Arrêt de la Cour des comptes sur le projet SCRIBE – à lire très attentivement pour les RSSI, DSI, DPO, MOA, MOE et le reste

Déjà, j’ai appris à cette occasion que la Cour des comptes avait un pouvoir de sanction. Ok désolé je ne savais pas, 3 génuflexions et 18 pompes. Premier étonnement.

Ensuite, 6 personnes ont été condamnées à des amendes, et cela intuitu personæ, allant de 1 euro symbolique à 6 000 euros (pas énorme, mais tout de même). Deuxième étonnement, je ne savais pas que l’on pouvait être condamné intuitu personæ pour une faute qui n’est pas détachable du service. La Cour s’appuie sur l'instruction ministérielle du 26 mars 2015 relative à la gouvernance des systèmes d'information et de communication (SIC) du ministère de l'Intérieur qui imposait : huit jalons méthodologiques (opportunité, faisabilité, contractualisation, conception, réalisation, VABF, VSR, fin de projet), une séparation claire MOA/MOE, une équipe intégrée colocalisée, un directeur de programme, et la saisine obligatoire de la MGMSIC (niveau ministériel) puis de la DISIC (au-delà de 9 M€, décret du 1ᵉʳ août 2014). La Cour retient que cette instruction, d'application immédiate, « fait partie du corpus de règles relatives à l'exécution des dépenses […] dont la violation est susceptible de mettre en jeu la responsabilité des gestionnaires publics » (point 26 de l’arrêt). Et d’ailleurs, à un moment, la Cour cesse de chercher à savoir qui a fait quoi ou n’a pas fait quoi, et part sur le principe de responsabilité collective et une responsabilité indivisible.

Et là ça commence à piquer : on n’est pas dans une violation caractérisée des textes les plus hauts de la République (Constitution, loi) mais dans un des derniers de la liste de préséance. Voici la liste des griefs principaux retenus contre les 4 agents qui ont été condamnés aux amendes les plus lourdes (je cite) :

• lancement sans note d'opportunité ni de faisabilité, absence de budget défini, comitologie quasi inexistante ;
• défaut de surveillance hiérarchique pendant la phase de paralysie progressive ; pas de saisine de la MGMSIC ni de la DINSIC ;
• défaut de diligence dans le pilotage sur la quasi-totalité du cycle de vie du projet ; alertes transmises jugées insuffisantes ;
• rôle central en première ligne, moyens humains insuffisants alloués à la MOE, connaissance des rapports d'audit sans alerte suffisamment ferme.

Vous noterez que dans les 2 derniers de la liste, la Cour constate des alertes mais les juge insuffisantes. Pour l’un des agents (en poste pendant toute la durée du projet) les alertes ont été jugées insuffisantes et surtout non suivies de propositions d’actions correctives. Pour l’autre c’est plus flou, il semblerait que ses alertes n’étaient pas suffisamment claires. Apparemment le critère implicite de la Cour n'est donc pas « avez-vous alerté », mais « votre position vous donnait-elle la capacité réelle d'obtenir une décision différente avec ces alertes ».

Évidemment, à ce stade, on en est tous à se poser deux questions :

• en tant que DPO, je risque quoi ;
• en tant que RSSI, je risque quoi.

Vous aurez beau blinder vos fiches de poste (pour DPO c’est facile y’a les textes, pour RSSI nada il faudra réutiliser celle du CIGREF qui est déjà hyper complète), ce qu’il faut retenir si vous ne voulez pas vous retrouver debout devant des gens en robe noire :

• la leçon n'est donc pas « avoir raison sur le fond », c'est : documenter une diligence proportionnée à votre pouvoir réel ;
• clarifier votre périmètre de décision ; fiche de poste, procédure d’homologation, etc. ;
• conserver les traces des décisions contraires à vos recommandations ;
• formaliser les alertes ;
• tracer les demandes de moyens ;
• ne surtout pas intervenir sur un périmètre qui n’est pas le vôtre ; aucune raison que vous partagiez les paires de baffes des copains ;
• documenter le processus de décision des projets SI structurants, par exemple dans la PSSI ;
• faire acter tout manque de moyen.

Vous allez rire – ou pas. Tout cela est dans la 27001.

Après on peut avoir deux lectures de ce jugement :

• la Cour a tapé sur des pauvres agents qui avaient le malheur de se trouver là au mauvais moment ;
• la Cour a clairement dit : il n’est pas possible que 250M partent en fumée, avec autant de cadres dans la chaîne hiérarchique dont aucun n’a su dire stop avant la Bérézina.

Mon pronostic est : l’esprit du temps a l’air de tourner clairement vers la seconde version, de plus en plus. Alerter ne suffit plus, il faut montrer que l’on a utilisé tous les outils en notre possession.

[1] https://www.ccomptes.fr/fr/publications/ministere-de-linterieur-projet-scribe

[2] https://www.ccomptes.fr/fr/contentieux/regime-responsabilite-gestio