4 min de lecture
~8 minutes
Chris Tottman explique aux fondateurs que les meilleurs CEO ne suppriment pas l’incertitude : ils bouclent plus vite dedans. Son framework sort tout droit du cockpit d’un pilote de chasse qui théorisait ça pour le dogfight, trente ans avant que quiconque prononce le mot startup. Les RSSI le pratiquent sans le nommer depuis longtemps. Et l’IA offensive vient de rendre la course brutalement inégale.
Un CEO qui recycle, sans le savoir, un concept militaire plus solide qu’il ne le croit
Tottman écrit pour des fondateurs, pas pour des RSSI, et son papier est plus solide que la moyenne du genre : il part d’un problème de management réel et propose une piste qui tient debout. Sa thèse tient dans une phrase, la sienne : “Great decision-makers don’t eliminate uncertainty. They build systems that thrive inside it.” Il découpe la décision en quatre temps, Observe, Orient, Decide, Act, et appuie fort sur Orient, l’étape qu’il juge la plus mal comprise. Mettez deux fondateurs devant les mêmes chiffres, vous obtiendrez parfois deux conclusions opposées. L’interprétation dépend de l’expérience, de la culture d’équipe et de toutes les hypothèses qu’on trimballe sans jamais les dire à voix haute.
Il ne précise pas (ce n’est pas son sujet, je ne lui en veux pas) que ce framework a un nom et un état civil : l’OODA Loop, formalisée dans les années 1970 par John Boyd, pilote de chasse et stratège de l’US Air Force. Boyd cherchait pourquoi certains pilotes gagnaient des combats aériens face à des appareils objectivement meilleurs que les leurs. Sa réponse est devenue un classique de la doctrine militaire, puis du renseignement : gagne celui qui reboucle Observer-Orienter-Décider-Agir plus vite que l’adversaire, et le plan de départ compte assez peu. Tottman en livre la version 2026 : “the winner isn’t the one with the best initial plan. It’s the one who learns fastest.” Boyd aurait signé des deux mains.
Note du PandaRedacteur : un VC qui réinvente sans le savoir un concept de pilote de chasse pour vendre du contenu à des fondateurs, ça ne m’étonne qu’à moitié. Une bonne partie de notre jargon cyber sort déjà des manuels militaires (kill chain, threat hunting), alors un emprunt de plus…
C’est là que cela devient interessant et applicable. Dans un SOC, personne ne fait tourner Observe-Orient-Decide-Act une fois par trimestre autour d’une roadmap produit : la boucle tourne des centaines de fois par jour, montre en main, contre quelqu’un qui fait tourner la sienne en face.
L’OODA Loop côté défenseur, côté attaquant
Cette partie part d'abord aux abonnés Substack, avant d'être publiée intégralement ici.
Le point de rupture, c’est Orient
Cette partie part d'abord aux abonnés Substack, avant d'être publiée intégralement ici.
Note du PanaRedacteur : Plus de signaux, autant d’analystes : la boucle défenseur ralentit mécaniquement à l’endroit précis où elle a besoin d’un cerveau.
L’exemple qui rend ça concret
Cette partie part d'abord aux abonnés Substack, avant d'être publiée intégralement ici.
Note du PandaRedacteur : le faux positif qu’on vérifie consciencieusement pendant vingt minutes, c’est aussi vingt minutes de boucles gratuites pour l’agent d’en face.
Impact potentiel
Cette partie part d'abord aux abonnés Substack, avant d'être publiée intégralement ici.
Mitigations : raccourcir la boucle avant d’ajouter des capteurs
Cette partie part d'abord aux abonnés Substack, avant d'être publiée intégralement ici.
Quelques références pour aller plus loin
- Chris Tottman, The Founders Corner® : “The Decision Loop That Separates Elite CEOs from Everyone Else”
- AI-Pods : l’équipe de développement rétrécit, la surface d’attaque grandit
- owasp.org
- hackernews.com