Le PCA comme outil de résilience à l’heure du COVID-19

Quelques précisions pour débuter

Le règlement n° 97-02 du Comité de la réglementation bancaire et financière du 21 février 1997 relatif au contrôle interne des établissements de crédit et des entreprises d’investissement donne la définition suivante : le PCA représente l’ensemble des mesures visant à assurer, selon divers scénarios de crises, y compris face à des chocs extrêmes, le maintien, le cas échéant de façon temporaire selon un mode dégradé, des prestations de services ou d’autres tâches opérationnelles essentielles ou importantes de l’entreprise, puis la reprise planifiée des activités.

A noter que suite à un « nouvel » arrêté datant du 3 novembre 2014, le PCA a disparu au profit du « Plan d’Urgence et de Poursuite de l’Activité » (PUPA), qui conserve dans les grandes lignes la même définition, à la différence près que la limitation des pertes financières doit être un véritable objectif.

Nous parlerons dans cet article de PCA, terme aujourd’hui encore largement répandu, et nous mettrons volontairement de côté des termes de plans similaires mais couvrant un périmètre plus restreint, comme par exemple le PRA (Plan de Reprise de l’Activité), ou les PRI / PCI (Plan de Reprise Informatique et Plan de Continuité Informatique).

Gestion des crises : une dimension informatique et opérationnelle

Les mesures envisagées impliquent nécessairement la mise à disposition et le déploiement d’outils et de solutions spécifiques, la dimension informatique est ainsi très importante dans les projets de réalisation de plan de continuité.

Il serait cependant réducteur de cantonner l’élaboration du PCA aux problématiques informatiques. En effet, les impacts opérationnels sont nombreux et il convient de réfléchir à plusieurs autres aspects : quels sont les rôles et responsabilités de chacun ? Quelles sont les procédures de déclenchement ? Quelle organisation mettre en place pendant la crise ? Comment communiquer, en interne comme en externe ? Quels indicateurs suivre ? Quels sont les activités et processus critiques ? Quels sont les engagements de services à respecter ? Quelles ressources faut-il allouer ? Les questions sont nombreuses, et doivent d’ailleurs être traitées avant de mesurer les impacts techniques.

Enfin, n’oublions pas les interactions avec l’ensemble des partenaires et prestataires (métier, technique, support, financier, …) qui sont à prendre en compte lors de la définition de tels plans.

La mise en place d’un PCA est-elle nécessaire ?

Avant la crise actuelle, certaines structures n’avaient pas mis en place de PCA, ou bien partiellement. Par manque de temps, de compétences ? Ou bien en raison de doutes sur la nécessité d’un tel dispositif ? Force est de constater qu’aujourd’hui, des solutions de continuité de l’activité sont mises en œuvre rapidement sans réflexion stratégique anticipée et se déclinent par des décisions prises dans l’urgence, en réaction plutôt qu’en anticipation.

Aucun PCA ne peut se prévaloir de couvrir l’ensemble des cas de crise, tout comme il apparaît utopique de penser qu’un PCA permette de prévoir un mode de fonctionnement sans adaptation lors de la survenance d’une crise. Mais sa formalisation a la vertu de pousser les dirigeants et opérationnels à s’interroger et à s’assurer qu’ils disposent de l’organisation et des moyens nécessaires pour y faire face.

Alors oui, la mise en place d’un PCA est capitale, car celui-ci :

• est parfois imposé par un cadre réglementaire, notamment dans le secteur bancaire, et est fortement recommandé dans d’autres secteurs,
• permet de gérer efficacement les situations de crise,
• limite les conséquences financières négatives,
• garantit le respect de ses engagements de services, ce qui est d’autant plus nécessaire pour les prestataires jugés comme essentiels, importants ou critiques au sens de Solvabilité 2.

Par ailleurs, dans un contexte de plus en plus contraignant (réglementaire, protection des données, respects des engagements, inscription dans une démarche qualité…), le PCA devient une nécessité, renforcée par la nature même de l’activité des assureurs.

Les constats réalisés au cours de la crise au sein du secteur de l’assurance

Un des écueils constatés également dans la mise en œuvre de PCA, est lié à l’identification des scénarios de crises. Et lorsque les scénarios sont mal identifiés (ou identifiés de manière incomplète), les moyens mis en œuvre seront en décalage. L’erreur est notamment de penser une situation de crise qui ne concernerait que notre structure, et/ou nos prestataires. Mais comment agir lorsque la crise est plus globale ? Car la problématique peut être non seulement la capacité de continuer l’activité, mais aussi d’avoir toujours le même niveau d’activité.

De manière générale, dans le cadre de la crise sanitaire que nous traversons, le recours au télétravail a été l’un des principaux moyens de poursuivre l’activité. Mais la mise en place de cette organisation ne s’est pas faite facilement, du fait soit de la nouveauté pour la structure de cette organisation de travail, soit de la généralisation de cette organisation, avec bon nombre de problématique à régler, par exemple :

• Le dimensionnement des infrastructures
• La sécurisation des échanges
• Les outils collaboratifs mis à disposition
• L’accompagnement des collaborateurs
• La capacité à traiter à distance toutes les activités
• La capacité à suivre l’activité et à disposer des reporting adéquats

Sans compter que les délais de mise en œuvre des solutions ont nécessairement eu un impact sur les délais de traitement, notamment sur les activités de gestion.

Une autre difficulté rencontrée a été la nécessité de faire preuve de beaucoup de réactivité dans la communication, auprès des clients, des fournisseurs, des partenaires, mais aussi de ses collaborateurs.

La crise actuelle a par ailleurs obligé la révision des différentes feuilles de route, avec des arbitrages sur les projets à maintenir, à reporter voir à annuler.

Enfin, les impacts sur la chaîne de valeur en assurance ont été nombreux :

Les enseignements que nous pouvons tirer de la crise du COVID-19

En synthèse, les recommandations que nous pourrions faire pour l’élaboration d’un plan de gestion de crise efficace sont les suivantes :

• Ne pas limiter la réflexion au périmètre SI
• Concevoir des scénarios dans un contexte de crise généralisée et n’impactant pas uniquement son organisation
• Dimensionner efficacement les ressources humaines et techniques allouées
• Concevoir une démarche agile de pilotage de la mise en œuvre
• Se doter d’un plan de communication de crise
• Garantir la sécurisation des échanges
• Se détacher d’une organisation de travail in situ
• Mettre en place une réelle politique de révision de son plan
• Faire auditer régulièrement son plan afin de s’assurer de sa performance

Quel que soit le niveau de préparation des organisations, il est certain que la stratégie de continuité et de reprise de l’activité devra être revue.

Un bilan des plans déployés devra être réalisé afin d’identifier les axes de progrès à prendre en compte.

Il faudra notamment intégrer les changements liés à l’organisation du travail qui se dessinent, en ayant recours aux nouveaux moyens digitaux qui sont proposés, et en mettant en application une politique de révision et de contrôle efficace de son plan de gestion de crise.

Les organisations devront démontrer une grande résilience post crise COVID-19. Le PCA / PUPA sera un formidable outil pour fédérer les équipes dans la prise de recul, l’analyse et le déploiement d’actions qui permettront d’assurer la continuité de l’activité lors de la prochaine crise que nous traverserons.

Nous sommes à vos côtés pour vous accompagner dans la revue et l’élaboration de vos PCA/PUPA dans une approche pragmatique, bienveillante et collaborative.

A propos de Valmen Consulting

Filiale du Groupe Valmen, Valmen consulting, accompagne depuis 10 ans la transformation des acteurs du secteur de l’assurance, notamment de l’assurance de personnes et place l’expertise métier et technologique au cœur de son action.