IRON : mesurer la robustesse des organisations face à la dépendance numérique

Stéphan Peccini, membre de l’Observatoire des Polycrises, vient de publier sur SSRN sa prépublication IRON (Index of Robustness of Organizations facing Digital Dependency), 34 pages, déposé le 26 juin 2026.

Quand les crises se chevauchent et que les horizons de rétablissement dépassent l’intervalle entre les chocs, une question pratique est de savoir comment l’organisation poursuit son activité si un service numérique critique tombe. La prépublication propose d’examiner cette robustesse par processus. Les référentiels cités ont toutefois des périmètres distincts : ISO/IEC 27001 concerne le management de la sécurité de l’information; NIST CSF 2.0 guide la gestion des risques de cybersécurité; ISO 22301 porte sur la continuité d’activité; et le règlement DORA prévoit pour les entités financières l’identification des fonctions, actifs et dépendances ICT ainsi que des dispositions de continuité. Ces textes ne valident pas IRON, mais ne permettent pas non plus d’affirmer sans comparaison que ces dimensions leur sont structurellement absentes. La portée de l’apport d’IRON reste à établir par une comparaison documentée.

IRON propose un indice composite qui évalue chaque processus métier selon trois axes : la substituabilité fonctionnelle (le processus peut-il continuer sans son service numérique ?), la résilience numérique du service, et la criticité métier. Le score agrégé, pondéré par la criticité, indique où se concentre la fragilité et où concentrer l’effort d’amélioration, en complément des audits existants, pas en les remplaçant.

L’article prolonge le livre blanc Voyage vers la robustesse (Infogreen Factory, 2026) et s’inscrit dans la veille de Stéphan Peccini sur la chaîne de fabrication du numérique et les polycrises systémiques.

Stephan Peccini, a member of the Polycrisis Observatory, has published his preprint IRON (Index of Robustness of Organizations facing Digital Dependency) on SSRN — 34 pages, posted June 26, 2026.

When crises overlap and recovery horizons exceed the interval between shocks, a practical question is how an organization can continue operating if a critical digital service fails. The preprint proposes examining this robustness process by process. The cited frameworks have distinct scopes: ISO/IEC 27001 concerns information security management; NIST CSF 2.0 guides cybersecurity risk management; ISO 22301 concerns business continuity; and the DORA regulation requires financial entities, among other things, to identify ICT-supported functions, assets and dependencies and to make continuity arrangements. These sources do not validate IRON, but neither do they support an unqualified claim that such concerns are structurally absent. The scope of IRON’s contribution remains to be established through a documented comparison.

IRON offers a composite index evaluating each business process along three axes: functional substitutability (can the process continue without its digital service?), digital resilience of the service, and business criticality. The aggregated score, weighted by criticality, shows where fragility concentrates and where improvement effort is most effective — complementing existing frameworks rather than replacing them.

The article extends the white paper Journey toward Robustness (Infogreen Factory, 2026) and connects to Stephan Peccini’s ongoing work on the digital supply chain and systemic polycrises.