Vailor : l'alternative GRC IA souveraine à RiskLens

Chiffrer un risque, c'est estimer deux grandeurs distinctes puis les combiner : la fréquence à laquelle un scénario redouté se réalise sur une période donnée, et l'ampleur des pertes qu'il provoque lorsqu'il survient. Le résultat honnête n'est pas un montant unique mais une plage de pertes assortie de probabilités, obtenue par tirages aléatoires dans des distributions plutôt qu'en multipliant deux moyennes. La taxonomie ouverte FAIR, publiée par The Open Group sous le nom Open FAIR, formalise cette décomposition. Un montant diffusé sans ses hypothèses ne peut pas être contesté, et un chiffre que personne ne peut contester ne tranche aucune décision.

Trois familles. Le périmètre d'abord : valeurs métier, biens supports et dépendances, sans quoi vous chiffrez un objet flou. Les coûts ensuite : coût d'une heure d'indisponibilité pour l'activité concernée, coûts de reprise et d'investigation, pénalités contractuelles, et, si vous êtes assuré, franchises et plafonds de votre police. La fréquence enfin : historique interne d'incidents, tickets, sinistres déclarés, complétés par un jugement d'experts calibré quand cet historique est trop mince. Ces données existent presque toujours dans l'organisation, dispersées entre la DSI, les achats, le contrôle de gestion et le juridique. Les rassembler est l'essentiel du travail.

La précision illusoire d'abord : un modèle produit autant de décimales qu'on lui en demande, y compris sur des événements rares dont personne n'a d'historique. La sensibilité aux hypothèses ensuite : déplacez la borne haute d'une distribution et le résultat change d'un ordre de grandeur, ce qui oblige à publier les hypothèses avec le chiffre. Le périmètre enfin : une sanction se chiffre, mais la sécurité des personnes, l'atteinte à la vie privée ou la perte de maîtrise sur des données se réduisent mal à un montant, et ne doivent pas sortir de l'arbitrage au prétexte qu'elles résistent au modèle. Un chiffrage éclaire une décision, il ne la prend pas.

Oui, et c'est le chemin le plus court. EBIOS RM raisonne sur des échelles ordinales de gravité et de vraisemblance, pas sur des montants, mais elle produit exactement la matière dont un chiffrage a besoin : valeurs métier, événements redoutés, scénarios stratégiques et opérationnels documentés. La valorisation financière se greffe sur ces scénarios, sur les quelques-uns qui commandent un arbitrage budgétaire réel, pas sur le catalogue entier. Vous conservez une méthode publiée par l'ANSSI pour conduire l'analyse, et vous ajoutez une lecture monétaire là où elle change une décision.

Vailor ne chiffre pas le risque en euros à votre place : il tient la base sans laquelle un chiffrage ne résiste pas à la contradiction. Scénarios, échelles et plans de traitement vivent au même endroit, chaque décision est tracée dans un journal d'audit sans fonction d'effacement, et quand l'IA s'appuie sur vos documents, elle cite l'extrait, vérifié mot à mot : de quoi répondre à un auditeur, un assureur ou un comité qui demande d'où sort une hypothèse. Chaque mesure porte aussi sa charge en jours-homme et son coût, préremplis par l'IA et validés par vos équipes. Le temps gagné sur la saisie repart vers le vrai travail : discuter les hypothèses de pertes et arbitrer les traitements.

Commencez par exporter ce qui mérite d'être conservé : inventaire des scénarios, hypothèses de fréquence et de pertes, échelles utilisées, décisions de traitement déjà prises. L'IA de Vailor lit les documents que vous chargez et préremplit l'analyse à partir d'extraits, au lieu de vous la faire ressaisir. Traitez ensuite en priorité les scénarios encore actifs, en gardant les anciens chiffrages comme historique : un changement de méthode ou d'échelle déplace les montants, et mélanger les deux séries fausse votre suivi. Rejouer en parallèle un scénario déjà chiffré suffit en général à vérifier la cohérence avant de basculer.