Une association peut être fragilisée par un incendie, une cyberattaque, une absence soudaine de bénévoles clés, une inondation, une panne informatique ou une crise sanitaire. Quand l’activité repose sur peu de moyens, beaucoup d’engagement humain et parfois une forte dépendance à quelques personnes, l’interruption peut avoir des conséquences rapides sur les bénéficiaires, les financeurs et la réputation de la structure.
Le plan de continuité d’activité pour une association sert précisément à préparer cette situation. Son objectif n’est pas de tout empêcher, mais d’organiser le maintien des missions essentielles en mode dégradé, puis le retour à un fonctionnement plus stable. C’est à la fois un document stratégique et un ensemble de procédures opérationnelles. Pour une petite structure, il peut rester simple. Pour une association plus développée, il devient un véritable outil de gouvernance, de gestion des risques et de résilience.
Un repère utile permet de mesurer l’enjeu. Selon une donnée souvent reprise du Disaster Recovery Institute International, 43 % des entreprises ferment à l’occasion d’un sinistre important lorsqu’il n’a pas été anticipé. Même si une association n’a pas les mêmes objectifs qu’une entreprise, la logique de vulnérabilité reste très proche lorsqu’un service essentiel doit continuer.
Qu’est-ce qu’un plan de continuité d’activité pour une association
Un plan de continuité d’activité, ou PCA, est une stratégie formalisée qui permet à une association de faire face à une crise ou à un événement majeur perturbant son fonctionnement normal. Il décrit les actions, ressources, rôles, procédures et priorités à activer pour maintenir les activités essentielles, même de manière temporaire et partielle.
Dans une association, le PCA peut couvrir des crises très différentes :
- incendie dans les locaux,
- inondation ou catastrophe naturelle,
- cyberattaque ou perte d’accès aux outils numériques,
- crise sanitaire,
- coupure d’électricité prolongée,
- indisponibilité d’un dirigeant ou de bénévoles clés,
- rupture d’approvisionnement pour une activité de distribution,
- crise sociale ou économique affectant les financements.
Le PCA ne se limite pas à la réaction immédiate. Il prévoit aussi la reprise d’activité et le retour à la normale. Cette logique s’inscrit dans une démarche plus large de gestion des risques et de résilience organisationnelle.
Une association peut avoir un seul PCA global ou plusieurs déclinaisons selon les scénarios, par exemple un plan pour les locaux, un autre pour les risques informatiques et un autre pour la continuité des actions de terrain.
Pourquoi une association a besoin d’un PCA
Une association gère souvent des missions sensibles, accueil de publics fragiles, accompagnement social, activités culturelles, distribution alimentaire, événements, actions sportives, défense d’intérêts collectifs. Quand le fonctionnement s’interrompt brutalement, les effets dépassent le simple désordre interne.
Le PCA permet de :
- réduire l’impact d’un sinistre sur l’activité,
- maintenir les services essentiels auprès des bénéficiaires, adhérents ou usagers,
- limiter les pertes financières et les coûts de désorganisation,
- préserver la confiance des financeurs, partenaires et collectivités,
- éviter les erreurs improvisées dans un moment de stress,
- préparer la reprise dans de meilleures conditions.
La crise covid a montré un point simple. Les structures qui avaient déjà réfléchi à leur gestion de crise ont globalement mieux absorbé les perturbations que celles qui ont dû tout inventer en urgence. Le raisonnement vaut aussi pour les associations, notamment celles qui dépendent d’un local unique, d’outils numériques essentiels ou de quelques personnes incontournables.
Quels risques faut-il couvrir dans une association
Le bon réflexe consiste à partir des risques réels de la structure, pas d’un modèle générique. Les menaces à couvrir varient selon la taille de l’association, ses missions, ses publics et son territoire.
Les risques les plus fréquents sont les suivants :
- risques matériels, incendie, dégât des eaux, vol, dégradation, indisponibilité des locaux,
- risques humains, pénurie de personnel, absence des bénévoles clés, accident, conflit interne,
- risques numériques, panne informatique, perte de données, cyberattaque, messagerie bloquée,
- risques externes, crise sanitaire, catastrophe naturelle, panne réseau, coupure de courant,
- risques économiques, retard de subvention, rupture de trésorerie, hausse brutale de charges,
- risques fournisseurs et partenaires, prestataire défaillant, livraison interrompue, dépendance à un acteur unique.
Le contexte cyber mérite une attention particulière. Les sources récentes rappellent que plus d’une entreprise sur deux est victime d’une cyberattaque. Les associations ne sont pas épargnées, surtout lorsqu’elles utilisent des outils standard, disposent de peu de sécurité informatique et manipulent des données personnelles.
Quelles activités essentielles protéger en priorité
Le cœur d’un PCA consiste à distinguer ce qui peut attendre de ce qui doit absolument continuer. Dans une association, les activités prioritaires ne sont pas toujours celles qui prennent le plus de temps au quotidien. Ce sont celles dont l’arrêt créerait un impact immédiat et lourd.
Exemples d’activités à protéger en priorité :
- accueil ou accompagnement de publics vulnérables,
- paiement des salaires et des fournisseurs critiques,
- gestion des adhérents, bénéficiaires ou dossiers en cours,
- accès aux bases de données et documents administratifs,
- communication de crise avec les familles, partenaires, financeurs ou collectivités,
- maintien d’une permanence téléphonique ou numérique,
- sécurisation des locaux, du matériel et des archives.
Une association n’a pas besoin de maintenir 100 % de son activité pendant une crise. Elle doit surtout identifier le minimum vital qui permet de continuer à servir sa mission sans mettre les personnes en danger.
Le PCA est-il obligatoire pour une association
Dans la majorité des cas, le PCA n’est pas une obligation légale générale pour toutes les associations. La réglementation ne l’impose pas systématiquement comme elle peut le faire pour certains secteurs plus sensibles, par exemple le bancaire ou certains établissements de santé.
Pour autant, l’absence d’obligation ne veut pas dire absence d’intérêt. Une association peut avoir tout intérêt à formaliser un PCA lorsqu’elle :
- gère des services essentiels,
- accueille du public,
- manipule des données sensibles,
- dépend fortement de subventions ou de conventions,
- emploie des salariés,
- intervient dans le social, le médico-social ou la santé,
- organise des événements à risques logistiques élevés.
Dans certains environnements proches du sanitaire, du social ou du médico-social, les attentes sont plus fortes. L’ARS Auvergne Rhône Alpes, dans une publication datée du 3 juillet 2025, rappelle d’ailleurs l’importance du PCA pour la résilience des établissements de santé et des ESMS en temps de crise. Si une association agit dans ces domaines, un plan adapté aux risques spécifiques devient presque incontournable.
Pour une petite structure associative, un document simple, même limité à quelques pages et à un tableau d’actions, peut déjà réduire fortement les pertes d’exploitation, les erreurs de coordination et les temps d’arrêt.
Comment lancer un plan de continuité d’activité dans une association
Le plus efficace consiste à avancer par étapes courtes, avec une méthode pragmatique. Le guide méthodologique du SGDSN publié en 2014 reste une base solide. Il propose une approche en 5 étapes, à la fois séquentielle et itérative, complétée par une trentaine de fiches pratiques. Cette méthode a été pensée pour les organisations publiques et privées, et elle s’adapte bien au monde associatif.
Dans une association, le lancement du PCA peut suivre cette logique :
- identifier les risques majeurs,
- repérer les activités critiques,
- mesurer les impacts d’une interruption,
- définir une stratégie de continuité réaliste,
- formaliser les procédures, les contacts et les responsabilités,
- faire valider le plan par la gouvernance,
- tester puis mettre à jour régulièrement.
Le point clé est d’adapter le niveau de formalisme à la taille et à la maturité de l’association. Un PCA de 80 pages n’est pas forcément meilleur qu’un plan clair de 10 pages bien connu des équipes.
Qui doit rédiger le PCA dans une association
Le PCA ne doit pas être rédigé seul dans un coin par le président ou la directrice. Il doit être construit avec les personnes qui connaissent vraiment l’activité. Dans une association, cela implique souvent un petit groupe de travail composé de :
- la direction ou la présidence,
- le responsable administratif ou financier,
- les responsables d’activité,
- un référent informatique ou prestataire externe,
- des salariés opérationnels,
- si nécessaire, un ou deux bénévoles clés.
La gouvernance doit ensuite valider la stratégie de continuité. Ce point est essentiel. Les arbitrages sur les priorités, les niveaux de service et les moyens de secours ne peuvent pas être laissés au seul niveau opérationnel.
Comment cartographier les fonctions critiques de l’association
La cartographie des fonctions critiques consiste à lister ce qui permet réellement à l’association de fonctionner. Il ne s’agit pas seulement des missions, mais aussi des dépendances invisibles.
Pour chaque activité, il faut identifier :
- son objectif,
- les personnes indispensables,
- les outils nécessaires,
- les locaux ou équipements utilisés,
- les partenaires ou prestataires critiques,
- les données et documents requis,
- les conséquences d’un arrêt de 24 heures, 3 jours ou 1 semaine.
Cette cartographie permet de voir rapidement les points de fragilité, par exemple une comptabilité accessible uniquement depuis un poste local, une base adhérents non sauvegardée, ou une activité sociale dépendante d’un seul coordinateur.
| Fonction | Niveau de criticité | Dépendances principales | Solution de continuité |
|---|---|---|---|
| Accueil des bénéficiaires | Très élevé | Locaux, téléphone, équipe d’accueil | Permanence réduite, relai téléphonique, site de repli |
| Gestion comptable et paie | Élevé | Logiciel, accès bancaire, responsable administratif | Accès distant sécurisé, délégation, sauvegardes |
| Communication avec les adhérents | Moyen à élevé | Messagerie, base contacts, site web | Liste de diffusion alternative, modèle de message |
| Organisation d’événements | Moyen | Bénévoles, prestataires, salle | Report, annulation encadrée, procédure d’information |
| Archivage et données | Élevé | Serveur, cloud, mots de passe | Sauvegarde externalisée, coffre-fort numérique |
Comment réaliser un bilan d’impact simple et utile
Le bilan d’impact sert à mesurer ce que coûterait l’arrêt d’une activité. Il peut rester très simple dans une association. L’objectif n’est pas de produire un audit lourd, mais de hiérarchiser.
Pour chaque activité, il faut apprécier :
- l’impact humain, sur les bénéficiaires, usagers, salariés, bénévoles,
- l’impact financier, sur la trésorerie, les subventions, la facturation,
- l’impact juridique, obligations légales, protection des données, contrats,
- l’impact réputationnel, image auprès des familles, adhérents, collectivités,
- le délai maximal d’interruption acceptable.
Une méthode pratique consiste à attribuer une note de 1 à 4 sur chaque critère, puis à définir les priorités de reprise. L’association obtient alors une vision claire de ce qui doit être maintenu immédiatement, sous 24 heures, sous 72 heures ou plus tard.
Comment bâtir une stratégie de continuité réaliste
Une bonne stratégie de continuité n’essaie pas de reproduire le fonctionnement normal à tout prix. Elle cherche à maintenir l’essentiel avec les moyens disponibles. C’est particulièrement vrai dans une association où les ressources humaines, matérielles et financières sont souvent limitées.
La stratégie doit couvrir :
- les scénarios de crise les plus plausibles,
- les ressources disponibles ou indisponibles,
- les niveaux de réponse attendus,
- les actions de prévention, d’alerte et de protection,
- la reprise planifiée des activités prioritaires.
Le plan doit aussi rester assez souple pour être adapté au contexte réel de l’événement perturbateur. Une procédure trop rigide devient vite inutilisable.
Comment définir les niveaux de service en mode dégradé
Le mode dégradé correspond au fonctionnement minimum acceptable pendant la crise. Pour le définir, l’association doit fixer des niveaux de service réalistes.
Exemples :
- remplacer l’accueil physique quotidien par une permanence téléphonique,
- assurer une distribution alimentaire deux jours au lieu de cinq,
- reporter les actions non prioritaires pour concentrer l’équipe sur les urgences,
- limiter les réponses administratives aux dossiers critiques,
- centraliser les décisions via une petite cellule de crise.
L’intérêt est double. D’un côté, l’association protège ses missions essentielles. De l’autre, elle évite d’épuiser ses équipes en essayant de maintenir une qualité de service impossible dans le contexte.
Comment anticiper l’absence des bénévoles clés
Beaucoup d’associations dépendent de quelques personnes qui détiennent des savoirs, des accès et des contacts indispensables. C’est l’un des risques les plus sous-estimés.
Pour réduire cette dépendance, il faut :
- documenter les tâches critiques,
- partager les mots de passe et accès de manière sécurisée,
- prévoir un suppléant par fonction sensible,
- constituer une liste de renforts mobilisables,
- formaliser les contacts utiles, prestataires, mairie, assurance, banque, hébergeur,
- organiser une transmission minimale entre bénévoles et salariés.
Un PCA associatif solide repose rarement sur des moyens techniques coûteux. Il repose souvent sur une meilleure circulation de l’information et sur la réduction des dépendances individuelles.
Comment assurer la continuité des activités numériques
Le volet numérique est devenu central. Une association peut être paralysée si elle perd l’accès à sa messagerie, à son espace de stockage, à son logiciel de gestion ou à ses données adhérents. Le PCA peut donc intégrer un PCI, plan de continuité informatique, et être complété par un PRA, plan de reprise d’activité, voire un PRI pour la seule remise en route des systèmes d’information.
À minima, le PCA associatif doit prévoir :
- des sauvegardes régulières et testées,
- un inventaire des outils numériques critiques,
- une procédure en cas de cyberattaque,
- des accès d’urgence pour les responsables habilités,
- une liste des prestataires informatiques et hébergeurs,
- un mode de communication alternatif si la messagerie tombe,
- des règles de sécurité simples, double authentification, mises à jour, gestion des droits.
Le contexte actuel renforce cette exigence. Les incidents cyber, les pannes cloud, les erreurs humaines et les rançongiciels sont devenus des scénarios crédibles, même pour une petite structure.
Quels documents faut-il prévoir dans un PCA associatif
Un PCA utile ne se limite pas à une note d’intention. Il doit contenir des documents immédiatement exploitables pendant la crise. Le bon niveau de détail est celui qui aide à agir sans noyer les équipes dans trop de papier.
Le dossier PCA peut contenir :
- une fiche de déclenchement du plan,
- l’organisation de crise et les rôles de chacun,
- les coordonnées à jour des contacts clés,
- la cartographie des activités critiques,
- les procédures de continuité par activité,
- les procédures de sécurité et de protection,
- les plans de communication interne et externe,
- les modalités de reprise et de retour à la normale,
- un registre de décision et de suivi de crise.
Dans les structures plus avancées, ce corpus peut être enrichi par des fiches réflexes, des scénarios types, une annexe assurance et une check-list de retour d’expérience.
Comment rédiger les procédures à suivre en cas de crise
Les procédures doivent être claires, courtes et orientées action. Elles doivent indiquer :
- qui décide,
- qui alerte,
- qui contacte les secours ou les partenaires,
- quelles actions de protection engager pour les personnes et les biens,
- comment basculer en mode dégradé,
- comment lancer la reprise des activités prioritaires.
Une bonne procédure contient aussi des éléments très concrets, par exemple :
- les numéros d’urgence,
- les scripts d’appel ou de message,
- les accès utiles,
- les documents à récupérer,
- les décisions à tracer,
- les critères de fin de crise.
Le guide du SGDSN insiste sur ce point, les procédures doivent être assez détaillées pour guider les intervenants, mais assez souples pour s’adapter à la réalité de l’événement perturbateur.
Comment organiser la communication interne et externe
La communication de crise est souvent ce qui fait la différence entre une perturbation gérée et une crise qui s’aggrave. Une association doit savoir qui informe qui, quand et par quel canal.
Le PCA peut prévoir :
- un circuit d’alerte interne,
- une liste de diffusion d’urgence,
- des messages types pour les adhérents, bénéficiaires, familles ou partenaires,
- un porte-parole désigné,
- une validation des messages sensibles,
- un canal alternatif si l’outil principal est indisponible.
La règle utile est la suivante, mieux vaut une information courte, fiable et régulière qu’un silence prolongé suivi d’un message confus. Pour une association financée en partie par des partenaires publics, la qualité de la communication pendant la crise joue aussi sur la relation de confiance après la crise.
Quelle différence entre PCA et plan de reprise d’activité
Le PCA et le PRA sont complémentaires, mais ils n’ont pas le même rôle.
Le plan de continuité d’activité vise à maintenir les activités essentielles pendant la crise, même en mode dégradé. Il traite de l’organisation humaine, des priorités, de la communication, de la protection et des solutions temporaires.
Le plan de reprise d’activité vise à rétablir les systèmes, moyens ou infrastructures après le sinistre. Il est souvent plus technique, notamment sur le volet informatique.
| Élément | PCA | PRA |
|---|---|---|
| Objectif principal | Maintenir l’activité essentielle | Rétablir le fonctionnement normal |
| Moment d’utilisation | Pendant la crise | Après ou en sortie de crise |
| Contenu | Organisation, procédures, mode dégradé, communication | Remise en route des outils, systèmes, locaux ou services |
| Approche | Stratégique et opérationnelle | Technique et planifiée |
| Volet informatique | PCI possible | PRI possible |
Dans le secteur bancaire, la réglementation parle aussi de PUPA, plan d’urgence et de poursuite de l’activité, terme employé depuis 2014. La logique reste proche, maintenir temporairement les prestations essentielles puis organiser la reprise planifiée.
Comment faire un PCA avec peu de budget
Un budget limité n’empêche pas de construire un PCA sérieux. Beaucoup d’actions utiles coûtent peu, ou presque rien, si elles sont menées avec méthode.
Priorités à faible coût :
- établir une liste à jour des contacts critiques,
- documenter les missions essentielles sur quelques fiches,
- sécuriser les mots de passe avec un gestionnaire adapté,
- mettre en place des sauvegardes automatiques,
- prévoir un espace cloud partagé et structuré,
- désigner des suppléants sur les tâches sensibles,
- créer un tableau de continuité simple par activité,
- tester un scénario de crise en réunion d’équipe.
Des ressources externes peuvent aussi aider. Le Service Public Entreprendre, via la DILA, diffuse des contenus pratiques, avec une publication mise à jour au 20 avril 2026 à destination notamment des micro-entreprises. La logique est transposable aux petites associations. Le SGDSN met à disposition un guide librement accessible. L’IMdR publie également des documents pratiques, un guide PCA en trois tomes et anime des travaux sur la résilience.
Le bon réflexe n’est pas de chercher d’abord un logiciel. Il faut d’abord clarifier l’organisation, les priorités et les dépendances.
Comment tester et mettre à jour le plan régulièrement
Un PCA rangé dans un dossier ne protège personne. Il doit être testé, corrigé et enrichi par le retour d’expérience. Ce travail vivant fait partie de la continuité d’activité. Plusieurs acteurs spécialisés, comme le Club de la Continuité d’Activité, rappellent d’ailleurs l’importance des exercices et du partage de pratiques. Ce réseau, association loi 1901 créée en 2007, réunit plus de 250 participants, organise environ 20 événements par an et a publié près de 70 publications. Il mène aussi des exercices annuels, avec des références comme REMPAR22 et REMPAR25, en lien notamment avec l’ANSSI et l’Université Paris 1 Panthéon Sorbonne.
Pour une association, les tests peuvent rester simples :
- exercice de contact d’urgence,
- simulation de perte d’accès à la messagerie,
- test de restauration de sauvegarde,
- jeu de rôle sur l’absence du dirigeant ou d’un bénévole clé,
- revue des procédures après un incident réel.
Chaque test doit déboucher sur des décisions concrètes, documents à corriger, contacts à mettre à jour, accès à sécuriser, procédures à simplifier. Le retour d’expérience doit être traité comme une ressource centrale, pas comme une formalité.
À quelle fréquence faut-il mettre à jour un PCA
Une révision au moins annuelle est une base raisonnable pour la plupart des associations. Une mise à jour doit aussi être déclenchée à chaque changement significatif :
- nouvelle activité,
- déménagement,
- changement de direction ou de gouvernance,
- évolution des outils numériques,
- nouveau prestataire critique,
- incident ou crise réelle,
- modification des obligations ou conventions.
Le format le plus efficace est souvent une revue courte mais rigoureuse, avec vérification des contacts, des accès, des sauvegardes, des procédures et des responsabilités. Certaines organisations spécialisées, comme l’IMdR, fonctionnent avec des réunions trimestrielles d’une demi-journée dans leurs groupes de travail. Sans reproduire ce rythme à l’identique, une association peut s’inspirer de cette logique en instaurant un rendez-vous régulier de pilotage.
Un plan de continuité d’activité association efficace n’est pas un document pensé pour rassurer sur le papier. C’est un cadre de décision qui aide à protéger la mission associative quand les repères habituels disparaissent. Le vrai gain se mesure le jour où un local devient inutilisable, où une cyberattaque bloque les accès, ou quand une absence imprévue désorganise tout. Les structures qui s’en sortent le mieux ne sont pas toujours les plus grandes, mais celles qui ont identifié l’essentiel, réparti les responsabilités et accepté de préparer l’imprévu avant qu’il ne s’impose.
