Projet Scribe : y a-t-il un pilote dans l’avion ? Les enseignements de la Cour des comptes

En février 2026, la procureure générale près la Cour des comptes avait, en effet, renvoyé devant la chambre du contentieux deux anciens directeurs généraux de la police nationale (DGPN), un ancien conseiller du DGPN pour les technologies et le numérique, un ancien chef du service des technologies et des systèmes d'information de la sécurité intérieure et deux anciens chefs de projet « logiciel de rédaction des procédures nouvelles génération », pour des faits constitutifs d'une faute grave ayant entraîné un préjudice financier significatif au sens de l'article L. 131-9 du code des juridictions financières.

Au regard du montant total de la catastrophe financière, l’écosystème SI a pu légitimement être surpris par la faiblesse des pénalités infligées aux différents mis en cause, à savoir 6 000 € pour l'ancien conseiller technologies et pour l'ancien chef du service SI, 4 000 € et 2 000 € pour les deux anciens DGPN, et un euro symbolique pour chacun des deux chefs de projet. Ajoutons que les deux exécutants paient un euro parce que leurs lettres de mission étaient ambiguës et imprécises, ambiguïté imputée à leur autorité hiérarchique.

Comment, au terme d’une décision de 56 pages, la Cour des comptes a-t-elle pu parvenir à cette solution ?

Une faute collective, un préjudice indivisible

L'arrêt de la Cour repose, en droit, sur l'article L. 131-9 du code des juridictions financières, qui exige la réunion de trois conditions, à savoir la violation d'une règle d'exécution des dépenses, des recettes ou de gestion des biens, d’une part, la gravité de la faute, d’autre part, et un préjudice financier significatif, de dernière part.

Les manquements relevés sur la période 2016-2022 ne procèdent pas d'une erreur unique ni d'un seul décideur, mais d'un ensemble indissociable de carences : défaut de cadrage initial, sous-dimensionnement de la MOA et de la MOE, confusion des rôles, absence de responsable budgétaire, absence de suivi en coût complet, comitologie irrégulière, saisine tardive des instances de gouvernance, insuffisance de maîtrise du prestataire, etc. La Cour qualifie cet ensemble de "faute collective" et surtout d'"infraction complexe" (Cf. points 109 et 110 de la décision). Un rapport d'audit de novembre 2014 avait même formulé 32 recommandations sur le contrôle interne des marchés SI ; une seule avait été prise en compte au lancement du projet.

Le préjudice direct est évalué à 30,21 M€, dont 14,48 M€ dépensés de 2016 à 2021 et 15,73 M€ dépensés de 2022 à 2025 ou prévus jusqu'en 2029, les seules prestations externes s'élevant à 9,86 M€ HT. Deux conséquences en découlent, lourdes de sens pour tout responsable de programme SI.

Quelles conséquences ?

Première conséquence, la causalité n'a pas à être exclusive. La faute d'un intervenant n'efface pas celle d'un autre, chacun pouvant être coauteur pour avoir contribué à l'ensemble. L'argument consistant à soutenir que « ce n'est pas moi, c'est le prestataire, ou l'arbitrage budgétaire, ou la direction générale » est inopérant. Deuxième conséquence, le préjudice indivisible est imputable en totalité à tous ceux qui y ont contribué, quelle que soit la durée ou le moment de leur intervention. N'avoir piloté qu'une phase du projet ne réduit pas pour autant la part de préjudice pesant sur le raisonnement.

Si la gravité de la faute s'apprécie globalement, la responsabilité de chaque justiciable s'apprécie individuellement, sur sa participation personnelle, même lorsque ses manquements pris isolément ne seraient pas considérés en soi comme étant graves. La Cour a également retenu des circonstances atténuantes générales valables pour tous, tenant au retrait unilatéral et soudain du projet par la gendarmerie nationale et aux insuffisances de gouvernance du secrétariat général du ministère.

Troisième et dernière conséquence, le caractère significatif du préjudice s'apprécie relativement, c’est-à-dire au regard des crédits de la police nationale pour quatre responsables, mais rapportée au seul budget du projet pour les chefs de projet, cercle plus étroit, plus sévère.

Ce que cela change pour les DSIO

La disparition de la Cour de discipline budgétaire et financière au 31 décembre 2022 et l'entrée en vigueur, depuis le 1^er janvier 2023, du régime unifié issu de l'ordonnance du 23 mars 2022 ont déplacé le centre de gravité du contentieux financier des comptables vers les ordonnateurs et les gestionnaires. Les directeurs d'établissement public de santé, agents d'établissements publics et ordonnateurs des recettes et des dépenses, sont désormais entrés dans le champ des justiciables. Un DSIO, qui n'est ni ordonnateur ni comptable, y entre, lui, par le pilotage. Si la chaîne des responsabilités est mal définie, le raisonnement de coauteur s'applique aussi à lui.

Trois enseignements concrets

Les motifs retenus dans la décision de la Cour des comptes invitent à réfléchir sur les bonnes pratiques à adopter pour se prémunir d’un tel fiasco, d’abord au plan du contrôle interne et du suivi des recommandations, lesquelles constituent une première ligne de défense. Il convient de faire de chaque recommandation d'audit une ligne de plan d'action avec porteur, échéance et statut, et surtout de formaliser le choix de ne pas suivre telle ou telle recommandation, avec son motif et l'organe qui l'a écartée. Écarter est défendable ; écarter sans trace ne l'est pas.

Les instances de gouvernance doivent exister matériellement. Ce qui a pesé sur les anciens DGPN, c'est moins une décision que l'absence d'actes de pilotage. Instituer un comité stratégique ou un comité de pilotage dans un dossier de lancement ne suffit pas : la périodicité effective, les ordres du jour, les relevés de décisions et les relevés d'actions nominatifs sont les documents de preuve que le juge examine. Un comité prévu et non réuni pendant douze mois relève d’un manquement autonome, indépendamment de la qualité du travail des équipes.

Il y a lieu de décrire les décisions qui n'ont pas été prises. Les décisions de lancement, de poursuite et de repli, mais surtout les décisions de ne pas arrêter un projet en dérive, sont les plus exposées. Choisir les mesures correctives plutôt que l'interruption est un choix légitime qui, malgré tout, devient critiquable quand il n'est documenté par personne. Il en est de même pour les alertes. Lorsqu’elles restent orales, elles s’évanouissent et constituent dès lors un manquement alors qu’une alerte écrite, datée et adressée à l'autorité décisionnelle déplace le risque vers cette dernière.

Trois chantiers sous l’autorité du DSIO

En ce qui concerne la relation prestataire, on n’insistera jamais assez que la nécessité de séparer strictement maîtrise d'ouvrage et maîtrise d'œuvre, et formaliser les responsabilités de la direction quand elle tient ce rôle. L’arrêt de la Cour vise spécialement, à cet égard, l'absence de définition des responsabilités du service SI en tant que MOE. Il importe de documenter le contrôle du prestataire, c’est-à-dire le suivi des livrables, les procès-verbaux de recette, les réserves, le refus de réception, les pénalités le cas échéant. Parce que l'insuffisance de maîtrise technologique interne est retenue comme manquement autonome, il est important de conserver des compétences internes sur les briques critiques. Ce motif fait écho à la dépendance croissante des hôpitaux à leurs fournisseurs de DPI.

En ce qui concerne le DPI, par analogie, on note que le préjudice retenu dans l’affaire Scribe ne se limite pas aux sommes perdues dès lors qu’il inclut les frais exposés « pour faire fonctionner tant bien que mal » la solution existante. Un DPI déployé dans deux services sur cinq et maintenu en mode dégradé pendant six ans produit un préjudice cumulé - développement, reprises de données, formation, support, contournements - que la Cour aurait à apprécier au regard du budget SI. Un dépassement de 2 M€ n'a pas la même portée selon le budget de référence.

En ce qui concerne la traçabilité du pilotage, il y a lieu de tenir un journal de bord, un registre daté comprenant les décisions, les alertes, les instances, les arbitrages rendus et non rendus.

La portée de l’arrêt Scribe

Il ne faut pas perdre de vue qu’en tant que formation spécialisée de la Cour des comptes, la chambre du contentieux est d’apparition récente et que sa doctrine jurisprudentielle est encore en construction. Elle continue donc de préciser les contours de sa méthode d'évaluation du préjudice significatif. L’arrêt peut, de surcroît, faire lui-même faire l’objet d’un appel devant la Cour d’appel financière et, sous certaines conditions spécifiques, d'un recours en révision devant la chambre du contentieux elle-même. Les arrêts de la Cour d'appel financière sont ensuite susceptibles d'un pourvoi en cassation devant le Conseil d'État.

Si on ne devait insister que sur un seul enseignement issu de cet arrêt, c’est celui tiré d’un impératif s’énonçant simplement comme suit : ce qui n'est pas écrit n'est pas réputé fait. Le chantier qui compte, à votre niveau, est documentaire ; formaliser les responsabilités : qui décide, qui alerte, qui contrôle, et ce qu’il a été décidé de ne pas faire.

Pour un DSIO hospitalier, la solution rendue par la Cour déplace le risque en ce sens que ce qui n'est pas tracé est présumé non fait, et l'échec partiel suffit à constituer le préjudice.

Tous les prévenus ont été sanctionnés pour n'avoir pas su organiser, surveiller et piloter. Pour un directeur des systèmes d'information hospitalier, cette décision trace la frontière entre ce qui relève du risque professionnel assumé et ce qui relève de la responsabilité financière personnelle.