Évaluez et priorisez les signaux

 

Le Fusion Resilience Center3 de Morgan Stanley est un énorme outil de

machine learning qui détecte et évalue les dangers auxquels la banque

d’investissement et ses clients pourraient être confrontés en termes de

cyberattaques, d’escroquerie, de terrorisme, de catastrophes naturelles, de

troubles géopolitiques, voire de pandémies ou de maladies infectieuses.

Créé en 2017 pour répondre à la montée de la cybercriminalité, le centre

avait pour vocation initiale de protéger l’établissement bancaire en repérant

les menaces en temps réel, en mesurant leur importance et en priorisant une

réponse. Chaque jour, on y décortique une quantité industrielle de données

et on les passe à la moulinette de l’analyse interne pour filtrer le bruit des

signaux. Les résultats sont ensuite affichés sur un gigantesque mur de

visualisation composé de centaines d’écrans, un peu comme un immense

écran radar de risques ou un superordinateur de science-fiction sur le

tournage d’un film d’espionnage futuriste. Fin 2019, la mission du centre

s’est élargie à la détection de toute menace susceptible de perturber le bon

fonctionnement de la banque, et il s’est rebaptisé le Fusion Resilience

Center.

À l’époque, l’organisme était dirigé par Jen Easterly, formée à

l’académie militaire de West Point et ancien officier de renseignement ayant

passé trois périodes de service à démanteler des réseaux terroristes en Irak

et en Afghanistan. Avant de rejoindre Morgan Stanley, elle avait été, durant

trois ans, l’adjointe spéciale du président du Conseil de sécurité nationale.

(Depuis, elle est retournée au gouvernement, nommée en juillet 2021 par le

Sénat américain au poste de directrice de l’Agence de sécurité des

infrastructures et de la cyber sécurité du département de la Sécurité

intérieure.)

Quand, le 23 janvier 2020, la Chine a décrété le confinement de la ville

de Wuhan, en plein cœur du pays, Jen Easterly et son équipe ont aussitôt

préparé l’arrivée de la pandémie sur le sol américain. Comme Morgan Stanley possédait une antenne locale et des bureaux de direction à Hong

Kong, le Fusion Resilience Center a commencé à recevoir des informations

inquiétantes en provenance d’Asie. Moins de quinze jours plus tard, à partir

des données fournies, entre autres, par les autorités sanitaires et des

universités comme Johns-Hopkins, le centre avait bâti un modèle

pronostiquant les scénarios les plus noirs si la pandémie chinoise devait

s’étendre au reste de la planète. En suivant les tendances d’Asie et d’Europe

et en synthétisant une foule d’informations, il a pu surveiller en permanence

le niveau de danger de la pandémie et conseiller les responsables de la

banque au jour le jour sur leur manière de réagir.

En dépit de son haut degré de sophistication technique, le Fusion

Resilience Center continue de s’appuyer sur l’humain dans l’évaluation des

menaces et la priorisation des réponses. Chaque péril est répertorié par un

algorithme, puis présenté aux équipes, qui décident s’il est réel ou pas. Les

intervenants humains ont pour tâche d’étudier l’ensemble des données et de

déterminer quelles menaces exigent une action immédiate – et donc de

nouvelles recherches – et quelles menaces sont des faux positifs dont il n’y

a pas à se soucier. Même si l’étape de détection est parfaitement

automatisée et que des algorithmes aident à identifier les risques, seuls des

acteurs humains peuvent émettre des recommandations collectives sur ce

que la banque doit faire et où il conviendrait de déployer ses ressources et

ses actifs financiers.

Pour établir les meilleures recommandations en matière de calcul des

risques et de plan d’action, Jen Easterly a eu recours au crowd sourcing

systématique des informations qui alimentent les algorithmes du Fusion

Center. Elle a convié tout un réseau de résolveurs de problèmes, qu’elle

avait constitué au sein de son équipe et de Morgan Stanley en général, à

interpréter les évaluations algorithmiques du Fusion Center, à prioriser les

risques et à émettre leurs préconisations auprès des responsables de la

banque.

À la mi-mars, les taux de contamination au coronavirus ont commencé à

grimper à New York mais, comme les prévisions du Fusion Resilience

Center laissaient entendre qu’une grave crise sanitaire imposerait sans doute le télétravail généralisé, les responsables de la banque avaient déjà pris la

décision cruciale de faire distribuer du matériel technologique sécurisé à

tous leurs salariés implantés aux États-Unis. Quand le président Donald

Trump a déclaré l’état d’urgence le 13 mars et interdit aux non-

ressortissants américains d’entrer sur le territoire national en provenance

d’Europe, l’immense majorité des entreprises du pays ont sombré dans le

chaos. Pas Morgan Stanley, qui avait une longueur d’avance et était prêt à

affronter ce tournant dans l’avenir du travail. Les neuf mois suivants,

l’établissement bancaire a enregistré des résultats financiers hors du

commun. Le fait que le Fusion Center ait détecté les signaux d’alerte

précoces et correctement évalué les risques et les opportunités a joué un

rôle capital dans les brillantes performances de l’entreprise.

 

Une grille d’évaluation

 

Votre organisation ne possède sans doute pas d’algorithmes complexes

d’identification des dangers ni de salle de visualisation ultrasophistiquée,

comme le Fusion Resilience Center, pour déployer en intégralité votre

portefeuille de risques ou, selon les mots de Leo Tilman, votre radar à

risques. Des solutions équivalentes peuvent néanmoins vous servir à

évaluer, par l’intermédiaire de vos collaborateurs actuels, les problèmes

éventuels et les bonnes occasions à saisir.

Grâce à vos sous-groupes STEEP, vous allez exercer une surveillance

radar constante et durable, qui, rappelez-vous, devra être présentée à chaque

réunion mensuelle. À l’image de son alter ego météorologique, votre radar

à risques affichera les signaux de changement à court terme et à long terme,

puis il guettera leur impact sur votre organisation, même s’ils ne sont pas

gérés activement en tant que tels. Ces signaux sont parfois très visibles de

l’extérieur mais peut-être pas évidents dans vos opérations quotidiennes.

Vous pourrez aussi utiliser votre radar à risques pour calculer la

probabilité et les répercussions des menaces potentielles. Quand un ouragan

clignote à 1 500 kilomètres de distance sur l’écran, les prévisionnistes définissent une fourchette de possibilités concernant sa force et sa

trajectoire futures. Le radar à risques fonctionne sur le même principe : il

visualise l’ensemble du portefeuille de risques et d’incertitudes et, dès que

ces informations sont accessibles à tous sur un tableau blanc numérique,

chacun comprend mieux quels sont les plus gros sujets d’inquiétude pour

l’avenir de l’entreprise. « Cela répartit la lutte pour la gestion des risques et

leur planification d’un bout à l’autre de la société », explique Leo Tilman.

Dans la majorité des cas, si vous demandez à vos équipes d’étudier les

signaux sur votre radar à risques et d’exposer leurs variations par le biais

des sous-groupes STEEP, vous saurez aisément hiérarchiser les mutations

environnementales liées à chaque facteur de risque. Lors de la réunion

mensuelle, nous vous conseillons de poser deux questions. D’une part, quel

est le degré de probabilité du signal ? D’autre part, quel est l’impact du

signal sur l’activité de l’entreprise ? Beth Comstock, ancienne vice-

présidente de General Electric (et aujourd’hui membre du conseil

d’administration de Nike), résume avec talent l’importance des deux

interrogations : quelles réponses devons-nous y apporter pour supprimer ce

signal de notre liste de préoccupations ? À la réunion mensuelle, demandez

que chaque signal détecté soit inscrit dans une simple grille d’évaluation à

quatre entrées créée sur la base de la menace perçue (voir figure 5.1). Dans

ces exercices, le vote à la majorité étant la règle, si vos collaborateurs

placent un signal dans tel ou tel quadrant, classez-le à l’endroit indiqué.

Vous constaterez que le quadrant supérieur droit (n° 2) regroupe les signaux

ayant à la fois une forte probabilité et un grand impact. Pour n’importe quel

avertissement figurant dans ce quadrant, vous devrez d’emblée établir un

plan de réaction, que nous vous décrirons bientôt plus en détail. En ce qui

concerne les autres quadrants, vous pouvez soit les garder sous surveillance

avant d’élaborer un scénario, soit mettre le signal en veilleuse s’il est

considéré à faible probabilité et à faible impact. Le but est d’utiliser la RCP

pour crowdsourcer l’évaluation des différents signaux et, par conséquent,

de toujours savoir sur lesquels se concentrer maintenant plutôt qu’après.

FIGURE 5.1 Radar à risques

 

 

Il s’agit assurément d’un exercice condensé d’évaluation des risques,

mais n’importe quelle équipe peut le mettre durablement en place dans son

workflow quotidien et chaque responsable doit le maîtriser afin de rendre

ses collaborateurs totalement adaptables. En cas de signaux multivariables,

vous jugerez peut-être utile d’accueillir, dans vos réunions mensuelles, des

partenaires de réflexion ou des conseillers extérieurs. À moins que vous

n’envisagiez de vous associer avec une société de gestion des risques,

comme Tilman & Company, pour mener l’exercice en profondeur. Cette

démarche de prospective en DIY peut être répétée à l’envi avec n’importe

quel signal issu de votre phase de détection. Vous vous en servirez pour

élaborer un programme d’évaluation interne des risques qui renseignera

ensuite votre plan d’action et vos réponses.

 

L’importance de l’itération

 

N’oubliez pas que l’efficacité du radar à risques dépend de la capacité de

vos effectifs à identifier de nouvelles données et à les analyser en temps et

en heure. Quand il s’agit de détection, rien ne se règle une bonne fois pour

toutes. L’avenir ne cesse d’évoluer en fonction de ce qui se passe à l’instant

présent. Il faut toujours remettre l’ouvrage sur le métier. Gardez donc votre

modèle prospectif à jour et faites-en un document de travail à caractère évolutif : inutile de se pencher dessus une fois par an pour l’oublier ensuite.

Prévoyez absolument une mise à jour des prospectives dans votre réunion

mensuelle – même si cela ne doit durer qu’une demi-heure – afin d’évoquer

les menaces et les opportunités extérieures. De par sa conception, la

méthode STEEP vous fournit l’outil pour le faire facilement et en

permanence. Grâce à cet exercice de détection et d’évaluation, vos

collaborateurs pourront repérer des éléments d’information primordiaux au

sujet des tendances émergentes et utiliser la RCP pour prioriser les actions

et décider de la marche à suivre – autant de pratiques dont nous discuterons

dans l’ultime phase de la prospective. Voilà qui rendra votre équipe

totalement adaptable et vous aidera à rester compétitif et à l’emporter dans

le nouveau monde du travail.

 

OceanofPDF.com