Mes chers collègues, avant de donner la parole à M. Laurent Caussat et M. Laurent Gratieux, à qui je souhaite la bienvenue, je voudrais revenir sur un point d'actualité dont vous devez être informés.

Mardi dernier, lorsque nous avons auditionné la directrice de la sécurité sociale, la question a été posée du nombre de cartes Vitale actives potentiellement en surnombre, que Mme Grandjean et Mme Goulet estimaient dans leur rapport à 5,2 millions, après un chiffrage clairement explicité. La directrice de la sécurité sociale nous a expliqué qu'il avait été entre-temps procédé à un autre chiffrage au terme duquel ce chiffre avait été ramené à 2,6 millions de cartes ; dont acte.

Mais, quarante-huit heures plus tard, un communiqué de presse conjoint du ministère des solidarités et de la santé et de Bercy annonçait que ce chiffre ne serait que de 600 000 ! Le fait que deux millions de cartes se soient ainsi évaporées, quarante-huit heures après une déclaration sous serment, prête pour le moins à interrogations. Le rapporteur et moi-même poursuivons les investigations, afin d'y voir clair, collectivement. Il ne s'agit pas de se livrer à une bataille de chiffres, mais de clarifier une réalité dont les incidences, notamment financières, sont loin d'être négligeables – la Cour des comptes l'a rappelé dans un rapport. La représentation nationale, ainsi que l'ensemble de nos concitoyens, a besoin d'y voir clair.

Monsieur le président, il semble que la directrice de la sécurité sociale vous ait communiqué des documents. Serait-il possible que l'ensemble des éléments fournis par les personnes auditionnées fassent l'objet d'un partage régulier et systématique, en temps réel, afin de garantir le même niveau d'étude et d'expertise à tous les membres de la commission d'enquête ? Nous sommes tout aussi surpris que vous par les chiffres dont vous venez de faire état, qui ne correspondent pas non plus au calcul que nous avions réalisé sur la base d'un communiqué de presse lui-même élaboré par les organismes de protection sociale en septembre 2019. Une investigation s'impose.

Vous parlez d'or, madame Grandjean. Le rapporteur et moi-même étions précisément dans cette disposition d'esprit : tous les membres de la commission d'enquête ont été destinataires de ces données vendredi, et toutes les informations envoyées au président et au rapporteur vous seront systématiquement transmises sur vos boîtes mèl de l'Assemblée. Nous sommes déterminés à assurer une totale transparence dans la circulation des informations, afin que vous aussi puissiez préparer ces auditions au mieux.

Les nouveaux chiffres de la direction des affaires sociales ont été apportés par communiqué de presse. Au-delà de l'affinage des chiffres, cette démarche pose des questions de méthode. Les organismes sociaux, comme les directions des différents ministères, se doivent de respecter ce qu'est une commission d'enquête et ses pouvoirs d'investigation, sans remettre en cause, par communiqué de presse, quarante-huit heures après, des déclarations effectuées sous serment, ce qui pourrait emporter des conséquences, y compris pénales.

Nous accueillons aujourd'hui deux membres de l'Inspection générale des affaires sociales (IGAS), une inspection générale interministérielle du secteur social, qui réalise des missions de contrôle, d'audit et d'évaluation. L'IGAS conseille les pouvoirs publics et apporte son concours à la conception et à la conduite de nombreuses réformes au sein du secteur public ; elle évalue notamment les conventions d'objectifs et de gestion (COG) des organismes de protection sociale, lesquelles constituent des outils de pilotage pour l'État.

Ces dernières années, l'inspection a réalisé plusieurs rapports en lien avec le sujet de la fraude. M. Laurent Caussat a ainsi participé à la rédaction d'un rapport portant sur la modernisation de la délivrance des prestations sociales, publiés en juin 2017 ; quant à M. Laurent Gratieux, il a été le co-auteur d'un rapport sur l'optimisation des échanges de données entre organismes de protection sociale, paru en février 2016, puis d'un rapport sur l'évaluation de la convention d'objectifs et de gestion 2013-2017 de la Caisse nationale d'allocations familiales (CNAF), dont un volet est précisément consacré à la maîtrise des risques et à la lutte contre la fraude.

Vous pourrez apporter, messieurs, votre éclairage sur le rôle que peuvent jouer les bases de données en matière de lutte contre la fraude aux prestations, particulièrement le répertoire national commun de la protection sociale (RNCPS), dont la mise en place et le déploiement semblent quelque peu laborieux, aux dires de la Cour des comptes.

Nous avons décidé de rendre publiques nos auditions, qui peuvent être consultées en direct et en différé sur le site internet de l'Assemblée.

Avant de vous donner la parole, je vous rappelle que l'article 6 de l'ordonnance du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d'enquête de prêter serment de dire la vérité, toute la vérité, rien que la vérité. Je vous invite donc, messieurs, à lever la main droite et à dire « je le jure ».

J'ai effectivement travaillé sur deux rapports traitant plus ou moins directement de la lutte contre la fraude : le premier était consacré à l'optimisation des échanges de données entre organismes de protection sociale, le second à l'évaluation de la convention d'objectifs et de gestion (COG) de la CNAF, dont un des axes portait sur la maîtrise des risques, qui intègre la lutte contre la fraude.

Ces rapports, notamment le premier, sont déjà anciens. Les choses ont pu changer depuis et nous n'avons pas été chargés de suivre ces évolutions, ni la mise en œuvre de leurs recommandations. J'aurai donc du mal à répondre aux questions que vous nous avez posées sur les suites données à ces rapports ; ils ne concernaient pas directement la lutte contre la fraude.

Le premier rapport répondait à une préoccupation de la direction de la sécurité sociale, soucieuse d'obtenir un état des lieux de l'ensemble des dispositifs d'échanges automatisés d'informations, en particulier d'informations à caractère personnel concernant les allocataires et usagers, entre organismes de protection sociale, mais également entre ces organismes et les grandes administrations d'État, comme la direction générale des finances publiques (DGFIP) et le ministère de l'intérieur, afin d'en avoir une vision la plus exhaustive possible.

Une telle mission n'était pas sans difficulté, dont la première tenait au fait qu'il n'existait aucun inventaire de ces dispositifs d'échanges – si ce n'est dans quelques organismes, et encore de façon très imparfaite. Une part importante du travail a donc consisté à établir les documents qui figurent en annexe du rapport, récapitulant les dispositifs d'échanges automatisés par grands domaines de la protection sociale, en fonction des objectifs du dispositif, de la nature des informations, des supports, des techniques informatiques utilisées, qui pouvaient être différentes.

Ces dispositifs d'échanges répondent d'abord à un objectif de productivité dans la gestion des prestations. Obtenir des informations d'un organisme de confiance par voie informatique est évidemment un gain de temps, surtout si celles-ci alimentent directement les outils de gestion informatiques des caisses de sécurité sociale. La plupart des gains de productivité qu'ont réalisés les caisses de sécurité sociale sont liés à l'automatisation des échanges.

Deuxième objectif, qui rejoint la lutte contre la fraude : le juste paiement – ce que les caisses appellent le paiement « à bon droit » – des prestations. La qualité des informations reçues permet de sécuriser leur calcul en évitant les erreurs et les indus, mais également de rendre la fraude plus difficile : si les allocataires savent que l'organisme auprès duquel ils demandent une prestation a accès à certaines données, notamment fiscales, la probabilité de déclarer ses ressources de manière inexacte baisse.

Remarquons que le paiement à bon droit est également pour les caisses un moyen de lutter contre le non-recours aux prestations sociales, dans la mesure où les informations obtenues les aident à identifier des droits auxquels peut légitimement prétendre un assuré ou un allocataire.

Troisième objectif : l'amélioration de la qualité de service aux usagers, et la simplification des démarches. Si un organisme peut recueillir toutes les données de ressources nécessaires à l'ouverture d'un droit, les démarches pour l'usager en sont d'autant simplifiées.

Le bilan réalisé a montré que les dispositifs existants répondaient plutôt bien aux besoins : aucun système d'échanges de données inutile ou créé sans raison n'a été identifié, mais la démarche a pu parfois paraître désordonnée et peu structurée, du fait d'une organisation essentiellement bilatérale : le même échange pouvait ainsi être réalisé à plusieurs reprises par des organismes différents. Le rapport avait mis en évidence un important besoin de rationalisation ; nous avons fait quelques propositions, notamment à la direction de la sécurité sociale, afin de mieux recenser les besoins des caisses et, lorsque des organismes différents avaient le même besoin, d'utiliser autant que possible le même dispositif plutôt que de multiplier des processus concurrents. Nous sommes appuyés pour ce faire sur une technique développée par la Caisse nationale d'assurance vieillesse (CNAV) : le dispositif de gestion des échanges (DGE).

La DSS avait également souhaité que le répertoire national commun de la protection sociale soit analysé dans le cadre de ce rapport dès lors que les dispositions de la loi de financement de la sécurité sociale pour 2015 prévoyaient d'y intégrer les montants des prestations versées. Nous avons donc réalisé un état des lieux de l'utilisation du RNCPS, dont la mise en œuvre a effectivement été laborieuse : il a fallu plusieurs années pour qu'il fonctionne. Nous avions toutefois constaté fin 2015 une réelle montée en charge de l'utilisation du dispositif, au regard notamment de la finalité du paiement à bon droit par les caisses de sécurité sociale.

L'intégration des montants des prestations répondait à un besoin, exprimé par plusieurs organismes, mais sa réalisation paraissait relativement complexe : il ne suffit pas d'indiquer un montant, il faut également préciser la période à laquelle se rapportent les droits ayant donné lieu au paiement, distinguer le paiement régulier du paiement de rappels ou d'indus, identifier les prestations accordées sur la base des revenus du foyer et non des revenus individuels – le fait que le périmètre n'est pas toujours le même complique l'analyse des montants versés.

Certains organismes souhaitaient utiliser le RNCPS pour prévenir les indus et lutter contre la fraude, en combinant les informations : le montant des prestations versées à l'heure dite, mais également l'historique de ces prestations. Un tel objectif nous paraissait très ambitieux, dans la mesure où cela supposait de changer la nature même du dispositif. En l'état actuel des choses, le système national permet d'identifier pour chaque assuré tous les organismes de sécurité sociale qui lui versent des prestations ; pour connaître les montants versés, il interroge chaque organisme et fait apparaître les données de façon temporaire. Mais pour réaliser un historique, il aurait fallu transformer ce système en un entrepôt de données, ce qui représentait un travail autrement plus important.

Dans le second rapport, qui portait sur la convention d'objectifs et de gestion de la CNAF, nous avons analysé la façon dont la caisse avait répondu aux objectifs qui lui étaient fixés en matière de maîtrise des risques ; ce qui, là encore, dépasse largement le domaine de la lutte contre la fraude, puisqu'il comprend entre autres celui de la qualité de la liquidation par les services des caisses d'allocations familiales (CAF).

Pendant la période couverte par la COG – 2013 à 2017 –, des progrès importants ont été réalisés dans la détection d'indus frauduleux grâce à l'utilisation de techniques d'exploration de données ou data mining, lesquelles visaient à mieux cibler les vérifications approfondies que mènent les contrôleurs des CAF, notamment les contrôles sur pièces et sur place. Le rendement des contrôles a augmenté de manière spectaculaire sur la période, du fait du meilleur ciblage obtenu grâce à ces techniques. Encore faut-il éviter que le dispositif ne s'auto-alimente en concentrant les contrôles sur les risques ciblés selon certains critères, sans chercher à détecter les nouvelles techniques de fraude qui peuvent éventuellement apparaître. Ce qui suppose, de l'avis de certains gestionnaires de caisses, de faire évoluer les outils d'exploration de données, pour prendre en compte l'évolution des risques de fraude.

Dans ce rapport, nous avons notamment conclu que, pour accroître la productivité des caisses, la qualité de leur liquidation et de service aux usagers ainsi que la simplification des démarches, il était capital d'étendre et de systématiser les dispositifs d'échanges de données avec d'autres caisses de sécurité sociale et administrations, et de cibler prioritairement les échanges de données de ressources. L'accès à l'ensemble des ressources prises en compte pour la délivrance des prestations, de manière sécurisée, avec une bonne qualité d'information, est pour les caisses de sécurité sociale une garantie d'amélioration de la qualité du travail et de limitation des risques d'indus et de fraudes.

Vous avez indiqué que le RNCPS n'avait pas été conçu comme une banque de données. Or des demandes avaient été formulées en ce sens lors des débats sur le projet de loi de financement de la sécurité sociale pour 2015. Les administrations avaient ensuite procédé à divers échanges et porté diverses appréciations ; reste qu'en 2014, la loi avait précisé ce point pour éviter toute ambiguïté : le montant des prestations en espèces devait figurer dans le répertoire national. Vous nous dites aujourd'hui que ce n'est manifestement pas le cas. Pouvez-vous expliquer ce qui peut justifier qu'une loi adoptée en 2014 ne soit pas appliquée en 2020 ? Vous comprendrez que le législateur s'interroge sur une telle situation.

La mission que nous avait confiée la direction de la sécurité sociale visait à réfléchir à la façon de faire évoluer le dispositif pour intégrer les montants des prestations versées, comme le prévoyait la loi. Par ailleurs, les organismes et de nombreux utilisateurs du RNCPS considéraient cette évolution comme un progrès important.

Le dispositif était pourtant complexe à appliquer. Nous étions simplement chargés d'évaluer les travaux à mener ainsi que le calendrier nécessaire. Comme je l'ai indiqué, plusieurs difficultés devaient être résolues. Il fallait tout d'abord préciser, outre le montant de prestations versées, la période de référence de ces prestations, ainsi que leur périodicité, et distinguer le montant dû au titre d'une prestation mensuelle ou de rappels, pour que les services utilisateurs, qui ne connaissent pas nécessairement le fonctionnement de la prestation, puissent identifier la donnée à prendre en compte.

D'autres questions, liées à la composition du foyer, devaient également être résolues. La recherche dans le RNCPS se fait grâce au numéro d'inscription au répertoire (NIR) de l'assuré. Mais, pour les prestations familiales, par exemple, la CNAF peut indiquer le nom d'un couple comme bénéficiaire, et il ne faut pas que la prestation soit comptabilisée deux fois par la suite. Il était donc nécessaire d'établir des règles pour clarifier la façon de procéder dans ce cas.

Autre exemple : lorsqu'une personne commençait à percevoir des allocations chômage, Pôle emploi positionnait les périodes non indemnisées en début de mois, alors que la réalité pouvait être différente. Pour chaque prestation, il était donc nécessaire de préciser les règles de gestion comme d'appréciation des ressources. Encore fallait-il se donner le temps de le faire sérieusement, afin d'éviter des erreurs d'appréciation.

Enfin, la réalisation d'un historique supposait de transformer le système, qui n'avait pas été conçu techniquement comme un entrepôt de données, mais comme un système d'interrogation des données figurant dans chaque organisme. C'est ce dispositif que la Commission nationale de l'informatique et des libertés (CNIL) avait validé. De l'avis des organismes, un historique de trois ans était nécessaire pour remédier aux indus, mais une recherche sur cinq ans était préférable s'il s'agissait de lutter contre la fraude – ce qui relevait d'un nouveau chantier technique, puisque cela amenait à reconstruire l'outil, la solution initialement retenue n'était pas compatible avec cet objectif.

Notre rapport, rendu en novembre 2015, a souligné toutes ces difficultés et précisé que l'intégration des montants de prestations sans historique était plus facile à réaliser, bien qu'impossible à atteindre à l'échéance fixée, autrement dit le 1er janvier 2016. Nous avions par la suite évalué les délais nécessaires pour ce faire, de même que le délai supplémentaire pour transformer le système en entrepôt de données.

Merci pour toutes ces précisions. Vous étiez naturellement dans votre rôle en soulignant ces difficultés dans votre rapport ; mais comprenez qu'en tant que parlementaires, nous soyons frustrés de constater où en est, en 2020, la mise en œuvre d'une loi promulguée en 2014…

Je reprends naturellement à mon compte les remarques liminaires de mon collègue sur le risque d'anachronisme qu'il y a à évoquer un rapport rédigé voici près trois ans, ainsi que sur le caractère non exhaustif de notre connaissance de l'intégralité des suites qui ont pu y être données.

Vous avez évoqué le rapport que j'ai corédigé avec nos collègues de l'Inspection générale des finances sur la modernisation de la délivrance des prestations sociales, remis aux ministres en charge des affaires sociales et du budget en juin 2017. À vrai dire, le lien entre les questions traitées dans ce rapport et la lutte contre la fraude aux prestations sociales qui intéresse votre commission d'enquête ne s'impose pas au premier abord.

Ce rapport avait pour origine un amendement adopté par l'Assemblée nationale à l'article 112 de la loi de finances pour 2017, que M. Dominique Lefebvre avait présenté lors des débats sur le prélèvement à la source de l'impôt sur le revenu. Le Gouvernement ayant défendu ce dispositif au nom d'une meilleure adéquation entre le prélèvement subi par les contribuables et leur revenu courant, les parlementaires ont été d'avis que le même raisonnement pouvait être tenu pour les prestations sociales, et que l'on pouvait essayer d'ajuster le mode de calcul et de versement des prestations sociales afin qu'elles reflètent plus fidèlement les fluctuations du revenu des contribuables. Autrement dit, le but visé à l'époque était surtout de renforcer l'adéquation des prestations sociales aux besoins socio-économiques des personnes et des familles. Néanmoins, il me semble, en le relisant trois ans plus tard, que certaines des réflexions qui le sous-tendaient peuvent utilement nourrir les travaux de votre commission d'enquête.

Le calcul d'un grand nombre de prestations sociales, dès lors qu'elles tiennent compte des ressources des bénéficiaires, pose deux types de problèmes bien différents.

Premièrement, certaines d'entre elles – les prestations familiales, les aides au logement – sont calculées sur la base des déclarations fiscales des allocataires. Cela présente un avantage certain : on dispose de données déclarées, sous la signature de l'intéressé, et contrôlées par l'administration fiscale, et donc fiables. En revanche, elles ont l'inconvénient de présenter une antériorité certaine, jusqu'à deux ans. Ce décalage amoindrit, voire annule, le rôle d'amortisseur de ces prestations : des montants élevés, calculés sur la base de revenus très faibles, peuvent être versés à un allocataire alors que celui-ci est entre-temps revenu à meilleure fortune, ou inversement.

Le deuxième problème, quasiment symétrique, tient au fait que d'autres prestations sociales sont déterminées sur la base de revenus déclarés trimestriellement ou annuellement par les demandeurs. C'est le cas de la prime d'activité ou du revenu de solidarité active (RSA), ainsi que de la complémentaire santé solidaire, cette dernière répondant à une logique de déclaration annuelle. Le risque d'erreur déclarative est alors considérable car on demande aux allocataires leur salaire net perçu, montant qui ne figure pas sur le bulletin de salaire et qui est très difficile à reconstituer. Ces erreurs expliquent une bonne partie des 3,3 milliards d'euros de versements indus au titre de la branche famille – même si le chiffre mérite probablement d'être actualisé. Certes, le processus de récupération des indus fonctionne globalement bien mais, pour des personnes ou familles à revenus modestes, il est facteur d'à-coups dans leurs ressources, et donc de difficultés potentielles.

Face à ces difficultés, notre rapport avait proposé une trentaine de recommandations, en s'appuyant sur le principe « Dites-le nous une fois » (DLNUF) qui permet désormais aux administrations et organismes sociaux de s'échanger des informations, ce qui évite de les redemander aux allocataires.

Nous avions proposé d'utiliser la déclaration sociale nominative (DSN), remplie mensuellement par tous les employeurs du secteur privé depuis 2017, qui permet donc d'appréhender les salaires perçus par les allocataires.

Nous préconisions également la création d'une deuxième déclaration nominative, que nous avions appelée déclaration nominative complémentaire, afin de récupérer les données relatives aux salaires du secteur public et aux revenus de remplacement – retraites, allocations chômage, indemnités journalières, etc. Cette déclaration devait être alimentée par le flux mensuel du prélèvement à la source pour les revenus autres, dit PASRAU, grâce auquel les organismes payeurs de ces salaires et revenus de remplacement transfèrent à l'administration fiscale le montant de l'impôt sur le revenu, une fois que l'administration fiscale leur a communiqué le taux de prélèvement à la source.

Les autres revenus – revenus d'activité non salariée, du patrimoine ou revenus de source étrangère par exemple –, qui entrent dans la base des ressources prises en compte pour le versement des prestations sociales, dite base ressources, devaient continuer à être appréhendés par le biais fiscal, autrement dit avec un retard de deux ans.

Notre objectif était de conserver le caractère automatique de la collecte des principaux revenus entrant dans la base ressources des prestations familiales et des aides au logement, mais en substituant aux données fiscales vieilles de deux ans des données mensuelles contemporaines. Pour la prime d'activité et le RSA, nous proposions le préremplissage des cases « salaires » et « revenus de remplacement » lors de la déclaration trimestrielle des allocataires, afin d'éviter les erreurs déclaratives massives observées dans le dispositif actuel.

Ces recommandations ont été très largement suivies d'effets.

En premier lieu, l'article 78 de la loi de financement de la Sécurité sociale pour 2019 a créé un dispositif de restitution aux organismes de protection sociale des données sur les salaires et les revenus de remplacement. Ce dispositif de ressources mutualisées (DRM) est alimenté par la DSN et le flux PASRAU.

En deuxième lieu, les administrations sociales ont établi une feuille de route de l'utilisation du DRM qui prévoit la mobilisation de ces données mensuelles pour calculer un grand nombre de prestations sociales, avec des entrées en vigueur échelonnées. Dès avril 2020, le DRM sera mobilisé pour le calcul des aides au logement. En 2020 également, il permettra de revaloriser de façon différenciée les pensions de retraite et d'alimenter le portail numérique des droits sociaux et du RNCPS.

Ultérieurement, il est prévu d'utiliser ces données pour le préremplissage des déclarations de salaires et de revenus de remplacement pour le versement de la prime d'activité. En 2021, il est envisagé de poursuivre avec la complémentaire santé solidaire, les pensions d'invalidité, les indemnités journalières, etc.

À partir d'avril, les aides au logement seront calculées en appréhendant les salaires et les revenus de remplacement sur les douze mois les plus récents, les autres revenus restant appréhendés sur la base de la déclaration fiscale de l'antépénultième année – je participe au projet en appui des administrations chargées de la sécurité sociale et du logement. Ce dispositif sera opérationnel à la fois pour les allocataires déjà connus – la CNAF enverra les NIR des allocataires qu'elle connaît vers le DRM et recevra en retour les montants des salaires et revenus de remplacement –, mais également pour les nouveaux allocataires. Dans ce dernier cas, une interface de programmation applicative ou application programming interface (API) permettra d'interroger individuellement le DRM, alors qu'actuellement, un nouveau demandeur d'aide au logement doit transmettre physiquement sa déclaration fiscale.

En outre, le droit aux aides au logement sera réexaminé trimestriellement, et non plus annuellement. Toutefois, les allocataires devront toujours fournir individuellement certaines informations : ainsi, ceux qui déclarent des frais réels devront le signaler puisque cette information n'est pas enregistrée dans la DSN, où sont seulement enregistrés les salaires bruts et nets.

Toutes ces innovations peuvent-elles contribuer à une plus grande efficacité de la lutte contre la fraude aux prestations sociales ? Même si ce n'est pas, rappelons-le, la principale finalité de ces projets, il est permis de penser que ce sera le cas, pour quatre raisons.

Pour commencer, la fraude se nourrit du risque d'erreurs : si l'on parvient, grâce aux transferts automatiques de données, à limiter ces erreurs, cela limitera aussi les comportements frauduleux. Moins de déclarations, c'est moins de déclarations erronées, et moins de déclaration frauduleuses…

Ensuite, la directrice de la sécurité sociale, Mme Lignot-Leloup, vous l'a probablement indiqué lors de son audition la semaine dernière – cela fait suite à la discussion amorcée sur le RNCPS : l'année 2020 verra également la concrétisation d'une mesure réclamée de longue date par la représentation nationale, prévue par l'article 115 de la loi de financement de la sécurité sociale pour 2015. Le décret du 18 septembre 2019 d'application de l'article 78 de la LFSS 2019 prévoit que le DRM sera utilisé aux fins d'introduction des données de ressources au sein du RNCPS. La mesure devrait entrer en vigueur d'ici à la fin du présent semestre, même si je ne peux vous le confirmer avec la même certitude que la directrice de la sécurité sociale. Les organismes de sécurité sociale disposeront alors d'un outil leur permettant de démultiplier les contrôles.

Enfin, l'appréhension en temps réel des revenus constitue un changement de paradigme : à l'heure actuelle, les droits d'environ 90 % des allocataires sont calculés automatiquement. Les autres allocataires – ceux que l'on ne retrouve pas dans les échanges de l'administration fiscale, ceux dont les ressources sont très faibles, les nouveaux allocataires – doivent fournir des documents justificatifs. Tant qu'ils ne les ont pas fournis, le droit n'est pas ouvert. Le nouveau système sera totalement différent et incitera fortement les organismes à réviser leurs stratégies de contrôle : on va commencer par interroger le DRM et on va analyser ce qu'il renvoie – ou bien les informations renvoyées, ou bien les raisons pour lesquelles il ne renvoie rien : par exemple, il est normal de ne pas trouver le NIR d'un travailleur indépendant en interrogeant la DSN ou le flux PASRAU, puisqu'aucun employeur, et pour cause, ne le connaît comme salarié. Le fait de ne rien recevoir ne va pas inquiéter les caisses d'allocations familiales ; elles examineront sa déclaration fiscale pour connaître ses revenus ou, s'il a commencé son activité récemment, lui demander de les déclarer. Cela suppose en revanche que les situations professionnelles que les allocataires ont l'obligation de déclarer soient bien à jour… En effet, si un salarié devient indépendant mais oublie de le signaler à sa CAF, celle-ci, en allant chercher les informations dans le DRM, trouvera probablement peu ou pas de revenus. Elle calculera alors ses droits en conséquence, sans se douter qu'il a changé de statut. Les organismes auront donc fortement intérêt à repenser leur stratégie de contrôle. De la même façon, il faudra contrôler ex post que le montant des frais réels de l'allocataire correspond à celui qu'il aura déclaré auprès de l'administration fiscale.

Grâce à ces réformes, le renforcement des liens entre administration sociale et administration fiscale ne pourra qu'améliorer l'efficacité de la lutte contre la fraude aux prestations sociales. Les flux entre régimes de protection sociale et administration fiscale sont actuellement pilotés par la DGFIP et par la direction de la sécurité sociale (DSS). L'unité de commandement de ces projets sera de nature à améliorer la communication entre ces deux sphères de l'administration.

À la lecture de vos analyses, la finalité du RNCPS ne semble pas être exactement celle que le législateur a voulu lui donner en 2014 : les données matérialisées sont des requêtes réalisées auprès des organismes prestataires ; elles sont temporaires ; le répertoire n'en est donc pas un, mais plutôt un outil d'interrogation en temps réel des prestations sociales versées. En conséquence, aucun dispositif ne permet à ce jour de contrôler a priori la réalité et la pertinence d'un versement de prestations réalisé par exemple trois à cinq ans auparavant. En outre, le RNCPS ne nous permettra pas de le faire, à moins d'envisager des évolutions techniques relativement importantes que ni la direction de la sécurité sociale ni aucune autre administration de l'État ne semblent avoir prévues.

Dans ce contexte, vous nous avez indiqué qu'il est complexe d'imaginer des croisements de données relatifs aux différentes prestations car ces dernières peuvent s'adresser à des allocataires différents. Ainsi, un foyer peut recevoir une prestation de la caisse d'allocations familiales et un individu de ce foyer percevoir une prestation d'une autre nature. Mais, moyennant un traitement des données, le NIR de chaque allocataire – parfaitement individualisé – ne permettrait-il pas de disposer d'une fiche individuelle des droits à prestation pour chacun d'entre eux, quel que soit son foyer fiscal ? Cela permettrait de contrôler la régularité des versements, les éventuelles erreurs, voire les fraudes avérées.

Je ne sais pas si le dispositif a évolué depuis 2016 mais, à l'époque, il s'agissait effectivement d'une base de données commune, nationale, qui recensait toutes les prestations versées par l'ensemble des organismes participants pour tous les allocataires identifiés par leur NIR. Le RNCPS permettait d'interroger ponctuellement le système pour trouver le NIR d'un allocataire et savoir s'il bénéficiait d'autres prestations. Le système éditait alors des « données complémentaires de prestations » détaillant les droits ouverts pour chaque prestation de chaque régime. Mais ces données disparaissaient à la fin de chaque requête. Il ne s'agissait donc pas d'un entrepôt de données capable de fournir un historique de long terme des prestations reçues par n'importe quel bénéficiaire sur le territoire, ce qui aurait nécessité une évolution technique assez profonde du dispositif. Je ne sais pas où en est la réflexion sur ce point.

Ajoutons que l'organisme national ne dispose pas de toutes les données : les bases sont souvent locales et décentralisées. C'est le cas, si je ne m'abuse, à l'AGIRC-ARRCO. Et l'assurance maladie, pour alimenter et interroger le RNCPS, avait dû créer une base tampon nationale reconstituée à partir de ses bases locales.

Mais l'existence du RNCPS a quand même fait progresser les organismes sur la qualité de l'identification des assurés, qui disposent désormais quasiment tous d'un « NIR certifié », pour lequel toutes les informations d'identité ont été croisées avec la base nationale unique, appelée système national de gestion des identifiants, pilotée par la caisse nationale d'assurance vieillesse. Lorsque le RNCPS a été créé, tous les allocataires des CAF, pour des raisons historiques, ne disposaient pas de ce NIR certifié ; le seul identifiant valide dans les CAF était le numéro d'allocataire, qui n'était pas un numéro national.

Le rapporteur m'a également interrogé sur les croisements de données. Le RNCPS permet de réaliser des requêtes collectives – sur une catégorie de personnes par exemple. On peut ainsi essayer de relever les éventuelles incohérences entre les différentes prestations auxquelles les allocataires ont droit. Mais les résultats des premières expériences réalisées en 2016 n'étaient pas très probants : les cumuls incohérents ou impossibles de prestations relevés par le système étaient le plus souvent liés à l'insuffisante qualité des informations rentrées par les régimes.

Je me suis peut-être exprimé trop rapidement ou de façon inexacte sur le RNCPS : aujourd'hui, quand un organisme interroge de RNCPS pour savoir si un allocataire dont on connaît le NIR bénéficie d'une prestation sociale, le registre lui répond seulement par oui ou non. Bientôt – très vite, selon les informations dont je dispose – la base indiquera également le montant des prestations.

Au moment seulement où l'on interroge le répertoire.

En effet. Il n'y a pas d'historisation des données.

Pour permettre et faciliter les croisements de données, il faut disposer d'informations très précises sur les périodes auxquelles se rapportent les montants versés. Si ce n'est pas très compliqué pour les prestations régulières – pensions de retraite, allocations familiales –, cela devient autrement plus complexe pour les allocations chômage ou les indemnités journalières en cas de maladie, qui peuvent être versées avec un décalage de plusieurs semaines ou de plusieurs mois par rapport à la période d'ouverture des droits. Il est donc impératif de bien mentionner la période d'ouverture des droits à laquelle ils se rapportent, pour éviter toute erreur d'interprétation. À plus forte raison pour les rappels…

Je reviens sur cette affaire des cartes surnuméraires dont le nombre est passé de 2,6 millions à 600 000, sans que j'aie compris pourquoi. Mais y a-t-il un moyen de savoir quelles sont les cartes inactives ? Sont-elles signalées ? Comment faire des vérifications pour savoir si les cartes sont surnuméraires ? Vous avez affirmé, si j'ai bien compris, qu'elles ne donnent pas lieu à des prestations.

En ce qui concerne le RNCPS, je dois dire que je suis un peu abasourdie. Non seulement la décision votée par le Parlement n'a pas été suivie d'effets, mais en plus on ne sent aucune volonté de mettre en place cette bibliothèque. Je comprends les explications techniques que vous avez données, mais je trouve qu'elles ne répondent pas à la question fondamentale qui est de savoir pourquoi une mesure adoptée par le Parlement n'est pas appliquée alors que les organismes de sécurité sociale savent parfaitement le faire. Vous avez cité la CNAV – avoir une banque de données, un historique, fait partie de son ADN. Et de son côté, l'assurance maladie délivre en permanence des prestations ponctuelles, non renouvelables. Je comprends d'autant plus mal la situation que des progrès ont été réalisés, notamment au niveau des CAF. Des fraudes ont mis en évidence des dysfonctionnements liés à la régionalisation ou plutôt à la départementalisation des données, ce qui a conduit à les rendre nationales. Comment se fait-il que l'on ne parvienne toujours pas à les agréger au niveau national ?

Enfin, pourquoi n'instaurerait-on pas une déclaration annuelle de tous ses revenus sociaux ? Malgré le prélèvement à la source, tout un chacun est tenu de communiquer chaque année l'ensemble de ses revenus à l'administration fiscale, y compris quand on est fonctionnaire ou salarié. L'administration fiscale dispose déjà de ces informations, mais on les confirme ou on signale des changements. Je ne comprends pas pourquoi on ne ferait pas de même pour les revenus sociaux. Si on n'arrive pas à aboutir dans le cadre du RNCPS, pourquoi ne pas s'y prendre autrement ?

J'aimerais vous interroger sur les pratiques des administrations en ce qui concerne la tarification des échanges de données publiques. Un rapport de la Cour des comptes, remis en novembre 2015 par M. Antoine Fouilleron, a souligné l'existence de flux budgétaires entre certaines administrations en matière d'achat et de vente de données. Il est apparu que des acteurs tels que la CNAV, l'INSEE, l'ACOSS et l'assurance maladie achetaient davantage de données que d'autres. Avez-vous enquêté en la matière ? Avez-vous un avis à propos de l'effet que cela peut avoir sur la communication de données entre les administrations ?

Je vais partir d'un cas très concret qui m'a été rapporté : une personne appelle une caisse sociale pour demander pourquoi son conjoint n'a pas encore reçu telle prestation. On s'aperçoit alors que le concubinage n'a pas été déclaré, ce qui signifie qu'il y a un trop-perçu – de bonne foi ou non, là n'est pas la question : il s'agit plutôt de savoir si l'information est transmise aux autres caisses et administrations. Si c'est déjà le cas, comment peut-on fluidifier les échanges et les prendre en compte ? Sinon, comment peut-on accompagner les acteurs concernés ?

Vous avez indiqué dans votre rapport, monsieur Gratieux, que l'optimisation des échanges de données entre les organismes de protection sociale permettrait de détecter d'éventuels doublons et de lutter contre la fraude. J'ai compris en vous écoutant tout à l'heure qu'il y a des lenteurs et des difficultés techniques. Considérez-vous qu'il reste des freins législatifs que nous pourrions supprimer, notamment en ce qui concerne les échanges de données personnelles ? À condition que ce que nous décidons soit appliqué, naturellement…

Nous ne nous sommes pas exprimés au sujet des cartes Vitale inactives. Je n'ai pas travaillé, personnellement, sur cette question et il me serait difficile d'y répondre.

S'agissant du RNCPS, nous sommes intervenus dans la perspective de la mise en œuvre de la loi et nous avons étudié la situation. Notre objectif était surtout de dire ce qu'il était nécessaire de faire pour appliquer la disposition concernée. Le rapport explique le processus de mise en place du RNCPS, qui a effectivement été très laborieux. Vous avez fait état, et à juste raison, des progrès réalisés par la CNAF qui, tout comme la CNAM, dispose de moyens importants et gère directement tout un réseau de caisses. Lorsque la CNAF modifie son système d'information, par exemple, toutes les CAF appliquent les modifications imposées. Quand on a décidé de construire un répertoire national des allocataires, tout en maintenant une identification au niveau des CAF, ce fut un progrès considérable qui a permis d'éviter des doublons – on pouvait précédemment imaginer que des personnes perçoivent des prestations de différentes caisses. La création d'un répertoire national a évidemment éliminé ce risque.

Mais aux côtés de ces gros opérateurs, il y a une foule de petits organismes : même les caisses de congés payés ont été mises dans la boucle du RNCPS. La question était de savoir comment créer un dispositif permettant des échanges entre des organismes dont le niveau de développement en matière de systèmes d'information ou les modalités de gestion des prestations sont loin d'être identiques. C'est cette difficulté qui explique sans doute le retard considérable pris dans la mise en place du RNCPS – le rapport initial remonte à 2005, la disposition législative à 2006 et il a commencé à fonctionner à partir de la fin 2012 ou même, pour l'essentiel, en 2013. Avec des organismes aussi différents en termes de taille, de moyens ou de pratiques de gestion, c'était évidemment beaucoup plus compliqué que si l'on avait eu affaire à un seul réseau, et c'est sans doute ce qui explique pourquoi les objectifs initiaux n'ont pas été atteints aussi vite que souhaité. Nous n'avons pu que constater dans notre rapport qu'il fallait encore beaucoup d'étapes pour atteindre la cible, et nous avons essayé de proposer un chemin crédible et réalisable pour l'ensemble des organismes.

Pour ce qui est de l'idée d'une déclaration universelle de revenus sociaux, je vous ai expliqué à quoi devra servir le dispositif que nous sommes en train de mettre en place dans les mois qui viennent : mettre à disposition d'un certain nombre de régimes de protection sociale des informations sur des revenus qui sont essentiellement des salaires et des revenus de remplacement imposables – c'est le périmètre qui a été retenu – afin d'alimenter de RNCPS et de faciliter la gestion des prestations telles que les aides au logement, la prime d'activité, etc.

Si je peux donner un avis personnel, je trouve qu'il serait logique d'augmenter le nombre d'organismes pouvant accéder aux données : l'INSEE a d'ores et déjà manifesté son intérêt dans le cadre de sa mission d'observation des revenus des ménages, de même que le ministère de la justice, en lien avec la problématique de l'aide juridictionnelle. Une première extension relative aux organismes concernés, qui peuvent être extérieurs à la sphère sociale, est certainement à engager.

Il y a aussi les collectivités territoriales.

Se pose ensuite la question de l'étendue des revenus. Le périmètre, pour l'instant circonscrit aux revenus imposables, pourrait être étendu à l'ensemble des prestations, imposables ou non, qui sont versées par l'ensemble des organismes. À mon avis, le dispositif de ressources mutualisées peut faire connaître à un nombre plus important d'organismes un ensemble plus large de prestations.

J'ai déposé deux propositions de loi en ce sens.

S'agissant des échanges facturés de données entre les administrations, je vais m'avancer avec prudence. J'ai en tête un cas qui ressemble à celui que Mme Carole Grandjean a évoqué, à savoir la facturation par l'ACOSS à l'INSEE, pour son activité en matière de statistiques, de données relatives à des salaires ou à des emplois – je ne sais plus. C'était facturé, effectivement. Je dis « était » : c'est peut-être un point à vérifier par les juristes à la disposition de votre commission d'enquête, mais il me semble que les dispositions « dites-le nous une fois » ou celles, en tout cas, qui ont été introduites par la loi de 2016 pour une République numérique ont supprimé la facturation des échanges de données entre administrations – je dirais, même si je n'ai pas préparé de réponse à ce sujet, qu'elle n'a plus lieu d'être.

Pour ce qui est de la question relative à la transmission aux caisses de données portant non pas sur les ressources mais sur la situation familiale, si j'ai bien compris, il m'est difficile de vous répondre. La réglementation en la matière est assez contraignante et les besoins des caisses sont de nature assez différente. Un régime de retraite qui liquide une pension et une caisse primaire d'assurance maladie qui détermine une indemnité journalière travaillent sur des prestations individuelles ; à l'inverse, lorsque des prestations sont versées par la branche famille, on a besoin de connaître la situation familiale des bénéficiaires. J'ai du mal à imaginer quel devrait être en la matière le périmètre d'échange de données entre les organismes de protection sociale.

Certaines informations pourraient circuler plus facilement entre les caisses – le constat du décès d'un retraité par exemple. Aujourd'hui, surtout si le retraité se trouvait à l'étranger et était un polypensionné, il n'existe pas nécessairement une circulation automatique de l'information entre l'ensemble des régimes servant les prestations. L'agent ayant connaissance du décès peut identifier, par le RNCPS, les autres caisses de retraite servant des prestations à la personne concernée et il peut signaler le décès ; toutefois, le signalement ne se fait pas dans le cadre du RNCPS, mais grâce à un dispositif extérieur. On voit bien qu'il y a des avantages à ce qu'un seul organisme traite l'information pour tous.

Vous dites que c'est possible dans le cadre d'un dispositif extérieur au RNCPS. Mais ce dispositif est-il d'ores et déjà en fonctionnement ? Lorsqu'une caisse de retraite apprend le décès d'un bénéficiaire, est-on certain que l'information est transmise aux autres caisses prestataires ?

Sous réserve de l'expertise qu'il faudrait réaliser en la matière, les contrôles d'existence sont mutualisés entre les régimes de retraite depuis la fin de l'année dernière. C'est l'AGIRC-ARRCO qui est le chef de file pour cette opération. Cela constitue un progrès très apprécié par nos services consulaires : ils n'ont plus à certifier qu'une seule fois l'existence d'une personne, l'information étant communiquée à l'ensemble des régimes. Je peux en attester, car je siège au conseil d'administration du régime de retraite de la RATP : c'est une opération que ce régime n'a plus à réaliser depuis la fin de l'année dernière.

Pourriez-vous aussi répondre à la question de M. Ramadier ?

Si le RNCPS est correctement alimenté, si – surtout – les informations dans les systèmes de gestion des caisses interrogés par le RNCPS sont tenues à jour et si la personne est correctement identifiée – la condition pour interroger le RNCPS, je l'ai dit, est de disposer d'un NIR certifié –, les doublons de prestations doivent pouvoir être détectés. Le RNCPS constitue normalement un progrès.

Je ne vois pas, au moment où je vous parle, de freins législatifs. Pour moi, c'est plutôt la capacité à faire des organismes qui conditionne l'efficacité du dispositif.

Un autre élément assez caractéristique a été révélé par certains tests collectifs menés dans le cadre du RNCPS : certaines informations, outre celles concernant la situation familiale, ne sont pas nécessairement tenues à jour, comme les adresses des assurés, qui ne pensent pas nécessairement à faire une déclaration en cas de changement. Certains organismes se sont d'ailleurs mis à se servir du RNCPS pour vérifier les adresses et les remettre à jour lorsque des courriers leur étaient retournés. Le RNCPS permet de détecter des retards dans la mise à jour des données : c'est également un progrès.

Ma question s'adresse plus spécifiquement à vous, monsieur Gratieux : vous avez indiqué que 100 % des NIR étaient désormais certifiés.

À la CNAF.

C'est sujet évidemment central. Où en est-on d'une manière générale ? Ce qui fonctionne à la CNAF fonctionne-t-il aussi ailleurs, et comment ? C'est potentiellement un des trous dans la raquette et une source de fraude.

Je vais prolonger cette question. Comment la CNAF procède-t-elle à la certification ? Sur quelles données s'appuie-t-elle ? Quand un NIR a été attribué par le service administratif national d'immatriculation des assurés (SANDIA) sur la base de documents considérés par lui comme officiels ou exacts, quelle est la méthode de contrôle de la CNAF ?

S'agissant du taux de NIR certifiés, je ne peux pas répondre au sujet de tous les organismes. J'ai eu l'occasion de travailler sur cette question principalement à propos de la CNAF, notamment dans le cadre de la mission d'évaluation de la COG. Je ne crois pas que l'on soit tout à fait à 100 %, mais on est au-delà de 99 ou de 99,5 %.

La CNAF procède de la même façon que les autres organismes. C'est la Caisse nationale d'assurance vieillesse (CNAV) qui gère l'attribution des NIR dans le cadre de son système national de gestion des identifiants (SNGI). Certifier le NIR signifie que l'on vérifie que les informations relatives à une personne, c'est-à-dire le NIR mais aussi des éléments tels que le nom, le prénom, la date et le lieu de naissance, correspondent à ce qui figure dans le SNGI, la CNAV étant l'autorité supposée détenir la bonne information – le fichier est géré par la CNAV en interface avec l'INSEE, qui dispose du répertoire national des personnes physiques.

Le SANDIA, que vous avez évoqué, est un service de l'assurance vieillesse spécialisé dans l'immatriculation des personnes nées à l'étranger, qui n'ont pas de NIR. La centralisation de ce service lui permet d'avoir une connaissance et une expertise sur les documents d'identité ou d'état civil étrangers – ce serait évidemment moins facile si cette activité était dispersée dans l'ensemble des caisses de sécurité sociale.

Le dispositif de certification est le même partout. Je n'ai pas de données statistiques sur la part des NIR certifiés dans l'ensemble des organismes, mais ce que je peux vous dire est que la progression du taux de certification à la CNAF est liée au RNCPS. J'imagine que le même phénomène a eu lieu dans les autres caisses : il faut disposer d'un NIR certifié pour pouvoir consulter le RNCPS.

Le RNCPS est un outil très important. Y a-t-il une véritable adhésion des organismes qui peuvent s'en servir ? Font-ils preuve de zèle ? Le recours au RNCPS est-il systématique ? Est-ce un outil vraiment partagé par tout le monde, au niveau pertinent ?

Je peux vous parler de ce que j'ai observé en 2016, mais pas de ce qu'il s'est passé ensuite. Le dispositif a commencé à fonctionner après un certain délai puisqu'il a fallu attendre le début de l'année 2013. En 2016, tous les organismes qui devaient participer n'étaient pas encore en mesure de fournir des données. C'était notamment le cas de beaucoup de petits organismes : le port de Bordeaux, par exemple, était encore très loin de pouvoir fournir des données au RNCPS – mais cela ne représente pas un nombre d'assurés très important. L'usage du dispositif s'était vraiment répandu, en revanche, dans les grandes caisses nationales. On atteignait environ 20 000 utilisateurs à la CNAM et à la CNAV, et le nombre de connexions mensuelles était passé, me semble-t-il, de 200 000 à la fin de l'année 2012 à 600 000. Les organismes que nous avons rencontrés – nous n'avons quand même pas vu tout le monde – donnaient l'impression que le système avait une utilité réelle. Je n'ai pas constaté de réticences à l'utiliser.

Les collectivités territoriales en revanche, qui pouvaient être autorisées à accéder au RNCPS par l'intermédiaire d'un portail géré par la Caisse des dépôts et consignations, s'étaient très peu emparées du dispositif : seuls sept départements le faisaient. Y trouvaient-ils une utilité, notamment pour l'instruction des demandes des allocataires du RSA dont ils se chargent eux-mêmes, c'est-à-dire principalement les étudiants et les travailleurs indépendants ? Ils utilisaient le RNCPS pour confronter leurs informations avec les déclarations de ressources. Les départements versent des prestations importantes, comme le RSA, mais aussi l'allocation personnalisée d'autonomie, pour laquelle on a besoin de connaître les ressources, et la prestation de compensation du handicap : il est important de pouvoir accéder à des données.

Je ne crois pas avoir entendu votre réponse sur les cartes surnuméraires. Si j'ai bien saisi, vous dites qu'il n'existe pas de cartes Vitale actives en surnombre et qu'il n'y a pas eu de travail sur les cartes inactives.

N'ayant pas travaillé sur ce sujet, je ne puis vous donner d'informations.

Mme Goulet pourra sans doute nous éclairer sur cette question des cartes surnuméraires.

Messieurs, il ne nous reste plus qu'à vous remercier.