Un parcours contrôlé, de la donnée à l’exécution.

Le modèle présenté est une description conceptuelle publique. Il ne certifie ni la disponibilité d’un environnement de production, ni un statut réglementaire, ni une tolérance absolue aux pannes. Une documentation peut expliquer des responsabilités et des interfaces ; elle ne prouve pas qu’un contrôle précis a fonctionné lors d’un événement réel. Cette preuve dépend des journaux, des essais et de la revue de l’environnement concerné.

IMRYN distingue donc les affirmations d’architecture des affirmations de performance. Une structure cohérente peut subir une perte, recevoir une donnée erronée, rencontrer un gap de marché ou connaître une défaillance opérationnelle. À l’inverse, un résultat favorable ne démontre pas à lui seul la qualité des contrôles.

Un signal peut provenir d’observations de marché, d’un modèle ou de règles. Quelle que soit sa source, il doit rester une proposition contextualisée, et non une autorisation d’exécuter. Le dossier de décision devrait conserver l’horodatage, la version de la stratégie ou du modèle, l’instrument, le sens, la taille demandée et les conditions d’éligibilité utilisées.

Cette séparation distingue clairement « la stratégie a proposé une action » de « le système a accepté un ordre ». Elle fournit aussi un point de départ stable pour analyser une donnée périmée, un changement de version, des signaux contradictoires ou un comportement inattendu.

Le filtre de risque constitue une frontière de décision distincte. Il compare une action proposée à l’exposition courante, à l’éligibilité de l’instrument, à l’état du compte et de la plateforme, ainsi qu’aux limites configurées. Un rejet est un résultat normal ; une demande répétée ne devrait pas assouplir silencieusement une limite.

Les limites réduisent certains risques sans supprimer les risques de marché, de liquidité, de modèle, de contrepartie ou d’exploitation. Leur gouvernance doit préciser qui les modifie, quand une modification s’applique, comment elle est testée et où l’ancienne valeur est conservée.

Les plateformes utilisent des types d’ordre, identifiants, transitions d’état et messages d’erreur différents. Un adaptateur traduit l’instruction interne acceptée tout en maintenant le lien entre la proposition, l’ordre soumis, les accusés et les exécutions.

Un délai d’attente ne signifie pas nécessairement un rejet, et une requête réussie ne signifie pas nécessairement une exécution. Les relances ne sont donc pas anodines : l’adaptateur et le rapprochement ont besoin d’une stratégie adaptée d’idempotence ou de prévention des doublons.

La surveillance doit indiquer si les entrées sont actuelles, les propositions évaluées, les contraintes appliquées, les destinations joignables et les résultats rapprochés. Une alerte utile apporte le contexte nécessaire à une décision ; des traces durables rendent possible une revue ultérieure.

La supervision humaine ne se résume pas à une mention d’approbation. Elle exige un chemin d’arrêt clair, des droits d’accès, un responsable d’escalade et un moyen de vérifier l’état après intervention. Les seuils, secrets et configurations sensibles ne sont volontairement pas publiés.