La criticité d’une application mesure les conséquences de son indisponibilité, de la perte de ses données ou de leur altération sur l’activité de l’entreprise. Pour l’évaluer, examinez les impacts opérationnels et financiers dans le temps, les obligations réglementaires, les dépendances techniques et les solutions de contournement, afin de définir les exigences de protection et de reprise adaptées.
DSI, Responsables IT, Architectes SI, Responsables applicatifs.
Ouvrir l’outil de cartographieLa criticité décrit l’importance d’une application pour les activités et les risques associés à une perte de disponibilité, d’intégrité ou de confidentialité. Elle ne se réduit pas au nombre d’utilisateurs ni au coût du logiciel.
Une application discrète peut être critique si elle commande un flux vital ou conserve une donnée irremplaçable.
Évaluez l’impact financier, opérationnel, réglementaire, contractuel, humain et réputationnel à plusieurs horizons. Précisez les processus interrompus, volumes touchés et conséquences d’une donnée erronée ou divulguée.
Faites valider les hypothèses par les métiers plutôt que de noter uniquement depuis la DSI.
Un mode manuel documenté, testé et dimensionné peut réduire l’impact à court terme. À l’inverse, une dépendance unique, une compétence rare ou un fournisseur sans solution de repli augmente l’exposition.
Documentez la durée pendant laquelle le contournement reste réellement utilisable.
Le RTO exprime l’objectif de délai de reprise ; le RPO exprime la perte de données maximale acceptable afin de traduire les impacts en objectifs de reprise. Ces objectifs viennent du besoin métier et doivent être comparés aux capacités techniques démontrées.
Un objectif irréaliste doit conduire à un arbitrage de moyens ou à une adaptation du besoin.
Pour structurer l’évaluation sans complexité excessive, de nombreuses organisations adoptent une échelle de qualification à 4 niveaux :
La classe de criticité doit déclencher des exigences : sauvegarde, test de reprise, supervision, revue d’accès, clauses fournisseurs et fréquence de contrôle pour préparer les décisions de maintien ou de retrait. Réexaminez-la après un changement de processus ou d’architecture.
Gardez les dimensions détaillées : une note globale seule masque souvent le risque dominant.
Non. La criticité décrit l’importance et l’impact ; le risque combine aussi les menaces, vulnérabilités et probabilités.
Le métier exprime le besoin, la DSI évalue la capacité et le coût, puis la gouvernance arbitre.
Non. Le coût ne mesure pas à lui seul l’impact d’une interruption ou d’une compromission.
Ce sujet fait partie des fiches pratiques du livre Pilotegest consacré au pilotage des systèmes d’information. L’article apporte une méthode originale en texte ; la planche complète reste réservée à l’ouvrage.
Découvrir les 40 fiches dans le livrePar Équipe Pilotegest · Dernière mise à jour : 25/08/2026