Qualifier un risque avéré quand les sources ouvertes se contredisent
Un risque avéré n'est pas un risque grave : c'est un risque dont les faits sont établis. Définition, critères de bascule et arbitrage des sources ouvertes contradictoires.
À retenir
- Avéré qualifie l'établissement des faits, pas leur gravité : les deux axes sont indépendants et doivent rester séparés dans une matrice de risque.
- La bascule vers le statut avéré repose sur trois critères cumulatifs : indépendance réelle des sources, traçabilité des pièces, attribuabilité du fait.
- Face à deux sources contradictoires de même niveau, on qualifie le fait commun aux deux versions et on publie l'indétermination résiduelle.
- Une qualification non réversible n'en est pas une : la déqualification se trace avec sa date et son motif.
Dans les dispositifs de veille, l'adjectif « avéré » sert souvent de superlatif : on l'emploie pour signaler qu'un risque est devenu sérieux, urgent ou coûteux. Cet usage est un contresens. Un risque avéré n'est pas un risque grave, c'est un risque dont l'existence est établie par des éléments vérifiables, indépendamment de son ampleur. La confusion a des effets concrets : elle conduit des cellules de veille à retarder la qualification d'événements pourtant documentés, au motif qu'ils ne paraissent pas assez importants pour mériter l'étiquette.
Cette note délimite la notion, la distingue de ses voisines immédiates (risque potentiel, allégation, incident constaté) et détaille le protocole appliqué lorsque les sources ouvertes disponibles se contredisent. Elle s'appuie sur un travail de qualification mené sur un corpus interne d'environ deux cents dossiers de veille traités sur douze mois, tous champs confondus : réputation, conformité, sécurité des systèmes d'information, chaîne d'approvisionnement. Les ordres de grandeur cités sont des observations sur ce corpus, présentées comme telles, non des mesures généralisables.
L'objet n'est pas de proposer une grille de notation universelle. Il est de rendre explicite le point de bascule, c'est-à-dire l'instant où un analyste écrit dans un rapport que le risque est avéré et engage la responsabilité de son organisation sur cette affirmation. Ce point mérite une définition écrite, opposable en interne, et reproductible par un second analyste travaillant sur les mêmes pièces.
Ce que le mot avéré qualifie : l'existence d'un fait, pas sa gravité
Avéré porte sur le statut épistémique d'une proposition, non sur son intensité. Dire d'un risque qu'il est avéré signifie que les faits qui le constituent sont établis : ils ont eu lieu, ils sont datés, ils sont attribuables, et plusieurs éléments indépendants les corroborent. Un défaut de conformité mineur, consigné dans un procès verbal et reconnu par l'entité concernée, est un risque avéré. Une menace majeure évoquée par un seul canal anonyme ne l'est pas, quelle que soit sa gravité supposée.
Gravité et établissement sont deux axes orthogonaux, et les traiter comme un seul axe produit des matrices incohérentes. Une matrice à deux dimensions, probabilité et impact, ne suffit donc pas à porter la qualification : il faut un troisième champ, le degré d'établissement, qui répond à la question « sur quoi repose l'affirmation ». Dans notre corpus, une part importante des dossiers difficiles à arbitrer ne souffrait pas d'un désaccord sur l'impact, mais d'un désaccord non explicité sur l'établissement des faits.
Le vocabulaire juridique et celui de la veille divergent ici, et il est utile de le savoir. En droit, l'avéré renvoie à la preuve, avec ses règles d'admissibilité et sa charge. En veille, l'avéré renvoie à un seuil documentaire interne, plus bas que la preuve judiciaire mais explicite. Une cellule qui n'écrit pas ce seuil finit par l'aligner implicitement sur l'appétit au risque de son dirigeant, ce qui rend ses qualifications incomparables d'une année sur l'autre.
Signal faible, allégation, risque avéré : trois états à ne pas confondre
Le premier état est le signal faible : une occurrence isolée, faiblement corroborée, dont la valeur tient à sa précocité et non à sa solidité. Le deuxième est l'allégation : une affirmation explicite portée par un émetteur identifiable, qui engage cet émetteur mais dont le contenu reste non vérifié. Le troisième est le risque avéré : un ensemble de faits établis dont la conjonction crée une exposition. Passer du premier au troisième n'est pas affaire de temps écoulé, mais de pièces réunies.
La confusion la plus fréquente porte sur l'allégation. Une plainte déposée, une mise en demeure, un signalement à une autorité sont des faits établis : le dépôt a bien eu lieu. Le contenu de l'allégation, lui, ne l'est pas. La qualification correcte consiste à écrire que l'existence de la procédure est avérée et que son objet reste allégué. Beaucoup de rapports écrasent cette distinction en une phrase unique qui laisse croire au lecteur que les faits reprochés sont établis.
Le mouvement inverse existe et se pratique trop peu : la déqualification. Un risque déclaré avéré sur la base de deux sources qui se révèlent ensuite issues d'une même origine doit redescendre d'un cran. Nos observations indiquent que les dossiers sont révisés à la hausse bien plus souvent qu'à la baisse, ce qui suggère un effet de cliquet documentaire plutôt qu'une évolution réelle des faits sous-jacents.
Les critères de bascule vers le statut de risque avéré
Nous retenons quatre critères, cumulatifs pour les trois premiers. Indépendance : au moins deux sources dont on a vérifié qu'elles ne recopient pas la même origine. Traçabilité : chaque affirmation renvoie à une pièce archivée et datée, consultable par un tiers. Attribuabilité : le fait est rattaché à une entité nommée, à une date et à un lieu. Le quatrième critère, la réaction de l'entité concernée, ne conditionne pas la bascule mais en renforce fortement la robustesse.
| Critère | Question posée à chaque pièce | Ce qui ne suffit pas |
|---|---|---|
| Indépendance | Cette source a-t-elle une collecte propre ? | Deux reprises d'une même dépêche |
| Traçabilité | La pièce est-elle archivée et datée ? | Un lien vers une page vivante |
| Attribuabilité | Quelle entité, quelle date, quel lieu ? | Un secteur cité sans acteur nommé |
| Réaction | L'entité a-t-elle confirmé, contesté, ignoré ? | Une absence de réponse lue comme un aveu |
L'ordre d'application compte. Vérifier l'indépendance avant la traçabilité évite d'archiver dix reprises d'une même dépêche et de croire disposer de dix corroborations. Dans notre corpus, cette illusion de corroboration par reprise a été la première cause d'erreur de qualification, devant la mauvaise lecture d'un document primaire. Une reprise se repère à trois indices : identité des tournures, identité des chiffres au chiffre près, et absence de tout élément nouveau par rapport à la publication la plus ancienne.
Arbitrer deux sources ouvertes de niveau comparable qui se contredisent
La contradiction facile oppose une source solide à une source faible : elle se tranche par la hiérarchie documentaire. La contradiction difficile oppose deux sources de niveau comparable, par exemple deux documents administratifs, ou deux rédactions professionnelles citant chacune des interlocuteurs différents. Le réflexe consistant à retenir la plus récente est mauvais, car la récence ne dit rien de la qualité de la collecte. Le réflexe consistant à faire la moyenne est pire : il fabrique un chiffre que personne n'a publié.
Le protocole appliqué décompose la contradiction avant de l'arbitrer. Première étape : distinguer contradiction de fait, contradiction de périmètre et contradiction de date. Deux publications qui annoncent des volumes différents mesurent souvent deux périmètres ou deux instants différents et ne se contredisent pas réellement. Deuxième étape : remonter à la source primaire de chacune, quand elle existe. Troisième étape : si l'écart subsiste, le publier tel quel, avec les deux valeurs, leurs périmètres et leurs dates.
Une contradiction résiduelle n'interdit pas la qualification, elle en déplace l'objet : ce qui est avéré, c'est le fait commun aux deux versions, pas l'écart entre elles. Si deux administrations divergent sur l'ampleur d'une fuite de données mais confirment toutes deux qu'une fuite a eu lieu, l'existence de l'incident est avérée et son ampleur reste indéterminée. Écrire les deux phrases séparément est plus honnête, et plus utile à la décision, qu'une synthèse lissée.
Une contradiction documentée et assumée informe mieux une décision qu'un consensus fabriqué par arrondi.
Ce que la définition exige du dispositif de collecte et d'archivage
Une définition écrite ne produit ses effets que si la chaîne technique la porte. Trois exigences en découlent. Le champ degré d'établissement doit exister dans l'outil de suivi, sinon il ne sera pas rempli. Le lien vers la pièce archivée doit être créé au moment de la collecte, car une source en ligne disparaît sans prévenir. Enfin la détection doit couvrir assez de sources réellement indépendantes pour que le premier critère soit satisfiable.
C'est sur ce dernier point que l'étendue de la collecte devient un paramètre de méthode et non un argument commercial : un périmètre étroit condamne l'analyste à ne trouver que des reprises. NewsCore (www.newscore.fr) couvre en continu des millions de sources multilingues, trie par intelligence artificielle et ramène chaque élément à sa publication d'origine, ce qui raccourcit le délai entre le premier signal et sa qualification. La part de l'organisation reste entière : fixer le seuil, archiver, arbitrer, signer.
Trois limites doivent enfin être énoncées. Le corpus mobilisé est un corpus de dossiers déjà traités, donc filtré par les priorités de veille en vigueur : il sous-représente les risques que le dispositif ne détectait pas. Les critères de bascule ne portent que sur l'établissement des faits et ne remplacent aucune évaluation d'impact. La définition retenue reste interne : elle n'a pas de valeur opposable devant une autorité, et un même dossier reçoit parfois une qualification différente dans un cadre contentieux.
Questions fréquentes sur la qualification d'un risque avéré
Risque avéré : quelle définition retenir en veille ?
Un risque avéré est un risque dont les faits constitutifs sont établis : datés, rattachés à une entité identifiée, corroborés par au moins deux sources indépendantes et adossés à des pièces archivées. La définition porte sur l'établissement, non sur la gravité : un fait mineur solidement documenté est avéré, une menace majeure rapportée par un canal unique ne l'est pas. Ce seuil est interne à l'organisation et gagne à être écrit noir sur blanc, en une page.
Comment distinguer un risque avéré d'un risque potentiel ?
Le risque potentiel décrit une exposition théorique déduite d'une situation : une dépendance, une implantation, un modèle d'affaires. Le risque avéré décrit des faits survenus. Le premier se raisonne, le second se documente. Une organisation a besoin des deux registres, mais elle ne devrait jamais les additionner dans un même tableau sans mentionner leur nature, sous peine de comparer des déductions avec des constats.
Que faire quand deux sources ouvertes fiables se contredisent ?
Commencer par vérifier que la contradiction est réelle, car beaucoup d'écarts apparents proviennent de périmètres ou de dates de mesure différents. Remonter ensuite à la source primaire de chaque publication. Si l'écart persiste, qualifier ce qui est commun aux deux versions, publier les deux valeurs avec leurs périmètres, et signaler l'indétermination plutôt que de trancher sans le dire au lecteur.
Faut-il déqualifier un risque déjà déclaré avéré ?
Oui, dès lors que la base documentaire s'effondre, par exemple lorsque deux sources supposées indépendantes se révèlent issues d'une même origine. La déqualification se trace avec sa date et son motif, au même titre que la qualification initiale. Un dispositif qui ne descend jamais d'un cran accumule des risques fantômes et perd la confiance de ses lecteurs internes.