Indicateurs de résilience opérationnelle : ce qu’un superviseur attend au-delà du volume d’incidents

Les indicateurs de résilience opérationnelle crédibles ne comptent pas seulement les incidents : ils mesurent leur matérialité, la ponctualité des notifications, la capacité de rétablissement et la récurrence. DORA n’impose pas un catalogue universel de KPIs, mais le tableau de bord doit relier les métriques aux fonctions critiques ou importantes, aux objectifs de reprise et aux décisions de l’organe de direction.

Réponse courte

Le superviseur peut attendre un faisceau limité d’indicateurs démontrant trois capacités distinctes : notifier dans les délais, maintenir ou rétablir les fonctions critiques ou importantes, puis réduire la répétition des causes déjà identifiées.

Objet de contrôle	Indicateurs probants	Fondement DORA
Gestion et notification des incidents	Délais de détection, de classification et de notification ; incidents majeurs par critère ; récurrence	Articles 17 à 19
Continuité et reprise	Indisponibilité par fonction ; respect des RTO et RPO ; restaurations testées	Articles 11 et 12
Gouvernance	Exceptions soumises à décision ; actions échues ; trajectoire des risques	Articles 5 et 6

Une fonction critique ou importante est ici l’unité de mesure pertinente : un taux agrégé au niveau de l’entité peut masquer l’indisponibilité du service qui porte le risque prudentiel. De même, un incident majeur lié aux TIC désigne un incident ayant une incidence négative élevée sur les systèmes soutenant ces fonctions ; il ne se confond pas avec un ticket classé prioritaire par le support informatique.

KPIs incidents utiles

Les KPIs incidents utiles mesurent la conformité du processus et l’impact réel, non le seul nombre de tickets enregistrés.

Délais de détection, de classification et de notification

Le tableau de bord doit séparer au moins quatre horodatages : survenance estimée, détection, prise de connaissance et classification comme incident majeur. Sans cette distinction, un délai de notification satisfaisant peut dissimuler une détection tardive ou une classification restée plusieurs heures en attente.

Le règlement délégué (UE) 2025/301 prévoit notamment une notification initiale dès que possible, au plus tard quatre heures après la classification comme incident majeur et, en principe, au plus tard vingt-quatre heures après la prise de connaissance. Si la classification intervient après ces vingt-quatre heures, la notification doit être transmise dans les quatre heures suivant cette classification. Le rapport intermédiaire intervient au plus tard dans les soixante-douze heures suivant la notification initiale et le rapport final dans le mois suivant le rapport intermédiaire ou sa dernière mise à jour.

Le KPI doit appliquer le délai effectivement applicable à la catégorie d’entité et au calendrier concernés, y compris les modalités particulières prévues pour certaines échéances tombant un week-end ou un jour férié. Les mesures utiles sont donc :

• le taux de notifications initiales remises dans le délai applicable, avec numérateur et dénominateur ;
• les durées détection–classification et classification–notification ;
• le nombre et l’ancienneté des rapports intermédiaires ou finaux en retard ;
• le nombre de corrections d’une notification dues à des données incomplètes ou incohérentes.

Pour le détail du processus, voir le cheat-sheet de gestion des incidents et les délais de notification DORA.

Incidents majeurs ventilés par critère de matérialité

Le nombre d’incidents majeurs n’est interprétable qu’avec sa ventilation selon les critères de l’article 18 et du règlement délégué (UE) 2024/1772 : clients ou contreparties financières affectés, transactions touchées, durée et indisponibilité, étendue géographique, pertes de données, criticité des services et incidence économique.

Cette ventilation doit faire ressortir les cumuls : un incident peut franchir plusieurs critères. Elle doit également identifier la fonction critique ou importante concernée, le prestataire tiers de services TIC impliqué le cas échéant et le canal touché. Une hausse du nombre d’incidents majeurs peut ainsi provenir d’une dégradation réelle, d’un changement de périmètre ou d’une meilleure classification. Ces trois explications n’appellent pas la même décision.

Récurrence des causes et avancement des actions correctives

La récurrence ne peut pas être mesurée par la simple répétition d’un libellé d’incident. Elle suppose une taxonomie stable des causes racines et une fenêtre d’observation documentée, par exemple par type de défaillance, actif, fournisseur ou processus.

Le tableau de bord doit rapprocher les incidents récurrents des actions correctives : propriétaire, échéance, état, date de validation et preuve de clôture. Une action marquée « terminée » sans test d’efficacité ne démontre pas que la cause a disparu. Le KPI pertinent associe donc taux de récurrence, stock d’actions échues et incidents survenus après clôture d’une remédiation.

KPIs résilience hors vanity

La disponibilité agrégée ne prouve pas la résilience. Les mesures doivent être rattachées à chaque fonction critique ou importante et confronter les résultats observés aux objectifs de reprise approuvés.

Disponibilité mesurée au niveau des fonctions critiques ou importantes

Une disponibilité « SI » de 99,9 % peut rester verte alors qu’un parcours critique a été interrompu pendant une fenêtre de marché ou une échéance réglementaire. Le KPI doit préciser :

• la fonction et la population d’utilisateurs concernées ;
• la fenêtre de service retenue ;
• les interruptions incluses ou exclues ;
• la durée d’indisponibilité non planifiée ;
• l’éventuel fonctionnement en mode dégradé et ses limites.

Les indisponibilités planifiées ne doivent pas disparaître automatiquement du pilotage : une maintenance répétée qui empêche l’exécution d’une fonction critique constitue aussi une information de résilience.

RTO et RPO : objectifs approuvés contre résultats constatés

L’article 11, paragraphe 3, prévoit la fixation d’objectifs de délai de rétablissement — RTO — et de point de rétablissement — RPO — pour chaque fonction. Leur détermination tient notamment compte de la criticité de la fonction et de l’incidence potentielle sur l’efficacité des marchés. DORA ne fixe pas de cible chiffrée universelle.

Les indicateurs doivent donc comparer les objectifs approuvés aux résultats des incidents et des exercices : taux de reprises réalisées dans le RTO, ampleur des dépassements, volume ou ancienneté des données perdues au-delà du RPO et fonctions dépourvues d’une mesure exploitable. Un taux de respect sans liste des dépassements extrêmes est insuffisant.

Tests de restauration et remédiations échues

L’article 12 encadre les politiques de sauvegarde ainsi que les procédures et méthodes de restauration et de rétablissement. Le résultat utile n’est pas le nombre de sauvegardes exécutées, mais la capacité à restaurer dans des conditions contrôlées des données intègres, accessibles et utilisables par la fonction concernée.

Le tableau de bord peut retenir le taux de restaurations testées avec succès, le délai réellement constaté, les écarts de données par rapport au RPO et le stock d’actions de remédiation échues, ventilé par ancienneté. Un test déclaré réussi malgré un dépassement du RTO doit apparaître comme une exception, non comme un succès sans réserve.

Revue et preuves

Un KPI n’est probant que si sa définition, son périmètre, sa date et la décision qu’il a déclenchée peuvent être reconstitués lors d’une revue prudentielle.

Ce que l’organe de direction doit pouvoir arbitrer

L’article 5 confie à l’organe de direction la définition, l’approbation, la supervision et la responsabilité de la mise en œuvre du cadre de gestion du risque lié aux TIC. La présentation ne doit donc pas s’arrêter à un feu rouge ou vert : elle doit exposer l’écart, son impact sur une fonction critique ou importante, les options de traitement, le responsable proposé et l’échéance.

L’article 6, paragraphe 5, impose une revue du cadre au moins annuelle, ainsi qu’après un incident majeur lié aux TIC ou selon les instructions ou conclusions prudentielles pertinentes ; le rapport de revue doit pouvoir être remis à l’autorité compétente sur demande. Cette fréquence minimale ne signifie pas que l’organe de direction ne voit les indicateurs qu’une fois par an : la cadence doit permettre un arbitrage avant que les écarts ou actions échues deviennent structurels.

Piste d’audit minimale d’un tableau de bord daté

Chaque édition conservée doit indiquer :

• la date de production et le numéro de version ;
• la source des données et la date d’extraction ;
• le périmètre, le numérateur, le dénominateur et les exclusions ;
• la cible, le seuil d’alerte et leur instance d’approbation ;
• la tendance sur une série comparable ;
• les exceptions, leur justification et les corrections manuelles ;
• le propriétaire de chaque action et son échéance.

La preuve est complétée par l’ordre du jour ou le procès-verbal de revue, les décisions prises, les demandes de complément et le suivi de leur exécution. Le propriétaire du dispositif doit aussi tracer les évolutions normatives, à partir du texte consolidé et des ressources DORA publiées par l’ESMA.

Voir également les responsabilités de l’organe de direction sous DORA.

Erreurs fréquentes

Compter les tickets au lieu de mesurer leur matérialité

Le volume brut récompense parfois la sous-déclaration : moins de tickets peut signifier moins d’incidents, mais aussi une détection défaillante. Le temps moyen de clôture mélange quant à lui des événements sans impact avec des incidents majeurs. Ces indicateurs ne deviennent utiles qu’après ventilation par gravité, fonction, critère de matérialité et cause.

Sont également à écarter la disponibilité globale incluant des services non critiques et tout taux de conformité dépourvu de dénominateur explicite.

Moyenner des délais qui masquent les cas extrêmes

Une moyenne peut rester stable malgré quelques notifications très tardives ou un rétablissement dépassant largement le RTO. Chaque délai moyen doit être accompagné d’une distribution, d’un percentile pertinent et du maximum constaté. Pour les incidents majeurs, la liste nominative des dépassements reste nécessaire : un percentile ne remplace pas l’analyse des exceptions prudentiellement significatives.

Modifier le périmètre sans conserver la série comparable

L’ajout d’une entité, d’une fonction ou d’un nouvel outil de détection peut rompre la série. La modification doit être versionnée, datée et, lorsque cela est possible, accompagnée d’un historique recalculé à périmètre constant. Sans cette piste, une amélioration apparente peut résulter d’un changement de définition plutôt que d’une réduction du risque.

Questions fréquentes

Faut-il isoler les incidents causés par un prestataire tiers de services TIC ?

Oui, comme axe d’analyse, notamment par prestataire, fonction affectée et cause. Cette ventilation aide à piloter les remédiations et le risque de concentration, mais elle ne transfère pas la responsabilité de l’entité financière concernant la continuité de ses fonctions et la notification de ses incidents.