Indicateur de sécurité : taux de fréquence, MTTD ou MEHARI, lequel suivre selon votre métier ?

Le terme « indicateur de sécurité » recouvre trois réalités. En santé et sécurité au travail (HSE/SST), il mesure les accidents et la prévention. En cybersécurité, il évalue la capacité d'un SOC à détecter et traiter les incidents. En sécurité de l'information, il s'appuie sur des cadres comme MEHARI, publié par le CLUSIF. Cet article pose d'abord la logique commune, puis détaille les formules et les indicateurs de chaque univers, et termine par la construction d'un tableau de bord.

Ce qu'un indicateur de sécurité apporte vraiment

Un outil de décision, pas un simple chiffre

Un indicateur transforme une situation diffuse en donnée comparable dans le temps. Sans lui, on pilote la prévention à l'intuition ou sous le coup de l'émotion, après un accident marquant. Avec lui, on repère une dérive, on vérifie qu'un objectif est atteint, on valorise les réussites et on justifie un budget auprès de la direction.

Où vous situer dans cet article

• Préventeur ou responsable HSE : passez aux sections sur les formules de sécurité au travail et sur les indicateurs proactifs.
• RSSI ou responsable SOC : rendez-vous à la section consacrée aux KPI de cybersécurité.
• Dirigeant ou manager non spécialiste : la dernière section sur le tableau de bord est faite pour vous.

Sécurité au travail : TF, TG et IF calculés pas à pas

Les trois formules à connaître

Le taux de fréquence (TF) rapporte les accidents avec arrêt supérieur à un jour à un million d'heures travaillées. Le taux de gravité (TG) rapporte les journées indemnisées à 1 000 heures travaillées. L'indice de fréquence (IF) rapporte les accidents avec arrêt à 1 000 salariés.

Pourquoi un ratio vaut mieux qu'une valeur absolue

Dix accidents d'une année à l'autre ne disent pas la même chose si l'effectif a baissé, ni si les accidents sont devenus plus graves. Le ratio neutralise l'effet de taille et rend les années comparables. Associer TF et TG évite l'illusion : moins d'accidents, mais plus longs à guérir, n'est pas une amélioration.

Lire un écart par rapport à l'objectif

Prenons un objectif de baisse du TF de 10 % par an. Si le résultat n'est que de 7 %, l'écart est de -30 % par rapport à l'objectif visé (3 points obtenus sur 10 attendus, soit 3 points manquants sur 10). C'est cette lecture, plus que le chiffre brut, qui déclenche un plan d'action. Pour repérer les groupes à risque, segmentez ensuite par statut, âge, type d'accident ou service.

Réactifs et proactifs : mesurer le passé ou anticiper

Deux familles complémentaires

Les indicateurs réactifs (lagging) constatent un résultat : accidents, maladies professionnelles, journées perdues. Les indicateurs proactifs (leading) mesurent l'effort de prévention : taux de formation, visites de sécurité réalisées, actions préventives closes, mesures d'exposition au bruit, remontées de quasi-accidents. Les premiers disent ce qui s'est passé, les seconds ce que vous faites pour que cela ne se reproduise pas.

Le regard d'un botaniste

Une feuille est parcourue de nervures : on ne les remarque pas, mais elles révèlent où circule la sève et où le tissu cédera en premier. Les indicateurs proactifs jouent ce rôle. Un quasi-accident déclaré, un retard de visite ou une formation non suivie dessinent la nervure du risque, c'est-à-dire les chemins où il passe avant de devenir un accident. Cartographiez ces signaux par atelier ou par équipe : là où ils se concentrent, la prochaine déchirure est probable. Un taux de déclaration de quasi-accidents qui monte est souvent bon signe, car il traduit une culture de sécurité qui parle.

Cybersécurité : les KPI d'un SOC en langage clair

Cinq indicateurs à suivre

• MTTD : temps moyen de détection d'un incident.
• MTTR : temps moyen de réponse ou de résolution.
• Taux de faux positifs : part des alertes sans menace réelle. S'il est élevé, les analystes s'épuisent (« alert fatigue ») et risquent de laisser passer une vraie attaque.
• Couverture de détection : proportion des techniques d'attaque ou des systèmes réellement surveillés.
• Temps de séjour (dwell time) : durée pendant laquelle un intrus reste présent avant d'être découvert.

Les lire comme un décideur

Ces mesures s'enchaînent : un MTTD réduit tend à réduire le MTTR, donc l'impact de l'incident. Pour la direction, un MTTD qui passe de plusieurs jours à quelques heures se traduit en exposition évitée, argument plus parlant que le nombre d'alertes. Côté sécurité de l'information, la méthode MEHARI du CLUSIF fournit un cadre formel pour choisir et structurer ces indicateurs, utile si vous devez en justifier la logique.

Construire un tableau de bord qui tient dans la durée

Les critères d'un bon indicateur

Un indicateur utile est clair (chacun comprend ce qu'il mesure), homogène dans le temps (même méthode de calcul chaque année), fiable (données saisies régulièrement et peu contestables) et orienté action (on sait quoi faire s'il dérape). Un chiffre que personne ne sait interpréter n'a pas sa place dans le tableau.

Limiter le nombre pour éviter la sclérose

Multiplier les indicateurs conduit à la dérive analytique : le temps passe à collecter plutôt qu'à agir, les équipes se démotivent et la fiabilité baisse. Visez une poignée d'indicateurs : quelques réactifs, quelques proactifs, chacun avec un responsable de collecte et une fréquence de revue (mensuelle, trimestrielle ou annuelle). Le choix gagne à être validé avec les acteurs concernés : médecin du travail, préventeurs, représentants du CSE et RH.

Se comparer sans se tromper

Le benchmarking s'appuie en France sur les statistiques de la CNAM et sur les fiches du CISME. Comparez des organisations semblables : un chantier et un bureau n'ont pas le même niveau de risque. Présentez ensuite à la direction la tendance, l'écart à l'objectif et la décision attendue, plutôt qu'une série de chiffres sans conclusion. La boucle reste la même : mesurer, analyser, agir, puis remesurer.