ARCHIVÉ - Guide pour la continuité des opérations en regard du problème de l'an 2000

Cette page a été archivée.

1.0 Introduction

1.1 Pourquoi mettre l'accent sur la continuité des opérations?

Comme pour tous les projets de cette nature, de cette taille et de cette complexité, le projet de l'an 2000 s'accompagne d'une bonne dose d'incertitudes et d'imprévus attribuables à l'environnement en perpétuelle évolution dans lequel nous vivons, ainsi que d'événements indésirables découlant des activités correctives réalisées par les ministères. La plupart des gens s'accordent pour dire que, dans les circonstances, une gestion du risque continue profiterait aux ministères. En effet, quel ministère ne voudrait pas cerner les problèmes éventuels assez tôt pour avoir le temps de s'y attaquer et ainsi contribuer au succès des initiatives qu'il a entreprises pour contrer le problème de l'an 2000?

Le gouvernement est optimiste quant à sa capacité à résoudre le problème de l'an 2000 avec succès. Mais c'est aux gestionnaires du gouvernement qu'incombe la responsabilité morale, sociale, opérationnelle et légale d'envisager la possibilité de ne pouvoir mener à terme leurs activités de conversion. Les gestionnaires concernés par le problème de l'an 2000 devraient accorder une importance primordiale à la continuité des activités opérationnelles. La planification de mesures d'urgence placera ces gestionnaires dans une situation qui leur permettra de traverser de façon proactive et positive une crise éventuelle provoquée par une interruption des activités relativement au problème de l'an 2000. Un cadre préétabli de contrôle et de communication efficaces, appliqué au moyen de scénarios réalistes, fournira également aux gestionnaires des outils inestimables pour traverser ces crises éventuelles.

C'est pourquoi il est crucial que la continuité des opérations soit une priorité pour tous les ministères.

1.2 Concepts et définitions de la continuité des opérations

Afin de bien situer le processus de la continuité des opérations proposé par ce guide par rapport à d'autres processus similaires appliqués à l'échelle gouvernementale ou nationale, et en comparaison aux activités de conversion qui sont effectuées dans les ministères, nous aimerions communiquer aux lecteurs les concepts fondamentaux de notre processus appuyés de quelques définitions élémentaires. Sur le plan conceptuel, le processus de continuité des opérations du SCT peut être illustré par le schéma de la figure 1 ci-après.

PF = Priorité des fonctions CÉA = Correspondance des éléments

Figure 1 – Schéma du processus de continuité des opérations

Le processus de continuité des opérations commence avec la création d'une structure de gouvernance qui donnera une orientation au processus et qui s'assurera que les décisions sont prises en temps utile. La structure de gouvernance s'étend depuis le niveau du contrôle et de la planification, auquel les ressources sont mobilisées et affectées aux activités de conversion, jusqu'à l'autorité ministérielle (au niveau des ministères), auquel des décisions d'une grande importance sont prises concernant la continuité des opérations. Les deux aspects de l'organisation, soit technique et fonctionnel, sont représentés et leurs propres objectifs s'ajoutent au processus. L'équipe technique vise la conformité à l'an 2000 avant cette échéance, alors que le personnel fonctionnel a pour but d'assurer la continuité des opérations. Ce guide concerne plutôt à l'aspect fonctionnel de l'organisation, mais reconnaît que la réalisation des objectifs du personnel fonctionnel dépend fortement de la capacité du personnel technique d'atteindre les siens. Le côté technique de l'organisation joue donc un rôle important dans l'exécution et le succès du processus de continuité des opérations

Le processus de continuité des opérations couvre les trois étapes identifiées dans le contexte du présent guide.

1. Prévention : Au cours de cette étape, les organisations identifient les risques qui peuvent avoir des répercussions sur la continuité de leurs opérations, évaluent les propriétés importantes des risques et déterminent quelle intervention adopter afin de réduire leur vulnérabilité à l'interruption de leurs opérations.
2. Préparation : L'étape de la préparation vise à établir des plans pour s'attaquer aux risques et à surveiller les progrès des travaux de conversion et du plan de continuité des opérations; et
3. Intervention : Cette étape commence lorsqu'une crise se produit et s'étend jusqu'au rétablissement des opérations de l'organisation.

Le processus de continuité des opérations se divise ensuite en quatre volets, notamment :

1. Gestion du risque : La gestion du risque est un processus continu qui comporte des méthodes et des outils pour identifier, analyser, planifier, suivre et contrôler des événements indésirables possibles qui pourraient avoir des répercussions négatives sur les objectifs de l'organisation. Il est important de noter que bien que l'objectif du processus de continuité soit de prévenir ou de réduire les interruptions de services relatives au problème de l'an 2000, il faut également se pencher sur les risques techniques parce que, souvent, ils constituent la cause fondamentale de ces interruptions. La gestion du risque fournit un contexte structuré favorisant une prise de décisions proactive afin :
   • d'évaluer de façon continue ce qui pourrait tourner mal;
   • de déterminer à quels risques il est important de s'attaquer; et
   • de mettre en œuvre des stratégies visant à atténuer ces risques.
2. Planification de mesures d'urgences : La planification de mesures d'urgence représente le volet du processus de continuité des opérations au cours duquel un ministère tente d'établir avec précision les types de crises qui sont les plus susceptibles de se produire et se prépare à y faire face. Le processus de planification de mesures d'urgence concerne généralement les risques jugés inacceptables ou nécessitant des mesures de réduction importantes. Il a pour objectif d'identifier et d'aborder autant d'incertitudes et de risques que possible pour que les ministères soient en mesure de garder un contrôle sur leurs activités lorsque survient une crise. Le processus englobe entre autres des scénarios de prévention de crises, des plans d'urgence, des plans d'intervention et des plans de reprise des opérations;
3. Intervention d'urgence : L'intervention d'urgence est un ensemble d'activités qui permet d'atténuer les effets d'une situation de crise. Ces activités comprennent la notification, l'évaluation, la planification, l'action et la terminaison. En général, l'intervention d'urgence nécessitera l'application de plans d'urgence afin de stabiliser ou d'atténuer une situation de crise et empêcher qu'elle ne s'aggrave. Elle requiert la participation tant de l'autorité ministérielle que de l'autorité directe ainsi que celle du personnel à l'échelon du contrôle et de la planification (Équipe d'intervention d'urgence) qui est habituellement responsable des actions visant à stabiliser la crise;
4. Reprise des opérations : Généralement, ce volet caractérise les actions amorcées suite à la stabilisation d'une situation de crise. La reprise des opérations demande la participation de l'Équipe de gestion des situations d'urgence, mais les efforts sont axés sur la reprise des opérations et le rétablissement des activités courantes plutôt que sur la crise elle-même.

Ces quatre volets forment un ensemble d'étapes communes qui amènent les organisations à se rendre compte que des pannes causées par le problème de l'an 2000 sont possibles, jusqu' à la reprise des activités après une situation de crise. Le processus intégré du SCT s'inspire de la méthode de gestion du risque continue élaborée par l'Institut de génie logiciel. Par conséquent, bien qu'il semble différent d'un processus de continuité des opérations standard à l'échelon inférieur (au niveau de l'étape), il répond aux exigences du gouvernement, se fonde sur des connaissances solides et cadre parfaitement avec des processus similaires implantés à l'échelle nationale. Ces étapes sont les suivantes :

1. Établir une gouvernance;
2. Identifier;
3. Analyser;
4. Planifier;
5. Suivre; et
6. Contrôler.

1.3 Processus du SCT en six étapes pour la continuité des opérations

Le SCT préconise un processus en six étapes pour assurer la continuité des opérations. Ce processus s'inspire des travaux effectués par l'Institut de génie logiciel sur la gestion du risque continue et incorpore la planification de mesures d'urgence, l'intervention en cas de crise et la reprise des opérations. La figure 2 ci-dessous illustre les composantes fondamentales de ce processus.

• Identify = identifier
• Analyze = analyser
• Plan = planifier
• Track = suivre
• Control = contrôler
• Communicate = communiquer

Figure 2 – Processus intégré pour assurer la continuité des opérations

Description des étapes pour assurer la continuité des opérations :

1. Établir une gouvernance. La première étape de l'implantation d'un processus visant la continuité des opérations consiste à mettre sur pied une structure de gouvernance qui dirigera ce processus, notamment en identifiant et en mobilisant les ressources des ministères, en obtenant l'engagement des membres de la structure de gouvernance et en les invitant à participer activement au processus. Cette structure ne devrait pas être distincte de la structure de gouvernance des projets de l'an 2000 qui existe dans les ministères, mais plutôt y être intégrée;
2. Identifier. Les ministères doivent identifier les risques associés au problème de l'an 2000 qui pourraient avoir des répercussions sur leurs capacités à assurer la continuité des opérations. Ils doivent également déterminer les risques qui échappent à leur contrôle et qui doivent être référés au SCT (questions ayant un impact sur l'ensemble du gouvernement, p. ex., l'infrastructure publique) ou partagés avec leurs partenaires et leurs fournisseurs;
3. Analyser. Les ministères doivent convertir les renseignements sur le risque, recueillis au cours de l'étape « Identifier », en des données favorisant la prise de décisions. En plus de déterminer les propriétés du risque, telles que la probabilité, les répercussions, la source et l'intervention, ils doivent associer ces données aux éléments d'actif et aux fonctions de gestion. Cette analyse permettra aux ministères de comprendre clairement les répercussions possibles du risque sur la continuité des opérations et de prendre les mesures appropriées pour faire face au risque;
4. Planifier. Une fois que les risques ont été identifiés et analysés, les ministères peuvent ensuite affecter des ressources à la gestion des risques identifiés ou à l'élaboration de plans d'urgence pour les fonctions de gestion touchées de façon importante par les risques. Ils devraient aussi préparer des plans pour intervenir en cas de crise et pour assurer la reprise des opérations à la suite d'une crise.
5. Suivre. Afin d'assurer le suivi continu des risques, notamment le risque d'interruption des opérations, les ministères doivent mettre en œuvre les stratégies élaborées à l'étape précédente et surveiller les écarts qui peuvent se créer par rapport à ces plans. Ils doivent également continuer de suivre l'évolution des activités de conversion pour détecter les nouveaux risques possibles.
6. Contrôler. Lorsque un ou plusieurs risques se concrétisent ou que survient une panne due au problème de l'an 2000, les ministères doivent en limiter les répercussions négatives et acheminer toute demande de décision au niveau approprié de la structure de gouvernance. Si les répercussions négatives ne peuvent être enrayées, il faut alors appliquer des plans et des procédures d'urgence à la fonction de gestion qui est touchée. Dans certains cas, une intervention structurée devra être effectuée et des mesures de contrôle implantées. L'étape du contrôle concerne également les activités de reprise des opérations.

Un élément implicite mais extrêmement important sous-tend toute la méthode : la communication de l'information concernant la possibilité de ne pas terminer les activités de conversion et les solutions pour résoudre les problèmes. Pour assurer le succès du processus visant la continuité des opérations, il est essentiel que l'information sur les risques, les plans d'urgence, les plans d'intervention en cas de crise et les plans de reprise des opérations soit communiquée ouvertement et franchement dans les ministères, ainsi qu'entre ceux-ci, leurs partenaires et le SCT.

1.4 Possibilités et obstacles

S'atteler à la tâche, à l'aide de ce guide, sera probablement l'un des plus grands défis qu'auront à relever les organisations qui ne connaissent pas de processus pour assurer la continuité des opérations. Les ministères font parfois preuve d'une certaine inertie face aux nouvelles méthodes. À cela s'ajoutent d'autres obstacles potentiels. Le tableau suivant récapitule certains de ces obstacles et offre des solutions de haut niveau permettant de les aborder.

Tableau 1 : Obstacles et solutions

Obstacles	Solutions
Engagement insuffisant de la part de la haute direction	Utiliser l'argument selon lequel le SCT exige que des plans d'urgence soient élaborés avant le 31 décembre 1998. Mettre en relief les responsabilités juridiques, morales et opérationnelles des gestionnaires pour que la continuité des activités du ministère soit assurée. Faire valoir le caractère proactif du processus.
Financement insuffisant	Présenter le processus comme une démarche de gestion « méthodique » qui doit être intégrée aux activités courantes. Mettre en évidence la nature progressive des besoins en ressources dans le cadre du processus en fonction des renseignements sur le risque et de son évolution, réduisant ainsi les répercussions associées au financement (les fonds sont réaffectés des mesures correctives aux mesures d'urgence lorsque des interruptions se produisent ou sont sur le point de se produire) .
Obstacles organisationnels	Mettre l'accent aussi bien sur les possibilités que sur les risques (p. ex. la capacité d'intégrer de nouveaux services plus tôt). Augmenter le niveau de communication tôt dans le processus. Célébrer les réussites (p. ex., le fait d'être passé à travers des crises imprévues, de prévenir un problème avant qu'il se concrétise).
Manque de connaissances	Engager du personnel temporaire et prendre les mesures nécessaires pour effectuer le transfert de technologie. Prendre des cours de l'Institut de génie logiciel (IGL) parrainés par le SCT.

1.5 Mode d'emploi du guide

Le présent guide est organisé et présenté de façon à faciliter le repérage des exigences du SCT en matière de processus visant la continuité des opérations et à optimiser l'efficacité des personnes qui essaient de satisfaire à ces exigences. Le document, qui met en relief le processus pour la continuité des opérations, comporte huit chapitres, soit l'introduction, six chapitres présentant chacune des étapes et la conclusion. Les procédures nécessaires pour une implantation efficace de ces éléments se trouvent dans les annexes qui se trouvent dans une reliure séparée.

Des références au Continuous Risk Management Guidebook de l'Institut de génie logiciel (IGL) parsèment ce guide, d'une part, parce que le SCT approuve entièrement la méthode de Gestion du risque continue de l'Institut et, d'autre part, parce que nous voulions limiter la taille du guide. Les ministères qui désirent un exemplaire du CRM Guidebook de l'IGL sont priés de communiquer avec David Holmes, au 957-2530. Le logo illustré ci-dessous est placé devant les éléments - activités ou méthodes - provenant ou s'inspirant de ce document.