Alerte précoce

Pouvez-vous voir où cela devient fragile ?

Après une défaillance grave, l’analyse conclut presque toujours que les signaux d’alerte étaient là. Un ticket de maintenance resté ouvert pendant des mois. Un fournisseur qui a commencé à manquer ses dates de livraison. Un spécialiste parti sans être remplacé. Une petite panne qui s’est résorbée d’elle-même et a été classée comme résolue.

Chacun de ces éléments avait été consigné quelque part. Pris isolément, chacun semblait routinier. Ils se trouvaient dans des systèmes différents, sous la responsabilité d’équipes différentes, remontés à des responsables différents. Personne ne les regardait ensemble, et personne ne les regardait comme les signes que la même fonction devenait fragile.

C’est le problème que nous désignons par alerte précoce. Il ne s’agit pas d’un manque d’information. La plupart des institutions recueillent plus de données qu’elles ne peuvent en utiliser. Il s’agit de la capacité à voir la fragilité s’accumuler autour d’une fonction essentielle avant qu’elle n’apparaisse sous forme de défaillance.

Notre position est simple. Les défaillances sont rarement soudaines. Elles se construisent à partir d’alertes que personne n’a mises ensemble. L’alerte précoce est la discipline qui consiste à les réunir : remarquer lorsque des faiblesses situées dans des domaines différents commencent à s’aligner, et dans quelle direction elles évoluent.

La plupart des alertes étaient déjà là

Avec le recul, les alertes semblent évidentes. Sur le moment, elles le sont rarement.

La raison n’est pas que les personnes sont négligentes. C’est que chaque signal arrive dans un contexte qui le fait paraître normal. Une réparation retardée est un élément d’un backlog. Une livraison manquée est une ligne dans un rapport fournisseur. Un départ est une entrée dans un système RH. Chacun est traité correctement par le processus qui en a la responsabilité.

Ce qu’aucun processus ne voit seul, c’est le motif qui les relie. La sociologue Diane Vaughan, en étudiant la catastrophe de Challenger, a décrit la manière dont les organisations en viennent progressivement à accepter de petits écarts comme normaux parce que chacun, pris isolément, n’a pas conduit au désastre. L’écart devient la nouvelle référence, et le suivant est mesuré par rapport à lui.

L’alerte précoce commence par accepter que les signaux existent généralement déjà. La question est de savoir où ils se trouvent, qui peut les voir ensemble et ce qui les fait paraître routiniers.

Plus de données ne signifie pas plus de visibilité

La réaction instinctive à une alerte manquée est de collecter davantage : davantage de capteurs, davantage de tableaux de bord, davantage de lignes de reporting. Cela aide rarement. Cela aggrave souvent le problème, car chaque nouveau flux ajoute du bruit plus vite qu’il n’ajoute de compréhension.

Nous distinguons la collecte d’information de la compréhension structurelle. La collecte répond à la question « qu’est-ce qui se passe ici ? ». La compréhension structurelle répond à une autre : « pourquoi ce système se comporte-t-il ainsi, et où devient-il fragile ? »

La différence est pratique. Un tableau de bord peut montrer que chaque indicateur reste dans son seuil. La compréhension structurelle peut montrer que les seuils ont été définis pour un système qui n’existe plus, ou que plusieurs indicateurs encore dans leurs seuils évoluent ensemble dans la mauvaise direction.

La valeur ne réside pas dans le fait de posséder chaque signal. Elle réside dans la capacité à normaliser suffisamment des types de preuves différents pour les comparer, et à savoir quelles combinaisons comptent.

Les signaux comptent lorsqu’ils s’alignent autour d’une fonction

Une anomalie de communication peut être routinière. Il peut en aller de même d’une irrégularité électrique, d’un retard logistique ou d’un changement de fournisseur. Les quatre autour de la même fonction essentielle, pendant la même période, ne le sont pas.

C’est pourquoi l’alerte précoce, comme la résilience, part de la fonction plutôt que de la source de données. Une fois la fonction nommée, il devient possible de demander quels signaux, issus de quels domaines, la concernent et de rechercher une convergence plutôt que le franchissement de seuils individuels.

Ces domaines sont rarement seulement techniques. Les signaux qui comptent pour une fonction peuvent venir de l’infrastructure, des opérations, des fournisseurs, des effectifs, des budgets, des procédures et des décisions institutionnelles. Un système d’alerte qui ne surveille que la couche technique manquera le moment où la spécialiste qui sait restaurer le système remet sa démission.

Charles Perrow a décrit la manière dont les défaillances dans des systèmes étroitement couplés se propagent plus vite que les opérateurs ne peuvent les comprendre. L’alerte précoce cherche à voir le couplage avant que la défaillance ne le parcoure.

La direction compte plus que la position

Un score statique vous dit où se situe quelque chose. Il ne vous dit pas dans quelle direction cela va.

Une institution en état raisonnable mais qui s’affaiblit régulièrement peut être plus exposée qu’une institution en mauvais état mais qui s’améliore rapidement. Une évaluation ponctuelle les classera dans l’ordre inverse. C’est pourquoi nous accordons autant d’attention à la trajectoire qu’à l’état.

En pratique, cela signifie distinguer deux types de preuves :

• Indicateurs structurels plus lents : profondeur des effectifs, backlog de maintenance, concentration des fournisseurs, stabilité budgétaire, âge des systèmes critiques. Ils changent sur des mois et montrent si les fondations se renforcent ou s’érodent.
• Signaux opérationnels plus rapides : incidents, quasi-incidents, retards, anomalies, plaintes. Ils changent sur des jours et montrent comment le système se comporte sous la charge actuelle.

Aucun des deux ne suffit à lui seul. Une lente érosion peut rester invisible dans les données opérationnelles jusqu’au jour où elle ne l’est plus. Un pic de bruit opérationnel peut paraître alarmant alors que les fondations sont solides.

Lorsqu’un événement réel met à l’épreuve une faiblesse connue, c’est le moment de réévaluer, pas lors de la prochaine revue planifiée. Un incident constitue aussi une preuve sur le système d’alerte : l’a-t-il vu venir, et sinon, pourquoi ?

L’absence de signal est un signal

Certaines des alertes les plus importantes sont des silences.

Un système qui n’a signalé aucun incident depuis trois ans peut être exceptionnellement fiable. Il peut aussi avoir cessé de signaler. Un fournisseur qui ne remonte jamais de problème peut ne pas en avoir, ou avoir appris qu’il était malvenu de les signaler. Un journal de maintenance sans entrée peut signifier qu’aucune intervention n’était nécessaire, ou que personne ne s’en charge.

Nous traitons donc les signaux manquants comme quelque chose à expliquer, pas comme une raison de se rassurer. Lorsqu’un signal devrait exister et n’existe pas, la première question est de savoir si le canal qui devrait le transporter fonctionne encore.

Cela compte surtout là où la défaillance est la moins attendue. La fonction que tout le monde suppose stable est souvent celle que personne ne surveille.

Comparer les mécanismes, pas les organisations

Les institutions diffèrent dans leur structure d’un pays, d’un secteur ou d’une autorité à l’autre. Les manières dont elles échouent se ressemblent davantage que leurs organigrammes.

Une fonction peut être affaiblie par les mêmes mécanismes dans des contextes très différents : responsabilité séparée de la capacité, point unique de connaissance, procédure supposant un canal qui peut échouer, décision nécessitant une approbation que personne ne peut donner à temps. Ces mécanismes se répètent indépendamment de l’organisation responsable.

C’est pourquoi nous comparons les mécanismes de défaillance plutôt que les institutions. La question utile n’est pas « quelle organisation est meilleure ? ». Elle est « quel mécanisme récurrent devient actif dans cette fonction, et quelle preuve montre sa direction ? »

Cela éloigne également l’alerte précoce d’une chose qu’elle ne doit jamais devenir : un classement. Classer les institutions encourage la défensive et le jeu avec les indicateurs. Identifier les mécanismes invite à réparer.

Une alerte est aussi une affirmation

Une alerte affirme que quelque chose devient fragile. Comme toute affirmation, elle doit dire sur quoi elle repose.

Une alerte utile indique quelle fonction elle concerne, quels signaux la soutiennent, quel type de preuve constituent ces signaux, quel est le niveau de confiance dans l’évaluation et ce qui reste inconnu. Elle indique également ce qui la confirmerait et ce qui l’infirmerait.

Les fausses alertes ont un coût. Chacune rend la suivante plus facile à ignorer. Un système d’alerte qui ne peut pas distinguer une convergence réelle d’une coïncidence entraînera son public à ne plus écouter.

C’est ici que l’alerte précoce dépend du jugement. Les personnes qui reçoivent une alerte doivent pouvoir la juger : demander sur quoi elle repose, reconnaître quand les preuves sont faibles et savoir quel signal supplémentaire trancherait la question. Les systèmes qui produisent les alertes ont besoin de la même discipline, en gardant séparés les informations déclarées, les données observées et l’inférence, au lieu de les mélanger dans un score unique qui masque ce que chacune prouve.

Une alerte n’est utile que si quelqu’un peut agir

Voir tôt la fragilité a peu de valeur si personne n’a l’autorité pour réagir, ou si la réponse doit être inventée au moment de l’alerte.

Pour chaque fonction qui mérite d’être surveillée, nous voulons savoir à l’avance : qui reçoit l’alerte, qui peut agir, quelles actions sont disponibles à chaque niveau de préoccupation et ce qui se passe si l’alerte se révèle fausse. Une alerte qui atteint quelqu’un sans autorité, ou la bonne personne sans réponse convenue, devient un autre signal classé comme routinier.

Le lien avec la résilience est direct. L’alerte précoce indique à une institution quand se préparer. La résilience détermine ce qu’elle peut faire lorsque la préparation rencontre l’événement.

La réglementation européenne utilise les mots « alerte précoce » pour quelque chose de différent. Dans NIS2, une alerte précoce est une notification envoyée aux autorités dans les 24 heures suivant la prise de connaissance d’un incident significatif. Cette obligation compte, mais elle commence après l’incident. L’alerte précoce dont nous parlons commence avant.

Comment nous travaillons ensemble

Notre travail sur l’alerte précoce avec un partenaire commence par les fonctions qui comptent le plus, pas par les données qui se trouvent être disponibles.

Nommer les fonctions. S’accorder sur les fonctions essentielles qu’une institution a le plus besoin de voir clairement.

Cartographier où se trouvent les signaux. Pour chaque fonction, identifier quels domaines produisent des preuves pertinentes, qui les détient et où se trouvent les silences.

Définir à quoi ressemble la convergence. Décider quelles combinaisons de signaux, et quelles directions d’évolution, méritent l’attention.

Convenir de la réponse. Établir qui reçoit une alerte, qui peut agir et quelles options existent avant qu’une alerte ne soit nécessaire.

Laisser la capacité de juger. L’institution devrait terminer avec des personnes capables de lire de manière critique la prochaine alerte et de demander sur quoi elle repose.

Lorsque nous examinons une fonction avec un partenaire, voici les questions que nous parcourons généralement :

Là où nous sommes prudents

Nous nous imposons quelques engagements quant à ce que nous affirmons.

Nous ne présentons pas l’alerte précoce comme une prédiction. Elle montre où la fragilité s’accumule et dans quelle direction elle évolue. Elle ne dit ni quand ni si une défaillance se produira.

Nous ne classons pas les institutions et n’évaluons pas les individus. Nous regardons les mécanismes et les fonctions.

Nous ne traitons pas l’absence d’alertes comme une preuve de bonne santé, et nous ne traitons pas un signal isolé comme une constatation.

Nous ne mélangeons pas différents types de preuves dans un score unique qui masque ce que chacune établit.

Et nous n’appelons pas quelque chose une alerte précoce si personne ne peut agir dessus.

Lectures complémentaires

• Directive (UE) 2022/2555 (NIS2), article 23, relative au signalement des incidents, y compris l’alerte précoce aux autorités.
• Diane Vaughan, The Challenger Launch Decision (1996).
• Charles Perrow, Normal Accidents (1984).

Thèmes associés : Résilience · Vérification · Transfert de capacité

Évolution de cette position

• 24 septembre 2026 — Première publication.

Les modifications substantielles sont indiquées ici avec leur date. Les corrections de formulation ou de liens ne le sont pas.