Trop restreindre la diffusion d'une note de veille peut la rendre inutile

Protéger une information peut la neutraliser

Marquer un produit de veille d'un niveau de sensibilité et en restreindre la diffusion à une liste limitée de destinataires répond à une logique de prudence dont le bien fondé n'est en général pas contesté : une information mal maîtrisée peut causer un dommage réel si elle atteint un public qui n'aurait pas dû en disposer. Cette logique conduit naturellement les organisations à restreindre par défaut, à ajouter des destinataires plutôt qu'à en retirer, et à traiter toute demande d'élargissement avec une prudence renforcée.

Cette prudence a cependant un envers rarement mesuré avec la même rigueur que le risque qu'elle vise à éviter : une note dont la diffusion est restreinte au delà de ce que son contenu justifie réellement perd, dans les mêmes proportions, sa capacité à produire l'effet pour lequel elle a été rédigée. Une information juste et pertinente qui n'atteint jamais la personne en position d'agir sur elle produit le même résultat opérationnel qu'une information qui n'aurait jamais été produite, au prix du travail qu'elle a coûté.

Un premier indicateur : la part des notes jamais consultées

Le premier indicateur observable d'une sur-classification est la part des notes, parmi celles diffusées à un périmètre restreint, qui ne sont jamais ouvertes ou consultées par leur destinataire déclaré dans un délai raisonnable après leur diffusion. Ce chiffre, quand il est mesuré, révèle souvent un décalage entre la liste des personnes autorisées à recevoir une note et la liste des personnes qui en ont réellement l'usage : une note peut être correctement adressée sur le plan formel tout en manquant sa cible réelle, si le destinataire habilité n'est pas celui qui, dans les faits, agit sur ce type d'information.

Une part élevée de notes jamais consultées ne prouve pas, à elle seule, une sur-classification : elle peut aussi signaler une note sans intérêt opérationnel réel pour son destinataire, indépendamment de tout enjeu de diffusion. Mais rapprochée des deux indicateurs suivants, elle devient un signal fiable que le périmètre de diffusion retenu ne correspond pas au périmètre des personnes qui auraient un usage effectif de l'information si elles y avaient accès.

Un deuxième indicateur : les demandes redondantes d'équipes non destinataires

Le deuxième indicateur observable est la fréquence à laquelle des équipes non destinataires d'une note formulent, indépendamment les unes des autres, une demande d'information portant sur un sujet déjà traité par cette note restreinte. Chaque demande de ce type représente un travail dupliqué, puisque l'information existe déjà, correctement établie, mais reste inaccessible à qui en aurait besoin faute de figurer sur la liste de diffusion initiale.

Ce recensement des demandes redondantes a une valeur diagnostique supérieure à une simple intuition sur le périmètre de diffusion, parce qu'il repose sur des besoins exprimés réellement plutôt que sur une supposition de ce qui pourrait intéresser telle ou telle équipe. Une note dont le sujet suscite plusieurs demandes indépendantes de la part d'équipes qui n'y ont pas accès désigne, avec une précision que peu d'autres méthodes offrent, un périmètre de diffusion trop restreint par rapport à l'intérêt réel que ce sujet suscite dans l'organisation.

Un troisième indicateur : le délai d'obtention d'une dérogation

Le troisième indicateur observable est le délai nécessaire pour qu'une personne non destinataire, mais qui a un besoin réel d'accéder à une note restreinte, obtienne une dérogation lui permettant de la consulter. Un délai long, mesuré depuis la demande jusqu'à l'accès effectif, signale un processus de dérogation qui fonctionne davantage comme un obstacle que comme une soupape, ce qui pousse les personnes concernées à contourner la procédure plutôt qu'à l'emprunter, ou à renoncer purement et simplement à l'information dont elles auraient besoin.

Ce délai a une conséquence directe sur la valeur opérationnelle de l'information restreinte, puisqu'une note de veille perd une partie de son utilité à mesure que le temps passe entre sa production et son usage : une dérogation obtenue après plusieurs semaines arrive souvent trop tard pour influer sur la décision qu'elle était censée éclairer, ce qui revient, dans les faits, à un refus d'accès même quand la dérogation finit par être accordée.

Raisonner en coût d'opportunité plutôt qu'en seul risque

Ces trois indicateurs convergent vers un même déplacement de raisonnement : évaluer une politique de diffusion non pas uniquement au regard du risque qu'une information mal maîtrisée pourrait causer, mais aussi au regard du coût d'opportunité que représente une information juste, produite à un coût réel de travail, mais qui ne parvient jamais à qui pourrait agir dessus. Ce second terme du raisonnement est rarement quantifié avec la même attention que le premier, alors qu'il pèse tout aussi directement sur la valeur globale du dispositif de veille.

Ce raisonnement ne conduit pas à conclure qu'il faudrait diffuser plus largement par principe, ce qui reviendrait simplement à inverser l'erreur plutôt qu'à la corriger. Il conduit à mesurer, note par note ou catégorie par catégorie, si le périmètre de diffusion retenu est proportionné au risque réel que cette note présente, en s'appuyant sur les trois indicateurs décrits plutôt que sur une prudence appliquée de façon uniforme, indépendamment du contenu effectif de chaque note.

Instituer une revue périodique du périmètre de diffusion

Mesurer ces trois indicateurs une seule fois, à l'occasion d'un audit ponctuel, ne suffit pas à corriger durablement une sur-classification, car le périmètre pertinent d'une note évolue avec le sujet qu'elle traite : une note dont la diffusion restreinte se justifiait pleinement à sa création peut voir son enjeu se déplacer, ou son sujet perdre en sensibilité, sans que la liste de diffusion initiale ne soit jamais reconsidérée. Une revue périodique, distincte de la production courante des notes, qui reprend les trois indicateurs sur un échantillon de notes déjà diffusées, permet de détecter ce décalage avant qu'il ne s'installe durablement dans les pratiques de l'organisation.

Cette revue gagne à être confiée à une fonction distincte de celle qui a émis chaque note, pour la même raison qu'un contrôle indépendant apporte généralement un regard moins marqué par les motifs initiaux de la restriction : la fonction émettrice, connaissant les raisons précises qui ont motivé le marquage, a tendance à les tenir pour toujours valables, alors qu'un regard extérieur, confronté seulement aux trois indicateurs observables, juge la situation actuelle sans ce biais de reconduction automatique.

La face symétrique du marquage de sensibilité

Cette analyse ne conteste pas le principe du marquage de sensibilité d'un produit de veille, dont l'utilité reste entière pour les informations qui exposent réellement l'organisation ou des tiers à un dommage en cas de diffusion non maîtrisée. Elle en montre la face symétrique, souvent négligée : un marquage appliqué au delà de ce que le contenu justifie produit un coût, distinct du risque qu'il évite, et ce coût mérite d'être mesuré avec la même rigueur que le risque, plutôt que d'être traité comme une simple conséquence acceptable de la prudence.

Cette analyse ne traite pas non plus des obligations réglementaires de confidentialité qui peuvent s'imposer à certaines catégories d'informations, indépendamment de tout raisonnement en coût d'opportunité : ces obligations relèvent d'un cadre distinct, qui s'applique quel que soit l'usage réel que l'organisation ferait de l'information si elle était plus largement diffusée, et que les trois indicateurs présentés ici n'ont pas vocation à mettre en balance.

NewsCore, sur www.newscore.fr, mesure pour chaque organisation la part de ses notes jamais consultées par leur destinataire déclaré, ce qui rend visible le coût d'opportunité d'une diffusion trop restreinte.

Questions fréquentes

Un fort taux de consultation d'une note prouve t il que sa diffusion est correctement calibrée ? Pas entièrement : il montre que les destinataires actuels utilisent la note, mais il ne dit rien des personnes qui en auraient l'usage sans y avoir accès. Il faut le croiser avec l'indicateur des demandes redondantes pour couvrir aussi cette face du problème.

Faut il fixer un seuil chiffré au delà duquel une note est jugée sur-classifiée ? Un seuil rigide appliqué uniformément a peu de sens, car la tolérance au risque varie selon la nature du sujet traité. Il est plus utile de comparer les trois indicateurs entre catégories de notes similaires, pour repérer celles qui s'écartent nettement des autres catégories comparables.

Qui doit être responsable de la révision périodique du périmètre de diffusion d'une note ? La fonction qui a émis la note initiale reste la mieux placée pour juger de son contenu, mais la révision gagne à intégrer un regard extérieur, informé des trois indicateurs, pour éviter que la même prudence qui a motivé la restriction initiale ne freine aussi sa révision.

Élargir la diffusion d'une note déjà restreinte expose t il à un risque nouveau ? Oui, potentiellement, ce qui justifie que l'élargissement se fasse au cas par cas, en fonction du contenu réel de la note, plutôt que par une politique générale. L'objectif n'est pas de supprimer la restriction mais de la proportionner à ce que le contenu justifie réellement.