

• b) les exigences pertinentes de ces parties intéressées.

  Conforme

  Non conforme

  Sans objet

4.2.2 Exigences légales et réglementaires

• L'organisation doit :

• a) mettre en place et maintenir un processus permettant d'identifier, d'avoir accès et d'évaluer les exigences légales et réglementaires applicables en matière de continuité de ses produits et services, activités et ressources ;

  Conforme

  Non conforme

  Sans objet

• b) s'assurer que ces exigences légales, réglementaires et autres applicables sont prises en compte dans la mise en place et le maintien de son système de gestion de la continuité des activités (BCMS) ;

  Conforme

  Non conforme

  Sans objet

• c) documenter ces informations et les tenir à jour.

  Conforme

  Non conforme

  Sans objet

4.3 Déterminer le champ d'application du système de management de la continuité des activités

4.3.1 Généralités

• L'organisation doit déterminer les limites et l'applicabilité du système de gestion de la continuité des activités (BCMS) afin d'en établir le champ d'application.

  Conforme

  Non conforme

  Sans objet

• Lors de la détermination de ce champ d'application, l'organisation doit prendre en compte :

• a) les observations externes et internes mentionnées au point 4.1 ;

  Conforme

  Non conforme

  Sans objet

• b) les exigences mentionnées au point 4.2 ;

  Conforme

  Non conforme

  Sans objet

• c) sa mission, ses objectifs et ses obligations internes et externes.

  Conforme

  Non conforme

  Sans objet

• Le champ d'application doit être disponible sous forme d'informations documentées.

  Conforme

  Non conforme

  Sans objet

4.3.2 Champ d'application du système de management de la continuité des activités

• L'organisation doit :

• a) établir les parties de l'organisation à inclure dans le système de gestion de la continuité des activités (BCMS), en tenant compte de son ou ses positions, de sa taille, de sa nature et de sa complexité ;

  Conforme

  Non conforme

  Sans objet

• b) identifier les produits et services à inclure dans le système de gestion de la continuité des activités (BCMS).

  Conforme

  Non conforme

  Sans objet

• Lors de la définition du champ d'application, l'organisme doit documenter et expliquer les exclusions. Elles ne doivent pas affecter la capacité et la responsabilité de l'organisation à assurer la continuité des opérations, telles que déterminées par l'analyse d'impact sur les opérations ou la gestion du risque et les exigences légales ou réglementaires applicables.

  Conforme

  Non conforme

  Sans objet

4.4 Système de gestion de la continuité des activités

• L'organisation doit établir, mettre en place, maintenir et améliorer en permanence un système de gestion de la continuité des activités (BCMS), y compris les processus nécessaires et leurs interactions, conformément aux exigences du présent document.

  Conforme

  Non conforme

  Sans objet

5.1 Leadership et engagement

• La direction générale doit faire preuve de leadership et d'engagement à l'égard du système de gestion de la continuité des activités (BCMS) :

• a) s'assurer que la politique de continuité des opérations et les objectifs de continuité des opérations sont établis et compatibles avec l'orientation stratégique de l'organisation ;

  Conforme

  Non conforme

  Sans objet

• b) assurer l'intégration des exigences du système de gestion de la continuité des activités (BCMS) dans les processus opérationnels de l'organisation ;

  Conforme

  Non conforme

  Sans objet

• c) s'assurer que les ressources nécessaires au système de gestion de la continuité des activités (BCMS) sont disponibles ;

  Conforme

  Non conforme

  Sans objet

• d) communiquer l'importance d'une continuité efficace des activités et de la conformité aux exigences du système de gestion de la continuité des activités (BCMS) ;

  Conforme

  Non conforme

  Sans objet

• e) s'assurer que le système de gestion de la continuité des activités (BCMS) atteint le(s) résultat(s) escompté(s) ;

  Conforme

  Non conforme

  Sans objet

• f) diriger et soutenir les personnes qui contribuent à l'efficacité du système de gestion de la continuité des activités (BCMS) ;

  Conforme

  Non conforme

  Sans objet

• g) promouvoir l'amélioration continue ;

  Conforme

  Non conforme

  Sans objet

• h) soutenir d'autres rôles de gestion pertinents pour démontrer leur leadership et leur engagement dans leurs zones de responsabilité.

  Conforme

  Non conforme

  Sans objet

• COMMENTAIRE : La référence à « l'activité » dans ce document peut être interprétée au sens large pour signifier les activités qui sont au cœur des objectifs de l'organisation.

5.2 Politique

5.2.1 Établir la politique de continuité des activités

• La direction générale doit établir une politique de continuité des activités qui :

• a) est approprié à l'objectif de l'organisation ;

  Conforme

  Non conforme

  Sans objet

• b) fournit un cadre pour la fixation des objectifs de continuité des activités ;

  Conforme

  Non conforme

  Sans objet

• c) comprend un engagement à satisfaire aux exigences applicables ;

  Conforme

  Non conforme

  Sans objet

• d) comprend un engagement d'amélioration continue du système de gestion de la continuité des activités (BCMS).

  Conforme

  Non conforme

  Sans objet

5.2.2 Communiquer la politique de continuité des activités

• La politique de continuité des activités doit :

• a) être disponibles sous forme d'informations documentées ;

  Conforme

  Non conforme

  Sans objet

• b) être communiquées au sein de l'organisation ;

  Conforme

  Non conforme

  Sans objet

• c) être mis à la disposition des parties intéressées, le cas échéant.

  Conforme

  Non conforme

  Sans objet

5.3 Rôles, responsabilités et autorités de l'organisation

• La direction générale doit veiller à ce que les responsabilités et les pouvoirs pertinents aux rôles soient attribués et communiqués au sein de l'organisation.

  Conforme

  Non conforme

  Sans objet

• La direction générale doit attribuer la responsabilité et l'autorité pour :

• a) s'assurer que le système de gestion de la continuité des activités (BCMS) est conforme aux exigences du présent document ;

  Conforme

  Non conforme

  Sans objet

• b) rapporter la performance du système de gestion de la continuité des activités (BCMS) à la direction générale.

  Conforme

  Non conforme

  Sans objet

6.1 Actions pour faire face aux risques et aux opportunités

6.1.1 Déterminer les risques et les opportunités

• Lors du planning du système de gestion de la continuité des activités (BCMS), l'organisation doit prendre en compte les observations mentionnées au point 4.1 et les exigences mentionnées au point 4.2 et déterminer les risques et les opportunités qui doivent être pris en compte pour :

• a) donner l'assurance que le système de gestion de la continuité des activités (BCMS) peut atteindre le(s) résultat(s) escompté(s) ;

  Conforme

  Non conforme

  Sans objet

• b) prévenir ou réduire les effets indésirables ;

  Conforme

  Non conforme

  Sans objet

• c) assurer une amélioration continue.

  Conforme

  Non conforme

  Sans objet

6.1.2 Répondre aux risques et aux opportunités

• L'organisation doit planifier :

• a) des actions pour faire face à ces risques et opportunités ;

  Conforme

  Non conforme

  Sans objet

• b) comment faire :

• 1) intégrer et mettre en œuvre les actions dans ses processus de système de gestion de la continuité des activités (BCMS) (voir 8.1) ;

  Conforme

  Non conforme

  Sans objet

• 2) évaluer l'efficacité de ces actions (voir 9.1).

  Conforme

  Non conforme

  Sans objet

• COMMENTAIRE : les risques et les opportunités sont liés à l'efficacité du système de management. Les risques liés à la perturbation de l'activité sont traités au point 8.2.

6.2 Objectifs de continuité des activités et planning pour les atteindre

6.2.1 Établissement des objectifs de continuité des activités

• L'organisation doit établir des objectifs de continuité des activités aux fonctions et niveaux pertinents.

  Conforme

  Non conforme

  Sans objet

• Les objectifs de continuité des activités doivent :

• a) être conforme à la politique de continuité des activités ;

  Conforme

  Non conforme

  Sans objet

• b) être mesurable (si possible) ;

  Conforme

  Non conforme

  Sans objet

• c) tenir compte des exigences applicables (voir 4.1 et 4.2) ;

  Conforme

  Non conforme

  Sans objet

• d) être contrôlé ;

  Conforme

  Non conforme

  Sans objet

• e) être communiqué ;

  Conforme

  Non conforme

  Sans objet

• f) être mis à jour le cas échéant.

  Conforme

  Non conforme

  Sans objet

• L'organisation doit conserver des informations documentées sur les objectifs de continuité des activités.

  Conforme

  Non conforme

  Sans objet

6.2.2 Détermination des objectifs de continuité des activités

• Lorsqu'elle planifie la manière d'atteindre ses objectifs de continuité des opérations, l'organisation doit déterminer :

• a) ce qui sera fait ;

  Conforme

  Non conforme

  Sans objet

• b) quelles ressources seront nécessaires ;

  Conforme

  Non conforme

  Sans objet

• c) qui sera responsable ;

  Conforme

  Non conforme

  Sans objet

• d) la date à laquelle il sera terminé ;

  Conforme

  Non conforme

  Sans objet

• e) comment les résultats seront évalués.

  Conforme

  Non conforme

  Sans objet

6.3 Planification des modifications du système de gestion de la continuité des activités

• Lorsque l'organisation détermine qu'il est nécessaire d'apporter des modifications au système de gestion de la continuité des activités (BCMS), y compris celles identifiées dans la clause 10, les modifications doivent être effectuées de manière planifiée.

  Conforme

  Non conforme

  Sans objet

• L'organisation doit prendre en compte :

• a) l'objectif des changements et leurs conséquences potentielles ;

  Conforme

  Non conforme

  Sans objet

• b) l'intégrité du système de gestion de la continuité des activités (BCMS) ;

  Conforme

  Non conforme

  Sans objet

• c) la disponibilité des ressources ;

  Conforme

  Non conforme

  Sans objet

• d) l'attribution ou la réattribution des responsabilités et des pouvoirs.

  Conforme

  Non conforme

  Sans objet

7.1 Ressources

• L'organisation doit déterminer et fournir les ressources nécessaires à l'établissement, à la mise en place, à la maintenance et à l'amélioration continue du système de gestion de la continuité des activités (BCMS).

  Conforme

  Non conforme

  Sans objet

7.2 Compétence

• L'organisation doit :

• a) déterminer la compétence nécessaire des personnes effectuant des travaux sous son contrôle qui ont une incidence sur la continuité de ses activités ;

  Conforme

  Non conforme

  Sans objet

• b) s'assurer que ces personnes sont compétentes sur la base d'un enseignement, d'une formation ou d'une expérience appropriés ;

  Conforme

  Non conforme

  Sans objet

• c) le cas échéant, prendre des actions pour acquérir les compétences nécessaires et évaluer leur efficacité ;

  Conforme

  Non conforme

  Sans objet

• d) conserver les informations documentées appropriées comme preuve de compétence.

  Conforme

  Non conforme

  Sans objet

• COMMENTAIRE : les actions applicables peuvent inclure, par exemple, la formation, le mentorat ou la réaffectation des personnes actuellement employées, ou l'embauche ou la sous-traitance de personnes compétentes.

7.3 Sensibilisation

• Les personnes effectuant un travail sous le contrôle de l'organisation doivent être informées de :

• a) la politique de continuité des activités ;

  Conforme

  Non conforme

  Sans objet

• b) leur contribution à l'efficacité du système de gestion de la continuité des activités (BCMS), y compris les avantages d'une meilleure performance en matière de continuité des opérations ;

  Conforme

  Non conforme

  Sans objet

• c) conséquences de la non-conformité aux exigences du système de gestion de la continuité des activités (BCMS) ;

  Conforme

  Non conforme

  Sans objet

• d) leur rôle et responsabilités avant, pendant et après les perturbations.

  Conforme

  Non conforme

  Sans objet

7.4 Communication

• L'organisation doit déterminer les communications internes et externes relatives au système de gestion de la continuité des activités (BCMS), y compris :

• a) sur ce qu'il communiquera ;

  Conforme

  Non conforme

  Sans objet

• b) quand communiquer ;

  Conforme

  Non conforme

  Sans objet

• c) avec qui communiquer ;

  Conforme

  Non conforme

  Sans objet

• d) comment communiquer ;

  Conforme

  Non conforme

  Sans objet

• e) qui va communiquer.

  Conforme

  Non conforme

  Sans objet

7.5 Informations documentées

7.5.1 Généralités

• Le système de gestion de la continuité des activités (BCMS) de l'organisation doit comprendre :

• a) les informations documentées nécessaires dans le présent document ;

  Conforme

  Non conforme

  Sans objet

• b) les informations documentées que l'organisation juge nécessaires à l'efficacité du système de gestion de la continuité des activités (BCMS).

  Conforme

  Non conforme

  Sans objet

• COMMENTAIRE : l'étendue des informations documentées pour un système de gestion de la continuité des activités (BCMS) peut différer d'une organisation à l'autre en raison de :
  - la taille de l'organisation et de son type d'activités, de processus, de produits et services, et de ressources ;
  - la complexité des processus et de leurs interactions ;
  - la compétence des personnes.

7.5.2 Création et mise à jour

• Lors de la création et de la mise à jour d'informations documentées, l'organisme doit s'assurer qu'elles sont appropriées :

• a) identification et description (par exemple, titre, date, auteur ou numéro de référence) ;

  Conforme

  Non conforme

  Sans objet

• b) format (par exemple, langue, version du logiciel, graphiques) et le média (par exemple, papier, électronique) ;

  Conforme

  Non conforme

  Sans objet

• c) examen et approbation de la pertinence et de l'adéquation.

  Conforme

  Non conforme

  Sans objet

7.5.3 Contrôle des informations documentées

• 7.5.3.1 Les informations documentées requises par le système de gestion de la continuité des activités (BCMS) et par le présent document doivent être contrôlées afin de garantir que :

• a) elle est disponible et adaptée à l'usage, où et quand elle est nécessaire ;

  Conforme

  Non conforme

  Sans objet

• b) elle est protégée de manière adéquate (par exemple, contre la perte de confidentialité, l'utilisation abusive ou la perte d'intégrité).

  Conforme

  Non conforme

  Sans objet

• Pour le contrôle des informations documentées, l'organisation doit aborder les activités suivantes, selon le cas :

• a) la distribution, l'accès, la récupération et l'utilisation ;

  Conforme

  Non conforme

  Sans objet

• b) le stockage et la conservation, y compris la conservation de la lisibilité ;

  Conforme

  Non conforme

  Sans objet

• c) contrôle des modifications (par exemple, contrôle des versions) ;

  Conforme

  Non conforme

  Sans objet

• d) la conservation et la destruction.

  Conforme

  Non conforme

  Sans objet

• Les informations documentées d'origine externe que l'organisation juge nécessaires à la planification et au fonctionnement du système de gestion de la continuité des activités (BCMS) doivent être identifiées, le cas échéant, et contrôlées.

  Conforme

  Non conforme

  Sans objet

• COMMENTAIRE : l'accès peut impliquer une décision concernant l'autorisation d'afficher les informations documentées uniquement, ou l'autorisation et le pouvoir d'afficher et de modifier les informations documentées.

8.1 Planification et contrôle opérationnels

• L'organisme doit planifier, mettre en place et contrôler les processus nécessaires pour répondre aux exigences, et pour mettre en place les actions déterminées dans 6.1, par :

• a) établir des critères pour les processus ;

  Conforme

  Non conforme

  Sans objet

• b) mettre en œuvre la maîtrise des processus conformément aux critères ;

  Conforme

  Non conforme

  Sans objet

• c) conserver les informations documentées dans la mesure nécessaire pour avoir la certitude que les processus ont été exécutés comme prévu.

  Conforme

  Non conforme

  Sans objet

• L'organisme doit contrôler les changements planifiés et examiner les conséquences des changements involontaires, en prenant des mesures pour atténuer tout effet négatif, le cas échéant.

  Conforme

  Non conforme

  Sans objet

• L'organisation doit s'assurer que les processus externalisés et la chaîne d'approvisionnement sont contrôlés.

  Conforme

  Non conforme

  Sans objet

8.2 Analyse de l'impact commercial et gestion du risque

8.2.1 Généralités

• L'organisation doit :

• a) mettre en place et maintenir des processus systématiques d'analyse de l'impact commercial et d'évaluation des risques de perturbation ;

  Conforme

  Non conforme

  Sans objet

• b) examiner l'analyse de l'impact sur les activités et la gestion du risque à intervalles planifiés et en cas de changements importants au sein de l'organisation ou du contexte dans lequel elle opère.

  Conforme

  Non conforme

  Sans objet

• COMMENTAIRE : l'organisation détermine l'ordre dans lequel l'analyse d'impact sur l'activité et la gestion du risque sont effectuées.

8.2.2 Analyse de l'impact commercial

• L'organisation doit utiliser le processus d'analyse des impacts sur les activités pour déterminer les priorités et les exigences en matière de continuité des activités. Ce processus doit :

• a) définir les types d'impact et les critères pertinents pour le contexte de l'organisation ;

  Conforme

  Non conforme

  Sans objet

• b) identifier les activités qui soutiennent la fourniture de produits et de services ;

  Conforme

  Non conforme

  Sans objet

• c) utiliser les types d'impact et les critères pour évaluer les impacts dans le temps résultant de la perturbation de ces activités ;

  Conforme

  Non conforme

  Sans objet

• d) déterminer le délai dans lequel les conséquences de la non-reprise des activités deviendraient inacceptables pour l'organisation ;

  Conforme

  Non conforme

  Sans objet

• COMMENTAIRE 1 : ce délai peut être appelé « période maximale tolérable de perturbation (PMTD) ».

• e) fixer des délais prioritaires dans le temps identifié en d) pour reprendre les activités interrompues à une capacité minimale acceptable spécifiée ;

  Conforme

  Non conforme

  Sans objet

• COMMENTAIRE 2 : ce délai peut être appelé « récupération de temps de travail (RTT) ».

• f) utiliser cette analyse pour identifier les activités prioritaires ;

  Conforme

  Non conforme

  Sans objet

• g) déterminer les ressources nécessaires pour soutenir les activités classées par ordre de priorité ;

  Conforme

  Non conforme

  Sans objet

• h) déterminer les dépendances, y compris les partenaires et les fournisseurs, et les interdépendances des activités classées par ordre de priorité.

  Conforme

  Non conforme

  Sans objet

8.2.3 Gestion du risque

• L'organisation doit mettre en place et maintenir un processus de gestion du risque.

  Conforme

  Non conforme

  Sans objet

• COMMENTAIRE : le processus de gestion du risque est traité dans ISO 31000.

• L'organisation doit :

• a) identifier les risques de perturbation des activités prioritaires de l'organisation et de leurs ressources nécessaires ;

  Conforme

  Non conforme

  Sans objet

• b) analyser et évaluer les risques identifiés ;

  Conforme

  Non conforme

  Sans objet

• c) déterminer quels risques nécessitent d'être traités.

  Conforme

  Non conforme

  Sans objet

• COMMENTAIRE : les risques de ce paragraphe concernent l'interruption des activités commerciales. Les risques et les opportunités liés à l'efficacité du système de management sont traités au point 6.1.

8.3 Stratégies et solutions de continuité des activités

8.3.1 Généralités

• Sur la base des résultats de l'analyse de l'impact sur les activités et du management du risque, l'organisation doit identifier et sélectionner des stratégies de continuité des activités qui prennent en compte les options avant, pendant et après la perturbation. Les stratégies de continuité des activités doivent comprendre une ou plusieurs solutions.

  Conforme

  Non conforme

  Sans objet

8.3.2 Identification des stratégies et des solutions

• L'identification est basée sur la mesure dans laquelle les stratégies et les solutions :

• a) répondre aux exigences de continuité et de reprise des activités prioritaires dans les délais prévus et selon les capacités convenues ;

  Conforme

  Non conforme

  Sans objet

• b) protéger les activités prioritaires de l'organisation ;

  Conforme

  Non conforme

  Sans objet

• c) réduire la probabilité d'une perturbation ;

  Conforme

  Non conforme

  Sans objet

• d) raccourcir la période de perturbation ;

  Conforme

  Non conforme

  Sans objet

• e) limiter l'impact des perturbations sur les produits et services de l'organisation ;

  Conforme

  Non conforme

  Sans objet

• f) prévoir la disponibilité de ressources adéquates.

  Conforme

  Non conforme

  Sans objet

8.3.3 Sélection des stratégies et des solutions

• La sélection sera basée sur la mesure dans laquelle les stratégies et les solutions :

• a) répondre aux exigences de poursuite et de reprise des activités prioritaires dans les délais prévus et selon les capacités convenues ;

  Conforme

  Non conforme

  Sans objet

• b) prendre en compte le montant et le type de risque que l'organisation peut ou ne peut pas prendre ;

  Conforme

  Non conforme

  Sans objet

• c) prendre en compte les coûts et les avantages associés.

  Conforme

  Non conforme

  Sans objet

8.3.4 Besoins en ressources

• L'organisation doit déterminer les besoins en ressources pour mettre en œuvre les solutions de continuité des opérations choisies. Les types de ressources pris en compte doivent inclure, sans s'y limiter, les éléments suivants :

• a) les personnes ;

  Conforme

  Non conforme

  Sans objet

• b) informations et données ;

  Conforme

  Non conforme

  Sans objet

• c) les infrastructures physiques telles que les bâtiments, les lieux de travail ou autres installations et les services publics associés ;

  Conforme

  Non conforme

  Sans objet

• d) équipements et consommables ;

  Conforme

  Non conforme

  Sans objet

• e) les systèmes de technologies de l'information et de la communication (TIC) ;

  Conforme

  Non conforme

  Sans objet

• f) transport et logistique ;

  Conforme

  Non conforme

  Sans objet

• g) finances ;

  Conforme

  Non conforme

  Sans objet

• h) partenaires et fournisseurs.

  Conforme

  Non conforme

  Sans objet

8.3.5 Mise en place de solutions

• L'organisation doit mettre en place et maintenir les solutions de continuité des activités sélectionnées afin qu'elles puissent être activées en cas de besoin.

  Conforme

  Non conforme

  Sans objet

8.4 Plans et procédures de continuité des activités

8.4.1 Généralités

• L'organisation doit mettre en place et maintenir une structure d'intervention qui permettra d'alerter et de communiquer en temps utile avec les parties intéressées. Elle doit fournir des plans et des procédures pour gérer l'organisation pendant une perturbation. Les plans et procédures doivent être utilisés, si nécessaire, pour activer les solutions de continuité des activités.

  Conforme

  Non conforme

  Sans objet

• COMMENTAIRE : il existe différents types de procédures dans les plans de continuité des activités.

• L'organisation doit identifier et documenter les plans et les procédures de continuité des activités sur la base des résultats des stratégies et des solutions sélectionnées.

  Conforme

  Non conforme

  Sans objet

• Les procédures doivent :

• a) sont spécifiques quant aux mesures immédiates à prendre pendant une perturbation ;

  Conforme

  Non conforme

  Sans objet

• b) être flexible pour répondre à l'évolution des conditions internes et externes d'une perturbation ;

  Conforme

  Non conforme

  Sans objet

• c) se concentrer sur l'impact des incidents qui peuvent entraîner des perturbations ;

  Conforme

  Non conforme

  Sans objet

• d) être efficace pour minimiser l'impact par la mise en place de solutions appropriées ;

  Conforme

  Non conforme

  Sans objet

• e) attribuer des rôles et des responsabilités pour les tâches qui y sont effectuées.

  Conforme

  Non conforme

  Sans objet

8.4.2 Structure de réponse

• 8.4.2.1 L'organisation doit mettre en place et maintenir une structure, identifiant une ou plusieurs équipes responsables de la réponse aux perturbations.

  Conforme

  Non conforme

  Sans objet

• 8.4.2.2 Les rôles et responsabilités de chaque équipe et les relations entre les équipes doivent être clairement énoncés.

  Conforme

  Non conforme

  Sans objet

• 8.4.2.3 Collectivement, les équipes doivent être compétentes pour :

• a) évaluer la nature et l'étendue d'une perturbation et son impact potentiel ;

  Conforme

  Non conforme

  Sans objet

• b) évaluer l'impact par rapport à des seuils prédéfinis qui justifient le lancement d'une réponse formelle ;

  Conforme

  Non conforme

  Sans objet

• c) activer une réponse appropriée en matière de continuité des activités ;

  Conforme

  Non conforme

  Sans objet

• d) planifier les actions qui doivent être prises ;

  Conforme

  Non conforme

  Sans objet

• e) établir des priorités (la sécurité des personnes étant la première priorité) ;

  Conforme

  Non conforme

  Sans objet

• f) contrôler les effets de la perturbation et la réponse de l'organisation ;

  Conforme

  Non conforme

  Sans objet

• g) activer les solutions de continuité des activités ;

  Conforme

  Non conforme

  Sans objet

• h) communiquer avec les parties intéressées, les autorités et les médias.

  Conforme

  Non conforme

  Sans objet

• 8.4.2.4 Pour chaque équipe, il y aura :

• a) le personnel identifié et ses suppléants ayant la responsabilité, l'autorité et la compétence nécessaires pour remplir le rôle qui leur est attribué ;

  Conforme

  Non conforme

  Sans objet

• b) des procédures documentées pour guider leurs actions (voir 8.4.4), y compris celles concernant l'activation, le fonctionnement, la coordination et la communication de la réponse.

  Conforme

  Non conforme

  Sans objet

8.4.3 Avertissement et communication

• 8.4.3.1 L'organisation doit documenter et maintenir des procédures pour :

• a) la communication interne et externe aux parties intéressées, y compris ce qu'il faut communiquer, quand, avec qui et comment ;

  Conforme

  Non conforme

  Sans objet

• COMMENTAIRE : l'organisation peut documenter et maintenir des procédures sur la façon et les circonstances de communication avec les employés et leurs contacts d'urgence.

• b) recevoir, documenter et répondre aux communications des parties intéressées, y compris tout système consultatif national ou régional sur les risques ou équivalent ;

  Conforme

  Non conforme

  Sans objet

• c) assurer la disponibilité des moyens de communication pendant une perturbation ;

  Conforme

  Non conforme

  Sans objet

• d) faciliter la communication structurée avec les intervenants d'urgence ;

  Conforme

  Non conforme

  Sans objet

• e) fournir des détails sur la réponse de l'organisation aux médias après un incident, y compris une stratégie de communication ;

  Conforme

  Non conforme

  Sans objet

• f) enregistrer les détails de la perturbation, les actions entreprises et les décisions prises.

  Conforme

  Non conforme

  Sans objet

• 8.4.3.2 Le cas échéant, les éléments suivants doivent également être pris en compte et mis en place :

• a) alerter les parties intéressées potentiellement touchées par une perturbation réelle ou imminente ;

  Conforme

  Non conforme

  Sans objet

• b) assurer une coordination et une communication appropriées entre les multiples organisations d'intervention.

  Conforme

  Non conforme

  Sans objet

• Les procédures d'alerte et de communication doivent être exercées dans le cadre du programme d'exercices de l'organisme décrit au point 8.5.

  Conforme

  Non conforme

  Sans objet

8.4.4 Plans de continuité des activités

• 8.4.4.1 L'organisation doit documenter et maintenir des plans et des procédures de continuité des activités. Les plans de continuité des activités doivent fournir des conseils et des informations pour aider les équipes à réagir à une perturbation et pour aider l'organisation à réagir et à se rétablir.

  Conforme

  Non conforme

  Sans objet

• 8.4.4.2 Collectivement, les plans de continuité des activités doivent contenir :

• a) les détails des actions que les équipes vont entreprendre afin de :

• 1) poursuit ou récupère les activités prioritaires dans des délais prédéterminés ;

  Conforme

  Non conforme

  Sans objet

• 2) contrôler l'impact de la perturbation et la réponse de l'organisation ;

  Conforme

  Non conforme

  Sans objet

• b) référence au(x) seuil(s) prédéfini(s) et processus d'activation de la réponse ;

  Conforme

  Non conforme

  Sans objet

• c) des procédures permettant de fournir des produits et des services à la capacité convenue ;

  Conforme

  Non conforme

  Sans objet

• d) les modalités de gestion des conséquences immédiates d'une perturbation en tenant compte des éléments suivants :

• 1) le bien-être des individus ;

  Conforme

  Non conforme

  Sans objet

• 2) la prévention d'une nouvelle perte ou indisponibilité des activités prioritaires ;

  Conforme

  Non conforme

  Sans objet

• 3) l'impact sur l'environnement.

  Conforme

  Non conforme

  Sans objet

• 8.4.4.3 Chaque plan doit inclure :

• a) le but, le champ d'application et les objectifs ;

  Conforme

  Non conforme

  Sans objet

• b) les rôles et responsabilités de l'équipe qui mettra en place le plan ;

  Conforme

  Non conforme

  Sans objet

• c) des actions pour mettre en place les solutions ;

  Conforme

  Non conforme

  Sans objet

• d) informations de support technique nécessaires pour activer (y compris les critères d'activation), opérer, coordonner et communiquer les actions de l'équipe ;

  Conforme

  Non conforme

  Sans objet

• e) les interdépendances internes et externes ;

  Conforme

  Non conforme

  Sans objet

• f) les besoins en ressources ;

  Conforme

  Non conforme

  Sans objet

• g) exigences en matière de rapports ;

  Conforme

  Non conforme

  Sans objet

• h) un processus d'arrêt.

  Conforme

  Non conforme

  Sans objet

• Chaque plan doit être utilisable et disponible au moment et à l'endroit où il est nécessaire.

  Conforme

  Non conforme

  Sans objet

8.5 Programme d'exercices

• L'organisation doit mettre en œuvre et maintenir un programme d'exercices et de tests pour valider dans le temps l'efficacité de ses stratégies et solutions de continuité des activités.

  Conforme

  Non conforme

  Sans objet

• L'organisation doit effectuer des exercices et des tests qui :

• a) sont compatibles avec ses objectifs de continuité des activités ;

  Conforme

  Non conforme

  Sans objet

• b) sont fondés sur des scénarios appropriés, bien planifiés, avec des buts et des objectifs clairement définis ;

  Conforme

  Non conforme

  Sans objet

• c) développer le travail d'équipe, la compétence, la confiance et les connaissances de ceux qui ont un rôle à jouer en cas de perturbations ;

  Conforme

  Non conforme

  Sans objet

• d) ensemble, au fil du temps, valider ses stratégies et solutions de continuité des activités ;

  Conforme

  Non conforme

  Sans objet

• e) produire des rapports post-exercice formalisés qui contiennent des résultats, des recommandations et des actions pour mettre en place des améliorations ;

  Conforme

  Non conforme

  Sans objet

• f) sont examinés dans le cadre de la promotion de l'amélioration continue ;

  Conforme

  Non conforme

  Sans objet

• g) sont effectuées à intervalles planifiés et lorsqu'il y a des changements significatifs au sein de l'organisation ou du contexte dans lequel elle opère.

  Conforme

  Non conforme

  Sans objet

• L'organisation doit agir sur les résultats de ses exercices et de ses tests pour mettre en place des changements et des améliorations.

  Conforme

  Non conforme

  Sans objet

8.6 Évaluation de la documentation et des capacités de continuité des activités

• L'organisation doit :

• a) évaluer la pertinence, l'adéquation et l'efficacité de son analyse d'impact commercial, de sa gestion du risque, de ses stratégies, solutions, plans et procédures ;

  Conforme

  Non conforme

  Sans objet

• b) entreprendre des évaluations par le biais d'examens, d'analyses, d'exercices, de tests, de rapports post-incident et d'évaluations des performances ;

  Conforme

  Non conforme

  Sans objet

• c) effectuer des évaluations des capacités de continuité des activités des partenaires et fournisseurs concernés ;

  Conforme

  Non conforme

  Sans objet

• d) évaluer la conformité avec les exigences légales et réglementaires applicables, les meilleures pratiques de l'industrie et la conformité avec sa propre politique et ses objectifs en matière de continuité des activités ;

  Conforme

  Non conforme

  Sans objet

• e) mettre à jour la documentation et les procédures en temps utile.

  Conforme

  Non conforme

  Sans objet

• Ces évaluations sont effectuées à intervalles planifiés, après un incident ou une activation, et lorsque des changements importants se produisent.

  Conforme

  Non conforme

  Sans objet

9.1 Contrôle, mesure, analyse et évaluation

• L'organisme doit déterminer :

• a) ce qui doit être surveillé et mesuré ;

  Conforme

  Non conforme

  Sans objet

• b) méthodes de contrôle, de mesure, d'analyse et d'évaluation, le cas échéant, pour garantir la validité des résultats ;

  Conforme

  Non conforme

  Sans objet

• c) quand et par qui le contrôle et la mesure doivent être effectuées ;

  Conforme

  Non conforme

  Sans objet

• d) quand et par qui les résultats du contrôle et des mesures seront analysés et évalués.

  Conforme

  Non conforme

  Sans objet

• L'organisation doit conserver les informations documentées appropriées comme preuve des résultats.

  Conforme

  Non conforme

  Sans objet

• L'organisation doit évaluer la performance et l'efficacité du système de gestion de la continuité des activités (BCMS).

  Conforme

  Non conforme

  Sans objet

9.2 Audit interne

9.2.1 Généralités

• L'organisation doit effectuer des audits internes à des intervalles planifiés afin de fournir des informations sur le fait que le système de gestion de la continuité des activités (BCMS) :

• a) est conforme à :

• 1) les exigences propres à l'organisation pour son système de gestion de la continuité des activités (BCMS). ;

  Conforme

  Non conforme

  Sans objet

• 2) exigences du présent document ;

  Conforme

  Non conforme

  Sans objet

• b) est mis en place et maintenu de manière efficace.

  Conforme

  Non conforme

  Sans objet

9.2.2 Programme(s) d'audit

• L'organisation doit :

• a) planifier, établir, mettre en place et maintenir un ou plusieurs programmes d'audit, y compris la fréquence, les méthodes, les responsabilités, les exigences en matière de planification et les rapports, qui doivent tenir compte de l'importance des processus concernés et des résultats des audits précédents ;

  Conforme

  Non conforme

  Sans objet

• b) définir les critères et le champ d'application de chaque audit ;

  Conforme

  Non conforme

  Sans objet

• c) sélectionner les auditeurs et effectuer les audits afin de garantir l'objectivité et l'impartialité du processus d'audit ;

  Conforme

  Non conforme

  Sans objet

• d) s'assurer que les résultats des audits sont rapportés aux responsables concernés ;

  Conforme

  Non conforme

  Sans objet

• e) conserver les informations documentées comme preuve de la mise en place du ou des programmes d'audit et des résultats de l'audit ;

  Conforme

  Non conforme

  Sans objet

• f) s'assurer que toutes les actions correctives nécessaires sont prises sans retard excessif pour éliminer les non-conformités détectées et leurs causes ;

  Conforme

  Non conforme

  Sans objet

• g) s'assurer que les actions d'audit de suivi comprennent la vérification des actions prises et la communication des résultats de la vérification.

  Conforme

  Non conforme

  Sans objet

9.3 Revue de direction

9.3.1 Généralités

• La direction générale doit examiner le système de gestion de la continuité des activités (BCMS) de l'organisation, à intervalles planifiés, afin de s'assurer qu'il reste adapté, adéquat et efficace.

  Conforme

  Non conforme

  Sans objet

9.3.2 Contribution à la revue de direction

• L'examen de la gestion doit prendre en compte les éléments suivants :

• a) statut des actions prises lors des précédentes revues de direction ;

  Conforme

  Non conforme

  Sans objet

• b) les changements dans les observations externes et internes qui sont pertinentes pour le système de gestion de la continuité des activités (BCMS) ;

  Conforme

  Non conforme

  Sans objet

• c) informations sur les performances du système de gestion de la continuité des activités (BCMS), y compris les tendances en matière de :

• 1) non-conformités et actions correctives ;

  Conforme

  Non conforme

  Sans objet

• 2) contrôle et mesure des résultats d'évaluation ;

  Conforme

  Non conforme

  Sans objet

• 3) résultats de l'audit ;

  Conforme

  Non conforme

  Sans objet

• d) les commentaires des parties intéressées ;

  Conforme

  Non conforme

  Sans objet

• e) la nécessité de modifier le système de gestion de la continuité des activités (BCMS), y compris la politique et les objectifs ;

  Conforme

  Non conforme

  Sans objet

• f) les procédures et les ressources qui pourraient être utilisées dans l'organisation pour améliorer les performances du système de gestion de la continuité des activités (BCMS) ;

  Conforme

  Non conforme

  Sans objet

• g) les informations provenant de l'analyse d'impact sur les entreprises et de la gestion du risque ;

  Conforme

  Non conforme

  Sans objet

• h) les résultats de l'évaluation de la documentation et des capacités en matière de continuité des opérations (voir 8.6) ;

  Conforme

  Non conforme

  Sans objet

• i) les risques ou les observations qui n'ont pas été traités de manière adéquate dans toute gestion du risque antérieure ;

  Conforme

  Non conforme

  Sans objet

• j) les leçons tirées et les actions découlant des quasi-accidents et des perturbations ;

  Conforme

  Non conforme

  Sans objet

• k) les possibilités d'amélioration continue.

  Conforme

  Non conforme

  Sans objet

9.3.3 Résultats de la revue de direction

• 9.3.3.1 Les résultats de la revue de direction comprendront des décisions relatives aux possibilités d'amélioration continue et à la nécessité de modifier le système de gestion de la continuité des activités (BCMS) pour en améliorer l'efficacité, y compris :

• a) variations du champ d'application du système de gestion de la continuité des activités (BCMS) ;

  Conforme

  Non conforme

  Sans objet

• b) mise à jour de l'analyse de l'impact sur les activités, de la gestion du risque, des stratégies et solutions de continuité des activités et des plans de continuité des activités ;

  Conforme

  Non conforme

  Sans objet

• c) la modification des procédures et des contrôles pour répondre aux observations internes ou externes qui peuvent avoir un impact sur le système de gestion de la continuité des activités (BCMS) ;

  Conforme

  Non conforme

  Sans objet

• d) comment l'efficacité des contrôles sera mesurée.

  Conforme

  Non conforme

  Sans objet

• 9.3.3.2 L'organisation doit conserver des informations documentées comme preuve des résultats des revues de direction. Elle doit :

• a) communiquer les résultats de la revue de direction aux parties intéressées ;

  Conforme

  Non conforme

  Sans objet

• b) prendre les actions appropriées en fonction de ces résultats.

  Conforme

  Non conforme

  Sans objet

10.1 Non-conformité et action corrective

• 10.1.1 L'organisation doit déterminer les possibilités d'amélioration et mettre en œuvre les actions nécessaires pour atteindre les résultats escomptés de son système de gestion de la continuité des activités (BCMS).

  Conforme

  Non conforme

  Sans objet

• En cas de non-conformité, l'organisation doit :

• a) agir face à la non-conformité, et, le cas échéant :

• 1) prendre des mesures pour le contrôler et le corriger ;

  Conforme

  Non conforme

  Sans objet

• 2) faire face aux conséquences ;

  Conforme

  Non conforme

  Sans objet

• b) évaluer la nécessité d'une action pour éliminer la ou les causes de la non-conformité, afin qu'elle ne se reproduise pas ou ne se reproduise pas ailleurs, en :

• 1) examiner la non-conformité ;

  Conforme

  Non conforme

  Sans objet

• 2) déterminer les causes de la non-conformité ;

  Conforme

  Non conforme

  Sans objet

• 3) déterminer si des non-conformités similaires existent ou peuvent se produire ;

  Conforme

  Non conforme

  Sans objet

• c) mettre en place toute action nécessaire ;

  Conforme

  Non conforme

  Sans objet

• d) examiner l'efficacité de toute mesure corrective prise ;

  Conforme

  Non conforme

  Sans objet

• e) apporter des modifications au système de gestion de la continuité des activités (BCMS), si nécessaire.

  Conforme

  Non conforme

  Sans objet

• Les actions correctives doivent être adaptées aux effets des non-conformités rencontrées.

  Conforme

  Non conforme

  Sans objet

• 10.1.3 L'organisation doit conserver les informations documentées comme preuve de :

• a) la nature des non-conformités et les actions prises en conséquence ;

  Conforme

  Non conforme

  Sans objet

• b) les résultats de toute action corrective.

  Conforme

  Non conforme

  Sans objet

10.2 Amélioration continue

• L'organisation doit continuellement améliorer la pertinence, l'adéquation et l'efficacité du système de gestion de la continuité des activités (BCMS), sur la base de mesures qualitatives et quantitatives.

  Conforme

  Non conforme

  Sans objet

• L'organisation doit prendre en compte les résultats de l'analyse et de l'évaluation, ainsi que les résultats de la revue de direction, afin de déterminer s'il existe des besoins ou des opportunités, liés à l'activité ou au système de gestion de la continuité des activités (BCMS), qui doivent être traités dans le cadre de l'amélioration continue.

  Conforme

  Non conforme

  Sans objet

• COMMENTAIRE : L'organisation peut utiliser les processus du système de gestion de la continuité des activités (BCMS), tels que le leadership, le planning et l'évaluation des performances pour réaliser des améliorations.

• Commentaires / recommandations

• Nom et signature

  Sign