L’idée d’origine est celle du partage d’information : comment rendre plus accessible à tous les données qui concernent la circulation, de sorte de leur permettre de prendre les meilleures décisions, qu’elles soient individuelles ou collectives ?

Les experts en charge du projet ont présenté aujourd’hui le cadre et le plan d’action pour que la ville de Nairobi – 3,5 millions d’habitants – améliore sa circulation automobile et développe le chiffre d’affaires de ses transports publics. Ce programme va intégrer dans un modèle unique des flux de données d’origines très diverses : les téléphones portables, la vidéo-surveillance, les compteurs routiers, les passages aux portillons de métro… et jusqu’aux parkings publics et les places de stationnement. L’objectif : repérer automatiquement les problèmes de circulation actuels et prévoir ceux qui ne manqueront pas d’arriver.

« Une ville est un système de systèmes » explique Tony Mwai, Country General Manager, d’IBM Afrique Orientale. Cette complexité explique dans une large mesure que malgré des investissements très importants en matière de réseau routier, les bouchons coûtent à l’économie de Nairobi une somme considérable, estimée à 450,000 euros par jour.

Les consultants ont donc d’abord recommandé la création d’une Autorité interdépartementale qui prendra la tête des initiatives. Son rôle sera d’intégrer la masse d’informations multimedia, dont celles en provenance des téléphones portables des simples citoyens coincés dans les bouchons. Une place particulière sera attribuée à la vidéo qui permettent à chacun de visualiser la situation routière et ferroviaire, et finalement de choisir leur moyen de transport au mieux de la situation

Sur la base de ces information, l’analyse prédictive sera utilisée pour prévenir les futurs ralentissements. Elle fournira une information avancée au « Rosny sous Bois » local afin de rediriger le trafic avant que les bouchons ne se soient constitués. De quoi améliorer le quotidien des citoyens, faire gagner du temps aux professionnels, mieux remplir les métros et les trains… et apporter à l’économie locale une meilleure rigueur en même temps qu’un soutien à la croissance. Plus fort que Bison Futé !

L’analyse de risque est depuis longtemps essentielle pour un certain nombre de professions comme les assureurs par exemple, mais aussi, et de plus en plus, pour n’importe quelle entreprise. Si les risques répétitifs sont relativement faciles à prévoir, il n’en est pas de même pour les risques de type accidentels ou de malveillance dont on ne connaît pas a priori ni le périmètre ni l’intensité. Comment prédire ce qui va arriver ? A priori, c’est impossible puisque, par construction, la plupart des risques se matérialisent de façon aléatoire. L’une des pistes pour y voir plus clair et disposer d’un minimum de connaissances prédictive sur les risques consiste à élaborer des scénarios de risques.

Dans l’idéal, il est préférable de combiner plusieurs scénarios, par exemple un scénario de nature accidentelle, un autre lié à des actes de malveillance, chacun pouvant avoir comme conséquence des destructions totales ou seulement partielles. On remarquera, qu’en pratique, les responsables sécurité, les DSI et les directions générales éprouvent des difficultés à admettre l’existence possible d’un scénario de malveillance interne dans leur propre entreprise, alors que les trois-quarts des sinistres de malveillance naissent par complicité interne. Le cadre du scénario n’est évidemment pas le même selon le secteur économique, le pays, le contexte socio-politique ou réglementaire. Et un scénario, comme un échantillon statistique pour un sondage par la méthode des quotas, demande à être précisément établi pour pouvoir donner lieu à induction sans biais.

Le périmètre système d’information (informatique, télécoms, réseaux, applications…) s’inscrit dans la cible métier. D’autant qu’il existe des métiers pour lesquels l’outil informatique et télécoms est le seul outil de production de valeur de l’entreprise comme par exemple, une salle des marchés dans le domaine boursier ou bancaire. De même, il existe des métiers, de type industriel par exemple, auxquels l’informatique est indispensable pour permettre la production, mais où la technologie est spécifique et se démarque de l’informatique classique (de gestion). C’est le cas des constructeurs d’automobiles, gros utilisateurs de robotique.

Il faut donc entrer dans le détail : bâtir un scénario de malveillance du type vol dans un entrepôt n’aura pas la même amplitude qu’une malveillance de type vol de fichiers informatiques dans une entreprise de e-commerce. Dans les deux cas, il s’agit de malveillance, mais les conséquences de l’acte ne sont pas les mêmes au plan des risques informatiques et de l’estimation financière de ceux-ci. La cible métier est donc essentielle.

Pour élaborer un scénario de risques, plusieurs critères sont donc à prendre en compte, selon le découpage indicatif suivant :

1. Présentation du scénario

• a. L’origine
• b. Les causes
• c. Les conséquences
• d. Les variantes possibles

2. Les composantes métiers et système d’information

• a. Les impacts selon les métiers
• b. Les modes de reprise
• b. Le planning de reprise
• c. Le partage des responsabilités

3. L’approche financière

• a. L’estimation des pertes directes
• b. L’estimation des pertes indirectes
• c. Le financement des pertes

Les idées à retenir

Appréhender les enjeux, identifier les types d’informations concernées, recenser les fonctionnalités requises pour les analyser et les restituer via différents supports, valider les besoins actuels et futurs en solutions et services ainsi que les attentes vis-à-vis des offreurs du marché : l’étude Markess ne manque pas d’ambition !

Ces sujets sont au cœur de vos préoccupations. Multiplication des sources et du volume des données (Big data, e-mails, réseaux sociaux…), évolution des modes d’accès et de visualisation de l’information, nouvelles possibilités d’analyse, gestion et qualité des données… il y a du grain à moudre.

Comment vous situez-vous parmi les entreprises françaises ? Votre usage du décisionnel est-il en pointe ou en retard sur vos concurrents ? Investissez-vous trop ou pas assez ? Vous êtes nombreux à avoir participé à cette étude. Pour en découvrir les résultats, vous comparer avec les autres et en débattre avec vos pairs, participez à la prochaine rencontre du Cercle du Marketing Prédictif :

Pershing Hall : 49, Rue Pierre Charron – 75008 Paris - Jeudi 1er Décembre de 8H30 à 10H30

Pour vous inscrire, remplissez ce formulaire :

Les analystes du cabinet Gartner pour 2012 ont révélé les priorités des DSI, tant sur le plan business que sur celui des technologies. Côté business, soutenir la croissance de leur entreprise, attirer et fidéliser les clients, réduire les coûts figurent dans le trio de tête des priorités. Côté technologies, les investissements vont se porter en priorité vers le décisionnel et les technologies analytiques. Si l’on mixe ces deux priorités, on obtient ce que les consultants de Gartner appellent IBO, pour Intelligent Business Operations, ou que ceux d’IDC nomment « Business Navigation ».

Au-delà de la terminologie, de quoi s’agit-il ?

D’introduire des mesures en temps réel dans tous les processus métiers. L’intelligence opérationnelle serait ainsi la résultante de la combinaison d’exigences d’agilité et de besoins d’analyse en temps réel. A mesure que les biens intègrent de plus en plus de composants immatériels et que les services se numérisent, les volumes d’informations générés explosent : il devient alors intéressant, et moins coûteux, d’analyser ces masses de données. Pour les analystes de Gartner, qui ont publié en 2011 une étude sur ce thème, quasiment toute opération business peut être scrutée avec des outils d’analyse en temps réel. Les technologies sont disponibles et matures, et cette étude conclut que les organisations qui disposent de capacités d’analyse en temps réel de leurs activités sont plus performantes que les autres.

Dès lors que l’on introduit une dose plus ou moins massive d’intelligence dans les processus opérationnels, avec des capteurs à chaque étape pour détecter tel ou tel type d’événement, il devient possible de savoir ce qui se passe à tout moment, de consolider l’information, de prendre de meilleures décisions (voire d’automatiser en partie le processus de prise de décision), ou encore d’initier une démarche d’amélioration continue, de manière à rendre les processus encore plus intelligents. En allant plus loin, on perçoit la dimension prédictive de l’intelligence opérationnelle.

Ainsi, l’intelligence opérationnelle, loin de remplacer les approches décisionnelles classiques, les améliorent et lui est complémentaires. La Business Intelligence a pour principal objectif de faciliter la prise de décision de nature stratégique. Elle s’appuie sur des données récupérées dans divers systèmes et bases de données (avec une ancienneté variable) et retraitées dans des logiciels d’analyse décisionnelle. Elle a pour destinataire un public de managers et de directions générales. De son côté, l’intelligence opérationnelle a pour objectif d’accélérer la prise de décision basée sur l’analyse d’événements individuels, avec des données collectées en temps réel et pour des collaborateurs qui sont au plus proches des clients. Cette composante temps réel fiabilise l’analyse prédictive : elle augmente les volumes de données prises en compte et permet de détecter plus rapidement les signaux faibles. Ces signaux annonciateurs, par exemple, qu’un client risque de partir à la concurrence, qu’une chaîne logistique risque de subir des dysfonctionnements, qu’une rupture de stocks se profile ou encore qu’une présomption de fraude apparaît…

Pour les clubs sportifs de haut niveau, les challenges ne sont pas uniquement sur le terrain. Afin de préparer leur avenir, ces organisations cherchent à suivre et à mesurer leur performance, afin d’optimiser leurs tactiques et de réduire les risques.

L’équipe de rugby des Tigres de Leicester (Leiceister Tigers), neuf fois championne du tournoi Premiership d’Angleterre et deux fois championne d’Europe, est confrontée à tous ces enjeux. Le club a choisi de s’appuyer sur une solution d’analyse prédictive pour mieux les gérer.

La solution aide notamment à prévenir les problèmes liés aux blessures des joueurs. La performance d’une équipe peut en effet considérablement souffrir de la perte d’un de ses joueurs clefs, et la fréquentation des matchs peut également s’en ressentir. Le logiciel choisi analyse des données physiques et biologiques afin d’évaluer la probabilité de telle ou telle blessure pour chaque joueur. Cette analyse peut être approfondie en incluant à la fois des données objectives, comme l’intensité de jeu, et subjectives, comme la fatigue ressentie par le joueur. Ces prédictions sont ensuite utilisées pour proposer des programmes d’entraînement adaptés, qui préservent la santé des sportifs. Les 45 membres de l’équipe bénéficient de ce suivi.

Au fur et à mesure que des données sont collectées, la solution aide à identifier celles qui sont importantes pour évaluer le risque de blessure au niveau individuel. Elle aide également à déterminer quand un individu s’approche du seuil potentiellement dangereux, afin de mettre en œuvre des actions préventives. Ainsi, si un joueur connaît des changements importants dans ses paramètres de fatigue et que l’entraînement à venir est intensif, le logiciel avertit qu’il risque d’être blessé.

La solution peut également prendre en compte des données sur l’état psychologique des joueurs, pour évaluer par exemple l’impact du stress sur la performance. Des matchs loin de la ville native de l’équipe peuvent provoquer par exemple un stress nettement plus important qu’un match à domicile, qui modifie de manière significative la performance des joueurs et le risque de blessure.

Enfin, le système sera également utilisé pour suivre les jeunes talents du club dès le début de leur carrière. Cela permettra d’améliorer le processus de sélection et de s’assurer qu’un nombre plus important des jeunes joueurs rejoignent l’équipe première.

On parle beaucoup de Big Data pour la qualité des analyses décisionnelles et prédictives. La prise de décision ne serait que meilleure avec l’analyse de grandes quantités de données. Et si les Small Data étaient tout aussi efficaces ? C’est l’une des thèses défendues par un universitaire américain, Tom Davenport, dans son dernier ouvrage (« Judgment Calls: 12 Stories of Big Decisions and the Teams That Got Them Right », Harvard Business Review Press) publié en mars 2012. Tom Davenport explique notamment qu’il n’est pas indispensable de recourir à l’analyse de grandes quantités de données pour prendre les bonnes décisions, ni d’analyser soi-même les données, et qu’il est souvent pertinent de considérer les données collectées aux plus bas échelons d’une organisation. L’auteur explique que, dans la mesure où les Small Data peuvent être collectées n’importe où dans une organisation, les managers n’ont plus d’excuse pour ne pas améliorer leur façon de prendre des décisions.

Attention, toutefois, à ne pas s’en remettre au jugement d’une seule personne, surtout si elle incarne à elle seule l’entreprise et s’apparente à un Grand Timonier (« Great Leader »). Ainsi, les décisions collégiales, participatives, seraient bien meilleures que celles faites par un seul individu, fut-il un « Great Leader ». Dans son ouvrage, Tom Davenport détaille quelques fiascos issus de mauvaises décisions prises par un seul individu, notamment pour les fusions-acquisitions dont on sait que 50 à 70 % échouent. Ce fut par exemple le cas du rachat d’AOL par Time Warner, dont le patron, sans demander l’avis de ses collaborateurs, n’avait pas jugé utile de se protéger contre une baisse du cours de bourse de sa cible… ce qui arriva et entraîna une moins-value de 99 milliards de dollars. Autre exemple : la tentative de rachat de Yahoo! par Microsoft, qui a échoué parce que le patron de Yahoo! à l’époque, qui exigeait quatre dollars de plus par action, n’avait pas jugé utile de demander leur avis à ses actionnaires sur l’offre de Microsoft… qu’ils auraient peut-être bien acceptée ! Le cours de bourse de Yahoo ne s’en est jamais remis… Ce fut aussi une erreur de jugement du fondateur de Digital, qui n’avait jamais cru au développement de la micro-informatique, qui a précipité sa chute et entraîné son rachat par Compaq à la fin des années 1990. A travers ces quelques exemples, on peut facilement montrer qu’un processus collaboratif de décision aurait évité bien des déconvenues.

En réalité, c’est la combinaison de l’analyse des données (même avec des volumes limités, avec des outils décisionnels et prédictifs), et de processus de jugement collaboratifs (et itératifs) qui détermine la bonne décision. On peut même avancer que c’est ce qui fera, à l’avenir, la différence entre les organisations, dans la mesure où il sera de plus en plus difficile d’intégrer des masses énormes d’informations dans les processus de décision – du moins sans disposer des outils adaptés.

Dans un article que vient de publier la Harvard Business Review, intitulé « Les bonnes données ne garantissent pas les bonnes décisions », les auteurs expliquent que l’un des risques est que, dans une organisation, des managers prennent des mauvaises décisions basées sur des données qui auront coûté très cher à collecter. Ils mettent en exergue les quatre raisons pour lesquelles « Les bonnes données ne garantissent pas les bonnes décisions » :

• l’expertise et les compétences en décisionnel demeurent concentrées sur quelques collaborateurs,
• les DSI privilégient les processus formalisés (la finance, les ressources humaines) et délaissent la gestion d’informations non structurées, par définition plus difficiles à traiter et dont le retour sur investissement est aléatoire,
• l’information utile existe mais elle est difficile à localiser,
• les managers ne gèrent pas l’information aussi bien qu’ils gèrent la finance ou les marques.

1. Un impératif commun : la réduction des coûts. Maintenance et qualité visent à réduire les coûts, de façon curative et préventive pour la première, de manière plus diffuse et moins technique pour la seconde. Cet impératif de réduction des coûts reste en tête de l’agenda des directions générales et le restera encore longtemps.

2. Un alignement sur les enjeux de l’entreprise. Outre la réduction des coûts, stratégie le plus souvent de court terme, la maintenance et la qualité s’alignent de plus en plus sur les enjeux métiers. Garantir la disponibilité ou améliorer les processus ne sont finalement que deux facettes d’une même réalité : permettre aux directions métiers de vendre plus et mieux.

3. Des métiers qui montent en compétences. Comme pour la plupart des métiers à dominante technologique ou organisationnelle, aux compétences techniques et méthodologiques tendent à s’ajouter des exigences liées à la compréhension des enjeux métiers, à l’animation d’équipes, au relationnel…

4. Des besoins d’intégration avec le système d’information.  Qu’il s’agisse de maintenance ou de qualité, leurs champs d’actions respectifs concernent de plus en plus le système d’information. Pour la maintenance, avec de multiples interactions technologiques, surtout pour les systèmes critiques ; pour la qualité, avec l’automatisation et informatisation de plus en plus de processus administratifs, industriels et métiers.

5. Des besoins nouveaux de pilotage. L’engouement pour l’externalisation accroît les contraintes de pilotage des fournisseurs. Les prestations de maintenance sont aujourd’hui largement sous-traitées (auprès des infogéreurs, des intégrateurs et des mainteneurs spécialisés),  les services qualité suivent la même voie notamment parce que l’organisation, les audits et la formation consomment beaucoup de ressources internes…

6. Un poids croissant de la certification et de la réglementation (environnement, traçabilité, audit). Les exigences de temps réel et les engagements de services, poussées par des dispositions légales, nécessitent des taux de disponibilités élevés et, surtout, leur régularité. La combinaison d’une maintenance, la plus prédictive possible, à des approches qualité en l’état de l’art permet d’atteindre cet objectif, surtout lorsque des audits sont imposés par des tiers ou des lois.

7. Des processus similaires. Qu’il s’agisse du processus de maintenance ou de celui de la qualité, l’approche est très similaire : il faut d’abord disposer d’une vue d’ensemble du sujet, appliquer ensuite les savoirs et connaissances existantes à la résolution d’un problème ou d’un dysfonctionnement, puis maîtriser les méthodologies et, enfin, utiliser les outils disponibles.

8. Une convergence des approches métiers autour du prédictif.  Si la maintenance a été historiquement plutôt orientée vers un traitement curatif des dysfonctionnements et la gestion de la qualité vers du préventif et de prospective, ces deux domaines ont de plus en plus en commun des préoccupations de nature prédictive : la maintenance pour ajouter de l’efficience à l’efficacité, la qualité pour valider de façon quantitative des approches qui reposent encore souvent sur des éléments peu concrets.

9. Une exigence accrue de sensibilisation des utilisateurs. L’une des voies d’amélioration des processus de maintenance et des approches qualité consiste à associer les utilisateurs dans la définition des objectifs, des indicateurs clés de performance et dans la recherche de l’amélioration continue.

10. Des outils analytiques communs. La disponibilité d’outils puissants d’analyse de données, y compris dans leurs dimensions prédictives, constitue un autre point de convergence entre les métiers de la maintenance et ceux de la qualité. Les mêmes outils peuvent ainsi être utilisés pour l’étude de volumes importants de données (pour optimiser la maintenance) et la définition de scénarios prospectifs (pour fiabiliser les approches qualité).

Du point de vue intuitif, il n’y a guère de doutes. C’est ainsi qu’on peut supposer sans grands risques qu’un individu parti de son propre chef se former aux armes dans une zone de guerre présente plus de danger pour la société qu’un retraité passionné de concours de triplettes. C’est bien ce que fit la DCRI, qui a suivi Merah pendant près de 1,200 heures de surveillance opérationnelle depuis décembre 2010 – date de retour de son premier voyage dans les zones tribales de la frontière afghane.

Du point de vue de l’analyse prédictive proprement dite, et à condition de posséder des données en nombre suffisant, les polices ou les douanes du monde entier – les nôtres aussi – disposent de modèles prédictifs capables de canaliser leurs efforts et de cibler les actions. Aux Etats-Unis, data mining et analyse prédictive de la criminalité sont à l’œuvre notamment à New-York, à Memphis, à Las Vegas ou à Rochester. Reste que, contrairement à des délits plus communs, le nombre d’occurrences similaires à celles de Toulouse demeure heureusement très bas – et qu’il n’est ainsi pas possible d’automatiser l’analyse sur des bases fiables.

On en revient donc aux moyens traditionnels.  A Toulouse, l’analyse comportementale n’est pas probante. Mohamed Merah ne mène pas la vie d’un militant salafiste. Il ne fréquente pas les milieux islamistes, et mène « une vie de petite frappe de cité », selon un policier du renseignement cité par Le Monde. Du coup il n’est pas classé comme danger immédiat par les professionnels du renseignement – mais après les faits il sera rapidement identifié, logé, et mis hors d’état de nuire.

Dans un tel cas, il est peu probable que l’analyse prédictive eut réellement pu faire quelque chose – ou à quel prix pour les libertés individuelles ? Mais l’assistance qu’elle apporte aux forces de l’ordre dans la gestion des affaires quotidiennes doit leur permettre de dégager du temps et des moyens pour mieux maîtriser les situations exceptionnelles.

IDC estime que les entreprises investiront plus de 120 milliards d’ici 2015 pour tirer profit de l’opportunité financière que représente l’analytique, au travers des machines, des logiciels et des services. C’est le signe que les stratégies des entreprises ont largement évolué dans leurs approches décisionnelles. « Les approches analytiques sont passées des données d’entreprises au Big Data, de l’initiative business à l’impératif business, et d’une approche mono-organisations à la transformation de secteurs économiques entiers », résume Patrice Poiraud, Directeur Smarter Analytics IBM France. A l’occasion de l’annonce le 20 mars 2012 par IBM de ses nouveaux services et logiciels d’analyse prédictive pour réduire les fraudes, gérer la performance financière et améliorer la relation client, Patrice Poiraud a rappelé quelques chiffres révélateurs : « Par exemple, il se crée douze terabytes de tweets chaque jour, on recense pas moins de cinq millions d’événements commerciaux chaque seconde au niveau mondial. »

Les gains de performance permises par les technologies analytiques

De fait, passer de l’initiative business à l’impératif business se traduit, concrètement, par des gains de performances. « Les entreprises qui utilisent les technologies analytiques sont plus compétitives que les autres, note Patrice Poiraud. Une étude réalisée conjointement par  MIT Sloan Management et IBM a ainsi démontré que leur chiffre d’affaires « est en moyenne 1,6 fois plus élevé, que leur cours de bourse est en moyenne 2,5 plus haut » et que  »ces entreprises sont globalement deux fois plus performantes que celles opérant dans le même secteur ». Pourquoi ? Tout simplement parce que ces entreprises sont à même de prendre les bonnes décisions au bon moment…

Placer les éoliennes au bon endroit

Plusieurs exemples témoignent de ces performances. Le premier concerne un fabricant d’éoliennes : Vestas. Cette entreprise est confrontée à une problématique simple : optimiser l’emplacement des éoliennes pour être au meilleur endroit pour capter les vents les plus forts possibles. Après avoir analysé 2,8 petabytes de données météo concernant plus de 170 paramètres, elle a pu réduire la durée de prévision de la vitesse des vents de trois semaines à moins d’une heure. Et surtout a pu considérablement réduire la surface de prospection : il fallait auparavant travailler sur des carrés de 27 kilomètres de côté pour trouver l’emplacement idéal. Désormais, la surface à considérer n’excède pas trois kilomètres sur trois.

Optimiser sa chaîne logistique

Second exemple : Del Monte, une société du secteur agroalimentaire qui a pu, avec des solutions analytiques, gagner l’équivalent de cent millions de dollars en productivité et, quarante autre millions avec l’optimisation de sa chaîne logistique.

Garder ses clients

Dans le secteur des télécommunications, l’opérateur XO Communications a réduit son taux de churn (perte de clients) de 35 % en seulement un an et observé un ROI de 376 % de sa solution en cinq mois.

Les bonnes pratiques de la stratégie analytique

Globalement, selon IBM, la stratégie analytique repose sur cinq actions majeures : l’alignement (de l’organisation sur les données), la transformation (à travers l’analyse des résultats), l’action (pour être plus performant), l’apprentissage (pour l’amélioration continue) et l’anticipation (avec la prédiction).

L’alignement :

• Exploitez les données susceptibles d’améliorer la performance de l’organisation.
• Intégrez les données avec un système de gouvernance pour accroître la confiance dans l’information.
• Assurez-vous que les bonnes informations sont collectées, utilisées et sont rendues accessibles, en nettoyant régulièrement les données inutiles ou obsolètes.
• Capitalisez sur les volumes, la diversité et la rapidité de circulation des informations internes et externes à l’organisation.

L’anticipation :

• Analysez les tendances et identifiez les anomalies.
• Utilisez l’analyse prédictive pour identifier les forces et les faiblesses de votre organisation.
• Etablissez des scénarios de type « What if… ».
• Mesurez régulièrement la performance business.
• Automatisez ce qui peut l’être en matière de collecte de données.

L’action :

• Intégrez la dimension analytique dans les processus métiers.
• Enrichissez le travail de vos collaborateurs avec des analyses historiques, en temps réel, ou prédictives.
• Favorisez une culture qui repose sur la prise de décision liée à des approches prédictives.

La transformation :

• Définissez une stratégie analytique alignée sur les priorités métiers.
• Challengez régulièrement les processus de décision afin d’explorer de nouvelles idées et de nouveaux modes d’innovation.
• Utilisez des solutions éprouvées, associées à des retours d’expérience, de manière à délivrer rapidement des résultats tangibles.
• Allez au-delà de la résolution de problèmes pour identifier de nouvelles opportunités et sources de valeur.

L’apprentissage :

• Utilisez des solutions dont la fiabilité s’améliore à chaque itération.
• Utilisez des solutions capables d’analyser les conversations et le langage naturel.
• Testez de façon dynamique des scénarios basés sur des hypothèses.
• Capitalisez sur les outils capables d’analyser les Big Data.

Les entreprises sont de plus en plus dépendantes de leurs systèmes d’information. L’étude annuelle réalisée par le Clusif (Club de la sécurité de l’information français), et dont une nouvelle mouture sera publiée mi-2012, révèle que 80 % des DSI et RSSI (responsables sécurité des SI) considèrent que la dépendance de leur organisation à l’égard des systèmes d’information est forte et jugent « lourde de conséquences une indisponibilité de moins de 24h de leurs outils informatiques ». Ce degré de dépendance a d’ailleurs augmenté de façon significative en une dizaine d’années : aux 80 % mesurés en 2010 correspondaient 73 % en 2008 et 55 % au début des années 2000.

Le problème est que cette dépendance à l’égard du système d’information est parfois mal identifiée car on observe une montée en puissance progressive : la dépendance des entreprises à l’égard de leur système d’information ne s’accroît par des sauts quantitatifs mais se traduit plutôt par un mouvement régulier, presque linéaire, si l’on excepte par exemple les opérations de fusions-acquisitions ou les implantations à l’étranger. Et cette dépendance est évidemment aggravée si l’on prend en compte la notion de patrimoine informationnel de l’entreprise qui va bien au-delà du système d’information, qui, lui-même, est beaucoup plus large que le système informatique.

Des risques plus diffus, une responsabilité pénale accrue

Dans ce contexte, on voit se émerger et se renforcer de nouveaux risques opérationnels, plus diffus, avec l’ouverture des réseaux, la nomadisation et la professionnalisation des attaques. Parmi les nouvelles menaces, retenons les techniques de captation d’informations et de détournements de ressources. Cela se traduit, pour tous les acteurs en charge de la sécurité (DSI, Risk Managers, RSSI) par une responsabilisation pénale accrue, avec, en particulier, une obligation d’information, une obligation de sécurité et une incrimination de la fourniture de moyens.

Comment adresser cette évolution des risques opérationnels ?

Certes, il existe des cadres légaux historiques, par exemple pour la protection des informations nominatives (loi de 1978), la protection des réseaux, la protection des investisseurs et la lutte contre la fraude managériale et, plus récemment, le renforcement de la protection contre la Cybercriminalité. Mais les couches réglementaires s’ajoutent régulièrement, ce qui place les DSI, Risk Managers et RSSI dans une position toujours plus difficile. Que la législation soit efficace ou pas, dans la mesure où la sécurité interne d’une entreprise est un enjeu collectif et partagé, la responsabilité du DSI, Risk Manager ou RSSI est engagée face à toute attaque ou intrusion contre l’environnement informatique de l’entreprise.

La réduction du risque opérationnel suppose une prise de mesure pour maîtriser notamment les dommages qui pourraient toucher les actifs physiques et les problèmes liés à la gestion du personnel. Maîtriser le risque suppose une bonne performance en sûreté de fonctionnement (fiabilité, gestion des incidents…), en sécurité (protection du patrimoine et des informations) et en secours et continuité (capacité à pérenniser les activités). Tous ces domaines sont éligibles à des approches analytiques : pour la sûreté de fonctionnement, avec des techniques de maintenance prédictive, pour la sécurité avec l’analyse prédictive des risques de fraude, et pour la continuité de services avec la cartographie des risques ou l’élaboration de scénarios prédictifs.

Les idées à retenir

• Huit entreprises françaises sur dix s’estiment très dépendantes à l’égard de leur système d’information.
• Les acteurs en charge de la gestion des risques (Risk Managers, DSI, RSSI) ont de plus en plus de responsabilités face à l’accroissement de la gravité des risques opérationnels.
• Gérer les risques opérationnels revient à être performant en sûreté de fonctionnement, en sécurité logique et en continuité de service : pour ces trois domaines, l’analyse prédictive se révèle pertinente.