Plan de continuité d'activité (PCA) PME Sénégal : programme 30 jours (2026)

PCA en PME Sénégal 2026 : pourquoi maintenant

PCA (Plan de Continuité d'Activité) = ensemble des procédures qui permettent à l'entreprise de continuer à fonctionner après un sinistre. Pas un nice-to-have, une assurance vie business.

Réalités Sénégal qui justifient un PCA :

• SENELEC : 4-12 coupures / mois selon zone (Médina, Yoff, Almadies, Plateau diffèrent), durée 2-20h.
• Saison des pluies : août-octobre, inondations Dakar et banlieue, locaux inondés.
• Cyberattaques : ransomware en hausse au Sénégal (3 PME que j'ai vues touchées 2024 : pharmacie Plateau, cabinet comptable Mermoz, négoce import VDN).
• Perte employé clé : démission DAF / CTO sans transmission = blocage 2-6 semaines.
• Incendie : 14 incendies marchés/bureaux Dakar 2024 (ASN bulletin sécurité).

Sur 100 PME que j'ai auditées, 8 avaient un PCA écrit. 0 le testaient. Le PCA est la mesure ROI la plus mal exploitée en cybersec PME.

H2 : RTO et RPO — les 2 chiffres à fixer

RTO (Recovery Time Objective) : combien de temps maximum acceptable avant de reprendre l'activité après incident.

RPO (Recovery Point Objective) : combien de données maximum acceptable de perdre.

Exemples PME Sénégal :

• Boulangerie / restaurant : RTO 24h, RPO 24h. Activité physique tolère 1 jour d'arrêt.
• Cabinet comptable : RTO 4h, RPO 4h. Clients exigent réactivité, fichiers récents critiques.
• E-commerce Wave/OM : RTO 1h, RPO 15 min. Chaque heure d'arrêt = ~5-50 KFCFA CA perdu selon volume.
• Clinique : RTO 2h, RPO 1h. Dossiers patients critiques, urgences continues.
• Banque digitale : RTO 30 min, RPO 5 min. Régulateur BCEAO exige <2h.

Plus RTO/RPO bas → plus le PCA coûte cher. Trouver le bon équilibre par fonction critique.

H2 : Stratégie backup 3-2-1-1-0

Standard industrie :

• 3 copies des données critiques
• 2 supports différents (disque + cloud, ou disque + bande)
• 1 copie hors site (datacenter cloud, autre bâtiment)
• 1 copie offline (immutable, anti-ransomware)
• 0 erreur lors des tests de restauration

Outils backup PME Sénégal

Erreur fréquente PME Sénégal : croire que Google Workspace = backup. Faux. Workspace supprime corbeille à 30 jours. Ransomware chiffre Drive synchronisé. Toujours backup tiers.

H2 : 5 scénarios PCA à documenter

Scénario 1 — Panne SENELEC prolongée (8h+)

• Détection : surveillance UPS, alerte employés.
• Action immédiate : bascule onduleurs (30 min autonomie), groupe électrogène si applicable.
• Action prolongée : télétravail depuis maison (chacun a inverter perso), bascule data sur cloud.
• Coût prévention : onduleurs 150-450 KFCFA, groupe électrogène 800K-3,5 M FCFA, abonnement cloud déjà existant.

Scénario 2 — Inondation bureau saison pluies

• Détection : appels équipe.
• Action immédiate : sauvegarder matériel critique (NAS, serveurs en hauteur), bascule télétravail.
• Action prolongée : co-working / bureau partagé secours (espaces Almadies, Plateau : 50-150 KFCFA/jour).
• Coût prévention : NAS sur étagère haute, accord co-working secours.

Scénario 3 — Ransomware

• Détection : EDR alerte, fichiers chiffrés détectés, ransom note .txt.
• Action immédiate (CRITIQUE — 30 min) : isoler machines infectées (débrancher réseau), arrêter sync cloud (Drive/OneDrive), prévenir CIO + direction + CDP/ANSSI selon contexte.
• Action prolongée : restauration depuis backup offline immutable, audit forensic, ne JAMAIS payer la rançon (75 % des cas paiement = pas de clé fonctionnelle).
• Coût prévention : backup 3-2-1-1-0, MFA généralisée, EDR (Microsoft Defender business, CrowdStrike).

Scénario 4 — Perte employé clé sans transmission

• Détection : démission, accident, maladie.
• Action immédiate : audit accès (qui a quoi), documentation procédures critiques (rétro-engineering), recrutement remplaçant.
• Action prolongée : transmissions structurées entre membres (documentation Notion/Confluence partagée, runbooks).
• Coût prévention : 4-12h/mois de documentation par fonction critique, 0 EUR direct.

Scénario 5 — Incendie / vol locaux

• Détection : alarme, sapeurs-pompiers, police.
• Action immédiate : assurance, déclaration CDP (vol données = notification 72h), bascule télétravail.
• Action prolongée : restauration backup hors site, nouvelle infrastructure.
• Coût prévention : assurance entreprise (200-1 500 KFCFA/an selon couverture), backup hors site OBLIGATOIRE.

H2 : Programme 30 jours pour bâtir le PCA

Semaine 1 — Cartographie

• J1-2 : lister processus métier critiques (vente, facturation, paie, livraison, support client).
• J3-4 : pour chaque processus : RTO / RPO acceptable, applications nécessaires, données nécessaires, personnes nécessaires.
• J5-7 : matrice criticité (impact × probabilité) → top 5 risques.

Semaine 2 — Stratégie + outils

• J8-10 : choix stratégie backup (Backblaze + Restic, ou Synology + cloud).
• J11-14 : configuration backups, premier full backup, tests restoration.

Semaine 3 — Procédures écrites

• J15-21 : 5 runbooks (1 par scénario) — qui fait quoi, dans quel ordre, qui appeler. Stockés Notion / Drive + version papier coffre.

Semaine 4 — Tests + formation

• J22-25 : test restauration backup réel (fichier random restauré, validé).
• J26-28 : exercice tabletop avec direction (scénario ransomware simulé, équipe réagit).
• J29-30 : formation employés (procédures coupure, qui appeler en cas d'incident), planification revue trimestrielle.

H2 : Coûts réalistes PME 15-25 employés

Total PME 20 employés : initial ~3-8 M FCFA, récurrent ~1,5-4 M FCFA / an. À comparer avec coût moyen incident (1 ransomware = 5-50 M FCFA en arrêt + remédiation).

FAQ

PCA et PRA, c'est pareil ?

PRA (Plan de Reprise d'Activité) = sous-ensemble technique du PCA (restauration IT après sinistre). PCA = vue plus large (RH, locaux, communication, clients, fournisseurs).

Combien de temps maintenir un PCA ?

Revue trimestrielle (1 jour/trim), mise à jour majeure annuelle. Test restauration backup mensuel (automatisable). Exercice tabletop bisannuel.

Qui est responsable du PCA en PME ?

Idéalement DG signe le PCA + CTO/CIO exécute + un référent par direction (RH, Compta, Commercial). En TPE : le dirigeant porte le projet, externalise les parties techniques.

Cloud-only PME sans serveur physique : PCA simplifié ?

Oui, beaucoup. Mais reste : backup SaaS (Google Workspace, Microsoft 365 ne sauvegardent pas indéfiniment), procédures télétravail, gestion incidents accès comptes (MFA recovery), continuité électrique pour les équipes.

Le PCA peut-il être une obligation contractuelle ?

Oui — grands comptes (banques, télécoms, distribution) exigent désormais clauses PCA dans contrats fournisseurs. Cabinet, agence, prestataire IT : avoir un PCA = critère de sélection appels d'offres B2B.

Discutons de votre cas

Si vous voulez bâtir un PCA opérationnel pour votre PME Sénégal en 30 jours, nous pouvons piloter le projet et former les équipes. WhatsApp +221 77 596 93 33.