Modèle GDN, Doctrine
Le capital de maîtrise : ce que le risque ne mesure pas
Le risque mesure ce qui peut arriver. Le capital de maîtrise mesure ce que l'organisation sera réellement capable de faire si cela arrive.
Cette distinction paraît simple. Elle ne l'est pas dans ses conséquences. Car la quasi-totalité des dispositifs de gouvernance numérique, cartographies de risques, plans de continuité, clauses de réversibilité, audits de sécurité, répondent, par construction, à la première question, pas à la seconde. Ils décrivent des scénarios. Ils ne mesurent pas la capacité d'agir une fois le scénario survenu.
C'est cet angle mort que ce texte se propose d'éclairer, en posant les bases d'une notion que je développe depuis plusieurs mois dans le cadre du Modèle GDN, Gouvernance des Dépendances Numériques : le capital de maîtrise.
1. Quand tout est en ordre, et que rien ne marche
Prenons une situation banale. Une direction des systèmes d'information a ses contrats à jour. Son inventaire d'actifs est complet. Ses procédures sont documentées, ses audits de sécurité réalisés dans les délais, ses clauses de réversibilité inscrites noir sur blanc dans chaque contrat d'infogérance ou de SaaS. Sur le papier, tous les voyants sont au vert.
Puis un événement survient. Le fournisseur change de politique tarifaire, se fait racheter, décide d'abandonner une fonctionnalité critique, ou tout simplement cesse de répondre aux sollicitations dans des délais compatibles avec l'activité. Et l'organisation découvre, en quelques semaines, qu'elle est incapable d'agir. Pas parce qu'elle n'avait rien anticipé, mais parce que ce qu'elle avait anticipé n'était jamais qu'une capacité déclarée, jamais une capacité exercée.
Ce scénario, tout DSI l'a vécu sous une forme ou une autre. Un éditeur ferme l'accès à un module dont dépendait un processus métier entier. Un hébergeur augmente ses tarifs de façon spectaculaire, sans réelle alternative crédible à court terme. Une clause de réversibilité, au moment de s'en servir, se révèle inapplicable en pratique. En cause : un format d'export inexploitable, ou l'absence de compétence interne pour la mettre en œuvre. Le problème n'est pas l'absence de dispositif. En réalité, le dispositif n'a jamais été mis à l'épreuve avant d'en avoir besoin.
C'est tout l'enjeu de la distinction entre capacité déclarée et capacité mobilisable : la première se lit sur un tableau de conformité, la seconde ne se vérifie qu'à l'épreuve du réel.
C'est précisément, en effet, ce que les approches classiques de la dépendance numérique ne mesurent pas.
2. Pourquoi le risque ne suffit plus
La gestion des risques a longtemps constitué le cadre de référence pour penser la dépendance numérique. Elle pose une question légitime : que peut-il se passer, avec quelle probabilité, avec quel impact ? Cette question reste nécessaire. Elle n'est plus suffisante.
Le risque permet d'identifier et d'évaluer ce qui peut arriver. Les dispositifs de continuité, PCA, PRA, plans de résilience, préparent la réponse. Mais ni les uns ni les autres ne mesurent nécessairement ce qu'une organisation conserve dans la durée. Ce qui reste en jeu, c'est sa capacité réellement mobilisable face à une dépendance donnée. Deux organisations peuvent afficher exactement la même cartographie de risques face à un même fournisseur, même probabilité de rupture de service, même impact estimé. Elles peuvent pourtant se retrouver dans des situations radicalement différentes le jour où l'incident survient.
L'une aura conservé, en interne, la compétence pour reprendre la main. Elle saura relire ses données, comprendre son architecture, solliciter un autre prestataire, activer une alternative. L'autre aura délégué non seulement l'exécution, mais la compréhension elle-même. Elle découvrira, au pire moment, qu'elle ne sait plus ce qu'elle ne sait plus.
Le risque, en somme, est une photographie de la menace. Il ne suffit pas, à lui seul, à qualifier la capacité réelle de réponse. Or c'est cette capacité de réponse qui détermine, in fine, si un incident se transforme en péripétie gérée ou en crise durable. C'est cette capacité que le capital de maîtrise cherche à nommer, puis à mesurer.
3. Le concept : qu'est-ce que le capital de maîtrise
Le capital de maîtrise désigne la capacité réellement mobilisable d'une organisation à comprendre, décider, contrôler et reprendre la main sur ce qu'elle a délégué à un tiers. Ce tiers peut être un fournisseur, un prestataire, un éditeur, un hébergeur.
Trois mots comptent particulièrement dans cette définition, et méritent d'être détaillés.
Réellement. Le capital de maîtrise ne se déclare pas, il s'observe. Une compétence qui existe sur un organigramme mais que personne n'a exercée depuis deux ans n'est pas un capital de maîtrise : c'est une trace administrative de ce capital, qui a pu s'éroder sans que rien ne le signale.
Mobilisable. Une capacité n'a de valeur, en situation de rupture, que si elle peut être activée dans les délais compatibles avec la contrainte opérationnelle. Une compétence peut exister, mais nécessiter six mois de remise à niveau avant d'être opérationnelle. Elle n'apporte alors aucune réponse à une rupture qui se joue en semaines.
Délégué. Le capital de maîtrise ne concerne pas ce que l'organisation fait elle-même ; cela relève d'autres indicateurs, opérationnels ou financiers. Il concerne spécifiquement ce qu'elle a choisi de confier à un tiers. Et la part de compréhension, de décision et de contrôle qu'elle a su conserver malgré cette délégation.
Le capital de maîtrise n'est donc pas un jugement sur le fait de dépendre d'un tiers. Toute organisation dépend de tiers : c'est la nature même de la sous-traitance, de l'infogérance ou du SaaS, et il n'y a rien d'anormal à cela. Le capital de maîtrise porte sur autre chose : ce qui reste, entre les mains de l'organisation, une fois la dépendance assumée.
4. La distinction essentielle : capacité déclarée, capacité mobilisable
C'est ici que se joue l'essentiel du diagnostic. C'est probablement aussi le point le plus difficile à faire accepter dans une organisation : une capacité qui n'a jamais été exercée reste, jusqu'à sa mise à l'épreuve, une capacité déclarée. Sa mobilisabilité demeure une hypothèse.
Trois situations, très reconnaissables pour qui pilote un système d'information, illustrent cet écart.
Trois situations révélatrices
La compétence non exercée. Un agent a suivi, trois ans plus tôt, une formation approfondie sur l'architecture d'une solution critique. Depuis, le prestataire a intégralement piloté cette solution. L'agent est toujours là. Son nom figure toujours dans le plan de continuité comme référent technique, mais il n'a plus touché à la configuration depuis son départ en formation. Sur le papier, la compétence existe. En pratique, elle s'est érodée sans que personne ne le mesure, faute d'avoir jamais été sollicitée.
La réversibilité non testée. La clause de réversibilité figure dans le contrat, relue par le service juridique, validée en comité. Elle prévoit la restitution des données dans un format standard, sous un délai déterminé.
Mais l'organisation ne l'a jamais activée en conditions réelles. Le jour où elle en a besoin, elle découvre plusieurs limites. Le format promis n'est pas directement exploitable sans un travail de retraitement conséquent. Le délai contractuel ne tient pas compte du temps nécessaire à l'intégration côté organisation. Et l'équipe censée piloter cette reprise n'a jamais simulé l'exercice. La clause existait. La réversibilité, elle, n'était que théorique.
Un troisième symptôme, plus insidieux
L'audit dépendant du fournisseur. L'organisation dispose d'un dispositif d'audit régulier de son prestataire, c'est même une bonne pratique, largement répandue. Mais en y regardant de près, l'essentiel des éléments d'audit provient de livrables produits par le prestataire lui-même : rapports, journaux, indicateurs qu'il fournit et met en forme. L'organisation contrôle-t-elle son prestataire, ou relit-elle ce que le prestataire veut bien lui montrer de lui-même ? La différence n'est pas anecdotique : elle détermine si l'audit constitue un véritable levier de maîtrise ou une simple validation de forme.
Dans les trois cas, pourtant, un tableau de conformité affiche un statut positif. Dans les trois cas, le capital de maîtrise réellement disponible est très inférieur à ce que ce statut laisse penser. C'est cet écart, entre ce qui est déclaré et ce qui est mobilisable, que l'organisation découvre presque toujours au pire moment : au moment même où elle aurait besoin d'agir.
5. Les dimensions du capital de maîtrise
Le capital de maîtrise ne se réduit pas à une seule dimension. Il se construit à l'intersection de plusieurs capacités, dont l'équilibre, plus que le niveau isolé de chacune, détermine la robustesse réelle de l'organisation.
Les six dimensions en détail
Les compétences internes. La capacité humaine à comprendre, sans dépendre exclusivement du prestataire, le fonctionnement de ce qui a été délégué, son architecture, sa logique, ses points de fragilité.
L'autonomie technique. La capacité à agir concrètement sur le système, ou à en changer. Sans être structurellement bloqué par des choix techniques qui n'auraient été pensés que pour servir l'intérêt du fournisseur.
La réversibilité éprouvée. Non pas la clause contractuelle qui la prévoit, mais la démonstration effective, testée, que la reprise en main est possible dans les conditions et les délais annoncés.
La maîtrise de la donnée. La capacité à savoir où se trouvent les données, sous quel format, avec quel degré d'accessibilité réelle. Au-delà de la seule question de leur localisation géographique, qui occupe aujourd'hui l'essentiel du débat public sur la souveraineté numérique.
La capacité d'audit et de contrôle. La possibilité, pour l'organisation, de vérifier par elle-même ce qui se passe réellement chez son prestataire, plutôt que de dépendre uniquement des éléments que celui-ci choisit de lui transmettre.
L'autonomie contractuelle et décisionnelle. La capacité à négocier, faire évoluer ou sortir d'un contrat. Sans que le rapport de force soit à ce point déséquilibré que la décision, en pratique, appartienne davantage au fournisseur qu'à l'organisation elle-même.
Ces six dimensions ne s'additionnent pas simplement. Une organisation très forte sur l'autonomie technique, mais dépourvue de toute capacité d'audit indépendant, reste vulnérable, tout comme une organisation dotée de compétences internes solides mais dont la réversibilité n'a jamais été testée.
Le capital de maîtrise n'est donc pas la somme de six garanties. Il résulte de leur combinaison et, surtout, de leur capacité à être mobilisées ensemble lorsqu'une dépendance doit être remise en question.
C'est ainsi cette nécessité de lire les dimensions ensemble, et dans le temps, qui a conduit à la construction d'un indicateur dédié.
6. L'ICM : transformer le concept en mesure
Nommer et décrire le capital de maîtrise ne suffit pas à en faire un outil de pilotage. Une direction générale ou un COMEX ne peut arbitrer durablement sur la base d'une notion, aussi juste soit-elle. Il lui faut un indicateur qu'elle peut suivre dans le temps, comparer d'une dépendance à l'autre, et intégrer à ses décisions comme elle le ferait d'un indicateur financier ou RH.
C'est l'objet de l'Indice de Capital de Maîtrise (ICM), déjà présenté dans un premier article dédié. Il traduit les six dimensions précédentes en un indicateur suivable et actionnable, sans réduire leur complexité à un chiffre unique et trompeur.
L'ICM n'a pas vocation à réduire le capital de maîtrise à une note unique qui masquerait les déséquilibres. Sa construction doit permettre plusieurs niveaux de lecture : comprendre finement la maîtrise conservée face à une dépendance, fournir à une direction un instrument de pilotage, et apprécier la capacité opérationnelle de l'organisation à reprendre effectivement la main.
Je ne détaille pas ici la méthode de calcul de l'ICM, ses différents niveaux de lecture ni leurs modalités d'évaluation ; ils feront l'objet d'un prochain article, consacré spécifiquement à la construction de l'instrument et à ses conditions d'application. Ce qu'il importe de retenir, néanmoins, à ce stade, c'est la fonction que cet indicateur occupe : non pas se substituer à un audit de sécurité, une cartographie applicative ou une clause contractuelle, mais offrir à une direction un moyen de suivre, dans la durée, l'évolution, et surtout l'érosion, de son capital de maîtrise, avant que cette érosion ne se révèle au moment d'une rupture.
7. Le Modèle GDN : de la mesure au pilotage
Le capital de maîtrise et l'ICM qui le mesure ne prennent tout leur sens que replacés dans une démarche plus large : le Modèle GDN, Gouvernance des Dépendances Numériques.
Cette démarche s'articule en quatre mouvements. Elle consiste d'abord à identifier les dépendances numériques significatives d'une organisation. Il s'agit de celles dont la rupture aurait un effet réel sur sa capacité à fonctionner, au-delà du simple inventaire contractuel. Vient ensuite le temps de mesurer la maîtrise résiduelle sur chacune de ces dépendances, à l'aide de l'ICM et des six dimensions qui le composent. Sur cette base, l'organisation peut arbitrer les risques en connaissance de cause : accepter certaines dépendances en l'état, en renforcer d'autres, en limiter la portée pour les plus critiques. Reste enfin à construire les capacités de reprise qui font aujourd'hui défaut, qu'il s'agisse de compétences, de tests de réversibilité ou de dispositifs d'audit indépendants.
Le Modèle GDN, quatre mouvements au service du capital de maîtrise
Le Modèle GDN ne prétend pas éliminer la dépendance numérique, objectif à la fois illusoire et contre-productif dans un monde où la sous-traitance, l'infogérance et le SaaS sont devenus la norme opérationnelle. Il propose un changement de posture : cesser de subir la dépendance comme une fatalité binaire, dépendant ou non dépendant, pour la gouverner comme un capital que l'on peut mesurer, entretenir, et faire évoluer délibérément.
8. La finalité : des dépendances choisies, connues, gouvernées et réversibles
Il ne s'agit donc pas de viser une indépendance numérique absolue. Une telle ambition serait irréaliste : aucune organisation, publique ou privée, ne peut aujourd'hui fonctionner en totale autarcie technologique. Elle serait aussi contre-productive, car elle priverait l'organisation des bénéfices légitimes de la sous-traitance et de la spécialisation.
L'objectif du capital de maîtrise, et plus largement du Modèle GDN, est ailleurs.
Ce que vise le Modèle GDN
Il s'agit de faire en sorte que chaque dépendance soit choisie plutôt que subie, connue dans son étendue réelle plutôt que sous-estimée, gouvernée dans la durée plutôt que gérée uniquement au moment de sa signature contractuelle, et réversible de façon éprouvée plutôt que théorique.
Une organisation qui atteint ce niveau de maîtrise ne dépend pas moins de ses fournisseurs. Elle dépend différemment : en pleine connaissance de ce qu'elle délègue, avec la capacité, le moment venu, de reprendre la main. C'est cette différence, discrète mais décisive, qui sépare une dépendance maîtrisée d'une dépendance ordinaire. Celle-ci ne se révèle comme telle qu'au moment où elle devient une crise.
Il ne s'agit donc pas de supprimer les dépendances numériques. Il s'agit de pouvoir les choisir sans perdre la capacité d'en sortir.
Une dépendance peut être assumée. Elle ne devrait jamais devenir irréversible par défaut.
C'est l'ambition du Modèle GDN : rendre visibles les dépendances, mesurer le capital de maîtrise qu'une organisation conserve face à elles. Et permettre aux directions de l'entretenir dans le temps.
Un prochain article reviendra sur la méthode et la construction de l'ICM lui-même. Il détaillera la manière dont les six dimensions se traduisent concrètement en un indicateur mesurable, suivable dans le temps. Et lisible à plusieurs niveaux, selon qu'on l'utilise pour analyser une dépendance, la piloter en direction, ou évaluer la capacité opérationnelle de reprise.
La gouvernance ne commence pas lorsque survient un incident.