Maturité ISO 22316 · Gestion de la résilience organisationnelle
La résilience de votre organisation, située sur ISO 22316 et traduite en feuille de route.
9 thématiques, une échelle à 5 niveaux. Et l’action qui fait passer chaque niveau au suivant.
Les 9 thématiques du référentiel, déjà rédigées de N1 à N5. Une entreprise, une business unit, ou 300 à la fois.
Maturité ISO 22316 · Gestion de la résilience organisationnelle
9 thématiques, échelle à 5 niveaux.
Nordhavn Industries
53 / 100
Ils mesurent leur maturité avec Datamensio
Un exemple
Cette situation pourrait être la vôtre.
Prenons l’exemple d’une entreprise : trois sites, trois tableurs, aucune réponse commune.
Personne ne sait consolider.
Nordhavn Industries, 2 400 personnes à Hambourg, Lyon et Porto. Un donneur d’ordre demande où en est le groupe. Chaque site répond dans son tableur, avec ses propres échelles.
Trois semaines, une seule base.
Un diagnostic ISO 22316:2017 lancé sur les trois sites en même temps, à partir des notes d’entretien des responsables. Le référentiel était déjà écrit, les 9 thématiques et les niveaux N1 à N5 aussi.
Deux dépenses évitées avant d’être engagées.
Un score de 53 sur 100, un écart concentré sur trois thèmes. Le compagnon IA a repéré que deux actions du plan doublonnaient avec celui d’un autre audit. La restitution au comité s’est demandée en une phrase.
Ce que ça leur a évité
- 3sites mesurés sur la même base, au lieu de trois questionnaires à retraiter
- 2actions en doublon détectées avant la dépense
- 1restitution au comité, sans reprise manuelle
Ces chiffres sont ceux d’un exemple. Ils pourraient être les vôtres.
La norme impose des processus. Datamensio dit où vous en êtes.
01
Le référentiel est déjà écrit
Thématiques, questions et niveaux N1 à N5 rédigés. Vous ne partez pas d’un tableur vide.
02
Le score tombe le jour même
En ligne, par lien d’auto-évaluation ou en entretien. Thème par thème, comparable dans le temps.
03
L’écart devient un plan chiffré
Chaque passage de niveau porte son action. L’IA priorise sur l’effet attendu, pas sur l’ordre de la norme.
04
La progression se démontre
Campagne après campagne, contre votre cible et contre votre passé. C’est ce que demande votre COMEX.
L’échelle de maturité
Un niveau, le suivant, et l’action qui relie les deux.
C’est ce mécanisme (un niveau, un niveau supérieur, et l’action qui relie les deux) qui transforme un constat en trajectoire.
Les enseignements tirés des perturbations et des exercices débouchent-ils sur des modifications effectives de l’organisation ?
- N1
Aucun retour d’expérience formalisé. Les enseignements restent dans la mémoire des personnes présentes.
- N2
Des comptes rendus sont produits après les événements marquants. Les actions identifiées ne font pas l’objet d’un suivi et leur mise en œuvre dépend de l’initiative individuelle.
- N3
Chaque perturbation et chaque exercice donnent lieu à un retour d’expérience avec des actions affectées, une échéance et un responsable. Le suivi est assuré en instance.
- N4
Les actions issues des retours d’expérience sont intégrées au plan d’action de l’organisation, leur clôture est vérifiée et leur effet est mesuré lors de l’exercice suivant.
- N5
Les enseignements sont consolidés entre entités, alimentent la révision des dispositifs et de la stratégie, et les évolutions du contexte déclenchent une réévaluation documentée.
Action pour passer de N2 à N3
Adopter un modèle unique de retour d’expérience comportant action, responsable et échéance, l’appliquer dès la prochaine perturbation ou le prochain exercice, et inscrire la revue de ces actions à l’ordre du jour permanent du comité des risques trimestriel.
« Grâce à Datamensio, nous remplissons avec beaucoup plus d’efficacité nos objectifs. Les services d’inspection du FEDER et de notre ministère de tutelle ont particulièrement apprécié cette approche qui leur apporte une data fiable. »
Directrice de la CCI 94CCI Île-de-France
« Nous pensons qu’il s’agit de la solution la plus adaptée pour amener notre projet de transformation à l’échelle et mesurer l’impact selon nos besoins. »
Maja SucekChief Operating Officer, Interreg Danube
Rarement seul
Un référentiel se combine. Associez-en plusieurs pour couvrir votre activité, ou faites écrire le vôtre par l’IA.
Prenez votre première mesuresur ISO 22316.
De quoi parle ce référentiel
ISO 22316 traite de la sécurité et de la résilience, et plus précisément de la capacité d’une organisation à absorber les perturbations, à s’y adapter et à poursuivre ses activités. Publiée en 2017, elle ne formule pas d’exigences mais décrit des principes et une série d’attributs : une vision et une raison d’être partagées, une compréhension du contexte interne et externe, un leadership capable de décider dans l’incertitude, une culture qui soutient la résilience, une information partagée, des ressources disponibles, une coordination entre les disciplines de gestion, et une amélioration continue nourrie par l’expérience. C’est un cadre de pilotage, pas une checklist.
Cette nature en fait un sujet difficile à tenir. La résilience ne se lit sur aucun tableau de bord existant : elle se répartit entre la continuité d’activité, la gestion des risques, la sécurité, les ressources humaines, la supply chain et la communication, chacune avec ses propres instances. Les questions qui reviennent sont concrètes. Qui arbitre quand deux disciplines proposent des réponses contradictoires ? Les décisions prises pendant la dernière perturbation ont-elles modifié quelque chose dans l’organisation, ou sont-elles restées dans le compte rendu ? Les dépendances critiques, fournisseurs, systèmes, compétences rares, sont-elles connues au-delà des équipes qui les opèrent ?
Une confusion revient souvent : ISO 22316 et ISO 22301 ne recouvrent pas le même objet. ISO 22301 fixe des exigences pour un système de management de la continuité d’activité et se certifie. ISO 22316 élargit le cadre à la capacité globale de l’organisation, au-delà des scénarios de rupture identifiés, et ne se certifie pas. Une organisation peut disposer d’un plan de continuité éprouvé et rester fragile sur la coordination, la culture ou l’adaptation. L’inverse est plus rare, mais il existe.
Le diagnostic de maturité répond à une question différente de celle de l’audit. L’audit conclut par un écart ou une conformité. Le diagnostic situe chaque attribut sur une échelle progressive, en cinq niveaux construits selon la méthode CMMI, et indique l’action qui fait passer au niveau suivant. L’écart entre le score obtenu et la cible génère directement le plan d’action, que l’IA regroupe en feuille de route priorisée. Les business units se comparent entre elles et à leur propre évaluation précédente.
Dans Datamensio, le référentiel est prêt à l’emploi et reste le vôtre. Vous ajustez les thématiques, les questions et la formulation des niveaux. L’IA affine ces niveaux, adapte le vocabulaire à votre secteur, ou construit une déclinaison à partir de vos propres documents : politique de continuité, retours d’expérience de crise, cartographie des dépendances.
Norme de référence : ISO 22316:2017
Les thématiques évaluées
Vision et raison d’être partagées
Formulation des objectifs et des valeurs, connaissance par les équipes, cohérence entre discours de direction et priorités opérationnelles, traduction dans les décisions d’arbitrage.
Compréhension du contexte
Veille sur l’environnement externe, identification des dépendances critiques, connaissance des parties intéressées, analyse des évolutions susceptibles d’affecter les activités.
Leadership et prise de décision
Capacité à décider en information incomplète, délégation en situation dégradée, clarté des mandats, exemplarité des dirigeants, soutien apporté aux équipes exposées.
Culture de la résilience
Comportements attendus et valorisés, traitement des signaux faibles, droit à l’alerte, place de l’erreur dans les retours d’expérience, sensibilisation des nouveaux arrivants.
Partage de l’information et des connaissances
Circulation de l’information entre entités, documentation des savoirs critiques, dépendance à des personnes clés, accessibilité des données en situation dégradée.
Disponibilité des ressources
Ressources humaines, techniques, financières et informationnelles mobilisables, redondances, polyvalence des compétences, engagements contractuels avec les fournisseurs critiques.
Coordination des disciplines de gestion
Articulation entre continuité, risques, sécurité, sûreté, qualité, ressources humaines et communication, gouvernance commune, résolution des arbitrages contradictoires.
Adaptation au changement
Capacité à modifier les modes de fonctionnement, ajustement des priorités en cours de perturbation, gestion des transitions et des retours à la normale.
Évaluation et amélioration continue
Indicateurs de résilience, exercices et simulations, exploitation des retours d’expérience, suivi dans le temps des évaluations successives.
Une version courte du référentiel est disponible pour l’auto-évaluation en ligne.
Questions fréquentes
ISO 22316 est-elle certifiable ?
Non. Elle fournit des principes et des attributs, sans exigences auditables. La certification en matière de résilience porte sur ISO 22301 pour la continuité d’activité. Le diagnostic ISO 22316 mesure la maturité de vos capacités et prépare les travaux ; il ne délivre rien.
Quelle différence avec ISO 22301 ?
ISO 22301 organise la réponse à des scénarios de rupture identifiés, avec un système de management certifiable. ISO 22316 porte sur la capacité globale de l’organisation à s’adapter, y compris à des situations non anticipées. Les deux diagnostics se complètent et peuvent être consolidés dans une feuille de route transversale.
Quelle différence entre un diagnostic de maturité et un audit ?
L’audit conclut par une conformité ou un écart. Le diagnostic situe chaque pratique sur une échelle de cinq niveaux et indique l’action qui fait passer au niveau suivant. L’écart avec la cible produit le plan d’action, chiffré en coût, délai et impact sur le score.
Combien de temps prend l’évaluation ?
La version courte se remplit en une seule session. La version complète, en mode collaboratif avec plusieurs contributeurs, s’étale généralement sur une à deux semaines : l’essentiel du temps sert à la collecte auprès de la continuité, des risques, des ressources humaines et des opérations.
Peut-on adapter le référentiel à notre organisation ?
Oui. Vous modifiez les questions, la formulation des niveaux et les thématiques, ou vous partez d’une base vierge. L’IA affine les niveaux selon la méthode CMMI et construit une déclinaison à partir de vos documents internes. Le référentiel reste votre propriété.
Comment comparer plusieurs entités entre elles ?
Chaque business unit est évaluée sur le même référentiel. Les scores par thématique se comparent entre entités et avec les évaluations précédentes. Une feuille de route transversale consolide les plans d’action de plusieurs diagnostics sans dupliquer les actions communes.
Faut-il une expertise en continuité d’activité pour répondre ?
Les questions portent sur les pratiques de gouvernance, de coordination et d’apprentissage, pas sur le contenu technique des plans. Un directeur des risques ou un secrétaire général peut y répondre. Le mode collaboratif permet d’affecter les questions spécialisées au bon contributeur.
Où sont hébergées les données ?
En France, chez OVH, avec sauvegarde chez Scaleway. Aucun transfert hors Union européenne. Les modèles d’IA mobilisés peuvent être sélectionnés, y compris parmi des solutions européennes.