Nous voudrions défendre ici une idée simple et contre-intuitive : la vulnérabilité d’une organisation à un récit hostile ne dépend que marginalement de la probabilité qu’elle soit attaquée. Elle dépend d’abord de ce qu’elle a construit avant. Les analyses de risque réputationnel raisonnent presque toujours en termes d’exposition, secteur sensible, notoriété, controverses en cours, présence sur des marchés disputés, et concluent qu’une entreprise discrète dans un secteur calme est peu exposée. Cette lecture est incomplète, et elle induit en erreur, car elle confond la probabilité d’un événement avec la capacité d’y survivre. Une organisation très exposée mais abondamment documentée encaisse une accusation en quelques heures ; une organisation peu exposée mais muette la subit pendant des semaines. Ce que nous appelons la vulnérabilité narrative mesure précisément cette seconde dimension : non pas le risque d’être attaqué, mais l’absence de matériaux crédibles capables de résister à l’attaque. Elle se décompose en huit facteurs observables, chacun documenté par des travaux publics ou par nos propres mesures, et l’ensemble se note. Précision d’usage : cette analyse propose une méthode d’évaluation, elle ne constitue ni un conseil juridique ni un audit de sécurité.
Le principe : la preuve négative et le vide qui l’aggrave
Deux mécanismes, documentés séparément, se combinent pour produire la vulnérabilité. Le premier est logique et nous l’avons décrit à propos d’un industriel français de défense qui, en juillet 2025, s’est trouvé accusé publiquement d’un piratage dont aucune trace n’a été détectée dans ses systèmes : réfuter une accusation revient à prouver qu’un événement n’a pas eu lieu, ce qui est logiquement impossible, si bien que le démenti le plus rigoureux laisse toujours subsister un doute. Face à cette impossibilité, une seule chose fonctionne : opposer à l’accusation une masse de faits vérifiables préexistants, qui rendent le mensonge coûteux et le doute inconfortable. Le second mécanisme est informationnel, et des travaux récents lui ont donné une base empirique. Une étude publiée en octobre 2025 dans une revue de la Harvard Kennedy School, cherchant à expliquer pourquoi les modèles d’intelligence artificielle citent parfois des sources manipulées, a établi que ces références se concentrent presque exclusivement sur les affirmations étroites ou obscures, celles qui ne sont pas couvertes par des sources solides. Autrement dit, les machines ne se trompent pas au hasard : elles se trompent là où il n’y a rien. Un travail publié fin 2025 sur la circulation de ces mêmes sources a montré par ailleurs qu’un peu plus de 80 % des pages qui y renvoyaient les traitaient comme crédibles, et que moins de 5 % les replaçaient correctement dans le contexte d’une opération d’information. Additionnez ces deux mécanismes et vous obtenez la loi centrale de la vulnérabilité narrative : le vide n’est pas neutre, il est un espace que d’autres remplissent, et ce qui le remplit se transmet ensuite avec l’apparence de la crédibilité.
Les huit composantes de l’indice
La dépendance à un porte-parole unique mesure ce qui reste de votre capacité à parler si une personne devient indisponible, contestée ou elle-même sujet de la controverse. Une organisation dont toute la crédibilité repose sur un dirigeant est vulnérable non parce qu’il est mauvais, mais parce qu’il est seul. La faiblesse des sources tierces évalue la densité des reprises par des acteurs extérieurs crédibles, presse, institutions, pairs, travaux universitaires. C’est le facteur le plus déterminant, et nous l’avons vérifié sur notre propre maison : en interrogeant quatre modèles sur notre agence, nous avons constaté que ce qui fonde la crédibilité aux yeux d’un système n’est pas le volume de ce qu’on publie sur soi, mais la densité de ce que d’autres publient sur vous. Les ambiguïtés historiques recensent les épisodes passés jamais clarifiés publiquement, litiges, départs, revirements, qui constituent autant de prises pour un récit hostile, non parce qu’ils sont graves mais parce qu’ils sont racontables par d’autres avant de l’être par vous. L’incohérence des descriptions mesure les divergences entre vos propres pages, fiches et profils, et c’est la composante la plus sous-estimée : nous avons documenté qu’un modèle confronté à deux versions d’un même fait en choisit une, ou en fabrique une troisième. L’absence de données propres évalue votre capacité à opposer des chiffres que vous seul détenez, une étude, une mesure, une série documentée, seule matière qu’un contradicteur ne peut ni fabriquer ni ignorer. La fragmentation des canaux apprécie la dispersion de votre parole entre des supports que vous ne contrôlez pas, et donc votre capacité à être trouvé lorsque quelqu’un vous cherche vraiment. L’exposition aux controverses est la seule composante classique, secteur, marchés, sujets sensibles, et elle pèse moins que toutes les autres, ce qui est le résultat le plus contre-intuitif de la grille. Les hallucinations génératives observées, enfin, mesurent ce que les modèles racontent aujourd’hui de faux à votre sujet, indicateur avancé de ce que vos interlocuteurs liront demain, et le seul de la liste qui se dégrade sans que personne ne vous en informe. Le choix de ces huit composantes et le poids relatif que nous leur accordons sont une proposition méthodologique, assumée comme telle, et non un résultat mesuré : les deux mécanismes de fond sont établis, leur mise en indice est notre parti pris.
Ce que la mesure révèle, et qui surprend les directions
L’intérêt d’un indice n’est pas de produire une note mais de renverser des convictions, et celui-ci en renverse deux. La première est que les organisations les plus vulnérables ne sont presque jamais celles qui se croient exposées. Une entreprise de secteur sensible, habituée aux attaques, a généralement constitué au fil du temps un capital de preuves, des relations de presse, des porte-parole formés : elle est très exposée et peu vulnérable. À l’inverse, une PME performante, discrète, qui n’a jamais eu de problème et n’a donc jamais rien construit, présente un profil inverse : faible exposition, vulnérabilité maximale. Le jour où un signal l’atteint, elle n’a rien à opposer, et c’est précisément ce que le vide informationnel amplifie. La seconde surprise concerne le rythme de dégradation. Sept des huit composantes évoluent lentement et restent sous votre contrôle : vous décidez de clarifier une ambiguïté, d’harmoniser vos pages, de publier une étude. La huitième, les hallucinations génératives, se dégrade seule et silencieusement, au gré de ce que les modèles absorbent, et son évolution ne vous est jamais notifiée. C’est la raison pour laquelle une évaluation ponctuelle ne suffit pas : la vulnérabilité narrative est un indicateur à suivre, pas un diagnostic à établir une fois.
Comment abaisser son indice, dans l’ordre du rendement
Priorité 1 : la cohérence, parce qu’elle est gratuite
Harmoniser ce que vous dites de vous-même sur toutes vos surfaces ne coûte que du temps et fait baisser deux composantes à la fois, l’incohérence des descriptions et, mécaniquement, les hallucinations qu’elle nourrit. C’est le geste au meilleur rendement de toute la grille, et c’est aussi celui que personne ne fait, parce qu’il n’a rien de gratifiant.
Priorité 2 : les preuves tierces, parce qu’elles sont irremplaçables
Publier davantage sur vos propres canaux améliore peu votre indice. Être repris, cité, invité, référencé par des tiers crédibles l’améliore beaucoup, parce que c’est la seule chose que vous ne pouvez pas produire vous-même et donc la seule à laquelle un système, comme un journaliste, accorde du poids. C’est un travail lent, et c’est ce qui le rend défendable. Il rejoint tout ce que nous documentons sur le capital de preuves.
Priorité 3 : la donnée propre, parce qu’elle est inattaquable
Une organisation qui produit sa propre mesure, même modeste, dispose d’un actif qu’aucun contradicteur ne peut fabriquer. C’est le sens des instruments que nous construisons pour nos clients et pour nous-mêmes : un chiffre que vous seul détenez, publié avec sa méthode, vaut mieux que dix affirmations invérifiables.
ELMARQ conduit des audits de vulnérabilité narrative, en score public ou en diagnostic confidentiel, et accompagne la construction des matériaux qui font baisser l’indice, en stratégie et en exécution. Trente minutes de diagnostic suffisent à situer vos trois composantes les plus dégradées : elmarq.fr/contact.
Il faut conclure sur ce que cet indice change dans la façon de penser le risque. La communication de crise s’est longtemps organisée autour d’une question défensive : que ferons-nous s’ils nous attaquent. C’est une bonne question, et elle appelle des procédures que nous recommandons par ailleurs, notamment dans notre chronologie des 72 heures. Mais elle arrive trop tard, parce que le moment de la crise n’est pas celui où l’on construit sa crédibilité, c’est celui où l’on découvre combien on en avait. La question de la vulnérabilité narrative est donc antérieure et plus exigeante : de quoi disposons-nous, aujourd’hui, qui parlerait pour nous si nous ne pouvions pas parler ? Une organisation capable de répondre précisément à cette question est protégée, quelle que soit son exposition. Une organisation incapable d’y répondre est vulnérable, quelle que soit sa discrétion. Entre les deux, il n’y a ni chance ni fatalité : il y a un travail, mesurable, qui se fait les jours où rien ne se passe.
