Politique de continuité d'activité (ISO 22301)

Définition

La politique de continuité d'activité, exigence structurante de la norme ISO 22301 relative au management de la continuité d'activité, est le document de référence approuvé par la direction, fixant l'orientation générale, les principes fondamentaux et le niveau d'engagement de l'organisation en matière de préparation et de réponse aux perturbations susceptibles d'affecter la poursuite de ses activités critiques. À l'image de la politique de sécurité de l'information exigée par l'ISO 27001, cette politique doit être appropriée à la finalité de l'organisation, fournir un cadre pour l'établissement des objectifs de continuité d'activité, inclure un engagement à satisfaire les exigences applicables, notamment légales et réglementaires, et un engagement d'amélioration continue du système de management. Elle doit être communiquée au sein de l'organisation et disponible pour les parties intéressées pertinentes lorsque cela est approprié, en particulier les clients dont la propre continuité d'activité peut dépendre de celle de l'organisation certifiée, situation fréquente dans les chaînes d'approvisionnement critiques où un fournisseur défaillant peut entraîner l'arrêt de la production de ses clients. Cette politique s'articule directement avec l'analyse d'impact sur l'activité, qui identifie les processus et fonctions les plus critiques de l'organisation, et avec le plan de continuité d'activité proprement dit, qui décline concrètement les moyens à mobiliser pour maintenir ou rétablir ces fonctions en cas de sinistre.