Ce qui distingue un KRI d’une métrique
Une métrique devient un KRI quand trois choses sont vraies : elle est reliée à un risque nommé dans le registre, elle a un seuil qui veut dire quelque chose (orange, rouge) plutôt qu’une tendance que personne n’interprète, et quelqu’un porte la réponse quand le seuil est franchi. Un tableau de bord avec quarante métriques de sécurité et sans seuils est du reporting ; six KRI avec seuils et responsables sont de la gouvernance. Le nombre d’indicateurs compte moins que le fait que chacun change une décision.
Des exemples qui tiennent
Délai médian de correction des vulnérabilités critiques sur les actifs exposés à Internet, contre un seuil en jours. Pourcentage de fournisseurs critiques sans évaluation valide. Nombre de dérogations au-delà de leur échéance. Part des contrôles dont la preuve est plus ancienne que sa cadence. Incidents ouverts au-delà du délai de notification de la réglementation applicable. Chacun se calcule à partir de données que l’organisation détient déjà : c’est la différence entre un KRI mesuré chaque mois et un KRI estimé en réunion.
Du KRI au conseil
Le conseil ne lit pas quarante indicateurs non plus. Le dossier de conseil porte la poignée de KRI reliés aux risques majeurs, chacun avec son seuil, sa tendance et la décision en attente quand il a été franchi. Présenté ainsi, l’indicateur n’est pas une curiosité technique mais la réponse à la question désormais posée aux administrateurs sous NIS2 et DORA : saviez-vous que le risque bougeait, et qu’avez-vous décidé ?