Une tolérance d'impact n'est pas un RTO déguisé

Deux objets, deux directions du regard

Le RTO est un engagement interne : « nous remettrons ce système en service en quatre heures ». Il regarde vers l'intérieur de l'organisation, et il est nécessairement contraint par ce qu'elle sait faire.

La tolérance d'impact est une limite externe : « au-delà de six heures d'interruption de ce service, le préjudice causé à nos clients devient intolérable ». Elle regarde vers l'extérieur, et elle se fixe sans considération de faisabilité.

Trois conséquences pratiques en découlent.

Première conséquence : l'écart est une information, pas un problème

Si la tolérance est de six heures et la capacité mesurée de neuf heures, l'écart de trois heures ne doit pas conduire à relever la tolérance. Il doit être déclaré comme vulnérabilité dans l'auto-évaluation, avec un plan de remédiation daté.

Aligner la tolérance sur la capacité actuelle vide l'exercice de son sens, et se repère en une seule question : « comment avez-vous déterminé ce chiffre ? » Si la réponse mentionne la capacité technique, le superviseur sait que la tolérance n'a pas été fixée du point de vue du client.

Deuxième conséquence : respecter tous ses RTO ne garantit rien

Une organisation peut tenir chacun de ses RTO et dépasser sa tolérance. Il suffit que la chaîne de bout en bout comporte cinq maillons de quatre heures chacun — aucun n'est en défaut, et le service est indisponible vingt heures.

C'est précisément pour cela que la cartographie de bout en bout précède le test : sans elle, on mesure des composants, pas un service.

Troisième conséquence : le client ne mesure pas la même chose que vous

Un service peut être techniquement rétabli et rester indisponible du point de vue du client, parce que la file d'attente accumulée met huit heures à se résorber. La tolérance porte sur l'expérience réelle, pas sur l'horodatage de la remise en service.

C'est aussi pourquoi le dimensionnement du mode dégradé doit inclure la charge de rattrapage : un secours à cinquante pour cent de la production met huit heures à absorber quatre heures d'arriéré.

Le signal que le superviseur cherche

Une auto-évaluation annuelle qui déclare qu'aucun scénario testé n'a dépassé la tolérance n'est pas un signe de maturité. Le régulateur britannique attend explicitement que certains scénarios sévères mais plausibles conduisent au dépassement : c'est ce dépassement qui identifie les vulnérabilités à traiter.

Une tolérance que les tests ne franchissent jamais est soit trop large, soit adossée à des scénarios trop faibles. Dans les deux cas, l'exercice n'apprend rien — et cela se voit immédiatement dans la comparaison d'une année sur l'autre.