Intervention de Stéphanie Combes

Il n'y a pas eu d'appel d'offres. Nous avons recours aux services de l'union des groupements d'achats publics (UGAP). Tout comme la centrale d'achat de l'informatique hospitalière (CAIH) ou le réseau des acheteurs hospitaliers (Resah), l'UGAP est une centrale d'achat mise en œuvre pour faciliter l'achat public. Ces structures mettent elles-mêmes en concurrence les acteurs, conçoivent un catalogue dans lequel nous pouvons choisir. Il ne s'agit donc pas d'un contournement du code des marchés publics. La mise en concurrence a été faite, mais non ciblée sur notre projet. Nous nous appuyons donc sur l'UGAP. Nous sommes aujourd'hui une petite structure de 50 personnes, qui n'est pas en capacité de porter un marché de 200 millions d'euros.

Le ministère de la santé a élaboré à l'époque les prérequis : ceux-ci relèvent à la fois du juridique et de la cybersécurité. Nous avons rencontré les industriels et les avons interrogés, à chaque fois, sur le référentiel de sécurité du SNDS, qui est différent de la certification HDS. Le prérequis HDS était également important pour nous : nous n'envisagions pas de sélectionner une structure qui ne soit pas certifiée HDS. Enfin, les prérequis demandés concernaient les fonctionnalités, puisque nous souhaitions mettre en place une plateforme dotée de capacités de calcul et de stockage élastiques. Un document, résumant tous ces prérequis, a été rendu public sur le site de la direction de la recherche, des études, de l'évaluation et des statistiques (DRESS).

Nous avons par ailleurs conduit des échanges bilatéraux avec tous les industriels de l'écosystème français déjà évoqués – Atos, Thales, OutScale, CASD, TeraLab – pour étudier leurs offres. La première étude de réversibilité cote la présence, ou non, des certifications ou des fonctionnalités chez chacun des acteurs. Ces résultats auraient pu être « challengés » par les acteurs, mais cela n'a pas été fait – et pour cause, seul Microsoft était habilité HDS à l'époque. Cela est vrai et vous pouvez le vérifier. Nous avons donc conduit la comparaison, puis nous avons vérifié qu'Open, notre intégrateur, et Microsoft étaient tous deux disponibles au catalogue de l'UGAP. Cette manière de procéder est légale, et plus encore, elle est recommandée par la DINUM. Le mécanisme de centrales d'achat a été mis en place pour faciliter l'achat public.