Je vous prie d agréer, Monsieur le Directeur Général, l'expression de ma considération distinguée.

Transcription

1 Le Président RECOMMANDEE AVEC AR Strasbourg, le 8 septembre 2009 JPW/CR/n /gr PERSONNEL ET CONFIDENTIEL Monsieur le Directeur général, Par lettre du 23 juillet 2009, j'ai porté à votre connaissance le rapport d observations définitives de la chambre régionale des comptes concernant la gestion de l Office Public de l Habitat de la CUS, dans sa partie relative aux dépenses informatiques. Aux termes des articles L et R du code des juridictions financières, vous disposiez du délai d'un mois à compter de sa réception pour adresser au greffe de la chambre une réponse écrite à ces observations définitives. A l issue de ce délai d un mois, aucune réponse de votre part n'est parvenue au greffe. Je vous notifie le rapport d observations définitives retenu par la chambre. En application des dispositions de l article R cité ci-dessus, il vous appartient de transmettre ce rapport à l assemblée délibérante. Conformément à la loi, l ensemble doit : 1. faire l objet d une inscription à l ordre du jour de la plus proche réunion de l assemblée ; 2. être joint à la convocation adressée à chacun de ses membres ; 3. donner lieu à débat. Vous voudrez bien informer le greffe de la chambre de la date à laquelle le rapport d observations aura été porté à la connaissance de l assemblée délibérante. Après cette date, en application des dispositions de l article R du code des juridictions financières, le document final sera considéré comme un document administratif communicable à toute personne en faisant la demande, dans les conditions fixées par la loi n du 17 juillet Enfin, je vous précise qu'en application des dispositions de l'article R du même code, le rapport d'observations définitives est transmis au préfet et au trésorier-payeur général du Bas-Rhin. Je vous prie d agréer, Monsieur le Directeur Général, l'expression de ma considération distinguée. Monsieur Bernard MATTER Directeur Général de l office public de l Habitat de la Communauté urbaine de Strasbourg 1, rue de Genève BP STRASBOURG Olivier Ortiz 14, rue du Faubourg de Pierre Strasbourg Cedex Téléphone : Télécopie : Courriel : crc@alsace.ccomptes.fr

2 - SOMMAIRE - 1 La préparation de l opération de refonte du système informatique La définition des besoins et leur expression dans le cahier des charges L assistance à maîtrise d ouvrage pour la dévolution du marché Le choix d un appel d offres «classique» Des délais serrés L insuffisante association des utilisateurs au choix des progiciels Les caractéristiques du marché Des co-traitances et un acte de sous-traitance L imperfection de la solution clef en main au regard des attentes de l office Les difficultés de la mise en œuvre du projet La défaillance relevée dans le pilotage du projet Une mise en œuvre à hauts risques Les dysfonctionnements constatés après le basculement Les modalités de poursuite de la refonte informatique La rupture anticipée du marché avec la société La poursuite de la collaboration avec la société dans le cadre du contrat de maintenance La sécurité informatique La réalisation d un audit informatique La mise en œuvre d un plan d action L enquête sur les coûts informatiques des organismes de logements sociaux Un système informatique incomplet La gestion des marchés publics L encaissement des loyers L absence d outils de pilotage ANNEXE... 17

3 1/14 En 1999, l office de la Communauté urbaine de Strasbourg a entrepris une démarche de modernisation de son système informatique, implanté dans les années 1990 et construit sur un système hybride et obsolète reliant, d'une part, un ordinateur équipé du progiciel «habitat 400» à 250 utilisateurs dotés d écrans passifs et comportant, d'autre part, 150 micro-ordinateurs non connectés. Le projet de refonte du système a été conçu avec un budget-cible d au moins sur trois ans s articulant en deux phases : : définition des enjeux, : conduite du changement et basculement. Il a été concrétisé en juin 2002 par un marché pour l acquisition d une solution globale comprenant la fourniture d un progiciel, d un matériel, de prestations d ingénierie associées et d une assistance à formation. Le basculement de l ancien vers le nouveau système a été réalisé en décembre Les difficultés de fonctionnement du nouveau système ont conduit l office à interrompre le déploiement des progiciels et à diligenter un diagnostic sur les dysfonctionnements du projet. Sur la base d un rapport de synthèse confidentiel validé par les deux parties, un accord de résiliation anticipé à torts partagés a été signé entre CUS Habitat et le titulaire du marché. Au total 2,6 millions d euros ont été dépensés pour la mise en œuvre du schéma directeur du service informatique qui, en 2008, restait technologiquement inachevé. Depuis le 1 er septembre 2008, l office a mis en œuvre des actions pour disposer d outils informatiques fiables (gestion de la maîtrise d ouvrage, infocentre pour la maintenance, sécurité etc.) et un audit en vue de l élaboration d un nouveau schéma directeur. Les conditions de mise en œuvre du schéma directeur des systèmes d information constituent l un des thèmes du contrôle de la Chambre sur la gestion de l office pour la période sous revue, dans le cadre d une enquête nationale inter-juridictions sur les dépenses informatiques du secteur public local. 1 LA PREPARATION DE L OPERATION DE REFONTE DU SYSTEME INFORMATIQUE 1.1 La définition des besoins et leur expression dans le cahier des charges Le projet a été porté par deux chefs de projets successifs, sur la base d une organisation associant, au sein de l office, maîtrise d ouvrage/maîtrise d œuvre. De juin 2000 à mai 2002, l office s est livré, avec l aide d un prestataire extérieur, à un travail d'analyse des besoins en association avec les groupes d'utilisateurs représentatifs des métiers de l'office. Toutefois, il est apparu que ce travail d analyse n avait pas suffisamment impliqué les

4 2/14 personnes concernées. C est ce qui ressort des termes de l audit d un cabinet international dont les conclusions ont été validées par l office, selon lesquels «la moitié des agents de CUS Habitat concernés par le projet du schéma directeur des systèmes d information n a pas pu participer aux groupes de travail lors de la phase d expression des besoins et les besoins exprimés par ailleurs n ont pas été portés à leur connaissance pour des raisons de manque de communication entre les équipes». Il a également été établi que dans la phase d analyse des besoins «les cadres de l office ont été majoritairement sollicités plutôt que des opérationnels». La définition des besoins a été exprimée dans le cahier des charges qui décrit les fonctionnalités attendues pour 10 domaines opérationnels d'intervention : patrimoine, locations, proximité, production, clients, fragilités (impayés, expulsion), offre, demande, pilotage métiers et qualité, ainsi que pour les 10 domaines fonctionnels : communication, juridique, logistique, finances, ressources humaines, marchés publics, comptabilité, informations, pilotage, suivi des projets. L'ensemble de ces besoins exprimés constituait un recueil de 110 processus attendus pour répondre à l ensemble des métiers de l office. Les attentes de l office ont toutefois été formulées en termes trop vagues pour répondre aux objectifs d un cahier des charges fonctionnel détaillé : selon l audit précité, «le cahier des charges rédigé est manifestement incomplet car il traduit les besoins de l organisme en grands processus généraux sans décrire les exigences fonctionnelles dans le détail». Les dirigeants de l office ne contestent pas l observation de la Chambre et font valoir, sans apporter une explication satisfaisante, que : «la faiblesse des dispositions du cahier des charges initial peut s expliquer par le fait que le choix de l office s est porté, dès le départ, sur un produit existant déjà utilisé par d autres bailleurs sociaux, et a priori adapté aux besoins». 1.2 L assistance à maîtrise d ouvrage pour la dévolution du marché Au terme d une consultation, CUS Habitat a retenu un consultant spécialiste des marchés publics, assisté d un ingénieur en informatique. La mission du consultant apparaît dans l opération d ensemble : rédaction du CCTP de l appel d offres, définition des critères de sélection, participation au processus de sélection, accompagnement du processus d appel d offres. Le montant réglé au titre de la mission d assistance à la maitrise d ouvrage s est élevé à TTC pour 38 jours de travail. Dans sa «proposition d assistance au maître d ouvrage», le consultant s engageait à sécuriser le processus d achat en produisant un cahier des charges technique et formel réaliste, en vue d un marché équilibré et évolutif, avec obligation de résultats. Or, cette clause fondamentale n a pas été intégrée dans le marché conclu par l office. Aux dires du consultant, «pour définir une obligation de résultat sur des progiciels, il eût fallu que les utilisateurs fussent à même de définir quantitativement les résultats attendus autrement que sous la forme de fonctionnalité répondant ou non aux tests d admission».

5 3/ Le choix d un appel d offres «classique» Un appel à candidature en procédure européenne a été publié le 14 février 2002 pour «l acquisition d une solution globale comprenant la fourniture d un progiciel, d un matériel, de prestations d ingénierie associées et d une assistance à formation pour le système d information cible de CUS Habitat gérant lots». Il est surprenant que, dans la mesure où la personne responsable du marché avait défini un programme fonctionnel détaillé, sous la forme de besoins à satisfaire, elle n ait pas décidé de recourir à la procédure de «l appel d offres sur performances» prévu par l article 36 du code des marchés publics de 2001 (devenu «dialogue compétitif» dans la version 2004) ; ce dispositif aurait en effet permis aux candidats de définir les moyens qu ils comptaient mettre en œuvre pour répondre aux besoins et, dès lors, de s engager sur le résultat. 1.4 Des délais serrés Sur les sept sociétés candidates à l appel d offres, la commission du 17 mars 2002 en a retenu quatre. Par courrier du 4 avril 2002, CUS Habitat leur a transmis le dossier de consultation comprenant l acte d engagement et ses annexes, le règlement de la consultation, le CCAP, le cahier des charges fonctionnel et ses annexes. La date limite de réception des offres a été fixée au 15 mai De ce fait, le délai de 24 jours ouvrables imparti pour la réponse apparaît très court s agissant d une commande complexe à enjeux stratégiques. Une société n ayant pas répondu dans les délais, trois candidats sont restés en compétition. La même hâte a affecté le calendrier prévisionnel de mise en œuvre : notification du marché le 17 juin 2002, livraison du matériel un mois plus tard, le 22 juillet 2002, basculement du système d information dans son nouvel environnement progiciel après six mois et demi soit le 31 décembre 2002 pour une couverture complète du système le 31 décembre L insuffisante association des utilisateurs au choix des progiciels Un groupe de visite restreint, constitué de trois agents de l office - le chef de projet, le responsable du service informatique et le directeur financier de l office - et du consultant externe, s est rendu dans trois organismes utilisateurs des trois solutions concurrentes. Le groupe de dépouillement des offres était constitué par deux responsables du service informatique et le consultant externe. Le choix du candidat s est effectué sur 20 critères dont les plus importants étaient le taux de couverture du progiciel aux besoins de traitements informatiques exprimés, les développements spécifiques réduits, le nombre de domaines que le candidat s engageait à mettre en exploitation au 31 décembre Une méthode très fine de dépouillement par processus a été mise en œuvre et a permis de retenir l offre d un groupement.

6 4/14 Il n y a toutefois pas eu d analyse d adéquation qualitative du progiciel aux besoins exprimés, l enjeu ayant été recentré sur la nécessité d assurer sur le nouveau système la continuité du fonctionnement des services tels qu ils existaient. Les représentants des utilisateurs n ont pas bénéficié de présentation détaillée des solutions concurrentes en compétition. Le rapport d audit précité a établi que de ce fait, les raisons du choix du progiciel n ont pas été comprises par les utilisateurs, selon la Chambre, faute pour le maître d ouvrage d avoir défini ses besoins. 2 LES CARACTERISTIQUES DU MARCHE Le marché n 2002/137 du 15 juillet 2002 a consisté à fournir : un ensemble de progiciels applicatifs paramétrés capable de supporter les nouveaux besoins de CUS Habitat, un matériel sous environnement Unix ou équivalent capable de supporter le progiciel, composé principalement d une machine de production et d une machine de secours-test, des prestations d ingénierie et de formation associées à la fourniture du progiciel et du matériel. 2.1 Des co-traitances et un acte de sous-traitance Le titulaire du marché était un groupement d entreprises de type classique, constitué d un fournisseur de progiciel apparaissant comme mandataire du groupement, d un intégrateur et co-traitant pour la gestion des ressources humaines et d une société en charge de la démarche qualité et de l accompagnement au changement. Mais les prestations de cette société qui détenait une expertise dans la reprise des données ont été annulées dans le cadre de la mise au point du marché pour être reprises par l office dans des conditions qui se sont avérées très complexes. Par ailleurs, le marché fait état d un acte de sous-traitance avec paiement direct à hauteur de au profit de l intégrateur, pour la fourniture et la mise en œuvre du progiciel de gestion. Cette situation apparaît incohérente : en cas de sous-traitance, en effet, le titulaire demeure personnellement responsable de l exécution de toutes les obligations résultant du marché. Or, la sous-traitance avec un éditeur de progiciel, compte tenu de la spécificité des prestations fournies, entraîne nécessairement un lien contractuel direct entre l éditeur et le client (droit d utilisation du progiciel, clause de cession des droits, garanties, intervention de l éditeur pour faire évoluer le progiciel, maintenance). 2.2 L imperfection de la solution clef en main au regard des attentes de l office Le fournisseur de progiciel a développé un outil de gestion qui s articule autour de trois principaux domaines : la gestion locative, la gestion technique et la gestion comptable. Pour compléter l outil de gestion, le progiciel devait être interfacé avec des progiciels développés

7 5/14 par deux autres fournisseurs et traitant d une part la paye, la gestion des ressources humaines et les temps de travail, d autre part la conduite des opérations de construction, de réhabilitation et d amélioration, la gestion des marchés publics et la gestion des états de lieux. Plusieurs éléments montrent qu à ce stade, la réflexion de CUS Habitat n était pas assez mûrie. En particulier, des développements majeurs tels que les outils de pilotage (tableaux de bord) n étaient pas prévus dans la partie forfaitaire du marché. L office indique qu ayant constaté, en 2002, qu aucun produit n était disponible sur le marché pour répondre à l ensemble des besoins métiers, il a décidé de s orienter dans un premier temps vers la transposition de l existant avant de mener une réflexion sur les outils de pilotage et les indicateurs pertinents. L insuffisance de la réflexion et le manque de précision du cahier des charges semblent apparaître également dans la composition des coûts du marché. Les deux lots forfaitaires portant, d une part, sur la mise en œuvre des progiciels pour TTC et, d autre part, sur la fourniture des matériels pour TTC étaient complétés par un lot à bons de commande portant sur des prestations associées d ingénierie et de formation susceptibles de se situer entre et TTC par an, l ensemble constituant un budget maximum de TTC. Mais lors de la facturation, il a été difficile, pour certaines prestations, de déterminer si elles relevaient ou non de la partie forfaitaire. 3 LES DIFFICULTES DE LA MISE EN ŒUVRE DU PROJET 3.1 La défaillance relevée dans le pilotage du projet Aux termes du marché, CUS Habitat était maître d œuvre global et le mandataire, le fournisseur de logiciel, était assistant à maîtrise d œuvre. En conséquence, c est l office qui assumait l entière responsabilité des méthodes de mise en œuvre du projet. La direction générale a été défaillante dans la conduite du projet : la réforme informatique s est effectuée dans un contexte instable marqué par le départ du directeur un mois après la signature du marché, la perspective du départ à la retraite du directeur général par intérim, et le congé de longue durée du chef de projet peu après le démarrage du nouveau système. La refonte d un système informatique influe généralement sur l organisation du travail. Mais, compte tenu du contexte managérial déficient, ni le chef de projet ni le prestataire n ont pu proposer des changements dans les pratiques des services. Dans son rapport d audit l expert constate que «CUS Habitat a fait l acquisition d un progiciel standard métier (gestion locative) et n a pas fait l effort d adapter son organisation et ses pratiques à l outil acheté». L ancien président de l office admet qu il n a pu s investir dans ce dossier en raison «de son caractère extrêmement technique et, d autre part, des tâches et missions qui se sont avérées prioritaires dans la perspective de l élaboration d une nouvelle stratégie patrimoniale», ce qui confirme l insuffisante implication des cadres dirigeants de l établissement, dont la responsabilité dans la gestion des dossiers relève plus de l organisation interne et du management.

8 6/14 Le prestataire informatique souligne qu «une conduite de projet énergique aurait été nécessaire pour que le chantier se déroule dans de bonnes conditions. Le volet «arbitrage» aurait nécessité la présence d une autorité qui, elle aussi, a fait défaut». 3.2 Une mise en œuvre à hauts risques Le planning imposé au fournisseur de logiciel s est révélé inadapté à l ampleur du projet : un mois entre la notification du marché et la livraison, 6,5 mois entre la notification du marché et le basculement du système d information dans son nouvel environnement progiciel le 31 décembre 2002, 18,5 mois entre la notification du marché et la couverture complète du système fixée au 31 décembre Dans le rapport d audit, les deux parties reconnaissent qu il n y a pas eu de «méthode d intégration progicielle clairement affichée, que ce soit côté CUS Habitat ou côté société.» S agissant de la phase capitale des recettes tests, les deux parties reconnaissent que : «la phase de paramétrage a été effectuée directement dans la base réelle (absence de base de test). Le paramétrage du progiciel a démarré tardivement sans prise en compte des charges de travail des services et n était pas finalisé au démarrage. Il n y a pas eu de test d intégration globale. Les tests isolés ont été effectués dans une base de démonstration non paramétrée aux besoins de l office. Le système n a pas été «recetté» avant démarrage». La migration des données a été effectuée en interne par un technicien de l office avec une forte assistance de la société. Cette phase s est révélée complexe dans la reprise des surfaces des logements, le système antérieur, basé sur le quittancement, ne permettant pas en effet la transposition directe des données et obligeant les informaticiens à des retraitements spécifiques, pour les calculs de surface par exemple. La société et CUS Habitat ont ainsi reconnu que «la reprise des données n a pas fait l objet d une conception formalisée et concertée». La reprise est jugée «incomplète et non satisfaisante». En dépit de dysfonctionnements avérés et contre l avis de la société, l office a décidé le démarrage du système, sans méthode formalisée, imposant ainsi au fournisseur de gérer le projet dans l urgence. Enfin, la refonte du système informatique a été opérée sans qu il ait été permis aux utilisateurs finaux d adhérer au nouveau progiciel et de modifier leur façon de travailler. L office et la société prestataire ont ainsi reconnu 1 que «les procédures [n ont pas été] rédigées en cours de mise en œuvre. La formation [a été] effectuée sans support adapté. L assistance [a été] perçue comme absente au moment du démarrage» : accaparée par les problèmes techniques postérieurs au démarrage, l équipe de la société n a pu, en effet, assister les utilisateurs dans la prise en main du nouveau système. 1 audit précité

9 7/ Les dysfonctionnements constatés après le basculement Seuls les progiciels de gestion de la société ont été installés en décembre Compte tenu des conditions de mise en œuvre de la transposition, de nombreux dysfonctionnements ont subsisté au démarrage, suscitant de grandes insatisfactions de la part des utilisateurs. Le prestataire informatique confirme que «la décision a été prise pour un basculement vers le nouveau système dans une version qui allait subir des amendements plus tard». Les utilisateurs des progiciels de comptabilité, gestion des dépenses d entretien et gestion locative sociale ont constaté, malgré des avancées en termes de convivialité et de rapidité, plusieurs points négatifs dont une perte de productivité importante dans certaines tâches, au point de considérer que le système était moins performant que le précédent H 400. De ce fait, le directeur général a décidé de suspendre le déploiement des progiciels complémentaires et de diligenter un audit. L office s est également entouré des conseils d un avocat pour effectuer une analyse juridique approfondie du marché. L étude menée s est révélée dissuasive au regard des suites contentieuses à donner en raison des failles juridiques relevées dans le marché. 4 LES MODALITES DE POURSUITE DE LA REFONTE INFORMATIQUE Sur le conseil des experts, la direction générale a décidé qu il convenait d arrêter le marché avec la société, de stabiliser l existant et de mettre en œuvre un travail de réorganisation de l office avant de reprendre la poursuite du schéma directeur informatique. 4.1 La rupture anticipée du marché avec la société Au cours de l année 2003, le conseil d administration a été tenu informé des difficultés de la réforme informatique par plusieurs communications successives. Dans sa séance du 29 avril 2004, sur la base d un rapport explicatif sommaire, il a autorisé le président de l office à conclure un «avenant de convention amiable de règlement de différend du marché d achat de progiciels et de matériel informatique attribué le 13 juin 2002 qui soldera le marché à son niveau actuel de mise en œuvre et de paiement». La Chambre a constaté que les membres du conseil d administration de l office n ont pas été à même d apprécier réellement la situation dans la mesure où ils n ont pas reçu communication du texte de la convention ni du rapport de synthèse de l audit, en raison de la clause de confidentialité prévue à l article 4 de la convention qui interdit à chaque partie d évoquer le contenu de la convention de quelque façon que ce soit auprès de tiers, de même qu elles s interdisent d évoquer les discussions dont elle est issue. Dans la convention intitulée «convention de prévention d éventuels différents à naître, relatifs au marché attribué le 13 juin 2002», transmise au contrôle de légalité le 4 juin 2004, les

10 8/14 parties reconnaissent formellement que «suite à l installation de la majeure partie du nouveau système d information, un certain nombre de dysfonctionnements se sont produits, rendant, selon CUS Habitat, l efficacité de l ensemble, malgré d importants efforts de résolution des dysfonctionnements constatés au démarrage, à un niveau moindre du système précédant» Il est également reconnu que «le titulaire du marché n a pas apporté les réponses nécessaires à l appel d offres mais que cette responsabilité est partiellement à imputer au maître d ouvrage qui n a pas suffisamment exprimé ses besoins opérationnels». Le partage de responsabilité étant reconnu, les parties ont décidé d arrêter la date du 1 er juillet 2004 comme date «de couverture complète du système fonctionnement et opérationnel» de CUS Habitat, de lever l ensemble des réserves et de réceptionner l ensemble du marché. En outre, la mise en œuvre d une maintenance du nouveau système d information a été décidée par la signature de contrats de maintenance avec chaque société prestataire de progiciel. La convention signée détermine les montants dus pour solder le marché à hauteur des prestations effectivement réalisées, soit ,88 pour le fournisseur de logiciel, 4 440,15 pour la société intégrateur et 777,40 pour la société en charge de la démarche qualité. Au total, l office a réglé TTC au titre du marché, soit 88 % du montant forfaitaire total de TTC. Ce montant inclut des dépenses correspondant aux deux progiciels associés non installés au moment de la rupture du marché. Le progiciel de gestion de ressources humaines, intégré dans la prestation forfaitaire pour TTC, a été réglé à hauteur de TTC au titre des droits d utilisation et du paramétrage effectivement réalisé. Sa mise en service a été réalisée en 2006, après réorganisation du service utilisateur, dans le cadre d un marché négocié, d un montant de TTC. L office a décidé d abandonner définitivement le déploiement de la solution progicielle proposée par le sous-traitant pour la conduite des opérations de construction, réhabilitation, amélioration et la gestion des marchés publics au motif que ce progiciel était non compatible avec le progiciel. Une dépense de correspondant aux droits d utilisation ( ) et paramétrages déjà réalisés a donc été réalisée par l office en pure perte. 4.2 La poursuite de la collaboration avec la société dans le cadre du contrat de maintenance Lors des négociations entre les deux parties, et avec l aide de l auditeur international, un plan de stabilisation avait été établi comportant la liste des 129 points de dysfonctionnement à traiter pour partie au titre du marché, pour une autre partie hors marché. Les équipes du fournisseur de logiciel étant engagés sur d autres projets, les traitements nécessaires n ont pas été réalisés dans les délais et au moment de la rupture anticipée du marché, 80 points restaient encore à corriger. Pour solder le dossier, la direction de CUS Habitat a décidé de revoir ses exigences à la baisse et de reporter une grande partie des points du plan de stabilisation sur un nouveau contrat de maintenance et d assistance.

11 9/14 La mise en œuvre de la stabilisation du progiciel a été menée parallèlement avec la réorganisation de l office. Un nouvel organigramme a été mis en place en avril 2004 accompagné d une nouvelle démarche managériale sous forme de gestion de projet, le temps étant laissé aux nouvelles directions pour redéfinir leurs besoins en matière de système d information et pour réfléchir aux conditions de mise en œuvre des progiciels. L article 3 de la convention signée avec les titulaires du marché a arrêté le principe de la mise en œuvre de contrats de maintenance à passer entre les parties, concrétisé par la signature d un contrat de maintenance et d assistance prenant effet au 1 er avril 2004 pour une durée de 12 mois et renouvelable par tacite reconduction. Le marché initial prévoyait une garantie couvrant la maintenance corrective, l assistance technique et la maintenance évolutive ainsi que l assistance technique du prononcé du service régulier à la fin de la durée de marché, soit jusqu au 12 juin Mais la rupture du marché en avril 2004 a rendu cette garantie caduque. Le montant annuel de la maintenance, qui représente , soit 17 % de la valeur des progiciels, est conforme à celui prévu au titre du marché initial. Le contrat de maintenance et de correction des dysfonctionnements des logiciels n a pas fait l objet d une mise en concurrence en raison des dispositions générales consacrant la propriété exclusive du fournisseur sur les sources. Pour l avenir, la Chambre attire l attention de l office sur les recommandations en ligne du Ministère de l économie et des finances en matière de droit de propriété des prestations intellectuelles, et notamment sur le projet de cahier des clauses administratives générales applicable aux marchés publics de prestations intellectuelles tendant à rectifier la situation antérieure et disposant que «le projet de convention de cession constitue la pièce essentielle d un marché de prestations intellectuelles. Il devra figurer dans le dossier de consultation ou en cas de procédure négociée être un élément de la négociation. Conformément aux dispositions de l article L du code de la propriété intellectuelle, la convention devra énumérer chacun des droits cédés qui devront chacun faire l objet d une mention distincte, et délimiter leur domaine d exploitation quant à son étendue et à sa destination, quant au lieu et quant à la durée». 5 LA SECURITE INFORMATIQUE 5.1 La réalisation d un audit informatique A la fin de 2004, CUS Habitat a commandé un audit sécurité basé sur la norme professionnelle MEHARI 2 et portant sur l ensemble des domaines de l environnement informatique de l office : «organisation, sites et bâtiments, réseaux et télécommunications, système et architecture, production informatique, applicatifs, projets et développement, environnement de travail et environnement juridique». 2 MEthode Harmonisée d Analyse de Risques élaboré par la commission Méthodes du CLUSIF (CLUb de la sécurité des Système d Information)

12 10/14 Il ressort de cette étude qu après la période de stabilisation du nouveau progiciel, l ensemble des domaines du service informatique présentait de nombreuses faiblesses : pour huit domaines, le niveau de sécurité était jugé faible et pour le 9 ème le niveau était moyen. En outre, 21 risques majeurs ont été identifiés. Pour chacun d entre eux, la probabilité de survenance du risque a été mesurée, ainsi que son impact sur le fonctionnement des activités et son niveau de gravité (faible, moyen, fort, très fort). En définitive : un seul risque était identifié comme faible dans ses trois composantes (probabilité, impact et niveau de gravité), cinq risques à impact très fort avaient une probabilité moyenne de se produire : indisponibilité prolongée du système, indisponibilité prolongée du progiciel de gestion, vol de documents sensibles par intrusion physique, fuite de données sensibles par erreur, nonrespect de la réglementation relative à la vie privée, enfin, deux risques ayant un niveau de gravité fort ont été identifiés comme très probables : pertes de productivité suite à incidents et perte d'intégrité des données issues des applicatifs. La fiabilité des données issues du système d information n était donc pas garantie. De surcroît, dans sa conclusion l auditeur a relevé qu un «nombre de risques potentiels non négligeables (20 risques) ont été identifiés et tendent à démontrer que les pertes financières ou en productivité vont se poursuivre et même s accroître». Une étude des incidents survenus en 2004 a, en effet, permis d évaluer leurs coûts à , du fait essentiellement de 732 J/H d indisponibilité du réseau ou du système informatique. En 2006, tous les exécutables ont été indisponibles pendant cinq jours, y compris le progiciel de gestion intégré. Cet incident, dû à une infection virale sur l ensemble des postes de travail, a été provoqué par un agent qui a visité un site web infecté. L indisponibilité de cinq jours consécutive à cet incident a été évaluée à environ pour 250 utilisateurs. L image de marque de CUS Habitat, qui ne pouvait plus renseigner les locataires, a également été atteinte. L Office évoque la «charte d utilisation du système d information de CUS Habitat» et «la charte de l administrateur» datant du 19 décembre 2006 et qui ont été remises aux utilisateurs en octobre La Chambre relève que, si l intérêt de disposer de pareilles chartes est indéniable, il y a lieu toutefois de se donner les moyens d en contrôler l application effective. 5.2 La mise en œuvre d un plan d action Un plan de 54 actions de sécurité a été défini et géré sous la forme de quatre projets à réaliser dans la période : organisation et pilotage de la sécurité, protection physique des bâtiments et des locaux, protection du réseau et des télécoms, protection des systèmes, des applications et de la production informatique. Un comité de sécurité a été constitué.

13 11/14 En 2006, un plan de continuité de l entreprise a été élaboré visant à assurer, selon divers scénarios de crise, le maintien des prestations de service essentielles. Le bilan intermédiaire du plan d action démontre qu en janvier 2006 les cibles étaient loin d être atteintes. En particulier, le niveau de la sécurité applicative restait faible. En septembre 2007, l office indiquait que 38 actions (70 %) étaient réalisées, 10 étaient en cours dont deux actions jugées critiques et cinq actions n étaient pas commencées. Selon l office, malgré les actions menées, le risque subsiste notamment du fait du comportement des utilisateurs qui n appliquent pas certaines procédures ; la disponibilité, l intégrité et la confidentialité des données applicatives restent un projet d envergure à intégrer dans l évolution de l architecture. L Office a donné suite aux premières observations et a entrepris des actions pour corriger les vulnérabilités notamment en matière de contrôle d accès et de plan de reprise d activités. 6 L ENQUETE SUR LES COUTS INFORMATIQUES DES ORGANISMES DE LOGEMENTS SOCIAUX Dans le domaine de l informatique, l Union sociale pour l habitat (USH) à travers le club thématique «Habitat, Systèmes d Information et Stratégies» (HABSIS) a pris une initiative qui pourrait être utilement reprise. HABSIS développe, en effet, des actions centrées sur la composante informatique de tous les métiers du logement social et mène chaque année une enquête sur l évolution des coûts informatiques des organismes de logements sociaux. Pilotée par un grand cabinet de consultants, l enquête 2005 a été alimentée par une participation de 71 organismes (contre 197 en 2003), dont 29 organismes de plus de logements. Au total 60 % des participants sont des OPAC, les OPHLM représentant 14 % de l échantillon. Les résultats de l enquête ont permis de déterminer que le coût moyen des dépenses informatiques par logement est de 43,19 et se répartit de la façon suivante : Répartition des coûts % Matériel- logistique/système de gestion 56 Support technique 32 Communication 7 Développement externe 5 Total 100 En 2006, le service informatique de CUS Habitat employait huit agents. L office était implanté sur 20 sites et disposait de 382 micros ordinateurs et de 15 clients mobiles. La couverture était la suivante :

14 12/14 Domaine couvert Projet en cours Gestion électronique de documents locataire X Gestion électronique de documents fournisseur X Gestion électronique de documents maîtrise d ouvrage X Extranet fournisseur Extranet gardien Décisionnel/Indication SI (tableaux de bords) X Centre d appel/ CTI X Gestion relation/client X Système d information géographique Open source X Le tableau des coûts directs des dépenses informatiques en 2005 et 2006 de CUS Habitat est joint en annexe. En 2005, le coût moyen par logement des dépenses informatiques d un montant de 60,87, était largement supérieur à la moyenne nationale de 43,19 précitée. Coûts de CUS HABITAT Moyens de l'informatique au lot 18,4 10,7 6,49 Poste de travail au lot 9,94 3,09 2,51 Communications au lot 6 4,84 6,52 Equipe information au lot 17,72 13,78 16,37 Formation au lot 0,23 1,55 0,63 Frais de structure au lot 6,76 2,36 2,08 Logiciel au lot 39,85 7,5 8,92 Infogérance au lot 4,41 2,62 4,43 Assistance, sous-traitance; études au lot 4,27 5,1 2,63 Coût au lot (sans téléphonie) 107,59 51,54 50,57 Coût au logement (sans téléphonie) 121,92 60,87 59,89 Pourcentage du CA (sans téléphonie) 2,65 % 1,21% 1,16 % Coût par poste (sans téléphonie) 7545, , ,64 Coût de l'équipa. Inf. par utilisateur 7545, , ,43 Téléphonie au lot 0 10,25 Le coût au lot exprime le coût additionnant les logements, les commerces et les garages. 7 UN SYSTEME INFORMATIQUE INCOMPLET Selon les indications de l office, sur 115 processus figurant au cahier des charges, seuls 61 fonctionnaient lors de l arrêt du marché évoqué supra, soit un peu plus de 50 % des attentes exprimées. Tous ne fonctionnaient pas encore en octobre 2008, notamment les outils de gestion du patrimoine et de gestion de l offre.

15 13/ La gestion des marchés publics Au moment du contrôle, le service informatique ne disposait pas d outils de gestion adaptés à sa mission. Suite à l installation en décembre 2002, les situations de paiement des marchés ont dû être gérées en doublon. Ainsi, à propositions de paiement annuelles ont fait l objet d une double saisie sur l ancien système pour la création et la gestion des situations de paiement. En 2007, l office a acquis un progiciel pour sécuriser la production des pièces administratives et optimiser la gestion de la passation des marchés en déroulant de façon logique les procédures administratives et réglementaires. Cette acquisition apparaît toutefois tardive au regard des besoins d un organisme de la taille de l office. 7.2 L encaissement des loyers L utilisation des moyens modernes de recouvrement des recettes est insuffisamment développée à CUS Habitat. La moitié des locataires seulement règlent leur loyer par prélèvement automatique. Le règlement par titre interbancaire de paiement ou par carte bancaire n est pas possible. En l absence d un lecteur optique de chèques, les chèques et virements bancaires transmis à l office font l objet d une saisie manuelle dans le progiciel. Les prélèvements automatiques ne sont pas faits par télétraitement mais par remise de CD- ROM ou par remise de disquette 3,5 pouces aux établissements financiers. Dans la version antérieure à l outil de gestion, les traitements s effectuaient par un protocole sécurisé automatique. Aucun progrès n est donc intervenu ; au contraire, une régression a été constatée pour le travail d encaissement stricto sensu. L outil ne dispose d aucun système permettant de détecter des anomalies de saisie et, de l aveu de l office même, c est souvent le locataire qui détecte l erreur. En outre, le système ne génère aucune statistique : alors que les loyers sont exigibles dans les trois premiers jours du mois, l office n enregistre que 40 à 70 recouvrements/jour, entre le 1 er et le 3 du mois. La grande majorité des locataires à règlement non automatisé paient donc leur loyer avec retard mais le système ne permet pas de détecter ceux dont le retard est systématique. 7.3 L absence d outils de pilotage Les insuffisances des outils informatiques n ont pas permis de formaliser les politiques dans de nombreux domaines stratégiques. Un audit réalisé par un prestataire externe en 2006 dans le cadre d un projet de refonte de l architecture budgétaire a souligné l absence de suivi budgétaire et d outils de pilotage dans la plupart des domaines de l office : exploitation du patrimoine (enjeu financier : 29 millions d euros), entretien du patrimoine (16 millions d euros), taxes foncières (10 millions d euros), charges de personnels (14,6 millions d euros), moyens généraux (10 millions d euros), loyers (69,5 millions d euros), provisions et acomptes de charges (31 millions d euros), offres nouvelles (31 millions d euros), travaux de réhabilitation et d amélioration ( 24 millions d euros). Une amorce de développement d outils a pu être constatée à partir de 2007.

16 14/14 En outre, il est apparu que la solution logicielle de gestion de requêtes proposée par la société n était pas adaptée au savoir-faire de CUS Habitat. Si l Office a créé un entrepôt de données en 2006, les utilisateurs n ont été en mesure de l utiliser que plus tardivement en * * * Le schéma directeur informatique de CUS Habitat est appelé à continuer son évolution technologique. Après audit nécessaire, les prochaines étapes pour l office consisteront à lancer les études du schéma directeur des systèmes d information , notamment pour mettre en œuvre une gestion électronique des documents échangés avec les fournisseurs et les locataires et pour moderniser les relations de travail entre les agents travaillant sur les 22 sites de l office.

17 - Annexe - Coûts directs des dépenses informatiques de CUS Habitat (en ) Coûts directs Montant maintenance Montant maintenance 1. Matériel-logiciel/Système de gestion Les moyens de l'informatique Matériels hors postes de travail Exploitation système, réseaux, sécurité Frais de structure et de fonctionnement consommables assurances des matériels informatiques Les postes de travail Logiciels métiers/bureautiques Logiciels et progiciels applicatifs métiers Développement spécifiques, interface Logiciels bureautiques Autres 1.6. Infogérance Infogérance totale infogérance limitée à l'administration du réseau Infogérance Externalisation d'un module 2. A Communications/Interconnexion a.1 Abonnements, consommations 2b. Téléphonie b1 Autocom, postes téléphonique, abonnements Support technique Equipe informatique Formation aux informaticiens Formation aux services utilisateurs Assistance et sous-traitance externe Intervention ponctuelle, audit, études, conseil