Catégorie : ISO 22301

QUIZ Le quiz "Exigences de l'ISO 22301 version 2019" vous aidera à assimiler les principales exigences de la norme. Les questions (exigences) de ce quiz sont 161, pas de panique. Les exigences de la norme sont 242 mais ces 161 exigences sont parmi les plus importantes, alors n'hésitez pas à apprendre de façon ludique ! Ne pensez pas que vous pouvez terminer ce quiz en moins d'une heure, voire deux heures, sauf bien sûr si vous êtes un petit génie ! Nouveautés sur la norme cotinuité d'activité ISO 22301 version 2019 Les 242 exigences (doit, doivent, en anglais shall) des articles 4 à 10 sont réparties comme suit: Exigences ISO 22301 version 2019 N°Articlecycle PDCAExigences N°Nombre4ContextePlanifier1 ÷ 16165LeadershipPlanifier17 ÷ 34186PlanificationPlanifier35 ÷ 59257SupportPlanifier, Dérouler60 ÷ 85268RéalisationDérouler86 ÷ 1901059PerformanceComparer191 ÷ 2283810AméliorationAgir229 ÷ 24214Total242 Les exigences dans les articles et paragraphes de la norme ISO 22301 Le cycle PDCA de Deming Remarque. Toute exigence normalement commence par "L'organisation doit ...". Pour simplifier nous présentons les exigences directement en commençant avec le verbe. ISO 22301 - Exigences et commentairesN°ParagrapheExigenceCycle PDCA, liens, commentaires4ContextePlanifier4.1L'entreprise et son contexte14.1Déterminer les enjeux externes et internesComprendre tout ce qui peut influer sur la finalité (la mission) de l'entreprise et sa capacité à obtenir les résultats attendus du SMCA. Cf. paragraphe 6.1 4.2Parties prenantes4.2.1Généralités24.2.1 aDéterminer les parties prenantesQui peuvent influer sur le SMCA de l'entreprise34.2.1 bDéterminer les exigences des parties prenantesBesoins et désirs explicites ou implicites4.2.2Exigences légales et réglementaires44.2.2 aAppliquer un processus afin d'identifier les exigences légales et réglementaires Concernant la continuité d'activité de l'entreprise54.2.2 bS'assurer que les exigences légales ou autres sont prises en compteBesoins et attentes relatives aux exigences et obligations de continuité d'activité64.2.2 cDocumenter ces informationsEt les tenir à jour, cf. paragraphe 7.5.1 4.3Domaine d'application 4.3.1Généralités74.3.1Déterminer le domaine d'application du SMCALimites (administratives) et applicabilité8 4.3.1 aPrendre en compte les enjeux externes et internes"Identifier les dangers c'est diminuer les risques". Cf. paragraphe 4.19 4.3.1 bPrendre en compte les exigences des parties prenantesEt les exigences légales et autres. Cf. paragraphe 4.2104.3.1 cPrendre en compte la mission, les butsEt les obligations internes et externes de l'entreprise114.3.1 Rendre le domaine d'application disponibleSous forme de document, cf. paragraphe 7.5.1 4.3.2Domaine d'application du SMCA12 4.3.2 aDéterminer les parties de l'entreprise à inclure dans le SMCAEn considérant leur emplacement, taille, nature et complexité134.3.2 bIdentifier les produits et servicesQui seront inclus dans le SMCA144.3.2Documenter et justifier les exclusionsConserver un enregistrement, cf. paragraphe 7.5.1154.3.2Ne pas affecter l'aptitude et la responsabilité de l'entreprise à assurer la continuité d'activitéComme déterminé par le bilan d'impact sur l'activité ou l'appréciation du risque et par les exigences légales applicables4.4Système de management de la continuité d'activité16 4.4Établir, appliquer, tenir à jour et améliorer en continu le SMCAY compris les processus nécessaires et leurs interactions. "Si vous ne pouvez pas décrire ce que vous faites en tant que processus, vous ne savez pas ce que vous faites". Edwards DemingProcessus spécifiques (* obligatoire) : identifier les exigences légales (paragraphe 4.2.2) *analyser le bilan d'impact (paragraphe 8.2.1) *apprécier le risque (paragraphe 8.2.3) *restaurer les activités (paragraphe 8.4.5) *auditer en interne (paragraphe 9.2.2) *5LeadershipPlanifier5.1Leadership et engagement175.1 aS'assurer que la politique et les objectifs de continuité d'activité sont établis"Un escalier se balaie en commençant par le haut. Proverbe roumain." S'assurer de la compatibilité avec l'orientation stratégique. La direction fait preuve de leadership. Affirmer l'engagement de la direction en faveur du SMCA185.1 bS'assurer que les exigences du SMCA sont intégrés aux processus métierFaire preuve de leadership195.1 cS'assurer que les ressources nécessaires au SMCA sont disponiblesRessources pour établir, appliquer, tenir à jour et améliorer le SMCA. Cf. paragraphe 4.4205.1 dCommuniquer sur l'importance d'un SMCA efficaceEt se conformer aux exigences du SMCA215.1 eS'assurer que le SMCA atteint les résultats attendusEngagement, réactivité et soutien actif de la direction225.1 fOrienter et soutenir le personnelAfin qu'il contribue à la performance du SMCA235.1 gPromouvoir l'amélioration continue"Les employés d'abord, les clients ensuite. Vineet Nayar." Faire preuve de leadership. Cf. article 10245.1 hAider les personnes concernées à faire preuve de leadershipQuand cela est nécessaire à leur domaine de responsabilité5.2Politique 5.2.1Etablissement de la politique 255.2.1 aÉtablir la politique de continuité d'activitéQui est appropriée à la mission de l'entreprise265.2.1 bFournir un cadreAfin d'établir les objectifs de continuité d'activité, cf. paragraphe 6.2.1275.2.1 cS'engager à satisfaire aux exigencesApplicables, cf. 4.2.2285.2.1 dS'engager à améliorer en continu le SMCACf. article 105.2.2Politique 295.2.2 aRendre disponible la politique de continuité d'activitéSous forme de document, cf. paragraphe 7.5.1305.2.2 bCommuniquer la politiqueEn interne315.2.2 cRendre disponible la politique aux parties prenantesCf. paragraphe 4.25.3Rôles, responsabilités et autorités325.3S'assurer que les responsabilité et autorités du SMCA sont attribuées Et communiquées à tous les niveaux de l'entreprise. "La responsabilité ne peut pas être partagée. Robert Heinlein". Cf. paragraphe 7.5.1335.3 aS'assurer que le SMCA respecte les exigences de la norme ISO 22301Exigences des articles 4 à 10345.3 bPrésenter des rapports sur la performance du SMCA à la directionDe manière régulière, cf. paragraphe 7.5.16PlanificationPlanifier6.1Actions face aux risques6.1.1Détermination des risques356.1.1Déterminer les risques et opportunitésLa gestion des risques est basée sur la norme ISO 31000 (cf la formation F 51). Afin de s'assurer que le SMCA peut atteindre les résultats prévus. Cf. le paragraphe 4.1 pour les enjeux et le paragraphe 4.2 pour les exigences. Un état des lieux est toujours utile avant la planification. "Toute décision comporte un risque. Peter Barge"366.1.1 aS'assurer que le SMCA peut atteindre les résultats escomptésAfin de faire face aux risques37 6.1.1 bLimiter les effets indésirables Afin de faire face aux risques386.1.1 cObtenir une démarche d'amélioration continueCf. paragraphe 10.26.1.2 Gestion des risques396.1.2 aPlanifier les actions à mener face aux risquesEt opportunités, cf. paragraphe 8.2406.1.2 b 1Planifier la manière d'intégrer ces actionsDans les processus du SMCA, cf. paragraphe 8.1416.1.2 b 2Planifier la manière d'évaluer l'efficacité de ces actionsCf. paragraphe 9.16.2Objectifs de continuité d'activité 6.2.1Etablissement des objectifs426.2.1Établir les objectifs de continuité d'activitéPour toutes les fonctions et niveaux dans l'entreprise436.2.1 aDéterminer des objectifs de continuité d'activitéCohérents avec la politique de l'entreprise, cf. paragraphe 5.2446.2.1 bDéterminer des objectifs de continuité d'activitéMesurables, si possible456.2.1 cDéterminer des objectifs de continuité d'activitéEn tenant compte des exigences applicables, cf. paragraphes 4.1 et 4.2466.2.1 dDéterminer des objectifs de continuité d'activitéEt les surveiller, cf. paragraphe 9.1 476.2.1 eDéterminer des objectifs de continuité d'activitéEt les communiquer, cf. paragraphe 7.4486.2.1 fDéterminer des objectifs de continuité d'activitéEt les mettre à jour régulièrement496.2.1Conserver les objectifs de continuité d'activitéCf. paragraphe 7.5 6.2.2Détermination des objectifs506.2.2 aDéterminer lors de la planification des objectifs de continuité d'activitéCe qui sera fait516.2.2 bDéterminer lors de la planification des objectifs de continuité d'activitéLes ressources nécessaires526.2.2 cDéterminer lors de la planification des objectifs de continuité d'activitéLe responsable536.2.2 dDéterminer lors de la planification des objectifs de continuité d'activitéLes échéances546.2.2 eDéterminer lors de la planification des objectifs de continuité d'activitéComment les résultats seront évalués 6.3Planification des changements556.3Planifier les changements du SMCAAvant de les appliquer, y compris les changements de l'article 10566.3 aPrendre en compteL'objet des changement et les conséquences potentielles576.3 bPrendre en compteL'intégrité du SMCA586.3 cPrendre en compteLes ressources disponibles596.3 dPrendre en compteLes respnsabilité et autorités attribuées7SupportPlanifier, Dérouler7.1Ressources607.1Identifier et fournir les ressources nécessairesAfin d'établir, appliquer, tenir à jour et améliorer le SMCA7.2Compétence61 7.2 aDéterminer les compétences nécessaires des personnes concernéesLes personnes concernées peuvent influer sur les performances de la continuité d'activité627.2 bS'assurer que ces personnes sont compétentesSur la base d'une formation initiale et professionnelle et de l'expérience637.2 cMener des actions pour acquérir et tenir à jour les compétences nécessairesEt évaluer l'efficacité de ces actions. Les actions incluent la formation, mais aussi l'encadrement, la réaffectation et le recrutement de personnes compétentes647.2 dConserver les compétencesSous forme d'enregistrements, cf. paragraphe 7.5.17.3Sensibilisation657.3 aSensibiliser le personnel à la politique et objectifs de continuité d'activitéCf. paragraphes 5.2, 6.2 et 7.5.1667.3 bSensibiliser le personnel à l'importance de leur contribution à l'efficacité du SMCAEt des effets bénéfiques de la performance améliorée du SMCA677.3 cSensibiliser le personnel aux répercussions et aux conséquences du non-respect des exigences du SMCANe pas oublier les conséquences potentielles sur toutes les activités professionnelles687.3 dSensibiliser le personnel à leur rôle et responsabilitéAvant, durant et après une perturbation7.4 Communication 697.4 aDéterminer les besoins de communication interne et externeY compris sur quels sujets, cf. paragraphe 7.5.1707.4 bDéterminer les besoins de communication interne et externeY compris quand communiquer717.4 cDéterminer les besoins de communication interne et externeY compris avec qui communiquer727.4 dDéterminer les besoins de communication interne et externeY compris comment communiquer737.4 eDéterminer les besoins de communication interne et externeY compris celui qui communiquera7.5Documentation 7.5.1Généralités747.5.1 aInclure dans le SMCA les documents (informations documentées) exigés par l'ISO 22301Procédures (documentées), * oobligatoires : exigences légales (paragraphe 4.2.2) gestion documentaire (paragraphe 7.5)sauvegarde (paragraphe 8.1)continuité d'activité (paragraphe 8.4.1) *réponse aux perturbations (paragraphe 8.4.2)avertissement et communication (paragraphe 8.4.3) *plan de continuité d'activité (paragraphe 8.4.4) *exercice et test (paragraphe 8.5)audit interne (paragraphe 9.2.2)actions correctives (paragraphe 10.1.3)Politique, * obligatoire :continuité d'activité (paragraphe 5.2) *Enregistrements, * obligatoire : contexte de l'entreprise (paragraphe 4.1) liste des exigences légales (paragraphe 4.2.2) *domaine d'application (paragraphe 4.3.1) *responsabilités et autorités (paragraphe 5.3)objectifs de continuité d'activité (paragraphe 6.2.1) *plan pour atteindre les objectifs (paragraphe 6.2.2)compétences (paragraphe 7.2) *programme de formation (paragraphe 7.3)plan de communication (paragraphe 7.4)liste des documents d'origine externe (paragraphe 7.5.3.2)maîtrise opérationnelle (paragraphe 8.1)changements (paragraphe 8.1)processus externalisés (paragraphe 8.1)bilan d'impact (paragraphe 8.2.2)traitement du risque (paragraphe 8.2.3)stratégies et solutions (paragraphe 8.3.3) communication sur les risques (paragraphe 8.4.3) *perturbations, actions et décisions (paragraphe 8.4.3.1) *plans de continuité d'activité (paragraphe 8.4.4) *programme d'exercices (paragraphe 8.5)scénarios d'incidents (paragraphe 8.5)résultats d'exercices (paragraphe 8.5)revue des capacités de continuité d'activité (paragraphe 8.6)évaluation de la performance (paragraphe 9.1) *méthodes de surveillance, mesure, analyse et évaluation (paragraphe 9.1)plan de maintenance du SMCA (paragraphe 9.1)audit interne, programme, rapport (paragraphe 9.2.2) *revue de direction, résultats (paragraphe 9.3.3.2) *non-conformités et actions correctives (paragraphe 10.1.3) *rapport d'amélioration (paragraphe 10.2)757.5.1 bInclure les documents jugés nécessaires à l'efficacité du SMCACes documents sont spécifiques par rapport à la taille de l'entreprise, au domaine d'activité, à la complexité des processus et leurs interactions, à la compétence du personnel7.5.2Création et mise à jour767.5.2 aIdentifier et décrire les documents de façon appropriéeLors de leur création et mise à jour. Comme titre, auteur, date, codification777.5.2 bS'assurer que le format et le support des documents sont appropriésExemples de formats : langue, version du logiciel et des graphiques. Exemples de supports : papier, électronique787.5.2 cPasser en revue et valider les documents de façon appropriéeAfin de vérifier leur pertinence et adéquation7.5.3Maîtrise des documents 797.5.3.1 aRendre les documents disponibles et propres à être utilisésQuand nécessaire et à l'endroit voulu. Selon les exigences du SMCA et de la norme ISO 22301807.5.3.1 bProtéger convenablement les documentsComme perte de confidentialité, utilisation inappropriée ou perte d'intégrité817.5.3.2 aAppliquer des activités de distribution, d'accès, de récupération et d'utilisationAfin de maîtriser les documents827.5.3.2 bAppliquer des activités de stockage et de protectionY compris la préservation de la lisibilité des documents837.5.3.2 cAppliquer des activités de maîtrise des changementsComme la maîtrise des versions847.5.3.2 dAppliquer des activités de conservation et d'éliminationEn déterminant pour chaque document la durée de conservation et la manière d'élimination857.5.3.2Identifier et maîtriser les documents d'origine externeListe des documents jugés nécessaires à la planification et au fonctionnement du SMCA, cf. paragraphe 7.5.18RéalisationDérouler8.1 Planification et maîtrise868.1 aPlanifier, appliquer, maîtriser et tenir à jour des processus nécessaires afin de respecter les exigences du SMCAEn établissant des critères pour ces processus et en réalisant des actions déterminées dans le paragraphe 6.1878.1 bPlanifier, appliquer, maîtriser et tenir à jour des processus nécessaires afin de respecter les exigences du SMCAEn appliquant la maîtrise des processus conformément aux critères888.1 cConserver les documents sur les processus nécessairesAfin de s'assurer que les processus sont réalisés comme prévu. Cf. paragraphe 7.5.1898.1Maîtriser les changements prévus et analyser ceux qui sont imprévusEn menant des actions pour limiter tout impact négatif. Cf. paragraphe 7.5.1908.1S'assurer que les processus externalisés sont maîtrisés et pertinentsY compris la chaîne d'approvisionnement8.2Bilan d'impact des risques8.2.1Généralités918.2.1 aAppliquer des processus systématiquesConcernant le bilan d'impact sur l'activité et l'appréciation des risques de perturbation, cf le paragraphe 6.3928.2.1 bPasser en revue le bilan d'impact sur l'activité et l'appréciation du risqueA des intervalles planifiés et suite à des changements significatifs dans l'entreprise ou son contexte8.2.2Bilan d'impact sur l'activité938.2.2Utiliser le processus de bilan d'impact sur l'activitéAfin de déterminer les priorités et les exigences de continuité d'activité948.2.2 aDéfinir les types d'impactsEt les critères pertinents958.2.2 bIdentifier les activitésLiés avec la livraison des produits et la fourniture des services968.2.2 cUtiliser les types et critères d'impact afin d'apprécier les impacts dans le tempsDurant la perturbation de ces activités978.2.2 dIdentifier la durée au-dela de laquelle les impacts d'une non-reprise des activités poserait problèmeEt deviendrait inacceptable pour l'entreprise. Cette durée peut être appelée DMTP (durée maximale tolérable de pérturbation)988.2.2 eDéterminer les délais par ordre de prioritéA l'intérieur de la DMTP pour reprendre les activités avec une capacité minimale. Ce délai peut être appelé ODR (objectif de délai de rétablissement998.2.2 fUtiliser ce bilanAfin d'identifier les activités prioritaires1008.2.2 gDéterminer les ressources nécessairesAfin de soutenir les activités prioritaires1018.2.2 hDéterminer les dépendances par rapport aux activités prioritairesY compris les partenaires et fournisseurs8.2.3Appréciation du risque1028.2.3Appliquer un processus d'appréciation du risqueCf. paragraphe 6.1 et la formation F 51v181038.2.3 aIdentifier les risques de perturbationConcernant les activités prioritaires de l'entreprise et les ressources nécessaires1048.2.3 bAnalyser les risques identifiésEt évaluer ces risques1058.2.3 cDéterminer quels risques demandent un traitementActions préventives à mettre en place pour les risques liés aux perturbation des activités métier8.3Stratégies et solutions8.3.1Généralités1068.3.1Identifier et sélectionner les stratégies de continuité d'activitéConformément aux options d'avant, pendant et après une perturbation. Se baser sur le bilan d'impact de l'activité et de l'appréciation du risque, cf. paragraphe 8.21078.3.1Inclure plus d'une solutionPour chaque stratégie de continuité d'activité8.3.2Identification des stratégies et solutions1088.3.2 aPrendre en compte, lors de l'identification, dans quelle mesure les stratégies et solutionsSatisfont aux exigences afin de rétablir, les activités, dans les délais identifiés et au niveau de capacité convenu1098.3.2 bPrendre en compte, lors de l'identification, dans quelle mesure les stratégies et solutionsProtégent les activités prioritaires1108.3.2 cPrendre en compte, lors de l'identification, dans quelle mesure les stratégies et solutionsRéduisent la vraisemblance des perturbations1118.3.2 dPrendre en compte, lors de l'identification, dans quelle mesure les stratégies et solutionsRaccourcissent la prériode de perturbation1128.3.2 ePrendre en compte, lors de l'identification, dans quelle mesure les stratégies et solutionsLimitent les impacts de la perturbation1138.3.2 fPrendre en compte, lors de l'identification, dans quelle mesure les stratégies et solutionsAssurent la disponibilité des ressoures adéquates8.3.3Sélection des stratégies et solutions1148.3.3 aPrendre en compte, lors de la sélection, dans quelle mesure les stratégies et solutionsSatisfont aux exigences afin de rétablir, les activités, dans les délais identifiés et au niveau de capacité convenu1158.3.3 bPrendre en compte, lors de la sélection, dans quelle mesure les stratégies et solutionsPrennent en compte la quantité et le type de risque que l'entreprise peut prendre1168.3.3 cPrendre en compte, lors de la sélection, dans quelle mesure les stratégies et solutionsPrennent en compte les coûts et bénéfices associés8.3.4Exigences de ressources1178.3.4Déterminer les exigences de ressourcesAfin de mettre en place les solutions de continuité d'activité sélectionnées1188.3.4 aInclure dans les types de ressources considérésLes personnes1198.3.4 bInclure dans les types de ressources considérésLes informations et données1208.3.4 cInclure dans les types de ressources considérésL'infrastructure comme bâtiments, lieux de travail, installations et utilités 1218.3.4 dInclure dans les types de ressources considérésLes équipements et les consommables1228.3.4 eInclure dans les types de ressources considérésLes systèmes informatiques (technologies de l'information et de la communication)1238.3.4 fInclure dans les types de ressources considérésLe transport et la logistique1248.3.4 gInclure dans les types de ressources considérésLe financement1258.3.4 hInclure dans les types de ressources considérésLes partenaires et les fournisseurs 8.3.5Mise en place des solutions1268.3.5Mettre en place et maintenir les solutions de continuité d'activité sélectionnéesAfin d'être disponibles au moment opportun 8.4Plans et procédures de continuité d'activité 8.4.1Généralités1278.4.1Appliquer une structure de réponseAfin de permettre d'avertir les parties prenantes pertinentes et de communiquer avec elles1288.4.1Fournir des plans et procéduresAfin de gérer l'entreprise durant une perturbation. Les procédures font partie du plan de continuité d'activité (PCA)1298.4.1Utiliser les plans et procédures à tempsAfin d'activer les solutions de continuité d'activité1308.4.1Identifier et documenter les plans et procédures de continuité d'activitéEn se basant sur les résultats des stratégies et solutions retenues, cf. paragraphe 7.51318.4.1 aUtiliser des procédures précisesConcernant les mesures immédiates lors d'une perturbation1328.4.1 bUtiliser des procédures souples Afin de répondre aux changements de conditions d'une perturbation1338.4.1 cSe concentrer sur l'impact d'incidentsMenant potentiellement à une perturbation1348.4.1 dUtiliser des procédures efficacesAfin de réduire l'impact des solutions appliquées1358.4.1 eAttribuer les rôles et responsabilitésPour les tâches concernées 8.4.2Structure de réponse1368.4.2.1Mettre en place et maintenir une structure identifiant une ou plusieurs équipesResponsables de répondre aux perturbations1378.4.2.2Etablir clairement les rôles et responsabilités de chaque équipeY compris les relations entre les équipes1388.4.2.3 aDésigner des équipes collectivement compétentesAfin d'apprécier la nature et l'étendue d'une perturbation et son impact potentiel1398.4.2.3 bDésigner des équipes collectivement compétentesAfin d'apprécier l'impact par rapport aux seuils prédéfinis et lancer une réponse formelle1408.4.2.3 cDésigner des équipes collectivement compétentesAfin d'activer une réponse appropriée pour la continuité d'activité1418.4.2.3 dDésigner des équipes collectivement compétentesAfin de planifier les actions à entreprendre1428.4.2.3 eDésigner des équipes collectivement compétentesAfin d'établir les priorités (la première étant la vie humaine)1438.4.2.3 fDésigner des équipes collectivement compétentesAfin de surveiller les effets de la perturbation et la réponse de l'entreprise1448.4.2.3 gDésigner des équipes collectivement compétentesAfin d'activer les solutions de continuité d'activité1458.4.2.3 hDésigner des équipes collectivement compétentesAfin de communiquer avec les parties prenantes, les autorités et les médias1468.4.2.4 aAvoir dans chaque équipeUn personnel identifié, avec la responsabilité, l'autorité et la compétence nécessaires1478.4.2.4 bAvoir dans chaque équipeDes procédures documentées pour guider les actions, cf. 8.4.4 8.4.3Avertissement et communication1488.4.3.1 aDocumenter et maintenir des procédures Afin de communiquer avec les parties prenantes, cf. paragraphe 7.41498.4.3.1 bDocumenter et maintenir des procéduresAfin de gérer la réception, la documentation et la réponse concernant les parties prenantes comme un système de conseil national1508.4.3.1 cDocumenter et maintenir des procéduresAfin d'assurer la disponibilité des moyens de communication durant une perturbation1518.4.3.1 dDocumenter et maintenir des procéduresAfin de fournir après un incident, une stratégie de communication avec les médias1528.4.3.1 eDocumenter et maintenir des procéduresAfin d'enregistrer les informations de la perturbation, des décisions prises et des actions menées1538.4.3.1 fDocumenter et maintenir des procéduresAfin d'être disponibles au moment opportun1548.4.3.2 aAlerter les parties prenantes potentiellement impactéesPar une perturbation réelle ou imminente1558.4.3.2 bAssurer une coordination et communicationEntre les différents organismes concernés1568.4.3.2Réaliser des exercices des procédures d'avertissement et de communicationCf. paragraphe 8.5 8.4.4Plans de continuité d'activité1578.4.4.1Documenter et maintenir des plans et procédures de continuité d'activitéAfin d'être disponibles au moment opportun1588.4.4.1Fournir des recommandations et des informations dans les plans de continuité d'activité (PCA)Afin d'aider les équipes à répondre à une perturbation et aider l'entreprise à se rétablir1598.4.4.2 a 1Inclure dans les plans de continuité d'activité les détails des actions à menerAfin de continuer ou rétablir les activités prioritaires dans les délais déterminés1608.4.4.2 a 2Inclure dans les plans de continuité d'activité les détails des actions à menerAfin de surveiller l'impact de la perturbation et la réponse apportée1618.4.4.2 bInclure dans les plans de continuité d'activitéLa référence aux seuils prédéfinis et aux processus de réponse1628.4.4.2 cInclure dans les plans de continuité d'activitéLes procédures des livraison des produits et fourniture de services au niveau de capacité convenu1638.4.4.2 d 1Inclure dans les plans de continuité d'activitéLes détails de gestion des conséquences immédiates d'une perturbation en tenant compte du bien-être du personnel1648.4.4.2 d 2Inclure dans les plans de continuité d'activitéLes détails de gestion des conséquences immédiates d'une perturbation en tenant compte de la prévention d'une perte d'activités prioritaires1658.4.4.2 d 3Inclure dans les plans de continuité d'activitéLes détails de gestion des conséquences immédiates d'une perturbation en tenant compte dee l'impact environnemental 1668.4.4.3 aInclure dans chaque PCALe but, le domaine d'application et les objectifs1678.4.4.3 bInclure dans chaque PCALes rôles et responsabilités des membres de l'équipe qui appliquera le plan1688.4.4.3 cInclure dans chaque PCALes actions pour appliquer les solutions1698.4.4.3 dInclure dans chaque PCALes informations de support nécessaires pour activer, coordonnet et communiquer les actions du plan1708.4.4.3 eInclure dans chaque PCALes interdépendances internes et externes1718.4.4.3 fInclure dans chaque PCALes exigences concernant les ressources1728.4.4.3 gInclure dans chaque PCALes exigences concernant le rapport1738.4.4.3 hInclure dans chaque PCALe processus de sortie1748.4.4.3Rendre disponible chaque planAu moment opportun et à la place requise 8.4.5Rétablissement1758.4.5Disposer de processus documentésAfin de restaurer et revenir aux activités métier après une perturbation 8.5Programme d'exercices1768.5Mettre en place et maintenir un programme d'exercices et de testsAfin de valider l'efficacité des stratégies et solutions de continuité d'activité1778.5 aMener des exercices et des testsCohérents avec les objectifs de continuité d'activité, cf. paragraphe 6.21788.5 bMener des exercices et des testsBasés sur des scénarios planifiés avec des buts et objectifs définis1798.5 cMener des exercices et des testsQui développent le travail d'équipe, les compétences, la confiance et les connaissances des membres de l'équipe1808.5 dMener des exercices et des testsQui valident au fil du temps les stratégies et solutions de continuité1818.5 eMener des exercices et des testsQui permettent d'établir des rapports post-exercices contenant les actions d'amélioration, cf. paragraphe 10.21828.5 fMener des exercices et des testsAfin de les passer en revue dans une démarche d'amélioration continue, cf. paragraphe 10.21838.5 gMener des exercices et des testsA des intervalles planifiés et lors de changements significatifs de l'entreprise ou du contexte1848.5Agir en fonction des résultats des exercices et testsAfin de mettre en place des changements et améliorations, cf. paragraphe 10.2 8.6Evaluation de la documentation et des capacités1858.6 aEvaluer l'adaptation, l'adéquation et l'efficacité de l'entrepriseConcernant l'impact sur l'activité, l'appréciation des risques, les stratégies, les solutions, les plans et procédures, cf. paragraphes 8.2, 8.3 et 8.41868.6 bRéaliser les évaluationsAu moyen de revues, d'anlyses, d'exercices, de tests, de rapports post-incident et de mesures d'efficacité1878.6 cSoumettre à une évaluation des capacités de continuité d'activitéLes partenaires et fournisseurs significatifs1888.6 dEvaluer la conformité au exigences légales et autresAux meilleures pratiques et à la politique et objectifs de continuité d'activité de l'entreprise1898.6 eMettre à jour la documentationAu moment opportun1908.6Réaliser les évaluations à des intervalles planifiésAprès un incident, un exercice ou un changement significatif dans l'entreprise 9PerformanceComparer9.1Inspection1919.1 aDéterminer ce qu'il est nécessaire d'inspecter (surveiller et mesurer)Y compris les processus et les PCA1929.1 bDéterminer les méthodes d'inspectionY compris l'analyse et l'évaluation afin d'assurer la validité des résultats. Tout résultat valable est comparable et reproductible1939.1 cDéterminer le moment d'inspectionEt la personne responsable de l'inspection. Y compris les points où la surveillance et la mesure sont réalisées1949.1 dDéterminer quand et par qui les résultats de l'inspection sont analysésEt évalués1959.1Conserver les résultats de l'inspectionComme preuves, cf. paragraphe 7.5.11969.1Evaluer la performance du SMCAY compris l'efficacité du SMCA9.2Audit interne9.2.1Généralités1979.2.1 a 1Conduire des audits internes à des intervalles planifiés afin de vérifier si le SMCA respecte les exigences de l'entrepriseY compris à la politique et les objectifs, cf. paragraphes 5.2 et 6.21989.2.1 a 2Conduire des audits internes à des intervalles planifiés afin de vérifier si le SMCA respecte les exigences de la norme ISO 22301Exigences dans les articles 4 à 10 de la norme1999.2.1 b Conduire des audits internes à des intervalles planifiés afin de vérifier si le SMCA est appliqué efficacementCf. la revue de direction, paragraphe 9.39.2.2Programme d'audit2009.2.2 aPlanifier, établir, appliquer et tenir à jour le programme d'auditIncluant la fréquence, les méthodes, les responsabilités, les exigences de planification et de rapport. Suivre les recommandation de l'ISO 190112019.2.2 aTenir compte dans le programme d'audit de l'importance des processusEt des résultats des audits précédents2029.2.2 bDéfinir les critères d'auditEt le périmètre de chaque audit2039.2.2 cSélectionner les auditeursAfin de conduire des audits objectifs et impartiaux2049.2.2 dS'assurer que les résultats des audits sont communiquésA la direction concernée2059.2.2 eConserver les documents sur l'application du programme d'auditEt les résultats d'audit, cf. paragraphe 7.5.12069.2.2 fS'assurer que les actions correctives sont entreprises au moment opportunAfin d'éliminer les non-conformités et leurs causes premières, cf. paragraphe 10.12079.2.2 gS'assurer que le suivi des actions correctives inclut la vérification de leur efficacitéEt les résultats de la vérification sont enregistrés, cf. paragraphe 7.5.19.3Revue de direction9.3.1Généralités2089.3.1Passer en revue le SMCA à des intervalles planifiésAfin de s'assurer que le SMCA est toujours approprié, adéquat et efficace. "Aucun système n'est parfait"9.3.2Eléments d'entrée2099.3.2 aPrendre en considération l'avancement des actions décidées au cours de la revue de direction précédenteUtiliser le dernier rapport de la revue de direction2109.3.2 bPrendre en considération les changements des enjeux du SMCACf. paragraphe 4.12119.3.2 c 1Prendre en considération les informations sur la performance du SMCA et les tendancesConcernant les non-conformités et actions correctives, cf. paragraphe 10.12129.3.2 c 2Prendre en considération les informations sur la performance du SMCA et les tendancesConcernant les résultats de l'évaluation de l'inspection, cf. paragraphe 9.12139.3.2 c 3Prendre en considération les informations sur la performance du SMCA et les tendancesConcernant les résultats des audits, cf. paragraphe 9.2 2149.3.2 dPrendre en considération les retours d'information des parties prenantesCf. paragraphe 4.22159.3.2 ePrendre en considération le besoin de changer le SMCAY compris la politique et les objectifs, cf. paragraphes 5.2 et 6.2 2169.3.2 fPrendre en considération les procédures et ressourcesQui pourraient être utilisées pour améliorer le SMCA, cf. paragraphe 10.22179.3.2 gPrendre en considération les résultats du bilan d'impact et l'appréciation du risqueCf. paragraphe 8.22189.3.2 hPrendre en considération les résultats de l'évaluation de la documentation et des capacités de continuité d'activitéCf. paragraphe 8.62199.3.2 iPrendre en considération les risques et enjeux non traités de manière appropriéeLors d'une précédente appréciation du risque2209.3.2 jPrendre en considération les leçons tirées et les actions entreprisesDécoulant d'incidents évités de justesse et de perturbations2219.3.2 kPrendre en considération les opportunités d'amélioration continueCf. paragraphe 10.29.3.3Eléments de sortie2229.3.3.1 aInclure dans les résultats de la revue de direction les décisions d'amélioration continue et les éventuels changements du SMCAY compris les variations de son domaine d'application, cf. paragraphe 10.22239.3.3.1 bInclure dans les résultats de la revue de direction les décisions d'amélioration continue et les éventuels changements du SMCAY compris la mise à jour du bilan d'impact sur l'activité, l'appréciation du risque, les stratégies et solutions et les plans de continuité d'activité, cf. paragraphes 8.2, 8.3 et 8.42249.3.3.1 cInclure dans les résultats de la revue de direction les décisions d'amélioration continue et les éventuels changements du SMCAY compris les changements de procédures et les moyens de maîtrise pour répondre aux enjeux internes et externes2259.3.3.1 dInclure dans les résultats de la revue de direction les décisions d'amélioration continue et les éventuels changements du SMCAY compris la manière dont l'efficacité des moyens de maîtrise sera mesurée2269.3.3.2Conserver les documents des revues de directionComme preuve des résultats, cf. paragraphe 7.5.12279.3.3.1 aCommuniquer les résultats de la revue de directionAux parties prenantes2289.3.3.1 bEntreprendre les actions appropriéesEn fonction des résultats de la revue de direction10AméliorationAgir10.1Non-conformité et actions correctives22910.1.1Déterminer les opportunités d'améliorationEt appliquer les actions afin d'atteindre les résultats attendus du SMCA23010.1.2 a 1Réagir à la non-conformité en agissant sur elleAfin de la maîtriser et la corriger23110.1.2 a 2Réagir à la non-conformité en faisant face aux conséquencesPouvant influer sur l'efficacité du SMCA23210.1.2 b 1Evaluer le besoin d'agir afin d'éliminer les causes premièresEn passant en revue la non-conformité23310.1.2 b 2Evaluer le besoin d'agir afin d'éliminer les causes premièresEn déterminant les causes premières23410.1.2 b 3Evaluer le besoin d'agir afin d'éliminer les causes premièresEn déterminant si des non-conformités similaires existent ou pourraient se produire23510.1.2 cAppliquer toute action nécessaireDe sorte que la non-conformité ne se reproduise pas23610.1.2 dPasser en revue toute action corrective entrepriseAfin de vérifier l'efficacité de l'action23710.1.2 eApporter des changements au SMCAQuand cela est nécessaire23810.1.2Entreprendre des actions correctivesProportionnelles aux impacts des non-conformités23910.1.3 aConserver les enregistrementsSur la nature des non-conformités et des actions entreprises, cf. paragraphe 7.5.124010.1.3 bConserver les enregistrementsSur l'efficacité des actions entreprises, cf. paragraphe 7.5.110.2 Amélioration continue et actions correctives24110.2Améliorer en continu l'adaptation, l'adéquation et l'efficacité du SMCAEn se basant sur des données qualitatives et quantitatives24210.2Prendre en compte les résultats de l'analyse et de l'évaluation et les décisions de la revue de directionAfin de déterminer s'il existe des besoins ou des opportunités d'amélioration, cf. paragraphes 5.1, 6.1, 8.2, 9.1 et 9.3

Catégorie : ISO 22301

EXIGENCES DE LA NORME ISO 22301 CONTINUITÉ D’ACTIVITÉ VERSION 2019

NOUVEAUTÉS SUR LA NORME ISO 22301 VERSION 2019 : SYSTÈMES DE MANAGEMENT DE LA CONTINUITÉ D’ACTIVITÉS – EXIGENCES

QUELLES SONT LES EXIGENCES DE LA NORME ISO 22301 VERSION 2019 ?

Utile

Nos Qualités

A propos

Autre