Qu'est-ce qu'un BIA ? Le document qui décide de votre budget de continuité

Ce qu'il faut retenir

Le BIA, ou Bilan d'Impact sur l'Activité, est l'analyse qui identifie vos activités critiques et le délai au bout duquel leur arrêt devient insupportable. Il ne décrit pas ce qui peut arriver, il mesure ce que coûte l'arrêt. Sans lui, un plan de continuité protège toutes les activités de la même façon, c'est-à-dire mal. La norme ISO 22301:2019 en fait une exigence, et le règlement européen DORA l'impose aux entités financières depuis le 17 janvier 2025.

Qu'est-ce qu'un BIA ?

Un BIA (Business Impact Analysis, en français Bilan d'Impact sur l'Activité) est l'analyse qui hiérarchise les activités d'une organisation selon les conséquences de leur interruption. Il répond à une seule question, activité par activité : que se passe-t-il si elle s'arrête, et à partir de quand cela devient-il insupportable ?

La nuance compte. Un BIA ne classe pas les activités par importance ressentie, ni par effectif, ni par chiffre d'affaires. Il les classe par conséquence de l'arrêt dans le temps. Une activité qui pèse deux pour cent du chiffre d'affaires peut avoir le délai le plus court de toute l'organisation, parce que son arrêt bloque tout le reste ou déclenche une pénalité contractuelle dès le premier jour.

C'est un travail d'entretien, pas de tableur. Les informations qui font la valeur d'un BIA ne sont écrites nulle part. Elles sont dans la tête des responsables opérationnels.

Pourquoi un BIA n'est pas une analyse de risque ?

L'analyse de risque regarde les causes, le BIA regarde les conséquences. L'une évalue ce qui peut arriver et avec quelle probabilité, l'autre mesure ce que coûte l'arrêt, quelle qu'en soit l'origine.

Critère	Analyse de risque	BIA
Question posée	Qu'est-ce qui peut arriver, et avec quelle probabilité ?	Que coûte l'arrêt, et à partir de quand ?
Point de départ	La menace	L'activité
Notion de probabilité	Centrale	Absente
Résultat produit	Cartographie des risques et plan de traitement	Hiérarchie des activités, DMIA, ressources, dépendances
Usage principal	Réduire la probabilité et la gravité	Dimensionner les moyens de reprise

Cette différence a une conséquence pratique majeure. Le BIA se moque de la cause. Incendie, cyberattaque, grève, défaillance d'un fournisseur, inondation : pour l'activité qui s'arrête, le résultat est identique. C'est précisément ce qui rend le BIA robuste face aux menaces que personne n'avait anticipées.

Les Good Practice Guidelines 7.0 du BCI (Business Continuity Institute), publiées le 1er novembre 2023, réunissent les deux techniques dans une même pratique professionnelle, la PP3 Analysis. Elles sont complémentaires, jamais interchangeables. Une organisation qui dispose d'une cartographie des risques sans BIA sait ce qui peut lui arriver. Elle ne sait pas quoi sauver en premier.

Que produit concrètement un BIA ?

Un BIA produit quatre choses : la hiérarchie des activités critiques, le DMIA de chacune, les ressources minimales nécessaires à leur redémarrage, et la carte de leurs dépendances internes et externes.

Livrable du BIA	Ce que c'est	Qui l'exprime
Hiérarchie des activités	Classement par conséquence de l'arrêt, pas par effectif ni par volume d'affaires	Métiers, arbitré par la direction
DMIA (Délai Maximal d'Interruption Admissible)	Le délai au bout duquel l'arrêt de l'activité devient insupportable	Direction et métiers
BRTO (Business Recovery Time Objective)	Le besoin métier de reprise d'une application qui supporte l'activité	Équipes opérationnelles
BRPO (Business Recovery Point Objective)	La perte de données que le métier peut absorber	Équipes opérationnelles
Ressources minimales	Effectifs, locaux, applications, données et fournisseurs nécessaires au redémarrage	Métiers
Dépendances	Ce dont l'activité dépend en interne et en externe	Métiers et achats

Point de vigilance. Le RTO (Recovery Time Objective) et le RPO (Recovery Point Objective) ne sont pas des livrables du BIA. Ce sont les réponses techniques de la DSI (Direction des Systèmes d'Information) aux besoins que le métier a exprimés. Le BIA produit le besoin, c'est-à-dire le BRTO et le BRPO. La DSI répond par le RTO et le RPO. L'écart entre les deux constitue un risque résiduel, et cet écart s'arbitre en comité de direction, pas dans un couloir. J'ai détaillé cette mécanique dans mon article sur le RTO et dans celui consacré au RPO.

Que coûte l'absence de BIA ?

Sans BIA, une organisation protège toutes ses activités de la même façon. Elle surinvestit sur ce qui pouvait attendre, sous-investit sur ce qui ne pouvait pas, et arbitre en pleine crise ce qu'elle aurait dû décider à froid.

Le coût moyen d'une interruption est documenté. Selon l'Annual Outage Analysis 2026 de l'Uptime Institute, publiée le 13 mai 2026, 57 pour cent des professionnels interrogés dans l'enquête annuelle 2025 déclarent que leur dernière panne majeure a coûté plus de 100 000 dollars. Un sur cinq dépasse le million. Ces moyennes disent quelque chose du marché. Elles ne disent rien de votre organisation. Le BIA est exactement le travail qui produit ce chiffre chez vous, activité par activité.

Le surinvestissement uniforme

C'est le coût le plus discret parce qu'il ne se voit jamais. Faute de hiérarchie validée, la DSI applique le même niveau de service à tout le parc applicatif. Des applications qui pourraient rester à l'arrêt une semaine sans conséquence bénéficient du même dispositif de reprise que celles qui bloquent la facturation. Le budget est consommé, il est simplement mal réparti.

L'angle mort qui coûte cher

Le symétrique du précédent, et le plus dangereux. L'activité qu'on n'a pas identifiée comme critique n'est protégée par rien.

Exemple terrain, secteur logistique. Chez un acteur de la logistique, le BIA a placé en tête une activité que personne n'avait citée spontanément : l'édition des documents de transport. Sans elle, aucun camion ne sort de la plateforme. L'entrepôt peut fonctionner parfaitement, les commandes peuvent être préparées, le flux s'arrête au portail.

Exemple terrain, industrie. Dans un grand groupe industriel, la direction plaçait naturellement la production au sommet. Le BIA a mis l'expédition devant. Un stock tampon absorbait deux jours d'arrêt de production sans que le client s'en aperçoive, alors que les pénalités contractuelles couraient dès le premier jour de retard de livraison.

Exemple terrain, mutuelle. Dans une mutuelle nationale, la souscription était perçue comme l'activité la plus stratégique. Le BIA a montré que le DMIA le plus court portait sur le remboursement des prestations santé. Quelques jours d'arrêt et ce sont des adhérents en situation fragile qui avancent des frais qu'ils ne peuvent pas assumer, avec les réclamations qui remontent derrière.

L'arbitrage improvisé en pleine crise

C'est le coût le plus brutal. Quand les moyens de reprise sont insuffisants pour tout redémarrer en même temps, quelqu'un doit décider de l'ordre. Sans BIA, cette décision se prend à chaud, sous pression, par la personne qui parle le plus fort en cellule de crise. Avec un BIA validé par la direction, elle a déjà été prise, écrite et assumée.

C'est la raison pour laquelle je considère le BIA comme le socle de toute construction de PCA opérationnel. Un plan de continuité sans BIA est une liste de procédures sans ordre de priorité.

Comment se déroule un BIA ?

Un BIA se déroule en cinq étapes : cadrage et définition de l'échelle d'impact, entretiens avec les responsables d'activité, consolidation, arbitrage, validation par la direction. Les entretiens sont la partie qui produit la valeur, tout le reste en découle.

Étape	Ce qui se passe	Piège fréquent
1. Cadrage	Périmètre, échelle d'impact commune, calendrier, sponsor identifié	Lancer les entretiens sans échelle validée en amont
2. Entretiens	Rencontre des responsables d'activité, environ une heure par activité	Envoyer un questionnaire à la place
3. Consolidation	Recoupement des déclarations, détection des incohérences et des dépendances croisées	Additionner les déclarations sans les confronter
4. Arbitrage	Confrontation des besoins métier aux capacités techniques et budgétaires réelles	Laisser la DSI arbitrer seule
5. Validation direction	La direction valide la hiérarchie et assume explicitement les risques résiduels	Une validation de forme, sans discussion des écarts

La référence méthodologique sur ce sujet est la spécification technique ISO/TS 22317:2021, deuxième édition publiée en novembre 2021 et confirmée par l'ISO en 2025. Elle décompose le processus en priorisation des produits et services, priorisation des processus, priorisation des activités, analyse et consolidation, puis obtention de l'accord de la direction. Elle ne fournit volontairement aucun modèle de document, ce qui est cohérent : un BIA transposé d'une organisation à une autre ne vaut rien.

La durée dépend du périmètre. Comptez trois à six semaines pour une trentaine d'activités, en incluant la consolidation et la restitution. Je détaille le déroulé complet dans ma mission BIA, que je conduis moi-même en entretien, sans intermédiaire. C'est une position que j'assume comme consultant indépendant certifié MBCI (Member of the Business Continuity Institute) : la qualité d'un BIA tient à la qualité des conversations qui l'ont produit.

Le BIA est-il obligatoire ?

Oui, dans deux cas au moins. La norme ISO 22301:2019 en fait une exigence de son article 8.2.2. Le règlement européen DORA l'impose aux entités financières à son article 11, paragraphe 5, applicable depuis le 17 janvier 2025.

Le texte de DORA mérite d'être lu précisément, parce que sa traduction française officielle n'emploie pas le sigle BIA. Elle parle d'analyse des incidences sur les activités. L'article 11, paragraphe 5 demande aux entités financières d'évaluer l'incidence potentielle de graves perturbations au moyen de critères quantitatifs et qualitatifs, à partir de données internes et externes, avec analyse de scénarios le cas échéant. Cette analyse doit tenir compte du caractère critique des fonctions métier, des processus de soutien, des dépendances de tiers et des actifs informationnels, ainsi que de leurs interdépendances.

En amont, l'article 8 impose l'identification et la cartographie de ces mêmes fonctions et actifs. Les deux articles se répondent : on cartographie, puis on hiérarchise. Une mutuelle ou une banque qui présente à l'ACPR un PCA sans BIA documenté ne présente pas un dispositif incomplet, elle présente un dispositif non conforme.

Au-delà du secteur financier, le mouvement se généralise. Le rapport BCI Operational Resilience Report 2026, publié en mai 2026 avec Riskonnect, relève que les attentes réglementaires en matière de résilience opérationnelle s'étendent désormais au-delà des services financiers, et que les dépendances externes sont perçues comme un risque plus élevé que jamais.

Quelles erreurs ruinent un BIA ?

Trois erreurs suffisent à rendre un BIA inutilisable : une échelle d'impact absente, un questionnaire à la place des entretiens, et un document qu'on ne met plus à jour.

Le syndrome du tout est critique. Si chaque direction déclare son activité critique, le BIA ne produit aucune décision. La parade est simple et se joue avant les entretiens : définir une échelle d'impact commune, chiffrée quand c'est possible, et la faire valider par la direction. Sans échelle partagée, vous ne collectez pas des données, vous collectez des opinions.

Le questionnaire envoyé par mail. Il revient à moitié rempli, avec des réponses de confort. Ce qui compte dans un BIA se dit en entretien, souvent hors du cadre des questions posées. La dépendance qu'un responsable mentionne au détour d'une phrase vaut plus que trois colonnes de tableur.

Le BIA daté. Un BIA de trois ans décrit une organisation qui n'existe plus. Nouvelle application, nouveau prestataire, réorganisation, changement de site : chacun de ces événements déplace des dépendances. La bonne fréquence de révision est annuelle, avec une mise à jour immédiate après tout changement structurant.

Questions fréquentes sur le BIA

Quelle est la différence entre un BIA et une analyse de risque ?

L'analyse de risque part des menaces et évalue leur probabilité et leur gravité. Le BIA part des activités et mesure les conséquences de leur arrêt dans le temps, sans considération de cause. Les deux sont nécessaires et complémentaires. Le BCI les réunit dans la même pratique professionnelle PP3 Analysis de ses Good Practice Guidelines 7.0.

Combien de temps prend un BIA ?

Comptez trois à six semaines pour un périmètre d'une trentaine d'activités, entretiens, consolidation et restitution inclus. La variable principale n'est pas le nombre d'activités mais la disponibilité des responsables opérationnels et la qualité du cadrage initial.

Qui doit participer à un BIA ?

Les responsables d'activité en premier lieu, parce qu'ils sont les seuls à connaître les conséquences réelles d'un arrêt. La direction ensuite, pour valider l'échelle d'impact en amont et la hiérarchie en aval. La DSI intervient à l'étape d'arbitrage, quand il s'agit de confronter les besoins exprimés aux capacités techniques disponibles.

Le BIA définit-il le RTO ?

Non. Le BIA produit le DMIA de l'activité et, pour les applications qui la supportent, le BRTO et le BRPO, qui sont des besoins métier. Le RTO et le RPO sont les capacités techniques que la DSI oppose à ces besoins. Confondre les deux revient à demander au métier de valider une contrainte technique qu'il n'a pas choisie, ou à la DSI de porter seule un risque qui appartient à la direction.

Un BIA est-il obligatoire pour une petite structure ?

La taille ne change pas l'obligation, elle change le format. DORA s'applique à des mutuelles de quelques dizaines de salariés, avec un principe de proportionnalité sur les moyens, pas sur l'exigence. Pour une petite organisation, un BIA sérieux peut tenir en quelques entretiens et deux pages de synthèse. Ce qui compte est que la hiérarchie soit explicite et validée, pas que le document soit épais.

Passez à l'action

Un BIA n'est pas un livrable de conformité. C'est la décision, prise à froid et par écrit, de ce que vous protégez en priorité et de ce que vous acceptez de perdre. Tout le reste du dispositif de continuité en découle.

Si vous vous demandez si votre BIA actuel tient encore la route, ou si vous devez en construire un depuis zéro pour répondre à une échéance ISO 22301 ou DORA, réservez un créneau de 30 minutes via Calendly. On regarde votre situation ensemble, sans engagement.

Sources et références

ISO 22301:2019, Sécurité et résilience, Systèmes de management de la continuité d'activité, Exigences (ISO, deuxième édition publiée le 31 octobre 2019, article 8.2.2)

ISO/TS 22317:2021, Lignes directrices pour le bilan d'impact sur l'activité (ISO, deuxième édition novembre 2021, confirmée en 2025)

Règlement (UE) 2022/2554 dit DORA, articles 8 et 11 (EUR-Lex, applicable depuis le 17 janvier 2025)

Good Practice Guidelines Edition 7.0, PP3 Analysis (BCI, 1er novembre 2023)

Annual Outage Analysis 2026 (Uptime Institute, 13 mai 2026)

Operational Resilience Report 2026 (BCI et Riskonnect, mai 2026)

À lire également

Besoin d'accompagnement ?

Découvrez nos offres dédiées à la mise en place d'un PCA, à l'accompagnement ISO 22301 ou aux exercices de crise immersifs. Pour en savoir plus sur ma démarche, consultez la page À propos.