Depuis 40 ans une minuscule organisation rattachée au ministère de la défense américain essaie de prédire l’avenir. Elle compte tout au plus une douzaine de personnes. Son chef a été nommé par le président Nixon en 1973. Et à 92 ans, il est toujours là aujourd’hui.

L’histoire de cet Office of Net Assessment (ONA) est intimement liée à celle de ce chef hors-normes, Andrew Marshall. Affectueusement surnommé Yoda par ses collaborateurs, il a consacré sa vie à l’analyse de l’information et aux prédictions stratégiques. Il est le créateur de l’ONA et l’instigateur de la méthode d’analyse qui porte son nom : la méthode dite du « Net Assessment ». La légende lui prête d’avoir prédit la chute de l’Union Soviétique, l’émergence de la Chine comme prochain poids-lourd mondial et adversaire capital des Etats-Unis, et l’irruption des armes autonomes sur le champs de bataille. Depuis 40 ans, il a toujours été reconduit à ses fonctions par les présidents successifs.

Bien sûr, les analyses stratégiques de ce type sont plutôt l’apanage des Etats (la France dispose par exemple du Centre d’analyse, de prévision et de stratégie fondé dans les années 70). Et bien entendu employer à cela 12 personnes à plein temps, pour un budget annuel de « quelques millions de dollars » , n’est pas à la portée de beaucoup d’entreprises.

Mais il n’est pas inutile de poser la question de la fonction d’analyse stratégique SSI dans l’entreprise. Qui est en charge de la « longue vue » ? Qui détecte les mouvements tectoniques des menaces ? Les évolutions des capacités de réaction ? Des stratégies de défense de l’entreprise ? En définitive, qui réfléchit ?

Jusqu’à un certain point, cette tâche peut être externalisée à des cabinets de conseil en SSI, voire à des analystes tels Gartner ou IDC. Mais les premiers ont le plus souvent une approche de conseil opérationnel plutôt que prospective et les second une orientation essentiellement marché (leurs clients sont avant tout les fournisseurs de solutions), sans compter qu’il leur est évidemment impossible de prendre en compte dans leurs analyses la spécificité de l’entreprise, son contexte, son organisation et ses mutations quotidiennes.

Et pourtant, c’est précisément dans ces détails que se cache la valeur de l’analyse stratégique si l’on en croit Andrew Marshall. Sa méthode est particulièrement utile dans le cadre d’une opposition entre deux blocs structurés doté d’une bureaucratie forte. Initialement il s’agissait évidemment des blocs Est-Ouest dans le contexte de la guerre froide. Aujourd’hui, elle pourrait s’appliquer aux confrontations économiques entre grands groupes, et peut-être, de manière plus secondaire, à la SSI à l’heure des cyber-menaces d’origine étatique. Mais dans tous les cas, elle offre à l’entreprise une vision nouvelle sur son propre fonctionnement, et les éventuelles faiblesses qui en découlent.

Pour les adeptes de la méthode du Net Assessment toute la difficulté de forger une vision stratégique provient du quotidien des structures et de la manière dont les questions majeures sont traitées. Ils observent que ces dernières sont le plus souvent divisées en petits problèmes (confiés à des entités différentes au sein de la même structure) qui sont ensuite ré-assemblés une fois traités, afin que la tête soit en mesure de prendre une décision.

Mais ce processus de fragmentation et de re-composition introduit de nombreuses incertitudes qui, au bout de la chaîne, influencent de manière invisible et rendent difficile la création d’une vision stratégique car cette dernière sera basée sur une vision parcellaire du problème. « L’importance de la bureaucratie dans les décisions (de l’adversaire, ndlr) est souvent ignorée » , explique ainsi Paul Bracken, un professeur de sciences politiques à l’université de Yale.

Pour y pallier, la méthode du Net Assessment essaie donc, entre autres, « de reconnaître l’importance du désir bureaucratique pour la facilité administrative, et tente de voir où cela peut mener » , continue Bracken.

Autrement dit cette approche s’intéresse aux incertitudes (« intenses » , précise-t-il) qui existent dans les relations entre chaque sous-entité chargée d’une partie du problème. Elle n’adhère pas à la thèse selon laquelle lorsque les différents aspects d’un problème sont traités par plusieurs entités la tête disposera en fin de course des informations « pures » remontées par chaque sous-ensemble afin de bâtir une vision efficace. Pour les adeptes du Net Assessment, la vision sera forcément incomplète, voire fausse.

L’objectif est alors d’identifier les décisions quotidiennes prises à court terme par facilité administrative plutôt que par adhésion à une vision stratégique (ou en soutient de celle-ci). Chez l’adversaire cela permettra d’en déduire ses limitations éventuelles. Chez soi cela pourra aider à identifier des faiblesses que l’on corrigera de manière structurelle, notamment en ré-alignant la vision stratégique avec les rouages de la machine bureaucratique. La question cruciale que se posent les praticiens du Net Assessment est ainsi « Où nous conduisent les tendances actuelles au sein de mon entreprise si rien ne change ? »

Tout ceci peut paraître fumeux et difficilement applicable à l’entreprise, en tout cas en matière de SSI proprement dite. Mais ça n’enlève rien à l’intérêt d’une réflexion stratégique en matière de risques, et qui tiendrait compte du contexte (interne) propre à l’entreprise.

Il n’est peut-être pas nécessaire qu’il s’agisse d’une cellule purement SSI tant le risque est une notion transversale. Il peut s’agir d’une équipe pluri-disciplinaire appuyée sur une direction des risques et qui compterait en ses rangs des experts SSI. Une cellule réellement prospective et stratégique, affranchie des exigences de rentabilité et d’utilité immédiate.

Au ministère de la défense américain, il s’agit de 12 personnes sur un total de près de deux millions d’employés (dont 700 000 civils). Il s’agit de « quelques millions de dollars » de budget annuel sur une enveloppe près de 600 milliards de dollars. Ramenés à votre entreprise, ou à l’échelle d’un groupe international, cela représente combien d’équivalents temps-plein ? Et quel budget, en dehors des salaires versés ? (budget qui sera notamment consacré à la commande d’études extérieures). Probablement pas tant que ça…

Alors, chez vous, qui est votre Yoda ? Qui réfléchit ?

Plus d’information :

• Une présentation de la méthode de Net Assessment (PDF, en anglais)
• L’annonce de la disparition possible de l’Office of Net Assessment