Différence entre PCA et PRA : le PRA n’est pas votre plan informatique

Ce qu'il faut retenir

La différence entre PCA et PRA tient à la phase, pas au périmètre. Le plan de continuité d'activité (PCA) organise la façon de tenir pendant une perturbation, en mode dégradé, c'est-à-dire avec un fonctionnement réduit mais maîtrisé. Le plan de reprise d'activité (PRA) organise le retour au fonctionnement normal. Les deux portent sur vos activités : l'informatique a ses propres plans, le plan de continuité informatique (PCI) et le plan de reprise informatique (PRI). Le cas Clorox, en 2023, montre l'enjeu : l'informatique est revenue en quelques semaines, l'activité a mis plusieurs mois.

Quelle est la différence entre un PCA et un PRA ?

Le PCA répond à la question "comment continuer à servir nos clients pendant la perturbation ?". Le PRA répond à la question "comment revenir à la normale une fois la situation stabilisée ?". Ce sont deux phases d'un même dispositif, pas deux options entre lesquelles choisir.

Sur ce sujet, la plupart des définitions en ligne viennent d'acteurs informatiques. En octobre 2026, les sept premiers résultats de Google France sur la requête "différence PCA PRA" étaient publiés par des hébergeurs, des opérateurs télécoms, des éditeurs de logiciels ou des cabinets cyber. Ils décrivent donc le PRA comme la restauration des serveurs et des données. C'est un vrai plan, mais il porte un autre nom.

Le PCA : tenir pendant la perturbation

Un PCA prévoit comment les activités essentielles continuent quand une ressource manque : un site, une équipe, un fournisseur, une application. Il décrit le mode dégradé de chaque activité. Les commandes sont prises à la main. Une seule ligne de production tourne. Les livraisons vont d'abord aux clients prioritaires.

Le mode dégradé a une limite. Chaque activité supporte une interruption pendant un certain temps, puis les conséquences deviennent inacceptables. Ce seuil s'appelle le délai maximal d'interruption admissible (DMIA). Le PCA vise à rester sous ce seuil.

Le PRA : revenir à la normale

Un PRA prévoit comment quitter le mode dégradé et retrouver un fonctionnement normal. Il répond à des questions que le PCA laisse ouvertes. Dans quel ordre relancer les activités ? Qui ressaisit les commandes prises sur papier ? Quels clients livrer en premier quand les stocks sont vides ?

La norme ISO 22301:2019, référence internationale du management de la continuité d'activité, consacre une exigence distincte à cette phase. Son article 8.4.5 (Recovery, dans la version anglaise) demande des processus documentés pour ramener les activités des mesures temporaires vers le fonctionnement normal. La norme parle d'activités. Elle ne parle pas de serveurs.

Le tableau suivant résume la différence entre les deux plans.

Critère	PCA (plan de continuité d'activité)	PRA (plan de reprise d'activité)
Question traitée	Comment continuer pendant la perturbation ?	Comment revenir à la normale ?
Moment de préparation	Avant la crise	Avant la crise
Moment d'activation	Dès que la perturbation menace une activité essentielle	Quand la situation se stabilise et que les ressources reviennent
État visé	Un mode dégradé maîtrisé	Le fonctionnement normal
Ce qu'il mobilise	Solutions de contournement, équipes, stocks, sites de repli	Ressaisie des données, rattrapage du retard, ordre de redémarrage
Ce qui fixe les priorités	Le BIA : activités essentielles et leur DMIA	Le BIA, la durée pendant laquelle le mode dégradé reste tenable, les engagements clients
Exemple sur un site industriel	Conduite manuelle d'une ligne à cadence réduite	Remontée en cadence et reconstitution des stocks des clients

Pourquoi confond-on le PRA avec le plan informatique ?

Parce que l'informatique a ses propres plans, et que leurs noms ressemblent à ceux des plans métier. Le plan de continuité informatique (PCI) maintient les applications en service. Le plan de reprise informatique (PRI) les restaure après un arrêt. Quand on appelle PRA ce qui est en réalité un PRI, le volet métier de la reprise disparaît.

La confusion a une conséquence pratique. Une organisation qui pense avoir un PRA parce qu'elle sait restaurer ses serveurs peut n'avoir préparé que la moitié de la reprise. L'application revient. Les commandes papier, les stocks vides et les clients en attente restent à traiter.

Deux questions pour ranger les quatre plans

La première question porte sur la phase : est-ce qu'on tient pendant la perturbation, ou est-ce qu'on revient à la normale ? La seconde porte sur le niveau : parle-t-on des activités de l'entreprise ou de son système d'information ?

Niveau	Continuité, pendant la perturbation	Reprise, retour à la normale	Indicateurs
Activités	PCA : tenir en mode dégradé	PRA : revenir au fonctionnement normal	DMIA, BRTO, BRPO
Système d'information	PCI : maintenir les applications en service	PRI : restaurer les applications et les données	RTO, RPO

Les indicateurs suivent le niveau. Côté activités, le DMIA fixe ce que l'activité supporte. Le besoin de reprise que le métier exprime pour chaque application s'appelle le BRTO (Business Recovery Time Objective), et la perte de données qu'il peut accepter s'appelle le BRPO (Business Recovery Point Objective). Côté système d'information, le délai de redémarrage technique d'une application (RTO, Recovery Time Objective) et la perte de données technique (RPO, Recovery Point Objective) décrivent ce que la direction des systèmes d'information (DSI) sait réellement faire.

L'écart entre le besoin du métier et la capacité de la DSI constitue le risque que la direction doit arbitrer. Plusieurs définitions du PRA en ligne présentent d'ailleurs le RTO comme le temps d'arrêt que l'entreprise peut supporter. C'est la même confusion de niveau : ce temps-là, c'est le DMIA.

Ce que dit le secteur de la santé

Les établissements de santé disposent sur ce point d'une doctrine claire. Dans la FAQ de son programme CaRE (Cybersécurité accélération et Résilience des Établissements), l'Agence du numérique en santé (ANS) distingue le plan de continuité et de reprise d'activité (PCRA) du plan de continuité et de reprise informatique (PCRI). Le PCRI regroupe les mesures propres aux systèmes : redondance, réplication, disponibilité. Le PCRA décrit les procédures métiers et organisationnelles qui permettent de poursuivre l'activité quand l'informatique tombe malgré ces mesures (FAQ mise à jour le 9 décembre 2025).

L'ANS ajoute que le PCA et le PRA dépassent l'informatique. Elle recommande de traiter quatre scénarios d'indisponibilité : le personnel, les bâtiments, les fournisseurs et l'informatique (FAQ mise à jour le 7 octobre 2025). Elle précise enfin que le PCRA privilégie les solutions métiers et organisationnelles, la technique venant en complément (FAQ du 10 janvier 2025).

Point de vigilance : votre PRA est peut-être un PRI. Ouvrez le document intitulé PRA et posez-lui trois questions. Dit-il qui ressaisit les données traitées à la main pendant la panne ? Dit-il quels clients sont servis en premier quand la production repart ? Dit-il combien de temps le mode dégradé reste tenable ? S'il ne parle que de serveurs, de sauvegardes et de bascule, c'est un bon PRI. Le PRA reste à écrire.

Que se passe-t-il quand l'informatique revient mais pas l'activité ?

L'entreprise découvre que la reprise informatique et la reprise d'activité n'ont pas la même durée. Les systèmes peuvent revenir en quelques semaines, alors que les ventes, les stocks et les clients mettent plusieurs mois à suivre. Le fabricant américain Clorox l'a vécu en 2023.

Le cas Clorox, 2023

Clorox fabrique des produits ménagers vendus dans la grande distribution américaine. Le 14 août 2023, l'entreprise déclare à la SEC (Securities and Exchange Commission, le régulateur boursier américain) une cyberattaque qui perturbe une partie de ses opérations. Elle indique avoir mis en place, conformément à ses plans de continuité d'activité, des solutions de contournement pour continuer à servir ses clients.

Le 18 septembre, dans une nouvelle déclaration relayée notamment par Manufacturing Dive, Clorox précise qu'elle traite ses commandes à la main, à cadence réduite, et que ses produits commencent à manquer. Elle prévoit de revenir au traitement automatisé des commandes la semaine du 25 septembre. Début octobre, selon sa communication financière rapportée par IndustryWeek, la majorité du traitement des commandes est de nouveau automatisée, mais les effets opérationnels doivent se prolonger sur le trimestre suivant.

Le 1er novembre 2023, Clorox publie ses résultats du trimestre clos fin septembre : un chiffre d'affaires en baisse de 20 %, à 1,4 milliard de dollars. Sa directrice générale, Linda Rendle, écrit que l'entreprise n'est pas encore revenue à la normale et que la reprise opérationnelle prendra du temps. La priorité est désormais de reconstituer les stocks des distributeurs et de retrouver la distribution perdue.

Lue avec la grille des quatre plans, la chronologie se découpe ainsi.

Période (2023)	Ce qui se passe chez Clorox	Plan concerné
14 août	Attaque détectée, certains systèmes mis hors ligne, déclaration à la SEC	Dispositif de crise
De mi-août à fin septembre	Commandes traitées à la main, cadence réduite, produits en rupture	PCA, en mode dégradé
De fin septembre à début octobre	Retour progressif au traitement automatisé des commandes	PRI
D'octobre à la fin de l'année au moins	Reconstitution des stocks des distributeurs et de la distribution	PRA

La leçon ne porte pas sur une faute de Clorox. Elle porte sur la durée. Le retour de l'informatique a pris quelques semaines. La reprise de l'activité, elle, se comptait en mois. C'est exactement l'espace que couvre un PRA : l'ordre de redémarrage, les clients prioritaires, le rattrapage du retard.

Que fait un PCA sur un site industriel ?

Un PCA mobilise des personnes, des stocks et des savoir-faire avant de mobiliser des serveurs. Le producteur d'aluminium Norsk Hydro en a fait la démonstration en 2019.

Le cas Norsk Hydro, 2019

Le 19 mars 2019, un rançongiciel paralyse le système d'information de Norsk Hydro, groupe norvégien présent dans 40 pays. Le groupe isole ses usines et bascule en fonctionnement manuel partout où c'est possible. Selon Reuters, plusieurs usines qui transforment l'aluminium en composants pour l'automobile et le bâtiment sont arrêtées, tandis que les usines d'électrolyse norvégiennes passent largement en conduite manuelle.

Tenir des opérations manuelles demande du monde et du savoir-faire. Selon l'autorité de sécurité norvégienne Havtil, qui a publié en 2023 un retour d'expérience avec le groupe, plusieurs retraités sont revenus proposer leur expertise de la conduite manuelle des machines. Norsk Hydro en a tiré une leçon claire : réintroduire certaines commandes manuelles sur les équipements aide à maintenir la production pendant une crise. L'incident lui a coûté plus de 800 millions de couronnes norvégiennes de pertes documentées.

Ce cas illustre ce qu'un PCA contient vraiment. Pour chaque activité essentielle, il prévoit une réponse à la perte de chaque ressource. Et chaque réponse de continuité appelle sa contrepartie de reprise.

Ressource perdue	Ce que prévoit le PCA (tenir)	Ce que prévoit le PRA (revenir)
Système de gestion de production	Conduite manuelle, fiches papier, cadence réduite	Ressaisie des données, contrôle des lots produits en manuel, remontée en cadence
Fournisseur unique	Stock tampon, fournisseur alternatif qualifié	Retour au fournisseur principal, solde des commandes en retard
Personnel clé	Polyvalence, appel à d'anciens salariés	Retour des équipes, récupération des heures accumulées
Atelier ou site	Report de la production vers un autre site	Rapatriement de la production, remise en état

C'est exactement ce que je construis dans ma mission de mise en place du PCA : des réponses activité par activité, qui remplissent les deux colonnes et pas seulement la première.

Faut-il commencer par le PCA ou par le PRA ?

Ni par l'un ni par l'autre. On commence par le bilan d'impact sur l'activité (BIA), qui identifie les activités essentielles et fixe pour chacune son DMIA. Le PCA et le PRA en découlent. Le PCI et le PRI viennent ensuite répondre aux besoins que le métier a exprimés.

L'ordre compte, parce qu'il détermine qui décide. Si l'on commence par l'informatique, la capacité technique devient la norme de fait : le métier hérite du délai que la DSI sait tenir. Si l'on commence par les activités, la direction voit l'écart entre ce dont le métier a besoin et ce que la DSI peut fournir. Elle décide alors en connaissance de cause d'investir, d'accepter le risque ou de renforcer le mode dégradé.

J'aborde cette étape en détail dans ma mission BIA, qui part des entretiens avec les opérationnels avant de parler d'applications.

Point de vigilance : un PCA ne promet pas zéro interruption. Plusieurs définitions en ligne affirment qu'un PCA garantit un service sans coupure, avec un délai de reprise nul. Elles décrivent la haute disponibilité, une solution technique qui peut figurer dans un PCI. Un PCA accepte une interruption tant qu'elle reste sous le DMIA, et c'est le mode dégradé qui la rend supportable.

Questions fréquentes sur la différence entre PCA et PRA

Le PRA fait-il partie du PCA ?

Oui, dans la logique d'ISO 22301, continuité et reprise forment un même dispositif. La norme traite les plans de continuité à l'article 8.4.4 et la reprise à l'article 8.4.5, dans le même chapitre. Certaines organisations les rédigent dans un seul document : c'est le choix du secteur de la santé avec le PCRA.

Quelle est la différence entre un PRA et un PRI ?

Le PRA ramène les activités à la normale. Le PRI restaure les applications, les données et l'infrastructure informatique. Le PRI est une condition du PRA, pas son équivalent : une application restaurée ne livre aucune commande en retard.

Le PCA et le PRA sont-ils obligatoires ?

Aucun texte général n'impose un PCA à toutes les entreprises en France, mais plusieurs textes l'exigent selon le secteur. Le règlement européen DORA (Digital Operational Resilience Act), applicable aux entités financières depuis le 17 janvier 2025, impose dans son article 11 des plans de continuité des activités de TIC (technologies de l'information et de la communication) et des plans de réponse et de rétablissement des TIC, testés au moins une fois par an. La directive NIS 2 demande dans son article 21 la continuité des activités, avec la gestion des sauvegardes et la reprise des activités. Là où la version anglaise parle de disaster recovery, la version française dit reprise des activités. ISO 22301, elle, reste une démarche volontaire.

Le PCA est-il proactif et le PRA réactif ?

Non. Les deux plans se préparent avant la crise, à partir du même BIA. Ce qui les distingue, c'est le moment où on les active : le PCA dès que la perturbation menace une activité essentielle, le PRA quand la situation se stabilise.

Comment tester un PRA ?

En jouant le retour à la normale, pas seulement la bascule. Un exercice qui s'arrête quand la situation se stabilise teste le PCA et le dispositif de crise. Pour tester le PRA, prolongez le scénario : qui ressaisit les données, quels clients sont livrés en premier, combien de temps faut-il pour retrouver la cadence. Un exercice sur table permet de jouer cette séquence en une demi-journée, sans toucher à la production.

Passez à l'action

Je suis Thomas Scorticati, consultant certifié MBCI (Member of the Business Continuity Institute) et fondateur de Scort Conseil. Que vous partiez de zéro ou que vous ayez déjà un document intitulé PRA, la question de départ reste la même : de quoi vos activités ont-elles besoin pour tenir, puis pour revenir à la normale ?

Pour y répondre sur votre propre organisation, réservez un créneau de 30 minutes via Calendly. On fait le point ensemble, sans engagement.

Sources et références

Pourquoi parle-t-on de PCRA et non de PCRI ? (Agence du numérique en santé, FAQ CaRE, 10 janvier 2025)

Un PCRI permet-il de valider l'objectif de réalisation d'un PCRA ? (Agence du numérique en santé, FAQ CaRE, 9 décembre 2025)

Le PCA et le PRA concernent-ils uniquement l'indisponibilité informatique ? (Agence du numérique en santé, FAQ CaRE, 7 octobre 2025)

Form 8-K de The Clorox Company (SEC, 14 août 2023)

Clorox annonce des pénuries un mois après la cyberattaque (Manufacturing Dive, 18 septembre 2023)

Updated: Clorox Cyberattack Cost $356 Million (IndustryWeek, octobre et novembre 2023)

Résultats du premier trimestre de l'exercice 2024, Form 8-K (The Clorox Company, SEC, 1er novembre 2023)

CEO Linda Rendle on Q1 and expectations for FY24 (The Clorox Company, 1er novembre 2023)

Nordic metals firm Hydro restoring systems after cyberattack (Reuters, via Business Insurance, mars 2019)

Ransomware taught key lessons (Havtil, 2023)

ISO 22301:2019, Sécurité et résilience, Systèmes de management de la continuité d'activité, Exigences (ISO, 2019)

Règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA), article 11 (EUR-Lex, 14 décembre 2022)

Directive (UE) 2022/2555 (NIS 2), article 21 (EUR-Lex, 14 décembre 2022)

À lire également

Besoin d'accompagnement ?

Découvrez nos offres dédiées à la mise en place d'un PCA, à l'accompagnement ISO 22301 ou aux exercices de crise immersifs. Pour en savoir plus sur ma démarche, consultez la page À propos.