Speaker #0J'ai arrêté de payer mes certifications, ISO 22301, Lead Implementer et Lead Auditor, car on ne me les demande plus en fait. Et je suis aussi dans le mauvais pays. Et puis, c'est de l'argent pour rien et un coût de maintenance en back-office. Et tu veux savoir pourquoi j'ai arrêté ça ? En fait, le dernier cours que j'ai donné, c'était en 2018. Ouais, ça fait 8 ans. C'était pour un ministère de protection nationale d'un pays. Donc, il n'y a plus rien. Plus aucune demande. Ah, je ne dis pas qu'il n'y a pas de continuité d'activité. Il existe d'autres standards que l'ISO, mais dans cet épisode, je vais travailler quelques chiffres publics interpellants sur le 22301. Oui, et aussi dans cet épisode, je vais encore m'attirer des trolls, parce que je ne parle pas de buzzwords du moment, qui sont le cloud, l'IA et la cyber. Par contre, on peut se poser des questions sur un drone qui met à l'arrêt tout un aéroport, ou une personne âgée qui tousse sur un bateau de croisière. Alors, c'est quoi la continuité d'activité ? Pourquoi j'ai arrêté de les maintenir ? Pourquoi... Pourquoi le sud de l'Europe et l'est de l'Europe continuent d'y penser et de se certifier, ainsi que leur organisation ? J'ai ma petite idée, mais pas forcément les bonnes réponses. Par contre, j'ai l'ISO public Survey et ça c'est interpellant. Bienvenue dans Compliance Without Coma, le podcast qui parle de gouvernance, de cyber et d'ISO 27001. Mais pas trop cette fois-ci. Et tout ça sans t'endormir. Je suis Fabrice De Paepe et aujourd'hui je t'explique pourquoi j'ai arrêté mes certifications de continuité d'activité. N'oublie pas de liker, partager et discuter de cela avec un collègue CISO ou RSS en devenir, ou quand tu croises quelqu'un d'un COMEX. Sur un malentendu, on sait jamais, tu pourrais lui glisser un risque qu'il n'avait pas vu dans leur EBIOS RM. Bonjour mon coma breaker préféré. Alors, la continuité d'activité, c'est quoi ? Surtout, ça consiste à garantir que l'entreprise peut continuer à fournir ses produits ou services essentiels malgré une crise, malgré un incident ou malgré une catastrophe. Alors, soit on improvise dans l'urgence et certains s'en sortiront, soit on planifie et on prend les scénarios vraisemblables et on les teste. Là aussi, failing to plan égale planning to fail. Et les Canadiens rient de nous quand on a 1 cm de neige et que le pays est paralysé. Coucou Denis, coucou Dominique. Eux, en fait, ils se prennent des 40 cm à 1 mètre de neige pendant des mois. Et tout tourne. Il y a une différence de division quand même. L'un qui est prêt chaque année car l'hiver s'en vient, comme on dit dans la belle province, winter is coming, pour les autres qui ont la référence. Et en fait, très peu d'organisations se sentent concernées par la continuité d'activité. Ou même les balbutiements. Non. On a un plan DR, notre IT est résilient, etc. Il y a la personne qui tousse sur le paquebot de croisière, tu l'as oublié. On la laisse descendre, on laisse le paquebot à quai, ou on laisse les 4000 passagers en quarantaine bien au large. C'est ça la continuité de l'activité. Je pousse à peine, mais c'est oublier ce que la continuité de l'activité est. Et on oublie vite. L'ego. Toujours l'ego. Et je ne vais pas me cacher, en fait, parce que c'est déjà difficile de faire comprendre c'est quoi un SMSI pour l'ISO 27001. Alors t'imagines un BCMS, pour Business Continuity Management System. Pourtant, dans un SMSI, on doit sécuriser l'information. Et l'information se sécurise de base avec la confidentialité, l'intégrité et la disponibilité. Est-ce que tu entends la continuité ? Non. Pas de disponibilité, pas de disponibilité. Peut-être que ces mêmes personnes oublient qu'on peut avoir des crues, de la neige, qui isolent un village, un blackout. Mais puisque le centre de crise nationale dit que ça tient, tout va bien. Ou alors qu'on peut même avoir des sociétés où les héros ne quittent jamais la structure ou ne meurent jamais. Là, c'est des super héros. Moi, par exemple, si je meurs demain, sache que l'épisode 64 n'est pas encore monté et planifié. On s'arrêtera donc là. Mais le mort, lui, il s'en fout, il est mort. Mais ton business, ça c'est autre chose. Bon, il y a des secteurs dans lesquels j'ai travaillé où il faut reconnaître que le BCP est bien présent. Tu as remarqué, j'ai dit BCP, Business Continuity Plan. Je n'ai pas dit ISO 22301. Et pour ça, on a les assurances, les banques, le retail, tu vois, la grande distribution. Les data centers, eux, en général, ils ont la 22301. Aie confiance. Mais le reste, la plupart du temps, pas concerné. On a un DR, on a un ITSCM pour... IT Service Continuity Management, monsieur. Mais le transport ? Eh bien, pas vraiment. L'un ou l'autre vont bien te demander à un moment donné des experts BCP, mais pas pour être certifié. Mais tous ces gens-là ont oublié H1N1. Tu vois, toi aussi, c'est trop loin déjà. Et si je te parle de Covid, tu t'en souviens ? Mauvaise piqûre de rappel. Ou bien une grève nationale, un blackout continental, des intempéries ou un fournisseur qui flanche, peu importe la raison. Voir un attentat. Je sais, j'exagère. encore, ça n'arrive jamais des attentats. Sans parler de géopolitique, de la guerre hybride, est-ce que je te parle de cybersécurité, là ? Non, pas du tout. Mais la majorité va se concentrer sur la cyber. Tu sais, quand tu montres quelque chose du doigt à quelqu'un, et que cette personne regarde le doigt, au lieu d'aller regarder ce que le doigt pointe vraiment, voir au-delà. Think beyond the fix, en anglais. Donc voilà, finalement, très peu de demandes sur le 22301, j'ai arrêté de le maintenir. C'est un océan bleu pourtant, mais sans poissons. Si t'as pas la référence en marketing, viens me parler. Alors le fameux survey ISO, bah déjà c'est public. Si tu sais où chercher, c'est gratuit. C'est assez rare, non de l'ISO, que pour le souligner. Mais c'est quoi d'abord ? En fait, l'ISO survey, c'est une étude menée par des organismes de certification accrédité, qui forment un gage de conformité aux exigences de la norme. Et son objectif, à notre ami l'ISO survey, et de mesurer le nombre total de certificats ISO délivrés. Déjà, rien que ça, bravo. Délivrés où ? Dans le monde, pour chaque norme et dans chaque pays. Donc tu peux aller sur iafcertsearch.org alors iaf, Isidor Alpha Foxtrot, puis CERT de certification, search de rechercher.org ou tu tapes ISO survey dans ton navigateur ou LLM préféré. Si tu ne trouves pas, contacte-moi. Et là, quand tu arrives sur le site, bam ! IAF, International Accreditation Forum, c'est une organisation mondiale qui veille à ce que les certifications, comme ISO 27001 et 9001 par exemple, soient délivrées selon des règles harmonisées et reconnues internationalement. Elle garantit qu'un certificat obtenu dans un pays peut être considéré comme crédible et fiable dans les autres pays membres. Donc l'IAF, c'est l'organisation qui assure que les organismes qui délivrent des certifications ISO travaillent tous selon les mêmes règles. Grâce à elles, un certificat ISO obtenu en Belgique peut être reconnu et inspirer confiance partout dans le monde. Je te prends un exemple. TRECCERT. Tiens. TRECCERT est accrédité ANAB. Et à ANAB est signataire des accords de reconnaissance de l'IAF. Les certificats délivrés sous cette accréditation bénéficient donc d'une reconnaissance internationale. Comme ça, tu sauras quoi répondre à ton HR ou ton chasseur de tels préférés. A leur, célèbre question, oui, mais est-ce que c'est reconnu internationalement ? Point d'interrogation. Mais revenons à notre survey. Il y a quelques chiffres intéressants. La Chine est première en 9001. Tu t'en doutais ou pas ? Première exportateur. Ça peut expliquer, non ? Avec toutes les conformités qu'on peut demander pour importer nos produits, enfin les leurs, pardon, sur notre vieux continent. Mais le second, tu l'as ? L'Italie. Par contre ? La France est sortie du top 10. On est la France, nous, monsieur, on n'a pas besoin d'ISO 9001. On n'a pas besoin de qualité, nous. Bref, tu en tireras les conclusions que tu veux. Et alors, ISO 27001 arrive en quatrième position dans le monde. Donc d'abord, 9001, système de management de la qualité. Ensuite, 14001, système de management environnemental. Bon, ce sont les deux ancêtres de l'ISO. On a la 45001 pour la santé et les sécurités au travail. Et en quatrième position, l'ISO 27001. pour le système de management de la Sécurité de l'Info. Ça, tu le sais déjà, après tous ces épisodes. Mais ici, je regarde juste ISO 22301. Et je t'ai pris le top 6 des pays européens avec le plus de certifs d'entreprise ISO 22301. Donc, pas de personne. Je te parle de vraiment certificat d'entreprise. Et pourquoi le top 6 ? Ce n'est pas arbitraire. J'ai pris tous les pays européens à trois chiffres. Après, ça tombe très radicalement à deux chiffres. Donc, en premier pays, en Europe, avec le plus de certifications 22-301, t'as deviné qui c'était ? Perdu ! La Grèce, 550. L'Italie, ça je t'ai déjà dit pour 9001, mais l'Italie est deuxième, avec 231. L'Allemagne, troisième, 186. Oh, on voit que ça tombe déjà. La Serbie, 179. L'Espagne. 141 et la Pologne 105. Voilà, je m'arrête là. Donc là... Il y a un marché pour vendre des certifications 22-301. Sauf que je ne parle pas grec, ni italien, ni allemand, ni serbe, ni espagnol, ni polonais. Et l'écart avec le reste des pays européens est énorme. La France, 30. Le Luxembourg, 8. La Suisse, 17. La Belgique, 7. Ah oui, au fait, tu voulais un score Eurovision ? Allez, je t'ajoute l'Australie alors. 27. Après, on pourrait regarder par habitant avec un peu de Wikipédia ou par km². Ça serait marrant de trouver certaines corrélations. Mais je te laisse t'amuser avec le survey Excel, tu en trouveras sûrement des édifiantes également. Et les pays de l'Est, eux, cherchent la reconnaissance internationale. Ils sont en croissance. Mais tout ça va peut-être changer avec l'effet NIS2 et Dora. Où ? En fait, cette frontière entre ISO 27001 et 22301 va devenir plus floue. Et... où on parle de plus en plus de continuité, de résilience, de gestion de crise et de reprise, mais je ne l'ai pas encore senti sur le marché. Et c'est précisément le terrain de l'ISO 22301. Donc l'ISO 22301, elle est perçue comme norme de continuité, mais on est bon. T'es sûr ? Comment tu sais que t'es bon ? T'as une amélioration continue ? Mais en fait, l'ISO 22301, c'est surtout une norme de résilience opérationnelle. Voilà, donc je suis devenu obsolète sur le marché 22301, car j'ai arrêté mes certifications pour des raisons que tu connais. Mais si je devais repasser les examens demain, pas de souci. 3 heures pour le 22301 Lead Implementer, et 3 heures pour le 22301 Lead Auditor. Mais rassure-toi, ça ne me prendrait pas 6 heures, mais plutôt 3 heures pour les deux, car 150 questions chacune. Mais le 22301 Lead, il y a les bases, il y a la gestion de projet, il y a des rendements d'échelle dans mes connaissances, avec toutes les normes que je connais déjà, les clauses 4 à 10. Ça ne change pas des masses. Et puis le 22301 est là, c'est basé sur la 19011. Donc l'audit de système de management. Et les bases du 22301. Mais je suis prêt. En fait, j'ai réduit les coûts d'exploitation pour les mettre justement dans le podcast à la place. Il y a par contre un léger truc qu'on pourrait ajouter dans notre analyse, c'est la souveraineté. Polytech en France veut se détacher de Microsoft. Si on réfléchit bien, se détacher d'un fournisseur qui fait trop la loi, peu importe son pays d'origine. N'est-ce pas là une première prise de conscience face à la résilience ? Peut-être qu'on croquera ce mot souveraineté très bientôt avec un guest spécial et mon homonyme. Fabrice interview Fabrice, on va se marrer tiens. Donc dis-moi ton avis, je pense que cet épisode est clivant à plus d'un titre. Et en guise de conclusion, est-ce que les pays qui se sentent forts et en a priori abondance ont-ils un problème avec l'ISO 22301 ? Je n'ai pas la réponse. Ou bien est-ce que les pays pauvres ou émergents, et avec une certaine humilité, qui eux ont compris que tout peut basculer du jour au lendemain, se préparent dès lors mieux aux risques opérationnels ? Eh bien je ne sais pas. Mais ça me rappelle la cigale et la fourmi. Tu te rappelles ce qui est arrivé à la cigale ? Alors si cet épisode t'a plu, n'hésite pas à le partager autour de toi, c'est encore le meilleur moyen de faire grandir Compliance Without Coma et de rester éveillé. Et n'oublie pas les 5 étoiles sur Spotify ou Apple. les deux plus gros mangeurs de parts de marché pour l'instant. Donc pense également à t'abonner au podcast, pour ne manquer aucun épisode en fait. Et pour prolonger la discussion, on peut se retrouver sur Instagram et TikTok et YouTube, c'est tout simplement ComplianceWithoutComa. Pour les coulisses du podcast, il y a également des shorts, des réels, des punchlines, des guests en vidéo, des micro-trottoirs, dans les différents événements auxquels je participe. Et j'espère bientôt d'autres surprises, qui sait. Je cherche toujours des sponsors d'ailleurs, pour ne pas que cette histoire s'arrête. A vendredi prochain, déjà, pour un nouvel épisode de Compliance Without Coma. D'ici là, prends soin de toi, Comma Breaker.
