Un serveur qui ne redémarre plus, un bureau inaccessible, une cyberattaque qui chiffre vos fichiers un vendredi soir. La vraie question n'est pas technique : combien de temps votre entreprise peut-elle travailler sans son système d'information ? Le PCA et le PRA sont les deux documents qui y répondent. Voici ce que chacun couvre, ce qui le distingue d'une sauvegarde, et comment les construire.
PCA et PRA : deux plans, deux logiques
Le PCA, plan de continuité d'activité, répond à une question : comment l'entreprise travaille-t-elle pendant l'incident ? Il couvre l'organisation entière : personnes, locaux, télécommunications, procédures de repli, communication vers les clients.
Le PRA, plan de reprise d'activité, répond à une autre question : comment redémarre-t-on les systèmes après le sinistre ? Il décrit l'architecture de secours, les sauvegardes à restaurer, l'ordre de redémarrage et le délai maximal accepté.
Exemple : le serveur de fichiers tombe. Côté PCA, l'équipe commerciale saisit les commandes sur un tableur partagé. Côté PRA, les applications reviennent le lendemain.
Tableau comparatif : PCA contre PRA
Les deux plans ne se substituent pas l'un à l'autre. Voici leurs différences sur les quatre critères qui reviennent le plus en réunion de direction.
| Critère | PCA (continuité) | PRA (reprise) |
|---|---|---|
| Objectif | Maintenir l'activité pendant l'incident, en mode dégradé | Redémarrer les systèmes informatiques après le sinistre |
| Périmètre | Organisation : personnes, locaux, télécoms, procédures | Systèmes d'information : serveurs, applications, données, réseau |
| Déclencheur | Tout événement qui rend un outil, un site ou une équipe indisponible | Sinistre majeur : perte de site, cyberattaque, panne lourde |
| Délai visé | Immédiat à quelques heures, en mode dégradé | Le RTO défini par le métier, souvent de 4 à 24 heures |
| Documents | Procédures de repli, annuaire de crise | Architecture de secours, ordre de redémarrage |
RTO et RPO : les deux chiffres qui pilotent tout
Le RTO (Recovery Time Objective) est le délai maximal acceptable entre l'arrêt du système et son redémarrage. Un RTO de 4 heures signifie que les applications doivent être de nouveau utilisables 4 heures après l'incident.
Le RPO (Recovery Point Objective) est la quantité maximale de données que vous acceptez de perdre, exprimée en temps. Un RPO d'une heure signifie qu'au pire, vous perdez la dernière heure de saisie.
Ces valeurs se fixent au niveau métier : c'est la direction qui décide quel temps d'arrêt et quelle perte de données sont supportables. La technique vient ensuite dire ce que cela coûte.
Une sauvegarde suffit-elle ? Non, et voici pourquoi
La sauvegarde répond à une seule question : peut-on récupérer les données ? Elle ne dit rien du temps nécessaire pour redémarrer les serveurs, ni de la manière dont l'entreprise travaille pendant ce temps. Une copie de deux téraoctets restaurée depuis un disque externe prend souvent une journée entière.
- La sauvegarde protège les données.
- Le PRA protège les serveurs, les applications et le réseau, et fixe un délai.
- Le PCA protège les personnes, les procédures et la relation client.
La sauvegarde est donc une brique du PRA, et le PRA une brique du dispositif de continuité. Notre article sur les sauvegardes face au rançongiciel détaille la règle 3-2-1-1-0.
Combien de temps une PME peut-elle tenir sans son système d'information ?
Une entreprise de services (conseil, agence, cabinet) fonctionne souvent quelques heures en mode dégradé : téléphones, messagerie sur mobile, documents imprimés la veille. Au-delà d'une demi-journée, la facturation s'arrête.
- Conseil, agence, cabinet juridique : 4 à 8 heures.
- Commerce de détail avec caisse informatique : 1 à 4 heures.
- Distribution, logistique, industrie : 30 minutes à 2 heures.
- Santé, clinique, laboratoire : quasi nul, risque direct pour les patients.
Pour la plupart des PME, la fenêtre tenable se compte donc en heures, pas en jours. C'est elle qui définit votre RTO maximal.
Combien coûte une heure d'arrêt ?
Les études publiées donnent des ordres de grandeur à prendre comme des repères prudents : l'analyse annuelle des pannes de l'Uptime Institute observe que la majorité des incidents coûteux dépassent 100 000 dollars, et les enquêtes de l'ITIC rapportent qu'une heure d'indisponibilité se chiffre souvent en centaines de milliers de dollars dans les grandes organisations. Les reprendre tels quels pour une PME serait malhonnête.
Pour une PME, la méthode honnête est de calculer son propre coût horaire : chiffre d'affaires non réalisé, heures payées sans production, puis coûts de rattrapage (heures supplémentaires, pénalités, clients partis chez un concurrent).
Exemple purement indicatif : une PME qui réalise 40 millions de FCFA de chiffre d'affaires par mois travaille environ 5 millions par semaine ouvrée, soit près de 600 000 FCFA par jour. Une panne de deux jours représente donc, en production perdue seule, de l'ordre de 1,2 million de FCFA.
Construire son PCA et son PRA : la méthode en quatre étapes
Un dispositif de continuité ne s'achète pas sur catalogue. Il se construit en quatre étapes, dans cet ordre.
- 1
Analyse d'impact sur l'activité
Listez vos processus métier et fixez pour chacun la durée d'interruption acceptable.
- 2
Priorisation et objectifs RTO / RPO
Classez les applications par ordre de redémarrage et associez à chacune un RTO et un RPO.
- 3
Architecture, procédures et cellule de crise
Choisissez le mode de reprise, écrivez les procédures et désignez qui décide de basculer.
- 4
Tests réguliers et mise à jour
Une restauration testée par trimestre, un exercice de crise par an, et une mise à jour du plan à chaque changement majeur.
Les erreurs fréquentes constatées en PME
Sur le terrain, les mêmes erreurs reviennent presque systématiquement.
- Sauvegardes jamais restituées : la copie existe, mais personne n'a jamais restauré un fichier.
- Copie unique sur site : les sauvegardes vivent sur le même serveur ou dans la même pièce.
- Absence de test : personne ne sait combien de temps la restauration prend réellement.
- Pas de procédure écrite : le savoir tient dans la tête d'une seule personne.
- Confondre sauvegarde et PRA : croire qu'un NAS suffit à redémarrer l'activité.
- RTO jamais mesuré : le plan promet quatre heures, la réalité en prend deux jours.
Ces six erreurs se corrigent à coût maîtrisé. C'est précisément le rôle d'un audit de continuité.
FAQ : PCA et PRA en entreprise
Les questions que nous posent le plus souvent les dirigeants avant de lancer un projet de continuité.
Quelle est la différence entre PCA et PRA ?
Le PCA organise la poursuite de l'activité pendant l'incident : procédures de repli, cellule de crise, communication client. Le PRA organise le redémarrage des systèmes après le sinistre : sauvegardes, architecture de secours, ordre de restauration.
Faut-il un PCA, un PRA ou les deux ?
Les deux, mais rarement en même temps. Le PCA est le plus urgent, car il repose sur l'organisation et peu sur du matériel. Le PRA vient ensuite, quand les systèmes critiques et les délais acceptables sont connus.
PCA et PRA en entreprise : par où commencer ?
Par l'analyse d'impact sur l'activité. Listez vos processus, identifiez ceux dont l'arrêt bloque tout le reste, et notez la durée d'interruption acceptable pour chacun.
Combien de temps peut-on tenir sans système d'information ?
Quelques heures à une demi-journée pour une entreprise de services, et seulement quelques dizaines de minutes à deux heures pour une activité à flux physiques (vente, logistique, santé, BTP).
Une sauvegarde suffit-elle ?
Non. Une sauvegarde récupère des données, elle ne redémarre pas une entreprise : elle ne dit rien du temps de restauration, ni de l'organisation pendant l'interruption.
Que veulent dire RTO et RPO ?
Le RTO est le délai maximal accepté entre la panne et le retour à un service utilisable, par exemple 4 heures. Le RPO est la quantité de données que vous acceptez de perdre, exprimée en temps.
PCA ou PRA pour une PME en Afrique de l'Ouest ?
Le PCA d'abord : en zone UEMOA, les coupures d'électricité et de liaison Internet sont plus fréquentes qu'en Europe, et le PCA couvre ces scénarios avec du travail dégradé et des copies hors site. Le PRA vient ensuite.
Combien coûte un PRA ?
Le coût dépend du RTO et du RPO visés : 24 heures et 15 minutes ne demandent pas la même architecture. Chez Sira-Tech, chaque dispositif est chiffré sur devis, après l'analyse d'impact.
Qu'est-ce qu'un CRA, et en quoi diffère-t-il du PRA ?
Le CRA (centre de reprise automatisé) est le lieu où les systèmes redémarrent. Le PRA est le plan qui décrit la bascule : qui décide, dans quel ordre, avec quelles données.
À quelle fréquence faut-il tester un PRA ?
Une restauration de données par trimestre, et un exercice de crise complet une fois par an. Un plan jamais testé se dégrade en silence.
Conclusion : commencez par un audit, pas par un achat
Vous n'avez pas besoin d'une salle de secours à plusieurs centaines de millions de francs pour être résilient. Commencez par trois actions : vérifier qu'une copie de vos données existe hors site, mesurer le temps de restauration réel de votre application critique, et écrire une procédure pour la cellule de crise.
Le bon critère n'est pas le prix du dispositif, mais l'écart entre le coût d'une journée d'arrêt et le coût annuel de la protection. Dans la plupart des PME de la zone UEMOA, l'écart est sans ambiguïté.
Besoin d'un diagnostic gratuit de vos sauvegardes et de votre PRA ?
Nous auditons votre plan de continuité à Abidjan, Dakar, Bamako ou ailleurs en zone UEMOA, et nous testons avec vous une restauration réelle, sans engagement.