# Là où le plan de continuité d’activité passe le relais à la gestion de crise > SwissGRC® explique pourquoi la gestion de crise échoue souvent au passage du plan de continuité d'activité à l'action : lors des changements d'équipe de la cellule de crise. L'article indique comment tester et attribuer ces transmissions. - URL: https://swissgrc.com/fr/plan-continuite-activite-relais-gestion-crise/ - Éditeur: SwissGRC® - Publié: 2026-09-02 - Dernière mise à jour: 2026-09-02 ## Points clés - La circulaire FINMA 2023/1 impose aux banques un plan de continuité d'activité documenté, avec un volet de reprise après sinistre, réexaminé au moins une fois par an. - La circulaire FINMA 2023/1 est entrée en vigueur le 1er janvier 2024 et prévoit des délais transitoires échelonnés pouvant aller jusqu'à deux ans. - Selon l'article de SwissGRC®, le passage de relais se rompt aux changements d'équipe et aux transmissions de rôles au sein de la cellule de crise, que les tests classiques simulent rarement. - La norme ISO 22301 prévoit, dans la phase « check » du cycle PDCA, que les plans de continuité d'activité soient testés et que les résultats soient suivis. - La norme ISO/IEC 27031 exige que les tests et les exercices couvrent aussi la protection des actifs et la réduction au minimum des dommages, et pas seulement le rétablissement des services TIC. - La direction générale est responsable de la mise en œuvre et de la documentation de la gestion des risques opérationnels, et le conseil d'administration l'approuve et la supervise régulièrement. Le plan de continuité d’activité est en place, il a été approuvé par la direction générale et couvre formellement les exigences réglementaires. Pourtant, dans de nombreuses organisations, la gestion opérationnelle de crise n’échoue pas faute de plan, mais au moment précis où les mesures documentées doivent se traduire en actions concrètes. Ce passage du papier à la pratique est rarement testé de manière explicite et reste souvent hors du périmètre des tests classiques. L’endroit exact où cette interface se rompt n’apparaît généralement qu’en situation de crise réelle. En bref Le passage d’un plan de continuité d’activité documenté à la gestion opérationnelle de crise n’échoue généralement pas faute de plan, mais en raison des changements d’équipe et des transmissions de rôles au sein de la cellule de crise, que les tests classiques simulent rarement. Les exigences réglementaires telles que la circulaire FINMA 2023/1 imposent certes des tests fondés sur des scénarios graves mais plausibles ; ceux-ci vérifient toutefois avant tout l’existence d’un plan, et non la capacité réelle de l’organisation à agir sous la pression du temps. ## Qu’exige la réglementation du plan de continuité d’activité ? La circulaire FINMA 2023/1 sur les risques opérationnels impose aux banques de tenir un plan de continuité d’activité documenté, comprenant un volet de reprise après sinistre, réexaminé au moins une fois par an. Cette circulaire remplace les précédentes « Recommandations pour la gestion de la continuité d’activité » de l’Association suisse des banquiers en tant que norme minimale et est entrée en vigueur le 1er janvier 2024, avec des délais transitoires échelonnés pouvant aller jusqu’à deux ans afin d’assurer la résilience opérationnelle. Dans le cadre de l’analyse d’impact sur l’activité, chaque établissement identifie ses processus critiques ainsi que le délai de reprise, la tolérance à la perte de données et les ressources nécessaires. La mise en œuvre doit être évaluée régulièrement au moyen de tests tels que des exercices sur table, le périmètre de test couvrant des scénarios graves mais plausibles. ## Pourquoi un plan classé au dossier ne suffit-il pas à lui seul ? Parce que, dans la pratique, les tests confirment souvent uniquement que le plan existe et qu’il est à jour, et non que l’organisation est réellement en mesure de l’exécuter sous pression. Une analyse spécialisée consacrée à la mise en œuvre pratique des plans de continuité d’activité constate que de nombreuses entreprises ont déjà identifié leurs risques, mais peinent à appliquer la stratégie qui en découle. L’attention se porte généralement sur la rédaction du plan plutôt que sur sa concrétisation, car traduire la théorie en pratique exige de la coordination, de la précision et des ajustements continus. La norme ISO 22301 répond à ce schéma par le cycle PDCA : lors de la phase « check », les plans de continuité d’activité doivent être testés et les résultats suivis, et non documentés une seule fois. Le plan reste ainsi un moyen au service d’une fin, et non une fin en soi. ![Analyse d'impact sur l'activité dans la Plateforme SwissGRC](https://swissgrc.com/wp-content/uploads/sites/2/2026/08/BIA-1024x582-1.png) Exercices et tests sur la Plateforme SwissGRC ## Où le passage de relais se rompt-il exactement en situation de crise réelle ? Aux changements d’équipe et aux transmissions de rôles au sein de la cellule de crise, qui deviennent inévitables dans les situations qui se prolongent. Un article spécialisé sur les exercices en gestion de la continuité d’activité relève que les exercices longs, s’étendant sur deux jours ou plus, reflètent particulièrement bien les défis réalistes d’une situation d’urgence, car ils imposent des changements d’équipe dans la gestion de crise et des transmissions au sein des processus. C’est précisément lors de ces passages de relais que l’on voit si les responsabilités, la connaissance de la situation et le pouvoir de décision sont effectivement transmis, ou si du savoir se perd à chaque relève. La norme ISO/IEC 27031 exige donc que les tests et les exercices ne se limitent pas au rétablissement des services TIC, mais couvrent également la protection des actifs contre les perturbations et la réduction au minimum de l’impact des dommages. Un test qui mesure seulement le délai de reprise technique n’examine pas le point où le passage de relais échoue réellement dans la pratique. ## Qui est responsable de ces points de transmission ? La direction générale est responsable de la mise en œuvre et de la documentation de la gestion des risques opérationnels, tandis que le conseil d’administration approuve et supervise régulièrement cette gestion. Cette répartition précise formellement qui est responsable du plan en tant que document. Elle ne répond toutefois pas à la question de savoir qui est responsable du passage de relais entre les équipes de la cellule de crise lors d’un événement réel, ni qui décide du moment où une escalade au niveau supérieur intervient. Même pour les tiers dont les ressources alimentent l’analyse d’impact sur l’activité, il est nécessaire de désigner une partie chargée de coordonner la transmission lors d’un événement réel. Sans cette attribution, la responsabilité reste là où elle est inscrite dans le document, et non là où elle est nécessaire au moment de l’événement. ## Comment tester et combler concrètement ce passage de relais ? En faisant simuler spécifiquement, lors du prochain exercice de test, un changement d’équipe ou une transmission de rôle, et en documentant qui reprend la responsabilité et à quel moment. Une première étape : lors du prochain réexamen annuel du plan de continuité d’activité, le responsable définit quels points de transmission existent au sein de la cellule de crise et attribue à chacun un nom et un élément déclencheur. Cette attribution est documentée comme une composante explicite du plan, et non simplement consignée comme une observation issue du dernier exercice de test. Un écart comparable entre ce qu’un document prescrit et ce qui doit déjà être opérationnel se retrouve dans d’autres échéances réglementaires, par exemple l’obligation de SMSI au titre de la loi suisse sur la sécurité de l’information (LSI). À lire aussi ### Du plan au passage de relais éprouvé Continuité d’activité documente en un seul endroit les processus critiques, les ressources et les résultats des exercices, et consigne qui est responsable de chaque point de transmission au sein de la cellule de crise. [Continuité d’activité](https://swissgrc.com/fr/bcm-software/) En pratique ## Points clés - Les établissements vérifient si leur plan de continuité d’activité nomme explicitement les points de transmission au sein de la cellule de crise, et pas uniquement les processus critiques et les ressources. - Les exercices de test simulent spécifiquement des changements d’équipe sur plusieurs jours, car c’est précisément là que le savoir et le pouvoir de décision peuvent se perdre. - Selon la norme ISO/IEC 27031, les tests dépassent la reprise des TIC et incluent la protection des actifs ainsi que la réduction au minimum des dommages. - Pour chaque point de transmission, une personne responsable nommément désignée est documentée avec un élément déclencheur clair, et non seulement la direction générale en tant que responsable global. - Le réexamen annuel du plan au titre de la circulaire FINMA 2023/1 est mis à profit pour ajouter les points de transmission, et non uniquement pour actualiser le RTO et le RPO. FAQ ## Questions fréquentes Quel délai s’applique à la mise en œuvre de la circulaire FINMA 2023/1 ? La circulaire FINMA 2023/1 est entrée en vigueur le 1er janvier 2024 et remplace les précédentes recommandations BCM de l’Association suisse des banquiers en tant que norme minimale. Des délais transitoires échelonnés pouvant aller jusqu’à deux ans s’appliquent à sa mise en œuvre ; durant cette période, les établissements doivent aligner leur analyse d’impact sur l’activité, leur plan de continuité d’activité et les tests associés sur les nouvelles exigences. Pourquoi un plan de continuité d’activité testé ne suffit-il pas automatiquement ? Dans la pratique, les tests confirment souvent uniquement qu’un plan de continuité d’activité existe et qu’il est à jour, et non que l’organisation peut réellement l’exécuter sous la pression du temps. L’attention se porte fréquemment sur la rédaction du plan plutôt que sur sa concrétisation, car sa traduction en pratique exige de la coordination et des ajustements continus. Quel rôle les changements d’équipe au sein de la cellule de crise jouent-ils dans la gestion de crise ? Lors d’exercices de deux jours ou plus, les changements d’équipe au sein de la cellule de crise deviennent inévitables. C’est précisément lors de ces passages de relais que l’on voit si les responsabilités, la connaissance de la situation et le pouvoir de décision sont effectivement transmis, ou si du savoir se perd à chaque relève, ce qui révèle la résilience réelle de la gestion de crise. Qui est responsable de la gestion des risques opérationnels selon la FINMA ? La direction générale est responsable de la mise en œuvre et de la documentation de la gestion des risques opérationnels, y compris du plan de continuité d’activité. Le conseil d’administration approuve et supervise régulièrement cette gestion. La question de savoir qui coordonne concrètement le passage de relais entre les équipes de la cellule de crise lors d’un événement réel n’est toutefois pas encore clarifiée formellement par cette répartition. Qu’exige la norme ISO/IEC 27031 en complément des tests de reprise ? La norme ISO/IEC 27031 exige que les tests et les exercices ne se limitent pas au rétablissement des services TIC. Ils devraient également couvrir la protection des actifs contre les perturbations et la réduction au minimum de l’impact des dommages, afin que ce ne soit pas seulement le délai de reprise technique qui soit testé, mais aussi la capacité d’action réelle de l’organisation. Sources 1. [Circulaire FINMA 2023/1 sur les risques et la résilience opérationnels](https://www.finma.ch/en/news/2022/12/20221213-mm-anh-rs-op-risks/)FINMA 2. [Principles for Operational Resilience](https://www.bis.org/press/p210331a.htm)Bank for International Settlements (BIS) ## Questions fréquentes ### Que exige la circulaire FINMA 2023/1 pour le plan de continuité d'activité ? Elle impose aux banques de tenir un plan de continuité d'activité documenté, comprenant un volet de reprise après sinistre, réexaminé au moins une fois par an. La mise en œuvre est évaluée régulièrement par des tests tels que des exercices sur table, sur des scénarios graves mais plausibles. ### Pourquoi un plan de continuité d'activité testé ne suffit-il pas ? Dans la pratique, les tests confirment souvent seulement que le plan existe et qu'il est à jour, et non que l'organisation peut l'exécuter sous pression. L'attention se porte généralement sur la rédaction du plan plutôt que sur sa concrétisation. ### Où le passage de relais entre plan de continuité et gestion de crise échoue-t-il ? Il échoue aux changements d'équipe et aux transmissions de rôles au sein de la cellule de crise, qui deviennent inévitables dans les situations qui se prolongent. C'est là que l'on voit si responsabilités, connaissance de la situation et pouvoir de décision sont réellement transmis. ### Comment tester le passage de relais dans la cellule de crise ? Lors du prochain exercice, un changement d'équipe ou une transmission de rôle est simulé, et l'on documente qui reprend la responsabilité et à quel moment. Lors du réexamen annuel, le responsable attribue à chaque point de transmission un nom et un élément déclencheur. ### Quand la circulaire FINMA 2023/1 est-elle entrée en vigueur ? Elle est entrée en vigueur le 1er janvier 2024 et remplace les recommandations de l'Association suisse des banquiers sur la gestion de la continuité d'activité en tant que norme minimale. Des délais transitoires échelonnés pouvant aller jusqu'à deux ans s'appliquent.