MTPD et RTO : le plafond et la cible

Deux objets différents

Le MTPD — période maximale d'interruption tolérable — est la durée au-delà de laquelle les conséquences deviennent inacceptables : perte de clients irréversible, sanction réglementaire, atteinte à la sécurité des personnes, effondrement de la trésorerie.

Le RTO — objectif de délai de reprise — est la durée dans laquelle l'organisation s'engage à avoir repris l'activité.

Ce sont deux objets de nature différente. Le premier décrit une limite subie. Le second décrit un engagement pris. Les confondre est l'erreur la plus fréquente et la plus coûteuse de la discipline.

Pourquoi RTO doit être strictement inférieur à MTPD

Toute reprise réelle dépasse son estimation. Les causes sont systématiques, pas accidentelles :

• Le temps de détection n'est presque jamais compté dans les estimations ;
• Le temps de décision — réunir, évaluer, arbitrer, autoriser — représente couramment une à trois heures ;
• Les dépendances oubliées apparaissent en cours de reprise : un certificat expiré, un compte de service, une habilitation, un tiers injoignable ;
• La vérification avant remise en service prend plus longtemps que la bascule elle-même.

Si RTO = MTPD, ces quatre facteurs garantissent mathématiquement le dépassement du plafond. La marge n'est pas de la prudence : c'est une nécessité structurelle.

Qui fixe quoi

La règle de gouvernance est simple : celui qui subit fixe le plafond, celui qui répare propose la cible, la direction arbitre l'écart. Toute autre répartition produit soit des objectifs irréalistes, soit des objectifs confortables.

Le cas de l'activité qui n'a pas de MTPD

Certaines activités peuvent s'arrêter longtemps sans conséquence notable : le reporting mensuel interne, la formation, une partie du recrutement. C'est une information précieuse, pas un échec de l'analyse.

Identifier ce qui peut s'arrêter est aussi important que d'identifier ce qui ne le peut pas : ce sont ces activités qui libéreront des ressources humaines le jour où il faudra tenir un mode dégradé pendant trois semaines.

Exercice de lecture

Une banque fixe pour son service de virements instantanés : MTPD = 4 h, RTO = 4 h, RPO = 0.

Deux problèmes. D'abord, RTO = MTPD, donc dépassement garanti. Ensuite, RPO = 0 impose une réplication synchrone, dont le coût et les contraintes de latence ne sont presque jamais assumés jusqu'au bout — et une réplication synchrone recopie fidèlement une corruption logique. Le chiffre est correct dans l'intention, irréaliste dans la mise en œuvre.