Bonjour à tous. Notre mission d'information poursuit ses travaux avec deux auditions consacrées à la souveraineté numérique et à la commande publique. Nous auditionnons l'Union des groupements d'achats publics (UGAP) et Specialist Computer Company France (SCC France), un acteur privé spécialiste de la transformation digitale des organisations et fournisseur de l'UGAP.

Notre objectif est d'échanger avec vous sur la façon dont la commande publique peut être mise au service de la transformation numérique de nos administrations et de la construction d'une forme de souveraineté numérique nationale ou européenne.

Nous recevons aujourd'hui M. Edward Jossa, président-directeur général de l'UGAP, Mme Pierrette Vidal, directrice commerciale secteur public, et M. Michel Ferrand, directeur avant-vente, au sein de SCC France.

J'aimerais d'abord que vous nous indiquiez ce que recouvre, selon vous, la notion de souveraineté numérique. Ce concept fait l'objet d'une attention croissante de la part des pouvoirs publics, notamment depuis la crise sanitaire. Nous avons, au cours de nos auditions, eu l'occasion de recueillir plusieurs définitions de cette notion très large, que certains rapprochent parfois d'une forme d'autonomie stratégique ou décisionnelle. Je suis intéressé par le regard que vous portez sur ce concept et la façon dont il peut, selon vous, se traduire concrètement au sein de l'action publique.

En second lieu, je souhaiterais échanger avec vous sur le contenu de la commande publique française et ses liens avec la promotion de notre souveraineté numérique. J'aimerais notamment savoir si les acteurs publics privilégient ou non, lorsque cela est possible, l'acquisition de matériels, de logiciels, de services numériques français ou européens. Je suis intéressé à connaître sur ce point votre analyse des forces et faiblesses de l'offre numérique française et européenne, et la façon de remédier à nos éventuelles carences.

Enfin, j'aimerais vous interroger sur la transformation numérique des acteurs publics. L'UGAP et SCC France participent à ce processus d'ampleur, en fournissant du matériel, des logiciels et des services numériques aux administrations. Je souhaiterais que vous nous indiquiez quelles sont les pratiques et les attentes des acteurs publics dans ce domaine, mais aussi le cas échéant, leurs difficultés. Cette question fait le lien avec le sujet de la cybersécurité, et le besoin de développer au sein de la sphère publique une véritable culture de la sécurité numérique.

Je vous cède maintenant la parole pour un propos liminaire d'environ dix minutes chacun, puis nous engagerons le dialogue sur la base des éléments que vous nous aurez apportés.

. Fondé en 1975 par Sir Peter Rigby, SCC est une entreprise familiale, aujourd'hui devenue le premier groupe privé européen. Le groupe SCC est classé sixième du top 10 des entreprises de services du numérique (ESN) en 2020. En Europe, nous intervenons en Angleterre, en France, en Espagne et en Roumanie et réunissons environ 5 000 collaborateurs. Nous avons réalisé l'année dernière un chiffre d'affaires de 2,7 milliards d'euros. En France, notre chiffre d'affaire s'élevait à 1,7 milliard d'euros l'année dernière – le secteur public représentant plus de 55% de ce montant. Nous employons plus de 3 000 collaborateurs en France. Notre présence en France s'étend sur tout le territoire national par 23 agences commerciales, 55 points techniques, un solution-center, quatre centres de services et un grand centre logistique situé à Lieusaint pour tout ce qui a trait au stockage et à l'intégration des matériels déployés.

SCC est un intégrateur de solutions technologiques. Nous accompagnons tous nos clients – privés, publics ou entreprises de taille intermédiaire (ETI) – dans leur transformation numérique. Nos offres associent solutions technologiques et services associés. Nous intervenons dans différents domaines, au premier rang desquels la modernisation des infrastructures et l'évolution vers le cloud ( privé, public ou hybride) de façon sécurisée, prenant en compte le développement des usages et l'expérience des utilisateurs.

Nous intervenons tout au long du cycle de vie d'un projet, à commencer par le conseil, puis la mise en œuvre, le stockage, le déploiement, l'aide aux utilisateurs (services desk et proximité). Nous gérons également la fin de vie de tous nos produits à travers une filiale spécialisée. Tout ceci est encapsulé avec des offres de financement pour nos clients, si besoin. Pour que nos clients puissent disposer d'une visibilité globale de leurs projets, nous avons mis en place une suite outillée permettant le suivi et l'analyse.

Je vous présenterai les réalisations de 2020 et l'actualité 2021 de SCC. Nous avons connu un franc succès en matière d'accompagnement de services. Tous nos investissements ont été réalisés pour accompagner nos clients français et européens sur des centres de production français. Pour preuve, la réussite de notre centre de services Recyclea : il s'agit d'une entreprise adaptée spécialisée dans la fin de vie des équipements. Nous y employons aujourd'hui plus de 70% de personnes en situation de handicap, à Montluçon. Nous continuons également le développement d'Altimance, un centre de services aux utilisateurs ouvert en 2016. Situé à Valenciennes, il emploie plus de 300 collaborateurs, pour la plupart des jeunes diplômés et des jeunes en réinsertion sociale. Il nous a valu le prix Choose France pour la cohésion et la solidarité.

En 2021, SCC ouvrira un nouveau centre de services à Montluçon, Altimancea. Nous continuerons nos développements, à savoir : la recherche de partenaires innovants dans les domaines du cloud, de l'hybridation, de l'internet des objets (IdO ou IOT ), ainsi que la modernisation de nos propres infrastructures et l'obtention de la certification ISO 27001 pour notre direction des systèmes d'information (DSI), qui constitue le pilier de la transformation numérique de nos activités.

. L'UGAP est une centrale d'achat au sens du droit communautaire et national. L'UGAP est responsable de la publication des appels d'offres, et, par conséquent, les clients publics de l'UGAP sont dispensés de mener ces procédures. Ce modèle, qui se généralise, vaut pour l'UGAP comme pour toutes les grandes centrales d'achats européennes. Il se caractérise avant tout par la dispense de procédures dont bénéficient les administrations qui ont recours aux services de l'UGAP.

La deuxième caractéristique principale de l'UGAP est qu'elle constitue une centrale d'achat généraliste. Elle est ainsi la principale centrale d'achat public généraliste en France. Nous intervenons dans absolument tous les domaines, sauf : le militaire, qui est régi par une réglementation particulière, le bâtiment et les travaux publics, qui sont eux aussi soumis à des règles particulières liées à la relation avec la maîtrise d'ouvrage, l'alimentaire pour des raisons historiques, et enfin le médicament, car la commercialisation du médicament est soumise à une législation spécifique. L'UGAP intervient ainsi actuellement dans l'achat des tests antigéniques mais non des vaccins.

Dans toutes ses activités, l'UGAP travaille avec 700 fournisseurs de premier rang. En vérité, la notion de fournisseurs de premier rang ne correspond pas à la réalité de l'activité, car les fournisseurs de second rang sont bien plus nombreux.

La clientèle de l'UGAP se compose de 22 000 entités. Parmi elles comptent l'État, les collectivités territoriales et les collectivités hospitalières. L'UGAP traite en réalité avec l'ensemble des entités soumises à l'application du code de la commande publique en France. Ce champ d'application peut également inclure des structures privées, si celles-ci sont majoritairement subventionnées ou si elles interviennent sur des missions de service public. Le champ d'intervention de l'UGAP est ainsi exactement le champ d'application du code de la commande publique. Aujourd'hui, 43% des ventes concernent l'État et les établissements publics, 31% les collectivités territoriales et 26% les autres entités (principalement le secteur hospitalier).

La troisième caractéristique principale de l'UGAP est qu'elle intervient en mode grossiste. Cela la distingue de la quasi-totalité des centrales d'achats en France et en Europe. Dans la plupart des cas, les centrales d'achats regroupent des acheteurs face à un marché collectif, obtiennent ainsi une meilleure performance économique, puis chaque acteur mobilise le marché. Le modèle de l'UGAP est différent : juridiquement, l'UGAP achète aux fournisseurs puis revend. Elle porte donc totalement l'action de l'achat et de la revente. Pour une centrale d'achat, cela s'appelle intervenir en mode grossiste.

La quatrième caractéristique de l'UGAP, qui est étroitement liée au fait qu'elle travaille en mode grossiste, est qu'elle intervient – c'est là encore une particularité de la France – sous la forme d'un établissement public industriel et commercial (EPIC). Puisque l'UGAP achète et revend, elle peut se financer par la constitution d'une marge. Le choix de la France, opéré dans les années 1960, a été de privilégier le mode grossiste. Historiquement, l'UGAP était une structure d'approvisionnement et de vente aux écoles, qui relèvent de la compétence communale. Ce modèle d'achat et de revente a pour conséquence que l'EPIC ne reçoit pas de subvention de l'État et porte la responsabilité de ses marchés. La structure doit donc gérer ses marchés de manière à obtenir des ressources à l'équilibre. L'établissement est d'ailleurs soumis à l'impôt sur les sociétés et génère un bénéfice, qui revient à l'État puisque l'établissement est à 100% public. La structure est donc un réel EPIC, bien qu'elle intervienne sur des matières proprement régaliennes.

La stratégie de l'établissement se fonde sur trois éléments. Tout d'abord, une évolution maîtrisée de l'offre : nous ne pouvons pas intervenir dans tous les domaines, et nous devons choisir les sujets prioritaires pour les entités qui font appel à l'UGAP. Cela est d'autant plus vrai que, sauf en cas d'instruction ministérielle, la règle est que les clients publics ont le choix de recourir ou non à l'UGAP. Cet élément est fondamental. L'UGAP doit donc acheter les produits qui se vendent. Cela est très important. L'UGAP est responsable économiquement de la performance de ses achats.

La valeur ajoutée du modèle de l'UGAP se situe dans l'exécution : le modèle de l'exécution a le mérite de rendre des services accrus à la fois aux fournisseurs et aux clients. Aux fournisseurs, car en vendant à l'UGAP, les fournisseurs sont en rapport avec un seul point de vente, et non avec la multitude des interlocuteurs du secteur public ; cela facilite énormément la relation commerciale ainsi que la facturation. L'UGAP met d'ailleurs un point d'honneur à payer à date, à 30 jours, ce qui constitue une sécurité et une garantie de trésorerie très appréciables pour les entreprises – et peut-être d'autant plus pour les PME avec lesquelles nous travaillons directement. Cela nous a permis de jouer un rôle très positif pendant la crise : nous avons versé 100 millions d'euros de paiements anticipés aux entreprises et avons donc représenté un soutien aux entreprises pendant cette période très difficile.

Voilà les éléments principaux de présentation de l'UGAP. Souhaitez-vous que je poursuive mon propos par l'analyse des enjeux propres à la souveraineté numérique ?

Absolument, cela me paraît logique.

S'agissant de la définition de la souveraineté numérique, d'autres personnes sont bien plus compétentes que moi pour s'exprimer à ce sujet. Il me semble qu'il existe, dans la souveraineté numérique, certains sujets indissociables de la souveraineté économique générale, et des sujets plus spécifiques au numérique.

Les enjeux indissociables de la souveraineté économique générale sont la nationalité des entreprises et la nationalité des produits. Ces deux éléments peuvent très bien ne pas correspondre. La nationalité des entreprises est un enjeu de pouvoir et un levier important. Quand le potentiel rachat de Carrefour a été envisagé, nous avons bien vu à quel point la nationalité de l'entreprise constituait un enjeu de pouvoir. La nationalité des produits est quant à elle un enjeu purement économique. En tant que centrale d'achat, l'UGAP doit gérer des complexités propres à ce sujet : même si elle traite avec des entreprises étrangères, l'UGAP travaille toujours avec des filiales de droit français et implantées en France. Cela montre que la notion de nationalité économique n'est pas si simple que cela à cerner.

Les enjeux propres au numérique sont tout d'abord la localisation de la donnée et la maîtrise de la donnée. Cela recouvre deux catégories différentes de données.

Cela concerne tout d'abord les données produites lors de transactions entre une entreprise et des particuliers. Cela est le modèle des GAFA, qui disposent de données produites dans le cadre de la relation avec l'entreprise : lorsque vous achetez sur Amazon ou que vous surfez sur Facebook, par exemple. La donnée est donc propriété de l'entreprise. Le domaine de la protection des données personnelles est mobilisé pour répondre à ce sujet, c'est pourquoi le RGPD revêt une importance cruciale en la matière ; néanmoins, les réponses apportées à ce sujet se sont traduites concrètement par la multiplication des demandes de consentement adressées aux particuliers. Les particuliers les accordent de manière quasiment automatique désormais. Les vrais enjeux soulevés par ce sujet sont davantage la concurrence et la concentration de quantités de données considérables, qui constituent le propre du modèle adopté par les GAFA.

La deuxième catégorie de données recouvre les données à protéger et à conserver sur le territoire. Il s'agit des données de l'État ou des entreprises, liées à la sécurité par exemple, et qui transitent par des systèmes d'exploitation ou des serveurs qui sont sur le cloud. L'enjeu n'est donc pas la production de la donnée mais la protection de la donnée existante.

Il convient de bien distinguer ces deux enjeux, qui se traitent par des solutions différentes. Il me semble que la première catégorie de données peut être traitée par des solutions relevant du droit économique et du droit de la concurrence, afin d'éviter les concentrations et les abus de position dominante quand ceux-ci se font au profit d'acteurs extérieurs à la France. Le deuxième sujet se traite par des règles de protection, des solutions de souveraineté permettant notamment le cloud souverain.

Je ne pense pas néanmoins que les enjeux de souveraineté numérique se limitent à ces enjeux liés proprement à la donnée. Je rappellerai par exemple l'extraordinaire concentration des systèmes d'exploitation : en téléphonie mobile, elle repose sur Android ou Apple ; dans les ordinateurs, sur Windows ; nous constatons la même tendance archi-monopolistique dans les télécommunications, avec une concentration d'entreprises étrangères dans les solutions que nous utilisons. Nous communiquons aujourd'hui via Zoom. Cela témoigne des enjeux d'une concentration d'éléments absolument stratégiques dans le domaine des télécommunications. Ce phénomène est accru par les fortes interactions existant entre les différents éléments dans le secteur informatique : entre le software et le hardware, ou entre les différents logiciels entre eux, par exemple. Cela questionne les interdépendances et la capacité à faire de manière autonome. Je pense donc que les enjeux généraux de la souveraineté numérique nécessitent une vision globale des interactions existantes entre tous ces sujets.

Je souhaiterais maintenant évoquer la manière dont ces enjeux s'articulent avec la commande publique, et montrer comment l'UGAP applique le code de la commande publique dans ce contexte très particulier. Pour comprendre plus concrètement notre sujet, j'évoquerai chacun des segments de l'informatique : les matériels, les logiciels, puis les prestations informatiques.

S'agissant des matériels au sens large, la France est quasi absente de la micro-informatique et des serveurs. Ce marché est aujourd'hui complètement dominé par HP, Lenovo et Dell. L'UGAP ne passe même plus de marchés directs de matériels, mais a recours à des distributeurs. En 2020, l'activité de l'UGAP représentait 734 millions d'euros sur ce segment, dont 500 millions d'euros étaient partagés entre les trois grands distributeurs avec lesquels l'UGAP travaille (SCC, Computer Center et Econocom). La pratique des grandes entreprises comme HP et Lenovo n'est pas de vendre en direct mais de vendre par des distributeurs. En la matière, le marché impose donc bien son modèle à la commande publique. Seuls deux secteurs échappent à ce principe de passage obligé par des revendeurs : il s'agit des photocopies et télécopies, pour lesquels les grands acteurs répondent en direct (Toshiba pour les photocopieurs, Xerox pour les copieurs). Ils forment donc des marchés plus classiques du point de vue de la commande publique. Je citerai à ce sujet quelques exceptions d'entreprises françaises : la société Nomios intervient en matière de cybersécurité. Le marché spécifique conclu avec cette entreprise se justifie par le fait que leur produit est hybride et mêle matériel, logiciel et prestation intellectuelle. Elle constitue une exception à ce principe sur le segment des matériels.

S'agissant du segment des logiciels, la situation est encore plus compliquée. Certains logiciels, dont tout le monde a besoin, sont extrêmement concentrés et imposent leur loi au marché. Dans le même temps, il existe une foultitude de créateurs de logiciels, dont énormément d'entreprises françaises. La difficulté, au regard du code de la commande publique, est la comparabilité. Le code de la commande publique est destiné à faire respecter les règles de la concurrence, et la concurrence repose sur la comparabilité des produits. Or, le secteur des logiciels est extrêmement instable et la valeur des produits est extraordinairement difficile à déterminer. Qu'il s'agisse de grands ou de petits créateurs de logiciels, les prix des produits sont fixés de manière tout à fait arbitraire selon les clients, selon les quantités achetées ou selon l'articulation du logiciel avec les services associés. Tous ces éléments forment donc un marché très difficile à cerner. Le modèle économique a conduit à une claire prédominance des distributeurs, qui constituent quasiment la seule solution pour acheter un logiciel. L'UGAP a conclu deux marchés spécifiques pour des logiciels indispensables, dont le modèle de vente ne passe que par des revendeurs : il s'agit d'Oracle et du matériel Microsoft. Pour ces marchés, l'UGAP met en concurrence les revendeurs.

Cela me permet de répondre à l'une de vos interrogations sur le projet Health Data Hub. Le ministère a mobilisé notre marché dédié à l'achat d'équipement Microsoft. Nous avons pour cela mis en concurrence les différents revendeurs, et c'est de cette manière que s'est faite l'attribution du marché. L'UGAP n'intervient pas en la matière : le ministère achète le logiciel et l'UGAP ne sait pas à quelles fins l'État mobilise les logiciels achetés ; il ne relève d'ailleurs pas de sa mission de le savoir, mais seulement de vérifier que les logiciels sont achetés au prix et aux conditions contractuelles du marché.

Dans le domaine des logiciels, nous travaillons quasiment exclusivement soit sur ces deux marchés dédiés, soit sur un marché inventé par l'UGAP et repris depuis par les autres centrales d'achats : le marché multi-éditeurs. Nous mettons en concurrence des bibliothécaires de logiciels. Le marché multi-éditeurs est d'ailleurs le marché le plus important de l'UGAP : il regroupe 3 000 éditeurs. La valeur du revendeur réside évidemment dans le prix qu'il nous offre pour ses produits, mais également dans les services associés. Pour gérer un tel nombre de logiciels, il faut disposer d'une vraie plateforme performante, qui permet de repérer les caractéristiques des logiciels et de les mettre en comparaison. La valeur réside dans la prestation qui permet la fluidité de la consommation.

Je me permets une incise car vous avez évoqué un dossier qui nous intéresse en particulier. Nous auditionnerons dans quelques semaines le Health Data Hub et d'autres services. Le ministère vous a-t-il demandé d'acheter Microsoft pour le Health Data Hub ?

Nous avons reçu une commande. Nous disposons d'un marché Microsoft. Oui, nous avons reçu une commande du ministère pour intervenir sur notre marché Microsoft.

Cela vous arrive-t-il souvent de recevoir ce genre de commande ? Dans ce cas précis, je comprends que vous avez été exécutant d'une décision prise par l'État.

L'UGAP fonctionne sur commande. Nous avons un marché Microsoft – nous ne traitons d'ailleurs pas en direct avec Microsoft, mais avec un revendeur, en l'occurrence SCC, qui est le titulaire de notre marché Microsoft. Notre rôle est de vendre ce qui nous est acheté, aussi simplement que cela.

Merci. Je souhaitais comprendre très clairement vos propos.

Nous vérifions néanmoins une convenance des prix. Nous essayons également de protéger les clients contre les achats trop nombreux de licences : parfois, les règles propres à chaque éditeur causent des négociations compliquées sur le nombre de licences autorisées. Nous ne jouons en revanche aucun rôle dans les décisions prises par les acteurs publics de recourir à telle ou telle solution. La plupart du temps d'ailleurs, si vous disposez d'un système central sur SAP, il est extrêmement coûteux d'en changer. Il existe donc des pratiques extrêmement contraignantes dans ce domaine. En tant que telle, l'UGAP ne peut que vérifier la commande auprès d'un distributeur.

J'en terminerai au sujet des logiciels. Nous avons réalisé en 2020 594 millions d'euros de ventes de prestations. Le principal acteur en est SCC, qui est majoritaire dans ce domaine car titulaire du marché multi-éditeurs. Le marché multi-éditeurs est un des principaux outils par lequel il serait possible de faire émerger des entreprises françaises de logiciels dans la commande publique. Nous cherchons à mobiliser ce marché pour répondre à des objectifs de politique publique. Ainsi, notre cellule innovation repère des PME ; si les solutions qu'elles proposent nous paraissent bonnes et semblent correspondre aux besoins des collectivités locales, alors nous discutons, notamment avec SCC, de leur intégration dans le marché multi-éditeurs. C'est de cette manière que nous avons obtenu le logiciel Doctolib, aujourd'hui référencé dans le marché multi-éditeurs. C'est également le cas de Talentsoft, une très belle entreprise française. Le marché multi-éditeurs est donc un vecteur important de politique publique.

Cette architecture d'approvisionnement de produits, dont l'UGAP constitue une interface privilégiée pour la commande publique, n'a-t-elle pas évolué pour vendre davantage des services que des produits ? J'entends ce matin des propos qui me ramènent vingt ans en arrière, à l'époque où je travaillais chez Infopoint. Le marché du logiciel a longtemps été considéré comme un marché de produits. Nous pouvons imaginer, s'agissant du Health Data Hub, que par convenance et par facilité, le ministère a choisi d'acheter des briques Microsoft. Mais lorsque l'on achète du software, en mode SaaS ou autre, cela revient à acheter une prestation de services. Nous évoluons aujourd'hui vers un système où les logiciels sont facturés à l'heure, par exemple – ce modèle n'existait pas il y a dix ans. À l'époque, notre consommation de logiciels reposait sur l'acquisition d'une licence qui permettait d'utiliser le produit sans en être propriétaire ; cela n'est plus le cas aujourd'hui. Le modèle d'approvisionnement en place aujourd'hui correspond-t-il toujours à la façon dont nous consommons le logiciel ? Je ne parle ici que des offres sur étagère. Le marché du logiciel a fortement évolué. Les référencements à l'UGAP sont-ils encore adaptés, alors que le marché évolue en permanence ?

Nous nous posons cette question tous les jours. Tout le défi pour l'UGAP est de s'adapter à la réalité du marché. En la matière, nous avons distingué les logiciels et les services.

Je commencerai par les marchés de service. En sus des 594 millions d'euros issus de la vente des logiciels, nous vendons chaque année pour 350 millions d'euros de services. Ce secteur est différent de celui des logiciels : il regroupe certaines entreprises françaises très performantes, comme Capgemini et Atos. C'est le seul secteur dans lequel existent quelques géants français. Il faut savoir mobiliser nos atouts dans la compétition internationale dans ce domaine.

Revenant à votre question, la valeur de logiciels s'entend par l'association étroite entre les logiciels et les services. C'est la raison pour laquelle nos marchés de service utilitaires prévoient des services associés aux logiciels dans la prestation. Nous nommons le marché « marché de logiciels », mais la construction contractuelle de ce marché est faite de sorte à intégrer une part de services. Cela est parfois d'ailleurs très compliqué en termes de facturation pour les clients publics. Les règles de la comptabilité publique ne sont pas simples à ce sujet. Il y a donc une part de services dans les marchés de logiciels.

Le marché du cloud est encore différent. Nous sommes passés par un intégrateur, en l'occurrence Capgemini qui a remporté le marché et qui propose plusieurs solutions. Nous avons fait le choix de faire appel à différents fournisseurs de cloud : parmi eux, les fournisseurs incontournables, comme Amazon Web Services (AWS) ou Azur de Microsoft ; mais aussi Outscale, OVH, Scaleway, Oracle. Notre marché de cloud regroupe plusieurs fournisseurs. Il revient au client de choisir le fournisseur auquel il souhaite recourir et il doit justifier son choix. Notre marché prévoit ainsi un module qui explique les raisons d'intérêt général qui peuvent présider au choix de nos clients. De plus, nous portons une grande attention au dispositif de labellisation. La norme SecNumCloud est importante en termes de souveraineté numérique. Notre fournisseur OVH dispose de la norme SecNumCloud. Si le client public requiert, pour ses données, un fournisseur titulaire de la norme SecNumCloud, il peut trouver satisfaction dans ce marché.

Il existe également un enjeu d'articulation de la prestation cloud pure avec les prestations de conseil. Cette question est particulièrement sensible pour les collectivités territoriales, qui ne sont pas toujours dotées de directions des services informatiques (DSI) aussi puissantes que peuvent l'être celles des entreprises ou de l'État. Nous lançons en ce moment un marché de conseil, qui sera publié dans quelques semaines.

La fourniture des services de conseil est-elle préalable au cloud ? Comment est-elle séquencée ? Si la société chargée d'effectuer la mission de conseil propose ensuite systématiquement la solution d'un seul fournisseur de cloud, la commande est orientée.

C'est justement pour assurer une forme d'indépendance du conseil et du cloud qu'il nous a été demandé de procéder à la publication de deux marchés bien distincts : un premier pour les prestations de cloud brutes, et un second pour les prestations de conseil. Nous effectuerons une forme de surveillance de la neutralité des acteurs du conseil vis-à-vis des acteurs du cloud.

Je propose de recourir à un cas concret. Admettons qu'une petite agglomération de 20 000 habitants dispose d'une salle informatique vieillissante. Elle souhaite migrer son système d'information (SI) dans le cloud. Elle va devoir recourir à la commande publique et donc se tourner vers l'UGAP. Quels sont les flux ? Qui interagit avec qui ? Comment les échanges se déroulent-ils ?

Nous disposons d'un réseau commercial dont les directions territoriales sont implantées dans tout le pays. Nos conseillers informatiques spécialisés orientent le client public vers la meilleure solution. Dans un premier temps, cela peut être de proposer au client public du conseil en stratégie informatique, en organisation, voire en cybersécurité. La première étape est donc de fournir des prestations de conseil. Ensuite, l'UGAP oriente la collectivité, en fonction de ses besoins, vers une solution purement logicielle ou bien vers une solution de cloud. Tout ceci doit permettre d'assurer la cohérence des équipements, matériels et prestations souhaités. Nous disposons d'une gamme complète de services. Il revient au conseiller informatique de l'UGAP d'orienter correctement le client vers les solutions dont il a besoin.

Comment feriez-vous alors pour conseiller cette collectivité qui a besoin d'un hébergeur ? Sur quels critères décideriez-vous de l'orienter plutôt vers OVH ou vers AWS ?

La manière classique de travailler de l'UGAP recouvre les étapes suivantes : conseil, puis devis, puis commande. Sur un certain nombre de solutions, comme le marché multi-éditeurs ou le marché cloud, tout notre travail consiste à incorporer des outils d'aide à la décision dans notre dispositif de commande. Cet outil d'aide à la décision repose sur un système de questions et réponses : le client entre les données relatives à ses besoins et à sa commande. Capgemini, titulaire du marché, est responsable d'entretenir une application d'aide au choix qui permet d'objectiver les critères guidant la prise de décision. Cela permet d'éviter une forme d'arbitraire qui présente un risque pour l'UGAP tout comme pour le client public.

Vous avez évoqué la labellisation SecNumCloud. Si l'ordonnateur vous donne ce critère, il oriente forcément les solutions proposées.

Évidemment, si l'on entre ce critère, le système va sortir une solution correspondante : Outscale ou OVH.

En effet. La labellisation SecNumCloud fait-elle partie des critères qui vous sont régulièrement demandés par vos clients ?

Cela dépend des besoins. Certains services spécialisés de l'État nous demandent la labellisation SecNumCloud. En revanche, si le client a besoin d'un puissant outil de gestion de ses données de ressources humaines ou de transports en commun, je ne vois pas quelle justification pourrait présider au recours à la labellisation SecNumCloud.

Je peux le comprendre. Ma question est la suivante : la labellisation SecNumCloud fait-elle partie des critères bien présents à l'esprit des ordonnateurs ? Dans le cas du Health Data Hub, l'État vous a demandé de recourir à Microsoft. Mais les données traitées étaient très particulières et par conséquent, l'on est en droit de se demander où elles allaient être hébergées. De la même manière, une polémique a émergé au sujet de l'hébergement des données du prêt garanti par l'État (PGE) sur AWS, alors qu'elles pourraient potentiellement constituer des données sensibles. Je constate qu'il faut encore construire l'appétence et l'éducation des ordonnateurs publics à la sécurité des données et donc au recours à ce label. Cela n'est pas une critique envers l'UGAP.

Je ne peux pas répondre à cette question. L'UGAP n'est pas une autorité de prescription. La logique de l'UGAP est de fournir ce qu'on lui demande. Il faut sans doute renforcer la pédagogie, certes. L'animation et la formation constantes, au-delà des directeurs informatiques et incluant les décideurs (les secrétaires généraux des ministères, par exemple), peuvent contribuer à la prise de conscience de ces enjeux.

Il nous a été rapporté, au cours de précédentes auditions et notamment par des PME françaises, que les acheteurs publics poursuivaient majoritairement des motivations de facilité, de rapidité et de solidité des systèmes. L'éducation de générations d'acheteurs publics est donc centrée sur l'utilisation de solutions de type Microsoft ou AWS, car celles-ci sont simples d'utilisation.

Les ministères poursuivent certaines priorités absolues et doivent gérer des problématiques d'urgence, comme nous le constatons en ce moment. Je ne vois pas comment une administration, d'autant plus dans le contexte actuel de crise sanitaire, peut prendre le moindre risque en matière d'opérationnalité. Il s'agit bien là d'opérationnalité. La tentation normale de tout décideur public est de ne pas avoir recours à une solution innovante s'il est question d'intervenir sur une partie clé de son système d'information. Le client public, aujourd'hui, ne tolère même pas une journée de rupture de service.

Je prends l'exemple d'une grande entreprise publique ou parapublique qui souhaite changer son système de messagerie. Elle fait le choix d'opter pour Microsoft 365. Cela suppose de recourir à Azur pour stocker les mails en cloud. Pourquoi utiliser ces solutions ? Pourquoi opter pour Microsoft 365 et Azur, et ne pas remplacer Azur par une autre solution ? Est-ce uniquement parce que ces solutions sont intégrées et que cela ne se négocie pas ? Serait-il au contraire possible de segmenter ces services ?

Ces choix dépendent de la stratégie de chaque client. Il faut interroger à ce sujet chaque ministère ainsi que la direction interministérielle du numérique (DINUM). Ces choix recouvrent des enjeux d'opérationnalité. Les grands opérateurs ont de tels moyens qu'ils ont toujours un temps d'avance ; et le client public recherche avant tout la performance. À mon sens, le sujet se traite davantage par l'angle économique que par celui de la commande publique. Il faut soutenir les champions nationaux ; l'enjeu est davantage d'éviter que ceux-ci soient rachetés par des entreprises étrangères.

Peut-on donc toujours dire, comme on le disait dans les années 1990, que l'UGAP est un catalogue ?

Oui, au fond du fond, en matière informatique, l'UGAP est un grand catalogue.

Si elle est un catalogue, peut-on reconnaître que la capacité de l'UGAP et de ses conseillers informatiques à influencer les acteurs publics est très peu utilisée ? Le travail de qualification et de prise de décision est souvent fait en amont, par l'aide de conseils, de revendeurs, de distributeurs, d'intégrateurs. Il apparaît alors que la seule capacité de l'UGAP à influencer les choix de marché est la disponibilité ou non d'un produit à son catalogue.

Je reviendrai sur la question posée au sujet du Health Data Hub. Le client public avait fait le choix d'opter pour Microsoft, mais il aurait tout aussi bien pu acheter de l'AWS ou de l'OVH puisque ces solutions sont disponibles au catalogue. La capacité d'influence de l'UGAP à orienter vers une solution plutôt qu'une autre n'existe donc pas.

L'UGAP ne se positionne pas de telle manière à influencer. Elle n'a pas vocation à se substituer aux décideurs publics. Nous sommes une centrale d'achat et notre mission est celle d'un facilitateur. Les ministères ne souhaitent pas que l'UGAP interfère dans leurs décisions. L'UGAP peut exercer une forme de contrôle, mais seulement quand elle est expressément mandatée pour le faire, par exemple en matière de voitures – cela constitue l'exception plutôt que la règle. La mission de l'UGAP est de faire respecter les règles de la concurrence et d'appliquer le code de la commande publique. S'il faut faire évoluer les choses, cela doit se jouer par des prescriptions adressées aux décideurs ; cela n'est certainement pas notre rôle et nous ne le revendiquons pas.

Mais votre capacité d'influence peut s'exercer au moment de la consultation pour constituer le catalogue. Il vous appartient, au moment des consultations en vue d'un futur référencement, de sélectionner les produits. C'est de cela que se nourrit le catalogue mis à disposition.

Pas tout à fait. En matière de véhicules par exemple, nous élaborons un catalogue général qui correspond à tout ce que nous pouvons vendre ; en revanche, nous avons établi un catalogue resserré pour l'État, car seule la vente de certains véhicules est autorisée. L'UGAP fait ce que le client lui demande de faire.

Quelle est la valeur ajoutée de l'UGAP dans ce cas-là ? Est-ce seulement le référencement de produits qui ont été choisis en amont ?

La valeur ajoutée de l'UGAP est de sécuriser les procédures de mise en concurrence, d'appliquer correctement le code de la commande publique, de faire gagner du temps aux clients, de procéder à des économies. Cela est exactement la mission de toutes les centrales d'achats en Europe. L'UGAP n'a pas de spécificité à ce sujet. Nous sommes là pour obtenir de meilleurs prix et pour faciliter la commande.

En revanche, si l'État décide qu'une partie des applications des ministères doivent obligatoirement bénéficier de la labellisation SecNumCloud, et que nous avons instruction de ne vendre que des produits labellisés SecNumCloud, alors nous l'appliquerons.

Je poserai une question complémentaire à SCC. Les fournisseurs, qu'il s'agisse de sociétés informatiques petites ou grandes, concèdent-ils parfois de tels efforts commerciaux que leurs prix deviennent beaucoup moins chers que les autres services référencés ? Par exemple, AWS propose à beaucoup de jeunes entreprises des vouchers pour utiliser ses services et les rendre captives de son marché. Les grands acteurs tels que Microsoft ou Amazon s'adonnent-ils à des pratiques commerciales qui les positionnent de façon plus favorable sur le marché que d'autres petites entreprises qui n'en ont pas la capacité ? Comment, dans votre mission, déterminez-vous les pratiques qui relèvent d'une politique commerciale agressive ?

Nous avons participé au marché cloud de l'UGAP, il y a un an. Nous sommes arrivés en deuxième position derrière Capgemini, mais nous avons bien suivi le déroulement des négociations avec les fournisseurs de cloud. Nous étions en contact avec quatorze d'entre eux et nous avons bien étudié leurs politiques de vente. Oui, ils concèdent des efforts commerciaux, et probablement plus importants que s'ils vendaient leurs services en direct à une collectivité locale ou à une entreprise privée. A contrario, ils ont tous mis en place une politique de justesse. Amazon pratique l'engagement de dépense pour disposer d'une tarification plus agressive dès le départ. Ils n'ont en revanche pas pratiqué cela avec SCC : les prix pratiqués avec SCC étaient hors engagement de dépense, car le marché de l'UGAP ne garantit pas de volume – il s'agit d'un référencement sur catalogue. La matrice d'aide au choix est capitale et ne doit pas être influencée : si les acteurs procèdent à des engagements de dépense impliquant des réductions, la matrice est faussée. Dans le cadre de l'UGAP, l'ensemble des fournisseurs de cloud a joué le jeu et n'a pas pratiqué l'engagement de dépense.

Un ministère ou une collectivité qui cherche la labellisation SecNumCloud afin de bénéficier d'une garantie de sécurité dans la matrice de choix de l'UGAP se verra proposer les seuls acteurs français labellisés : OVH et Outscale. Cela constitue une vraie sécurité. Mais il ne relève pas de l'UGAP de forcer le choix du ministère. Les ministères sont dotés d'équipes informatiques très compétentes et ils procèdent à leurs achats en toute conscience. Le choix d'achat est en revanche plus difficile pour les collectivités territoriales, souvent moins informées sur le sujet. Se met alors en place le jeu de la vente, qui consiste à mettre en avant une solution grâce au réseau territorial de revendeurs.

Les petites entreprises ont rapporté à notre mission d'information que l'accès à la commande publique leur était très difficile. Quels sont les critères qui permettent de procéder aux achats ? Nous ne doutons pas que vous procédiez aux achats dans le respect des règles françaises et communautaires. Je m'interroge néanmoins sur les biais existants et cherche à savoir s'il est possible d'objectiver le ressenti communiqué par les entreprises lors des précédentes auditions.

L'UGAP, comme SCC, y sont très sensibles. Les ministères ont des équipes informatiques très compétentes, sur les choix desquelles il est difficile d'influer. L'influence est en revanche très facile à exercer sur les services d'une collectivité locale. La situation est compliquée car les bénéficiaires finaux souffrent d'un important manque de compétences sur ces sujets.

Je vois les choses de manière différente. Je préfère justifier l'achat de solutions toutes faites et simples d'utilisation par l'ignorance technique des clients. Le client qui sait exactement ce qu'il veut, en revanche, fait un choix d'achat en toute conscience. Cela repose la question du choix de Microsoft dans le cas du Health Data Hub. La décision prise en toute conscience par quelqu'un de très compétent devient alors gênante.

Je citerai un autre exemple. Le marché multi-éditeurs propose aujourd'hui un outil de visioconférence 100% français nommé Tixeo. Pourtant, il n'est pas acheté. L'UGAP comme SCC proposent des solutions alternatives, et pourtant nous n'arrivons pas à les commercialiser de façon importante. Il y a bien une raison à cela, et cela n'est pas dû à de la mauvaise volonté.

S'agit-il d'une question d'acculturation ?

Je le pense, en effet.

Je souhaiterais expliquer plus en détails comment nous essayons de favoriser les PME dans le marché multi-éditeurs, qui constitue l'un des outils les plus puissants mis en place en France pour favoriser la vente de logiciels français. Nous avons d'abord mis en place un dispositif d'identification. Il repose sur une cellule dédiée de trois ou quatre personnes qui consacrent leur temps à étudier les propositions de logiciels reçues et à déterminer lesquelles sont pertinentes. Le travail d'identification est capital : il est nécessaire de faire le tri dans toutes les solutions qui nous sont proposées. Puis, nous étudions lesquelles d'entre elles sont pertinentes au regard des besoins du secteur public. Nous avons ainsi conclu des partenariats de recherche et d'innovation avec des collectivités territoriales, qui nous aident dans ce travail de qualification des solutions. Une fois la solution retenue, nous l'intégrons dans notre offre. La solution multi-éditeurs fait gagner un temps précieux à l'éditeur. Une fois la solution ajoutée au catalogue de l'UGAP, il est encore nécessaire de la faire connaître. Cela est peut-être le sujet sur lequel nous devons encore le plus travailler. Nous mettons en place un dispositif de conseil et d'assistance aux titulaires pour mieux faire à ce sujet. Nous avons été des accélérateurs de croissance colossaux pour certaines solutions ; il faut également que les entreprises puissent faire face à l'afflux croissant de demandes, potentiellement dans un temps très réduit. 50% des titulaires auprès de l'UGAP sont des PME ; toutes activités confondues, les PME représentent 20% du volume du chiffre d'affaires de l'UGAP. Elles sont principalement présentes dans le secteur du mobilier, du conseil et du logiciel.

Certains outils de financement existent pour les titulaires de marchés. Ils permettent d'accompagner la montée en charge des PME.

Imaginons qu'une volonté politique forte émerge pour privilégier les solutions françaises et européennes : selon vous, quels éléments devraient être modifiés dans les pratiques comme dans la législation ? Nous avons évoqué la labellisation SecNumCloud. Existe-t-il d'autres leviers pour favoriser les solutions françaises et européennes ?

L'article L. 2153-1 du code de la commande publique prévoit le principe d'égalité de traitement des opérateurs économiques issus de l'Union européenne avec ceux issus d'États faisant partie de l'accord de marchés publics de l'Organisation mondiale du commerce (OMC). Le principe du code de la commande publique est l'égalité de traitement entre Européens et les nombreux non-Européens signataires de cet accord. À ma connaissance, cet accord n'inclut pas la Chine, mais inclut le Japon, la Corée du Sud et les États-Unis. La direction des affaires juridiques de Bercy ainsi que la direction générale des entreprises sont les acteurs les plus qualifiés pour évoquer ces sujets. Une réflexion est en cours vis-à-vis des pays non-membres de l'accord. Il est néanmoins difficile de prendre des mesures discriminatoires. L'application des règles du code de la commande publique est, en ce sens, un élément stabilisateur. Nous essayons d'inclure, quand cela est possible, des clauses conformes au code de la commande publique qui permettent d'intervenir – cela est le cas, par exemple, dans le domaine des véhicules. Mais ces clauses doivent être proportionnées à l'enjeu. Nous essayons également de développer des clauses d'audit social. Nous disposons de clauses sociales internes à la France, et nous réfléchissons à des clauses sur la bonne application du droit du travail du pays d'origine. Dans un certain nombre de marchés, nous avons ajouté des clauses selon lesquelles le fournisseur doit apporter un audit de la conformité de ses pratiques par rapport au droit du travail. Cela est particulièrement important dans des secteurs comme le textile, mais d'autres sujets majeurs peuvent apparaître. Une prise de conscience collective émerge sur ces sujets.

Certains clients ont des idées bien arrêtées sur les solutions qu'ils souhaitent acquérir. Cela n'est pas parce qu'ils souhaitent acheter AWS ou Microsoft, mais parce qu'ils disposent de personnels habitués et formés à travailler sur ces interfaces. Les ministères souffrent d'un manque de personnels et sous-traitent de plus en plus ; ils ont besoin d'être opérationnels rapidement.

À titre d'exemple, nous avons remporté l'année dernière le marché interministériel du stockage : nous avons pour cela proposé plusieurs solutions. À l'usage, nous constatons que 80% à 85% des personnes n'achètent que la solution dont ils disposaient déjà depuis deux ou trois ans. Ils affirment n'avoir ni les moyens, ni le temps, ni les personnels formés pour changer de solution. Cela constitue un vrai problème.

Cela expliquerait en effet la volonté d'utiliser des systèmes préexistants intégrés. Avez-vous des remarques complémentaires à apporter sur tous les sujets que nous avons évoqués ?

La souveraineté passe par deux axes : l'amélioration et l'accélération, certes, mais aussi l'indépendance. Il n'est pas normal que nous ne disposions pas de davantage de solutions françaises et européennes. Il faut construire ensemble cette indépendance. S'agissant des PC, nous ne pourrons pas rattraper notre retard : les équipements étrangers fonctionnent très bien et sont d'ailleurs validés par l'Agence nationale de la sécurité des systèmes d'information (ANSSI). En revanche, de plus en plus de clients s'orientent vers des solutions françaises en matière de software. Cela fonctionne très bien. Je citerai les exemples d'Axway, de Tessi, de Doctolib. Il faut continuer à les promouvoir.

SCC est très vigilant à disposer de centres de service en France et à pouvoir contribuer à l'insertion sociale. Cela est d'ailleurs très demandé par le secteur public. Nous essayons de recruter un maximum en insertion sociale et nous ne sommes pas suffisamment aidés pour promouvoir ces emplois.

Il me semble important de promouvoir les solutions françaises : Doctolib en est un exemple, mais il est important de promouvoir également d'autres entreprises, à ce stade moins développées et moins connues. Il faut continuer à les aider, et les aider encore davantage.

D'autre part, il faut s'assurer que les entreprises produisent en France. Des freins linguistiques comme des freins de compétences s'opposent parfois à l'installation des entreprises du secteur informatique en France. Je citerai l'exemple de Cap, qui est installée en Inde, certes pour des raisons de coût, mais aussi pour des raisons de compétences. Nous manquons de compétences en France. Il s'agit d'un choix de technologie, mais aussi du choix de nos ingénieurs de demain.

La souveraineté se conquiert encore plus qu'elle ne se défend, particulièrement dans le domaine informatique. Des interdépendances considérables existent entre le software, le hardware, le conseil et le logiciel. Cela nécessite une réflexion stratégique fine et poussée sur ces sujets. Il convient de promouvoir des solutions françaises ainsi que de promouvoir des solutions de protection de notre économie. Nous devons mobiliser pour cela tous les ressorts existants. Il faut soutenir les grandes entreprises françaises : vous avez cité Doctolib, Cap et Atos – il est vrai que ces entreprises ont en partie délocalisé leurs emplois, mais c'est aussi de cette manière qu'elles ont pu grossir et garantir leur croissance. Il est indispensable que nous disposions d'un certain nombre de grands champions français et européens et que nous soutenions leurs activités.

Je vous remercie du temps que vous nous avez consacré et des éléments que vous avez bien voulu partager avec nous.