Congrès annuel ACPAU Winnipeg, Manitoba Le 16 juin 2008, séance simultanée Continuité des affaires et reprise des TI après sinistre : il faut une approche intégrée

Présentateurs Gerry Miller University of Manitoba Philip Stack Vice-recteur adjoint, services de gestion du risque University of Alberta

Aperçu de la présentation Première partie Aperçu de la gestion intégrée des urgences Deuxième partie Reprise des TI après sinistre

« Une urgence surviendra à un moment donné, dans l’histoire de toute université. Ne présumez jamais que cela n’arrive qu’aux autres. » (1999, Harrell, G., ouragan frappant la Caroline du Nord) ___________________________________________ Fuite radioactive – les administrateurs sont stupéfaits Les autorités universitaires ignoraient les dangers, affirme un prof. Autre fusillade sur un campus L’Université est en deuil. Le recteur se fait reprocher le manque de préparation. « Il y a de l’eau partout! » L’enseignement et la recherche sont complètement paralysés par la crue des eaux

Urgence à l’université ou au collège « La question n’est pas de savoir si un désastre ou une urgence peut survenir sur un campus, mais bien quand. J’ai eu à réagir à de nombreuses situations d’urgence qui exigeaient des décisions rapides, comme plusieurs évacuations du campus et des fermetures prolongées qui mettaient en péril le programme d’enseignement à l’Université. Gérer les traumatismes à long terme vécus par les personnes a constitué pour moi une leçon d’humilité et une expérience fort exigeante. « Notre décision de créer des plans exhaustifs, puis de continuellement les vérifier et les mettre à jour s’est avérée l’une des meilleures façons d’employer nos ressources et notre temps. » John Cavanaugh, recteur, University of West Florida Inattendu Imprévu Non planifié Sans précédent Tout à fait déplaisant 5

Pourquoi se soucier de la gestion des urgences? 1/2 Tolérance de la société – les gens sont mieux informés, plus sages, ne sont plus disposés à accepter l’incertitude comme par le passé. Responsabilité de l’établissement – envers la communauté, le conseil, le gouvernement, nous. La nouvelle législation comble les lacunes qui pouvaient accorder une certaine immunité aux organisations, p. ex., à l’équipe de direction. Risque juridique – une action ou l’inaction peut conduire l’Université devant les tribunaux et faire en sorte qu’une personne se retrouve avec un casier judiciaire. On a tendance à tenir l’Université responsable d’avoir omis de prendre des mesures raisonnables pour prévenir une crise ou d’avoir omis de faire les préparatifs nécessaires pour gérer une situation de crise. Due Diligence and Reasonable What is reasonable Very contextual What is standard procedure in the industry What would the informed individual in these circumstances have done A reasonable person is one who knows the law and who knows the workplace Legal Penalties Penalties under regulatory law are to: Motivate people to pay attention to their obligation to take reasonable care Faire de la préparation aux situations d’urgence une priorité peut exiger d’intégrer la gestion de crise dans les descriptions de poste, les évaluations du personnel et les vérifications. - Poland (1994) 6

Pourquoi se soucier de la gestion des urgences? 2/2 Réputation – Risque que la réputation de l’Université soit entachée et, ce qui est tout aussi important, que votre propre réputation soit entachée. Fragilité – Les systèmes peuvent être surchargés et l’infrastructure, aisément brisée. De vastes systèmes interdépendants peuvent entraîner des pannes désastreuses, p. ex., la panne d’électricité qui a touché l’Est du Canada et des États-Unis, une panne du système de TI, une panne des systèmes de communications. Établissements d’enseignement – ne sont pas exemptés de la réglementation, p. ex., santé et sécurité au travail (personnel et milieu de travail) et obligation de fournir un environnement sûr. Il peut y avoir des particularités quant aux risques inhérents et aux risques opérationnels, mais les établissements demeurent responsables. Due Diligence and Reasonable What is reasonable Very contextual What is standard procedure in the industry What would the informed individual in these circumstances have done A reasonable person is one who knows the law and who knows the workplace Legal Penalties Penalties under regulatory law are to: Motivate people to pay attention to their obligation to take reasonable care « La clé de la gestion du risque est de transmettre l’information au sujet des risques, en temps opportun et de façon succincte, tout en veillant à ce que les décideurs clés aient le temps, les outils et la motivation nécessaires afin de prendre les mesures adéquates selon cette information… il en découle que la responsabilité primordiale de la fonction de gestion du risque est de communiquer intelligemment. » Kloman, Felix. (Risk Management Reports, 2001) 7

Qu’essayons-nous de faire? Programme intégré de gestion des urgences Participation des facultés, des départements et de la division responsable de la planification Continuité des affaires, y compris la préparation en cas de pandémie Amélioration de la planification en cas d’urgence et des composantes de gestion connexes

Objectif Être mieux préparé Augmenter la capacité et la fiabilité Avoir une approche englobant toute l’Université Avoir des systèmes adaptables et flexibles Adopter des principes de gestion des urgences Renforcer les pratiques et la prise de décisions Protéger les activités fondamentales Prévention-atténuation Préparation Reprise Intervention

Lorsque la machine déraille! CRISE Niveau 2 ou 3 Activation Centre des opér. d’urgence Activation Équipe de gestion de crise Plan d’action Faculté, départ. ou unité Niveau 1 Première intervention Action Faculté ou Départ. Évaluation Reprise Restauration Remise en service Continuité Prévention Plans Préparation Formation Désastre / Urgence d’envergure / Panne Prog. intégré de gestion d’entreprise Activités normales PLAN DE COMMUNICATION Partenaires internes et externes Lorsque la machine déraille!

Programme de gestion intégrée des urgences de l’Université Planification et interopérabilité par couches Programme de gestion intégrée des urgences de l’Université Plan de communication en cas de crise de l’Université de l’Alberta Plan d’urgence global de l’Université de l’Alberta Plan d’action de faculté ou de département Services de santé Intervention d’urgence Départements Organismes gouvernementaux Plan d’action de département ou d’unité

Plan d’urgence global et plans d’action de faculté, de département Annexe Administration et mise à jour Risque, prévention, préparation Mesures après incident Plans et équipes de communication en cas de crise Soutien : Préparation, Intervention, Reprise et Remise en service - Dans toute l’Université Ressources et formulaires Contacts en cas d’urgence – int./ext. Plans d’action : intervention, reprise, remise en service Perte d’un fournisseur vital Rôles, responsabilités, listes de contrôle Perte des TI, communications Incident – système de commande et proc. norm. de fonctionnement Perte de services publics Planification de la continuité des affaires Activation et notification, fonctionnement Perte de personnel Perte d’équipement, de véhicules Généralités, introduction, politique, aperçu Perte d’installations, de bureaux, d’espaces de travail Programme de gestion intégrée des urgences de l’U de l’A Plans de secours, mesures de rechange, atténuation et protection Continuité des affaires – Plans d’action

Comment atteindre ce but? Continuité des affaires et plans d’action Développement en 4 phases : Analyse Mesures de rechange, solutions et stratégies 3. Mise en oeuvre (faculté ou département : plan d’urgence, plan d’action) 4. Mise à jour

Analyse d’impact sur les affaires Services essentiels à la conduite des affaires Flux de travail Temps d’arrêt maximal acceptable Dossiers et documents vitaux Priorités de reprise et de remise en service Planifier en vue d’une catastrophe est une démarche positive. Ne pas y penser est un désastre! Soin, Protection, Responsabilité

Planification de scénarios Perte d’accès Perte de services publics Perte d’installations Perte de vies humaines Perte des TI ou des télécommunications, ou les deux Perte d’un fournisseur vital Comment rétablir des fonctions et des services perdus Soin, Protection, Responsabilité

La gestion du risque, c’est votre affaire! Université et risques Incendie, inondation, tornade : eau, détérioration des structures Crime, désordre public, terrorisme : vol, alerte à la bombe, violence en milieu de travail, troubles publics, prise d’otage, tireur, fraude Urgence de santé publique : pandémie de grippe aviaire, méningite Services publics : température élevée, humidité élevée ou faible Environnement : moisissures, organismes nuisibles, amiante Dangers routiers Erreur humaine Risques liés aux TI Risques financiers Risques liés à la réglementation Risques d’atteinte à la réputation La gestion du risque, c’est votre affaire!

Conséquences possibles Santé, sécurité et sûreté Blessures ou décès Soins des animaux Spécimens, données, dossiers vitaux Aspects juridiques Réglementation Finances Infrastructure Réputation Perte d’étudiants Perte de professeurs ou de membres du personnel Perte de collections Perte de documents de valeur Moral Les risques ne respectent pas les frontières!

Outil d’analyse des risques Qu’est-ce qui peut mal tourner? Quelle est la probabilité que cela arrive? Quelles sont les conséquences? Source : Nature Technique Homme Risque : Désastre naturel ou dû à l’homme Probabilité Gravité Risque Priorité Incendie Rare Catastrophique Moyen 3 Inondation Occasionnel Catastrophique Élevé 2 Panne majeure d’électricité Probable Critique Élevé 1 Alerte à la bombe Improbable Critique Faible 4 Soin, Protection, Responsabilité

gestion intégrée des urgences Programme de gestion intégrée des urgences de l’U de l’A Stratégie de dossiers méd. pers. de l’U de l’A Plan de communication en cas de crise Plan d’urgence global de l’U de l’A Analyse et plans d’action Installations et exploitation Services essentiels Facultés Recherche Administration Enseignement Soins des animaux Ressources humaines Électricité Sécurité sur le campus TI et dossiers Chauffage Laboratoires Planification Environnement Personnel Eau Personnel Finances Résidences Terrains Communications Paie Commanditaires TI Bâtiments Redéploiement Exploitation Communications Intervention Produits périssables

Programme de gestion intégrée des urgences - modèle Université – prête, résiliente et solide Fonctions, services, systèmes et processus Culture de gestion du risque Leadership et engagement

Système de commandement en cas d’incident – Composantes Commandant Commandement Relations publiques Agent de liaison Personnel de commandement Agent de sécurité Chain of Command structure An orderly line of authority Someone who is a lead during normal work may not be the commander when the EOC or incident demands Characteristics of a Team (1): Strong leader Empowered members Shared vision Continuous access to the same information Mutual respect – every job is important Personnel général Exploitation Planification Logistique Finances Administration Faiseurs Penseurs Trouveurs Payeurs Premiers répondants 21

Exemple de centre des opérations d’urgence (COU) Recteur de l’Université Directeur du COU Groupe resp. des politiques d’urgence : vice-recteurs et avocat-conseil Coordonnateur du COU Agent de liaison : interne/externe Agent de relations publiques Directeur adjoint du COU Agent de liaison Professeurs et doyens Chef de section Exploitation Chef de section Logistique Chef de section Planification et information Chef de section Finances et administration Registraire RH TI et télécomm. Gestion de l’approvision-nement Responsable de l’unité de documentation Suivi des ressources Services financiers Services financiers Sécurité publique Gestion des installations Gestion des installations Projets d’immo-bilisations Démobilisation État de la situation Contrats Gestion du risque et assurance Services aux étudiants, résidences 22

Style de gestion en temps de crise au sein d’une université Les urgences entraînent un changement de style de gestion Passe d’un mode consultatif au mode de commandement et de contrôle « Vous devez évaluer les dommages et les moyens de rétablir la situation. Vous devez aussi évaluer vos ressources humaines - qui est disponible et quelle est la capacité de travail de chacun? Rappelez-vous que les dommages ne sont pas seulement physiques. Évaluez également vos ressources externes. Qui peut vous venir en aide? Ce qui est le plus important : prenez la direction des opérations. À titre de recteur, de dirigeant principal de l’information, c’est vous qui êtes le mieux placé pour préserver les intérêts de votre établissement. Ne comptez pas sur la Federal Emergency Management Agency (États-Unis) (ou Emergency Management Alberta, Santé publique Canada). Ne comptez pas sur le gouvernement. Ne comptez pas sur l’aide de l’État (ou de la province). Prenez la situation en main. » John Lawson, vice-recteur, technologie de l’information et dirigeant principal de l’information, Tulane 23

Formation et exercices En résumé Engagement de la direction Approche intégrée Culture du risque Formation et exercices

Voici pourquoi nous devons être prêts pour les urgences…

Septième place...

Sixième place...

Cinquième place...

Quatrième place...

Troisième place...

Deuxième place...

Et le GAGNANT...