Renseignement remonté trop tard : décomposer le délai de transmission et mesurer ce qu'il coûte à une organisation

Les post-mortem de crise commencent presque toujours par la même interrogation : est-ce que nous savions ? La réponse est, plus souvent qu'on ne le croit, oui. L'information existait, quelqu'un l'avait collectée, quelqu'un l'avait même évaluée. Elle est simplement parvenue à l'échelon décisionnaire après le moment où une décision aurait modifié le cours des choses. Ce cas de figure, peu spectaculaire, est celui qui revient le plus dans les dispositifs que nous observons.

Un cas récent en donne une illustration documentée. Morocco World News rapporte qu'un document repris par El Mundo indique que l'armée espagnole a intercepté le 27 juillet des communications des forces de sécurité marocaines montrant que Rabat était en alerte pour empêcher une entrée massive à Ceuta pendant la fête du Trône, et que cette information, évaluée très probable par le CIFAS, n'a atteint le ministère de la Défense que tardivement.

Ce qui rend ce cas analytiquement intéressant n'est pas son contexte militaire mais sa structure, que l'on retrouve dans une direction de la sûreté comme dans une cellule de veille concurrentielle. La collecte a fonctionné, la qualification a fonctionné, et le dispositif a échoué au seul endroit qu'aucun tableau de bord ne mesure : la transmission. Cette note décompose ce délai, en localise la formation, et propose un indicateur de substitution au délai moyen.

Décomposer le délai : quatre segments, une seule inconnue

Un délai de remontée s'additionne à partir de quatre segments distincts, qu'il faut mesurer séparément parce que les leviers d'action diffèrent à chaque étape. Le segment de collecte sépare l'événement de sa captation par un capteur, humain ou automatisé. Le segment de qualification sépare la captation de l'attribution d'un niveau de confiance. Le segment de transmission sépare la qualification de l'arrivée à l'échelon compétent. Le segment de réception sépare cette arrivée de sa prise en compte effective.

L'expérience des dispositifs que nous suivons place systématiquement l'effort d'optimisation sur les deux premiers segments, qui sont les plus visibles et les plus outillés. Les investissements portent sur l'étendue du périmètre de sources, la vitesse d'ingestion, la finesse du tri. Ces segments se mesurent en heures, parfois en minutes, et figurent dans les tableaux de bord parce qu'ils sont instrumentés par nature.

Le troisième et le quatrième segments, eux, se comptent en jours et ne figurent nulle part. Ils dépendent d'un calendrier de comités, d'une disponibilité d'agenda, d'une chaîne de validation hiérarchique, d'un arbitrage implicite sur ce qui mérite de déranger. Ce sont des variables organisationnelles, non techniques, et c'est précisément pour cette raison qu'aucun achat d'outil ne les corrige et qu'elles échappent au suivi de performance.

Pourquoi le coût d'un retard n'est pas proportionnel à sa durée

L'intuition courante voit le coût d'un retard croître régulièrement avec le temps écoulé. Cette représentation est fausse et conduit à mal arbitrer. Le coût réel est une fonction en escalier : il reste nul tant que la fenêtre d'action demeure ouverte, puis bascule d'un coup au moment où elle se referme. Un renseignement livré avec trois jours de retard sur une fenêtre de trois semaines ne coûte rien ; le même retard sur une fenêtre de deux jours coûte tout.

Cette forme a une conséquence directe sur la métrique à retenir. Un délai moyen de remontée, indicateur le plus répandu, agrège des situations dont le coût réel n'a aucun rapport, et une amélioration du délai moyen est compatible avec une aggravation du nombre de fenêtres manquées, s'il se produit sur les dossiers à fenêtre large. L'indicateur qui informe la décision est la part des informations arrivées après fermeture de la fenêtre.

Encore faut-il que la fenêtre soit connue au moment de la transmission, ce qui suppose de la documenter en amont plutôt qu'a posteriori. Les organisations qui y parviennent associent à chaque type d'événement suivi un délai d'action caractéristique, établi une fois pour toutes avec les métiers concernés. Ce travail est fastidieux, il se fait hors crise, et il constitue la condition de possibilité de tout pilotage du délai de remontée.

Le niveau de confiance n'accélère rien s'il n'est adossé à aucune règle

Le cas rapporté par Morocco World News contient un détail qui mérite d'être isolé : l'information portait une évaluation explicite, très probable, attribuée par un service dont c'est la fonction. Le dispositif de qualification avait donc fonctionné, et son produit était exploitable en l'état par un destinataire. Le retard s'est formé en aval de cette qualification, ce qui élimine l'explication la plus commode, celle de l'incertitude sur la valeur de l'information.

Un niveau de confiance n'a d'effet opérationnel que s'il déclenche quelque chose. Attribué sans règle de transmission associée, il informe le lecteur final mais ne modifie aucun circuit, et se réduit à une mention de qualité dans un document qui suit le même chemin que les autres. La question n'est pas de savoir si une organisation évalue ses informations, mais si ses évaluations sont branchées sur des obligations de délai.

La règle qui produit l'effet est simple à énoncer et coûteuse à tenir : à chaque niveau de confiance correspond un délai maximal de transmission et un destinataire nommé, indépendamment du calendrier des instances. Une information très probable sur un risque à fenêtre courte ne se range pas dans l'ordre du jour du prochain comité, elle emprunte un circuit dédié. Sans cette correspondance écrite, l'échelle de confiance reste un ornement documentaire.

L'asymétrie révélatrice : ce qui circule vite dans une organisation

Une observation dérange les explications par le manque de moyens. Les circuits rapides existent dans presque toutes les organisations, mais ils sont branchés sur les demandes entrantes plutôt que sur les alertes internes. Une sollicitation d'apparence officielle obtient souvent une réponse en quelques heures, quand une alerte formulée par une cellule interne attend le prochain comité de direction.

Pasquale Pillitteri rapporte qu'un escroc se faisant passer pour une agence gouvernementale, depuis un domaine de messagerie d'apparence officielle, a obtenu de Revolut des données clients sensibles, identités, selfies et transactions, et que la demande a franchi les contrôles d'authentification de messagerie SPF, DKIM et DMARC. Le cas relève de la fraude, mais il documente une propriété organisationnelle : la vitesse de réponse existe, elle est allouée en fonction de la pression perçue, non de l'importance réelle.

La conclusion n'est pas que les organisations manquent de réactivité, c'est qu'elles l'orientent mal. Un dispositif de veille qui se plaint d'un délai de remontée de plusieurs jours décrit moins une insuffisance de moyens qu'une hiérarchie implicite des urgences, dans laquelle une alerte interne pèse moins qu'une demande extérieure. Corriger cela relève d'une décision de gouvernance, et cette décision se prend avant l'incident ou ne se prend pas.

Ce que font les organisations qui transforment vite une donnée en décision

L'avantage compétitif s'est déplacé vers l'aval du cycle. Irregular Warfare Initiative a publié un entretien avec Charlie Winter et Stephanie Rotolo, d'ExTrac, qui décrivent le passage du renseignement en sources ouvertes d'une position secondaire à une position centrale, et situent l'avantage du côté des organisations qui transforment vite la donnée en décision. La formule déplace le critère de performance de la collecte vers le circuit.

Les dispositifs qui y parviennent partagent trois traits observables de l'extérieur. Un destinataire nommé par type de signal, et non un service générique, ce qui supprime le temps d'orientation. Un canal distinct pour les signaux à fenêtre courte, séparé du flux périodique de synthèses. Et une trace horodatée à chaque passage de main, qui rend le délai mesurable et donc discutable en revue.

L'outillage soutient ce circuit à condition d'agir sur le volume avant l'arbitrage humain. NewsCore (www.newscore.fr) couvre en continu des millions de sources, trie les signaux pertinents par intelligence artificielle et fait remonter en temps réel ce qui relève du périmètre suivi, chaque synthèse restant reliée à son document source, ce qui supprime la vérification préalable qui retarde ordinairement la transmission.

Questions fréquentes sur le délai de remontée d'un renseignement

Quel indicateur retenir pour piloter le délai de remontée d'une cellule de veille ?

La part des informations parvenues à l'échelon décisionnaire après la fermeture de la fenêtre d'action, et non le délai moyen. Le délai moyen agrège des situations dont le coût n'a aucun rapport, et il s'améliore sans que le nombre de fenêtres manquées diminue. L'indicateur suppose d'avoir documenté au préalable une fenêtre caractéristique par type de signal.

Où se forme concrètement le retard dans une chaîne de remontée ?

Après la qualification, dans la très grande majorité des cas observés. La collecte et le tri sont instrumentés, mesurés et optimisés ; la transmission dépend d'un calendrier d'instances, d'une chaîne de validation et d'un arbitrage implicite sur ce qui justifie de déranger. Ces variables sont organisationnelles, elles ne se corrigent par aucun achat d'outil.

À quoi sert un niveau de confiance sur une information de veille ?

À rien s'il n'est adossé à une règle de transmission. Une échelle de confiance produit un effet lorsqu'à chaque niveau correspondent un délai maximal et un destinataire nommé, indépendants du calendrier des comités. Sans cette correspondance écrite, l'évaluation reste une mention de qualité dans un document qui emprunte exactement le même circuit que les autres.

Comment justifier un investissement dans le circuit plutôt que dans la collecte ?

En instruisant les incidents passés sur la question de l'antériorité : l'information existait-elle en interne avant l'événement, et à quelle date. Un relevé portant sur une année suffit généralement à montrer que le déficit se situe en aval, et ce constat, chiffré sur des cas propres à l'organisation, pèse davantage qu'une comparaison sectorielle.