Manque d’une stratégie d’innovation globale, absence d’articulation avec les programmes européens, inconvénients du recours massif aux subventions… À mi-parcours de son déploiement, France 2030 ne satisfait pas pleinement la Cour des comptes.

Annoncé en octobre 2021, ce plan s’inscrit dans la continuité des PIA (programmes d’investissements d’avenir). Avec toutefois des moyens financiers sans précédent. En l’occurrence, la promesse d’engager 54 Md€ sur 5 ans.

Du suivi d’avancement aux retours financiers, une vision partielle

Par le passé, la Cour des comptes a pointé de manière récurrente les insuffisances dans le suivi et l’évaluation des PIA. Elle constate qu’avec France 2030, l’État n’a globalement pas corrigé le tir.

Il existe une enveloppe de 51 M€ attribuée au renforcement de cet aspect. Les outils n’ont pas pour autant été développés à mesure que le plan montait en puissance. Ils en demeurent, au final, « une des grandes fragilités ».

Illustration sur l’évaluation dite in itinere. C’est-à-dire le suivi de l’avancement des projets en comparant les premières réalisations à une trajectoire définie au préalable. En la matière, le SGPI (Secrétariat général pour l’investissement) n’a qu’une « vision très partielle ». La définition et l’harmonisation des besoins ne sont effectivement intervenues qu’en 2025. Reste par ailleurs à finaliser les développements informatiques nécessaires.

Sans outil automatisé et centralisé, ce sont principalement les CPMO* (comités de pilotage ministériels opérationnels) qui réalisent ce suivi. Ils le font à partir de données que les opérateurs de France 2030** transmettent à la demande et en fonction des besoins et des points d’attention. Ou à partir de remontées plus régulières mais moins détaillées.

Les faiblesses de l’outil informatique handicapent aussi le pilotage des retours financiers. C’est-à-dire toutes les sommes susceptibles de revenir à l’État en contrepartie des financements accordés. À ce stade, les SI ne permettent pas un suivi à la maille (ils n’offrent qu’une vision agrégée). Ni la distinction fiable de la nature des flux enregistrés.

Une équipe de deux agents sans budget spécifique

Le retard de mise en œuvre des chantiers informatiques explique en partie, selon le SGPI, la faible mobilisation des crédits affectés à l’évaluation – seulement 7,5 M€ engagés à fin 2025 sur les 51 M€ prévus.

Ce retard « peine à s’expliquer » au regard des enjeux financiers et de l’ambition de France 2030, affirme la Cour des comptes. Elle note que le SGPI n’a jamais constitué de DSI. Et que les moyens humains consacrés à cette fonction se limitent à deux agents issus de deux directions différentes. Il n’y a de surcroît aucun budget spécifique identifié.

Les briques du SI centralisé avec les opérateurs de France 2030 ne sont pleinement opérationnelles que depuis mars 2025 – quand bien même on ne partait pas de zéro : elles découlent du système de suivi financier des anciens PIA. Jusque-là, la communication des données de suivi au SGPI se faisait par messages électroniques et extractions sous forme de tableurs.

L’outil actuel n’est pas alimenté directement. Les opérateurs déposent mensuellement des extractions sur une plate-forme intermédiaire. Il en résulte des opérations de retraitement « coûteuses en temps et en moyens ».

Ledit outil ne couvre, de plus, pas tout le périmètre de France 2030. Il y manque par exemple les données relatives aux projets que mettent en œuvre les opérateurs secondaires. Même chose pour certaines aides aux start-up que verse Bpifrance.

Ne pas zapper l’expression de besoin et la normalisation des données

Le SGPI entend lancer des chantiers informatiques. Mais il ne présente pas de plan de charge cohérent, priorisé et mobilisant les moyens associés, regrette la Cour des comptes.

Cette dernière recommande que le renforcement des outils informatiques s’accompagne d’une réflexion sur l’expression des besoins d’évaluation. Et sur la normalisation des données collectées à cette fin. Le chantier « devrait associer étroitement des chercheurs »… ce qui n’a pas été le cas dans la première étape de construction des indicateurs du plan en 2022-2023.

* Les CPMO associent les directions d’administration centrale compétences, le SGPI et les opérateurs concernés. Ils valident les cahiers des charges, suivent les procédures de sélection, examinent les propositions de lauréats et, plus largement, supervisent la mise en œuvre des actions.

** Les quatre opérateurs principaux de France 2030 sont l’ADEME (Agence de la transition écologique), l’ANR (Agence nationale de la recherche), Bpifrance et la Caisse des dépôts et consignations.ONF (Office national des forêts), GENCI (Grand équipement national de calcul intensif), Andra (Agence nationale pour la gestion des déchets radioactifs), CNES (Centre national d’études spatiales), FranceAgriMer et Inria (Institut national de recherche en informatique et en automatique) sont les opérateurs secondaires.

Illustration générée par IA

The post France 2030 : un pilotage handicapé par l’outil informatique appeared first on Silicon.fr.

Après une critique circonstanciée de la Dinum en 2024, la Cour des comptes revient sur le sujet de la numérisation des services de l’Etat avec un nouveau rapport intitulé  » Les outils bureautiques et collaboratifs au sein de l’Etat ».

L’enquête, déclenchée via la plateforme de participation citoyenne de la juridiction financière, porte sur les administrations centrales et les services déconcentrés des onze ministères, soit environ 861 000 postes informatiques.

Quatre d’entre eux en concentrent l’essentiel : l’Intérieur, les Armées, l’Économie et les Finances, et la Justice. Le champ d’étude exclut les collectivités locales, les hôpitaux, les organismes de sécurité sociale et les opérateurs de l’État.

Les 850 000 enseignants ne disposent pas d’ordinateurs gérés par l’administration : seuls 30 000 postes administratifs sont comptabilisés pour l’Éducation nationale.

Une mosaïque héritée de l’autonomie des ministères

Chaque ministère ayant longtemps choisi ses outils, la Cour distingue trois situations.

La première, majoritaire, consiste à installer la suite Microsoft Office sur les serveurs ou les postes de l’administration. Certains ministères limitent toutefois les licences : l’Intérieur n’équipe que 10 % de ses postes (hors gendarmerie), la Transition écologique 40 %.

La deuxième repose sur l’offre cloud Microsoft 365 utilisée par les ministères sociaux, la Culture, la DGAC, la DILA  ainsi que pour les besoins de l’OTAN et des Armées.

La troisième est celle du logiciel libre. La Gendarmerie nationale a abandonné les licences propriétaires au profit de LibreOffice, de messageries libres et de GendBuntu, une version de Linux déployée sur 72 000 ordinateurs.

La DGFiP a généralisé LibreOffice et Thunderbird depuis la fin des années 2000, avec des plateformes collaboratives internes.

Microsoft 365 : une interdiction de principe, des dérogations

Selon la doctrine « Cloud au centre » et les directives de la DINUM publiées en 2021, le recours à Microsoft 365 est en principe proscrit dans l’administration. Les données y sont hébergées sur des serveurs soumis aux lois extraterritoriales américaines (CLOUD Act), et le service n’est pas qualifié SecNumCloud.

Le Premier ministre a pourtant validé des dérogations temporaires pour les ministères sociaux et celui de la Culture, invoquant la cybersécurité et la modernisation.

La plupart de ces services envisagent de passer à l’offre Bleu, portée par Capgemini et Orange sur des technologies Microsoft, dès qu’elle obtiendra la qualification SecNumCloud.

La Cour relève que cette qualification, cinq ans après l’annonce de l’offre, n’est toujours pas acquise.

Une facture de 100 millions €

En 2025, l’État a consacré 100 millions € à la bureautique et aux outils collaboratifs, contre 67 millions en 2021.

Le budget se répartit ainsi :

• 61 millions pour les licences logicielles, dont 80 % reviennent à Microsoft et à Bleu ;
• 26 millions pour les prestations informatiques ;
• 13 millions pour la masse salariale interne.

Le coût moyen ressort à 87 € par poste et par an. Cependant, il existe des écarts  considérables : 20 € à l’Intérieur grâce au logiciel libr, contre 378 € à la Culture qui a souscrit à Microsoft 365.

Les magistrats de la rue Cambon estiment que généraliser les logiciels libres installés localement permettrait d’économiser entre 30 et 65 millions € par an.

Dans le cloud, une suite libre qualifiée SecNumCloud (environ 100 € par poste et par an) éviterait un surcoût annuel de 130 millions par rapport à Microsoft 365 ou Bleu (environ 250 €).

« La Suite » : une brique, pas encore un substitut

Développée par la DINUM pour 39,6 millions € cumulés entre 2021 et 2025, La Suite réunit des services comme Tchap (368 000 utilisateurs actifs fin 2025), Visio, France Transfert, Messagerie et Fichiers.

La Cour, qui avait déjà eu l’occasion de dire tout le mal qu’elle pensait du logiciel, constate qu’elle ne remplace pas, en l’état, Microsoft 365 ni Google Workspace.

L’offre développée par la Dinum ne propose ni application on premise, ni tableur et logiciel de présentation équivalents à Excel et PowerPoint. Ses modules Docs et Grist répondent à des besoins de coédition et de gestion de données légères.

La stratégie actuelle fait donc cohabiter ce socle collaboratif interministériel et des suites bureautiques classiques.

Quatre recommandations au Premier ministre

La Cour fixe l’échéance à 2027 et adresse au Premier ministre quatre recommandations.

Elle demande d’abord d’associer davantage l’ensemble des ministères à l’élaboration de la feuille de route et à la gestion de La Suite. Elle préconise ensuite d’étendre le pilotage de la DINUM à l’intégralité des outils bureautiques et collaboratifs de l’État.

Les magistrats appellent par ailleurs à faire évoluer le modèle de développement de La Suite, afin qu’elle s’appuie davantage sur les entreprises de l’écosystème du logiciel libre.

Enfin, ils recommandent de lancer un plan pluriannuel de trois à quatre ans pour converger vers une suite bureautique et collaborative libre, hébergée dans un cloud souverain, qu’il soit qualifié SecNumCloud ou interne à l’État.

The post Bureautique de l’État : la Cour des comptes plaide pour le logiciel libre appeared first on Silicon.fr.

On nous avait promis des économies d'énergie avec l'installation d'un compteur Linky : il n'en est rien. En revanche, il y a un acteur qui a largement profité du déploiement national de ces compteurs d'électricité, et c'est la Cour des comptes qui le dit.

Les manquements qui ont causé l’échec du projet Scribe sont suffisamment graves pour qu’il y ait sanctions.

La chambre du contentieux de la Cour des comptes en a décidé ainsi. Les amendes infligées sont largement symboliques (de 1 à 6000 €). L’identité des personnes concernées est plus significative. Parmi elles, deux anciens directeurs généraux de la police nationale*.

Un « exemple emblématique d’une conduite de projet défaillante »

Scribe avait démarré en décembre 2015. Devait en résulter un logiciel commun à la police et à la gendarmerie pour la rédaction des procédures. Gelé en mars 2021, il avait été officiellement abandonné l’année suivante.

Mi-2022, la Cour des comptes était revenue sur les facteurs de cet échec, présenté comme un « exemple emblématique d’une conduite de projet défaillante ». Son analyse soulignait, en particulier, une absence de cadrage, une expression de besoins jamais stabilisée et un pilotage éclaté ayant dilué les responsabilités.

La chambre du contentieux – qui juge des manquements graves à l’ordre public financier – en a repris les grandes lignes. Son arrêt distingue les défaillances de la maîtrise d’ouvrage (MOA) et de la maîtrise d’œuvre (MOE).

Les manquements de la maîtrise d’ouvrage

Les manquements de la MOA recouvrent trois axes :

• Défaillance structurelle du pilotage
• Exercice de l’autorité fonctionnelle sur la MOE
• Ignorance des prérogatives aux niveaux ministériel et interministériel

Un problème de positionnement hiérarchique

Sur le premier axe, la chambre du contentieux de la Cour des comptes liste une dizaine d’éléments à charge. Elle commence par le fait qu’au lancement du projet, la police nationale a placé la direction de la MOA au sein du cabinet de son directeur général (DGPN) plutôt que dans la première direction « métier » concernée, à savoir la DCPJ (direction centrale de la police judiciaire). Cela a perduré jusqu’à début 2021.

Un effectif insuffisant et une dispersion géographique

De mars 2016 à novembre 2017, l’équipe MOA n’a compté qu’une personne. Elle a atteint son maximum fin 2019, avec 12 personnes. L’appui apporté par la DCPJ (MOA déléguée) s’est révélé insuffisant. Et peu fonctionnel, en raison de l’implantation du service dans le Rhône.
D’autres directions de la DGPN ont contribué au projet. La configuration géographiquement dispersée a conduit le prestataire externe (Capgemini) à assurer une fonction d’assistance à MOA non prévue au contrat. Il s’est ainsi retrouvé dans un « rôle ambigu de juge et partie » pour la définition des spécifications fonctionnelles et l’organisation de la comitologie de pilotage.

Une confusion des responsabilités avec la MOE

Pendant la période où le projet était commun à la police et à la gendarmerie, aucun document n’a formalisé la relation entre ces deux MOA. Ni clarifié leurs responsabilités respectives dans leurs relations avec le ST(SI) (service des technologies et des SI de la sécurité intérieure). Ce service commun hébergé à la DGGN (direction générale de la gendarmerie nationale) était chargé de la MOE.

En l’absence de formalisation de la définition et de la conception du projet, la DGGN s’est autorisée à le quitter sans préavis ni information officielle de la DGPN. Par la suite, chaque entité – DGPN et ST(SI) – a conçu son rôle de manière autonome, entraînant une confusion des responsabilités. Le ST(SI) pouvait effectivement intervenir dans l’organisation d’ensemble du projet et dans la définition de ses besoins fonctionnels alors que cette responsabilité relevait de la MOA.

Une équipe partiellement intégrée et pas de directeur de programme

Pendant près de 2 ans, la cheffe de projet s’est déplacée 2 ou 3 jours par semaine chez le ST(SI), avant de finalement s’y installer en permanence. Quant aux agents de la MOA, ils sont restés dans le Rhône.

La Cour des comptes regrette aussi l’absence de désignation d’un directeur de programme. Après que la DGGN se fut retirée, la cheffe de projet MOA de la police nationale ne fut pas investie officiellement de ces fonctions qu’elle devait pourtant assumer de fait. Idem pour son successeur.

Un cadrage initial incomplet

L’exécution a également péché sur le cadrage initial. N’ont pas été formalisés, entre autres :

• Évaluation et bilan du logiciel existant à la police nationale
• Expression du besoin
• Étude des spécifications fonctionnelles auxquelles Scribe devait satisfaire
• Étude de faisabilité

Pas de responsable budgétaire clairement identifié

Les chefs de projet successifs n’ont reçu aucune délégation de signature en la matière et aucun responsable budgétaire n’a été désigné dans l’équipe de la MOA jusqu’à décembre 2021.

La lettre de mission remise en mars 2016 à la cheffe de projet prévoyait qu’elle assure le suivi de la trajectoire budgétaire de Scribe en lien avec le ST(SI). Elle ne s’est pas saisie de cette aspect, considérant que le ST(SI) assurait ce suivi par délégation du DGPN – ce qui n’était pas le cas.
Le deuxième chef de projet n’a pas reçu de lettre de mission. Et n’a pas non plus exercé de suivi budgétaire, étant seulement informé par le ST(SI) du montant des crédits engagés par ce dernier. Le troisième chef de projet a revendiqué une responsabilité budgétaire, mais n’a pas bénéficié de la délégation de signature nécessaire pour l’exercer.

Le suivi budgétaire en coût complet a pâti de l’absence de responsable. Le ST(SI) avait lui-même une visibilité incomplète. Il n’avait pas connaissance des commandes que la DGPN et la DNum (direction du numérique du ministère de l’Intérieur) passaient directement. Ni du coût de l’ensemble du personnel de la MOA.

Une comitologie au fonctionnement épisodique

Au démarrage, du projet Scribe, il n’existait pas de comitologie. Les instances se sont établies « progressivement et empiriquement », selon des configurations variables. Elles n’avaient pas de calendrier méthodique ni de compte rendu des réunions et des décisions prises.

Les manquements de la maîtrise d’œuvre

Sur le papier, DGGN et DGPN avaient autorité conjointe sur le ST(SI), MOE du projet. Dans la pratique, son rattachement organique à la DGGN, sa direction par un général de gendarmerie et son effectif composé majoritairement de gendarmes ont rendu les choses difficiles pour la police.

La DINSIC saisie tardivement

L’ignorance des prérogatives aux niveaux ministériel et interministériel s’est manifestée essentiellement par la saisine tardive de la MGMSIC (mission de gouvernance ministérielle des systèmes d’information et de communication, compétente pour approuver le lancement de projets informatiques) et, de ce fait, de la DINSIC (actuelle DINUM). Alors même que le projet répondait d’emblée aux critères de sensibilité et de conséquences potentielles sur les SI du ministère de l’Intérieur. Et que le franchissement du seuil de 9 M€ (au-delà duquel la DINSIC devait être saisie pour avis conforme) était prévisible « avant la fin de 2018 ». Cette saisine tardive a différé la constitution formelle, par la MOA et la MOE, de dossiers complets retraçant les perspectives du projet. Elle a également privé la DGPN d’avis circonstanciés sur les éventuelles options.

Un défaut de maîtrise interne…

La MOE a aussi manqué de moyens humains. Quatre ans se sont écoulés entre le lancement du projet Scribe et l’affectation d’un chef de projet à temps plein. L’effectif a évolué de 2 équivalents temps plein en 2016 à 4 ETP en 2020-2021. Ce qui ne pouvait suffire, malgré les renforts sollicités auprès d’une autre société de conseil que Capgemini.

Autre problème : une maîtrise insuffisante des éléments techniques utilisés. Le ST(SI) n’était compétente que sur deux des technologies retenues. Toutes les autres étaient indiquées comme nécessitant le recours à des compétences externes.

… et du contrôle de la relation avec Capgemini

Ce dernier élément prend d’autant plus de sens à la lumière du défaut de contrôle du prestataire externe (Capgemini, donc). Deux marchés ont été conclus successivement, selon des stipulations différentes. D’abord, en décembre 2015, pour 4 ans, un contrat TMMA (tierce maintenance multi-applicative) et ACS (assistance aux centres de services). Il prévoyait la mise à disposition de moyens d’appui auprès de la MOE. Sans obligation de résultat pour l’ACS ; avec pour le TMMA sur les prestations sollicitées par bons de commande. Le deuxième marché, notifié en mars 2020 pour 2 ans, portait sur la maintenance de 5 applications, dont Scribe.

Le premier marché fut conclu tandis que le projet était commun à la DGPN et à la DGGN. Lorsque cette dernière s’est retirée, le ST(SI) a continué à y recourir alors que la MOE avait changé de nature, le projet étant limité à la DGPN, avec peu de personnel engagé. Capgemini est de fait devenu chargé de développer l’application. Il a dès lors travaillé seul, sans obligation de résultat sur les prestations ACS facturées au temps passé. Les prestations de TMMA n’étaient quant à elles pas mobilisables tant que Scribe n’avait pas atteint le stade de mise en exploitation. Malgré cette inadaptation, le marché est allé à son terme.

Le deuxième marché avait astreint Capgemini à une obligation de résultat pour les prestations sollicitées par bon de commande. Mais son objet apparaît prématuré au regard de l’état de développement de Scribe, juge la Cour des comptes. L’équipe qu’a mobilisée l’ESN s’est par ailleurs révélée insuffisamment compétente et organisée.

Une faute collective à 30 M€

La chambre du contentieux évalue à environ 30 M€ le préjudice direct subi par l’État. Elle estime qu’il trouve entièrement son origine dans la gestion des années 2016 à 2022. Compte tenu des enjeux de Scribe, l’ensemble constitue, ajoute-t-elle, une faute grave… collective : il est impossible d’attribuer à l’une ou l’autre personne un manquement qui serait la cause majeure de l’échec.

Le retrait unilatéral et soudain de la gendarmerie nationale a fait office de circonstance atténuante. Tout comme les insuffisances dans la gouvernance du projet par le secrétariat général du ministère de l’Intérieur.

L’arrêt date du 30 juin 2026. Il pouvait être contesté devant la Cour d’appel financière dans un délai de 2 mois.

* Le premier fut en fonction de juin 2014 à août 2017. Il écope de 4000 € d’amende. Le second avait pris sa suite, jusqu’en février 2020. Il reçoit une amende de 2000 €. Leurs noms ne figurent pas dans l’arrêt de la chambre du contentieux, ce que nous respectons ici. Les quatre autres personnes concernées sont :

– Un ancien conseiller du DGPN pour les technologies et le numérique (6000 € d’amende)
– Un ancien chef du ST(SI) (6000 € également)
– Deux anciens chefs de projet (1 € symbolique pour chacun)

Illustration © kwanchaift – Adobe Stock

 

The post Scribe, ce projet d’État qui a tourné à la faute grave collective appeared first on Silicon.fr.

Depuis 2019, la CNIL recrute systématiquement ses agents contractuels en CDI… et c’est discutable.

Tel est l’avis de la Cour des comptes. Ce choix, estime-t-elle, a contribué à un accroissement de masse salariale dont le rythme n’est plus tenable vu la situation générale des finances publiques.

D’autres éléments de politique RH l’ont interpellée à ce même titre. Par exemple, une tendance à contourner les grilles indiciaires au moment du recrutement. La CNIL positionne en l’occurrence ses agents sur des catégories plus favorables. Il en a été ainsi d’au moins 10 juristes – compétence pourtant non rare, souligne la Cour des comptes – recrutés en CDI en 2023-2024. On les a positionnés d’office sur le 4^e échelon de la catégorie A3 alors qu’ils sortaient d’études supérieures ou avaient moins d’un an d’expérience professionnelle.

« CDI = attractivité » : dans le cas de la CNIL, la Cour des comptes ne reçoit pas l’argument

Autre sujet : le décompte des RTT. Chaque année, les journées sont créditées par anticipation. Une campagne semestrielle de décrémentation permet de retirer les RTT perdues du fait de l’absence pour maladie. Ce n’est pas suffisant, affirme la Cour des comptes. La réglementation prévoit effectivement de défalquer l’ensemble des jours non travaillés, sauf autorisations spéciales d’absence pour raisons syndicales. Dans ce contexte, 223 jours attribués en 2024 auraient du être pris en compte pour la réduction des RTT mais ne l’ont pas été. En parallèle, la CNIL a choisi, à tort, de ne pas décompter les absences liées à la parentalité.

Le recours systématique au CDI pour les agents contractuels figure dans le règlement de gestion depuis 2019. La CNIL le présente comme un argument d’attractivité, l’impact du RGPD ayant créé un marché concurrentiel parmi les spécialistes de la protection des données.
Même si la commission rédige ses contrats pour permettre une certaine flexibilité dans l’allocation des agents aux postes, cette pratique rigidifie la gestion RH. Elle permet par ailleurs aux agents de prendre un congé pour mobilité de deux fois 3 ans maximum (ils peuvent suspendre leur CDI pour travailler dans une autre structure tout en bénéficiant d’un droit de retour).

La CNIL est déjà attractive, considère la Cour des comptes. Elle en veut pour preuve les 245 candidatures externes reçues en moyenne pour chacun des 50 postes ouverts au recrutement en 2024 et au premier semestre 2025 (hors emploi d’encadrement). De surcroît, une partie des postes ne correspond pas à des compétences en tension. La commission compte, notamment, assez peu de postes à dominante technique (57, vs 125 à dominante juridique).

Masse salariale : l’atelier de repro pour exemple

La masse salariale représente 86 % du budget de la CNIL. Celui-ci a connu une hausse significative entre 2017 (17 M€) et 2024 (28,2 M€), porté par un relèvement du plafond d’emplois exécutés (passage de 195 à 277 ETP).

Depuis 2017, la CNIL occupe un bâtiment à Paris où sont regroupés des services du Premier ministre et des autorités administratives indépendantes. Elle a maintenu son propre atelier de reprographie alors qu’un atelier mutualisé « se trouve à quelques dizaines de mètres », pour reprendre les mots de la Cour des comptes.

Cet atelier occupe un agent. Il a coûté 7800 € de location de matériel d’impression en 2024, alors que son activité est plutôt modeste (environ 50 000 pages par mois en 2023). Cela n’empêche pas la CNIL d’externaliser des impressions (27 500 € en 2023, puis 15 400 € en 2024), justifiées par des besoins à courte échéance (avant chaque collège du jeudi matin) et par la réalisation de formats originaux en interne (affiches, cartes postales…). Elle n’est pas favorable à une mutualisation au nom de la réactivité, mais aussi de l’indépendance : il lui faut imprimer des projets d’avis sur des textes du Gouvernement, voire des sanctions à son encontre.

La Cour des comptes relève que les services du Premier ministre se disent en capacité d’absorber le volume de la CNIL. Elle note aussi qu’ils assurent déjà les impressions d’autres autorités administratives indépendantes et de cabinets ministériels, dont les documents ne sont pas moins confidentiels.

Un voyagiste privé à la plus-value incertaine

La CNIL rembourse les frais de déplacement des commissaires dont la résidence familiale et administrative est hors Île-de-France. Pour certains, a Cour des comptes juge discutable le recours au taxi à des horaires « ni matinaux ni tardifs », vu la disponibilité de transports interurbains.

Autre point qui l’alerte : le recours au voyagiste privé dont disposent les services du Premier ministre. Leur DSAF (direction des services administratifs et financiers) réceptionne les demandes de la CNI et les rentre dans le logiciel Chorus-Déplacements Temporaires. Elle accède alors à l’offre et peut réserver instantanément, comme sur une plate-forme de voyages grand public. La Cour des comptes s’interroge ainsi sur la plus-value du voyagiste, d’autant plus que le système s’avère bien plus coûteux que la réservation directe. Et que le marché passé avec ce prestataire ne prévoit aucun bordereau de prix ni mécanisme de contrôle de ces prix.

La CNIL invitée à s’inspirer du collège de l’Autorité de la concurrence

La taille du collège – 18 membres, ce qui place la CNIL dans le peloton de tête des autorités administratives indépendantes – complique la gestion. Elle peut engendrer des débats plus longs et des enjeux en termes d’harmonisation des connaissances et des pratiques.

À l’exception de la présidente, aucun membre n’est affecté à temps plein à la CNIL. Dans un contexte de croissance de l’activité, cela pose la question de leur disponibilité pour siéger. A fortiori à mesure que croît le besoin de professionnalisation sur des aspects de plus en plus techniques. La Cour des comptes appelle à s’inspirer de l’Autorité de la concurrence. Sur 17 membres, son collège comprend 4 vice-présidents qui sont à temps plein.

Chaque année, certains commissaires ont été payés davantage de vacations que le nombre de séances. La CNIL a effectivement doublé la rémunération pour les séances plénières prévues le matin mais qui se sont poursuivies dans l’après-midi. Ce par analogie avec d’autres activités payées à la demi-journée (activités européennes, exercice de droit indirect). Or, selon la Cour des comptes, il s’agit matériellement d’une seule et même séance, dotée d’un unique procès-verbal et d’une unique présidence. En l’état, le doublement de la rémunération n’est pas fondé.

Habilitation des agents : une procédure d’enquêtée jugée insuffisante

En cas de conflit d’intérêts, les membres du collège doivent s’abstenir de siéger. Les agents doivent quant à eux informer leur supérieur hiérarchique, qui les dessaisit.

Les déports sont bien recensés au fil de l’eau dans les PV de la séance plénière et de la formation restreinte. Mais la CNIL n’a pas de registre centralisé des déports édictés ex ante, soit par la HATVP (avant nomination d’un membre, d’un secrétaire général ou de son adjoint), soit par le supérieur hiérarchique (préalablement à l’embauche d’un agent) Elle n’a par ailleurs pas de suivi des provenances des agents recrutés. Ce qui rend impossible le recensement des mobilités entrantes susceptibles de présenter un risque de conflit d’intérêts.

La Cour des comptes s’arrête aussi sur l’habilitation des agents chargés des vérifications. Elle regrette que l’enquête de sécurité se limite à la vérification de l’absence de condamnation à une peine correctionnelle ou criminelle inscrite au bulletin n^o 2 du casier judiciaire.

Saisines pour avis : la CNIL à la peine sur le respect des délais

La mise en œuvre de certains traitements de données suppose une saisine préalable de la CNIL. Celle-ci formule un avis simple non contraignant. La démarche concerne exclusivement le secteur public.

Saisie d’une demande d’avis sur un projet de loi ou de décret touchant à la protection des données personnelles, la CNIL a 2 mois pour se prononcer (délai prolongeable par la présidence). Même timing pour les demandes d’avis spontané de la part des pouvoirs publics. Pour les traitements relatifs à la sécurité, la sûreté et la recherche d’infractions, le délai de base est de 8 semaines.

La commission peine à tenir les délais. En 2023, la durée moyenne de procédure fut de 114 jours calendaires. En 2024, de 75 jours.

Sur ces deux années, 55 % des saisines ont dépassé le délai de 60 jours… ouvrés. C’est effectivement la métrique que retient la CNIL, arguant qu’elle seule compte du point de vue des personnes morales. La Cour des comptes rétorque que cela ne correspond pas aux règles. Et invite par conséquent la commission à réformer sa méthode de calcul.

Une vision incomplète de l’écosystème des DPD

Les circuits de diffusion de l’information auprès des DPD (délégués à la protection des données) ne sont pas toujours clairs. Selon les cas, ils sont sont ou non informés des contrôles, plaintes ou questionnaires adressés aux directions métiers.

Sur des demandes précises, il leur est difficile d’obtenir une position ferme de la CNIL. Ainsi qu’un interlocuteur unique (la permanence téléphonique peut, à l’occasion, apporter des réponses contradictoires, précise la Cour des comptes).

La relation avec les DPD se caractérise plus globalement par une logique de flux. La CNIL n’a pas les outils pour développer une vision plus stratégique. Sa base de données des DPD est incomplète. Elle est dépourvue d’une carte sur les traitements de données de l’État.

Préinstruction des plaintes : un contrat de prestation à renégocier

Entre 2017 et 2024, le volume annuel de plaintes adressées à la CNIL a progressé de 113 % (le nombre de plaintes recevables augmentant de 77 %). Les notifications de violation de données personnelles ont connu une croissance similaire (de 2284 en 2019 à 5629 en 2024).

Dans le même temps, le nombre d’agents chargés du suivi des plaintes a augmenté de 70 %. En parallèle, la CNIL a engagé un prestataire chargé de la préinstruction (tri des plaintes les plus simples selon 18 scénarios de réponses-types). Ce prestataire (1 personne à temps plein) a traité 3228 plaintes en 2023 puis 3450 en 2024. Coût forfaitaire : 168 564 € par an, soit 49 € par saisine en 2024. Un contrat correctement exécuté, mais dont la Cour des comptes invite à renégocier le contenu et le prix lors du renouvellement du marché en 2026.

Un suivi parcellaire du traitement des plaintes

Depuis 2022, le délai moyen de réponse définitive s’est stabilisé, à un peu plus de 6 mois. Ce qui reste relativement élevé, d’après la Cour des comptes. D’autant que si on se limite aux plaintes recevables, le délai moyen a atteint 309 jours en 2024.

Le pilotage de l’activité n’aide pas. La CNIL n’est pas en mesure de distinguer, sur l’ensemble des plaintes, celles qui font l’objet d’un traitement par la direction des contrôles et des sanctions. Elle ne comptabilise pas le nombre de rappels à la loi envoyés aux mis en cause. Et ne documente pas, dans son outil de gestion, les raisons de la clôture du dossier. Il n’est donc pas possible d’analyser de manière fiable le traitement de la majorité des plaintes recevables, en termes d’objet, de suites données et de délais de traitement.
Pas possible non plus de connaître le délai de traitement moyen des plaintes ayant donné lieu à mesure correctrice ou sanction, du fait de la dissociation des activités de plainte et de contrôle et sanction.

La présidente de la CNIL reconnaît le besoin d’intensifier le pilotage. Elle souligne que depuis mi-février, la commission bénéficie – à sa demande – d’un accompagnement de la DITP (direction interministérielle de la transformation publique).

Illustration générée par IA

The post La soutenabilité budgétaire de la CNIL questionnée appeared first on Silicon.fr.

« Sous tension, appelant une refonte urgente » : ainsi la Cour des comptes présente-t-elle la situation de certains SI à la sécurité sociale.

Pour d’autres, elle n’emploie pas ces termes, mais le constat de fond est le même : ancienneté, vétusté, voire obsolescence.

Des SI des années 90 aux capacités d’évolution limitées

À la CNAF (Caisse nationale d’allocations familiales) et à la CNAV (Caisse nationale d’assurance vieillesse), la fréquence des réformes sollicite fortement les SI et retarde d’autant plus leur modernisation.

Cristal, l’applicatif central de la CNAF, a été déployé en 1998, avec un langage devenu obsolète. Son pendant à la CNAV, nommé L’Outil retraite, a été conçu dans les années 90 et mis en production en 2003. Leurs capacités d’évolution sont limitées. Alors même que sous l’effet des réformes, les prestations servies se sont diversifiées et les interactions avec d’autres systèmes se sont multipliées.

Le SI de la CNAF assure le paiement mensuel de prestations à 13,5 millions d’allocataires. Mais la capacité de stockage des bases de données est sous-dimensionnée. Ce qui provoque des ralentissements voire des interruptions de traitement.

Les limites de Cristal, combinées à la volonté politique d’une mise en œuvre rapide de la réforme de l’intermédiation financière des pensions alimentaires à partir de 2017, ont conduit à développer un SI ad hoc. L’extension du périmètre de la réforme, achevée en 2023, nécessite de réorganiser ce SI. Et de le reconnecter au système central… pour un coût estimé à 10,5 millions d’euros.

La « méthode Excel » pour les aides au logement… entre autres

En 2021, la réforme de l’aide au logement a aussi posé des difficultés importantes. Il s’agissait de calculer les APL non plus à partir de l’avis d’imposition de l’année n-2, mais des données des mois m-2 à m-13 du dispositif de ressources mensuelles. Celui-ci centralise les informations déclarées via la DSN (déclaration sociale nominative) et le prélèvement à la source pour les autres revenus. Mais à peine lancé, il a mal pris en compte certains revenus qu’il centralisait ou que les allocataires devaient déclarer eux-mêmes.

Parallèlement, craignant que Cristal ne puisse absorber les effets de la réforme, la CNAF a refondé son organisation informatique. Les droits devaient être calculé par un nouveau SI qui serait ensuite étendu à toutes les prestations. Le paiement demeurerait géré dans Cristal.
Les problèmes d’interface entre les deux SI ont provoqué des retards et des erreurs de liquidation pendant près de 18 mois. La recherche des économies budgétaires attendues de la réforme (1,3 Md€/an) avait conduit à mettre cette dernière en œuvre alors que des anomalies subsistaient. La coordination fut en outre délicate avec le ministère du Logement. Lequel ne disposait pas des compétences requises, malgré le recours à des prestataires.

Pour plusieurs réformes, il a été décidé de contourner les difficultés en calculant les prestations sous Excel, en dehors des SI, avec un report manuel. Ces procédures (27 « calculatrices » à la CNAV, 37 à la CNAF) allongent les temps de saisie. Elles engendrent des coûts de gestion et augmentent les risques d’erreur. Si les caisses locales de la CNAV les contrôlent « de manière exhaustive », ce n’est pas le cas à la CNAF.

Dette technique : ni la CNAF, ni la CNAV ne sait estimer le coût de résorption

La CNAV estime à 30 M€ les moyens qu’elle peut consacrer à réduire sa dette technique entre 2023 et 2027. Aucune des deux caisses ne sait estimer le coût de sa résorption complète, note la Cour des comptes.

Les réformes mobilisent environ la moitié des capacités informatiques allouées à la modernisation des SI. La transformation engagée en 2020 à la CNAV devait durer une dizaine d’années. Elle accuse du retard. La CNAF en a encore plus. Elle peine à reprendre ses travaux après la tentative de création d’un nouveau SI lors de la réforme des aides au logement en 2021.

En 2024, les dépenses informatiques se sont élevées à 238 M€ à la CNAF. Elles ont atteint 290 M€ à la CNAV – qui est aussi l’opérateur informatique des plus importants projets interbranches de la sécurité sociale.

Pour le compte pénibilité, de nombreuses fonctions gérées manuellement

La loi de 2014 qui a augmenté le nombre de trimestres requis pour liquider sa retraite à taux plein a aussi créé le C3P (compte personnel de prévention de la pénibilité).

Ce dispositif permet de prendre en compte l’altération de l’état de santé des salariés exposés à des travaux pénibles pendant leur carrière. Son pilotage a été confié à la CNAV, qui en a conçu le SI. Un des langages informatiques est devenu rare. Un autre n’est plus sécurisé depuis 2012.

En 2017, le C3P est devenu C2P (compte professionnel de prévention). Les modifications apportées à ses modalités ont nécessité de faire évoluer l’outil informatique.

La CNAM, qui s’était vu confier le pilotage en 2018, avait délégué la maintenance à la CNAV. La COG (convention d’objectif et de gestion) 2018-2022 de la branche AT/MP (assurance accidents du travail et maladies professionnelles) ne prévoyait pas de moyens pour le C2P. Sur recommandation de l’inspection générale des affaires sociales, la COG suivante a corrigé le tir. Mais elle n’a été signée que mi-2024. Dans l’intervalle, la CNAV a continué à maintenir le SI selon ses propres priorités. Avec les moyens humains limités, l’obsolescence technique s’est accumulée. Les risques de sécurité avec. Et les modifications qu’exigeait la réforme des retraites ont pris du retard.

Depuis 2023, le SI n’est plus connecté à l’outil de production automatique d’incidateurs de suivi. De nombreuses fonctions sont gérées manuellement. Le transfert du développement informatique à la caisse d’assurance retraite et de santé au travail (CARSAT) Sud-Est, chargée du SI de la branche AT/MP, ne s’est achevé qu’en août 2025 (4 ETP affectés).

L’absence d’un logiciel comptable unifié

Face aux insuffisances comptables et en matière de contrôle interne, la Cour des comptes appelle à ouvrir des chantiers SI.

En l’état, la sécurité sociale n’a pas de logiciel comptable unifié. Le logiciel Sinergi, développé pour la CNAV entre 2010 et 2013, est celui qui s’en rapproche le plus. Sa mutualisation a démarré en 2016. Elle a englobé la caisse des avocats et celle des clercs et employés de notaires, ainsi que les régimes des indépendants, du personnel ferroviaire, des marins, des professions libérales, des cultes et des industries électriques et gazières. La CNSA (Caisse nationale de solidarité pour l’autonomie) doit s’y ajouter à compter de fin 2026. Un déploiement à la CNAM était prévu dans le cadre de la COG 2023-2027. Mais cette caisse s’oriente désormais vers la mise en chantier de son propre système.

La CNAF a son propre SI comptable, plus ancien et spécialisé. Idem pour l’ ACOSS (Agence centrale des organismes de sécurité sociale), qui a Sicomor. Celui-ci fut conçu en 1994 pour comptabiliser les cotisations et contributions sociales réparties entre les branches et les régimes attributaires en s’interfaçant avec l’environnement informatique de l’URSSAF. Une refonte est dans les tuyaux.

L’absence de logiciel mutualisé induit des traitements manuels et des latences dans les échanges d’information. Elle ne facilite pas la production de comptes infra annuels, relève la Cour des comptes. Ni la réponse à l’obligation européenne par laquelle la commission des comptes de la sécurité sociale publie trimestriellement sur son site des « comptes mensuels ». Les échanges entre organismes en vue des opérations de clôture manquant par ailleurs d’automatisation, le calendrier d’arrêté des comptes s’allonge.

Des processus financiers réalisés dans des applicatifs de contournement

Dans la branche maladie, le moteur historique Iris est en cours de remplacement. Son successeur : le système Météore, issu d’un partenariat avec la MSA (Mutualité sociale agricole). Ce logiciel permet de déployer des contrôles embarqués préalables à la mise en paiement des prestations. La CNAM en fait usage pour vérifier la conformité du remboursement et des délivrances en pharmacie. En revanche, le remplacement du logiciel de liquidation des indemnités journalières d’arrêt de travail rencontre des difficultés de déploiement.

À la CNAV, la vétusté – sus-évoquée – de l’Outil retraite entraîne la réalisation de nombreux processus financiers dans des applicatifs de contournement. À la CNAF, Cristal occasionne les mêmes problèmes.

Dans la branche autonomie, les SI restent éclatés. Quant à l’ACOSS, elle a fait évoluer son système pour identifier l’information des cotisations à l’échelle de chaque salarié et non plus seulement des établissements cotisants… mais la bascule complète n’interviendra que dans le cadre de la COG 2028-2032.

Entre les branches du régime général, les données de gestion des bénéficiaires ne sont pas nativement partagées, chaque réseau disposant de ses propres SI, ajoute la Cour des comptes.

L’ajustement « chaotique » des logiciels des chirurgiens-dentistes

En 2025, une réforme a annualisé l’examen bucco-dentaire des jeunes patients. Le nombre d’examens a cependant peu progressé (+ 25 %) en rapport à la croissance de la population éligible (x 3). Cela s’explique en partie par un retard au démarrage (report de l’entrée en vigueur de la réforme de janvier à avril). L’ajustement « chaotique » des logiciels métier des chirurgiens-dentistes n’y est pas étranger.

L’assurance maladie prend en charge l’examen annuel qu’à hauteur de 60 %. Le principe du tiers payant ayant été maintenu, cet ajustement s’est avéré nécessaire pour avoir un double flux d’information vers les assurances maladie obligatoire et complémentaire. Une révision lancée sans test avant déploiement et sans accompagnement suffisant de la profession. À la rentrée 2025, environ 5000 praticiens ne l’avaient toujours pas mise en œuvre, certains s’y opposant.

Hospitalisations inadéquates : l’informatique a son rôle

Le Cour des comptes s’arrête aussi sur les hospitalisations inadéquates. Pour les réduire, elle souhaite un renforcement de l’animation régionale et territoriale. À ce sujet, elle explique notamment que beaucoup de groupements hospitaliers de territoire n’ont pas encore mis en œuvre d’applications unifiées d’ordonnancement des lits pour optimiser la gestion des capacités sur différents sites.

Au niveau national, il existe un référentiel de l’offre des ressources en santé et médico-social (ROR) qui diffuse la disponibilité en lits. Mais l’information en temps réel n’est pas fiable. Et dans certaines régions, le ROR fait doublon avec d’autres outils. Le rendre opérationnel à bref délai suppose que les ARS (agences régionales de santé) accompagnent les établissements afin d’éviter les tâches de saisie par les équipes faute d’interopérabilité entre des SI.

Sanctuariser les moyens du SI… mais « pas au détriment d’autres lignes budgétaires »

La CNAF assure avoir défini sa feuille de route de modernisation du SI, qui « suit pleinement sa trajectoire ». Elle affirme veiller à « réinternaliser les savoirs faire [sic] essentiels à la conduite des projets ». La caisse d’allocations familiales ajoute être favorable à la sanctuarisation des moyens du SI… « sous réserve que ce ne soit pas au détriment d’autres lignes budgétaires ».

La CNAV confirme que plusieurs chantiers sont en cours pour améliorer le pilotage du C2P. Elle cite la mise en œuvre d’un nouvelle gouvernance SI à la suite du transfert de 2025. Autre promesse : la sécurisation par le remplacement de technologies obsolètes. Il est aussi question de mettrre en place un reporting automatisé.

Illustration générée par IA

The post À la sécurité sociale, des SI vieillissants et sous tension appeared first on Silicon.fr.