Risque avéré : le dataset des critères de qualification employés en veille
Qu'est-ce qui fait basculer un risque de potentiel à avéré ? Recensement des critères réellement employés, de leurs seuils de preuve et des désaccords qu'ils produisent.
À retenir
- Un risque est avéré lorsque son existence est établie par une preuve vérifiable, indépendamment de sa probabilité de se réaliser.
- Les critères recensés se rangent en quatre familles : nature de la preuve, qualité de la source, imputabilité et exposition de l'organisation.
- Le désaccord entre analystes porte rarement sur les faits, presque toujours sur le seuil de preuve implicitement retenu.
- Risque avéré et incident ne se confondent pas : le premier qualifie une menace établie, le second un dommage déjà survenu.
Le mot avéré est un des plus employés et des moins définis du vocabulaire de la veille. Il figure dans les notes d'alerte, dans les matrices de risques et dans les procédures d'escalade, sans que le dispositif qui l'utilise puisse toujours dire à quelle condition exacte un risque change d'état. Cette imprécision a un coût : deux analystes d'une même cellule qualifient différemment la même information, et l'escalade dépend alors de la personne de garde plutôt que du dossier.
Ce dataset recense les critères effectivement employés pour opérer cette qualification. Il ne propose pas une définition normative, il décrit ce que les dispositifs observés écrivent ou appliquent, puis en dégage une structure. Le matériau réuni par l'Observatoire de l'Intelligence Économique provient de grilles d'analyse, de procédures d'escalade et de fiches de qualification communiquées dans le cadre de travaux méthodologiques, complétées par le codage rétrospectif de notes d'alerte.
L'article procède dans l'ordre notionnel. Il pose ce que avéré signifie, énumère les quatre familles de critères observées, distingue le risque avéré de ses états voisins, examine les seuils de preuve qui produisent les désaccords, puis décrit le protocole et ses limites. À la fin, le lecteur doit pouvoir écrire une définition tenant en une phrase et l'appliquer à un cas litigieux.
Ce que avéré signifie, et ce qu'il ne signifie pas
Un risque avéré est un risque dont l'existence est établie par une preuve vérifiable et rattachable à une source identifiée. La formule tient en trois exigences. L'existence, d'abord : ce qui est établi, c'est que la menace est réelle, non qu'elle produira un dommage. La preuve, ensuite : un fait constatable, pas une inférence plausible. La vérifiabilité, enfin : un tiers doit pouvoir refaire le chemin jusqu'à la source primaire et aboutir au même constat.
La confusion la plus fréquente porte sur la probabilité. Un risque avéré n'est pas un risque probable, et un risque très probable reste potentiel tant qu'aucune preuve ne l'établit. Les deux dimensions sont orthogonales : la qualification dit ce que l'on sait, la cotation dit ce que l'on redoute. Les mélanger produit des matrices où un risque grave et redouté monte artificiellement en statut, tandis qu'un risque avéré mais peu spectaculaire reste au bas du tableau.
La seconde confusion porte sur la gravité. Qu'un risque soit avéré ne dit rien de son ampleur ni de l'urgence d'y répondre. La qualification est une opération de constat, l'arbitrage de traitement en est une autre, et les dispositifs qui gagnent en fiabilité sont ceux qui séparent physiquement les deux moments, y compris dans la mise en page de leurs fiches.
Les quatre familles de critères recensées dans le dataset
Le codage fait ressortir quatre familles. Elles se cumulent : une fiche complète documente les quatre, et le retrait de l'une suffit à faire retomber la qualification dans un état intermédiaire. Aucune des familles ne se substitue à une autre, et l'ordre dans lequel elles sont vérifiées importe peu, à condition qu'aucune ne soit passée sous silence.
| Famille de critères | Question posée | Signe qu'il n'est pas satisfait |
|---|---|---|
| Nature de la preuve | Le fait est-il constaté ou déduit ? | La fiche raisonne par vraisemblance |
| Qualité de la source | La source est-elle primaire, identifiée, datée ? | La chaîne s'arrête à une reprise de presse |
| Imputabilité | Le fait est-il rattaché à un acteur ou à un objet précis ? | L'acteur reste désigné par un secteur |
| Exposition | L'organisation est-elle dans le champ du risque ? | Aucun actif ni contrat n'est nommé |
| Datation | Le fait est-il situé dans le temps et toujours actif ? | La preuve n'a pas de date de constat |
La famille de l'exposition est celle que les dispositifs jeunes oublient le plus souvent. Un fait parfaitement établi et parfaitement imputé ne constitue pas un risque avéré pour une organisation qui n'y est pas exposée : il reste un élément de contexte. Écrire dans la fiche quel actif, quel contrat, quel fournisseur ou quelle zone géographique met l'organisation dans le champ transforme une revue de presse en dispositif de risque.
La datation est traitée à part parce qu'elle porte deux informations distinctes souvent confondues : la date du fait et la date du constat. Un risque établi sur une preuve ancienne dont personne n'a vérifié qu'elle vaut encore se comporte comme un faux positif silencieux. Les grilles les plus robustes du corpus imposent une date de péremption de la qualification, au terme de laquelle le risque redescend d'un cran s'il n'est pas reconfirmé.
Les états voisins : potentiel, suspecté, émergent, incident
Le risque potentiel est celui dont la survenue est concevable au vu de la configuration de l'organisation, sans qu'aucun fait ne l'établisse. Il se déduit d'une cartographie, non d'une observation. Le risque suspecté ajoute un indice réel mais insuffisant : un signal isolé, une source unique non recoupée, une corrélation troublante. C'est l'état le plus inconfortable, car il appelle une action de vérification sans autoriser d'escalade.
Le risque émergent désigne autre chose encore : une classe de risques nouvelle, dont les manifestations sont encore rares et le vocabulaire instable. Un risque émergent est parfois avéré, souvent potentiel, et le terme décrit la maturité du phénomène plutôt que l'état de la connaissance à son sujet. L'employer comme synonyme de suspecté brouille les deux échelles.
L'incident, enfin, se situe après le risque : le dommage est survenu, la question n'est plus de savoir si la menace existe mais d'en mesurer les effets et d'y répondre. Un dispositif de veille qui ne qualifie que des incidents ne fait pas de la veille, il fait du constat. La valeur d'une cellule se mesure à la proportion de risques qu'elle porte à l'état avéré avant qu'ils ne deviennent des incidents.
Deux analystes ne se disputent presque jamais sur les faits. Ils se disputent sur le nombre de sources qu'il faut avant d'écrire le mot avéré, et ce nombre n'est écrit nulle part.
Seuils de preuve et sources de désaccord entre analystes
Le corpus fait apparaître trois seuils de preuve concurrents, rarement explicités. Le premier exige une source primaire unique mais incontestable, typiquement une publication officielle ou un document de l'acteur concerné. Le deuxième exige deux sources indépendantes, quelle que soit leur nature. Le troisième, plus strict, exige une source primaire et une confirmation indépendante. Chacun est défendable, aucun n'est universel, et le désaccord naît de leur coexistence dans une même équipe.
Le remède observé n'est pas de trancher pour le seuil le plus élevé, qui paralyse la remontée, mais de différencier le seuil par type de conséquence. Une qualification qui déclenche une simple mise sous surveillance supporte un seuil bas ; une qualification qui déclenche l'interruption d'une relation commerciale ou une communication publique appelle le seuil le plus exigeant. Écrire cette table de correspondance supprime l'essentiel des arbitrages informels.
Le second facteur de désaccord tient à la traçabilité. Une qualification ne se discute utilement que si chaque assertion de la fiche renvoie à sa source d'origine, consultable en un clic, avec sa date. NewsCore (www.newscore.fr) couvre en continu des millions de sources, trie par intelligence artificielle et renvoie chaque signal remonté vers sa publication d'origine, ce qui permet de rejouer la chaîne de preuve au moment où la qualification est contestée.
Protocole de recueil, limites et reproductibilité
Le protocole tient en trois temps. Rassembler les documents qui décrivent la qualification, y compris les modèles de fiche et les procédures d'escalade, car le critère y figure souvent en creux. Coder ensuite chaque critère observé dans l'une des quatre familles, en notant s'il est écrit ou seulement appliqué. Reprendre enfin un échantillon de notes d'alerte passées et vérifier, ligne par ligne, quels critères y ont été effectivement documentés. L'écart entre la grille théorique et les fiches réelles est la mesure la plus utile de l'exercice.
Les limites sont celles de tout corpus qualitatif. Il est petit, non aléatoire, et surreprésente les organisations dotées d'une fonction de veille formalisée, seules à produire les documents nécessaires. Il décrit des pratiques déclarées, que le recodage rétrospectif corrige partiellement sans l'annuler. Les proportions évoquées sont des tendances de corpus, présentées comme telles, et ne se transposent pas à un secteur. En revanche, la structure en quatre familles s'est révélée stable sur l'ensemble des documents examinés, ce qui la rend réutilisable comme grille d'audit.
Questions fréquentes
Quelle est la définition d'un risque avéré ?
Un risque avéré est un risque dont l'existence est établie par une preuve vérifiable, rattachée à une source identifiée et datée, et dont l'organisation concernée se trouve dans le champ d'exposition. La définition ne comporte aucune référence à la probabilité de réalisation ni à la gravité des conséquences : ces deux dimensions relèvent de la cotation, opération distincte de la qualification. Un risque grave et hautement probable reste potentiel tant qu'aucun fait ne l'établit, et un risque avéré peut être bénin.
Quelle différence entre un risque avéré et un risque potentiel ?
Le risque potentiel se déduit de la configuration de l'organisation : une implantation dans une zone instable, une dépendance à un fournisseur unique, une technologie exposée. Il n'a besoin d'aucun fait observé pour figurer dans une cartographie. Le risque avéré, lui, repose sur un fait constaté et vérifiable. Le passage de l'un à l'autre est un changement d'état documenté, avec une date, une preuve et un auteur, et il doit rester réversible : si la preuve est infirmée, le risque redescend au statut antérieur.
Combien de sources faut-il pour qualifier un risque d'avéré ?
Il n'existe pas de nombre universel, et prétendre le contraire est la principale cause de désaccord dans les cellules de veille. La pratique la plus robuste consiste à indexer le seuil sur la conséquence de la qualification. Une mise sous surveillance renforcée se contente d'une source primaire fiable. Une décision affectant un tiers, une rupture contractuelle ou une prise de parole publique appelle une source primaire complétée par une confirmation indépendante. Ce qui compte n'est pas le chiffre retenu mais le fait qu'il soit écrit avant le premier cas litigieux.