RIPE NCC et l'économie de l'échec et de la reprise de la gouvernance

RIPE NCC n'est pas une institution en échec. Cela doit être la phrase d'introduction, car le langage de l'échec de gouvernance peut autrement devenir imprudent. Le registre à Amsterdam reste opérationnel, doté de personnel, visible et relativement transparent par rapport aux standards de la gouvernance d'Internet. Il dessert une adhésion vaste et diversifiée à travers l'Europe, le Moyen-Orient et certaines parties de l'Asie centrale. Ses enregistrements sont utilisés chaque jour. Ses services de sécurité de routage, de DNS inverse, de base de données, de portail et de transfert font toujours partie des opérations réseau ordinaires pour des milliers d'organisations. Les membres votent toujours. Les budgets sont toujours présentés. Les réunions ont toujours lieu. Le travail politique se poursuit.

C'est précisément pourquoi il vaut la peine d'examiner RIPE NCC. La question difficile n'est pas ce qu'un registre Internet régional devrait faire après être déjà tombé dans une crise d'entreprise ouverte. La question plus difficile est comment un registre mature prévient les formes précoces et moins théâtrales de défaillance institutionnelle: l'isolement budgétaire, le faible contrôle des membres, la capture procédurale, le choc juridique, la pression de conformité géopolitique, le décalage entre politique et marché, la dérive du périmètre et la perte progressive de la conviction que l'institution est étroite, neutre et contrainte.

Un registre peut échouer économiquement avant d'échouer administrativement. Il peut continuer à répondre aux tickets tandis que les membres commencent à le considérer comme un risque. Il peut publier des comptes pendant que les petits opérateurs soupçonnent que la machine des frais s'est éloignée du grand livre. Il peut organiser des élections alors que les personnes les plus exposées à la discrétion du registre doutent que le vote constitue un contrôle suffisamment fort. Il peut exploiter RPKI, le DNS inverse et les systèmes de transfert pendant que les détenteurs de ressources ajoutent silencieusement une prime de risque à chaque dépendance. L'institution fonctionne encore; la confiance qui l'entoure devient plus coûteuse.

La distinction est importante car un registre Internet régional n'est pas un club d'adhésion normal. RIPE NCC est une association néerlandaise à but non lucratif, mais la couche de reconnaissance qu'il exploite se situe au-dessus de ressources numériques rares, de la confiance liée au routage, des marchés de transfert, de l'exposition aux sanctions, de la continuité juridique et de l'identité opérationnelle. Les membres ne font pas qu'acheter un abonnement à des réunions et des services. Ils paient pour un système de reconnaissance quasi-monopolistique des ressources dont peuvent dépendre les réseaux, les clients, les contreparties et les bilans. Cela ne fait pas de RIPE NCC un État. Cela rend sa conception institutionnelle plus importante que ne l'admet parfois le langage détendu de la « communauté ».

Le mécanisme économique est simple. Avant l'épuisement d'IPv4, la gouvernance du registre concernait principalement l'allocation, la conservation et la croissance ordonnée d'Internet. Après l'épuisement, le pool libre n'est plus la principale source de pouvoir institutionnel. Le pouvoir continu est la reconnaissance: qui apparaît dans la base de données, qui peut mettre à jour les enregistrements, qui peut transférer des ressources, qui peut publier des assertions de sécurité de routage, qui peut maintenir le DNS inverse, qui est traité comme un membre autorisé, dont le paiement peut être accepté, dont le statut juridique est propre, et dont les enregistrements restent fiables lorsque la politique, les tribunaux ou les banques interviennent. La reconnaissance n'est pas la propriété, mais elle est économiquement significative. Un bloc dont l'enregistrement est incertain, le chemin de transfert peu clair, le statut RPKI fragile ou le traitement des sanctions opaque vaut moins qu'un bloc par ailleurs identique dont le parcours administratif est banal.

Dans ce monde, l'échec de la gouvernance n'est pas seulement un scandale. C'est la perte de contraintes crédibles. C'est le point auquel les détenteurs de ressources croient que le registre peut étendre son périmètre sans consentement adéquat, dépenser des cotisations obligatoires sans discipline de coûts suffisante, appliquer la politique par des initiés plutôt que par les principaux concernés, absorber les coûts juridiques par l'adhésion plutôt que par une meilleure allocation des risques, ou transformer un service technique en levier de négociation. La reprise, selon la même logique, n'est pas la performance de la normalité. C'est la restauration de contraintes crédibles: sur le budget, la discrétion, le périmètre des politiques, l'autorité du conseil, l'exposition juridique, l'intervention opérationnelle et la tentation de l'institution elle-même de devenir plus grande que le grand livre.

La crise d'AFRINIC est l'exemple d'avertissement évident, mais elle ne doit pas être appliquée mécaniquement à RIPE NCC. Le parcours d'AFRINIC a impliqué des allégations concernant des enregistrements d'adresses historiques, des litiges, des conflits au conseil et des élections, une mise sous séquestre, l'implication des tribunaux, des controverses électorales et des débats intenses sur le contrôle des ressources. Cela montre que la légitimité d'un registre peut se fracturer. Cela ne montre pas que chaque RIR est sur la même voie, et cela ne montre pas que RIPE NCC est déjà en effondrement. La leçon la plus utile est structurelle: une fois que l'autorité d'un registre repose sur la croyance en un grand livre reconnu, cette croyance doit être continuellement gagnée. Lorsque la croyance s'affaiblit, les dommages apparaissent sous forme de coûts juridiques, de frictions de transfert, d'interventions politiques, de décotes de liquidité et de membres cherchant une protection en dehors du processus officiel.

RIPE NCC doit donc être considéré comme un test de résistance institutionnelle. Son problème n'est pas un effondrement visible. Son problème est de savoir si un grand registre, mature, financé par des frais et lourd de politiques peut conserver suffisamment de confiance parmi des membres hétérogènes pour absorber les chocs sans devenir un État fiscal, une oligarchie procédurale ou un goulet d'étranglement de conformité. La réponse dépend moins des assurances officielles que de l'économie institutionnelle: qui paie, qui décide, qui supporte les risques, qui peut sortir, qui peut examiner la discrétion, qui bénéficie des dépenses, qui subit des retards, qui paie la facture juridique, et combien d'incertitude le registre ajoute ou retire des marchés de ressources rares.

Le registre est un grand livre avant d'être un club

RIPE NCC combine deux fonctions différentes. L'une est la fonction de grand livre: tenir à jour des données d'enregistrement précises pour les ressources de numéros Internet, ainsi que les services associés de base de données, de DNS inverse et de sécurité de routage. L'autre est la fonction de club: réunions, formations, sensibilisation, soutien à la communauté, engagement gouvernemental, plateformes de mesure, soutien politique et l'appareil social de la communauté RIPE. Les deux peuvent être utiles. Le problème commence lorsque la relation obligatoire de grand livre est utilisée pour financer et légitimer l'ensemble du club sans une théorie claire des coûts, du consentement et du périmètre.

Les chiffres officiels sont des pièces à conviction utiles, pas l'argument lui-même. Le Schéma de tarification 2026 fixe une contribution annuelle de 1 800 EUR par compte de registre Internet local, avec des frais supplémentaires de 75 EUR pour chaque attribution de ressource de numéro Internet indépendante et de 50 EUR pour chaque attribution d'ASN, plus des frais d'inscription de 1 000 EUR. Le Plan d'activité et budget 2026 prévoit des revenus d'environ 41,140 millions EUR et des coûts d'environ 41,125 millions EUR, et prévoit 202,1 équivalents temps plein. Le Rapport financier 2025 enregistre une réserve de la Chambre de compensation d'environ 33,6 millions EUR à la fin de l'année et rapporte un ratio de dépenses en capital de 86 %. Il enregistre également une large base de membres: les comptes LIR actifs sont passés de 20 991 au début de 2025 à 20 647 en fin d'année; le nombre de membres est passé de 19 993 à 19 863; 874 comptes LIR ouverts et 1 218 fermés.

Ces chiffres ne prouvent pas d'abus. Un registre critique ne devrait pas être géré comme un passe-temps. Il a besoin de systèmes sécurisés, de personnel qualifié, de capacité juridique, de soutien aux membres, de conformité aux sanctions, de contrôles d'audit, de services de publication fiables, de réponse aux incidents et de discipline de réserve. Une région de service s'étendant de l'Europe occidentale au Moyen-Orient et à certaines parties de l'Asie centrale crée une réelle complexité. Une association néerlandaise au service de membres dans des juridictions sanctionnées, touchées par des conflits ou financièrement contraintes ne peut pas fonctionner sans avocats, personnel financier, contrôles des risques et processus de paiement minutieux.

Mais les chiffres prouvent l'échelle. RIPE NCC n'est pas simplement un carnet d'adresses dans un placard. C'est une institution annuelle de plus de 40 millions EUR, financée massivement par des membres qui n'ont souvent aucun substitut significatif à la relation d'enregistrement reconnue. L'activité étroite du registre n'est qu'une partie de l'ensemble institutionnel. Le même budget couvre également RPKI, le portail LIR, la base de données RIPE, DNS et K-root, RIPE Atlas, RIPEstat, RIS, le support informatique, l'engagement externe, le développement communautaire, la formation, la coordination, la durabilité organisationnelle, les affaires juridiques, les finances, les installations, la sécurité de l'information et le bureau du directeur général. Une facture de membre paie pour tout un écosystème.

Cela crée la question fiscale centrale. Les frais sont-ils un coût pour la tenue du grand livre, une cotisation pour l'adhésion à une association technique, une contribution au développement de l'Internet régional, un paiement pour les services de sécurité et de données, une prime de réserve contre les chocs futurs, ou un prélèvement lié à la valeur sur la reconnaissance de ressources rares? Le modèle actuel contient des éléments de toutes ces théories. L'ambiguïté est tolérable lorsque les coûts sont faibles et la confiance élevée. Elle devient dangereuse lorsque les frais augmentent, que les petits opérateurs se sentent pressurés, que les réserves deviennent politiquement saillantes et que les membres soupçonnent que des services optionnels ou valorisés par l'élite sont regroupés dans une relation inévitable.

Les notes publiques de Lu Heng sur les coûts insistent sur ce point de manière crue. Elles soutiennent que la fonction essentielle du registre est étroite - les enregistrements et RPKI - et que la base de coûts plus large du RIR s'est étendue à travers les réunions, les formations, les voyages, la sensibilisation, les services de mesure et l'auto-entretien institutionnel. Cet argument provient d'un acteur du marché ayant ses propres intérêts et ne doit pas être traité comme une doctrine neutre. Il est néanmoins économiquement utile car il pose la bonne question: lorsque l'accès à un grand livre reconnu est effectivement obligatoire, que devrait-il être permis de financer par cette charge obligatoire?

La réponse n'a pas besoin d'être un minimalisme radical. RIPE Atlas, RIPEstat, la formation et l'engagement régional peuvent créer de véritables biens publics. Les plateformes de mesure neutres peuvent réduire la dépendance à des sponsors privés. La formation peut améliorer la qualité opérationnelle. Le soutien politique peut rendre le registre plus légitime. L'engagement gouvernemental peut protéger les membres d'une réglementation mal conçue. Pourtant, ces avantages n'abolissent pas le problème des subventions croisées. Un petit FAI régional qui a besoin d'enregistrements précis, de RPKI et de DNS inverse peut ne pas valoriser les réunions internationales ou un large engagement en matière de politiques publiques de la même manière qu'un grand opérateur, un régulateur, un chercheur ou un initié de la gouvernance. Si tout le monde doit payer, la charge de la preuve incombe à l'institution.

L'échec dans ce contexte ne commencerait pas par l'insolvabilité. Il commencerait lorsque les membres cesseraient de croire que la facture est disciplinée par la fonction. L'isolement budgétaire est un échec de gouvernance car il affaiblit le lien entre le paiement obligatoire et le service restreint. La reprise signifierait rendre ce lien mesurable. La continuité du registre de base, les services de sécurité de routage, les biens publics optionnels, l'activité communautaire, les réserves juridiques et l'expansion stratégique devraient être suffisamment séparables pour que les membres puissent en débattre honnêtement.

Un vote qui a réglé la facture, pas la question

Le vote sur le schéma de tarification 2027 était plus qu'une histoire de frais. Ce fut un petit épisode constitutionnel dans la vie d'un club de registre. En mai 2026, les membres ont été invités à choisir entre deux modèles. L'option A préservait la conception un compte LIR-un frais, avec des frais annuels de 1 894 EUR, une augmentation de 94 EUR par rapport à 2026. L'option B introduisait un modèle de catégorie basé sur les ressources PA IPv4 et IPv6 détenues dans chaque compte LIR. Le conseil a déclaré que les deux options visaient le même budget de revenus de 42,5 millions EUR, sur la base d'une augmentation de l'inflation de 3,3 % par rapport au budget de revenus 2026, en supposant 20 000 comptes LIR actifs, en maintenant les services actuels, en incluant l'investissement informatique et en contenant un engagement de réduction globale des coûts de 1,5 %.

Le conseil a recommandé l'option B. Il a dit que le modèle de catégorie répondait aux membres qui voulaient un écart plus large entre les frais les plus bas et les plus élevés. Selon le modèle proposé, les frais de base auraient été de 500 EUR pour les comptes LIR sans PA IPv4 ou avec un /29 ou moins d'espace PA IPv6, tandis que le plus grand détenteur actuel aurait payé plus de 30 000 EUR. RIPE NCC a déclaré que près de 75 % des comptes LIR auraient payé moins que selon le modèle actuel.

Les membres ont choisi l'option A. Le résultat a été serré: 3 049 votes ont été exprimés; l'option A a reçu 1 547, soit 51,12 %; l'option B a reçu 1 479, soit 48,88 %; 23 se sont abstenus. Un vote valide a réglé le schéma de tarification. Il n'a pas réglé l'économie politique. Une conception fiscale pour un objectif de revenus de 42,5 millions EUR a été décidée par une marge de 68 votes parmi les votants non-abstentionnistes. Ce n'est pas un échec. C'est un avertissement que la question de la répartition des coûts est proche de la surface.

Le modèle forfaitaire a une élégance civique. Un compte LIR paie un frais de base. Il évite de transformer RIPE NCC en une autorité fiscale basée sur la valeur des actifs. Il est simple, prévisible et résistant aux arguments sur ce que «vaut» l'espace d'adressage. Les grands détenteurs peuvent raisonnablement dire que le coût de tenue d'un enregistrement par le registre n'augmente pas proportionnellement à la valeur marchande d'un bloc. Ils peuvent également dire qu'un registre qui refuse le langage de la propriété devrait être prudent dans la conception de frais qui ressemblent à une taxation de la richesse en ressources.

Le modèle de catégorie a une logique de répartition des charges. Les plus grands détenteurs reçoivent une reconnaissance économiquement plus significative du même registre. Un frais forfaitaire est égal sur la ligne de facture et inégal au bilan. 1 800 EUR ou 1 894 EUR est négligeable pour un grand opérateur, un fournisseur de cloud ou un réseau d'entreprise mature; c'est plus significatif pour un petit réseau d'accès, un FAI communautaire, un hébergeur régional ou un opérateur dans une devise plus faible ou une juridiction à plus haut risque. Si le registre est une association mutuelle avec des milliers de membres différents, la répartition des coûts compte. Si les plus petits membres ont le sentiment de subventionner un système dont la valeur est la plus grande pour les grands acteurs en place, la légitimité s'érode.

Aucun des deux points de vue n'est stupide. C'est pourquoi la division est importante. Le vote a exposé la question non résolue de savoir pour quoi RIPE NCC facture. S'il facture pour l'égalité des membres, le modèle forfaitaire est cohérent. S'il facture pour l'échelle de reconnaissance, la différenciation est cohérente. S'il facture pour la causalité des coûts, aucun des deux modèles n'est suffisant sans une meilleure cartographie des coûts qui varient selon le nombre de membres, le nombre de ressources, le risque juridique, le besoin de support, la fonction de sécurité ou l'ambition institutionnelle. S'il facture pour des biens publics régionaux, la redistribution devrait être explicite, pas cachée à l'intérieur d'un seul frais obligatoire.

La conception des frais crée également des incitations. Un frais par compte encourage les membres à optimiser les structures de compte. Un frais basé sur les ressources encourage l'optimisation autour des catégories de ressources, de la consolidation, de la fragmentation ou des définitions de l'espace PA, PI et legacy. Les frais pour les ASN ou les ressources indépendantes créent des décisions marginales séparées. Les structures à plusieurs LIR compliquent la notion d'égalité. Un modèle de catégorie peut aider les petits comptes mais aussi rendre les grands détenteurs défensifs politiquement. Un frais de base bas peut rendre l'institution plus dépendante des contributeurs haut de gamme. Un frais forfaitaire élevé peut pousser les réseaux marginaux vers la dépendance envers les fournisseurs en amont ou hors de l'adhésion directe.

C'est pourquoi le vote des membres seul est une réponse incomplète. « Les membres ont voté » est important sur le plan procédural, mais cela ne prouve pas qu'un schéma de tarification est efficace, équitable ou résilient. Un registre aux caractéristiques quasi-monopolistiques doit poser une question supplémentaire: la conception des frais choisie minimise-t-elle les distorsions tout en préservant un large consentement et en protégeant le grand livre restreint? Le vote serré indique que le consentement est présent mais mince. Une conception solide de la reprise traiterait cette minceur comme une donnée, pas comme une défaite. Elle publierait des déclarations de causalité des coûts, une analyse d'incidence, les impacts par type de membre, les incitations comportementales et les explications sur l'objet des réserves avant le prochain cycle de frais. L'objectif n'est pas d'empêcher la politique. C'est de rendre la politique suffisamment informée pour que les coalitions perdantes considèrent toujours le résultat comme légitime.

Pourquoi les petits opérateurs entendent le stress en premier

Les petits opérateurs sont l'instrument sensible dans l'économie du registre. Les grands opérateurs peuvent embaucher du personnel politique, modéliser les schémas de frais, obtenir des conseils juridiques, absorber les retards, assister aux réunions et maintenir des relations avec le personnel du registre. Un petit opérateur peut avoir un seul ingénieur pour tout faire, une seule personne aux finances qui surveille les factures, et des clients qui ne peuvent pas absorber les coûts ou les temps d'arrêt. Si cet opérateur soupçonne que le registre est trop cher, trop procédural ou trop distant, le signal doit être pris au sérieux.

La région de service de RIPE NCC rend cela particulièrement important. Elle inclut des marchés riches avec des institutions fortes, mais aussi des économies en transition, des réseaux touchés par les conflits, des opérateurs exposés à des restrictions bancaires, et de petits fournisseurs dont les clients ne sont pas des acheteurs mondiaux de cloud. Un frais forfaitaire qui semble modeste à Amsterdam, Francfort ou Londres peut sembler différent ailleurs. Une demande de document qu'un grand opérateur de télécommunications traite comme une surcharge de conformité peut sembler existentielle pour un FAI régional. Un transfert retardé peut être un inconvénient pour un membre et un événement de financement pour un autre.

L'épisode de phishing décrit dans la note de Lu Heng sur RIPE NCC est révélateur pour cette raison. Les membres ont reçu un faux e-mail exigeant une confirmation rapide d'informations. L'e-mail ne provenait pas de RIPE NCC, mais il exploitait la peur de l'autorité perçue de RIPE NCC. Le point utile n'est pas que RIPE NCC s'est mal comporté; ce n'est pas le cas. Le point est que les escrocs ont compris la psychologie de la dépendance. De nombreux membres perçoivent le registre comme plus qu'un fournisseur et moins qu'un gouvernement: une association privée dont la relation administrative semble capable, en principe, de menacer les enregistrements, l'accès au portail, les certificats RPKI ou la continuité des activités.

Cette peur peut exagérer les processus ordinaires de RIPE NCC. Les vérifications assistées du registre (Assisted Registry Checks), par exemple, sont décrites comme coopératives et planifiées; le travail légitime du registre n'est pas une demande de panique de 48 heures. Mais la peur est économiquement rationnelle si les membres croient que leur identité opérationnelle est liée à une association de droit étranger dont ils ne peuvent pas facilement sortir de la discrétion. Un petit opérateur n'a pas besoin de penser en théorie juridique. Il lui suffit d'imaginer ce qui se passe si un problème de compte, de contact, de paiement ou d'enregistrement s'aggrave pendant que les clients attendent.

L'échec de la gouvernance peut donc apparaître comme un risque émotionnel avant d'apparaître comme un risque juridique. Un membre qui traite chaque communication du registre comme une menace potentielle sous-investira dans l'engagement, paiera trop cher pour des intermédiaires, retardera les mises à jour des enregistrements, évitera les services volontaires ou cherchera des solutions de contournement informelles. Un registre qui veut la confiance doit réduire non seulement les abus réels, mais aussi les conditions structurelles qui rendent la peur plausible.

Il existe des moyens pratiques pour y parvenir. Les délais de paiement pour les membres touchés par une crise, les options de paiement partiel via le portail LIR, une catégorisation claire des sanctions, des périodes de régularisation prévisibles, des procédures de fermeture en langage simple, et des explications répétées de ce que RIPE NCC peut et ne peut pas faire réduisent tous la peur. Il en va de même pour les pistes d'audit spécifiques aux membres: quel enregistrement est vérifié, en vertu de quelle règle, quelles preuves manquent, que se passe-t-il si le membre répond, que se passe-t-il s'il ne peut pas répondre, et quels services restent en sécurité pendant que la question est résolue. Le petit opérateur a besoin que la procédure soit traduite en frontières de risque.

La méfiance des petits opérateurs expose également un problème de représentation. RIPE NCC peut avoir des milliers de membres et une participation significative à l'Assemblée Générale, mais la classe active des politiques et de la gouvernance est nécessairement plus petite. Les personnes qui rejoignent les listes de diffusion, assistent aux réunions, comprennent les catégories de facturation, lisent les états financiers et façonnent les propositions de politiques ne sont pas toujours celles qui supportent le coût marginal des règles qui en résultent. Ce n'est pas une conspiration. C'est l'économie ordinaire de la participation. Ceux qui ont un coût de participation plus faible, une littératie institutionnelle plus élevée et un plus grand bénéfice professionnel du processus domineront la discussion à moins que la conception ne corrige cela.

La conception de la reprise devrait donc inclure des garanties pour les petits opérateurs. Chaque proposition de tarification devrait montrer les effets sur les membres à faible revenu et à faibles ressources. Chaque proposition de politique affectant les transferts, RPKI, le DNS inverse, la fermeture, les sanctions ou la documentation devrait inclure une analyse des coûts fixes. Chaque Assemblée Générale devrait permettre aux non-spécialistes de comprendre facilement ce qui est en jeu. Les services aux membres devraient mesurer si le support atteint les organisations les moins capables de naviguer dans le système sans aide. Un registre ne préserve pas sa légitimité en laissant les plus compétents sur le plan procédural parler pour tout le monde. Il préserve sa légitimité en réduisant le coût de la voix pour les membres les plus susceptibles de sortir dans le silence.

Les plus petits membres n'ont pas toujours raison. Ils peuvent mal comprendre les procédures, résister à la documentation nécessaire, s'opposer à des frais réellement nécessaires ou sous-estimer le coût d'un fonctionnement sécurisé. Mais ils sont souvent les premiers à ressentir quand un système obligatoire est devenu trop épais pour les opérateurs ordinaires. Dans un registre sain, cet inconfort devient une entrée de conception. Dans un registre isolé, cela devient un bruit de fond. La différence est l'un des premiers signes de la qualité de la gouvernance.

La voix est réelle, mais pas gratuite

Dans la théorie habituelle des associations de membres, la sortie faible est équilibrée par la voix. Si les membres ne peuvent pas facilement choisir un autre registre pour la même fonction régionale reconnue, ils doivent pouvoir discipliner l'institution par le vote, les élections du conseil, l'approbation du budget, les votes sur le schéma de tarification, la consultation, le processus politique et l'argumentation publique. Le problème est que la voix est coûteuse. Elle nécessite de l'attention, des connaissances, du timing et la conviction que la participation change les résultats.

RIPE NCC a plus de voix réelle que de nombreuses institutions. Les Assemblées Générales ne sont pas des cérémonies symboliques. Les membres votent sur les schémas de tarification et les sièges du conseil. Les documents budgétaires sont détaillés. Les documents du conseil et de la communauté sont publics. Des processus de consultation existent. Le Portail de confiance (Trust Portal) et d'autres travaux de transparence montrent une prise de conscience que la responsabilité doit être visible. Ce sont des forces.

Ils n'éliminent pas le problème d'agence. Le personnel et les membres du conseil vivent à l'intérieur de l'institution; la plupart des membres y touchent par intermittence. Les entités réguliers comprennent le vocabulaire; les opérateurs ordinaires peuvent ne pas le comprendre. Les candidats au conseil ayant des réseaux dans la communauté ont des avantages sur les outsiders. Les initiés des politiques accumulent de l'influence parce qu'ils peuvent y consacrer du temps. Les récits institutionnels - stabilité, intendance, communauté, ouverture, résilience - peuvent évincer les questions plus difficiles sur les coûts, les effets de marché et la discrétion. Un membre peut formellement posséder une voix mais pratiquement faire l'expérience de l'inertie.

Le rôle du conseil dans le vote sur la tarification montre à la fois des forces et des limites. Il a proposé deux options, expliqué le compromis et recommandé le modèle différencié. Les membres ont choisi autrement. C'est sain. Mais le conseil façonne également le menu, le cadrage, l'objectif de revenus, la ligne de base des services et le rythme du changement. Un vote binaire peut décider entre des paquets; il ne peut pas facilement dire quels services devraient être séparés, quel objectif de réserve est optimal, quels coûts juridiques appartiennent à la continuité de base, quelle expansion régionale est justifiée, ou comment l'incidence basée sur les ressources devrait être plafonnée.

La responsabilité du conseil nécessite donc des questions mesurables, pas seulement des élections formelles. Quelle part du budget finance le grand livre essentiel et sa sécurité? Quelle part finance des biens publics optionnels ou mixtes? Quelle part des dépenses juridiques relève de la gouvernance d'entreprise ordinaire, de la conformité aux sanctions, des litiges entre membres, des contentieux, de la coordination externe ou de l'expansion institutionnelle? Combien de temps prennent les transferts par catégorie? Combien de demandes de transfert sont retirées ou refusées après soumission? Combien de mesures de fermeture affectent RPKI ou le DNS inverse? Combien de membres sont confrontés à des frictions dans les canaux de paiement? Combien d'examens de sanctions deviennent de véritables interdictions plutôt que des exercices de clarification? Combien de petits opérateurs utilisent les canaux de support avant de tomber dans des problèmes de non-paiement ou de documentation?

Sans de telles mesures, la responsabilité du conseil risque de devenir une responsabilité narrative. On demande aux membres de faire confiance au fait que l'institution est résiliente, transparente et pilotée par les membres. Ils peuvent le faire tant que les temps sont calmes. En situation de stress, le récit ne suffira pas. Un choc juridique, un conflit de sanctions, un incident RPKI, un transfert contesté ou une révolte sur les frais obligera les membres à se demander si le conseil a gouverné le risque ou s'est contenté de le décrire.

La conception de la reprise est simple en principe. Le conseil devrait superviser des catégories de décisions, pas des cas individuels. Il devrait s'assurer que les actions à fortes conséquences sont mesurées, auditées, expliquées et révisables. Il devrait publier suffisamment de données agrégées pour permettre aux membres de distinguer la charge de travail ordinaire de la dérive institutionnelle. Il devrait séparer la nécessité juridique de l'appétit pour le risque interne. Il devrait exiger un examen post-implémentation des politiques qui affectent la liquidité, la continuité ou les coûts fixes. Il devrait rendre les processus de comité et de nomination suffisamment contestables pour qu'une opposition organisée puisse légalement gagner, pas seulement commenter.

La voix n'est crédible que lorsque les membres croient qu'elle peut imposer des contraintes. Cela ne signifie pas que chaque membre mécontent doit obtenir gain de cause. Cela signifie que l'institution doit pouvoir montrer que le contrôle des membres atteint le budget, le périmètre, la discrétion et le risque, pas seulement la couche externe de la procédure associative. Dans un registre, une voix faible et une sortie faible sont une combinaison dangereuse. Une voix forte coûte moins cher que des litiges.

Quand le processus ouvert devient un consentement mince

La communauté RIPE est plus ancienne que RIPE NCC et possède une forte culture technique. Son ouverture est l'une des raisons pour lesquelles la région a évité certaines formes de crise institutionnelle. Le processus politique est public. Les groupes de travail débattent du texte. Les listes de diffusion conservent les arguments. Les techniciens qui se soucient de la réalité opérationnelle peuvent participer sans avoir besoin d'un mandat gouvernemental. C'est un véritable atout.

Mais l'ouverture n'est pas la même chose que la représentativité. Une réunion publique peut être dominée par ceux qui ont le temps d'y assister. Une liste de diffusion peut être ouverte alors que la plupart des opérateurs concernés restent absents. Un processus de consensus peut être correct sur le plan procédural alors que la répartition des coûts pèse sur des personnes qui n'étaient pas dans la salle. C'est le problème classique de la capture procédurale. Il ne nécessite pas de corruption. Il survient chaque fois que la participation spécialisée devient la principale monnaie d'autorité.

Le risque augmente après l'épuisement d'IPv4 parce que les politiques ne sont plus seulement de l'hygiène technique. Les restrictions de transfert, les règles de liste d'attente, les normes de documentation, le traitement des ressources historiques (legacy), la gestion des sanctions, les exigences RPKI, les procédures de DNS inverse, les effets de fermeture et les obligations d'exactitude de la base de données ont tous des conséquences économiques. Ils affectent la liquidité, le calendrier des transactions, la valeur des garanties, la continuité des clients et le pouvoir de négociation. Une règle écrite comme un processus neutre peut se comporter comme un contrôle des capitaux si elle restreint la transférabilité ou crée de l'incertitude autour des enregistrements reconnus.

L'idée du «Miroir des politiques» dans les notes publiques de Lu Heng est polémique, mais utile: un manuel de politiques révèle ce qu'une institution s'imagine être. Un registre étroit écrit des règles sur l'unicité, les enregistrements précis, la preuve d'autorité, le statut des litiges et les métadonnées de sécurité. Un registre plus épais écrit des règles qui commencent à juger l'utilisation appropriée, la vertu régionale, les modèles d'affaires, le besoin continu, la moralité commerciale ou la légitimité du mouvement du marché. RIPE NCC n'est pas AFRINIC, et son environnement politique n'est pas le même. Néanmoins, le test vaut la peine d'être appliqué. Chaque politique devrait être interrogée: le code en cours d'exécution exige-t-il cela, ou est-ce la préférence institutionnelle qui l'exige?

Ce test est particulièrement important pour la politique de transfert. RIPE NCC a épuisé son pool IPv4 restant en novembre 2019. Les LIR éligibles peuvent recevoir un /24 de l'espace récupéré via le chemin de la liste d'attente. Les transferts font désormais partie intégrante du mouvement des ressources. Les ressources rares telles que les adresses IPv4 et les ASN 16 bits sont soumises à une restriction de 24 mois après certains événements de réception. Les transferts inter-RIR nécessitent une politique compatible et l'approbation des deux registres. Les mises à jour pour fusions et acquisitions nécessitent une documentation juridique et des vérifications de sanctions. Ces règles peuvent avoir de bonnes raisons. Elles modifient également la liquidité.

Le décalage entre politique et marché apparaît lorsqu'une règle conçue pour empêcher la spéculation, préserver l'équité ou maintenir la qualité des données piège l'offre légitime, augmente la location via des canaux informels, élève les coûts de diligence raisonnable, ou rend les petits opérateurs moins capables d'acquérir des ressources. Une restriction de 24 mois peut dissuader le jeu sur la liste d'attente; elle peut aussi réduire la flexibilité pour un détenteur en difficulté. Les exigences de documentation peuvent empêcher la fraude; elles peuvent aussi geler d'anciens historiques d'entreprise qui ne peuvent pas être reconstitués proprement. Les vérifications de sanctions peuvent être juridiquement nécessaires; des catégories de conformité vagues peuvent dissuader des contreparties légitimes. Chaque règle devrait être mesurée non seulement par son intention, mais aussi par ses effets sur le marché.

La réponse n'est pas de transformer le registre en un serviteur du marché. RIPE NCC ne devrait pas abandonner l'unicité, l'exactitude, les contrôles anti-fraude ou la conformité juridique. La réponse est de rendre la politique économiquement alphabétisée. Les propositions affectant des ressources rares devraient inclure une note d'impact: quels détenteurs sont affectés, quels coûts fixes sont imposés, comment la liquidité peut changer, si les petits opérateurs sont confrontés à une charge disproportionnée, quelles mesures seront examinées après la mise en œuvre, et si la règle est prospective ou rétroactive. L'examen post-implémentation devrait être normal. Si une règle a été adoptée pour réduire les abus, la spéculation ou le risque opérationnel, la communauté devrait voir par la suite si elle l'a fait et à quel coût.

La capture procédurale se guérit par des preuves, pas par des dénonciations. Le processus ouvert reste précieux. Il devient plus crédible lorsque les principaux concernés peuvent voir les coûts, les données et les limites de ce que la politique est autorisée à décider. Le consentement mince reste un consentement, mais il est fragile. Le consentement épais se construit lorsque les personnes qui ont perdu l'argument peuvent encore comprendre les preuves, le compromis et la frontière autour du pouvoir institutionnel.

Tenue de registres neutre sous pression des sanctions

La région de RIPE NCC comprend des juridictions qui font de la conformité aux sanctions plus qu'un contrôle juridique occasionnel. En tant qu'association néerlandaise, RIPE NCC doit fonctionner dans le cadre des contraintes juridiques européennes applicables. Elle dessert également des membres dont les réseaux peuvent se trouver dans des pays touchés par des sanctions, des conflits, des restrictions bancaires, des défaillances des canaux de paiement ou une sensibilité politique. Cela fait des sanctions l'une des surfaces de gouvernance les plus difficiles pour un registre qui veut rester neutre.

Le problème n'est pas de savoir si RIPE NCC doit se conformer à la loi. Elle le doit. Le problème est de savoir comment maintenir la conformité juridique étroite, vérifiable et proportionnée sur le plan opérationnel. Une interdiction confirmée d'une partie inscrite sur une liste est une chose. Une correspondance de nom possible nécessitant une clarification en est une autre. Un paiement bloqué par une banque en est une autre. Une préoccupation concernant la propriété effective en est une autre. Une préoccupation de réputation au niveau d'un pays sans interdiction légale spécifique en est une autre. Si tout cela est caché sous le même mot - conformité - les membres ne peuvent pas évaluer le risque et le registre ne peut pas prouver sa retenue.

La pression des sanctions peut créer un échec de la gouvernance de plusieurs manières. Premièrement, elle peut réduire la liquidité en incitant les acheteurs, les vendeurs et les contreparties à éviter des catégories entières de ressources ou de juridictions, même lorsque les transactions pourraient être légales. Deuxièmement, elle peut créer un risque de paiement: un membre peut être disposé et légalement capable de payer, mais incapable d'acheminer de l'argent par les canaux bancaires ordinaires. Troisièmement, elle peut politiser l'exactitude de la base de données: une action du registre juridiquement requise peut être interprétée comme une discrimination politique si la catégorie n'est pas expliquée. Quatrièmement, elle peut donner aux petits opérateurs des régions exposées le sentiment de financer une institution qui pourrait ne pas être en mesure de protéger leur continuité lorsque la politique extérieure se retourne contre eux.

Les documents officiels du registre concernant les transferts et les fusions décrivent les vérifications de sanctions comme faisant partie de l'approbation. C'est une pièce à conviction factuelle nécessaire, mais pas la réponse complète en matière de gouvernance. La question économique est de savoir si RIPE NCC peut séparer l'examen des sanctions pour les nouvelles actions de la continuité des enregistrements et services existants lorsque la loi le permet. Un transfert bloqué ne devrait pas automatiquement signifier une incertitude plus large sur des ressources non liées. Un problème de canal de paiement ne devrait pas automatiquement devenir une résiliation de service s'il existe une voie de régularisation légale. Une correspondance possible ne devrait pas être traitée comme une interdiction confirmée. Une ordonnance d'un tribunal devrait affecter ce qu'elle ordonne, et non devenir une invitation à geler toute l'identité opérationnelle d'un membre.

La continuité est importante car les parties en aval ne sont souvent pas l'acteur sanctionné, le entité aux politiques ou le membre votant. Les clients, les écoles, les hôpitaux, les agences publiques, les utilisateurs d'hébergement, les banques et les petites entreprises peuvent dépendre de réseaux dont la relation avec le registre passe par un environnement sensible aux sanctions. Si l'action du registre est trop large, les dommages collatéraux se répercutent sur la chaîne des clients. Si l'action du registre est trop vague, les contreparties punissent les acteurs légitimes par une conformité excessive.

La conception de la reprise signifie ici la transparence des catégories et la discipline de l'état vérifié en dernier. RIPE NCC devrait publier des catégories agrégées de sanctions et de frictions de paiement: interdiction légale confirmée, correspondance possible résolue, clarification de la propriété, problème de canal de paiement, action liée à un tribunal, service préservé, service suspendu, service résilié. Les identités individuelles peuvent nécessiter la confidentialité, mais pas les catégories. Les membres devraient savoir si la conformité est une fonction juridique étroite ou un large écran de risque. Le conseil devrait savoir où s'arrête la nécessité juridique et où commence la prudence interne.

C'est aussi là que la rhétorique officielle de la gouvernance d'Internet peut échouer. La « neutralité » n'est pas une déclaration. C'est une méthode opérationnelle. Un registre reste neutre sous la pression des sanctions lorsqu'il prouve que chaque restriction est juridiquement fondée, appliquée de manière étroite, enregistrée, révisable dans la mesure du possible et séparée des services non liés. Il perd sa neutralité lorsque les membres ne peuvent pas dire si c'est la loi, l'appétit pour le risque institutionnel ou l'humeur politique qui motive le résultat.

Le fardeau juridique de RIPE NCC est réel. C'est pourquoi la transparence des sanctions devrait faire partie de la résilience, et non une attaque contre elle. Un registre qui peut montrer une conformité étroite aura plus de crédibilité auprès des membres, des tribunaux et des contreparties lorsque des cas difficiles se présentent.

Les transferts évaluent la gouvernance en temps réel

Les transferts IPv4 sont l'endroit où la confiance dans le registre devient un prix de marché. RIPE NCC ne fixe pas le prix du marché des adresses. Il ne route pas les paquets. Il ne possède pas la valeur productive créée par les opérateurs. Mais sa reconnaissance aide à convertir une transaction privée en un enregistrement que le marché accepte. Un acheteur veut que le registre reconnaisse le transfert. Un vendeur veut l'achèvement. Un courtier veut la prévisibilité des délais. Un prêteur ou un acquéreur veut avoir confiance que les avoirs en adresses peuvent être déplacés, défendus ou valorisés. Un client veut la continuité sans apprendre les mécanismes.

Un marché de transfert évalue donc non seulement la rareté, mais aussi l'administration. Si le chemin officiel est clair, rapide et cohérent, les contreparties peuvent se concentrer sur les conditions commerciales. S'il est opaque, elles dépensent plus en examens juridiques, extensions de séquestre, indemnités, clauses de repli et connaissances des courtiers. Certaines transactions n'entrent jamais dans le chemin officiel parce que les entités s'attendent à des difficultés. Certaines glissent vers la location ou la délégation opérationnelle, ce qui peut être moins visible. Certains blocs restent inutilisés parce que les détenteurs ne veulent pas de la paperasse ou craignent la relation avec le registre. Tout cela est un coût.

RIPE NCC publie des informations sur les transferts effectués, ce qui est précieux. Mais un marché a besoin du dénominateur ainsi que du numérateur. Combien de demandes ont été ouvertes? Combien ont été approuvées, retirées, refusées ou fermées pour non-réponse? Combien ont été mises en pause par la restriction de 24 mois? Combien impliquaient des problèmes de preuves concernant des ressources legacy? Combien dépendaient d'un autre RIR? Combien ont rencontré une clarification de sanctions? Combien de temps chaque catégorie a-t-elle pris entre la soumission complète et la décision? À quelle fréquence l'état RPKI ou DNS inverse a-t-il nécessité une correction après le transfert?

Ce n'est pas une demande de publier les conditions privées des transactions. C'est une demande de preuves de processus agrégées. Un transfert échoué en raison d'une autorité falsifiée est la preuve que le registre a protégé le grand livre. Un transfert retiré parce qu'une partie ne pouvait pas prouver la succession est une information utile pour le marché. Un refus en raison de sanctions est une information juridique. Un retard dû à une incompatibilité inter-RIR identifie un goulot d'étranglement du système. Lorsque ces catégories sont cachées, le marché traite toute incertitude de la même manière.

L'incertitude administrative est particulièrement coûteuse pour les petits détenteurs et les ressources legacy. Les anciens historiques d'entreprise sont désordonnés. Les noms changent. Les entités fusionnent, se dissolvent, vendent des actifs, scindent des divisions ou perdent des enregistrements. Un registre doit empêcher la fraude, mais il doit aussi éviter de transformer l'histoire en une décote permanente. Des chemins de preuves clairs pour les mises à jour et les transferts de ressources legacy réduisent à la fois le risque de fraude et les décotes de liquidité. « Meilleur effort » peut être opérationnellement honnête; les marchés ont besoin de savoir ce que cela signifie habituellement.

La liquidité des transferts n'est pas un luxe spéculatif. C'est ainsi que les adresses rares passent d'utilisations à plus faible valeur à des utilisations à plus forte valeur. Elle aide un réseau en croissance à obtenir de la capacité. Elle permet à un détenteur en réduction ou en réorganisation de monétiser des ressources inutilisées. Elle soutient les fusions et acquisitions. Elle réduit la pression sur les listes d'attente. Elle peut rendre les enregistrements officiels plus précis en donnant aux parties une raison de mettre à jour les anciennes informations. Si les canaux de transfert officiels sont trop lents ou imprévisibles, le résultat n'est pas la pureté morale. Ce sont des arrangements parallèles et des risques.

Le registre devrait rester un grand livre, pas un promoteur de marché. Cette distinction est importante. Il devrait vérifier l'autorité, empêcher les revendications en double, appliquer les restrictions adoptées, se conformer à la loi, préserver l'exactitude et enregistrer les transferts. Il ne devrait pas se comporter comme si chaque transaction de marché était suspecte par défaut ou comme si la discrétion administrative était un substitut aux signaux de prix. Une fois qu'IPv4 est rare et échangé, le registre économiquement discipliné réduit les frictions sans prétendre qu'il n'y a pas de marché.

La conception de la reprise ferait de la performance des transferts un indicateur visible au niveau du conseil et des membres. Le délai médian ne suffit pas; le risque extrême compte. Une transaction qui se conclut généralement rapidement mais disparaît parfois pendant des mois dans des cycles de documents peu clairs est coûteuse à assurer. La publication de percentiles spécifiques aux catégories, des raisons de retard et des décomptes de résultats réduirait la prime de risque sans affaiblir la diligence raisonnable. Cela protégerait également RIPE NCC de critiques injustes en montrant où les frictions sont causées par la fraude, la loi, les registres homologues ou l'inaction des membres plutôt que par la discrétion du personnel.

La confiance dans les transferts est la confiance dans l'utilité économique du grand livre. Un registre qui ne peut pas rendre lisible son mécanisme de transfert invite les marchés à le contourner en termes de prix.

La continuité est une promesse à plusieurs niveaux

La continuité du registre est souvent discutée comme si elle signifiait garder une base de données en ligne. Cela signifie bien plus que cela. Les enregistrements de RIPE NCC sont connectés à la délégation DNS inverse, aux certificats RPKI, aux autorisations d'origine de route (ROA), au portail LIR, aux mises à jour de la base de données publique, à l'autorité de compte et au support opérationnel. Ces services ne sont pas des décorations administratives. Ils façonnent la confiance de routage, le dépannage, la délivrabilité du courrier électronique, l'automatisation de la sécurité, l'assurance client et l'exécution des transferts.

RPKI élève les enjeux car il transforme la reconnaissance du registre en matériel cryptographique utilisé par les réseaux. Une ROA correcte peut aider les opérateurs à valider si une origine de route est autorisée. Un objet erroné, manquant ou révoqué de manière inattendue peut avoir des conséquences opérationnelles là où la validation de l'origine de route est appliquée. Le DNS inverse est moins spectaculaire mais commercialement important: les systèmes de messagerie, la journalisation, le traitement des abus et les attentes des clients en dépendent souvent. Le portail LIR est une surface de gestion. L'autorité de la base de données est un actif opérationnel. Ces services peuvent devenir un levier si la gouvernance est mal conçue.

Les procédures de fermeture et les conditions de service de RIPE NCC sont donc importantes. La résiliation d'une relation de service peut affecter l'autorité de maintenir des enregistrements dans la base de données, l'accès au portail LIR et l'utilisation de RPKI; dans certaines circonstances, les enregistrements peuvent être radiés ou les certificats révoqués. Il peut y avoir de bonnes raisons à cela en cas de fraude, de non-paiement prolongé, d'interdiction légale ou de défaut de coopération aux vérifications essentielles d'exactitude. Mais la conséquence économique est suffisamment élevée pour que chaque action sévère ait besoin d'un pare-feu autour d'elle.

Le principe du pare-feu est simple: la perturbation des services devrait être le dernier recours, pas un outil de conformité de routine. Les enregistrements existants, le DNS inverse et RPKI devraient être préservés dans la mesure où la loi et la sécurité le permettent pendant qu'un litige de paiement, de documentation, de sanctions ou de gouvernance est en cours de résolution. La correction de la fraude et la prévention des revendications en double sont différentes de l'utilisation des services opérationnels pour discipliner un membre. Un registre peut être ferme sans être destructeur.

Des mesures de continuité rendraient cela réel. À quelle fréquence les certificats RPKI sont-ils révoqués pour fermeture, transfert, non-fonctionnalité technique, statut administratif, demande du membre ou ordonnance du tribunal? Combien de modifications de DNS inverse sont retardées dans les cas de transfert? À quelle fréquence les suspensions de service affectent-elles la publication opérationnelle plutôt que seulement l'accès au compte? Combien de membres règlent les problèmes de paiement ou de documentation avant tout changement de service? À quelle fréquence les actions de fermeture sont-elles isolées à la ressource affectée plutôt que de s'étendre à des enregistrements non liés?

Le portail de confiance (Trust Portal) est un plancher utile pour ce type de réflexion. Il signale que la confidentialité, l'intégrité, la disponibilité, la conformité juridique et les processus de sécurité font partie de la surface de confiance publique de RIPE NCC. Mais la sécurité du système n'est pas la même chose que la confiance institutionnelle. Les chiffres de disponibilité ne répondent pas à la question de savoir si les modifications autorisées sont étroites, révisables et économiquement proportionnées. Un service peut être techniquement sécurisé alors que les décisions de gouvernance autour du service sont opaques. La prochaine couche de confiance devrait relier les engagements de sécurité aux mesures de décision.

C'est là que la phrase « protéger le grand livre, pas le gardien » est analytiquement utile. Elle ne doit pas être interprétée comme une attaque contre l'existence de RIPE NCC. C'est un principe de continuité. Les enregistrements, les services de publication, la chaîne de sécurité, l'autorité de mise à jour et les réseaux en fonctionnement méritent une protection solide. La commodité discrétionnaire de l'institution ne mérite pas la même protection. En période de stress juridique, budgétaire, de conseil ou politique, les membres ont besoin d'avoir confiance que la couche opérationnelle ne sera pas utilisée comme monnaie d'échange.

AFRINIC montre le danger de ne pas séparer ces couches. Une fois que les tribunaux, les séquestres, les élections, l'autorité du conseil et les enregistrements du registre sont tous enchevêtrés, la continuité devient un mot politique. Chaque acteur dit qu'il protège le registre. La meilleure question est: quelle continuité? La continuité de l'entreprise, la continuité du conseil, la continuité des politiques, la continuité du grand livre, la continuité RPKI, la continuité des clients et la continuité des droits des membres ne sont pas identiques. RIPE NCC peut éviter ce piège en définissant les séparations avant qu'elles ne soient nécessaires.

Les réserves ne sont utiles que lorsque leur objet est délimité

Un registre mature a besoin de réserves. Il a besoin de capacité juridique. Il a besoin d'assurance, de gestion des risques, de sécurité de l'information, de continuité du personnel et de la capacité de fonctionner en période de crise. La question n'est pas de savoir si RIPE NCC devrait être résilient. La question est de savoir comment la résilience est gouvernée afin qu'elle ne devienne pas une justification pour un appétit institutionnel illimité.

Le choc juridique est l'une des voies les plus plausibles vers l'échec de la gouvernance. Il peut provenir de sanctions, d'un transfert contesté, d'une réclamation sur des ressources legacy, d'un procès intenté par un membre, d'une ordonnance d'un tribunal, d'un conflit du travail ou de gouvernance, d'un incident de données, d'une demande réglementaire externe ou d'un conflit impliquant un autre RIR. Les coûts juridiques peuvent s'accumuler rapidement. La crise d'AFRINIC montre comment les litiges peuvent consommer l'attention de la direction, les finances et la légitimité. La leçon n'est pas que RIPE NCC est confronté aux mêmes faits. C'est que l'architecture juridique d'un registre doit être conçue pour les chocs avant qu'ils n'arrivent.

Les réserves peuvent absorber les chocs, mais les réserves affaiblissent également la discipline immédiate des frais si les membres ne peuvent pas voir leur objet. La réserve de la Chambre de compensation du Rapport financier 2025, d'environ 33,6 millions EUR, est un atout pour la continuité. Elle peut rassurer les membres sur le fait que RIPE NCC peut survivre aux fluctuations des revenus, aux dépenses juridiques ou aux investissements opérationnels. Elle peut également susciter des questions: quelle devrait être la taille de la réserve; quels risques couvre-t-elle; quelle partie protège les services de base; quelle partie soutient des projets institutionnels plus larges; quand les excédents devraient-ils être restitués; quand les frais devraient-ils être réduits; quand les réserves devraient-elles financer un allègement temporaire pour les membres en crise?

Ce sont des questions de gouvernance, pas des notes de bas de page comptables. L'isolement budgétaire apparaît lorsque les réserves et la capacité juridique rendent la direction moins sensible à l'insatisfaction des membres. Un registre qui peut absorber les coûts sans douleur immédiate peut continuer ses modèles de dépenses bien après que les membres aient perdu confiance. À l'inverse, trop peu de réserves pourrait rendre le registre fragile au moment même où les membres en ont besoin pour résister à la pression politique ou juridique. Le problème de conception est l'équilibre.

L'asymétrie de responsabilité accentue le problème. Les registres régionaux ont souvent des clauses de limitation de responsabilité typiques des associations de services, alors que les conséquences pratiques des décisions du registre peuvent être bien plus importantes que les frais annuels. La note de Lu Heng sur le pouvoir du registre se détachant de la responsabilité fait valoir l'argument général: l'enveloppe juridique reste cléricale tandis que la substance économique est devenue stratégique. Dans le cas de RIPE NCC, cela ne signifie pas que la responsabilité illimitée soit la réponse. Une responsabilité illimitée pourrait rendre le registre non assurable ou excessivement défensif. Mais une responsabilité limitée accroît le besoin de discipline procédurale, de contrôle indépendant et de pare-feu opérationnels. Si les recours financiers sont limités, la procédure régulière doit porter une plus grande part du fardeau.

Les dépenses juridiques devraient donc être catégorisées de manière visible pour les membres. Les conseils juridiques ordinaires, la conformité aux sanctions, les litiges entre membres, les contentieux, le soutien aux politiques, le travail de gouvernance externe, la protection des données, l'emploi, l'expansion des bureaux et la planification de la continuité d'urgence sont des choses différentes. Les membres peuvent volontiers financer la défense du grand livre, la conformité à la loi et la continuité des services. Ils peuvent être moins disposés à financer l'expansion institutionnelle, l'application discrétionnaire ou la gestion de la réputation déguisée en nécessité juridique. Sans catégories, chaque ligne juridique devient un problème de confiance.

L'entité de Dubaï illustre la question plus large du périmètre. RIPE NCC Middle East FZ-LLC a commencé à fonctionner en 2025, avec des travaux sur les services bancaires, l'emploi, les bureaux, la fiscalité, la législation et une entité juridique entièrement détenue par l'association néerlandaise. Le rapport 2025 fait état d'un prêt de 5 millions AED et d'un résultat de change négatif sur l'AED d'environ 60 000 EUR. Cela peut être une adaptation rationnelle aux besoins de soutien aux membres au Moyen-Orient. C'est aussi une expansion institutionnelle, avec des implications en matière de devises, de reporting, de services bancaires et juridiques. Un grand livre monopolistique financé par des frais devrait soumettre une telle expansion à un test clair: quel problème de membre résout-elle, quel risque de continuité réduit-elle, quel coût récurrent crée-t-elle, et que se passerait-il si elle n'était pas faite?

La reprise après un choc juridique dépend des réponses. Un registre qui peut montrer des réserves liées à des risques définis, des coûts juridiques liés à des catégories définies et une expansion liée aux besoins des membres paraîtra prudent. Un registre qui demande aux membres de faire confiance à un langage général de résilience paraîtra isolé. La résilience sans responsabilité devient un chèque en blanc. La responsabilité sans résilience devient de la fragilité. La tâche de RIPE NCC est de tenir les deux.

AFRINIC appartient à la marge, pas au script

AFRINIC doit être utilisé avec prudence. Ce n'est pas une pièce de moralité qui prouve qu'une région est particulièrement défaillante. Ce n'est pas une accusation toute faite contre RIPE NCC. C'est une pièce à conviction de ce qui se passe lorsque la légitimité du registre, l'autorité juridique, la confiance des membres, la rareté des adresses et l'intervention politique s'enchevêtrent.

Le dossier public suffit à établir la leçon institutionnelle sans prétendre résoudre toutes les revendications contestées. Des reportages en 2019 ont soulevé des allégations de manipulation ou de détournement des enregistrements IPv4 africains par un ancien initié. Des documents judiciaires et publics ont ensuite montré des conflits sur la validité du conseil, une paralysie de la direction et de la gouvernance, une mise sous séquestre et un chemin supervisé par le tribunal vers de nouvelles élections. Le NRO a salué la nomination d'un séquestre officiel en 2023 pour préserver la valeur de l'activité d'AFRINIC, maintenir les actifs en l'état, superviser les élections, faciliter la formation d'un conseil approprié et permettre la nomination d'un directeur général. Des reportages ultérieurs ont décrit des processus électoraux suspendus ou annulés, des revendications concernant l'autorité de vote, de nouvelles élections, des efforts de reprise de la stratégie et du budget, et une implication accrue de l'ICANN dans des contextes judiciaires.

Ces faits montrent que la continuité du registre peut devenir une crise à plusieurs niveaux. La confiance dans les enregistrements, l'autorité du conseil, le vote des membres, le pouvoir judiciaire, la reconnaissance externe, les coûts juridiques et la confiance des détenteurs de ressources interagissent tous. Un séquestre peut préserver un pont, mais pas à lui seul reconstruire la confiance du marché. Une élection peut restaurer les organes sociaux, mais pas à elle seule prouver que les transferts, les enregistrements et l'autorité des membres sont désormais fiables. Les déclarations de l'ICANN ou du NRO peuvent expliquer pourquoi la fonction de registre est importante, mais elles ne règlent pas à elles seules la question de savoir si l'institution en place a contraint sa discrétion.

La leçon utile d'AFRINIC pour RIPE NCC n'est pas « l'effondrement arrive ». C'est l'arithmétique de la légitimité. L'autorité d'un registre repose sur l'acceptation collective que sa base de données est l'enregistrement légitime. Cette acceptation est stable lorsque le registre est précis, étroit, prévisible, responsable et moins cher à utiliser qu'à éviter. Elle s'affaiblit lorsque les membres voient le registre comme discrétionnaire, politisé, coûteux, juridiquement fragile ou isolé. Une fois affaiblie, la croyance ne revient pas parce que les acteurs officiels disent que le registre est important. Elle revient lorsque les contreparties peuvent se fier aux enregistrements, que les membres peuvent vérifier l'autorité, que les tribunaux peuvent isoler les différends, que les opérateurs peuvent préserver les services, et que le chemin officiel est moins coûteux que les solutions de contournement.

AFRINIC montre aussi que la « continuité » peut être un mot dangereux. Tout le monde la revendique. Un conseil revendique la continuité de l'institution. Un séquestre revendique la continuité de l'activité. L'ICANN ou le NRO revendique la continuité du système des RIR. Les détenteurs de ressources revendiquent la continuité des enregistrements et des réseaux. Les clients revendiquent la continuité du service. Les tribunaux revendiquent la continuité de l'ordre juridique. Ces revendications peuvent entrer en conflit. Une conception de la reprise doit spécifier quelle continuité est protégée dans chaque cas.

Pour RIPE NCC, l'ordre de priorité devrait être explicite. L'unicité des numéros vient en premier. Les enregistrements précis et les métadonnées des litiges viennent ensuite. Les services de publication tels que RDAP, Whois, le DNS inverse et RPKI doivent continuer. Les réseaux en fonctionnement et les clients ne doivent pas devenir des dommages collatéraux. Les droits des membres et la procédure régulière doivent rester utilisables en période de stress. La continuité de l'entreprise et du conseil est importante parce qu'elle soutient ces fonctions, et non parce qu'elle est une fin en soi.

Cette hiérarchie est plus facile à adopter avant la crise. Une fois qu'un tribunal, un différend sur les sanctions, une élection contestée du conseil ou un incident de service grave survient, chaque acteur argumentera à partir de son intérêt immédiat. RIPE NCC a l'avantage de la stabilité. Il peut concevoir une architecture de continuité alors que personne n'est obligé d'improviser. C'est la leçon qu'un registre mature devrait tirer d'AFRINIC: non pas la peur, mais le pré-engagement.

Ce que la reprise devrait réellement prouver

Si RIPE NCC subissait un grave choc de confiance, que nécessiterait la reprise? Pas un communiqué de presse. Pas une tournée d'écoute seulement. Pas une promesse que les services sont disponibles. La reprise nécessiterait de restaurer la conviction que le registre est contraint aux bons endroits.

La première contrainte est budgétaire. Les membres devraient pouvoir voir une séparation nette entre le grand livre de base, les services de sécurité, les services optionnels de bien public, les activités communautaires, les réserves juridiques et l'expansion stratégique. Le budget annuel ne devrait pas simplement énumérer les activités; il devrait les cartographier selon la théorie du financement obligatoire. Si une activité est financée par des cotisations obligatoires, les membres devraient savoir pourquoi un financement volontaire, un parrainage, une tarification à l'utilisation ou une approbation séparée ne seraient pas appropriés. Les objectifs de réserve devraient être liés à des scénarios de risque définis. La gestion des excédents devrait être suffisamment réglementée pour éviter un théâtre politique annuel.

La deuxième contrainte est la voix des membres. Les votes sur la tarification, les élections du conseil et les Assemblées Générales devraient rester significatifs, mais la reprise nécessiterait une reconstruction plus profonde des membres. La participation devrait être plus facile pour les petits opérateurs et ceux éloignés. Les propositions de frais devraient inclure des rapports d'incidence. Les processus de candidature devraient être transparents et contestables. Les déclarations de conflits devraient être standardisées. Les communications aux membres devraient expliquer non seulement ce sur quoi on vote, mais aussi les conséquences économiques qui en découlent. Un vote légal est nécessaire. Un vote dont les perdants font confiance au processus est plus précieux.

La troisième contrainte est le périmètre des politiques. La communauté des politiques devrait continuer à élaborer des règles, mais les politiques affectant la liquidité des ressources rares, la continuité opérationnelle ou les coûts des membres devraient passer un test de périmètre. La règle protège-t-elle l'unicité, les enregistrements précis, les métadonnées de sécurité, la prévention de la fraude, la conformité juridique ou la continuité des services? Ou exprime-t-elle une préférence institutionnelle concernant le comportement commercial? Si c'est le cas, la charge de la justification devrait être beaucoup plus élevée. Les règles prospectives devraient être préférées. La perturbation rétroactive des intérêts de confiance devrait être traitée comme exceptionnelle.

La quatrième contrainte est la vérifiabilité des décisions. Les transferts, les fermetures, les examens de sanctions, les modifications RPKI, les effets sur le DNS inverse, les vérifications assistées du registre (Assisted Registry Checks), les mises à jour de ressources legacy et les résiliations de comptes devraient être journalisés par catégories pouvant être rapportées de manière agrégée. Les membres n'ont pas besoin que les dossiers privés soient exposés. Ils ont besoin de suffisamment de preuves pour distinguer l'administration ordinaire du contrôle discrétionnaire. La supervision du conseil devrait se concentrer sur les catégories où des dommages peuvent survenir.

La cinquième contrainte est la neutralité opérationnelle. RPKI, le DNS inverse, l'autorité de la base de données et l'accès au portail ne devraient pas être utilisés comme armes à la légère. Les effets graves sur les services devraient nécessiter des déclencheurs définis, un préavis, des périodes de régularisation, un examen indépendant lorsque cela est possible et la préservation du dernier état opérationnel vérifié lorsque la loi le permet. Un registre qui peut perturber trop facilement ne sera pas digne de confiance même s'il le fait rarement.

La sixième contrainte est la proportionnalité juridique. La conformité aux sanctions, les ordonnances des tribunaux et les obligations réglementaires doivent être respectées. Mais la conformité devrait être étroite, catégorisée et séparée de l'appétit pour le risque institutionnel plus large. Les coûts juridiques devraient être transparents par catégorie. Les limitations de responsabilité devraient être compensées par un processus plus solide. On ne devrait pas demander aux membres d'accepter une discrétion à fortes conséquences simplement parce que l'exposition juridique de l'association est limitée.

La septième contrainte est la planification de la continuité au-delà de l'enveloppe de l'entreprise. RIPE NCC devrait pouvoir expliquer comment les données du registre, les services de publication, les dépôts RPKI, le DNS inverse, l'autorité de mise à jour, les communications avec les membres et les litiges en cours seraient gérés en cas d'incapacité du conseil, de rotation de la direction, de litiges, de choc des sanctions, de perturbation bancaire, d'incident cybernétique ou de défaillance extrême de la gouvernance. Une telle planification ne sape pas l'institution. Elle prouve que le grand livre est plus important que n'importe quel cycle de gouvernance.

Ces contraintes ne rendraient pas RIPE NCC faible. Elles le rendraient plus crédible. Un registre contraint est plus facile à défendre parce que son autorité est lisible. Il peut dire à un tribunal quelle fonction doit être préservée. Il peut dire aux membres pourquoi des frais sont nécessaires. Il peut dire à un acheteur pourquoi un transfert a été retardé. Il peut dire à un membre d'une région sanctionnée quels services restent sûrs. Il peut dire à la communauté ce qu'une politique a accompli. Il peut dire aux critiques où le pouvoir s'arrête.

La reprise n'est donc pas l'opposé de la gouvernance. C'est la gouvernance rendue à nouveau crédible. Un registre se rétablit chaque année en rendant la facture plus crédible, le conseil plus responsable, le processus politique plus représentatif, le chemin de transfert plus lisible, les sanctions plus catégorielles, RPKI plus neutre, le DNS inverse plus protégé, les réserves plus explicables et la continuité opérationnelle moins dépendante de la fierté institutionnelle.

Signaux d'alerte précoces à surveiller

Parce que RIPE NCC est opérationnel, les indicateurs de défaillance pertinents sont précoces et subtils. Ils ne se manifesteraient pas nécessairement par des temps d'arrêt. Ils se manifesteraient par une friction croissante autour des interfaces de l'institution avec l'argent, la voix, la loi et la confiance.

Le premier point de surveillance est la légitimité des frais. Le prochain cycle de tarification devrait être jugé non seulement par le montant approuvé, mais aussi par le fait que les membres reçoivent une cartographie crédible de la causalité des coûts: quelle partie des frais finance le grand livre, quelle partie finance les services de sécurité, quelle partie finance les activités de bien public, quelle partie finance la résilience juridique et de conformité, quelle partie finance l'expansion régionale, et quelles hypothèses motivent l'objectif de revenus. Un schéma persistant de votes serrés, de ressentiment envers les réserves, de stress de paiement des petits opérateurs ou de demandes de séparation des services serait un avertissement budgétaire.

Le deuxième point de surveillance est le dénominateur des données de transfert. Les transferts effectués ne suffisent pas. Les membres et les marchés devraient pouvoir voir les décomptes agrégés des demandes ouvertes, approuvées, retirées, refusées, mises en pause, fermées pour non-réponse, retardées par une clarification de sanctions, retardées par la coordination inter-RIR, retardées par des preuves de ressources legacy et retardées par la documentation des membres. Les percentiles de délai spécifiques aux catégories sont plus importants que les grandes moyennes. Si les acheteurs, les vendeurs et les courtiers commencent à traiter les ressources administrées par RIPE NCC comme administrativement incertaines, le marché le montrera par les conditions de séquestre, les indemnités, les décotes et l'évitement discret.

Le troisième point de surveillance est le brouillard des sanctions et des paiements. Si les membres ne peuvent pas distinguer une interdiction légale confirmée d'un examen de correspondance possible, d'une défaillance du canal de paiement, d'une clarification de propriété, d'une action en justice ou d'une prudence institutionnelle, la conformité excessive se propagera. Les acteurs légitimes dans des juridictions sensibles paieront des coûts de risque plus élevés. Les frictions de paiement deviendront un problème de légitimité. La conformité semblera politique même lorsqu'elle est légale. Le registre devrait publier des catégories agrégées qui permettent aux membres de comprendre à quelle fréquence chaque type de cas se produit et à quelle fréquence les services restent préservés pendant que le problème est résolu.

Le quatrième point de surveillance est l'anxiété concernant les services opérationnels. Si les membres croient que RPKI, le DNS inverse, l'accès à la base de données ou l'autorité du portail peuvent être affectés par des litiges ordinaires sans solides garanties, ils peuvent éviter une dépendance plus profonde aux services dépendants du registre. Ce serait un mauvais résultat pour la sécurité du routage et l'exactitude des données. Les mesures pertinentes ne sont pas seulement la disponibilité. Ce sont le nombre et la catégorie des effets graves sur les services, les périodes de régularisation offertes, l'utilisation de la préservation du dernier état vérifié, la séparation entre l'accès au compte et les services de publication, et la voie de révision pour les décisions à fortes conséquences.

Le cinquième point de surveillance est la participation aux politiques. Si les listes de diffusion restent actives mais que les détenteurs concernés s'organisent ailleurs - par le biais de groupes privés, de conseils juridiques, d'associations professionnelles, de gouvernements ou d'intermédiaires de marché - le processus officiel a perdu une partie de sa capacité à résoudre les conflits. Le symptôme n'est pas la critique. La critique est saine. Le symptôme est la migration de la voix économique sérieuse loin de la communauté formelle. Les notes d'impact et les examens post-implémentation aideraient à ramener ces arguments au grand jour.

Le sixième point de surveillance est la discipline des réserves. Une réserve importante peut être prudente ou isolante. La différence est de savoir si les membres connaissent la fourchette cible, les scénarios de risque, les déclencheurs de prélèvement et la logique de restitution des excédents. Les dépenses juridiques devraient être catégorisées dans le même esprit. Si chaque coût juridique ou de résilience est traité comme auto-justifié, l'institution donnera l'impression d'utiliser le risque pour échapper à la discipline des coûts. Si chaque réserve est attaquée comme du gaspillage, l'institution devient fragile. La question utile est plus étroite: quel risque cet argent protège-t-il, et pourquoi le financement obligatoire par les membres est-il le bon instrument?

Le septième point de surveillance est l'expansion du périmètre. De nouvelles entités, des bureaux, des accords bancaires, des programmes d'engagement, des services de mesure et des initiatives externes peuvent être justifiés. Ils devraient être testés par rapport aux besoins des membres, à la continuité du grand livre, au coût récurrent et aux financements alternatifs. Un registre peut croître pour de bonnes raisons, mais la croissance financée par une relation de reconnaissance obligatoire nécessite une charge d'explication plus élevée que l'activité associative ordinaire.

Le huitième point de surveillance est l'externalisation de la gouvernance. Les tribunaux, les régulateurs, l'ICANN, le NRO, les autorités nationales ou de grandes coalitions de marché peuvent être appelés à intervenir non pas parce que RIPE NCC s'est effondré, mais parce que les membres ne croient plus que la discipline interne est suffisante. L'intervention externe peut être nécessaire en cas de crise grave. Elle est également coûteuse car elle réduit l'autonomie que le modèle RIR revendique comme sa vertu. La meilleure façon de préserver l'autonomie est de rendre les contraintes internes crédibles avant que les étrangers ne soient invités à entrer.

Aucun de ces signaux ne nécessite de fraude. L'échec de la gouvernance est souvent banal: les coûts dérivent, les règles s'épaississent, les initiés dominent, le langage juridique devient défensif, la confiance des membres devient superficielle, et les opérateurs discrets cessent de croire que le processus officiel vaut leur temps. Le registre fonctionne toujours. La prime de risque augmente.

La position la plus forte de RIPE NCC est qu'il a encore du temps. Il n'essaie pas de reconstruire la confiance à partir d'une mise sous séquestre. Il ne demande pas aux membres d'accepter un conseil après des années de paralysie juridique. Il ne défend pas un processus électoral effondré. Son défi est plus subtil et donc plus facile à sous-estimer: empêcher une institution mature, coûteuse et riche en politiques de s'éloigner de la discipline économique qui fait que les membres croient en elle.

La discipline n'est pas l'austérité pour elle-même. C'est la clarté du périmètre. Les services critiques doivent être financés et protégés. La sécurité doit s'améliorer. RPKI doit être fiable. Le DNS inverse doit être stable. Le traitement des transferts doit être précis. La conformité aux sanctions doit être légale. Le soutien aux membres doit être sérieux. Les petits opérateurs ne doivent pas être abandonnés. Les services communautaires et de mesure doivent être justifiés honnêtement. Les réserves doivent être adéquates. La capacité juridique doit exister. Mais chacune de ces affirmations devrait être liée à une théorie visible des coûts, des risques et de l'autorité.

La leçon sobre d'AFRINIC, sans la fausse analogie, est que la légitimité d'un registre peut se briser par couches: d'abord la croyance, puis la coopération, puis la liquidité, puis la loi, puis l'autorité formelle. RIPE NCC est loin de ce point final. Le but d'un test de résistance n'est pas de prédire que le pont tombera. C'est de trouver quels boulons portent la charge avant la tempête.

Les boulons sont visibles. Le vote serré sur la tarification montre une tension budgétaire. Le large budget montre une tension de périmètre. L'exposition aux sanctions montre une tension géopolitique. Les transferts IPv4 montrent une tension de liquidité. RPKI et le DNS inverse montrent une tension de continuité. La communauté des politiques montre une tension de représentation. La peur des petits opérateurs montre une tension de dépendance. La crise d'AFRINIC montre que le système ne peut pas supposer que la légitimité d'un registre est permanente simplement parce que la fonction est nécessaire.

Le registre le plus crédible à l'ère de la rareté ne sera pas celui qui fait les plus grandes déclarations sur la communauté. Ce sera celui qui pourra prouver, de manière répétée, qu'il est un conservateur de registres discipliné avec suffisamment de résilience pour protéger le grand livre et suffisamment d'humilité pour ne pas confondre le grand livre avec lui-même. RIPE NCC a la capacité institutionnelle d'être ce registre. L'économie de l'échec et de la reprise de la gouvernance demande s'il choisira les contraintes qui rendent cette capacité crédible.