Signal faible, alerte, incident

Dans la plupart des dispositifs de veille, les mêmes trois mots désignent des choses de nature différente sans que personne ne s'en aperçoive. Un signal faible, une alerte, un incident sont couramment placés sur une échelle unique de gravité croissante, comme si le second était un signal faible confirmé et le troisième une alerte aggravée. Cette lecture est commode et fausse, parce que les trois notions ne parlent pas du même objet.

Le signal faible est une propriété attribuée à une information. L'alerte est un acte accompli par une organisation. L'incident est un état du monde constaté. Confondre une propriété, un acte et un état produit des effets très concrets: des fils de veille saturés de notifications que personne ne traite, des faits déjà survenus discutés comme des hypothèses, et des hypothèses fragiles instruites comme des crises.

Cet article délimite les trois notions, donne les critères qui font basculer un dossier de l'une à l'autre, décrit les confusions les plus fréquentes, puis seulement ensuite ce que la distinction impose au dispositif. Le lecteur doit pouvoir énoncer, à la fin, la définition de chacune et nommer le seuil qui sépare deux états voisins.

Le signal faible, une information définie par son ambiguïté

Un signal faible n'est pas une petite information, ni une information sans importance, ni une simple rumeur. C'est une information dont la signification n'est pas encore stabilisée, alors même qu'elle serait lourde de conséquences si elle se confirmait. Quatre traits la caractérisent: une faible intensité de présence dans le corpus, une redondance quasi nulle, une ambiguïté d'interprétation ouverte à plusieurs lectures, et un potentiel de rupture par rapport aux tendances établies.

La notion vient de la littérature de management stratégique consacrée à la surveillance de l'environnement, où elle sert à défendre une idée précise: les ruptures ne sont pas invisibles avant de survenir, elles sont visibles sous une forme trop peu lisible pour déclencher une décision. Le problème n'est donc pas la détection au sens technique, mais l'interprétation d'un matériau pauvre.

C'est ce qui sépare le signal faible du bruit. Le bruit est une information sans hypothèse: rien ne la rattache à une question que l'organisation se pose. Le signal faible est adossé à une hypothèse de rupture, formulable en une phrase, dont il constitue un indice possible. Une information rare n'est pas non plus automatiquement un signal faible: la rareté est une statistique, la faiblesse du signal est une relation entre une observation et une hypothèse.

L'alerte, un acte de qualification plutôt qu'une propriété du signal

Une alerte n'existe pas dans les données, elle est émise. Elle suppose quatre éléments réunis: un seuil défini à l'avance, un constat de franchissement, un destinataire nommé et une action attendue dans un délai. Retirer l'un des quatre et il ne reste qu'une notification, c'est-à-dire un message qui informe sans engager personne. Cette différence explique la plupart des échecs de dispositifs pourtant bien outillés.

L'alerte engage son émetteur, ce qui en fait un acte coûteux et par conséquent rationné. Une doctrine de seuils écrite, même sommaire, vaut mieux qu'un jugement improvisé au cas par cas: elle rend l'alerte défendable après coup, y compris lorsqu'elle se révèle infondée, puisque la décision se juge sur le respect du seuil et non sur le résultat. Elle protège aussi le veilleur du reproche symétrique, avoir alerté trop tôt ou pas du tout.

Le corollaire est la gestion de la fatigue d'alerte. Un dispositif qui émet trop cesse d'être écouté, et la perte n'est pas proportionnelle mais brutale: passé un certain volume, le destinataire cesse de lire, y compris les messages qui comptent. Une alerte se lève aussi explicitement, ce que beaucoup d'organisations omettent, laissant des dossiers en état d'alerte permanent sans que personne ne sache s'ils sont encore actifs.

L'incident, un fait établi qui ouvre un traitement

L'incident est un fait dont l'existence, la date et l'effet sont établis. Il ne se discute plus au conditionnel: une intrusion a eu lieu, un document a fuité, une campagne de dénigrement a atteint un seuil de diffusion mesurable, un lot a été rappelé. Le passage à l'incident change le régime de preuve applicable, parce que des tiers, autorités, assureurs, clients, juges, examineront ce qui a été su et quand.

Ce changement de régime a des conséquences immédiates sur le travail de veille. La journalisation devient obligatoire, la chaîne de garde des pièces collectées devient opposable, et les captures doivent porter leur adresse et leur horodatage. Ce qui était une note d'analyse devient une pièce de dossier, et l'improvisation documentaire d'une phase amont se paie exactement à ce moment.

L'incident n'est pas la fin du cycle de veille, il en ouvre un autre: suivi de la propagation, surveillance des reprises, détection des tentatives d'exploitation opportuniste, mesure du retour à la normale. Les récits d'incidents publiés par Le Fil de la Veille montrent régulièrement que la matière documentaire existait avant le déclenchement du traitement, sans être rattachée à une hypothèse qui lui aurait donné un sens.

Les critères qui font basculer d'un état à l'autre

Trois critères tranchent, et ils s'appliquent dans cet ordre. La confirmation d'abord: combien de sources indépendantes, au sens strict de sources ne remontant pas au même document d'origine, soutiennent l'énoncé. La matérialité ensuite: un effet est-il constaté, daté et attribuable, ou seulement anticipé. La responsabilité enfin: existe-t-il un destinataire désigné dont la fonction est d'agir sur ce type de dossier.

Le premier critère est le plus mal appliqué, parce que la redondance de surface se confond avec la confirmation. Quinze publications qui citent le même communiqué constituent une source unique, et un moteur de collecte les compte pourtant quinze fois. Le second critère est celui qui se vérifie le plus facilement et qu'on oublie le plus souvent de poser: la question de savoir si quelque chose a effectivement eu lieu se règle en une phrase et évite des semaines de spéculation.

Trois confusions courantes et ce qu'elles coûtent

La première consiste à appeler signal faible tout ce que l'on n'a pas compris. Le mot sert alors de rangement pour les informations orphelines, et le stock grossit sans que rien n'en sorte. Le remède est d'exiger, pour toute entrée qualifiée de signal faible, l'écriture explicite de l'hypothèse qu'elle indexe et de l'observation qui la confirmerait ou l'infirmerait: sans cette phrase, l'information retourne au bruit.

La deuxième confond alerte et notification, et se reconnaît à l'absence de nom de destinataire. La troisième traite un incident comme une alerte, en continuant à instruire un dossier au conditionnel alors que le fait est établi: c'est la plus coûteuse, car elle consomme le temps de remédiation, retarde les déclarations obligatoires et abîme la position de l'organisation vis-à-vis des tiers. La symétrique existe aussi, instruire un signal faible comme une crise, ce qui fabrique de fausses urgences et discrédite le dispositif.

Ce que la distinction impose au dispositif de veille

Elle impose d'abord un champ d'état sur chaque dossier, avec une date de changement d'état et le nom de qui l'a décidé. Ce journal des qualifications est le seul moyen de mesurer le délai de détection puis le délai de qualification, deux indicateurs distincts qu'un dispositif confond presque toujours. Les travaux de mesure publiés par l'Observatoire de l'Intelligence Économique portent précisément sur cet écart entre disponibilité documentaire d'un fait et prise en compte organisationnelle.

Elle impose ensuite une asymétrie assumée des exigences. Le signal faible réclame une exigence basse à l'entrée et haute à la sortie: on accepte volontiers de le collecter, on n'accepte pas qu'il quitte le stock sans hypothèse écrite. L'incident réclame l'inverse, une exigence haute d'établissement du fait et une exécution rapide du traitement. L'alerte se situe au point d'articulation, et c'est pourquoi son seuil doit être écrit avant l'événement, jamais pendant.

Elle impose enfin une couverture large en amont, car un signal faible non collecté n'est jamais qualifié. NewsCore (www.newscore.fr) couvre en continu des millions de sources en plusieurs langues, trie les publications par pertinence en temps réel et fait remonter les premières occurrences d'un sujet avec leur horodatage. Le travail de qualification reste celui de l'organisation, qui décide de ses seuils et de ses destinataires.

Un signal faible se collecte, une alerte se décide, un incident se constate. Trois verbes différents, trois responsabilités différentes.

Questions fréquentes

Quelle est la différence entre un signal faible et une alerte ?

Le signal faible décrit une information: peu présente dans le corpus, ambiguë, rattachée à une hypothèse de rupture. L'alerte décrit un acte: une organisation constate le franchissement d'un seuil et notifie un responsable nommé, en attendant de lui une action dans un délai. Un signal faible ne devient pas une alerte par accumulation, mais par décision, laquelle suppose un seuil défini au préalable. Beaucoup de dispositifs échouent parce que ce seuil n'a jamais été écrit.

À partir de combien de sources un signal faible est-il confirmé ?

La question ne se règle pas en nombre mais en indépendance. Trois publications qui remontent au même communiqué comptent pour une seule source, tandis que deux documents d'origine distincts, par exemple un dépôt administratif et une offre d'emploi, constituent un faisceau réel. Le critère utile est donc le nombre de chaînes documentaires indépendantes, et non le nombre d'items collectés, qu'un outil de collecte gonfle mécaniquement par les reprises.

Un incident doit-il rester dans le périmètre de la veille ?

Oui, mais avec une mission redéfinie. La gestion de l'incident appartient à la cellule de traitement; la veille conserve la surveillance de la propagation, des reprises, des tentatives d'exploitation par des tiers et du retour à la normale, en tenant un journal exploitable ultérieurement. Sortir la veille du dossier au moment où l'incident est déclaré revient à perdre la mesure de ce que l'extérieur voit, alors que c'est précisément ce qui détermine l'ampleur des conséquences.