Tous vos systèmes ne se valent pas : combien investir dans chacun, selon leur degré de criticité

Le mardi 17 avril 2018, la Banque du Mexique a appris que l'un des participants du système de virements du pays avait été compromis [10].

Au cours des trois semaines suivantes, il y a eu quatre cas de plus ; en octobre, un sixième [8][10]. Le système central du SPEI (le système de paiements électroniques interbancaires du Mexique), qu'exploite la Banque du Mexique, n'a pas été touché [4][10]. Ce qui a fait défaut se trouvait du côté de chaque participant : la pièce avec laquelle il se connectait au système ou les équipements sur lesquels elle tournait [8][10].

Le problème a malgré tout atteint les clients. La Banque du Mexique a averti que, dans certains cas, un virement pouvait mettre un jour ou plus à être crédité [9].

La question qui vous concerne est autre : quels systèmes de votre entreprise, s'ils s'arrêtent une heure, la laissent sans pouvoir vendre, encaisser ou facturer ? Et combien y investissez-vous, par rapport aux autres ?

Une précision avant de commencer : le cas est raconté uniquement à partir de rapports publics de Banxico et de la CNBV ; il n'utilise aucune information de clients de Hábil. Banxico est la Banque du Mexique, la banque centrale du pays ; la CNBV, la Comisión Nacional Bancaria y de Valores, l'autorité mexicaine de supervision bancaire et boursière. Chaque donnée porte son numéro de référence. Les sources citées ne nomment pas les institutions touchées, et nous ne les nommons pas non plus. Quand il s'agit de notre lecture, nous le disons.

En 1 minute

• Le risque : répartir le budget des systèmes avec une seule règle. Ce qui fonctionne pour votre paie ne convient pas à votre facturation, et inversement. En 1983, Warren McFarlan et deux collègues ont proposé dans la Harvard Business Review de placer chaque entreprise dans l'une de quatre cases : support, usine, transition ou stratégique [1][2].
• Le cas : en 2018, six participants du système de virements du pays ont subi des attaques sur la pièce qu'ils utilisaient pour s'y connecter [10]. Les règles de sécurité existaient déjà ; la Banque du Mexique a constaté qu'elles étaient respectées de manière inégale [8][10].
• Ce que coûte l'inaction : selon Banxico, avec les informations disponibles en mai 2018, environ 300 millions de pesos d'envois irréguliers faisaient l'objet d'un examen [9]. Il s'agissait de fonds appartenant aux institutions elles-mêmes [9] : selon Banxico, « los recursos de los clientes nunca estuvieron en riesgo » [les fonds des clients n'ont jamais été en danger] [10]. Dans l'enquête mondiale d'Uptime Institute, issue du secteur des centres de données, 57 % des répondants ont déclaré que leur dernière panne grave avait coûté plus de 100 000 dollars [15].
• Ce qu'il vous revient de décider lundi : quels systèmes relèvent de l'« usine » (ils ne peuvent pas tomber) et lesquels sont « stratégiques » (ils définissent votre façon de vous battre sur le marché), qui répond de chacun et combien vous coûte une heure sans eux. À la fin, un inventaire à présenter à votre réunion.

Dans cet article

1. Que dit la matrice de McFarlan, en bref ?
2. Dans quelle case se trouvent votre entreprise et chacun de vos systèmes ?
3. Qu'est-ce qui change en budget, en gouvernance et en risque dans chaque case ?
4. Qu'enseigne le SPEI de 2018 sur votre système le plus critique ?
5. Combien vous coûte une heure sans système ?
6. Qu'est-ce qui casse quand vous traitez un système critique comme s'il était de support ?
7. Quelles erreurs coûtent le plus cher ?
8. Que présenter à la réunion de lundi ?
9. À retenir
10. Que fait Hábil ?
11. Questions fréquentes

Que dit la matrice de McFarlan, en bref ?

La matrice propose de répartir votre budget des systèmes avec deux questions : à quel point leur arrêt vous fait mal aujourd'hui, et à quel point ils vous aident à vous battre demain.

En deux lignes : en janvier 1983, F. Warren McFarlan, James L. McKenney et Philip Pyburn ont soutenu dans la Harvard Business Review que le rôle des systèmes change d'une entreprise à l'autre et que chacune doit les planifier selon ce rôle [1]. Ils l'ont résumé dans une matrice à quatre cases, que McFarlan lui-même a appelée « matrice stratégique » en citant cet article un an plus tard [2].

Les deux questions de la matrice sont [1] :

• Aujourd'hui : à quel point l'activité quotidienne dépend-elle du fonctionnement sans interruption des systèmes ?
• Demain : à quel point les systèmes en cours de construction comptent-ils pour se battre sur le marché ?

Matrice redessinée avec nos mots à partir de McFarlan, McKenney et Pyburn [1]. Dans l'original, la case que nous appelons ici « transition » s'appelle turnaround* : l'entreprise qui opère un virage avec ses systèmes.*

Chaque case, avec un exemple des auteurs :

• Usine. L'activité dépend des systèmes, mais ce qui est en construction ne change pas la manière de se battre sur le marché. Les auteurs y ont placé certains fabricants, compagnies aériennes et chaînes de magasins, où, ont-ils écrit, « even a one-hour disruption in systems » [même une interruption d'une heure des systèmes] affecte la performance de l'entreprise [1].
• Stratégique. L'entreprise en dépend aujourd'hui et en a besoin pour gagner demain. Leurs exemples étaient de nombreuses banques et compagnies d'assurance [1].
• Transition. Aujourd'hui, l'entreprise ne dépend pas entièrement de leur fonctionnement sans interruption, mais ce qu'elle construit est vital pour sa stratégie. Leur exemple : un fabricant qui avait grandi si vite que ses contrôles ne suivaient plus [1].
• Support. Ni l'activité n'en dépend ni ce qui est en construction n'est décisif. Leur exemple : un grand industriel qui dépensait près de 30 millions de dollars par an en systèmes et pouvait continuer à fonctionner, bien que de façon chaotique, s'ils tombaient en panne [1].

Deux mises en garde de l'article original vous sont utiles. La première : il y a souvent un écart entre la case où se trouve l'entreprise et celle où sa direction croit qu'elle se trouve [1]. La seconde : différentes parties de l'organisation peuvent en être à des étapes différentes, et la façon de planifier change avec elles [1].

En 2005, McFarlan et Richard Nolan ont porté la matrice au conseil d'administration, également dans la Harvard Business Review : le type de supervision que le conseil doit exercer sur les systèmes dépend de la case [3]. Les seuils de la section suivante viennent de cet article.

Dans quelle case se trouvent votre entreprise et chacun de vos systèmes ?

Situez-vous avec des chiffres, pas avec des opinions : combien d'heures vous tenez sans le système et quelle part de votre investissement part dans la technologie.

Nolan et McFarlan ont donné trois seuils concrets [3] :

Pour la case stratégique, ils ne donnent pas de seuil propre : ils disent qu'elle exige la même fiabilité que l'usine [3]. Si un système atteint le seuil d'une minute et que l'axe « demain » ressort aussi élevé, examinez s'il est stratégique.

Ils ajoutent deux traits de la case usine : revenir au travail manuel est difficile, voire impossible, et clients et fournisseurs communiquent généralement avec l'entreprise à travers ses systèmes [3].

Avec cela, nous avons construit huit questions. La liste est de nous, pas du modèle ; chaque question indique d'où elle vient.

Axe « aujourd'hui » : à quel point votre activité dépend-elle de ce système ?

1. S'il tombe une heure, cessez-vous de vendre, d'encaisser, de facturer ou de livrer ? [1]
2. Passer 12 heures sans lui, sur papier, aurait-il pour vous des conséquences sérieuses ? [3]
3. Une loi, un régulateur ou un contrat vous impose-t-il ce système pour fonctionner ? Au Mexique, par exemple, sans le CFDI (la facture électronique mexicaine) validé par le SAT (l'administration fiscale mexicaine), aucun justificatif fiscal n'est émis : avant d'être délivré, il est transmis au SAT, qui le valide et lui attribue un numéro de folio [13].
4. Vos clients ou vos fournisseurs s'y connectent-ils directement ? [3]

Axe « demain » : à quel point vous aide-t-il à vous battre sur le marché ?

1. Les projets en cours sur ce système changent-ils la manière dont vous gagnez des clients : prix, rapidité, canal ou service ? [1]
2. Une part significative de vos ventes entre-t-elle par un canal numérique qui vous est propre ? (notre lecture)
3. Un concurrent vous prend-il déjà des clients avec un système que vous n'avez pas ? [2]
4. La technologie absorbe-t-elle plus de la moitié de votre investissement en capital ou plus de 15 % de vos coûts ? [3]

Comment la lire (à titre indicatif, de notre cru) : deux « oui » ou plus sur un axe, c'est « élevé ». Aujourd'hui élevé et demain faible : usine. Les deux élevés : stratégique. Aujourd'hui faible et demain élevé : transition. Les deux faibles : support. La 8 se répond une seule fois pour toute l'entreprise, pas système par système ; si c'est « oui », ajoutez-la aux systèmes du projet de transformation.

Les auteurs classent l'entreprise entière [1][3]. Nous proposons de répondre à la liste système par système, parce qu'il est rare que tous tombent dans la même case. La paie, la facturation et la boutique en ligne d'une même entreprise peuvent se trouver dans trois cases différentes. Cette application est notre lecture, appuyée sur la mise en garde de 1983 sur les parties de l'organisation qui avancent à des rythmes différents [1].

Qu'est-ce qui change en budget, en gouvernance et en risque dans chaque case ?

Chaque case demande une règle de dépense et un responsable différents ; appliquer la même à toutes, c'est payer trop dans certaines et pas assez dans d'autres.

Nolan et McFarlan ont donné à chaque case une règle de dépense d'une ligne et un type de supervision [3]. Les règles sont formulées avec nos mots ; les deux dernières colonnes sont notre lecture.

Deux détails qui changent les décisions :

• Dans la case usine, la question du conseil porte sur la continuité. Les auteurs demandent de vérifier que la reprise après sinistre et la sécurité sont assurées, et que les sauvegardes sont testées en continu pour savoir qu'elles fonctionnent vraiment [3].
• Dans la case transition, l'entreprise ne reste pas longtemps. Une fois le changement terminé, elle passe à l'usine ou au stratégique ; et une fois les nouveaux systèmes installés, il n'y a plus de retour au manuel [3].

Qu'enseigne le SPEI de 2018 sur votre système le plus critique ?

Si votre pièce la plus critique dépend d'un tiers, gouvernez-la comme une partie de l'activité et vérifiez, preuves à l'appui, qu'elle respecte la règle : dans le SPEI de 2018, la règle existait, mais elle était respectée de manière inégale.

Le Sistema de Pagos Electrónicos Interbancarios (SPEI) est celui qui achemine les virements entre banques et autres institutions financières au Mexique. La Banque du Mexique l'appelle « el sistema de pagos mexicano más importante » [le système de paiement mexicain le plus important] [10].

Trois données pour en prendre la mesure :

• En 2018, il a traité 595 millions d'opérations entre utilisateurs finaux et comptait, en fin d'année, 92 participants [10].
• Les institutions qui ont subi les attaques traitaient, ensemble, environ 13 % des opérations du SPEI [8][10].
• Ses règles mesurent le service en secondes : pendant les heures d'ouverture, la banque qui reçoit un virement de plus de 8 000 pesos dispose de 5 secondes pour le créditer à son client, et dans les autres cas le délai est de 30 secondes [6][8].

Pour les besoins du modèle, cette connexion illustre un composant très critique pour l'exploitation, comme celui que Nolan et McFarlan décrivent dans la case usine : l'activité est perdue même si la panne dure une minute [3]. Les sources ne permettent pas de placer chaque participant dans une case ; la lecture est la nôtre et se limite à la pièce.

Que s'est-il passé, dans l'ordre ?

Tout provient de ce qu'ont publié la Banque du Mexique et la CNBV.

La CNBV, dans son rapport de 2018, range ces faits parmi les attaques contre les principaux systèmes de paiement du pays et indique en avoir suivi l'identification, le confinement et la remédiation [11]. Le chiffre de 300 millions provient uniquement de la Banque du Mexique [9], qui l'a donné « con la información disponible » [avec les informations disponibles] à ce moment-là.

Ce qui compte pour vous

1. Le plus critique dépendait d'un tiers. Dans tous les cas identifiés comme des attaques, l'application de connexion avait été développée par un tiers [8][10]. Sur la même page, Banxico précise que « la vulnerabilidad pudo tener su origen tanto en los sistemas, como en la infraestructura en la que fue instalado » [la vulnérabilité a pu avoir son origine aussi bien dans les systèmes que dans l'infrastructure sur laquelle elle était installée], et certaines institutions avec un prestataire externe n'ont pas été touchées [8]. La Banque du Mexique ne les valide ni ne les certifie : chaque participant est responsable de son application, qu'elle soit propre ou celle d'un prestataire [8][10]. Pour vous : le fournisseur d'une pièce « usine » se gouverne comme une partie de l'activité.
2. La règle existait ; son respect, pas toujours. Selon le rapport annuel de la Banque du Mexique, les attaques se sont produites en raison du respect inégal des exigences de sécurité [10]. Traiter une exigence d'une pièce « usine » comme une formalité de « support » est la lecture que nous en faisons.
3. Le dommage ne s'est pas limité aux institutions touchées. La Banque du Mexique a averti que le non-respect de certains participants rend vulnérable tout le système [8]. Les retards pouvaient aussi atteindre des clients d'institutions qui n'étaient pas directement touchées [5].
4. La gouvernance est montée au niveau de sa case. Après la crise sont arrivés un responsable de la sécurité, des protocoles écrits, des contrôles de confiance des tiers, un système d'alerte à quatre niveaux et des inspections des fournisseurs [10]. C'est ce que Nolan et McFarlan demandent pour une case usine : une continuité éprouvée et quelqu'un qui en réponde [3]. Ce rapprochement est notre lecture.

Ce n'est un jugement sur aucune institution. Les sources ne disent pas lesquelles ont été touchées et aucune n'est évaluée ici. C'est la question que le modèle poserait à n'importe quel conseil, y compris le vôtre : notre gouvernance correspond-elle à la case dans laquelle nous nous trouvons réellement ?

Combien vous coûte une heure sans système ?

Si vous ne savez pas combien vous coûte une heure d'arrêt, il sera difficile de savoir si votre système est surprotégé ou sous-protégé.

En 2018, le coût a eu plusieurs couches : de l'argent en cours d'examen [9], des mois de fonctionnement sur un dispositif plus lent [8][10] et des clients attendant leur virement, dans certains cas un jour ou plus [9].

Pour votre entreprise, le calcul comporte quatre parties. La formule est de nous :

1. Les ventes qui ne se rattrapent pas : le client qui a acheté ailleurs.
2. Le travail supplémentaire : des heures pour ressaisir, rapprocher et traiter les réclamations.
3. Ce que la loi, le régulateur ou le contrat vous obligent à respecter. Vérifiez quels délais et quelles pénalités prévoit votre contrat de service, et ce que vous demande votre régulateur quand un système tombe.
4. Ce qui ne se mesure pas sur le moment : la confiance, la réputation et l'attention de votre équipe de direction.

Scénario illustratif (ce n'est pas un cas réel). Un distributeur vend 312 millions de pesos par an et fonctionne 10 heures par jour, six jours par semaine : environ 3 120 heures de vente. Chaque heure d'activité représente, en moyenne, 100 000 pesos. Si son système de commandes et de facturation tombe une heure et que la moitié de ces commandes est récupérée plus tard, les ventes en jeu s'élèvent à environ 50 000 pesos, plus le travail supplémentaire et toute pénalité contractuelle. Avec ce chiffre, un investissement annuel en secours et en supervision cesse d'être une « dépense informatique » et se compare aux heures d'arrêt évitées.

La panne n'a pas non plus besoin de naître dans votre entreprise. En juillet 2024, une mise à jour logicielle que CrowdStrike, une entreprise indépendante de cybersécurité, a publiée le 18 a touché environ 8,5 millions d'ordinateurs sous Windows dans le monde, moins de 1 % du total, selon Microsoft [14]. Microsoft a précisé qu'il ne s'agissait pas d'un incident de sa part : l'origine était la mise à jour d'un tiers [14].

Et une référence internationale. Dans l'enquête annuelle d'Uptime Institute, 57 % des répondants ont déclaré que leur dernière panne grave avait coûté plus de 100 000 dollars, et un sur cinq, plus d'un million [15]. Selon le même communiqué, sur neuf années de suivi, près des deux tiers des pannes signalées publiquement provenaient de fournisseurs technologiques externes : cloud, internet, télécommunications et centres de données [15]. C'est une enquête mondiale du secteur des centres de données et des services technologiques ; utilisez-la comme un ordre de grandeur, pas comme votre chiffre.

Qu'est-ce qui casse quand vous traitez un système critique comme s'il était de support ?

Le système critique traité comme un système de support peut tenir des mois ; le risque est qu'il tombe le jour où il est le plus nécessaire, et sans plan.

Voici ce qui casse généralement quand un système « usine » est budgété comme un système de support. Le tableau est notre lecture, avec la source là où elle est indiquée.

L'erreur inverse coûte aussi : traiter comme stratégique ce qui relève du support et payer une redondance et des comités qui ne changent rien. Pour le support, la règle des auteurs est de surveiller chaque peso [3].

Quelles erreurs coûtent le plus cher ?

Plusieurs des erreurs les plus coûteuses sont des erreurs de positionnement : investir comme si vous étiez dans une case alors que vous êtes dans une autre.

1. Une seule règle budgétaire pour tout. Nolan et McFarlan opposent un magasin de vêtements à une grande compagnie aérienne : la stratégie de l'un ne convient pas à l'autre [3]. Conséquence : ce qui n'a pas d'importance est surprotégé et ce qui arrête l'activité reste exposé.
2. Croire être dans une case et se trouver dans une autre. C'est l'écart que les auteurs ont constaté entre la case réelle et celle que croit la direction [1]. Conséquence : des plans informatiques qui ne servent pas la stratégie, ou une direction technologique qui apprend tard le cap choisi.
3. S'installer confortablement dans le « support ». En 1984, McFarlan a raconté le cas d'un distributeur qui avait relié ses clients à ses ordinateurs pour qu'ils passent leurs commandes directement ; son concurrent, à l'aise dans le support, n'a pas vu ce qui se passait avant qu'il ne soit trop tard, et rattraper son retard s'est révélé difficile et coûteux [2]. Conséquence : vous perdez un terrain qui coûte très cher à reprendre.
4. Un grand projet sans décisions surveillées d'en haut. Nolan et McFarlan disent que les surprises viennent le plus souvent d'une gestion de projet relâchée, et demandent que les décisions clés remontent au niveau qui leur correspond [3]. Leur exemple est Hershey : après l'extension de son nouveau système de gestion, Halloween est arrivé sans qu'elle puisse suivre les commandes, les revenus ni les stocks ; selon les meilleures estimations qu'ils rapportent, cela lui a coûté 151 millions de dollars [3]. Conséquence : le projet censé donner un avantage devient la crise de l'année.
5. Gouverner le fournisseur comme une dépense, et non comme une partie de l'activité. En 2018, dans tous les cas identifiés comme des attaques, l'application de connexion était celle d'un tiers [8][10] ; Uptime attribue à des fournisseurs externes près des deux tiers des pannes publiques [15]. Conséquence : le jour où cette pièce tombe, votre entreprise n'a ni plan ni voix au chapitre.
6. Tenir une règle pour respectée parce qu'elle est écrite. Les exigences du SPEI existaient depuis 2017 [8] ; ce qui a manqué chez certains participants, c'est de les respecter [10]. Conséquence : la règle ne protège pas, et elle montre en plus clairement qui aurait dû la respecter.
7. Ne pas connaître le coût d'une heure. Notre lecture. Conséquence : chaque investissement en continuité se discute comme une dépense et perd face à n'importe quelle autre priorité.

Que présenter à la réunion de lundi ?

Un inventaire de vos systèmes, classés dans la matrice, avec un responsable, le coût d'une heure d'arrêt et une décision.

C'est la première étape que Nolan et McFarlan demandent à tout conseil [3]. Le format est de nous. Chaque ligne est un système ; les colonnes répondent à ce dont votre comité a besoin pour décider.

Scénario illustratif (ce n'est pas un cas réel). Le même distributeur à 312 millions de pesos par an.

Comment le remplir en une semaine (nos étapes) :

1. Listez les systèmes qu'utilise l'activité, y compris ceux de tiers, les pièces qui vous relient aux banques, au SAT ou à vos clients, et les tableurs qui soutiennent un processus.
2. Attribuez un responsable métier à chacun. Si personne ne lève la main, vous avez déjà trouvé un risque.
3. Répondez aux huit questions de la liste pour chaque système et attribuez-lui une case.
4. Estimez le coût d'une heure d'arrêt avec les quatre parties de la formule. Une estimation grossière suffit pour commencer.
5. Écrivez une décision par ligne : investir, maintenir, remplacer ou éteindre. Et qui la revoit, selon le tableau de gouvernance de Nolan et McFarlan [3].

Comment le lire : si un système relève de l'usine et que sa décision dit « maintenir » sans test de reprise, c'est par là que vous commencez. Si un système est stratégique et que personne du comité de direction ne le supervise, c'est la suite.

À retenir

Trois questions pour votre prochain comité de direction :

1. Lesquels de nos systèmes nous laissent sans pouvoir vendre, encaisser ou facturer s'ils tombent une heure, et combien nous coûte cette heure ?
2. Notre budget informatique applique-t-il une seule règle à tout, ou distingue-t-il ce qui ne peut pas tomber de ce qui nous fait gagner face à la concurrence ?
3. Quelle part du plus critique dépend d'un tiers, qui vérifie qu'il respecte ce que nous exigeons et que ferions-nous s'il tombait demain ?

Que fait Hábil ?

Hábil construit le système dont votre activité a besoin quand aucun produit ne convient, et le connecte à ce que vous avez déjà.

Nous partons des systèmes et des processus qui fonctionnent pour vous aujourd'hui. Remplacer quelque chose n'est envisagé que lorsqu'il ne vaut plus la peine de le conserver.

• Systèmes sur mesure. Portails, circuits de validation et l'exploitation interne qui vit aujourd'hui dans des tableurs et des e-mails. Nous le construisons sur mesure, connecté à vos systèmes, et nous vous le livrons en état de marche.
• Ce qui vous appartient à la fin : le système en état de marche, le code à votre nom dans votre dépôt, les tests automatiques et la documentation, avec la passation à la personne qui va l'exploiter. Si demain vous voulez qu'une autre équipe le maintienne, vous pouvez le faire.
• Avant d'écrire la moindre ligne, nous vérifions avec vous s'il existe déjà quelque chose qui résout votre problème. Construire n'est la réponse que lorsque c'est la bonne option.

Consultez Systèmes sur mesure.

Et si ce dont vous avez besoin, c'est d'intégrer vos systèmes, nous construisons la couche qui les relie, chaque opération étant confirmée et traçable, avec la possibilité de changer l'un avec le moins d'impact possible sur les autres. Nous intégrons des systèmes d'entreprise depuis 2012. Consultez Intégration.

Si vous savez déjà quel est votre système « usine », commençons par là. Demandez votre premier échange, sans frais. Nous y examinons s'il convient de configurer, d'utiliser un produit ou de construire, et ce que vous recevriez dans chaque cas. Écrivez-nous sur WhatsApp.

Questions fréquentes

Une entreprise reste-t-elle toujours dans la même case ?

Non. Les auteurs avertissent que le rôle des systèmes peut grandir ou diminuer [1], et que la case transition est temporaire : une fois le changement terminé, l'entreprise passe à l'usine ou au stratégique [3]. C'est pourquoi l'inventaire se revoit chaque année.

Pourquoi les institutions touchées en 2018 ne sont-elles pas nommées ?

Parce que les sources citées de la Banque du Mexique et de la CNBV ne les nomment pas, et que cet article se fonde uniquement sur elles. Le cas n'utilise aucune information de clients de Hábil.

Sources consultées le 22 octobre 2026. La seule citation de la Harvard Business Review est reproduite dans l'original anglais, avec sa traduction ; celles de documents en espagnol sont reproduites dans l'original, avec leur traduction entre crochets.