C dc COUR DES COMPTES RAPPORT N 65 JUIN 2013 AUDIT DE GESTION ETAT DE GENEVE GOUVERNANCE GLOBALE DES SYSTEMES D INFORMATION

Transcription

1 RAPPORT N 65 JUIN 2013 AUDIT DE GESTION ETAT DE GENEVE GOUVERNANCE GLOBALE DES SYSTEMES D INFORMATION C dc

2 LA La Cour des comptes est chargée du contrôle indépendant et autonome des services et départements de l'administration cantonale, du Pouvoir judiciaire, des institutions cantonales de droit public, des organismes subventionnés ainsi que des institutions communales. La Cour des comptes vérifie d'office et selon son libre choix la légalité des activités et la régularité des recettes et des dépenses décrites dans les comptes, et s'assure du bon emploi des crédits, fonds et valeurs gérés par les entités contrôlées. Elle organise librement son travail et dispose de larges moyens d'investigation. Elle peut notamment requérir la production de documents, procéder à des auditions, à des expertises, se rendre dans les locaux de l'entité contrôlée. Sont soumis au contrôle de la Cour des comptes : les départements, la chancellerie et ses services, l administration du Pouvoir judiciaire, le Service du Grand Conseil, les institutions cantonales de droit public, les autorités communales et les institutions et services qui en dépendent, les institutions privées où l'etat possède une participation financière majoritaire, les organismes bénéficiant de subventions de l'etat ou des communes. Les rapports de la Cour des comptes sont rendus publics : ils consignent ses observations, les conclusions de ses investigations, les enseignements qu'il faut en tirer et les recommandations conséquentes. La Cour des comptes prévoit en outre de signaler dans ses rapports les cas de réticence et les refus de collaborer survenus lors de ses contrôles. La Cour des comptes publie également un rapport annuel comportant la liste des objets traités, celle de ceux qu'elle a écartés, celle des rapports rendus avec leurs conclusions et recommandations et les suites qui y ont été données. Les rapports restés sans effets ni suites sont également signalés. Vous pouvez participer à l'amélioration de la gestion de l'etat en contactant la Cour des comptes. Toute personne, de même que les entités soumises à son contrôle, peuvent communiquer à la Cour des comptes des faits ou des pratiques qui pourraient être utiles à l'accomplissement de ses tâches. Contactez la Cour par téléphone, courrier postal, fax ou courrier électronique. Cour des comptes - 8 rue du XXXI-Décembre - CP Genève 3 tél fax

3 SYNTHESE La gouvernance des systèmes d information (SI) présente des risques élevés notamment en raison des montants financiers en jeu (environ 158 millions en charges de fonctionnement, 52.8 millions en crédit de programme et 17.6 millions en crédits d ouvrage pour l année 2012) ainsi que de l impact des SI sur la mise en œuvre des objectifs stratégiques et du bon fonctionnement de l administration. À la demande du conseiller d État en charge du département de la sécurité (DS), la Cour a procédé à une analyse de la gouvernance globale des systèmes d information de l État de Genève, plus particulièrement de l organisation et de l articulation entre les acteurs majeurs des systèmes d information (direction générale des systèmes d information, unités administratives chargées des systèmes d information, etc.). L audit de la Cour fait ressortir d importantes faiblesses concernant principalement : - la gouvernance globale des SI (composition des organes de gouvernance et positionnement, notamment) ; - la multiplicité des acteurs, l absence de clarté suffisante dans la définition des rôles et responsabilités, l hétérogénéité des activités et méthodologies utilisées, lesquelles augmentent la difficulté d assurer une gouvernance adéquate (planification des SI, décisions technologiques dans le cadre de la mise en œuvre de la stratégie des SI, gestion du portefeuille de projets, etc.) ; - le pilotage de la DGSI et les outils de suivi ; - la gestion des ressources (planification - imputations non justifiées du point de vue des projets/activités - et compétences des collaborateurs internes, gestion des externes sous contrat de location de services - dont le taux est très élevé, entre autres). À noter que ces faiblesses sont toujours d actualité, malgré les recommandations contenues dans le rapport n 21 de juin 2009 de la Cour relatif à la gestion du CTI et les mesures annoncées par la DGSI dans le cadre des suivis annuels de la Cour ; - la mission, les rôles et responsabilités des différents acteurs intervenant dans le domaine de la sécurité informatique et de la gestion des risques. Sur la base de ces constats, la Cour a émis 12 recommandations visant à faire évoluer l organisation de la gouvernance des SI dans son ensemble. Les mesures proposées permettront d agir sur l ensemble des faiblesses constatées, à savoir notamment : - l organisation globale des SI : en instaurant un organe de gouvernance des SI au plus haut niveau, en faisant évoluer ou en supprimant les différents organes existants, en effectuant une analyse des ressources à disposition afin d éliminer les inefficiences potentielles aussi bien au niveau de la DGSI que des unités chargées des SI (dotation en ressources versus besoins réels) ; - la planification et la stratégie des SI : en redéfinissant le processus en vue d établir un plan directeur informatique validé au plus haut niveau (telle une délégation du Conseil d Etat) et les plans d action qui en découlent ; - le pilotage de la DGSI : en améliorant rapidement les outils de suivi financiers et non financiers pour les rendre plus fiables ; en analysant les compétences de certains collaborateurs et cadres ainsi que la pertinence du recours à des ressources sous contrat de location de services, puis en prenant toutes les mesures nécessaires ; - la sécurité et la gestion des risques : en redéfinissant la mission, les rôles et responsabilités des différents acteurs. TABLEAU DE SUIVI DES RECOMMANDATIONS Dans le cadre de ses missions légales, la Cour des comptes doit effectuer un suivi des recommandations émises aux entités auditées, en distinguant celles ayant été mises en œuvre et celles restées sans effet. A cette fin, elle a invité l audité à remplir le "tableau de suivi des recommandations et actions" qui figure au chapitre 6, et qui synthétise les améliorations à apporter et indique leur niveau de risque, le responsable de leur mise en place ainsi que leur délai de réalisation. La Cour souligne la collaboration particulièrement constructive de l audité, de même que son adhésion aux 12 recommandations. Audit de gestion Gouvernance globale des systèmes d information 3 / 46

4 TABLE DES MATIERES Liste des principales abréviations utilisées CADRE ET CONTEXTE DE L AUDIT MODALITÉS ET DÉROULEMENT DE L AUDIT CONTEXTE GÉNÉRAL Gouvernance des systèmes d information (SI) Principales bases légales Principaux acteurs et chiffres clés Délégation du Conseil d État à internet Collège des secrétaires généraux Collège spécialisé des systèmes d'information (CSSI) Comité sécurité des SI (ComSec-SI) Commission de gestion du portefeuille des projets (CGPP) Direction générale des systèmes d'information (DGSI) Unités administratives chargées des SI ANALYSE Organisation globale des systèmes d information Contexte Constats Risques découlant des constats Observations de l audité Planification et stratégie des systèmes d information Contexte Constats Risques découlant des constats Observations de l audité Pilotage et outils de suivi Contexte Constats Risques découlant des constats Observations de l audité Sécurité et gestion des risques Contexte Constats Risques découlant des constats Observations de l audité RECOMMANDATIONS CONCLUSIVES TABLEAU DE SUIVI DES RECOMMANDATIONS ET ACTIONS DIVERS Glossaire des risques Remerciements Audit de gestion Gouvernance globale des systèmes d information 4 / 46

5 Liste des principales abréviations utilisées AeL AFAI CESI CFI CGPP CHA CIGREF Club Urba-EA ComSec-SI CRA CSSI CTI DARES DF DGSI DIME DIP DS DSE DU ETP IFACI Administration en ligne Association Française de l Audit et du Conseil Informatiques Centre d expertise des SI Comptabilité financière intégrée Commission de gestion du portefeuille des projets Chancellerie Association regroupant des grandes entreprises et organismes français dans tous les secteurs d activité (banque, assurance, énergie, distribution, industrie, services ) et ayant pour mission de «promouvoir la culture numérique comme source d innovation et de performance» Association française inter-entreprises ayant pour objectif de favoriser les partages d'expériences et les échanges entre praticiens de l'urbanisme des systèmes d information et de l architecture d entreprise ainsi que de promouvoir la reconnaissance et l organisation de ces fonctions Comité sécurité des systèmes d information Compte rendu d activités Comité sécurité des systèmes d information Centre des technologies de l information (ancienne appellation de la direction générale des systèmes d information) Département des affaires régionales, de l économie et de la santé Département des finances Direction générale des systèmes d information Département de l intérieur, de la mobilité et de l environnement Département de l instruction publique, de la culture et du sport Département de la sécurité Département de la solidarité et de l emploi Département de l urbanisme Equivalents temps plein Institut français de l audit et du contrôle internes _ Audit de gestion Gouvernance globale des systèmes d information 5 / 46

6 ISACA LSE OT PJ PPFVA RAD RCE RCPA RCTI ROGSI ROI RSGC RSSI SCI SI SITG Association internationale de professionnels des domaines de la gouvernance, de la sécurité, de la gestion des risques et de l audit des systèmes d information Loi fédérale sur le service de l emploi et la location de services (LSE, RS ) Observatoire technologique Pouvoir judiciaire Petit projet à forte valeur ajoutée Rapid Application Development Règlement pour l organisation du Conseil d Etat de la République et canton de Genève (RCE, B ) Règlement concernant la protection des applications et des systèmes informatiques dans l administration cantonale (RCPA, B ) Règlement du centre des technologies de l information (RCTI, B ) Règlement sur l'organisation de la gestion des systèmes d'information (ROGSI, B ) Retour sur investissement Règlement sur les secrétaires généraux de départements et le collège des secrétaires généraux (RSGC, B ) Responsable de la sécurité des SI Système de contrôle interne Systèmes d information Système d information du territoire à Genève Audit de gestion Gouvernance globale des systèmes d information 6 / 46

7 1. CADRE ET CONTEXTE DE L AUDIT Par une communication datée du 26 novembre 2012, le conseiller d État en charge du département de la sécurité (DS) a saisi la Cour des comptes d une demande d effectuer «un audit de gouvernance des systèmes d information et de communication à l échelle globale de l État de Genève». Du point de vue de l analyse des risques par la Cour des comptes, la gouvernance des systèmes d information (SI) présente des risques élevés notamment en raison des montants financiers en jeu (environ 158 millions en charges de fonctionnement, 52.8 millions en crédit de programme et 17.6 millions en crédits d ouvrage pour l année 2012) ainsi que de l impact des SI sur la mise en œuvre des objectifs stratégiques et du bon fonctionnement de l administration (risque opérationnel). Dès lors qu'il appartient à la Cour de s'assurer notamment de la légalité des activités et des opérations, de la régularité des comptes, ainsi que du bon emploi des crédits, fonds et valeurs mis à disposition d'entités publiques et d entités privées subventionnées, la Cour est compétente (art. 1 al. 2 LICC). Par lettre du 14 février 2013 adressée au conseiller d État en charge du DS, la Cour est entrée en matière sur la demande qui lui était faite. Cet audit a pour objectif principal d analyser un aspect essentiel de la gouvernance globale des systèmes d information de l État de Genève, à savoir l organisation et l articulation entre les acteurs majeurs des systèmes d information (direction générale des systèmes d information, unités administratives chargées des systèmes d information, etc.). En conséquence et afin de garder une dimension raisonnable à l audit, la Cour a notamment décidé de ne pas inclure dans son analyse les points suivants : - Une évaluation des processus du CobIT telles la gestion des ressources humaines, la gestion de la sécurité, l évaluation et la gestion des risques ou encore la gestion de la qualité ; - L analyse des processus et opérations de la DGSI et des unités chargées des systèmes d information dans les départements ; - L analyse des choix technologiques et des solutions informatiques ; - L analyse des projets informatiques ; - L analyse des flux financiers. Ces thèmes pourront faire l objet d audits ultérieurs de la Cour. Souhaitant être la plus efficace possible dans ses travaux, la Cour examine lors de ses investigations l ensemble des rapports d audits préalables effectués par des tiers, tant internes qu externes (rapports de l Inspection Cantonale des Finances, rapports de la Commission de Contrôle de Gestion du Grand Conseil, rapports de la Commission d Évaluation des Politiques Publiques, etc.), de même que les plans de mesures P1 / P2 / P+ du Conseil d État, portant sur les mêmes thématiques que le présent rapport. En outre, conformément à son souhait de contribuer à une coordination efficace des activités des différentes instances de contrôle actuellement à l œuvre à l État de Genève, la Cour a examiné la planification semestrielle des contrôles de l Inspection cantonale des finances (ICF) et l a informée de sa mission. Audit de gestion Gouvernance globale des systèmes d information 7 / 46

8 2. MODALITÉS ET DÉROULEMENT DE L AUDIT La Cour a conduit cet audit entre les mois de février et juin 2013 sur la base des documents remis par les principaux acteurs concernés ainsi qu en menant des entretiens ciblés notamment avec : - La chancelière d État ; - Les secrétaires généraux des départements de l instruction publique, de la culture et du sport (DIP), de l intérieur, de la mobilité et de l environnement (DIME), de la sécurité (DS) et de la solidarité et de l emploi (DSE) ; - Les responsables des unités administratives chargées des systèmes d information : o De la chancellerie ; o Des départements de l administration cantonale ; o Du Pouvoir judiciaire ; - Le président de la commission de gestion du portefeuille des projets (CGPP) ; - Le directeur général et le directeur général adjoint de la direction générale des systèmes d information (DGSI) ; - Les directeurs des 4 directions opérationnelles de la DGSI ; - Le directeur de la sécurité et des événements spéciaux de la DGSI ; - Le directeur de la direction administrative et de gestion de la DGSI. Comme prévu par sa base légale, il est à relever que la Cour privilégie avec ses interlocuteurs une démarche constructive et participative visant à la recherche de solutions améliorant le fonctionnement de l administration publique. De ce fait, la Cour a proposé aux intervenants rencontrés différentes possibilités d amélioration de leur gestion, dont la faisabilité a pu être évaluée et la mise en œuvre appréciée sous l angle du principe de proportionnalité. La Cour a conduit son audit conformément aux normes internationales d audit et aux codes de déontologie de l International Federation of Accountants (IFAC) et de l Organisation Internationale des Institutions Supérieures de Contrôle des Finances Publiques (INTOSAI), dans la mesure où ils sont applicables aux missions légales de la Cour. En pratique, la méthodologie de la Cour des comptes est la suivante : 1 ère phase : Planification Cette phase consiste à définir et à mobiliser les ressources et les compétences les mieux adaptées à la mission, que ce soit auprès des collaborateurs de la Cour des comptes ou auprès de tiers, et à déterminer les outils méthodologiques à utiliser. 2 ème phase : Préparation de l audit Cette phase consiste à identifier auprès de l entité auditée quels sont ses bases légales et ses intervenants-clés, à comprendre son organisation et son fonctionnement, à collecter des données chiffrées et à procéder à l analyse des risques qui lui sont propres. À ce stade, un plan de mission est rédigé avec notamment les objectifs de la mission, les moyens à disposition, les travaux dévolus à chaque intervenant de la Cour et les délais impartis dans le déroulement de la mission. 3 ème phase : Récolte d informations Cette phase consiste à déterminer les sources de l information pertinente, à savoir quelles sont les personnes-clés à contacter et quelles sont les informations Audit de gestion Gouvernance globale des systèmes d information 8 / 46

9 qui sont nécessaires à l atteinte des objectifs. Ensuite, les collaborateurs de la Cour et/ou les tiers mandatés procèdent à des entretiens et collectent les informations requises. 4 ème phase : Vérification et analyse de l information Cette phase consiste d une part à s assurer que les informations récoltées sont fiables, pertinentes, complètes et à jour et d autre part à les analyser et à les restituer sous la forme de documents de travail. 5 ème phase : Proposition de recommandations Cette phase consiste à établir les constatations significatives, à déterminer les risques qui en découlent et enfin à proposer des recommandations afin de rétablir la légalité des opérations, la régularité des comptes ou d améliorer la structure ou le fonctionnement de l organisation. 6 ème phase : Rédaction du rapport Cette phase consiste à rédiger le rapport conformément aux documents de travail et à la structure adoptée par la Cour des comptes. 7 ème phase : Validation du rapport Cette phase consiste à discuter le contenu du rapport avec l entité auditée, avec pour objectif de passer en revue les éventuelles divergences de fond et de forme et de s accorder sur les priorités et délais des recommandations. La Cour qualifie les constats de ses audits en fonction d une typologie des risques Ainsi, chaque thème développé dans ce rapport fait l objet d une mise en contexte, de constats, de risques découlant des constats et de recommandations (numérotées en référence aux constats) soumis aux observations de l audité. Les risques découlant des constats sont décrits et qualifiés en fonction de la typologie des risques encourus, risques définis dans le Glossaire qui figure au chapitre 7. Afin de faciliter le suivi des recommandations, la Cour a placé au chapitre 6 un tableau qui synthétise les améliorations à apporter et pour lequel l entité auditée indique le niveau de risque, le responsable de leur mise en place ainsi que leur délai de réalisation. Audit de gestion Gouvernance globale des systèmes d information 9 / 46

10 3. CONTEXTE GÉNÉRAL 3.1. Gouvernance des systèmes d information (SI) Selon le guide d audit «Gouvernance du Système d Information 1», «la gouvernance par l entreprise ou l organisation de son SI est une démarche de pilotage, concernant l ensemble des responsables et pas seulement la direction des SI (DSI), ayant pour objectifs : - d apporter une contribution maximale à la création de valeur pour l organisation ; - d aligner le système d information sur la stratégie de l organisation ; - d optimiser l utilisation des ressources ; - et de maîtriser les risques en fonction des enjeux de l organisation. [ ] La gouvernance du SI est donc une démarche de management concernant l ensemble des responsables, qui s inscrit dans la gouvernance de l entreprise ou de l organisation et vise à développer la confiance entre les parties prenantes». Afin de faciliter la lecture de l analyse de la Cour (chapitre 4), il sied de décrire succinctement deux éléments techniques importants : Le plan directeur informatique Le plan directeur informatique a pour but d identifier, de qualifier et de préparer la mise en œuvre de la stratégie qui devra être suivie dans les années à venir afin de développer un système d information de manière cohérente et efficiente (planification stratégique). Sa conception passe généralement par les six étapes clés suivantes 2 : - Planification du projet : vise à s assurer que les aspects stratégiques (missions, objectifs) sont connus de tous. Ces éléments servent de base à l établissement du plan directeur. C est ici que les priorités, les contraintes, les facteurs clés de succès sont identifiés et communiqués. - Analyse (situation actuelle et besoins) : la situation actuelle de l existant (cartographie des SI) ainsi que les besoins actuels et à moyen terme sont identifiés. - Orientations générales et possibilités d action : c est à cette étape que débute l intégration des informations permettant de définir l orientation informationnelle pour l État qui doit être en cohérence avec les objectifs stratégiques. - Scénarios possibles : les options sont examinées et les choix sont orientés selon les objectifs des départements, les priorités, les ressources (humaines et financières) disponibles. Cette étape permet de produire des analyses comparatives entre les scénarios et de comparer les coûts/bénéfices attendus. - Choix de l orientation : c est à cette étape que le choix est effectué et qu il est ensuite détaillé dans une planification (priorités, calendrier, engagements, ressources). - Mise en œuvre du plan directeur : mise en place des moyens de pilotage permettant de s assurer que les réalisations correspondent au plan directeur et de prendre des mesures correctives si nécessaire. 1 Guide publié en juin 2011 par le Cigref, l IFACI et l AFAI. 2 Source : Développement économique, innovation et exportation, Québec. Audit de gestion Gouvernance globale des systèmes d information 10 / 46

11 Les cartographies des SI Une cartographie des SI est un outil d aide à la décision qui vise à donner une image de la situation actuelle et future des SI. Cet outil permet d en connaître toutes les facettes (métier, fonctionnel, applicatif et technique) dans le but : - D avoir une vision commune et partagée des SI de l'état de Genève ; - D identifier la situation actuelle, future ainsi que les modalités pour y parvenir ; - De mieux maîtriser l intégration des nouveaux projets ; - De mettre en évidence les redondances éventuelles ; - De permettre la mise en place de composants transversaux. Source : Club Urba-EA POS du SI : plan d occupation fonctionnel du SI Audit de gestion Gouvernance globale des systèmes d information 11 / 46

12 3.2. Principales bases légales S agissant des systèmes d information, le Conseil d État a édicté les trois règlements suivants : - Le règlement du centre des technologies de l information du 22 décembre 2004 (B , RCTI) régit le CTI (actuellement DGSI). il définit notamment sa mission, ses compétences, sa structure et son fonctionnement ; - Le règlement sur l'organisation de la gestion des systèmes d'information du 6 avril 2011 (B , ROGSI) «a pour but de définir les rôles et responsabilités des différents services chargés des systèmes d information au sein de l administration cantonale» ; - Le règlement concernant la protection des applications et des systèmes informatiques dans l administration cantonale du 5 avril 2000 (B , RCPA) a pour but de s assurer que les applications et systèmes soient protégés contre les risques qui menacent leur disponibilité, leur intégrité et leur confidentialité Principaux acteurs et chiffres clés Au sein de l État de Genève, sur le plan organisationnel, la gestion des SI s effectue d une part de manière transversale (direction générale des systèmes d information (DGSI) et autres intervenants) et, d autre part, de manière «verticale», au sein d unités administratives départementales chargées des SI : - Pouvoir judiciaire : direction des systèmes d information ; - Chancellerie : service organisation et systèmes d information ; - Département des finances : unité des systèmes d information ; - Département de l instruction publique, de la culture et du sport : direction des systèmes d information ; - Département de la sécurité : systèmes d information, logistique et organisation ; - Département de l urbanisme : direction de l organisation et des systèmes d information ; - Département de l'intérieur, de la mobilité et de l'environnement : service des systèmes d information et de géomatique, centre de compétence du SITG ; - Département de la solidarité et de l emploi : service des systèmes d information et organisation ; - Département des affaires régionales de l économie et de la santé : direction des systèmes d information et archives. Audit de gestion Gouvernance globale des systèmes d information 12 / 46

13 En l absence de schéma global disponible au sein de l administration, la Cour a créé un schéma simplifié présentant les principaux intervenants impliqués dans la gestion des SI : D un point de vue financier, la DGSI ainsi que chaque unité administrative chargée des SI disposent de leur propre budget de fonctionnement. Un crédit de programme (investissement) géré par la DGSI est également disponible afin de conserver et maintenir à niveau le socle des technologies de l information 3. Enfin, des demandes de crédits d ouvrage (investissement) sont régulièrement déposées afin de financer de nouveaux projets informatiques : refonte de l outil informatique de l administration fiscale cantonale, refonte de l application «amendes d ordre et contraventions», etc. 3 La DGSI procède aux renouvellements et/ou remplacements nécessaires dus à l obsolescence des infrastructures et aux améliorations liées aux évolutions techniques, qu il s agisse d immobilisations corporelles (PC, imprimantes, serveurs, périphériques, baies de stockage, robots de sauvegarde, câblage réseau, fibre optique, téléphones, fax, switchs, routeurs) ou incorporelles (applications, logiciels). Le crédit inclut également les crédits pour de nouveaux équipements destinés aux départements et aux écoles (essentiellement des PC et des périphériques), ainsi que les nouveaux petits projets applicatifs pour les offices et services, lesquels ne font pas l objet d un projet de loi spécifique. Audit de gestion Gouvernance globale des systèmes d information 13 / 46

14 Délégation du Conseil d État à internet Selon l article 31 al. 1 du règlement pour l organisation du Conseil d État de la République et canton de Genève du 25 août 2005 (RCE, B ), «le Conseil d État peut constituer parmi ses membres des délégations chargées, à titre permanent ou temporaire, de l examen ou du suivi d affaires de grande importance et de lui soumettre des propositions». Selon l extrait du procès-verbal de la séance du Conseil d État du 17 avril 2013, le Conseil d État a décidé d instituer une délégation du Conseil d État à internet présidée par le conseiller d État en charge du DS Collège des secrétaires généraux La chancelière d État, le vice-chancelier, ainsi que les secrétaires généraux des départements forment le collège des secrétaires généraux. Selon l article 5 du règlement sur les secrétaires généraux de départements et le collège des secrétaires généraux du 31 mai 1966 (RSGC, B ), le collège «a la responsabilité de coordonner et d harmoniser la gestion des fonctions transversales de l administration cantonale. Il édicte à cette fin les directives nécessaires». Suite à l arrêté du Conseil d État du 13 juin 2007 relatif à l organisation des fonctions transversales qui précise que le collège des secrétaires généraux est chargé de procéder à la mise en place de la nouvelle organisation, le Conseil d État a décidé, selon l extrait du procès-verbal de la séance du Conseil d État du 7 mars 2012, d instaurer les collèges spécialisés permanents suivants : finances, ressources humaines, contrôle interne, systèmes d information, logistique et communication. La mission principale de ces collèges spécialisés permanents est d assurer la coordination transversale dans leur domaine respectif, de proposer des solutions de manière concertée et de mettre en œuvre ce qui est décidé par les autorités compétentes. Selon l extrait du procès-verbal de la séance du Conseil d État du 20 février 2013, le Conseil d État a décidé d instituer et de reconduire les collèges spécialisés permanents suivants : finances, ressources humaines, contrôle interne, systèmes d information, logistique, communication et affaires juridiques Collège spécialisé des systèmes d'information (CSSI) Selon l article 7 du ROGSI, «la coordination transversale des systèmes d'information est assurée par le collège spécialisé des systèmes d information. Celui-ci est subordonné au collège des secrétaires généraux. Le collège a pour mission de coordonner la mise en œuvre opérationnelle dans le domaine des systèmes d information et a notamment pour rôle : a) d assurer la compatibilité et l interopérabilité des systèmes d information; b) de veiller à ce que l administration tire pleinement parti du potentiel des systèmes d information; c) d harmoniser et de partager les projets intéressant plusieurs systèmes d information; d) de veiller à la mise en œuvre de la sécurité des systèmes d'information par les départements; e) de veiller à l'utilisation de standards». Audit de gestion Gouvernance globale des systèmes d information 14 / 46

15 Le CSSI est composé des directeurs des systèmes d information des départements, de la chancellerie, de l archiviste d État et du directeur de l office cantonal de la statistique. Il est présidé par le directeur général des systèmes d information Comité sécurité des SI (ComSec-SI) Selon l article 5 du RCPA, «le comité «sécurité informatique» est chargé notamment de définir la politique générale en matière de sécurité des systèmes et applications informatiques». Le comité sécurité des SI est un sous-comité du CSSI. Il est composé de tous les responsables des systèmes d information départementaux. Il est présidé par le directeur de la sécurité et des événements spéciaux de la DGSI. Le comité sécurité des SI s organise en groupe de travail pour traiter des thèmes particuliers Commission de gestion du portefeuille des projets (CGPP) Selon l arrêté départemental du DCTI du 18 février 2011, les missions de la CGPP 4 sont les suivantes : - «présélectionner les nouveaux projets d investissements en les priorisant sur la base des critères adoptés par le Conseil d État ; - allouer les crédits nécessaires aux petits projets dans le cadre du montant prévu à cette fin dans le budget d investissements (crédit de programme) ; - suivre, dans le cadre de l examen annuel des projets, le respect des engagements pris par le département en matière de ROI 5 des projets ; - évaluer tout projet lié aux technologies de l information prévu dans le cadre d un programme ou présenté hors processus budgétaire ; - une fois l an, passer en revue tous les projets en cours dans la perspective de l envoi de la fiche de suivi demandé par la commission des finances ; - formuler toute proposition permettant d atteindre les objectifs fixés par le Conseil d État en matière d investissements». La composition actuelle de la CGPP est la suivante : - Un secrétaire général adjoint du DS, président de la CGPP ; - Le directeur administratif et support, office des bâtiments, DU ; - Le secrétaire général du Pouvoir judiciaire ; - Le directeur du budget à la direction générale des finances de l État, DF ; - La directrice des finances à la direction du cycle d orientation, DIP. 4 Une analyse complète de la CGPP figure dans le rapport no 13 de la Cour des comptes publié le 30 juin Retour sur investissement. Audit de gestion Gouvernance globale des systèmes d information 15 / 46

16 Direction générale des systèmes d'information (DGSI) La Direction générale des systèmes d'information (DGSI) est rattachée au Département de la sécurité (DS). Son activité fait partie des activités de support et prestations de moyen de l État et plus particulièrement du programme «P05 développement et gestion des systèmes informatiques». Selon le compte de fonctionnement 2012 par politique publique et par programme, ce programme vise à : - «Assurer la gestion, le développement, l évolution et l exploitation des systèmes d information et de communication de l État de Genève dans certains cas 24 heures sur 24, 7 jours sur 7, notamment pour garantir le fonctionnement des centrales d alarmes et d engagement 117 et 144 ; - En particulier, maintenir les infrastructures de l État dans le domaine des technologies de l information et de la communication dont les 29'400 postes de travail (ordinateurs «personnels») répartis sur 500 sites géographiques, les serveurs informatiques et le réseau de télécommunication, incluant la téléphonie ; - Garantir un niveau de sécurité de l information conforme aux exigences légales et aux besoins de l État». Le programme P05 contient les prestations «environnement informatique et support utilisateurs», «gestion du portefeuille de projets» et «gestion des infrastructures informatiques». La DGSI est dirigée par une direction générale. Quelques entités y sont directement rattachées telles que la direction sécurité et évènements spéciaux, la direction administrative et gestion, le centre d expertise des SI (CESI) et l observatoire technologique (OT) (voir le schéma au point 3.3). Dans sa partie opérationnelle, la DGSI est composée de quatre directions qui sont elles-mêmes structurées en services et secteurs 6 : - Pôle clients : «est chargé du suivi de la relation client, notamment en analysant les besoins des services, et en élaborant avec eux leur stratégie informatique et son évolution» ; - Centre de solutions : «conçoit, délivre et maintient des solutions exploitables en conformité avec les standards de la DGSI» ; - Infrastructures : «est chargée de maintenir et de faire évoluer le réseau informatique, les télécommunications, les infrastructures et la sécurité informatique de l'état, afin de prendre en charge dans les meilleures conditions les solutions mises en place pour les clients» ; - Services : «a pour tâche de mettre à disposition des utilisateurs un environnement de travail informatisé adéquat, et de garantir son bon fonctionnement et son utilisation correcte». 6 Source : Audit de gestion Gouvernance globale des systèmes d information 16 / 46

17 Au 1 er mars 2013, la DGSI comptait 367 équivalents temps plein (ETP) internes, dont 53 auxiliaires et agents spécialisés, ainsi que 194 externes sous contrat de location de services (L.S.E) 7, selon la répartition suivante : Internes Externes (L.S.E) Direction générale Secrétariat de direction Observatoire technologique Centre d'expertise des SI (CESI) Direction administrative et gestion Sécurité et événements spéciaux Direction pôle clients Direction centre de solutions Direction infrastructures Direction services Total D un point de vue financier, les charges de fonctionnement de la DGSI pour l année 2012 se sont élevées à près de 140 millions et les revenus à environ 2 millions selon le détail suivant : CHARGES 132'715' '814'346 (1) 30 Charges de personnel 43'233'410 43'837'117 (2) 31 Dépenses générales 44'809'381 38'838'528 (3) 33 Amortissements, provisions, irrécouvrables 44'664'993 57'127' Imputations internes 7'264 10'810 REVENUS 1'484'543 1'949' Recettes diverses 1'298'563 1'581' Subventions acquises 129' ' Imputations internes 56'813 0 RESULTAT (REVENUS - CHARGES) -131'230' '865'175 (1) Ce montant intègre une diminution d'environ 14 millions liée à l'activation des charges de personnel en investissements (montant déduit des charges de personnel pour être intégré dans les investissements). Hors activation, les charges de personnel de la DGSI s élèvent donc à environ 58 millions ( ). (2) Les charges relatives aux externes sous contrat L.S.E. sont comprises dans cette rubrique. (3) L augmentation de la rubrique entre 2011 et 2012 s explique par des amortissements résultant de bouclements de loi importants en Par ailleurs, les dépenses d investissement relatives aux crédits d ouvrage se sont élevées à 17.6 millions pour l année 2012 et à 19.4 millions pour l année La location de services est une forme de travail temporaire régie par la loi fédérale sur le service de l emploi et la location de services du 6 octobre 1989 (RS , LSE) et son ordonnance du 16 janvier 1991 (RS , OSE). Elle met en jeu trois acteurs : un employeur (l'agence de location de services ou le bailleur de services), un salarié (le travailleur intérimaire) et une société dans laquelle ce salarié est détaché (l'entreprise d'accueil ou l'entreprise locataire de services). Audit de gestion Gouvernance globale des systèmes d information 17 / 46

18 Enfin, comme mentionné précédemment, la DGSI gère un crédit de programme de millions pour les exercices 2011 à 2014 (L 10726) afin de conserver et maintenir à niveau le socle des technologies de l information de l ensemble de l administration cantonale. Le tableau ci-après met en évidence la répartition de ce crédit (en milliers de francs) : Total (7) Budget Réel Budget Réel Budget Budget DF 10'008 10'506 9'900 8'657 8'500 DIP 6'981 5'956 5'800 5'079 5'000 DS 2'100 1'906 2'300 2'189 1'800 CHA 1'646 1'488 1'196 1'308 1'100 DU 2' ' DSE 1' '200 1'270 1'200 DARES '355 DIME PJ '500 1'445 1'200 Centre de solutions DGSI (1) 3'200 3'282 2'000 2'825 1'600 Pôle clients DGSI (2) 1' PPFVA (3) 2' ' '000 Rad (4) 1'200 1'200 1' DIP Pédago 1'300 1'400 1'300 1'282 1'300 1' Infrastructures / Services (5) 28'400 28'882 28'400 26'894 28'400 28'400 Total 63'668 59'211 60'764 52'833 54'300 54' '400 (1) Montants relatifs aux évolutions des outils métiers du centre de solutions ainsi qu à de nouvelles versions d outils de développement. (2) Montants relatifs au développement de produits métiers pour le pôle clients. (3) Un PPFVA est un petit projet à forte valeur ajoutée. Selon sa définition, il doit répondre aux critères suivants : - viser un objectif précis permettant de délivrer de substantielles nouvelles fonctionnalités ou de nouvelles prestations. Concrètement, il s'agit de créer une nouvelle immobilisation ou d'ajouter une valeur à une immobilisation existante ; - porter sur les familles des immobilisations incorporelles existantes, à l'exclusion du matériel. (4) Le centre de solutions et le pôle clients ont mis en place en fin d année 2010 une possibilité d effectuer des projets Rad (Rapid Application Development) qui permet un contact direct entre les demandeurs et le développeur et de trouver des solutions rapides (moins de 4 mois entre le premier contact et la livraison de l application) à des besoins qui étaient auparavant comblés par les départements avec des applications Excel, Access ou Filemaker. (5) Infrastructures et services liés aux systèmes d information de la DGSI, postes de travail, serveurs, câblage réseaux et télécommunications, etc. (6) Montant global non encore ventilé. (7) Réel réel budget budget Depuis 1998, le CTI (devenu depuis lors la DGSI) a connu de nombreux projets de réorganisation. Le dernier projet de réorganisation a été initié en 2013 par le nouveau directeur général de la DGSI. Celui-ci fait suite au projet de mise en place de la nouvelle organisation du CTI démarré en juillet 2008 et finalisé en février Il a pour objectif d améliorer la gouvernance des SI de l État de Genève. Dans ce cadre, la DGSI a entamé une refonte du ROGSI en janvier 2013 qui devrait aboutir d ici à l été Audit de gestion Gouvernance globale des systèmes d information 18 / 46

19 Unités administratives chargées des SI Selon l article 6 du ROGSI, les unités administratives chargées des systèmes d information «assurent le conseil et le support des services de l administration cantonale dans ce domaine». Comme mentionné précédemment, elles regroupent les sept départements de l administration ainsi que la chancellerie et le Pouvoir judiciaire. Toujours selon l article 6 du ROSGI, «elles ont notamment pour tâches : - d élaborer et de mettre en œuvre une stratégie départementale en matière de systèmes d'information ; - d assimiler les différents métiers du département pour pouvoir identifier les systèmes d'information, les flux de données et d'informations et rechercher, avec les offices et services concernés, les moyens à mettre en œuvre pour traiter ces flux ; - de conseiller et d assister la direction du département, les directions générales et les services dans l'élaboration et la gestion de leur système d'information ainsi que dans tout projet lié (depuis les phases de conception jusqu à la mise en œuvre) selon la méthodologie standard. Dans ce cadre, elles élaborent des tableaux de bord, des suivis de projets et des outils de communication ; - de coordonner, sur le plan organisationnel, le développement des systèmes d'information du département en veillant à leur intégration harmonieuse dans les systèmes d'information transversaux et inter-institutions et d'assurer l'accompagnement au changement ; - de gérer et de répartir entre les services du département les moyens alloués aux systèmes d information ; - d assurer le suivi financier des projets liés aux systèmes d information; - d établir et de suivre les niveaux de service au niveau de l organisation et de l utilisation des outils informatiques ; - d assister les directions générales et les services pour la mise en valeur de leur patrimoine informationnel ; - de mettre en œuvre la sécurité des systèmes d'information du département ; - d assurer le pilotage, la gestion et l activité opérationnelle du ou des centres de compétence qui lui sont rattachés». Au total, les unités administratives chargées des SI regroupent ETP et réalisent en majorité des tâches d analyse des besoins et projets et de centre de compétences / helpdesk 8 : Activités des unités (en ETP) CHA DF DIP DS DU DIME DSE DARES PJ Total Management Conseil organisationnel / veille technologique Centre de compétences / Helpdesk (proximité) Analyse des besoins et projets Sécurité Autres (logistique,...) Total Le présent tableau ne comprend pas les ETP du service école média du DIP qui peuvent inclure des activités liées aux SI, comme le helpdesk. 8 Le tableau représente un regroupement simplifié par catégories effectué par la Cour. Audit de gestion Gouvernance globale des systèmes d information 19 / 46

20 Répartition des ETP par département (source : tableau des activités des unités) Répartition des ETP par activité (source : tableau des activités des unités) Audit de gestion Gouvernance globale des systèmes d information 20 / 46