Plan de reprise d’activité : les 8 étapes pour le rédiger

Un plan de reprise d’activité est le document qui organise, étape par étape, la remise en route de votre entreprise après un sinistre : qui décide de le déclencher, qui contacte qui, dans quel ordre les systèmes sont relancés, et comment on vérifie que tout fonctionne à nouveau.

Cette page détaille les étapes de rédaction et le contenu type d’un plan de reprise d’activité : bilan d’impact métier, scénarios, cellule de crise, annuaire, procédures de bascule et plan de test. Pour les indicateurs RTO/RPO, les niveaux de reprise et les budgets 2026, direction le guide PRA informatique, qui traite ce volet en détail.

Qu’est-ce qu’un plan de reprise d’activité, en une page ?

Le plan de reprise d’activité (souvent abrégé PRA) décrit comment une entreprise remet en service ses systèmes et reprend son fonctionnement après un incident majeur : cyberattaque, incendie, panne serveur, sinistre local. Il se distingue du plan de continuité d’activité (PCA), qui organise le maintien de l’activité pendant la crise elle-même plutôt que le retour à la normale. La différence entre les deux, et lequel prioriser selon votre activité, est détaillée dans PRA ou PCA : quelle différence pour votre PME.

Dans la pratique, ce document tient rarement en une seule page, mais il n’a pas besoin d’être un pavé illisible non plus. L’objectif est qu’une personne qui le découvre un jour de crise puisse suivre les instructions sans improviser ni attendre le seul expert technique de l’entreprise.

Les 8 étapes pour rédiger votre plan de reprise d’activité

Voici la trame utilisée par la plupart des méthodologies de continuité, adaptée à une PME :

1. Cadrer le périmètre. Décidez quelles activités, sites et systèmes le plan couvre. Pour une PME mono-site, cela reste simple ; pour une structure multi-sites, il faut trancher dès le départ.
2. Réaliser le bilan d’impact métier (BIA). Pour chaque activité, estimez l’impact d’un arrêt d’une heure, d’un jour, d’une semaine : perte financière, impact client, obligations contractuelles ou réglementaires.
3. Lister les scénarios de sinistre à couvrir. Ransomware, panne matérielle, incendie du local serveur, indisponibilité d’un prestataire clé, absence prolongée d’une personne indispensable.
4. Définir les priorités de reprise. À partir du BIA, classez les activités et systèmes par ordre de reprise : ce qui doit revenir en premier, ce qui peut attendre.
5. Constituer la cellule de crise et l’annuaire. Nommez les rôles, les suppléants, et rassemblez tous les contacts utiles à jour dans un document accessible même si le système d’information est hors service.
6. Rédiger les procédures de bascule. Pour chaque système prioritaire, écrivez la marche à suivre concrète pour basculer vers la solution de secours ou restaurer depuis la sauvegarde.
7. Formaliser le plan de test. Décidez de la fréquence des exercices (mensuelle, semestrielle, annuelle selon le niveau de test) et de la façon dont les résultats sont consignés.
8. Diffuser, former et mettre à jour. Un plan que personne ne connaît ne sert à rien le jour J. Prévoyez une révision au moins annuelle, et à chaque changement significatif de système ou d’organisation.

Le BIA : la première étape qui détermine tout le reste

Le bilan d’impact métier (Business Impact Analysis) est souvent sauté par les PME pressées d’aller directement à la technique. C’est une erreur : sans BIA, on ne sait pas quelles applications reprendre en premier, et on finit par traiter toutes les priorités au même niveau, ce qui coûte cher sans rien sécuriser de mieux.

Concrètement, le BIA consiste à interroger chaque responsable de service sur l’impact d’un arrêt de son activité, à différents horizons de temps. Une heure d’arrêt de la messagerie n’a pas le même impact qu’une heure d’arrêt du logiciel de facturation en fin de mois. Ces réponses, une fois consolidées, fixent les priorités de reprise et, en cascade, les RTO et RPO détaillés dans le guide PRA informatique.

Cellule de crise et annuaire : qui fait quoi le jour J

La cellule de crise est le petit groupe qui prend les décisions pendant l’incident. Dans une PME, elle tient généralement en trois à cinq personnes.

L’annuaire de crise liste les coordonnées de ces personnes, de leurs suppléants et des prestataires clés (hébergeur, opérateur, assureur). Il doit rester accessible même si la messagerie est hors service : version papier ou stockage hors du système touché.

Comment tester votre plan de reprise d’activité sans tout arrêter ?

Tester ne veut pas dire couper la production. Trois formats progressifs suffisent : l’exercice sur table (on déroule le scénario à l’oral, sans toucher aux systèmes), le test technique ciblé (restauration réelle sur un environnement isolé), et l’exercice grandeur nature (bascule effective, programmée sur un créneau creux). Alterner ces formats garde le plan vivant sans mobiliser une journée entière à chaque fois.

Plan de reprise ou plan de continuité : lequel vous faut-il ?

Le plan de reprise d’activité s’occupe de relancer les systèmes après l’arrêt. Le plan de continuité d’activité (PCA) va plus loin : il organise le maintien d’un fonctionnement minimal pendant la crise, y compris pour des activités non informatiques. Pour la majorité des PME, un PRA solide couvre déjà l’essentiel du risque ; le PCA complet devient utile pour les activités sans aucune tolérance à l’interruption, ou soumises à des obligations réglementaires. Le comparatif détaillé se trouve sur PRA ou PCA : quelle différence pour votre PME. Rappel utile : sans sauvegardes fiables en amont, aucun des deux plans ne fonctionne le jour J — voir la règle 3-2-1-1-0 et les budgets de sauvegarde.

Questions fréquentes sur le plan de reprise d’activité