Plus de capacités, plus de dépendances
À mesure que les organisations deviennent plus dépendantes de services numériques externes, la résilience repose moins sur le contrôle et davantage sur la préparation.
Aujourd’hui, peu d’organisations exploitent leurs technologies entièrement au sein de leurs propres infrastructures. Les entreprises ont adopté les plateformes cloud, les applications SaaS, les services managés, les fournisseurs spécialisés et les partenariats numériques afin de réduire la complexité, d’accélérer l’innovation et d’accéder à des capacités qu’il serait difficile ou peu rentable de développer de manière autonome.
À bien des égards, cette évolution a été une immense réussite. Les écosystèmes numériques ont permis aux organisations de devenir plus agiles, plus réactives et plus performantes que jamais. Plutôt que de concevoir et d’exploiter elles-mêmes chaque composant, elles peuvent s’appuyer sur l’expertise de spécialistes issus d’une chaîne d’approvisionnement numérique plus large.
Mais cette réussite a également transformé la nature du contrôle, du risque et de la résilience.
Chaque nouvelle capacité introduite par l’intermédiaire d’une plateforme, d’un fournisseur ou d’un service externe crée également une nouvelle dépendance. À mesure que les organisations développent leurs capacités grâce à des technologies interconnectées, elles deviennent aussi de plus en plus dépendantes de composants qui échappent à leur contrôle direct.
La résilience ne peut plus reposer uniquement sur le contrôle
Dans un écosystème interconnecté, les organisations ne peuvent pas contrôler chaque plateforme, fournisseur ou service externe dont elles dépendent. La résilience repose de plus en plus sur leur capacité à anticiper les perturbations, comprendre leurs dépendances et préparer une réponse efficace.
et résilience
Comment les dépendances créent un risque systémique
Parce que les organisations ne sont plus affectées uniquement par les systèmes qu’elles possèdent et exploitent, elles sont de plus en plus exposées à des événements qui se produisent ailleurs dans l’écosystème de fournisseurs et de services dont elles dépendent.
Service numérique partagé
Plusieurs organisations dépendent de la même plateforme, du même fournisseur ou de la même infrastructure externe.
Dépendance concentrée
Les capacités critiques se concentrent auprès d’un nombre relativement limité de fournisseurs.
Perturbation du fournisseur
Un incident affecte un service qui échappe au contrôle direct de chaque organisation.
Impact intersectoriel
La perturbation se propage simultanément à des organisations et des secteurs qui ne sont pourtant pas directement liés.
Il en résulte une évolution importante de la nature du risque numérique. Dans un écosystème interconnecté, les perturbations ne restent plus limitées à l’organisation dans laquelle elles trouvent leur origine. Le même écosystème qui favorise la croissance et l’innovation crée également de nouvelles voies par lesquelles les perturbations peuvent se propager.
Cet effet est amplifié par la concentration croissante de certains services numériques. De nombreuses organisations dépendent désormais d’un nombre relativement limité de plateformes cloud, de fournisseurs d’identité et de services d’intelligence artificielle.
Ces dépendances partagées favorisent l’efficacité et le passage à l’échelle, mais elles peuvent également créer des points d’exposition communs.
Ses effets ne se limitent pas à une seule organisation. Une perturbation affectant un service largement utilisé peut toucher plusieurs entreprises simultanément.
Ce qui caractérise le risque systémique, c’est que ses effets ne se limitent pas à une seule organisation. Une perturbation affectant un fournisseur, une plateforme ou un service externe largement utilisé peut toucher simultanément plusieurs entreprises, même si elles évoluent dans des secteurs différents et n’entretiennent aucune relation directe entre elles.
Les dépendances systémiques liées aux fournisseurs de cloud et d’IA
Ryan Terpstra analyse la manière dont la concentration des fournisseurs peut accroître le risque qu’une perturbation se propage simultanément à plusieurs organisations.
La résilience au-delà des frontières de l’organisation
La résilience ne se limite plus aux systèmes qu’une organisation possède et exploite. Elle dépend de plus en plus de sa capacité à comprendre, anticiper et gérer les événements qui surviennent dans l’ensemble de son écosystème numérique.
Si les risques s’étendent au-delà de ce qu’une seule organisation peut contrôler, qu’est-ce que cela implique pour la nature de la résilience ?
Il ne s’agit plus d’identifier qui a échoué, mais d’évaluer qui était préparé
Responsabilité du fournisseur
« Quel système a échoué ? »
Une panne affectant un fournisseur externe était principalement considérée comme le problème de ce fournisseur. La responsabilité était étroitement liée à la propriété et au contrôle direct du système.
ont évolué
Préparation de l’organisation
« Pourquoi l’organisation n’était-elle pas préparée ? »
Les clients, les partenaires et les parties prenantes se concentrent désormais moins sur l’origine de la perturbation que sur la manière dont l’organisation en a géré les conséquences.
Il y a dix ans, une panne affectant un fournisseur externe aurait pu être considérée principalement comme le problème de ce fournisseur. Aujourd’hui, les clients, les partenaires et les parties prenantes de l’entreprise sont davantage susceptibles de se concentrer sur les conséquences.
La question posée est moins souvent « Quel système a échoué ? » et davantage « Pourquoi l’organisation n’était-elle pas préparée à cette perturbation ? »
Cette évolution des attentes reflète un changement plus large dans la nature de la résilience. À mesure que les organisations dépendent davantage de services externes, la résilience repose moins sur le contrôle de chaque composant et davantage sur la compréhension des dépendances qui soutiennent les services critiques.
La préparation repose sur quatre capacités complémentaires
Comprendre les dépendances
Identifier les fournisseurs, les plateformes, les API et les services qui soutiennent les activités critiques de l’entreprise.
Anticiper les perturbations
Évaluer comment des défaillances échappant au contrôle direct pourraient affecter les services, les utilisateurs et les équipes internes.
Absorber les conséquences
Maintenir les opérations essentielles tout en limitant les conséquences d’une perturbation affectant l’ensemble de l’écosystème.
Poursuivre les opérations
Préserver les services critiques et rétablir efficacement les opérations, quelle que soit l’origine de l’incident.
L’origine de la perturbation compte moins que la capacité à en absorber les conséquences
La résilience n’est plus définie uniquement par la fiabilité des systèmes individuels. La question n’est plus de savoir si une perturbation provient de l’intérieur ou de l’extérieur de l’organisation, mais d’évaluer dans quelle mesure celle-ci était préparée à absorber les conséquences et à poursuivre ses activités lorsque l’incident s’est produit.
La préparation plutôt que le contrôle
Les écosystèmes numériques ont apporté des gains considérables en matière d’agilité, d’innovation et de passage à l’échelle. Mais ils ont également transformé la nature de la résilience.
Passer de la maîtrise de chaque composant à la préparation aux perturbations
La résilience par le contrôle
La fiabilité était étroitement associée aux systèmes, aux infrastructures et aux services qu’une organisation possédait et exploitait directement.
a évolué
La résilience par la préparation
Les organisations doivent comprendre l’écosystème élargi dont elles dépendent et se préparer à la défaillance d’un composant externe.
À l’ère des dépendances partagées, la résilience n’est plus définie uniquement par ce qu’une organisation possède ou exploite. Elle dépend de plus en plus de sa compréhension de l’écosystème sur lequel elle s’appuie et de sa capacité à se préparer à la défaillance d’une partie de cet écosystème.
Les organisations sont de plus en plus évaluées non pas sur le fait qu’une dépendance ait subi une défaillance, mais sur l’efficacité avec laquelle elles en ont anticipé, absorbé et géré les conséquences.
Les services numériques modernes fonctionnent au sein d’écosystèmes interconnectés. Les plateformes partagées, les services externes, les fournisseurs, les API et les chaînes d’approvisionnement numériques complexes contribuent tous à la fourniture de services critiques.
Quatre capacités soutiennent la résilience au-delà du contrôle direct
Comprendre les dépendances
Identifier les fournisseurs externes, les plateformes, les services et les composants de la chaîne d’approvisionnement qui soutiennent les opérations critiques.
Anticiper les perturbations
Évaluer comment une défaillance échappant au contrôle direct pourrait affecter les services, les utilisateurs et les résultats de l’entreprise.
Absorber les conséquences
Limiter les perturbations et protéger les opérations essentielles pendant la résolution de l’incident sous-jacent.
Maintenir les services critiques
Continuer à fournir les services dont dépendent les clients, les collaborateurs et les parties prenantes de l’entreprise.
La résilience repose sur le maintien des services critiques en cas de perturbation
À mesure que les organisations continuent de s’appuyer sur des plateformes partagées, des services externes et des chaînes d’approvisionnement numériques complexes, la résilience repose moins sur le contrôle de chaque composant que sur la compréhension des dépendances, la préparation aux perturbations et la capacité à poursuivre les opérations lorsqu’une partie de l’écosystème connaît une défaillance.