Métrique de résilience opérationnelle

Définition

Une métrique de résilience opérationnelle est un indicateur quantifiable permettant de mesurer la capacité d'une organisation à maintenir ou rétablir ses activités critiques face à une perturbation, qu'elle soit d'origine cyber, technique ou physique. Les métriques les plus utilisées incluent le RTO, temps de reprise cible, le RPO, perte de données maximale admissible, le temps moyen de détection, le temps moyen de réponse et le taux de disponibilité des services essentiels. Ces indicateurs s'inscrivent dans les référentiels de continuité d'activité tels que l'ISO 22301 et dans les exigences de résilience numérique du règlement européen DORA pour le secteur financier, ainsi que dans la directive NIS2 pour les entités essentielles et importantes. Une organisation mature définit des seuils cibles par processus métier, priorisés selon une analyse d'impact BIA, puis suit l'écart entre performance réelle et objectif lors des exercices de bascule et des incidents réels. Ces métriques alimentent les tableaux de bord de gouvernance présentés aux comités de direction et servent de preuve de conformité lors des audits réglementaires. Elles permettent également d'arbitrer les investissements en infrastructure de secours, en redondance et en automatisation, en objectivant le retour sur investissement de la résilience opérationnelle plutôt que de s'appuyer sur une appréciation qualitative du risque.