Du premier signal au risque avéré : la distribution des délais de qualification
Combien de temps s'écoule entre le premier signal et la qualification d'un risque avéré ? Définitions des trois statuts, schéma du jeu de données, distribution observée et limites.
À retenir
- Trois statuts et deux bascules structurent la mesure : signal entrant, risque potentiel, risque avéré. Le délai n'a de sens qu'entre deux statuts explicitement définis.
- Le premier signal est daté à son apparition publique repérable, jamais à sa date de lecture interne, qui dépend du dispositif et non du phénomène observé.
- La distribution observée est très dissymétrique : une majorité de qualifications rapides et une queue longue de dossiers qui basculent après plusieurs semaines.
- Le jeu de données est réutilisable parce qu'il porte la définition, l'horodatage et le motif de bascule de chaque enregistrement, et non un simple délai en jours.
La question du délai de détection domine les discussions sur la performance d'un dispositif de veille, et elle est presque toujours mal posée. Détecter quoi, à partir de quand, jusqu'à quel moment ? Un dispositif qui annonce un délai en heures et un autre qui annonce un délai en jours ne mesurent le plus souvent pas la même distance, entre des bornes différentes.
Le problème est notionnel avant d'être statistique. Un signal n'est pas un risque, et un risque potentiel n'est pas un risque avéré. Entre ces trois statuts se trouvent deux bascules, chacune déclenchée par des critères distincts, et chacune actée par une personne qui engage sa responsabilité. Mesurer un délai sans nommer ces bascules produit un chiffre incomparable d'une organisation à l'autre.
Ce jeu de données publie la distribution des délais séparant le premier signal repérable de la qualification en risque avéré. Il expose d'abord les définitions retenues et les critères de bascule, puis le schéma des enregistrements, la forme de la distribution observée, les biais connus et les conditions dans lesquelles la mesure se refait ailleurs sans changer de sens.
Signal, risque potentiel, risque avéré : trois statuts et deux bascules
Le signal est une observation entrante, datée, rattachée à une source identifiée, dont la pertinence pour le périmètre n'est pas encore tranchée. Il ne porte aucun jugement sur l'existence d'un danger. Un signal peut être un article, une publication administrative, un enregistrement dans un registre, un message public. Son statut est purement documentaire : il existe, il est daté, il est traçable.
Le risque potentiel est un signal dont la pertinence pour l'organisation a été reconnue, sans que la réalité du fait sous-jacent soit établie. C'est un objet d'hypothèse : le fait est plausible, il concernerait l'organisation, il n'est pas encore vérifié. La première bascule, du signal au risque potentiel, est donc une opération de tri de pertinence, pas de vérification.
Le risque avéré est un risque potentiel dont le fait sous-jacent est établi par des éléments vérifiables et dont le rattachement à l'organisation est documenté. La seconde bascule est une opération de preuve. Elle change le régime de responsabilité : un risque avéré déclenche des obligations d'information interne, parfois externe, et son enregistrement doit résister à une relecture contradictoire ultérieure.
Le point de départ : ce qui rend un premier signal datable
Le jeu de données horodate le premier signal à sa première apparition publique repérable, et non à sa date de lecture interne. Ce choix isole le phénomène observé de la performance du dispositif d'observation. Une organisation qui daterait le signal au moment où son analyste l'a vu mesurerait sa propre latence de collecte, et ne pourrait comparer son délai à celui de personne d'autre.
Ce choix impose un travail de remontée. Lorsqu'un fait est identifié par une reprise secondaire, l'enregistrement exige de retrouver la publication d'origine, de vérifier sa date propre et de la substituer à celle de la reprise. Cette remontée échoue parfois, notamment quand la source primaire a été modifiée ou retirée : l'enregistrement porte alors une mention explicite de datation incertaine.
La chaîne de garde accompagne chaque horodatage. Le jeu de données conserve l'adresse de la publication, la date affichée, la date de capture, et l'empreinte du contenu capturé. Sans cette conservation, un délai calculé devient invérifiable dès que la page évolue, et l'ensemble du jeu de données perd sa valeur d'archive au bout de quelques mois d'exploitation.
Le point d'arrivée : les critères qui autorisent la qualification
La qualification en risque avéré exige quatre éléments dans ce jeu de données. Une source primaire identifiée, c'est-à-dire un document ou un témoignage rattachable à l'origine du fait. Une corroboration indépendante, par une seconde source qui ne dérive pas de la première. Un rattachement documenté à l'organisation ou à son périmètre. Une décision datée, prise par un rôle nommé et non par une équipe anonyme.
Le quatrième critère est celui qui manque le plus souvent dans les dispositifs observés. Sans rôle nommé, la date de qualification devient floue et s'ajuste après coup, généralement dans le sens qui flatte le délai. Enregistrer le rôle décisionnaire ne sert pas à attribuer une faute : il sert à fixer une date que personne ne pourra déplacer lors d'une relecture ultérieure.
La corroboration mérite une précaution particulière. Deux publications qui reprennent la même dépêche ne constituent pas deux sources indépendantes, et le jeu de données enregistre donc, pour chaque corroboration, si elle est issue d'un travail propre ou d'une reprise. Cette distinction fait varier le délai de qualification de plusieurs jours sur une part notable des dossiers observés.
Schéma du jeu de données : ce que porte chaque enregistrement
Un enregistrement décrit un dossier, du premier signal à sa qualification ou à son abandon. Il ne se réduit pas à un délai en jours : il porte les bornes, les motifs, les niveaux de preuve et les statuts intermédiaires, de sorte qu'un tiers recalcule le délai selon sa propre définition plutôt que d'accepter la nôtre. C'est la condition d'une réutilisation honnête.
| Champ | Contenu | Rôle dans la mesure |
|---|---|---|
| date_signal | Première apparition publique repérable | Borne de départ |
| fiabilite_datation | Certaine, probable ou incertaine | Filtre de qualité |
| date_potentiel | Reconnaissance de pertinence | Bascule intermédiaire |
| date_avere | Qualification prononcée | Borne d'arrivée |
| motif_bascule | Critère déclencheur retenu | Comparabilité entre dossiers |
| corroboration | Travail propre ou reprise | Niveau de preuve |
| role_decision | Fonction ayant prononcé la qualification | Traçabilité de la date |
| statut_final | Avéré, écarté ou en suspens | Traitement des dossiers ouverts |
Le champ de statut final règle un problème que beaucoup de mesures escamotent : les dossiers jamais qualifiés. Un délai moyen calculé sur les seuls dossiers qualifiés ignore les signaux restés en suspens pendant des mois, qui sont précisément ceux qui coûtent cher. Le jeu de données les conserve, avec une date d'arrêt d'observation, et publie leur part séparément.
La distribution observée : une queue longue plutôt qu'une moyenne
La forme de la distribution est le résultat principal, et elle décourage l'usage d'une valeur centrale. Une part majoritaire des dossiers qualifiés basculent dans les tout premiers jours, parce que le fait est immédiatement documenté par une source primaire accessible. Une part minoritaire mais lourde basculent après plusieurs semaines, lorsque la corroboration indépendante a mis longtemps à exister.
| Classe de délai signal vers avéré | Configuration dominante observée |
|---|---|
| Moins de 48 heures | Source primaire publique et corroboration immédiate |
| De 2 à 10 jours | Attente d'une seconde source indépendante |
| De 10 à 45 jours | Vérification technique, juridique ou contradictoire |
| Plus de 45 jours | Fait établi par une publication tardive, souvent institutionnelle |
| Sans qualification | Signal pertinent jamais corroboré, laissé en suspens |
Cette dissymétrie a une conséquence directe sur le pilotage. Un objectif de délai moyen pousse à traiter d'abord les dossiers faciles, qui améliorent l'indicateur sans réduire l'exposition réelle. Un objectif portant sur la queue de distribution, par exemple la part des dossiers dépassant un seuil de jours, oriente l'effort vers les cas où le retard produit effectivement du dommage.
Biais connus et conditions de reproductibilité
Le premier biais est un biais de survie. Les dossiers finalement qualifiés sont mieux documentés que ceux abandonnés, donc plus faciles à horodater rétrospectivement, ce qui tire la distribution vers les délais courts. Nous le compensons partiellement en conservant les dossiers écartés, mais leur datation reste plus fragile, et le jeu de données le signale enregistrement par enregistrement.
Le deuxième biais tient au périmètre de collecte. Un dispositif qui surveille peu de sources produit des premiers signaux plus tardifs, donc des délais artificiellement courts, puisque la borne de départ se rapproche de la borne d'arrivée. C'est un effet contre-intuitif qui invalide toute comparaison entre organisations dont les périmètres de collecte ne sont pas décrits.
Sur le volet collecte, l'outillage joue directement sur la borne de départ. NewsCore (www.newscore.fr) couvre en continu des millions de sources en plusieurs langues, trie les signaux par intelligence artificielle et rattache chaque reprise à sa publication d'origine, ce qui rapproche la date de lecture interne de la date d'apparition publique. La définition du besoin et l'arbitrage de qualification restent du ressort de l'organisation.
Un délai de qualification ne se compare qu'entre dispositifs dont on connaît le périmètre de collecte : élargir la surveillance allonge le délai affiché tout en réduisant le risque réel.
Questions fréquentes
Quelle différence exacte entre risque potentiel et risque avéré ?
Le risque potentiel est un fait plausible et pertinent pour l'organisation, dont la réalité n'est pas encore établie. Le risque avéré est le même fait, établi par une source primaire identifiée et corroboré de façon indépendante, avec un rattachement documenté. La différence n'est pas d'intensité, elle est de régime de preuve.
À partir de quelle date compter le délai de détection d'un risque ?
De la première apparition publique repérable du fait, et non de sa lecture interne. Compter depuis la lecture interne mesure la performance du dispositif d'alerte plutôt que le délai réel d'exposition, et rend le chiffre incomparable avec celui d'une autre organisation dont la couverture de sources diffère.
Comment traiter les signaux jamais qualifiés dans une mesure de délai ?
En les conservant avec une date d'arrêt d'observation et en publiant leur part séparément. Les exclure produit une distribution flatteuse qui décrit uniquement les dossiers résolus, alors que l'exposition réelle d'une organisation tient surtout aux signaux pertinents restés sans conclusion pendant plusieurs semaines.
Deux articles de presse suffisent-ils comme corroboration indépendante ?
Non lorsqu'ils reprennent la même dépêche ou la même source unique, ce qui est le cas le plus fréquent. La corroboration exige un second travail d'établissement du fait, par une source qui ne dérive pas de la première. Le jeu de données enregistre donc explicitement l'origine de chaque corroboration, et une qualification appuyée sur deux reprises d'une même dépêche est reclassée en risque potentiel jusqu'à l'apparition d'un travail indépendant.