IRON: Index of Robustness of Organizations facing Digital Dependency

Lorsqu'un service numérique tombe en panne, l'impact organisationnel dépend de la résilience du service, mais surtout de la capacité de l'organisation à continuer à fonctionner sans lui. Cette capacité, que nous nommons ici robustesse, est structurellement absente des cadres existants. ISO 27001, NIST CSF, ISO 22301 et DORA évaluent les moyens déployés pour protéger le système d'information, mais aucun ne mesure les conséquences organisationnelles de sa défaillance.

Cet article présente IRON (Index of Robustness of Organizations facing Digital Dependency), un indice composite qui évalue chaque processus métier selon trois axes indépendants : la substituabilité fonctionnelle (X) : le processus peut-il continuer sans son service numérique ? ; la résilience digitale (Y) : le service résiste-t-il à une perturbation ? ; et la criticité métier (Z) : quel impact sur la pérennité de l'organisation si le processus s'arrête ? Le score agrégé, pondéré par la criticité, identifie où se concentre la fragilité et où l'effort d'amélioration est le plus efficace.

IRON est sectoriellement agnostique et conçu pour compléter les évaluations des cadres existants en ajoutant la dimension qu'ils omettent structurellement. Une stratégie de validation en trois phases est proposée, avec un test de cohérence rétrospective sur deux incidents documentés aux issues contrastées.

When a digital service fails, the organizational impact depends on the service's resilience and, more decisively, on the organization's capacity to operate without it. This capacity — here termed robustness — is structurally absent from existing frameworks. ISO 27001, NIST CSF, ISO 22301, and DORA evaluate the means deployed to protect the information system, but none measures the organizational consequences of its failure.

This article introduces IRON (Index of Robustness of Organizations facing Digital Dependency), a composite index that evaluates each business process along three independent axes: functional substitutability (X), whether the process can continue without its digital service; digital resilience (Y), the capacity of the service to withstand a disruption; and business criticality (Z), the impact on organizational longevity if the process stops. The aggregated score, weighted by criticality, identifies where fragility concentrates and where improvement effort is most effective.

A three-phase validation strategy is proposed. Retrospective coherence testing on two documented incidents with contrasting outcomes shows that IRON scores are consistent with observed impacts.