COMPTES RENDUS DE LA CE COMMANDE PUBLIQUE

- Présidence de M. Simon Uzenat, président -

La réunion est ouverte à 16 h 05.

Problématique des achats publics dans le secteur hospitalier - Table ronde avec : Mme Marie Daudé, directrice générale de l'offre de soins (DGOS), Mme Véronique Chasse, cheffe de la mission achats en santé à la DGOS, M. Dominique Legouge, directeur général du Réseau des acheteurs hospitaliers (Resah), Mme Angélique Dizier, directrice générale adjointe en charge de la coordination des activités d'achat centralisé du Resah, Mme Cécile Chevance, responsable du pôle « offres » de la Fédération hospitalière de France (FHF), M. Jean-François Husson, chargé de mission à la FHF, et M. Walid Ben Brahim, directeur général de l'Union des Hôpitaux pour les Achats (UniHA)

M. Simon Uzenat, président. - Nous reprenons aujourd'hui les travaux de notre commission d'enquête, après un déplacement riche en enseignements hier à Bruxelles, en nous intéressant cette fois-ci à la commande publique hospitalière.

Les achats des établissements publics de santé représentent environ 25 milliards d'euros par an, un montant considérable dont les retombées sur le tissu économique français et européen ne peuvent qu'être significatives.

Après avoir entendu la direction des achats de l'État (DAE) et les différentes catégories de collectivités territoriales, il nous a paru important de recevoir les principaux acteurs du monde hospitalier pour évoquer avec eux les enjeux qui s'attachent à la politique d'achat des établissements publics de santé. Il s'agit de mesurer s'ils sont similaires à ceux des autres acheteurs publics, comme la prise en compte des considérations sociales et environnementales, l'amélioration de la performance de la dépense publique ou encore le soutien à l'innovation.

Lors de notre déplacement à Vannes le 28 avril dernier, nous avons également échangé les équipes du Groupement Hospitalier Brocéliande Atlantique, qui nous ont fait part des difficultés et contraintes qui pèsent sur eux et ont regretté l'absence d'incitations à adopter des comportements d'achat plus vertueux, tout en posant la question des moyens à leur disposition.

Nous avons donc le plaisir d'accueillir :

- Mmes Marie Daudé, directrice générale de l'offre de soins (DGOS) et Véronique Chasse, cheffe de la mission achats en santé ;

- Mme Cécile Chevance, responsable du pôle « Offres » et M. Jean-François Husson, chargé de mission produits de santé, de la Fédération hospitalière de France (FHF) ;

- M. Walid Ben Brahim, directeur général de l'Union des hôpitaux pour les achats (UniHA) ;

- M. Dominique Legouge et Mme Angélique Dizier, respectivement directeur général et directrice générale adjointe du Réseau des acheteurs hospitaliers (Resah).

Je vous informe que cette audition sera diffusée en direct sur le site Internet du Sénat et fera l'objet d'un compte rendu publié. Je rappelle également qu'un faux témoignage devant notre commission d'enquête serait passible des peines prévues aux articles 434-13, 434-14 et 434-15 du Code pénal, soit 75 000 € d'amende et jusqu'à cinq ans d'emprisonnement, voire sept ans en fonction des circonstances. Je vous invite à prêter serment de dire toute la vérité, rien que la vérité. Veuillez lever la main droite et dire « Je le jure ».

Conformément à la procédure applicable aux commissions d'enquête, Mme Marie Daudé, Mme Véronique Chasse, Mme Cécile Chevance, M. Jean-François Husson, M. Walid Ben Brahim, M. Dominique Legouge et Mme Angélique Dizier prêtent serment.

Votre témoignage va nous permettre d'affiner le panorama global de la commande publique que nous construisons pas à pas depuis près de trois mois.

Nous vous saurions donc gré de bien vouloir nous exposer en premier lieu les spécificités de la commande publique en matière de santé, qui ne dispose pas d'un cadre réglementaire particulier, contrairement aux achats de défense. Cela suscite-t-il des difficultés particulières ? Quelles sont les solutions que vous avez identifiées pour lever ces obstacles ?

Vous pourrez également nous présenter à cette occasion la manière dont ces établissements favorisent, via leur politique d'achat, l'innovation en santé, l'accès des entreprises locales aux marchés publics et l'intégration de considérations sociales ou écologiques. Je pense notamment au respect de la loi Egalim.

Par ailleurs, les centrales d'achat semblent jouer un rôle majeur dans le secteur de la santé. Elles permettent de décharger l'hôpital de la passation de marchés complexes pour lui permettre de se concentrer sur son coeur d'activité : le soin.

Néanmoins, ces centrales sont régulièrement mises en cause par les acheteurs publics eux-mêmes, qui mettent notamment en avant des tarifs parfois plus élevés que ceux du marché. La situation est-elle la même dans le secteur hospitalier ?

Mme Marie Daudé, directrice générale de l'offre de soins (DGOS). -
Les achats hospitaliers représentent près de 35 milliards d'euros, soit environ 20 % des achats publics, ce qui fait du secteur de la santé l'un des quatre grands acheteurs publics avec l'État, la Défense et les collectivités territoriales.

Dans une structure médecine, chirurgie, obstétrique, les achats représentent environ 30 % du budget global de l'établissement.

Sur ces 35 milliards d'euros, environ 60 % concernent des produits de santé, 20 % des frais généraux, et 8 % les travaux, prestations techniques et énergie.

Le périmètre des personnes assujetties à la commande publique comprend les établissements publics de santé, les structures de coordination : groupements de coopération sanitaire (GCS) et groupements d'intérêt public (GIP), et certains établissements à but non lucratif, notamment Unicancer.

La commande publique représente, pour le secteur hospitalier, un levier de performance et de politique publique. Le code de la commande publique décrit un processus « achat » privilégiant la qualité et le moindre coût. L'État doit veiller à la performance de ce processus, notamment à la réalisation des gains achats dans les structures hospitalières, principalement via la mise en concurrence et la massification, mais aussi par le calcul en coût complet, la gestion des panels de fournisseurs et la définition précise des besoins.

Pour nous, la commande publique n'est pas qu'un outil juridique, mais aussi un levier permettant d'obtenir la meilleure qualité au juste prix. Le bilan est positif : en 2024, nous avons atteint 96 % de notre objectif de gains achats, soit près de 352 millions d'euros. La massification représente 35 % des dépenses d'achat hospitalier, avec les deux centrales nationales spécialisées présentes ce jour, l'Union des Hôpitaux pour les Achats (UniHA), pour 6,7 milliards d'euros d'achats, et le Réseau des acheteurs hospitaliers (Resah), pour 2,8 milliards d'euros, ainsi que l'Union des groupements d'achats publics (UGAP), pour environ 800 millions d'euros et huit centrales régionales spécialisées dans la santé.

Nous avons créé, à la DGOS, la mission performance hospitalière pour des achats responsables (PHARE), dirigée par Véronique Chasse, pour accompagner la structuration, l'optimisation et la professionnalisation des achats hospitaliers. Il s'agit d'identifier les différents leviers de performance, préciser la méthodologie sur les gains achats et accompagner la structuration du secteur.

Deuxièmement, la commande publique devient de plus en plus un levier de politique publique, nécessitant une évolution des outils. Nous travaillons avec la Direction des Affaires juridiques (DAJ) de Bercy dans le cadre du processus de révision des directives européennes, car les enjeux post-crise sanitaire ont évolué pour le secteur de la santé. Nous devons notamment faire face aux tensions d'approvisionnement des produits de santé, avec le sujet des achats souverains. Les outils actuels ne permettent pas d'y faire face de façon satisfaisante. Ma direction a élaboré de premières instructions à ce sujet et commencent à déléguer des crédits en ce sens, avec une intensification depuis le début de l'année 2025 pour couvrir les coûts de 2024.

Notre troisième axe concerne les achats durables, avec l'ambition du zéro carbone en 2050, et des obligations croissantes issues du plan national des achats durables. Ses objectifs pour 2025 - 100 % des marchés comportant une considération environnementale et 30 % une considération sociale - ne sont que partiellement atteints dans le secteur hospitalier public, malgré une progression régulière. De nombreuses règles ont été édictées ces dernières années, qu'il s'agisse de la loi Egalim, de la loi AGEC, du décret tertiaire, de la loi Climat et Résilience d'août 2021 et le schéma de promotion des achats publics socialement et écologiquement responsables (Spaser), issu de la loi Industrie verte d'octobre 2023.

M. Simon Uzenat, président. - Pourriez-vous nous donner les chiffres sur le pourcentage des marchés intégrant des considérations sociales et environnementales ?

Mme Marie Daudé. - Sur les clauses environnementales, nous sommes passés de 13 % des marchés en 2022 à 25 % en 2023 en volume, et de 15 % à 50 % en valeur. Pour les clauses sociales, en nombre, nous sommes passés de 3 % à 6 % entre 2022 et 2023, et en montant, de 9 % à 14 %. Ces résultats restent encore partiels.

M. Simon Uzenat, président. - Disposez-vous des données concernant l'application de la loi Egalim ?

Mme Véronique Chasse, cheffe de la mission achats en santé à la DGOS. - Pour Egalim, nous disposons d'un chiffre agrégé pour les secteurs de la santé et du médico-social. Dans le bilan 2024, nous atteignons respectivement 4 % et 5% de produits biologiques, ainsi que 14 % et 17 % de produits durables et de qualité, contre les objectifs de 20 % et 50 % exigés par Egalim.

Mme Marie Daudé. - Le quatrième type de politique publique concerne l'achat d'innovation, et le cinquième axe est la diversité des opérateurs économiques, avec un attachement particulier à la place des petites et moyennes entreprises (PME) dans l'achat public, étant porteuses de développement territorial, d'innovation et de circuits courts. La part des PME était de 47 % en 2022 et 44 % en 2023 en nombre, mais en montant, nous constatons une diminution, de 27 % en 2022 à 17 % en 2023.

Face à ces constats, nous estimons que les règles de commande publique doivent évoluer. Nous travaillons avec Bercy, dans le cadre d'un groupe de travail piloté par la DGOS, pour proposer plusieurs évolutions : introduire la notion de sécurité sanitaire dans les directives ; renforcer les objectifs de souveraineté et favoriser la réindustrialisation locale ; prévoir un dispositif spécifique pour faire face aux crises ; réserver un pourcentage des marchés d'un montant élevé aux PME ; renforcer la prise en compte des critères environnementaux.

Ces directives sont en négociation à Bruxelles jusqu'en 2026. Nous discutons également de la hausse des seuils, dans le cadre de l'examen du projet de loi sur la simplification de la vie économique. La France a établi des seuils intermédiaires (40 000, 90 000 et 100 000 euros) différents de ceux prévus par la Commission européenne. Les députés viennent de voter le passage du seuil de 40 000 à 100 000 euros pour tout type d'achat, afin de faciliter l'accès des PME aux marchés publics. Il faudra mesurer l'effet d'une telle mesure sur les établissements de santé.

Enfin, nous avons élaboré avec l'Agence nationale d'appui à la performance des établissements de santé et médico-sociaux (ANAP) et en lien avec nos partenaires, notamment les centrales d'achat, une nouvelle feuille de route des achats publics, encore en cours de discussion comportant trois axes : le pilotage de la performance ; les produits de santé et les futurs enjeux ; les pratiques et processus achats.

Pour conclure, la commande publique participe à la mise en oeuvre des politiques publiques et doit être ajustée face aux nouveaux enjeux de résilience, tout en maintenant la professionnalisation des fonctions achat qui nous permet de mieux acheter, à moindre coût.

Mme Cécile Chevance, responsable du pôle « Offres » de la Fédération hospitalière de France (FHF). - Nous avons des chiffres similaires à ceux exposés par Mme Daudé sur le montant des achats. Nous identifions environ 35 milliards d'euros d'achats, y compris l'investissement (travaux et équipements lourds).

M. Simon Uzenat, président. - Nous avions annoncé précédemment 25 milliards d'euros, puisqu'il s'agissait de la dernière donnée disponible. Or, des actualisations ont eu lieu au cours des deux dernières années. Merci de nous fournir ce chiffre, car nous ne sommes pas sur la même temporalité.

Mme Cécile Chevance. - Ces derniers chiffres de 2024 sont encore des estimations, puisque les comptes ne sont pas encore complètement arrêtés.

Je souhaite également souligner la diversité des produits et prestations achetés par l'hôpital public, allant des achats courants de fonctionnement aux achats innovants, avec une spécificité sur les produits de santé, médicaments, dispositifs médicaux et matériels médicaux lourds. Les achats d'exploitation représentent environ 30 % des charges de fonctionnement, et 35 % en prenant en compte les achats d'investissement.

Les hôpitaux publics sont des acteurs importants dans le tissu économique local, territorial et national, créateurs de valeur, tant sociale qu'économique.

La commande publique doit être encadrée par des règles strictes et le code actuel répond à ces exigences, garantissant le bon usage des deniers publics et le respect des règles déontologiques, comme l'égalité de traitement, la transparence et la liberté d'accès, qui sont protectrices des entreprises soumissionnaires.

Pour autant, il est essentiel de trouver un équilibre en accordant plus de souplesse en matière de négociation et en simplifiant les procédures, afin de permettre aux acheteurs, qu'il s'agisse des établissements de santé, des groupements hospitaliers de territoire (GHT) ou des centrales d'achat, de déployer des stratégies d'achat performantes.

Les difficultés de trésorerie que rencontrent certains établissements de santé doivent être soulignées, en raison de leur situation financière dégradée, ce qui induit une dégradation des délais de paiement, ceux-ci atteignant 61,2 jours en 2023 selon l'Observatoire des délais de paiement, soit une augmentation de 16 % entre 2019 et 2024, ce qui peut impacter les réponses des soumissionnaires ou leurs tarifs.

La mutualisation de la fonction achat permet la professionnalisation des équipes et constitue un levier de performance. Il s'agit également d'un levier de transition écologique, sachant que l'activité du système de santé a un impact certain sur l'environnement, notamment par les émissions de gaz à effet de serre liées pour moitié aux médicaments et dispositifs médicaux achetés par les établissements de santé. De nombreuses obligations s'imposent à eux, qu'il s'agisse de produits de restauration de qualité ou d'origine biologique - qui sont plus onéreux - en application de la loi Egalim, du verdissement des parcs de véhicules ou encore de l'interdiction de certains produits en plastique. Des enjeux en matière d'économie circulaire et d'achat local ou national doivent également être pris en compte, même si le cadre réglementaire actuel n'y est pas toujours adapté. Nous avons identifié plusieurs leviers d'amélioration en matière d'efficience, de simplification, de souveraineté nationale ou européenne et de transition écologique.

M. Jean-François Husson, chargé de mission produits de santé à la Fédération hospitalière de France (FHF). - Concernant l'efficience, nous proposons de renforcer la mutualisation des équipes, des compétences et des expertises, et de poursuivre la professionnalisation des équipes achats, tant sur le volet juridique que technique. Il est ainsi nécessaire de travailler en amont, sur la définition du juste besoin, d'éviter la prolifération des références, d'améliorer le sourcing et de développer le calcul en coût complet, mais aussi en aval, sur la logistique et les processus d'approvisionnement, notamment les commandes en urgence et la gestion des ruptures d'approvisionnement.

Un sujet important pour les établissements de santé est de pouvoir à nouveau qualifier certaines offres trop chères comme inacceptables. La vision actuelle du Conseil d'État restreint cette évaluation aux seules capacités budgétaires des établissements, sans considérer la valeur réelle du produit, ce qui pose des difficultés alors que les acheteurs sont tout à fait compétents pour juger de la valeur d'un produit au regard d'indices et de benchmark.

Il s'agit également de lutter contre les ententes et les prix disproportionnés pratiqués parfois par certains prestataires, en renforçant le partenariat avec la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF), pour des retours plus rapides sur les augmentations de prix que nous constations dans certains domaines.

En matière de simplification, la possibilité de négociation des acheteurs publics doit être renforcée, étant aujourd'hui bien plus limitée qu'auparavant, particulièrement après des procédures d'achat concurrentielles infructueuses.

Dans les sujets de souveraineté abordés, nous travaillons en partenariat avec la DGOS sur les achats souverains de produits identifiés. Nous souhaitons disposer de leviers pour recourir plus facilement à des achats européens, nationaux, voire locaux. Actuellement, les règles de la commande publique nous autorisent dans certains cas à utiliser des marchés réservés à des opérateurs européens. Un levier intéressant serait de passer de ces marchés réservés à des critères de choix favorisant les opérateurs nationaux et européens.

Concernant la transition écologique et l'économie circulaire, les achats hospitaliers peuvent contribuer à la transformation écologique des établissements de santé. Aujourd'hui, nous pouvons intégrer des considérations environnementales dans nos critères de choix, mais nous manquons de référentiels communs pour évaluer l'impact environnemental des produits achetés.

Un travail a été mené avec la Direction générale des entreprises sur le bilan carbone des médicaments. L'association des entreprises du dispositif médical a également développé un « éco-score », mais ces outils restent encore peu matures.

Enfin, sur l'économie circulaire, il existe désormais une possibilité d'acquérir des produits de seconde main, avec une dispense de procédure de marché formalisée en dessous de 100 000 euros. Ce sujet est intéressant à défendre, tout en restant vigilant sur le respect des règles générales de la commande publique.

M. Walid Ben Brahim, directeur généralde l'Union des Hôpitaux pour les Achats (UniHA). -UniHA a été créée en 2005, par et pour les hôpitaux. Il s'agit d'un groupement de coopération sanitaire (GCS), dont la mission est d'organiser les procédures d'achat pour le compte de ses adhérents.

Notre structure a plusieurs particularités. En tant que groupement de coopération sanitaire, nous ne pouvons fournir des prestations qu'à nos adhérents. Notre modèle économique est à la fois frugal et vertueux : nos charges sont couvertes uniquement par les cotisations de nos adhérents, sans aucun financement de la part des fournisseurs.

Notre gouvernance est hospitalière, le groupement étant administré par la directrice générale du centre hospitalier universitaire (CHU) de Limoges. Le bureau du conseil d'administration est composé entièrement d'hospitaliers, médecins, directeurs et pharmaciens.

Nous comptons 1 477 adhérents, dont 80 % sont des hôpitaux publics, représentant 95 % du volume d'achat en 2024. Notre principal mode de passation de marchés est le groupement de commandes, où les hôpitaux s'engagent sur des quantités estimatives, avant même de connaître le titulaire, la durée ou le prix, ce qui constitue un puissant levier de négociation.

Nous bénéficions d'un fort ancrage hospitalier, avec 14 sites répartis sur le territoire, nos équipes étant directement installées dans les hôpitaux, au contact des services de soins, garantissant ainsi une adéquation aux besoins réels.

En 2024, nous avons réalisé 7,6 milliards d'euros d'achats, dont 5,2 milliards en produits de santé - médicaments et dispositifs médicaux) - suivis par l'énergie, les équipements médicaux et diverses fournitures et services. Nous achetons tout ce qu'on peut trouver à l'hôpital sauf les travaux, qui sont réalisés en interne.

Notre structure compte 143 agents, avec un budget de fonctionnement de 18,5 millions d'euros en 2024, soit un coût de 250 euros par tranche de 100 000 euros d'achat. Contrairement à d'autres centrales, nous ne faisons pas d'achat-revente, mais mettons uniquement des marchés à disposition. Tout excédent constaté une année est restitué aux adhérents l'année suivante, sous forme de réduction de cotisation.

M. Simon Uzenat, président. - Pouvez-vous nous donner quelques précisions sur vos implantations ultramarines ?

M. Walid Ben Brahim. - Nous n'en avons pas, mais les hôpitaux ultramarins font partie de notre groupement et nous avons un attachement particulier à ces établissements.

UniHA est moteur d'efficience depuis 20 ans, dans le sens de la qualité au meilleur prix. La qualité des produits est notre première préoccupation, mais nous générons également des gains substantiels qui, après un tassement dû à l'inflation en 2022-2023, ont repris avec une augmentation de 17 % entre 2023 et 2024. Nous contribuons à hauteur de 114 millions d'euros aux gains totaux mentionnés par la directrice générale de l'offre de soins.

Notre activité inclut l'optimisation des prix et des services liés à l'approvisionnement, ainsi que l'assistance aux hôpitaux dans l'exécution des marchés.

UniHA constitue aussi un levier de performance et de transformation du système de santé. Au-delà de l'efficience, notre première préoccupation est la sécurité d'approvisionnement, particulièrement importante pour les produits de santé. Nous avons profondément modifié nos méthodes d'achat : aujourd'hui, 80 % de nos marchés de médicaments sont multi-attributaires, sans fournisseur unique. Nous avons diversifié notre sourcing et sommes en capacité de mobiliser des fournisseurs français et européens, dans le cadre réglementaire actuel.

Concernant la durabilité, nous avons intégré les objectifs législatifs européens et réglementaires, notamment ceux de la loi Industrie verte. En 2024, 66 % de nos marchés intègrent une clause ou un critère environnemental, et 22 % une clause ou un critère social. Nous avons élaboré un Spaser, et nous travaillons sur le bilan carbone de nos achats, sachant que 50 % du bilan carbone d'un hôpital est lié aux achats, dont 60 % aux produits de santé.

En 2023, nous avons réalisé une analyse de cycle de vie complète d'un médicament anti-infectieux, en partenariat avec un industriel. Nous intégrons désormais une méthodologie d'évaluation du bilan carbone des médicaments dans nos appels d'offres, permettant de noter les offres selon leur impact carbone. En matière de durabilité, certains lots sont réservés à des établissements et services d'aide par le travail (ESAT), comme dans le traitement de déchets, pour deux millions d'euros en 2024.

Concernant le tissu économique, 60 % de nos titulaires sont des PME, représentant 20 % de nos volumes d'achat. Nous sommes une grande centrale d'achat nationale mais nous ne faisons pas travailler que des industriels. Notre pratique de l'allotissement est systématique : en moyenne, un marché représente 17 lots chez UniHA. Sur les marchés de produits de santé, nous allons jusqu'à 32 lots, et un marché d'anti-infectieux en cours compte 757 lots. Chaque lot a une procédure spécifique, des critères pondérés différemment et peut être multi-attributaires. Ce travail précis permet de faire vivre des entreprises françaises et européennes.

Nous collaborons avec le ministère de l'Économie sur des programmes de stimulation du tissu économique local, car les start-ups, confrontées à des difficultés de levée de fonds depuis deux ou trois ans, ont besoin de la commande publique. Les programmes « Je choisis la French Tech » et « ÉTIncelles » nous permettent de contribuer à cette vivacité économique.

En matière de souveraineté, notre organisation par filières spécialisées permet d'identifier et de faire travailler les entreprises locales. Par exemple, nous travaillons avec un industriel français pour rapatrier la production d'un médicament contre l'hépatite C actuellement fabriqué hors de France.

Dans la filière restauration, nos marchés de viande (porc, veau, dinde, poulet, jambon) sont 100 % français. C'est une fierté pour UniHA.

Concernant les évolutions possibles, nous préconisons une stabilité globale des normes de la commande publique, qui sont déjà complexes, mais fonctionnelles. Certains dispositifs, comme les systèmes d'acquisition dynamique, sont particulièrement utilisés par les centrales d'achat, mais d'autres, comme les catalogues électroniques, restent inexploités.

Nous appelons à une meilleure lisibilité et une simplification du nombre d'opérateurs d'achat. Une plus grande régulation de la création de ces opérateurs, publics ou privés, nous semble nécessaire, ainsi que nous l'avons dit à la mission de l'Inspection générale des finances (IGF) en cours sur le sujet. Cela entraîne un empilement de frais de structure. Le système de santé français a la chance de disposer d'opérateurs nationaux professionnels, qui font un travail formidable. Il est nécessaire de conserver cette structuration, d'approfondir la fonction territoriale au niveau des GHT, et de s'appuyer sur ces structures nationales.

M. Dominique Legouge, directeur général du Réseau des acheteurs hospitaliers (Resah). - Le Resah a été créé sous forme de GIP par les hôpitaux d'Île-de-France il y a une vingtaine d'années, avec l'appui de la FHF, afin de professionnaliser et mutualiser leurs achats. Nous avons depuis connu une forte croissance et étendu notre périmètre au niveau national, notamment via le programme PHARE.

Notre offre couvre la quasi-totalité des besoins des hôpitaux et structures médico-sociales : produits de santé, médicaments, dispositifs médicaux, énergie, numérique, produits hôteliers et prestations externalisées. Au-delà des seuls hôpitaux, tous les acheteurs publics intervenant dans les domaines sanitaire, médico-social ou social peuvent être bénéficiaires de notre centrale d'achat.

Le Resah est labellisé « Relations fournisseurs et achats responsables » (RFAR) depuis 2021, conformément à la norme ISO 24000. Nous respectons les délais de paiement, avec un règlement de nos fournisseurs en environ huit jours en achat-revente, ce qui est apprécié par les PME. Nous avons créé un guichet de l'acheteur hospitalier responsable, accessible à tous nos adhérents, avec un bouquet de services pour les aider dans cette démarche. Ainsi récemment le CHU de Nancy a été labellisé RFAR. Nous engageons nos fournisseurs à aller dans le même sens.

Notre gouvernance est celle d'un GIP classique, avec une assemblée générale qui réunit nos adhérents et un conseil d'administration majoritairement composé d'hôpitaux, créateurs du Resah. Nous comptons 4 000 adhérents, dont la totalité des hôpitaux publics, la plupart des grands établissements privés non lucratifs, le service de santé des armées depuis l'origine, 1 200 structures médico-sociales, 600 organismes de sécurité sociale, notamment dans le cadre du partenariat avec l'Union des caisses nationales de sécurité sociale (UCANSS), 91 services départementaux d'incendie et secours, 200 centres communaux d'action sociale (CCAS) et 400 collectivités territoriales.

Notre volume d'achat a atteint 3,2 milliards d'euros en 2024 (contre 2,8 milliards euros en 2023), dont 10 % en achat-revente, avec une réserve de croissance importante, car beaucoup d'achats des secteurs sanitaire et médico-social ne sont pas encore mutualisés. Nous travaillons avec 1 000 fournisseurs, dont 54 % de PME, et gérons 5 700 marchés.

Nos gains sur achat représentent 213 millions d'euros, hors énergie, pour 2024. Nous employons plus de 200 personnes (pharmaciens, ingénieurs, biologistes, cadres de santé, logisticiens, juristes, etc.), avec un budget de fonctionnement d'environ 30 millions d'euros.

Notre spécificité est d'avoir créé, dès l'origine, un centre de ressources et d'expertise pour accompagner nos adhérents dans la professionnalisation de leurs achats et le bon usage de nos marchés. Nous sommes convaincus que la maîtrise des consommations constitue le levier essentiel pour un achat économiquement et environnementalement performant.

Ce centre propose du conseil pour des marchés complexes, comme l'externalisation de prestations de nettoyage au CHU de Bordeaux, avec un lot réservé à une entreprise adaptée, ou le transport d'examens de laboratoire et de produits sanguins par drone au CHU de Nancy ou à l'hôpital de Granville, et anime des groupes de travail sur la performance achat et la logistique, par exemple actuellement sur l'optimisation des dépenses de titre 2, et des clubs d'utilisateurs de nos marchés.

Nous travaillons actuellement sur nos données, afin de permettre à nos adhérents de comparer leurs consommations, notamment sur le taux de substitution des équivalents thérapeutiques. Nous avons aussi une activité de formation, parfois certifiante comme les « 100 heures de l'achat », avec l'École des hautes études en santé publique (EHESP) de Rennes, ou notre formation en logistique avec l'École des Mines de Saint-Étienne. En outre, nous organisons régulièrement des événements, notamment avec l'ANAP sur la logistique et la pharmacie hospitalière.

Notre centre de ressources et d'expertise assure une mission essentielle de partage d'information sur les achats et la logistique entre nos adhérents. Nous publions un journal quotidien en ligne « achat-logistique.info », qui valorise les expériences de nos adhérents et d'autres acheteurs publics. Nous éditons également des guides pratiques sur des thématiques achats, comme la gestion des déchets, la restauration, la loi Egalim ou l'énergie.

Pour en revenir à notre centrale d'achat, nous avons une forte activité de soutien à l'innovation, particulièrement orientée vers les start-ups et PME. Notre centre d'innovation par les achats, doté d'une équipe spécialisée avec plusieurs salariés, identifie, évalue, sélectionne et diffuse des solutions innovantes accompagnant les projets de transformation de nos adhérents. Il travaille en lien avec l'écosystème de l'innovation, l'Agence de l'innovation en santé, la Banque publique d'investissement, France Biotech, Silver Valley ou encore les pôles de compétitivité.

Notre catalogue comprend plus de 100 solutions innovantes, majoritairement françaises, allant des robots d'assistance opératoire aux solutions de gestion de planning, avec intelligence artificielle (IA).

Nous avons conclu un partenariat avec le CHU de Nantes pour intégrer sa future fabrique de l'innovation en santé fin 2025, permettant à nos équipes d'être au plus près des soignants pour accompagner l'innovation en matière de numérique et d'IA.

Notre expérience en matière d'achat public souverain s'illustre par une opération majeure de sécurisation des approvisionnements de gants en nitrile à la suite de la crise sanitaire, que nous avons conduite à la demande du ministère de la santé et de la DGOS. Ce marché national d'environ un milliard de gants sur quatre ans a permis la relocalisation de la production en Europe, dans le département de la Sarthe. D'autres opérations de ce type ont été réalisées, en partenariat avec UniHA, ou le seront prochainement pour les produits de santé qui seront jugés critiques par l'État.

Sur deux segments spécifiques, que sont les médicaments et les produits alimentaires, nos adhérents ont maintenu une dynamique d'achat régional. Nous travaillons donc à l'échelle de l'Île-de-France et coopérons avec les autres groupements régionaux.

Notre particularité est d'être la seule centrale d'achat public à intervenir à la fois en tant qu'intermédiaire, qui assure de la mise à disposition de contrats et en tant que grossiste, avec une activité d'achat-revente de 300 millions d'euros. Cette approche nécessite une infrastructure financière solide, car nous payons nos fournisseurs à huit jours tandis que nos adhérents règlent en plusieurs mois. Nos comptes sont désormais certifiés.

Au niveau européen, nous avons créé, avec d'autres centrales d'achat publiques spécialisée dans le secteur hospitalier, l'association European health public procurement alliance (EHPPA), et nous portons des projets financés par la Commission européenne. Notre projet « Procure », qui s'achèvera prochainement, établit un état des lieux de l'achat hospitalier européen à la suite de la crise sanitaire. Les conclusions à ce sujet devraient être remises à partir du mois de septembre prochain.

Pour conclure sur la réglementation, je suis d'accord avec Walid Ben Brahim. Les centrales d'achat sont devenues des acteurs essentiels de la commande publique, et le mouvement de mutualisation se poursuivra. Il serait pertinent de définir un socle d'exigences minimales garantissant performance et maturité des centrales d'achat, sans réglementation excessive, mais avec des règles suffisantes pour assurer à leurs adhérents une qualité de prestation à tous les niveaux d'intervention. Nous en avons également fait part à l'IGF.

M. Dany Wattebled, rapporteur. - Vous représentez un volume considérable, avec 35 milliards d'euros d'achats. Disposez-vous des données plus précises sur leur répartition entre entreprises françaises et étrangères ? Ce volume global génère des retombées importantes pour le pays.

Ma deuxième question concerne les start-ups : comment les intégrez-vous ? Comment assurez-vous un sourcing des solutions innovantes et surtout, comment les accompagnez-vous dans la commande publique ? Être innovant ne suffit pas. Sans commandes, une start-up s'étouffe rapidement. Pourriez-vous partager quelques exemples concrets ?

Concernant les médicaments, face à l'évolution rapide de la recherche et notre perte d'influence dans ce domaine, comment soutenez-vous la recherche pharmaceutique française ?

Ma troisième question porte sur l'hébergement des données, qui constitue un aspect stratégique : comment assurez-vous la sécurité de ces données ?

Enfin, concernant les délais de paiement, vous avez mentionné un allongement de dix jours. Est-ce dû à un manque de ressources financières ou à une planification inadéquate ? Serait-il possible de ramener ces délais à 30 jours, comme pour la commande publique en général, au lieu des 50 jours dérogatoires ?

M. Walid Ben Brahim. - Pour certaines questions, je reprendrai les éléments que la Direction des achats de l'État (DAE) vous a présentés il y a quelques semaines. Concernant les données sur les opérateurs français, il est malheureusement difficile de les déterminer avec précision, car de nombreuses sociétés disposent de filiales en France, ce qui complique l'analyse statistique de l'origine de nos prestataires. Nous n'avons pas de données agrégées au niveau d'UniHA, mais nous suivons la situation, filière par filière.

Nous avons engagé, avec la Direction générale de la Santé et la DGOS, une cartographie des vulnérabilités de nos approvisionnements en médicaments et dispositifs médicaux, ce qui était notre priorité. Notre analyse se fait quasiment produit par produit, un travail fastidieux qui ne permet pas encore d'avoir une vue globale.

Concernant le repérage et l'accompagnement des start-ups, nous bénéficions de l'expertise de nos acheteurs particulièrement spécialisés. Par exemple, notre équipe de Marseille, spécialisée dans l'achat de dispositifs médicaux liés à la transfusion sanguine, a identifié la start-up i-SEP de Nantes, qui développe une solution innovante bénéficiant aujourd'hui à neuf CHU.

Nous avons également participé à une formation organisée par Bercy dans le cadre du programme « Je choisis la French Tech ». Nous accompagnons pas à pas les start-ups innovantes que nous repérons.

Sur le financement de l'innovation et de la recherche, la chasse aux chutes de brevets est un sujet extrêmement important pour UniHA. Nous travaillons en amont avec les industriels génériques, en dehors des appels d'offres, pour leur signaler des molécules avec une chute de brevet à venir. Nous leur demandons parfois de se positionner sur certaines productions de molécules avec trois à quatre ans d'anticipation, permettant ainsi aux acheteurs de passer immédiatement un marché de générique, dès que le brevet tombe, afin que le produit biosimilaire puisse être utilisé à l'hôpital. La pénétration de ces médicaments biosimilaires dans les pratiques hospitalières constitue également une préoccupation majeure.

Concernant la sécurité et l'hébergement des données, nous faisons face à des niveaux de dépendance importants à des fournisseurs étrangers. L'enjeu est d'être capable de réduire cette dépendance. Lors de notre dernier marché de solutions cloud pour les hôpitaux, nous avons prévu un lot spécifique dédié aux solutions souveraines. Nous avons également signé le manifeste d'Hexatrust.

M. Simon Uzenat, président. - Concernant le cloud souverain, nous serons preneurs d'informations détaillées sur la façon dont vous organisez, pilotez et mettez en oeuvre vos marchés.

M. Dominique Legouge. - Pour le cloud souverain, nous avons une offre qui répond à la variété des besoins de nos adhérents. Nous appuyons particulièrement la diffusion des clouds souverains, notamment NumSpot, qui dispose d'un marché spécifique avec le Resah. Récemment, nous avons réalisé une première opération avec l'Assistance publique - Hôpitaux de Marseille, qui utilisera ce cloud souverain pour gérer son entrepôt de données de santé.

Il s'agit d'un démarrage progressif. Malgré l'existence de nombreuses alternatives non souveraines, l'offre souveraine actuelle devient attractive pour les établissements. Nous encourageons la diffusion de ces solutions, qui apportent une sécurité accrue pour l'hébergement des données de santé particulièrement sensibles.

Les retombées économiques en France sont importantes, avec la commande publique hospitalière. Un secteur où les retombées sont automatiques est celui des prestations de service (maintenance, nettoyage, restauration, énergie, etc.), qui génère des emplois directs au niveau national. Pour les produits que nous diffusons, il est plus difficile de déterminer quelle partie est fabriquée localement. Néanmoins, tout le secteur des services et des travaux est par nature employeur au niveau national.

Mme Angélique Dizier, directrice générale adjointe en charge de la coordination des activités d'achat centralisé du Réseau des acheteurs hospitaliers (Resah). - Pour faire venir les start-ups dans la commande publique, nous utilisons notre centre d'innovation par les achats, qui existe depuis plusieurs années. Porter et soutenir les politiques publiques liées à l'innovation a toujours fait partie de la culture du Resah. Cette équipe identifie de manière précoce les solutions innovantes à fort potentiel pour les établissements de santé.

Nous avons environ une centaine d'offres innovantes au catalogue du Resah, car l'objet du marché est innovant, ou parce que nous avons intégré dans la procédure de mise en concurrence un critère évaluant le caractère innovant de la solution proposée.

Nous avons également développé un mécanisme contractuel incitatif pour les start-ups, notamment l'utilisation importante du mécanisme d'achat-revente dans les marchés d'innovation, permettant aux entreprises d'être sécurisées en matière de trésorerie, grâce à un délai de paiement d'une huitaine de jours.

Nous inventons également des mécanismes contractuels avec des dispositifs de tests, d'essais et de cofinancement de solutions, adaptés aux achats d'innovation, sécurisant pour les entreprises, et accompagnant les établissements dans le changement.

Mme Cécile Chevance. - La dégradation de la situation financière des établissements est liée notamment aux impacts de l'inflation et des mesures de revalorisation salariale. Ces mesures, bien que légitimes, ont eu un fort impact sur les charges des établissements. Des missions de l'Inspection générale des affaires sociales (IGAS), avec également IGF, examinent la couverture, le calibrage et la ventilation des financements destinés à couvrir ces charges. Nous estimons qu'il existe un sous-financement important concernant l'inflation et les mesures liées aux ressources humaines, ce qui affecte directement la trésorerie.

Nous constatons un déficit cumulé qui inclut des charges non décaissables, comme les amortissements et les provisions, mais qui affecte néanmoins la trésorerie. La situation globale cache des disparités : certains établissements concentrent une part importante de la trésorerie en raison de leur taille, d'autres, notamment des petits établissements ou des établissements psychiatriques, présentent des situations de trésorerie, apparemment confortables, qui masquent en réalité des difficultés différentes, particulièrement en matière de postes vacants, d'attractivité et de recrutement.

Certains établissements sont presque exsangues en matière de trésorerie et peinent à payer leurs factures. Les charges salariales et les emprunts étant décaissés régulièrement, leur marge de manoeuvre repose sur les délais de paiement des fournisseurs et les dettes sociales et fiscales, deux postes en augmentation. Malgré tout, nous veillons à ne pas mettre en difficulté les fournisseurs, particulièrement ceux en situation vulnérable.

Mme Marie Daudé. - Nous essayons d'agir au maximum sur la dette fiscale ou sociale, car par définition, cela ne peut pas être une solution pérenne, à l'image des délais fournisseurs. Il s'agit d'une importante problématique actuellement.

Nous examinerons votre première question sur le retour financier, car nous ne disposons pas des données pour le moment.

Concernant la recherche, cela fait partie des critères que nous approfondissons avec la DAJ de Bercy, dans le cadre de la révision des directives européennes, pour mieux intégrer cette dimension aux règles de l'achat.

M. Daniel Salmon. - Concernant le respect des exigences en matière de restauration collective fixées par la loi Egalim, vous avez indiqué être à 4 ou 5 % de bio et 20 % pour ce qui est labellisé ou local. Quels leviers comptez-vous activer pour améliorer ces résultats dans les années à venir ?

Vous avez également mentionné la relocalisation de la production de gants. Où en sommes-nous concernant les masques, sujet important ces dernières années ? Quelle a été l'évolution ? J'ai entendu dire que des masques chinois revenaient dans les hôpitaux.

Enfin, concernant les médicaments actuellement sous tension, existe-t-il encore des leviers de concurrence ou observez-vous plutôt une entente entre certains laboratoires sur les prix des médicaments, particulièrement les plus coûteux, comme ceux utilisés en chimiothérapie ?

M. Dominique Legouge. - Sur l'application de la loi Egalim, nous devons trouver des marges de manoeuvre budgétaires, car l'achat de produits alimentaires vertueux nécessite un budget plus conséquent. Nous travaillons sur la lutte contre le gaspillage alimentaire, estimé à environ 20 %, mais cette piste doit être complétée par un effort sur le budget d'acquisition alimentaire, en dégageant des marges sur d'autres postes comme les produits de santé, où il existe encore beaucoup de possibilités sur la substitution de médicaments, au-delà des génériques et biosimilaires, en prenant mieux en compte les équivalences thérapeutiques.

Nous avons besoin d'un engagement préalable des établissements. Si nous incluons des produits vertueux dans nos marchés alimentaires, sans que les établissements ne s'engagent à les acheter, les fournisseurs maintiendront des prix élevés. Pour obtenir de meilleurs prix, il faut un engagement préalable des établissements sur l'achat de ces produits de qualité ou bio.

La mutualisation des achats peut être un levier fantastique pour gagner du temps et créer un effet d'entraînement. Nous sommes convaincus de l'intérêt du niveau régional pour les produits alimentaires, même si d'autres approches sont possibles.

Mme Véronique Chasse. - Sur l'application de la loi Egalim, nous constatons dans certaines régions des prises de contact avec les chambres régionales d'agriculture pour créer des organisations inter-GHT, portées au niveau régional, permettant de développer les circuits courts et approvisionner en produits durables et bio. Ces initiatives, observées dans plusieurs régions, sont particulièrement intéressantes.

Mme Marie Daudé. - Nous avons un problème global de compensation des surcoûts pour les établissements de santé, dans un contexte de plus en plus complexe pour les finances publiques. Cela n'empêche pas que nous devons suivre nos objectifs de politique publique, mais l'adaptation des financements reste un défi.

Concernant les masques souverains, nous sommes à environ 50 millions d'achats par an depuis 2022 (60 millions en 2022, 45 millions en 2023, 50 millions en 2024 et probablement 50 millions en 2025). Les établissements avaient constitué d'importants stocks durant la crise sanitaire et progressivement, les masques français prennent le relais. Je ne pense pas que les masques chinois disparaîtront complètement, mais nous visons une montée en charge maximale de la production française.

M. Daniel Salmon. - Avez-vous une idée des pourcentages dans ce domaine ?

Mme Marie Daudé. - Non, pas pour l'instant, mais nous vous communiquerons ces informations.

M. Walid Ben Brahim. - Concernant le marché du médicament et les comportements des industriels, une particularité existe sur le marché français. À l'hôpital, nous bénéficions de prix particulièrement intéressants, grâce aux appels d'offres, car nous générons environ 60 % des dépenses globales de médicaments. Les patients, qui reçoivent un médicament à l'hôpital, poursuivent ensuite leur traitement en ville, ce qui crée un effet d'appel pour les industriels.

L'écart est probablement trop important entre le prix des « vieilles » molécules, très utilisées et peu onéreuses dans nos appels d'offres, et celui des molécules innovantes, notamment en cancérologie, qui sont extrêmement coûteuses.

Concernant les brevets, les industriels développent parfois des stratégies de contournement ou de prolongation en changeant simplement la forme d'administration du médicament, ce qui retarde la mise sur le marché d'alternatives et prolonge leur monopole.

Notre conviction est que les réponses doivent être à l'échelle européenne, car l'industrie pharmaceutique est mondialisée. Même avec plus de 5 milliards d'euros d'achats de produits de santé, nous représentons moins de 0,4 % du marché mondial pharmaceutique. Une échelle européenne est essentielle pour influencer ces stratégies globales.

M. Jean-François Husson. - Les ruptures de médicaments à l'hôpital concernent en moyenne 5 % du livret thérapeutique de l'établissement, de manière quotidienne. L'année dernière, 4 000 ruptures de médicaments ont été signalées à l'Agence nationale de sécurité du médicament et des produits de santé (ANSM), au niveau du marché français. Il s'agit d'une problématique majeure, avec un marché du médicament mature, où les médicaments essentiels qui soignent 90 % des patients sont à des prix particulièrement bas.

Une question se pose sur l'attractivité du marché hospitalier pour les industriels, comme en témoignent le peu d'offres sur les antibiotiques et les médicaments de chimiothérapie anciens, ce qui pose de vrais problèmes de prise en charge des patients. Les établissements, qu'ils soient en GHT ou indépendants, ont besoin des opérateurs de mutualisation pour les accompagner et trouver des solutions alternatives, alors qu'ils sont confrontés quotidiennement à ces problèmes.

Mme Cécile Chevance. - Concernant la loi Egalim, l'objectif est évidemment louable et les volontés sont présentes. Certains établissements sont d'ailleurs fortement investis, car nous parlons d'une moyenne qui masque des différences importantes. Le principal frein reste la question du coût plus élevé et le manque de moyens d'accompagnement, dans un contexte de forte contrainte financière.

M. Dominique Legouge. - Le niveau de concurrence diminue régulièrement. Nous sommes de plus en plus confrontés à des situations monopolistiques, de droit ou de fait. C'est le cas pour 60 à 70 % des médicaments, où les marges de négociation sont particulièrement limitées, mais aussi pour certains équipements médicaux, comme les robots chirurgicaux, devenus presque indispensables et consommant beaucoup de dispositifs coûteux, ou encore les suites logicielles qui créent une captivité.

Au niveau du Resah, et avec nos collègues centrales d'achat européennes, nous sommes partisans, pour certains achats, d'évoluer vers des échelons européens, afin d'atteindre une échelle de commandes permettant de rétablir un tissu de fournisseurs plus diversifié. Ces problématiques dépassent la capacité de la commande publique française, notamment pour les médicaments en monopole, où le marché français, bien qu'intéressant, reste tout à fait relatif.

M. Simon Uzenat, président. - Vos propos font écho à notre déplacement à Vannes, où nous avons rencontré les représentants du Groupement hospitalier Brocéliande Atlantique, et à nos discussions d'hier, avec la représentation permanente de la France à Bruxelles et la Commission européenne, sur les médicaments et la baisse de concurrence. Cette dynamique s'observe aussi au niveau européen sur l'ensemble des marchés, comme le montre un rapport de la Cour des comptes de l'Union européenne.

Nous avons entendu des témoignages indiquant que même un groupement hospitalier représentant plusieurs dizaines de millions d'euros d'achats reste un client faible. Nous sommes sur une ligne de crête, avec : d'un côté, un appel à des massifications potentiellement supranationales, et de l'autre, le constat d'un appauvrissement du tissu économique local.

Je vous remercie pour vos témoignages sur les stratégies d'allotissement que vous avez déployées. L'accès des TPE/PME aux marchés reste un vrai sujet, car plus la massification sera importante, plus l'accès sera compliqué, avec des risques de multiplication des chaînes de sous-traitance et de compression des prix pour les sous-traitants. Nous partageons cette préoccupation.

Sur la loi Egalim, j'entends vos remarques sur le renchérissement des denrées sous signe de qualité ou biologiques, mais nous pouvons augmenter significativement leur part, sans observer une explosion des coûts. En tant que conseiller régional chargé de ces sujets, je constate que cela est possible. Vous avez justement souligné la lutte contre le gaspillage alimentaire. L'évolution des pratiques et le développement du « fait maison » peuvent aussi être évoqués.

En Bretagne, certains établissements atteignent plus de 60 % de produits sous signe de qualité et plus de 50 % de bio, avec les mêmes ressources que d'autres, qui sont à moins de 10 %. La question n'est donc pas uniquement financière. Un sujet de volonté politique apparaît. C'est de notre point de vue une priorité.

La massification des achats, mal opérée, pourrait produire des effets pervers. La DGOS communique-t-elle des lignes directrices claires à ses opérateurs sur cette dichotomie entre la massification et l'accès des TPE/PME, notamment pour les marchés alimentaires ? Pourriez-vous également nous transmettre vos Spaser respectifs ?

Un dernier point, manquant dans vos propos, concerne le pilotage par la donnée, qui est selon nous le nerf de la guerre. Sans savoir précisément où nous en sommes et sans connaître l'évolution des dynamiques, nous restons dans le brouillard à ce sujet.

Les données que vous nous avez communiquées sur l'alimentation sont-elles consultables en temps réel ? Les patients ont le droit de savoir ce qui est proposé, comme cela est demandé dans nos lycées et collèges pour les parents d'élèves. Avez-vous la perspective de rendre ces éléments publics, afin d'améliorer le pilotage et l'efficacité de notre action collective ?

M. Henri Cabanel. - Je partage vos propos sur la volonté politique concernant la loi Egalim. J'entends la problématique financière, mais cette loi est en vigueur depuis le 1^er janvier 2022. Les chiffres que vous nous avez communiqués ont-ils augmenté depuis cette date ? Avez-vous fixé des objectifs pour atteindre les seuils requis par la loi ? La lutte contre le gaspillage est positive, mais vous êtes-vous fixé des objectifs concrets, ou considérez-vous que les 4 à 5 % et 13 à 17 % actuels sont suffisants, compte tenu des contraintes financières ?

Mme Marie Daudé. - Nous ne faisons pas vraiment de choix financiers. Nous disposons chaque année d'une enveloppe - l'objectif national des dépenses d'assurance maladie (ONDAM) - qui évolue selon un rythme imposé. Celui-ci doit couvrir toutes les dépenses hospitalières. Bien sûr, l'État donne des instructions sur les politiques publiques à valoriser, que ce soient les achats, la transition écologique ou les plans de santé publique, ainsi que les revalorisations salariales.

Finalement, les établissements font leurs propres choix, et appliquent comme ils le peuvent ces différentes injonctions en s'appuyant sur une enveloppe limitée. La transition écologique fait partie des priorités, et le levier achat est majeur pour réaliser des progrès.

Sur la faiblesse des résultats d'application de la loi Egalim, nous constatons que progressivement, nous obtenons plus de données et une meilleure participation des établissements aux campagnes de télédéclaration, ce qui nous permet d'obtenir les résultats présentés. Des travaux sont pilotés au sein de la DGOS, avec des groupes de travail. Je vous rejoins sur la nécessité d'une impulsion forte pour atteindre les objectifs de la loi, et des groupes se forment actuellement sur cette thématique.

Concernant le pilotage par la donnée, nous essayons d'obtenir de plus en plus d'informations sur les achats souverains et la répartition des opérateurs économiques. Nous tentons de mettre ces données en perspective, avec les évolutions passées et les prévisions futures, bien que tout cela soit perfectible.

M. Dominique Legouge. - Nous sommes pleinement conscients de l'importance du pilotage par la donnée. Nous avons commencé des investissements massifs dans nos systèmes d'information et nos équipes, avec le recrutement récent de data scientists, afin de traiter les millions de données que génère une centrale d'achat gérant plusieurs milliards d'euros. Il est nécessaire de structurer ces données pour en extraire des informations utiles.

Je crois beaucoup au travail à l'échelle des opérateurs de mutualisation, en consolidant les chiffres via la DGOS. Nous investissons trois à quatre millions d'euros chaque année dans le système d'information, afin de développer ce pilotage par la donnée, essentiel non seulement pour mesurer l'impact territorial de nos achats, mais aussi pour piloter efficacement la relation avec nos fournisseurs.

M. Walid Ben Brahim. - Le pilotage par la donnée est une orientation stratégique forte pour UniHA, avec le projet de restituer à nos adhérents diverses données de performance, qu'il s'agisse d'indicateurs d'efficience, de durabilité ou d'indicateurs Egalim.

En tant qu'ancien chef d'établissement hospitalier, je peux affirmer que cela donne beaucoup de sens aux équipes. Dans un contexte où les hôpitaux doivent recruter et renforcer leur attractivité, pouvoir dire aux infirmières que certains matériels proviennent d'une entreprise européenne, plutôt que de l'autre bout du monde, a une réelle valeur et devient un levier d'attractivité.

Sur l'articulation entre national et local, il s'agit d'accompagner les équipes hospitalières à faire évoluer leurs pratiques. J'ai vu des cuisines hospitalières fonctionnant avec des méthodes de reconstitution de repas, sans cuisiner. Il s'agit d'un travail de longue haleine, et ce d'autant plus que n'est pas la spécialité des établissements de santé. Nous pourrions nous inspirer des collectivités. Une articulation est possible entre niveau national et allotissements régionaux, comme nous le faisons pour l'alimentation, avec de nombreux allotissements régionaux adaptés aux spécificités territoriales. La bonne maille doit être trouvée pour faire vivre les territoires.

Mme Véronique Chasse. - Pour revenir à l'alimentation, je signale qu'il existe une feuille de route de planification écologique du système de santé, qui traite de différents sujets, dont les achats avec un volet alimentation, afin d'accélérer la mise en place de la loi Egalim. Une expérimentation appelée « Lundi vert » propose un jour par semaine de l'alimentation non carnée à l'hôpital. L'ambition, après cette phase d'expérimentation, est de démontrer qu'on peut proposer des menus équilibrés et satisfaisants sans apport de viande, puis de déployer cette initiative.

Mme Marie Daudé. - Nous vous transmettrons la circulaire de décembre 2023, commune à la DGOS et à la Direction générale de l'alimentation, concernant l'atteinte des objectifs de la loi Egalim, la mise en place de l'expérimentation « Lundi vert » et la qualité des repas à l'hôpital. Cette circulaire, visant à augmenter la part des produits durables, a été envoyée aux agences régionales de santé, pour diffusion aux établissements.

Mme Cécile Chevance. - Un point intéressant est le partage d'expériences. Comme vous l'évoquiez, il existe des différences importantes de pratiques au sein d'un même territoire. C'est également le cas dans les hôpitaux, où chacun avance à son rythme selon les domaines : certains privilégient l'alimentation, d'autres les flottes de véhicules, les parkings, les blocs opératoires, les maternités ou encore l'éco-soin.

Nous essayons de favoriser l'échange d'expériences via des webinaires réguliers sur différentes thématiques, avec des rappels de la réglementation et l'intervention d'établissements ayant mis en place des initiatives intéressantes. Cela permet aux établissements de se contacter directement et de s'inspirer mutuellement.

M. Simon Uzenat, président. - Concernant le secteur hospitalier, même si ce n'est pas directement l'objet de notre commission d'enquête, la question des moyens alloués aux hôpitaux et des incitations pour développer des pratiques vertueuses sera bien évidemment sur la table. Cette problématique relève aussi des prérogatives du Parlement. Vous avez ainsi évoqué l'exemple des véhicules électriques, singulièrement plus coûteux que les véhicules thermiques.

Sur le pilotage par la donnée, je souhaite insister sur la nécessité pour l'État de s'appuyer sur les initiatives existantes, déjà conduites par les différents opérateurs, publics comme privés, en associant les centrales d'achat. Trop souvent, nous voyons des acteurs volontaires développer des outils, pendant que l'État fonctionne en circuit fermé. Finalement, les systèmes ne sont pas interopérables, ce qui entraîne une perte de temps et d'argent. Il faudrait utiliser les moyens déjà développés, afin de disposer rapidement de données consolidées.

Pour la restauration collective, les télédéclarations actuelles sont particulièrement partielles et peu représentatives, compte tenu du nombre total de cantines. La consolidation rapide des données sur l'achat représente une urgence et une responsabilité de l'État, qui permettrait, y compris à nous parlementaires, d'être plus efficaces.

Mme Véronique Chasse. - Sur la question des données, les chiffres que nous avons avancés, notamment sur les PME et les considérations sociales et environnementales, proviennent de l'Observatoire économique de la commande publique (OECP). Jusqu'à présent, nous avions une difficulté, car dans la restitution annuelle de ces données, l'OECP regroupait les dépenses d'achat de l'État et celles des hôpitaux publics. Nous travaillons maintenant avec l'OECP pour différencier l'État des hôpitaux publics et obtenir des données plus précises.

Cette audition a fait l'objet d'une captation vidéo qui est disponible en ligne sur le site du Sénat.

La réunion est close à 17 h 45.

La réunion est ouverte à 17 h 50.

Audition de Mme Laura Chaubard, directrice générale de l'École polytechnique

M. Simon Uzenat, président. - Nous poursuivons nos travaux en revenant à l'étude des achats numériques des personnes publiques et leur impact sur la souveraineté numérique, dans la lignée des travaux que nous conduisons sur le sujet depuis plusieurs semaines à l'initiative de notre rapporteur.

Comme nous l'avons vu la semaine dernière, l'État et ses établissements publics semblent envoyer des signaux contradictoires à ce sujet. Une doctrine officielle prône le recours à des offres souveraines pour les données publiques sensibles et cherche à faire émerger des acteurs nationaux capables de les fournir. Dans le même temps, l'accoutumance aux solutions d'hébergement et aux logiciels développés par des acteurs internationaux soumis à des législations extraterritoriales reste très forte.

Un exemple récent a suscité des remous : l'École polytechnique, un des établissements d'enseignement supérieur les plus prestigieux de notre pays, qui plus est sous la tutelle du ministère des armées, a engagé la migration de ses outils collaboratifs vers la solution Microsoft 365, ce qui pose des questions légitimes en matière de sécurité et d'accès aux données concernées.

Pour nous présenter ce choix et en expliquer les motivations, nous accueillons Mme Laura Chaubard, ingénieure générale de l'armement, directrice générale de l'École polytechnique.

Je vous informe que cette audition sera diffusée en direct sur le site du Sénat et fera l'objet d'un compte rendu publié. Je rappelle également qu'un faux témoignage devant notre commission d'enquête sera passible des peines prévues aux articles 434-13, 434-14 et 434-15 du code pénal, soit 75 000 euros d'amende et jusqu'à cinq ans d'emprisonnement, voire sept ans en fonction des circonstances. Je vous invite à prêter serment de dire toute la vérité, rien que la vérité. Veuillez lever la main droite et dire « Je le jure ».

Conformément à la procédure applicable aux commissions d'enquête, Mme Laura Chaubard prête serment.

L'École polytechnique n'est pas un établissement d'enseignement supérieur comme les autres, en raison de son histoire, de son statut et de ses missions. Elle forme, selon le code de l'éducation, aux « emplois de haute qualification ou de responsabilité à caractère scientifique, technique ou économique, dans les corps civils et militaires de l'État et dans les services publics ». Une vingtaine d'ingénieurs de l'armement en sont issus chaque année. C'est également une institution de recherche dont les nombreux laboratoires travaillent sur des domaines sensibles, qui peuvent connaître des applications militaires.

Dans ce contexte, vous pourrez nous présenter la genèse de cette migration et quelles en sont les justifications. Un sourçage a-t-il été effectué au préalable ? Si c'est le cas, n'a-t-il pas permis d'identifier une alternative souveraine ? Il nous serait également utile de comprendre comment ce choix s'articule avec la doctrine de l'État en matière d'hébergement des données.

Vous pourrez également nous indiquer comment votre tutelle, assurée par la direction générale de l'armement, que nous avons reçue dans le cadre de nos travaux, a réagi à ce projet informatique. Si elle ne s'en est pas émue, c'est que vous avez dû apporter des garanties renforcées en matière de sécurité pour vos données les plus sensibles. Quelles sont-elles ? Considérez-vous, au contraire, que les législations extraterritoriales américaines ne représentent pas, dans le cadre de ce projet, un réel danger ?

Mme Laura Chaubard, directrice générale de l'École polytechnique. - Je voudrais d'abord éclairer la situation actuelle des solutions informatiques à l'École polytechnique. Pour la bulle administrative et enseignement, nous utilisons déjà les outils collaboratifs Microsoft, aux côtés d'autres outils proposés à nos salariés et usagers, dont plusieurs logiciels libres et solutions françaises, notamment Whaller, première solution collaborative labellisée SecNumCloud.

Notre constat actuel est que nos solutions logicielles, multiples et fragmentées, sont difficilement intégrées et massivement contournées, car jugées peu intuitives, notamment par nos agents administratifs. Je me concentre sur la bulle administrative de l'école, où ces solutions sont difficilement sécurisables face aux cyberattaques quotidiennes dont nous sommes l'objet, comme tous les établissements d'enseignement supérieur. Cela demande une dépense d'énergie considérable de notre direction des systèmes d'information (DSI).

J'ai donc demandé à la DSI d'uniformiser nos outils collaboratifs, afin de concentrer leurs efforts sur la sécurisation des outils les plus spécifiques et des données les plus sensibles dans nos métiers d'enseignement supérieur et de recherche. Le projet, qui a fait couler beaucoup d'encre, consiste à migrer la sphère administrative de l'École de solutions Microsoft vers Microsoft 365 avec un hébergement sur le cloud. Je précise que nous avons déjà des outils en mode SaaS (software as a service), comme notre système d'information des ressources humaines (SIRH) et notre système d'information (SI) financier. Cela est le cas dans quasiment tous les établissements publics.

Ce projet ne concerne pas la sphère des laboratoires. Certains mènent effectivement des recherches relevant de la protection du patrimoine scientifique et technique français et sont suivis par les services de l'École, du ministère des Armées, qui assure notre tutelle, et du Centre national de la recherche scientifique (CNRS), qui assurent la cotutelle de ces laboratoires. Certains d'entre eux sont qualifiés de zones à régime restrictif (ZRR), sécurisées physiquement, les entrées et sorties faisant l'objet d'un registre, et logiquement, avec un hébergement local des données sensibles. Cela ne change pas dans notre projet actuel.

Nous discutons actuellement avec le CNRS et le groupement d'intérêt public (GIP) Renater, qui développe des services numériques pour le monde de l'enseignement et de la recherche, afin de mieux harmoniser les services numériques proposés aux laboratoires. Notre choix d'une solution cloud est également motivé par la doctrine « cloud au centre » de l'État, tout en veillant à ce que les données sensibles, essentiellement celles de la recherche, ne soient pas concernées par cette migration.

M. Dany Wattebled, rapporteur. - Quelle est la motivation principale qui a conduit à la décision de migrer l'ensemble des systèmes de messagerie, y compris en ZRR ?

Mme Laura Chaubard. - J'ai expliqué l'inverse. La zone des laboratoires, y compris les messageries, n'est pas concernée par cette migration, qui porte sur les services administratifs.

M. Dany Wattebled, rapporteur. - La motivation principale semble l'harmonisation. Y a-t-il eu un audit préalable à cette migration vers Microsoft ? Si oui, par qui a-t-il été réalisé et quelles étaient les conditions principales ?

Mme Laura Chaubard. - Nous avons eu plusieurs audits de notre système d'information ces dernières années, dont un audit cybersécurité mené il y a plus d'un an, accompagné par l'agence nationale de la sécurité des systèmes d'information (Anssi). Un prestataire de l'Anssi a piloté l'audit.

M. Dany Wattebled, rapporteur. - Quel est le nom de ce prestataire ?

Mme Laura Chaubard. - Il s'agit d'une entreprise bretonne de cybersécurité, du nom d'Amossys. La sécurisation de notre système d'information a fait l'objet de cet audit, avec un plan d'action en cours de déploiement. En revanche, le choix des outils collaboratifs n'a pas fait l'objet d'un audit préalable.

M. Dany Wattebled, rapporteur. - Avez-vous étudié les alternatives souveraines, telles que les solutions labellisées SecNumCloud, par exemple chez OVH, Oodrive, Proton, ou des solutions open source ? Si oui, quelles solutions ont été évaluées et pourquoi ont-elles été écartées ?

Mme Laura Chaubard. - Parmi les solutions homologuées SecNumCloud, aucune ne présente la palette fonctionnelle d'un environnement collaboratif bureautique intégré. Les solutions en cours d'homologation, qui présentent cette palette fonctionnelle, sont Bleu, portée par Orange, Capgemini et Microsoft, et S3NS, portée par Google et Thales. Aucune des deux n'est homologuée SecNumCloud pour le moment.

Nous avons eu des discussions avec les deux groupements, plus avancées avec Bleu puisque nous étions déjà dans un environnement Microsoft. Nous poursuivons ces discussions, et Bleu sera peut-être une solution à moyen terme, mais aujourd'hui, tant dans son chemin d'homologation SecNumCloud que dans son offre commerciale, Bleu n'est pas adaptée au secteur de l'éducation, qui ne fait pas partie des secteurs prioritaires de son déploiement, qui est attendu par beaucoup d'industriels français.

M. Dany Wattebled, rapporteur. - Quel est le coût estimé du déploiement vers Microsoft à l'École polytechnique, incluant licences, mise en oeuvre et maintenance ?

Mme Laura Chaubard. - Je ne peux pas vous répondre précisément, car nous n'en sommes pas là. Dans les premières estimations, nous réalisons plutôt des économies sur le coût des licences par rapport à ce que nous achetons aujourd'hui sur le même périmètre. Nous en sommes encore aux travaux d'études de cette migration.

M. Dany Wattebled, rapporteur. - Comment justifiez-vous le choix Microsoft face aux directives gouvernementales, notamment celles de la direction interministérielle du numérique (Dinum), et comment conciliez-vous cette migration avec les obligations légales françaises, notamment l'article L. 811-3 du code de la sécurité intérieure ?

Mme Laura Chaubard. - Pouvez-vous me le rappeler, car je ne le connais pas par coeur ?

M. Dany Wattebled, rapporteur. - Il s'agit d'une obligation de protéger les données au niveau de la France.

Mme Laura Chaubard. - Je répète que ce projet n'entraîne pas l'exposition de données sensibles à un risque cybertechnique ou au droit extraterritorial américain. Ce sont les données administratives de l'École polytechnique.

M. Dany Wattebled, rapporteur. - N'avez-vous pas rencontré la Dinum pour connaître leur avis ?

Mme Laura Chaubard. - Pas pour ce projet. Cependant, nous dialoguons avec la Dinum et la direction générale du numérique (DGNum) du ministère des Armées. Concernant le choix de Microsoft, il s'agit d'un standard d'environnement collaboratif, utilisé par l'ensemble de nos partenaires de l'Institut Polytechnique de Paris, et facilement pris en main par nos salariés, notamment dans les fonctions support, où nous connaissons de fortes difficultés de recrutement. Les viviers compétents sont particulièrement concurrentiels sur le plateau de Saclay. Dans nos entretiens de départ, la complexité de l'environnement numérique a été plusieurs fois citée comme motif d'insatisfaction, voire de frein à la performance.

Nous avons constaté un contournement massif des outils mis à disposition par l'École, y compris SecNumCloud, et l'utilisation de « shadow IT », d'outils collaboratifs grand public sans garantie de sécurité, par nos personnels pour partager des fichiers, fixer des rendez-vous, collaborer sur des documents ou rediriger l'adresse de courrier électronique de Polytechnique.

M. Dany Wattebled, rapporteur. - Quelles mesures concrètes avez-vous prises pour garantir la protection des données sensibles relevant des ZRR contre l'accès non autorisé par des autorités étrangères, en vertu du Cloud Act, auquel Microsoft est soumis ?

Mme Laura Chaubard. - Je répète que les laboratoires ne sont pas concernés par la migration vers un hébergement dans le cloud Microsoft. Les données de la recherche, notamment celles issues des ZRR, ne sont pas concernées. Elles font l'objet de solutions d'hébergement locales ou proposées par la co-tutelle CNRS.

Mme Catherine Morin-Desailly. - Il existe des questions d'hébergement, mais aussi des questions de traitement de données, ce qui n'est pas tout à fait la même chose. Les deux solutions doivent être souveraines s'agissant de données sensibles. Quelles sont les solutions auxquelles vous avez recours, qui sont celles du CNRS, pour les questions de protection des laboratoires de recherche ?

Mme Laura Chaubard. - Je ne suis pas sûre de comprendre la question. Aujourd'hui, il existe de nombreux outils numériques à disposition des laboratoires pour l'hébergement, le traitement et les outils métier. Aucun n'est un outil Microsoft hébergé sur le cloud.

Mme Catherine Morin-Desailly. - Pouvez-vous nous donner des noms ? Ce sujet est important, car il s'agit de données sensibles qui relèvent de la Nation.

Mme Laura Chaubard. - La sécurité informatique de chaque laboratoire, qui a de multiples tutelles (deux, trois ou quatre dont l'École polytechnique), relève de la responsabilité du directeur d'unité ou de laboratoire. Celui-ci est accompagné par l'établissement hébergeur dans sa politique de sécurité des systèmes d'information. Le choix des outils et services informatiques est de la responsabilité du directeur de laboratoire. C'est pourquoi je ne peux pas vous préciser quels outils sont utilisés par chacune des 23 unités de recherche.

Mme Catherine Morin-Desailly. - Pourriez-vous nous préciser exactement la procédure ? Notre rapporteur vous a demandé s'il y a eu un audit et ses conclusions. Votre ministre de tutelle émet des directives précises, d'autant que vous dépendez du ministère des Armées. La Première ministre a rédigé une circulaire, enjoignant les administrations d'État et groupements publics traitant des données sensibles, à recourir à des solutions souveraines, protectrices contre les lois extraterritoriales. Ceci a été transposé dans la loi du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique, dite loi « Sren », dont nous attendons les décrets d'application. La ministre du numérique confirme qu'il convient d'utiliser des solutions souveraines.

Mme Laura Chaubard. - Il n'en existe pas qui soit homologuée aujourd'hui.

Mme Catherine Morin-Desailly. - Comment se déroule concrètement le processus ? On apprend par la presse un souhait de migration vers Office 365. Est-ce que cela passe par un conseil d'administration ? Y a-t-il des votes formels ? Comment se construit l'appel d'offres ? Expliquez-nous clairement les choses.

Mme Laura Chaubard. - Ce projet a d'abord été instruit en interne de l'école, sur la base du constat d'insatisfaction concernant l'environnement numérique administratif, de la difficulté pour la DSI à maintenir la fonctionnalité, la sécurisation et à maîtriser le contournement de nos outils. La DSI n'est pas calibrée pour maintenir une constellation d'outils non intégrés.

Nous avons ensuite eu des échanges avec notre tutelle sur ce projet d'adoption d'outils répandus dans l'ensemble des institutions d'enseignement supérieur et de recherche, notamment au sein de l'Institut Polytechnique de Paris et d'autres écoles d'ingénieurs. Cela ne fait pas l'objet d'une délibération ou information en conseil d'administration.

Pour la contractualisation, nous nous appuyons sur le marché du ministère de l'Enseignement supérieur et de la Recherche pour l'achat de licences. Ce marché a fait l'objet d'une mise en concurrence, élaborée avec le Groupe Logiciel, un groupement d'établissements d'enseignement supérieur qui prescrit les besoins en matière de logiciels pour rédiger des cahiers des charges communs et négocier efficacement tarifs et fonctionnalités.

Ce groupe a lancé un appel d'offres avec mise en concurrence en 2024, avec un cahier des charges sur les fonctionnalités d'outils collaboratifs, indiquant que les solutions Microsoft ou équivalentes étaient attendues pour équiper les services administratifs des établissements d'enseignement supérieur et de recherche. Ce marché a été notifié et renouvelé récemment, en mars 2025. Nous utilisions déjà ce marché pour acquérir la plupart de nos licences actuelles, et nous l'utiliserons pour les licences Microsoft 365.

Mme Catherine Morin-Desailly. - Vous confirmez donc qu'il n'y a pas de décision formalisée, avec procès-verbal et relevé de décision, prise par le conseil d'administration. Celui-ci n'est donc pas informé, et il n'y a pas de transparence sur la procédure visant à équiper l'école de manière globale.

Mme Laura Chaubard. - Cette décision ne relève pas des prérogatives du conseil d'administration, dans les textes de l'École polytechnique. Cela dit, nous avons présenté au conseil d'administration le schéma directeur des systèmes d'information il y a près de deux ans. L'évolution vers des outils plus intégrés y était mentionnée, sans préciser une migration vers Microsoft 365.

Mme Catherine Morin-Desailly. - Et les enjeux concernant les lois extraterritoriales ?

Mme Laura Chaubard. - Je le répète, ce projet n'expose pas de données sensibles de l'école à des lois extraterritoriales.

Mme Catherine Morin-Desailly. - Je suis désolée de vous contredire, madame la directrice. En plus du Cloud Act, il y a surtout la loi Fisa (Foreign Intelligence Surveillance Act), qui vise à lutter contre l'espionnage et fait que les grandes sociétés américaines d'informatique en nuage (AWS, Google et Microsoft) ne sont pas imperméables aux lois extraterritoriales. Avoir recours à Microsoft fait qu'il n'y a pas de protection.

Mme Laura Chaubard. - Bien sûr, je suis d'accord avec vous.

Mme Catherine Morin-Desailly. - N'est-ce donc pas un sujet de débat au niveau du conseil d'administration ? L'École polytechnique n'est pas une école ordinaire, elle est prestigieuse et fait de la recherche. Comment expliquez-vous ce choix, qui heurte la Commission nationale de l'informatique et des libertés (CNIL) ? Comment expliquez-vous aussi d'avoir confié la chaire IA Polytechnique à Google il y a quelques années ?

Mme Laura Chaubard. - Nous n'avons pas de chaire avec Google. Nous devons être la seule université à ne pas avoir noué de partenariat avec Google.

Mme Catherine Morin-Desailly. - Peut-être que ce n'est plus le cas, mais une chaire existait avec Google il y a cinq ou six ans. Confirmez-vous ne pas avoir d'instructions précises de la Dinum, recommandant une mise en conformité ?

Mme Laura Chaubard. - Avec ce choix, nous sommes en conformité avec la doctrine cloud de l'État. Nous nous approvisionnons sur un marché passé par le ministère de l'Enseignement supérieur et de la Recherche, précisément pour ces zones administratives du secteur.

Je précise que les ZRR sont exclusivement dans les laboratoires. Il s'agit de la protection du potentiel scientifique et technique de la France, et non des échanges entre étudiants.

Aujourd'hui, aucun outil de messagerie sur internet, hormis les messageries sécurisées défense ou sur des réseaux spécifiques, n'est suffisamment sécurisé pour véhiculer des données sensibles. Quand vous envoyez un mail, même via le serveur du Sénat, il n'y a aucune garantie que son contenu ne soit pas soumis à l'extraterritorialité du droit américain ou ne transite pas par des serveurs hébergés par des sociétés américaines. Il y a une illusion sur la messagerie. Elle n'est pas un outil adapté pour échanger des données sensibles, sauf les messageries homologuées confidentiel défense.

Mme Catherine Morin-Desailly. - Aujourd'hui, qu'est-ce que la donnée sensible en réalité ?

Mme Laura Chaubard. - Rien de ce qui est échangé par courrier électronique.

Mme Catherine Morin-Desailly. - C'est une vraie question, car par recoupement, grâce aux algorithmes de plus en plus sophistiqués, il est possible de reconstituer des informations. Tout est potentiellement une donnée sensible.

Mme Laura Chaubard. - Je m'inscris en faux sur ce point. Nous disposons de procédures de cotation de la sensibilité de l'information et de la connaissance scientifique produite dans nos laboratoires. Ces procédures permettent d'apprécier le risque et le potentiel scientifique et technologique des recherches conduites, et de circonscrire les zones contenant des données sensibles, qui doivent être équipées de solutions souveraines, non exposées à l'extraterritorialité du droit américain.

Cette précision est importante, car les chercheurs ont souvent le sentiment qu'un mail envoyé à un collègue est sécurisé parce que le serveur est interne. Ce n'est pas vrai. L'information transmise par mail est exposée au piratage, mais aussi à l'extraterritorialité du droit américain.

M. Dany Wattebled, rapporteur. - Confirmez-vous qu'il n'y a pas eu d'appel d'offres ?

Mme Laura Chaubard. - L'appel d'offres s'est fait au niveau du ministère de l'Enseignement supérieur et de la Recherche. Ce marché a fait l'objet d'une mise en concurrence.

M. Dany Wattebled, rapporteur. - Pouvez-vous nous transmettre l'ensemble de ces éléments à ce sujet ?

Mme Laura Chaubard. - Ces éléments sont publics.

M. Dany Wattebled, rapporteur. - L'Enseignement supérieur a donc passé le marché ?

Mme Laura Chaubard. - Pas spécifiquement pour l'École polytechnique, mais un marché ministériel avec mise en concurrence sur les outils collaboratifs à disposition des établissements, comme le font la plupart des ministères.

M. Simon Uzenat, président. - Vous êtes dans votre rôle en défendant vos choix, mais vous envoyez, sur la forme, un message qui n'est pas très agréable à la représentation nationale, dont nous faisons partie. Nous ne sommes pas issus de l'École polytechnique, mais nous avons travaillé ces sujets et entendu de nombreux acteurs. Vous nous apportez des éléments qui sont à vos yeux rassurants mais en réalité ne le sont pas. Les opérateurs économiques nous ont clairement indiqué, sauf à considérer que leurs propos étaient mensongers, qu'en incluant dans les appels d'offres des mentions précises sur la non-soumission aux législations extraterritoriales, on pouvait protéger nos données. Vous nous expliquez au contraire que rien n'est sécurisé, et qu'il est possible de choisir ce que l'on veut. C'est problématique.

Je comprends la complexité de gestion et d'interopérabilité évoquée pour votre DSI. Les collectivités territoriales y sont aussi confrontées. Cependant, ces signaux d'alerte existent depuis plusieurs années. Des opérateurs économiques importants nous affirment qu'avec des moyens raisonnables, ils pourraient développer en deux ans une alternative européenne à Microsoft 365. Pourquoi, en tant que lanceur d'alerte sur les systèmes actuels, n'avez-vous pas contribué à développer cette alternative ? Vos choix actuels entretiennent notre dépendance.

Concernant les données sensibles, après nos échanges avec la Commission européenne, nous considérons que toutes les données publiques sont par définition à protéger, et non uniquement les données militaires. Les données administratives peuvent être exploitées au titre de l'intelligence économique. Tout l'appareil d'État américain est mobilisé en ce sens. Avec des jeunes en formation, les échanges peuvent représenter des sources de renseignements. La distinction entre données sensibles et non sensibles doit pouvoir être dépassée.

Je vous invite à faire preuve de modestie face à ces enjeux majeurs, et à respecter les préoccupations exprimées par les nombreux acteurs auditionnés. J'ai l'impression que vous considérez nos préoccupations comme infondées et sans valeur, ce qui est peu agréable. L'École polytechnique, avec ses brillants cerveaux, n'a-t-elle jamais envisagé de contribuer à l'élaboration d'une alternative européenne ?

Mme Laura Chaubard. - Je présente mes excuses si j'ai donné l'impression de balayer les questions de souveraineté numérique d'un revers de main. J'y ai oeuvré pendant plus de vingt ans et elles me sont particulièrement chères. Mon propos visait à préciser le périmètre du projet, un domaine où il faut être à la fois précis et pragmatique.

Je ne me prononcerai pas aujourd'hui sur l'opportunité de recréer un système d'exploitation de l'envergure de Windows en Europe. Je serais très heureuse qu'un jour nous disposions d'un environnement collaboratif européen offrant le niveau de performance, d'intégration et d'adoption de celui de Microsoft. Malheureusement, ce n'est pas encore le cas.

Les démarches d'homologation SecNumCloud sont une très bonne initiative, mais les groupements portant ces solutions ont des calendriers d'homologation d'un à deux ans. Ces solutions s'appuient d'ailleurs sur des sociétés françaises et des environnements américains (Microsoft ou Google). La difficulté à s'extraire de l'extraterritorialité du droit américain par un montage technique n'est pas encore surmontée. J'espère qu'on y parviendra bientôt.

Il s'agit d'une question de pragmatisme et de dosage de l'effort. Il me semble essentiel de concentrer nos efforts sur la protection. Le risque est multiple : extraterritorialité du droit américain, mais aussi risque cybertechnique (intrusion, fuite de données ou de prise de contrôle des systèmes d'information), qui est quotidien à l'École polytechnique. Notre audit cyber préconisait des mesures de sécurisation que nous ne pouvions pas mettre en place dans l'architecture actuelle sans dépense démesurée.

L'environnement Microsoft 365 nous permettra de mettre en place la double identification pour les collaborateurs travaillant à distance, et le système de cotation de sensibilité des données. Nous avons une politique d'étiquetage des fichiers, selon leur niveau de sensibilité, mais elle est difficile à appliquer, car elle demande une action de l'utilisateur à chaque création de fichiers.

La migration permettra une fonctionnalité de cotation intégrée aux outils collaboratifs, qui posera automatiquement la question et appliquera des règles de routage empêchant, par exemple, la transmission par mail d'un fichier coté sensible. Ce n'est pas la panacée, mais nous sommes très attentifs à la sécurisation technique de nos systèmes d'information, qui font l'objet d'attaques de plus en plus fréquentes.

M. Dany Wattebled, rapporteur. - Il n'y a donc pas eu de discussion générale au départ, mais simplement une demande, et le ministère de l'Enseignement supérieur a fait l'appel d'offres, via l'Union des groupements d'achats publics (Ugap). Est-ce bien cela ?

Mme Laura Chaubard. - La démarche du ministère de l'Enseignement supérieur n'est pas liée à celle de l'École polytechnique. Ce sont des marchés-cadres qui irriguent l'ensemble des établissements d'enseignement supérieur et de recherche. Nous avons émargé sur un marché global.

Mme Catherine Morin-Desailly. - Vous évoquez les cyberattaques dont vous faites l'objet. L'audit a identifié des travaux et des mesures coûteuses à prendre. Cela est vrai pour toutes les entités concernées. Nous travaillons sur la directive NIS2 et sa transposition. Des moyens seront nécessaires pour nos ministères, collectivités territoriales et entités critiques. Mais plutôt que de doser nos efforts, il existe un impérieux devoir de mise en conformité rapide, voire d'anticipation. De nombreux acteurs recherchent déjà des solutions souveraines européennes ou open source. Une école comme la vôtre devrait montrer la voie.

Pour avoir auditionné plusieurs spécialistes de cybersécurité, je suis convaincue qu'il existe des solutions collaboratives satisfaisantes autres que celles des Gafam (Google, Apple, Facebook, Amazon et Microsoft). C'est un discours qu'ils tiennent, celui de la facilité. D'autres solutions existent, notamment des briques de souveraineté qui peuvent constituer un embryon de solution totalement souveraine.

Je réitère ma question : je n'ai pas rêvé concernant la chaire IA de Polytechnique financée par Google en 2018. Vous n'étiez pas directrice à l'époque, mais je voudrais savoir si c'est toujours le cas aujourd'hui.

Mme Laura Chaubard. - Je n'en connais pas l'existence. J'ai vraiment un doute sur une chaire Google, mais je vérifierai. En tout cas, aujourd'hui, nous n'avons pas de collaboration de recherche avec Google ou Microsoft.

Les chaires sont des projets de mécénat par les entreprises. Nous n'avons actuellement aucune chaire active avec les Gafam. Notre quarantaine de chaires sont presque exclusivement (à l'exception d'une) avec des entreprises françaises et européennes.

Cette audition a fait l'objet d'une captation vidéo qui est disponible en ligne sur le site du Sénat.

La réunion est close à 18 h 40.

- Présidence de M. Simon Uzenat, président -

La réunion est ouverte à 16 heures 35.

Audition de Mme Stéphanie Combes, directrice de la Plateforme des données de santé (Health Data Hub)

M. Simon Uzenat, président. - Nous reprenons nos travaux aujourd'hui en approfondissant notre étude de la politique des achats numériques des personnes publiques, que nous avons engagée à l'initiative de notre rapporteur et qui nous mène au croisement des problématiques de commande publique et de souveraineté numérique.

Nous constatons au fil de nos auditions une grande ambivalence de la part de nos interlocuteurs, qui malgré une doctrine de l'État en la matière très claire, s'agissant notamment de l'hébergement souverain des données, persistent à s'en éloigner de peur de modifier des usages anciens ou au prétexte de l'absence de solutions équivalentes à celles proposées par des acteurs étrangers soumis à des législations extraterritoriales.

Le cas du Health Data Hub (HDH), la plateforme des données de santé (PDS), est à ce titre emblématique. Ce groupement d'intérêt public (GIP) a été institué par la loi du 24 juillet 2019 pour « mettre à disposition les données du système national des données de santé » et « promouvoir l'innovation » dans l'utilisation de celles-ci, en constituant un guichet unique pour y accéder. Depuis sa création, un choix à la fois technique et politique réalisé à l'époque fait l'objet de critiques récurrentes : celui d'héberger sa plateforme sur Microsoft Azure et non une solution souveraine. Depuis cette date, malgré de nombreuses promesses, aucune migration n'a été engagée.

Pour échanger avec nous sur ce sujet, nous recevons Mme Stéphanie Combes, directrice du HDH.

Je vous informe que cette audition, sur décision de notre commission, sera diffusée en direct sur le site du Sénat et fera l'objet d'un compte rendu publié. Je rappelle également qu'un faux témoignage devant notre commission d'enquête sera passible des peines prévues aux articles 434-13, 434-14 et 434-15 du code pénal, soit 75 000 € d'amende et jusqu'à cinq ans d'emprisonnement , voire sept ans en fonction des circonstances. Je vous invite à prêter serment de dire toute la vérité, rien que la vérité. Veuillez lever la main droite et dire « Je le jure ».

Conformément à la procédure applicable aux commissions d'enquête, Mme Stéphanie Combes prête serment.

Je vous laisse dans un premier temps présenter brièvement la genèse, le rôle et l'organisation du HDH, sachant que sa création a été quelque peu perturbée par la crise sanitaire et que sa montée en puissance l'est tout autant par cette question de sécurité des données. Ainsi, le rapport Marchand-Arvier sur les données de santé de 2023 indique que le choix d'Azure « obère la capacité du HDH à assurer sa mission fondamentale de mise à disposition des données de la base principale du système national des données de santé ». Ce constat est-il toujours d'actualité ?

Nous avons cru comprendre que l'outil juridique sur lequel repose l'hébergement du HDH auprès de Microsoft Azure est une commande réalisée auprès de l'Union des groupements d'achats publics (Ugap). Il nous serait utile que vous nous expliquiez quel est le sourçage ou l'étude préalable qui a été conduite à l'époque avant de retenir cette solution, selon une procédure certes conforme au droit de la commande publique, mais moins transparente qu'un appel d'offres. De nombreux acteurs de premier plan indiquent ne pas avoir été sollicités.

Depuis cette date, le paysage technologique a évolué, tout comme les solutions sur le marché. Qu'en est-il de la situation actuelle ? Vous pourrez nous indiquer si Microsoft avait six ans d'avance sur les solutions souveraines européennes, et si le différentiel capacitaire et fonctionnel est tel qu'il ne peut toujours pas être comblé.

L'article 31 de la loi visant à sécuriser et réguler l'espace numérique, dite « SREN », du 21 mai 2024 prévoit que tout hébergement de données d'une sensibilité particulière, dont font évidemment partie les données de santé, doit être préservé des législations extraterritoriales permettant notamment à l'administration américaine d'accéder aux données qu'il stocke sans en informer la personne concernée. Vous pourrez nous indiquer quel est l'état de vos réflexions pour que le HDH se mette en conformité avec cette obligation législative.

Cette situation renvoie sans doute à l'annonce du lancement d'un appel d'offres faite par la ministre déléguée chargée de l'Intelligence artificielle et du Numérique, Mme Clara Chappaz, à l'Assemblée nationale le 8 avril dernier pour faire migrer le HDH sur un « hébergeur sécurisé ». Êtes-vous en mesure de nous en dire davantage à ce sujet ? Nous serions notamment intéressés par les conditions d'exigence de la qualification SecNumCloud dans ce cadre.

Si vous estimez que des éléments qui vous sont demandés sont couverts par le secret des affaires, vous pouvez refuser de les fournir dans le cadre de la présente audition publique. Vous devrez toutefois les communiquer par écrit à la commission d'enquête.

Mme Stéphanie Combes. - Merci de me donner l'occasion de présenter les missions et actions du HDH. Créée en 2019 par la loi, cette structure vise à faire de la France un acteur de référence en matière de recherche en santé, de faciliter l'accès aux données de santé, qui malgré leur richesse en France étaient difficiles à exploiter, et de tirer parti de l'innovation numérique, notamment de l'intelligence artificielle (IA).

Notre priorité a été de mettre en place une offre technologique de pointe à destination des chercheurs, tout en garantissant un haut niveau de sécurité, indispensable s'agissant de données de santé, même pseudonymisées. Tous les choix technologiques ont été conçus pour être réversibles, et nous avons continuellement actualisé nos analyses de marché, partagé ces travaux, et contribué aux réflexions de la direction interministérielle du numérique (Dinum) pour encourager le développement d'alternatives souveraines aux services proposés par les hyperscalers américains. L'objectif à terme reste bien la migration vers une solution souveraine, à condition qu'elle offre un niveau de sécurité au moins équivalent à celui en place.

La création du HDH fait suite aux préconisations du rapport Villani sur l'intelligence artificielle de mars 2018, qui appelait à la constitution de grandes plateformes de partage de données dans des secteurs stratégiques comme la santé. Elle s'inscrit dans la stratégie présidentielle pour l'IA lancée en 2018.

Nos missions sont définies par la loi et s'articulent autour de plusieurs axes.

La première est de faciliter l'accès aux données de santé, via une plateforme technologique sécurisée mais aussi en accompagnant les porteurs de projets sur les aspects réglementaires et administratifs. Nous assurons également le secrétariat du Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES) et produisons, en lien avec l'Assurance maladie et la Commission nationale de l'informatique et des libertés (CNIL), de nombreux outils d'information et de formation à destination des porteurs de projets, et ce alors que l'accès aux données de santé en France est parfois vécu comme un parcours d'obstacles.

La deuxième mission est la constitution d'un catalogue de données d'intérêt, le catalogue du système national des données de santé (SNDS), constitué de bases variées ayant un intérêt stratégique pour la recherche. Ces bases sont identifiées en lien avec le Comité stratégique des données de santé, créé par la loi. L'objectif est de pouvoir les copier dans la plateforme technologique du HDH, de les enrichir avec les données issues de la base principale de l'Assurance maladie, et de définir les modalités de leur partage. Ces travaux ont été engagés depuis la mise en place effective du comité stratégique en 2021 -- son démarrage ayant été retardé par la crise sanitaire -- et sont très nourris ; ils sont disponibles en ligne. Ce comité, présidé par le ministre chargé de la Santé, est animé par le HDH, qui en assure le secrétariat. Aujourd'hui, plus de vingt bases sont référencées dans le catalogue du SNDS, et leur ouverture se fait progressivement, après définition des cadres de gouvernance nécessaires.

De plus, le HDH doit proposer une offre technologique sécurisée et performante pour le traitement des données. Avant sa création, des projets de recherche sur les données de santé existaient déjà, mais certains projets technologiques lourds, ne pouvaient être menés faute d'infrastructure adaptée. Le HDH vise précisément à combler cette lacune, dans un contexte d'évolution rapide des technologies, comme en témoigne l'essor de l'IA générative.

Par ailleurs, le HDH doit animer un écosystème, en fédérant les acteurs publics, privés et associatifs. Nous intervenons aussi à l'échelle européenne, notamment via la mise en place d'un prototype pour l'Espace européen des données de santé. En France, nous pilotons également des consortiums ambitieux, comme le projet PARTAGES, dédié à l'IA générative en santé, réunissant 30 partenaires, dont des établissements de santé, des institutions académiques et des entreprises comme Mistral.

Enfin, nous entretenons un lien très étroit avec les associations de patients. Notre direction citoyenne est chargée de l'implication de la société civile, grâce à des consultations, des informations et des actions de formation.

Le HDH est un GIP, rassemblant 56 parties prenantes, représentatives de l'écosystème des données de santé, réparties en neuf collèges. Nous disposons d'une gouvernance classique, avec un conseil d'administration et une assemblée générale.

Le choix initial de Microsoft comme hébergeur n'a pas été réalisé par le HDH, qui n'existait pas encore à l'époque, mais est intervenu dans le cadre de la phase de préfiguration du HDH par la Direction de la recherche, des études, de l'évaluation et des statistiques (DREES), à la demande de la ministre de la Santé, et dont je pilotais les travaux. Ce choix a fait l'objet d'un arbitrage politique rendu par la ministre.

M. Simon Uzenat, président. - Qui exerçait les fonctions de ministre de la Santé à cette époque ?

Mme Stéphanie Combes. - Agnès Buzyn.

M. Simon Uzenat, président. - Pourriez-vous préciser la date précise à laquelle ce choix a été opéré ?

Mme Stéphanie Combes. - Il s'agissait vraisemblablement du mois de mars ou avril 2019. À l'époque, une équipe projet avait été constituée au sein du ministère de la Santé, réunissant un membre de la direction des systèmes d'information du ministère, un expert en cybersécurité, ainsi que des représentants des services compétents, notamment le service des achats de la DREES.

Un comité technique a rapidement été mis en place, associant chercheurs, start-ups, représentants de l'Assurance maladie et d'établissements de santé, afin de définir les fonctionnalités cibles de la plateforme. Ces besoins ont été publiés sur le site de la DREES.

L'objectif était de mettre à disposition des chercheurs des environnements de travail élastiques, capables de s'adapter à des cas d'usage multiples : données médico-administratives, images médicales de très grande taille, données issues de registres, etc. Cette variété impliquait une infrastructure flexible en matière de capacité de calcul, de stockage, ainsi qu'une diversité logicielle, le tout sous des contraintes de sécurité élevées.

Entre la mi-2018 et le début 2019, nous avons rencontré une dizaine d'acteurs -- académiques et industriels pour recueillir leur capacité fonctionnelle ainsi que leur capacité à répondre à deux exigences de sécurité principales : le référentiel de sécurité du SNDS, défini par arrêté et public, et la certification hébergeur de données de santé (HDS). Bien que cette dernière ne soit pas obligatoire en contexte de recherche mais plutôt prévue pour un usage primaire des données, elle a été jugée indispensable pour garantir un niveau de sécurité suffisant.

Parallèlement, les outils contractuels disponibles ont été évalués, dans un calendrier contraint fixé par la ministre, qui visait une solution opérationnelle dès mi-2019.

A l'analyse des déclarations de ces différents acteurs, il est apparu que seule la solution proposée par Microsoft répondait à l'ensemble des prérequis. Cette analyse comparative a été transmise pour arbitrage au cabinet de la ministre, qui a tranché en faveur de cette solution. Ce choix s'inscrivait dans une logique pragmatique, mais il a été conçu dès l'origine comme réversible, tant sur le plan technique que contractuel, afin de permettre une migration future vers des solutions souveraines, à mesure que le marché français du cloud monterait en compétence.

M. Simon Uzenat, président. - Nous souhaiterions, à l'issue de cette audition, pouvoir disposer de la liste précise des sociétés et acteurs que vous avez sollicités ou rencontrés à la période que vous évoquez -- entre le second semestre 2018 et le début de l'année 2019.

Mme Stéphanie Combes. - Très bien. Concernant la réversibilité, d'un point de vue technique, les développements informatiques ont été réalisés selon le principe d'infrastructure as code, un langage de programmation qui permet de redéployer l'environnement informatique sur un autre hébergeur. Ces développements ne sont pas personnalisés et propres à un seul hébergeur. Ce principe a été validé par un audit dit « article 3 » et un avis formel de la Dinum. Le directeur de la Dinum de l'époque y souligne que ses équipes, a priori, estiment la réversibilité techniquement opérationnelle.

Sur le plan contractuel, aucun engagement ne lie le HDH à Microsoft sur la durée. Il n'existe ni clause de consommation minimale ni pénalité de sortie anticipée. Ces garanties ont été pensées dès le démarrage du projet.

S'agissant plus précisément des études de réversibilité, une première étude de marché a été menée dès la fin 2019, suivie d'une actualisation en 2020, en lien étroit avec la Dinum. Cette mise à jour visait à identifier les services de sécurité effectivement essentiels à nos activités -- au nombre de 14 --, afin de ne pas exiger une « surqualité » inutile. Les études comparatives ont donc été centrées sur ces éléments prioritaires, en intégrant l'hypothèse d'un renoncement aux services secondaires, certes utiles, mais non indispensables. Les deux premières études ont conclu à l'immaturité du marché français à ce stade.

Entre 2021 et 2022, nous avons sollicité un prestataire indépendant, B2Cloud, pour une analyse approfondie à l'échelle européenne. Sa méthodologie a permis d'interroger un large panel de fournisseurs de manière indépendante, afin d'objectiver la situation du marché. Cette troisième étude a confirmé les limites du marché en matière de sécurité.

Fin 2023, une nouvelle évaluation a été conduite par la délégation au numérique en santé (DNS), dans le cadre de l'instruction de notre projet EMC2. Une dernière étude indépendante de la Dinum a été menée courant 2024. L'ensemble de ces études a confirmé que les offres alternatives restaient pour le moment insuffisantes au regard des exigences de sécurité.

En 2025, nous constatons une évolution significative. Les échanges réguliers avec les acteurs industriels laissent entrevoir des avancées importantes. Plusieurs fournisseurs sont désormais bien engagés dans un processus de certification SecNumCloud ; certains pourraient même aboutir d'ici la fin de l'année, ce qui est une bonne nouvelle.

S'agissant de la mise en conformité avec la loi « SREN », nous sommes bien conscients de l'entrée en vigueur prochaine de ce nouveau cadre, et en particulier de l'introduction du critère SecNumCloud, qui marque une évolution importante par rapport aux exigences antérieures. Jusqu'à présent, nos projets relevaient du référentiel de sécurité du SNDS, applicable aux usages de recherche en santé. Désormais, cette nouvelle exigence de certification vient s'y ajouter, ce qui renforce d'autant l'importance du suivi actif que nous menons sur les processus de certification des prestataires.

À ce jour, la loi « SREN » n'est pas encore pleinement applicable, dans l'attente de la publication du décret d'application. Si le décret paraissait dans les mois à venir, le délai de mise en conformité pourrait s'avérer contraint, dans la mesure où aucune solution pleinement certifiée n'est aujourd'hui disponible. Néanmoins, je demeure confiante dans notre capacité à opérer la migration vers une solution conforme dans le délai imparti par la loi.

Concernant l'annonce de la ministre, relative au lancement d'un marché, elle fait écho à une proposition du rapport piloté par Jérôme Marchand-Arvier, évoquant une « solution intercalaire », compte tenu du temps nécessaire aux acteurs du secteur pour monter en maturité sur les services cloud manquants.

L'idée consiste à anticiper en hébergeant une copie de la base principale du SNDS - aujourd'hui maintenue par l'Assurance maladie - dans une solution souveraine placée sous la maîtrise directe du HDH. Les extractions de données - 300 l'année dernière - sont actuellement bien coordonnées avec l'Assurance maladie, dans le cadre d'un partenariat efficace mis en place depuis fin 2023. Cette architecture partagée n'est toutefois pas pleinement satisfaisante.

La solution intercalaire permettrait ainsi de copier la base principale du SNDS dans le système d'information du HDH, dans le respect des exigences de souveraineté, afin de permettre à mes équipes d'agir en autonomie, sans avoir à solliciter l'Assurance maladie. . Suite à l'arbitrage favorable rendu sur ce point, les travaux préparatoires à la publication de l'appel d'offres ont été engagés depuis plusieurs mois.

M. Simon Uzenat, président. - Pourriez-vous précis la notion de « quelques mois » ?

Mme Stéphanie Combes. - Nous avons pu engager les travaux préparatoires nécessaires consécutivement à l'arbitrage rendu, début 2025. Une phase de sourcing a été conduite, au cours de laquelle nous avons rencontré entre 10 et 15 acteurs - je pourrais vous préciser ce chiffre si cette information vous semble utile. Le corpus documentaire est aujourd'hui quasiment finalisé, ce qui nous permettra de lancer le marché dans les prochaines semaines.

M. Simon Uzenat, président. - Nous sommes intéressés par tous les éléments liés à cette phase de sourçage préalable à la publication du dossier de consultation des entreprises. Cette publication pourrait-elle intervenir avant la fin du mois de juin ?

Mme Stéphanie Combes. - Oui.

M. Simon Uzenat, président. - Nous vous en demanderons immédiatement communication, car nous avons prévu de rendre nos conclusions d'ici fin juin. Ces éléments nous permettront d'être le plus réactif et le plus juste possible.

L'une des questions fondamentales concerne l'application des législations extraterritoriales. Pouvez-vous être très claire sur ce sujet ? Pouvez-vous nous confirmer si oui ou non ces législations extraterritoriales s'appliquent, au regard du prestataire actuellement à l'oeuvre ?

Mme Stéphanie Combes. - Nous avons fait réaliser deux analyses juridiques sur ce sujet, qui convergent sur le fait que l'application de ces législations s'avère très peu crédible dans notre contexte. Cette analyse a été confirmée par le Conseil d'État dans ses ordonnances rendues lors de divers contentieux engagés contre le HDH, à la suite de la publication de textes ou au sujet d'autorisations de la CNIL. Les requérants n'ont jamais obtenu gain de cause. Le Conseil d'État a toujours soutenu qu'aujourd'hui, notre contrat avec Microsoft est conforme au RGPD et que le risque d'application de ces lois reste extrêmement faible nous concernant.

M. Simon Uzenat, président. - « Faible » ne signifie pas « nul ». Or, nos travaux visent à garantir une étanchéité parfaite sur nos données de santé. Aujourd'hui, en toute honnêteté, cette étanchéité parfaite ne peut pas être garantie.

Mme Stéphanie Combes. - Nous pouvons entrer dans les détails et je vous transmettrai les deux analyses.

M. Simon Uzenat, président. - « Parfait » ne devrait pas renvoyer à 1 ou 2 %, mais à 0 % de probabilité que ces législations extraterritoriales s'appliquent. En réalité, aucun contentieux ni procédure spécifique ne devraient intervenir pour en constater l'inapplicabilité.

Mme Stéphanie Combes. - Le fait que tous les contentieux engagés aient été systématiquement rejetés par le Conseil d'État ne constitue-t-il pas une preuve suffisante ? Les gens ont le droit de faire des contentieux s'ils le souhaitent.

M. Simon Uzenat, président. - Bien entendu. Toutefois, contrairement à d'autres procédures où il convient de passer par la justice avant d'accéder aux données, aujourd'hui, si l'État fédéral américain exige de Microsoft d'obtenir certaines données, nous n'en serions pas informés et ne disposerions d'aucun levier pour nous y opposer. Confirmez-vous qu'à ce jour, l'étanchéité n'est pas totale ?

Mme Stéphanie Combes. - Non, je ne le confirme pas. Il me semble quelque peu simpliste de présenter les choses ainsi. Je vous prie de m'excuser. Le sujet s'avère plus complexe.

M. Simon Uzenat, président. - Nous ne le découvrons pas. Nous avons entendu bien d'autres acteurs avant vous. Vous pouvez avoir raison contre tout le monde, mais pour l'instant, toutes les informations qui nous ont été remontées vont dans ce sens.

Mme Stéphanie Combes. - Ces législations ont chacune un champ d'application spécifique. Il convient de les examiner tour à tour pour voir si elles s'appliquent dans notre contexte. Les personnes avec qui vous avez discuté ne s'expriment pas toutes dans le contexte du HDH. Notre situation, où les données sont pseudonymisées avec d'importantes garanties contractuelles et techniques, diffère d'autres cas mobilisant des données personnelles nominatives. C'est pourquoi je pense que le sujet est complexe et ne peut être simplement résumé.

Quand on parle de législation extraterritoriale, on évoque généralement trois lois. Dans notre système, nous ne manipulons que des données pseudonymisées. Certaines législations, par nature, ne peuvent s'appliquer à nous, car elles reposent sur l'utilisation de sélecteurs, comme des numéros de téléphone ou adresses email. Je suis prête à partager nos deux analyses juridiques pour que vous puissiez les comparer à vos autres sources d'information.

Aujourd'hui, l'application de ces lois dans notre domaine n'est pas avérée. Nous disposons de garanties contractuelles et techniques. La combinaison de ces éléments a conduit le Conseil d'État, à plusieurs reprises, à rejeter les recours visant à remettre en cause la sécurité des données. Ces décisions juridictionnelles constituent, à mon sens, un élément de réassurance bien plus solide que toute déclaration que je pourrais faire ici devant vous.

M. Simon Uzenat, président. - Je retiens simplement que vous avez évoqué, devant une commission d'enquête, sous serment, une probabilité « faible ». Vous ne parlez pas d'impossibilité. Vous indiquez que ce risque n'est pas avéré, mais il n'est pas exclu pour autant.

M. Dany Wattebled, rapporteur. - Merci pour vos explications. Je comprends qu'au départ, il n'y a pas eu d'appel d'offres, mais une consultation de dix entreprises.

Mme Stéphanie Combes. - En effet, vous avez raison. Je n'ai pas mentionné ce point, mais vous l'aviez évoqué dans votre introduction. Microsoft a été acheté via l'Ugap.

M. Dany Wattebled, rapporteur. - Je vais être plus précis. D'abord, une étude par Capgemini intervient pour faire la sélection.

Mme Stéphanie Combes. - Vous m'avez perdue.

M. Dany Wattebled, rapporteur. - En 2019, il me semble que Capgemini a été retenu pour réaliser l'étude d'hébergement de la plateforme. Je me demande si le choix de ce prestataire résulte d'une mise en concurrence. Un budget d'1,9 million d'euros a tout de même été alloué à cet audit.

Mme Stéphanie Combes. - À quel audit faites-vous référence ? Je suis perdue.

M. Dany Wattebled, rapporteur. - Au départ, c'est Capgemini qui a écrit le cahier des charges. Un audit est intervenu, n'est-ce pas ?

Mme Stéphanie Combes. - Non. Un consultant de Capgemini a assuré une mission de PMO (project management officer) sur le chantier -- c'est-à-dire de la coordination des acteurs -- et formalisé les exigences fonctionnelles.

M. Dany Wattebled, rapporteur. - Ainsi, Capgemini est bien intervenu.

Mme Stéphanie Combes. - Tout à fait, mais, en l'occurrence, vous êtes en train d'affirmer que nous avons acheté un cahier des charges à Capgemini.

M. Dany Wattebled, rapporteur. - Capgemini a accompli un travail, ce qui a bien dû faire l'objet d'un appel d'offres au départ. Il existe d'autres cabinets que Capgemini dans la planète des audits.

Mme Stéphanie Combes. - Il ne s'agissait pas d'un audit, mais d'un accompagnement, une maîtrise d'oeuvre du projet.

M. Dany Wattebled, rapporteur. - Oui, mais 1,9 million d'euros, c'est tout de même un marché important. La règlementation européenne impose une mise en concurrence. Pourquoi le choix de Capgemini et pas d'un autre ?

Mme Stéphanie Combes. - À quoi fait référence la somme de 1,9 million d'euros ? Il serait utile de regarder la période concernée, car ce montant ne correspond pas uniquement au chantier de la plateforme technologique ou à l'appui apporté par un consultant. Pour vous répondre de manière précise, il faudrait pouvoir entrer davantage dans le détail.

M. Dany Wattebled, rapporteur. - Nous pourrons le faire par écrit.

Mme Stéphanie Combes. - Oui, sans aucune difficulté. Tant pour la prestation de Capgemini que pour celle de Microsoft, nous sommes passés par l' Ugap. Ce ne sont d'ailleurs pas les seuls achats réalisés par cette centrale. Le ministère dispose d'une convention d'adhésion à l'Ugap antérieure au lancement du chantier de préfiguration du HDH. Il paraissait logique d'utiliser les moyens dont s'est doté le ministère pour faciliter l'achat public. L'avantage de la centrale d'achat est qu'elle a déjà opéré la mise en concurrence, permettant aux acteurs publics adhérents de bénéficier de cette mutualisation de l'effort d'organisation du marché.

M. Dany Wattebled, rapporteur. - Ainsi, vous vous reposiez sur l'Ugap en tant que prestataire, et vous disposiez bien d'un cahier des charges au départ.

Mme Stéphanie Combes. - Pas au départ, non.

M. Dany Wattebled, rapporteur. - En passant par l'Ugap, vous avez transmis un cahier des charges ou des directives concernant cet hébergement, n'est-ce pas ?

Mme Stéphanie Combes. - L'Ugap fournit un catalogue de prestations postérieurement à une mise en concurrence préalable, indépendamment du projet HDH. Cette démarche permet au ministère de consommer cette prestation si elle apparaît pertinente dans le cadre de son projet. Il s'agit du fonctionnement classique d'une centrale d'achat : elle anticipe les besoins de ses adhérents. Ce mécanisme peut certainement être discuté, mais pour les acheteurs publics, il s'avère très utile.

M. Simon Uzenat, président. - À cet égard, nous faisons face à un véritable enjeu politique. Vous avez rappelé les besoins émergents, les attentes nouvelles, et la nécessité d'accompagner la structuration de filières souveraines. Cet aspect ne relève pas de votre responsabilité directe, mais bien de celle des décideurs publics qui doivent choisir de se doter des moyens nécessaires pour garantir notre autonomie stratégique. Or, si nous raisonnons à périmètre constant, nous tirerons invariablement les mêmes conclusions : seuls quelques acteurs seront jugés aptes à répondre, et les autres ne seront pas en capacité de le faire. L'impulsion politique joue un rôle central : voulons-nous ou non investir pour faire émerger une offre souveraine à la hauteur des exigences ? De ce point de vue, l'Ugap peut constituer un véhicule inadapté, car ce modèle repose sur un marché constant, alors que nous parlons de filières nouvelles, de besoins nouveaux. Cette problématique sera au coeur de nos préconisations.

Mme Stéphanie Combes. - Je partage pleinement votre analyse : notre position est celle d'un acheteur public. Lorsqu'on nous a demandé de mettre en place une plateforme pour mi-2019, nous avons agi dans ce cadre. Il était possible de retenir le seul acteur capable de répondre à l'ensemble des exigences à cette époque sur un marché disponible. Nous n'aurions pas pu faire un autre choix, sauf si la ministre en avait décidé autrement.

Pour soutenir la filière, la Dinum a structuré progressivement une politique publique avec son appel d'offres « démonstrateur », visant à identifier les besoins techniques pour le développement d'une offre de services managés de sécurité. Nous avons contribué à ce travail. La Dinum a ensuite lancé un appel à projets dans le cadre de France 2030 pour soutenir le développement des services managés bénéficiant à tous. Il s'agit d'un levier plus efficace qu'un simple marché propre au HDH, car nous n'avons pas suffisamment de moyens pour permettre aux acteurs français de développer tous les services manquants.

M. Simon Uzenat, président. - Nous avons entendu ces acteurs et avons constaté que les montants déployés, rapportés au nombre de projets retenus, restent largement insuffisants.

M. Dany Wattebled, rapporteur. - Étant à l'initiative de la démarche visant à centraliser les besoins et les éléments, vous avez nécessairement rédigé un pré-cahier des charges en vue de formuler votre demande.

Mme Stéphanie Combes. - Le comité technique que nous avons réuni avec les représentants des utilisateurs de la plateforme a permis de formaliser les exigences fonctionnelles.

M. Dany Wattebled, rapporteur. - Avez-vous oui ou non été accompagnés par Capgemini pour formuler vos demandes ou orienter vos décisions, y compris dans le cadre d'un éventuel recours à l'Ugap ?

Mme Stéphanie Combes. - Oui, un consultant de Capgemini a aidé à faire la mise en oeuvre de ce chantier.

M. Dany Wattebled, rapporteur. - Pouvez-vous confirmer, par oui ou par non, si Capgemini a été sélectionné à la suite d'un appel d'offres mettant en concurrence d'autres cabinets ? A-t-on, à minima, cherché à savoir qui pourrait répondre à un pré-appel d'offres concernant l'élaboration du cahier des charges, avant même l'appel d'offres ?

Mme Stéphanie Combes. - Non, nous avons eu recours à l'Ugap.

M. Dany Wattebled, rapporteur. - L'Ugap intervient plus tard.

Mme Stéphanie Combes. - Non, l'Ugap n'intervient pas plus tard.

M. Dany Wattebled, rapporteur. - Vous venez pourtant d'indiquer que Capgemini était intervenu.

M. Simon Uzenat, président. - La question porte précisément sur les conditions dans lesquelles Capgemini est intervenu : s'agit-il d'une prestation spécifique ou d'un contrat plus large d'accompagnement du ministère, éventuellement avec un système de droits de tirage ? Dans le cas d'une prestation dédiée, comment a-t-elle été formalisée, et quel montant a-t-il été alloué ? Si vous n'êtes pas en mesure de nous répondre immédiatement, nous vous remercions de bien vouloir nous transmettre ces éléments par écrit ultérieurement.

Mme Stéphanie Combes. - Je vous confirme l'existence d'un véhicule contractuel, mais je préfère vérifier précisément le nom de la prestation et son montant. Ces éléments remontent à 2018.

M. Dany Wattebled, rapporteur. - C'était bien avant. Ils vous ont aidé dans l'élaboration du cahier des charges, avant l'appel d'offres.

Mme Stéphanie Combes. - Je ne comprends pas votre raisonnement. Deux véhicules contractuels distincts étaient activables au ministère, ce qui explique ma prudence avant de vous confirmer ce point. De mémoire, un marché interministériel permettait de recourir à Capgemini, mais je vérifierai cet élément. Il existait également une possibilité de passer par l'Ugap. Par ailleurs, nous n'avons pas eu recours à l'Ugap que pour les prestations fournies par Microsoft, d'autres prestations ont été acquises par ce biais. Plusieurs véhicules contractuels ont été utilisés.

M. Simon Uzenat, président. - La question porte sur les conditions contractuelles et financières du recours à Capgemini, notamment s'il s'agissait d'un marché global passé par le ministère, couvrant notamment la maîtrise d'oeuvre et incluant éventuellement la réflexion sur le HDH, ou bien d'un marché spécifique dédié à cette mission. Il convient de déterminer dans quel cadre ce contrat a été conclu et pour quel montant. Vous avez indiqué devoir vérifier ces éléments ; nous vous prions donc de nous transmettre les informations précises dans les meilleurs délais.

Mme Stéphanie Combes. - Très bien.

Mme Catherine Morin-Desailly. - Madame la Directrice, je vous remercie de bien vouloir parler de Plateforme des données de santé, car la dénomination Health Data Hub a été a été contestée et réglée en justice, à la suite d'une plainte déposée par une association de défense de la francophonie. Je ne vous tiens pas responsable de l'appellation d'origine de la plateforme, qui relève du ministère concerné. Toutefois, l'usage des anglicismes doit cesser, d'autant que nous célébrons cette année les 30 ans de la loi Toubon. La souveraineté commence aussi par la culture et par la langue.

Sur le fond, votre présentation insistait à juste titre sur les promesses technologiques et médicales de la plateforme. Néanmoins, vous avez peu évoqué la donnée de santé en tant qu'actif stratégique majeur, à la fois économique et intime.

Je m'étonne donc qu'à l'époque de la création de cette plateforme, représentant un projet profondément novateur, il n'ait pas été jugé opportun d'en débattre devant la représentation nationale. Peut-être pourrez-vous nous éclairer sur cette question ?

Quel a été précisément le rôle de M. Cédric O, alors conseiller du Président de la République sur le numérique, dans le choix de Microsoft, ou tout du moins sa finalisation, sans appel d'offres dédié ?

Pouvez-vous nous transmettre la liste complète des entreprises sollicitées ? De grands acteurs affirmaient, en 2020, ne pas avoir été sollicités. Bernard Charlès, ancien directeur général de Dassault Systèmes, s'en est plaint directement au Président de la République.

Vous avez indiqué que la réversibilité avait été envisagée dès le départ. Dans ce contexte, pourquoi, à la suite de l'invalidation du Privacy Shield le 16 juillet 2020, n'a-t-on pas engagé immédiatement une procédure de remplacement du prestataire, via un appel d'offres intégrant des exigences renforcées de sécurisation des données ? Pendant plusieurs années, un vide juridique a prévalu, jusqu'à la signature d'un nouvel accord entre Joe Biden et Ursula von der Leyen, sans avancée décisive sur le fond. Pourquoi n'avoir pas activé plus tôt cette réversibilité, alors que des alternatives semblaient disponibles ?

Mme Stéphanie Combes. - À partir de fin 2018, nous avons rencontré Thales, Santeos, OVH, Docaposte, Orange, TerraLab, l'Institut Pasteur, le Centre d'accès sécurisé aux données (CASD), le Grand équipement national de calcul intensif (GENCI), Outscale, Saagie, Amazon, Google et Microsoft. Je m'étonne de la remarque concernant Dassault Systèmes.

Sur le fait que les données représentent un actif stratégique méritant d'être protégé, je suis entièrement d'accord avec vous. Dans les derniers débats, la question centrale visait à trouver le bon équilibre entre souveraineté et sécurité. La plateforme hébergeant actuellement les données de santé dispose d'un niveau de sécurité très élevé, reconnu par de nombreux acteurs. Vous pourrez le constater dans des communications de la CNIL et dans l'avis de la Dinum.

Mme Catherine Morin-Desailly. - En tant qu'administratrice de la CNIL, je me dois de préciser que ce n'est pas exactement la position exprimée par la CNIL.

Mme Stéphanie Combes. - En tout cas, c'est également ce que soulignent l'Agence nationale de la sécurité des systèmes d'information (ANSSI) et nos propres audits de sécurité, ainsi que les conclusions du Conseil d'État. Le débat de ces dernières années semble principalement porter sur la question suivante : pourrait-on accepter un niveau de sécurité légèrement inférieur au profit d'une plus grande souveraineté ? Il s'agit bien de deux enjeux de nature différente.

M. Dany Wattebled, rapporteur. - Les acteurs français offrent des solutions aussi sécurisées que les autres. Pourquoi renoncer à plus de sécurité au profit d'une plus grande souveraineté ? Je ne comprends pas votre position.

Mme Stéphanie Combes. - Ce n'est pas ma position, puisque le HDH n'a renoncé à aucun moment à la sécurité.

Mme Catherine Morin-Desailly. - Je me permets de vous contredire sur plusieurs points. D'abord, en tant qu'administratrice de la CNIL, je rappelle que la PDS n'a pas pu poursuivre son activité sans une saisine préalable de l'autorité, ce que vous ne pouvez ignorer. Cette situation a conduit à une forme de mise en sommeil du projet, notamment à l'approche de l'élection présidentielle de 2022. À ce moment-là, la CNIL était réticente à accorder son autorisation, précisément en raison du choix de Microsoft, sans appel d'offres ni débat parlementaire.

Par ailleurs, la loi FISA - Foreign intelligence surveillance act - toujours en vigueur depuis 1978, oblige les opérateurs américains à répondre aux réquisitions du gouvernement fédéral. Tous les spécialistes du droit et de la cybersécurité s'accordent à dire qu'il existe une réelle vulnérabilité sur ce point. Les prestataires comme Microsoft, Google ou AWS sont tenus, à la demande des autorités américaines, de transférer les données, sans que les personnes concernées -- ni les États européens -- en soient nécessairement informées. Et la commission chargée d'examiner les requêtes des autorités fédérales américaines donne son accord dans 80 % des cas. Il est donc illusoire de penser que l'effet des lois extraterritoriales américaines pourrait être neutralisé.

De surcroît, la pseudonymisation n'est pas une garantie absolue : il reste possible, par recoupement, d'identifier les individus. Or vous vous référez au Conseil d'État, dont les membres ne sont ni experts techniques ni spécialistes de ces enjeux juridiques complexes. Quelles sont, concrètement, les études juridiques sur lesquelles vous vous appuyez pour affirmer que les législations extraterritoriales américaines ne s'appliqueraient pas à la PDS ? J'aimerais les consulter, car tout le monde s'inquiète aujourd'hui de cette vulnérabilité.

Lorsque l'accord de transfert des données entre l'Union européenne et les Etats-Unis a été invalidé en 2020, pourquoi n'a-t-on pas engagé sans délai une procédure de réversibilité et un appel d'offres intégrant des critères clairs de sécurisation, de souveraineté et de protection des données des Français ?

Enfin, de très nombreux acteurs du secteur s'interrogent sur ce qu'ils perçoivent comme des biais dans les modalités de sélection des prestataires : des exigences bien plus contraignantes leur seraient imposées qu'à des acteurs comme Microsoft, Azure ou AWS. Les témoignages recueillis font état d'un empilement de critères (plus de 200), de 466 cas d'usage souvent redondants, d'exigences mouvantes, de délais très courts. Tout se passe comme si l'objectif était, en réalité, de maintenir le statu quo, en rendant de facto inaccessibles ces appels d'offres aux fournisseurs alternatifs.

Mme Stéphanie Combes. - Vous décrivez là une situation qui relève de l'audit conduit par la DNS à la demande de la CNIL, dans des délais très contraints, imposés en fin d'année 2023. Nous n'étions pas en charge de cette procédure ni des délais. Il ne s'agissait pas d'une procédure lancée par la PDS, et je partage votre observation : les conditions ne permettaient pas une analyse équitable ni une réponse sereine des offreurs.

Sur la question du Privacy Shield, vous évoquez l'invalidation de l'accord par la Cour de justice de l'Union européenne (CJUE) en juillet 2020, qui encadrait les transferts de données personnelles vers les Etats-Unis. Or, nous n'effectuons aucun transfert transatlantique de données. Dès lors, je ne comprends pas le lien que vous faites entre ces deux éléments. S'il est question d'une solution techniquement et juridiquement « immune » à tout risque d'extraterritorialité, cette exigence dépasse la portée du Privacy Shield comme de son successeur, le Data Privacy Framework, et renvoie à une question de souveraineté numérique plus large. Je ne comprends donc pas très bien le lien que vous faites avec la décision de la CJUE.

Lorsque vous demandez pourquoi nous n'avons pas lancé à cette époque un appel d'offres intégrant ces exigences de souveraineté numérique, je ne comprends plus à quel titre j'interviens. Je suis directrice de la Plateforme des données de santé, nous sommes acheteurs publics et respectons les exigences légales. Des institutions moins expertes ordonnent des choses dans un contexte contentieux. J'ai la faiblesse de penser qu'elles ont raison et font leur travail ! Nous avons agi comme un acteur constructif. Le HDH a mené des études de marché. L'audit piloté par la DNS fin 2023dans des conditions insatisfaisantes, a eu le mérite d'éclairer la situation, alors que le sujet date de 2019 et que l'état des lieux de la Dinum intervient en 2024. Nos équipes techniques, malgré leurs nombreuses missions, ont contribué aux travaux de la Dinum de manière constructive, notamment autour de sa politique publique de soutien à l'écosystème du cloud français.

M. Dany Wattebled, rapporteur. - Ces travaux n'ont-ils pas été repris ?

Mme Stéphanie Combes. - C'est en cours.

M. Dany Wattebled, rapporteur. - Depuis 2025 ?

Mme Stéphanie Combes. - Les travaux sur le démonstrateur durent depuis deux ans. L'appel à projets, lui, est en cours.

Mme Catherine Morin-Desailly. - Permettez-moi de rappeler que c'est bien au législateur - et notamment au Sénat - que l'on doit les avancées majeures en matière de souveraineté numérique et d'autonomie stratégique. Sans l'initiative parlementaire, ces sujets n'auraient pas connu de réelle inflexion. La Première ministre a été contrainte d'adresser une circulaire appelant les ministères et opérateurs de l'État, dont vous relevez, à privilégier les solutions souveraines pour l'hébergement des données sensibles.

Cet engagement a été traduit dans la loi « SREN », à l'article 31, et je considère qu'il est de votre responsabilité d'anticiper dès à présent la migration vers des solutions conformes, sans attendre la publication de décrets d'application.

Concernant votre remarque sur l'absence de lien avec l'invalidation du Privacy Shield le 16 juillet 2020, permettez-moi de ne pas partager votre analyse. Jusqu'à cette date, le recours à des prestataires soumis à la législation américaine - telle que le FISA - pouvait encore s'inscrire dans un cadre juridique européen protecteur. Or, à partir du moment où cet accord est invalidé, ce cadre disparaît totalement. Vous portez, à votre niveau, une part de responsabilité - même si la responsabilité politique relève de votre ministère - pour ne pas avoir suffisamment réagi à une situation déjà largement dénoncée, en lien avec l'absence de protection effective des données. Dès l'invalidation du Privacy Shield, il aurait fallu poser immédiatement la question de la réversibilité, anticiper une migration, alerter les autorités compétentes et enclencher une nouvelle démarche. L'ensemble des choix opérés dès la phase de préfiguration de cette plateforme, à chaque étape, mérite aujourd'hui d'être réinterrogé.

M. Dany Wattebled, rapporteur. - Le choix de Capgemini relevait-il de vous ou de la DREES ?

Mme Stéphanie Combes. - Je n'étais pas personnellement chargée, de prendre des décisions au sein de la DREES.

Mme Catherine Morin-Desailly. - Il se dit que la Plateforme des données de santé poursuivra sa collaboration avec Microsoft. Parallèlement, Capgemini - qui est intervenu en tant que cabinet de conseil ou d'études dans les phases initiales du projet - porte désormais l'offre « Bleu », présentée comme souveraine, en partenariat avec Microsoft, et susceptible d'obtenir la certification SecNumCloud. Cette configuration soulève, à tout le moins, une question légitime quant à un éventuel conflit d'intérêts. Par ailleurs, le projet NumSpot est également engagé dans une démarche de qualification SecNumCloud.

Dans ce contexte, peut-on s'attendre au lancement d'un appel d'offres en bonne et due forme, ouvert à un large panel d'acteurs, intégrant pleinement les exigences de souveraineté numérique et les principes posés par la loi ?

Mme Stéphanie Combes. - Quoi qu'il en soit, il faudra impérativement sécuriser l'acquisition d'une solution qualifiée SecNumCloud en vue de la migration. À ce stade, nos travaux portent sur le lancement de l'appel d'offres relatif à la solution intercalaire. La migration suivra dans un second temps.

Nous restons tributaires de la disponibilité effective de ces solutions. Je comprends que ce calendrier puisse paraître lent -- nous en sommes d'ailleurs les premiers à en faire les frais. Si ces solutions avaient été pleinement opérationnelles, nous aurions pu nous y appuyer, et le débat d'aujourd'hui n'aurait sans doute pas lieu en ces termes.

M. Dany Wattebled, rapporteur. - Nous constatons un écart de perception, car plusieurs acteurs -- tels qu'Hexatrust ou d'autres -- affirment disposer des solutions nécessaires et se disent parfaitement capables de répondre aux exigences techniques et de sécurité.

Il nous appartient de mieux comprendre les conditions initiales dans lesquelles l'appel d'offres -- s'il y en a véritablement eu un -- a été conduit : compression des délais, évolutions du cahier des charges, critères successivement modifiés... Autant d'éléments qu'il faudra analyser pour savoir si, dès le départ, les conditions étaient biaisées.

Ce n'est peut-être pas de votre ressort direct, mais cette démarche fait pleinement partie de notre mission. Ce qui interroge profondément, c'est le choix de mobiliser l'Ugap, pour un montant considérable, plutôt que de faire appel à des prestataires français pleinement en capacité de porter ce projet.

Mme Stéphanie Combes. - À la DREES, le bon de commande s'élevait à quelques centaines de milliers d'euros - moins de 200 000.

M. Dany Wattebled, rapporteur. - Le marché global de l'hébergement représente un montant bien plus considérable.

Mme Stéphanie Combes. - Je vous invite à consulter l'Ugap sur ce point.

M. Dany Wattebled, rapporteur. - Il s'agissait tout de même de plusieurs dizaines de millions d'euros.

Mme Stéphanie Combes. - Vous évoquez l'Ugap, sans mentionner le ministère. À l'époque, le ministère de la Santé n'était pas seul à recourir à Microsoft via ce marché, dont je ne saurais dire s'il est encore actif aujourd'hui.

Je me tiens à votre disposition pour reprendre, entreprise par entreprise, les éléments précis : quels services manquaient alors, lesquels manquent encore aujourd'hui. Les études existent. Certaines ont d'ailleurs été rendues publiques à la suite de demandes d'accès, ce qui est tout à fait légitime. Pour avancer concrètement, il faut revenir à des éléments objectifs et techniques afin de déterminer, pour chaque acteur, quels services de sécurité sont disponibles ou non. Je suis prête à vous apporter ces réponses de manière précise et documentée.

M. Simon Uzenat, président. - La manière dont les éléments sont formulés peut, pour un même objectif, orienter très clairement les choix finaux. Nous avons entendu les représentants de la filière, et si vous pouvez considérer que nous sommes ignares en la matière, nous avons la prétention de penser que, comme nous l'ont indiqué les entreprises et les organisations professionnelles qui les représentent, qu'il est bien possible d'orienter ainsi les choix opérés.

Pour clore cette audition, nous vous demanderons la communication des documents relatifs au choix de Capgemini ; la transmission des études ayant fondé la décision finale de recourir à Microsoft et la ventilation budgétaire des prestations, tant pour Capgemini que pour Microsoft, dans le cadre des services mobilisés par la Plateforme des données de santé.

Nous avons bien noté également que des responsabilités restent à établir, notamment du côté de l'Ugap comme des ministères concernés. Ce point relève de notre travail d'évaluation.

Par ailleurs, la dénomination Health Data Hub apparaît encore sur le site internet officiel, y compris dans le logo. Il conviendra également d'y remédier.

Enfin, pouvez-vous nous préciser aujourd'hui où sont physiquement hébergées les données de santé de la Plateforme des données de santé ?

Mme Stéphanie Combes. - Elles sont hébergées dans les data center de Microsoft, en région parisienne. Je ne saurais vous préciser l'adresse exacte.

M. Simon Uzenat, président. - Ainsi, elles sont physiquement hébergées en France, uniquement ?

Mme Stéphanie Combes. - Oui.

M. Simon Uzenat, président. - Très bien.

Cette audition a fait l'objet d'une captation vidéo disponible en ligne sur le site du Sénat.

La réunion est close à 17 h 45.

La réunion est ouverte à 17 h 50.

Audition de MM. Frédéric Bredillot, membre du directoire, Benoit Dupuis, directeur des marchés et du pilotage contractuel, membre du Comex, et Deniz Boy, directeur des affaires publiques, de la Société des grands projets (SGP)

M. Simon Uzenat, président. - Nous poursuivons à présent nos travaux en nous intéressant à la commande publique sous le prisme de la conduite de grands travaux. Les marchés de travaux constituent en effet une part déterminante de la commande publique, s'élevant à 47 % des achats des acheteurs publics et à 63 % des achats des communes.

Notre déplacement à Vannes nous avait permis de découvrir un important chantier de construction et de constater certaines difficultés récurrentes de ce type de marché - je pense notamment au risque de défaillance de certains titulaires ou aux enjeux d'accès des TPE et PME à ces marchés. Nous souhaitons désormais entendre un acteur accoutumé à la conduite de travaux structurants, la Société des grands projets (SGP), anciennement Société du Grand Paris.

Maître d'ouvrage du Grand Paris Express, ayant pour objet la sortie de terre de quatre lignes de métro franciliennes, la SGP accompagne désormais, depuis la loi du 27 décembre 2023, les collectivités dans la mise en oeuvre des services express régionaux métropolitains (Serm).

Les masses financières en jeu sont impressionnantes : 4,5 milliards d'euros de dépenses en 2023 et 188 marchés notifiés cette même année, pour un montant de 6,8 milliards d'euros HT.

Nous avons donc le plaisir d'accueillir M. Frédéric Bredillot, membre du directoire, M. Benoît Dupuis, directeur des marchés et du pilotage contractuel, et M. Deniz Boy, directeur des affaires publiques.

Je vous informe que cette audition sera diffusée en direct sur le site Internet du Sénat et fera l'objet d'un compte rendu publié. Je rappelle également qu'un faux témoignage devant notre commission d'enquête serait passible des peines prévues aux articles 434-13, 434-14 et 434-15 du code pénal, soit 75 000 euros d'amende et jusqu'à cinq ans d'emprisonnement, voire sept ans en fonction des circonstances. Je vous invite à prêter serment de dire toute la vérité, rien que la vérité. Veuillez lever la main droite et dire « Je le jure ».

Conformément à la procédure applicable aux commissions d'enquête, M. Frédéric Bredillot, M. Benoît Dupuis et M. Deniz Boy prêtent serment.

Nous souhaiterions vous entendre sur les particularités que suppose la conduite de grands travaux et l'adaptation - ou l'inadéquation - du code de la commande publique aux attentes et besoins d'un maître d'ouvrage public. Nous vous saurions gré de partager avec nous le bilan, en matière de procédure, mais aussi d'exécution des marchés publics, que vous tirez de la conduite des projets complexes de la SGP. N'hésitez pas également à nous faire part des bonnes pratiques que vous avez développées et des solutions identifiées afin d'éviter l'instauration d'un déséquilibre trop fort en faveur des titulaires dans l'exécution des marchés.

Vous pourrez également indiquer comment la SGP aborde les enjeux d'accès des TPE et PME à des travaux de grande ampleur, tout comme celui des entreprises locales. Parvenez-vous à concilier l'allotissement fin et le pilotage efficace d'un chantier ? Avez-vous par ailleurs développé une politique en faveur des achats innovants ?

Le secteur de la construction ayant été confronté ces dernières années, comme le reste de l'économie à des hausses de prix significatives et à des phénomènes de pénurie de matières premières, votre retour d'expérience sur ces points nous serait également précieux.

Enfin, notre commission d'enquête considère que la commande publique est une politique publique à part entière, qui constitue désormais un levier fort des transitions écologiques et sociales. Nous serions intéressés par vos explications sur la façon dont de tels impératifs sont intégrés à la conduite de vos projets et dont vous vous préparez aux échéances importantes en la matière, notamment l'entrée en vigueur en août 2026 des dispositions de la loi « Climat et résilience ».

M. Frédéric Bredillot. - La SGP est un établissement public industriel et commercial (Epic) de l'État, créé par une loi de 2010. Sa dénomination a été modifiée par la loi de décembre 2023, dans le prolongement de l'élargissement de ses missions. Bien qu'elle relève du statut d'Epic, la direction du budget la considère comme un opérateur de l'État au sens de la loi organique relative aux lois de finances (Lolf). À ce titre, elle est soumise à un plafond d'emplois, au contrôle des rémunérations, au régime budgétaire et comptable public - avec un comptable public et une comptabilité en autorisations d'engagement et crédits de paiement, ainsi qu'au contrôle économique et financier de l'État.

La SGP est donc un objet mixte, entre établissement public industriel et commercial et établissement public administratif. Elle présente également une gouvernance singulière, inspirée de celle des sociétés anonymes à directoire et conseil de surveillance. Ainsi, la SGP est dirigée par un directoire de trois personnes, sous le contrôle d'un conseil de surveillance dans lequel l'État est majoritaire.

Notre mission principale reste la conception, la réalisation et le financement du réseau de transport public du Grand Paris, avec notamment les prolongements désormais en service de la ligne 14 et la construction de quatre lignes nouvelles, 15, 16, 17 et 18. Ce chantier représente environ 200 km de lignes nouvelles, soit un doublement du réseau actuel du métro parisien. Ces lignes seront mises en service progressivement, entre fin 2026 et 2031.

Le coût d'objectif de l'opération s'élève à 36,1 milliards d'euros en euros 2012, fixé en octobre 2021 en sortie de crise sanitaire, en hausse par rapport à l'estimation de 2017 (35 milliards), et resté stable depuis.

Parallèlement à cette mission principale, la SGP assure deux autres missions : celle de financeur, par le biais de subventions, d'opérations de transport public portées par d'autres maîtres d'ouvrage (SNCF, RATP) et, depuis la loi de 2023, un rôle d'accompagnement - sur autorisation de l'État - des collectivités dans la conception de projets de SERM. Sous réserve de leur labellisation et du choix des acteurs de nous en confier la maîtrise d'ouvrage, nous pourrions également réaliser les infrastructures nécessaires. Cette activité reste aujourd'hui modeste, mobilisant une quarantaine d'agents, principalement sur des études préalables.

En résumé, la SGP regroupe environ 1 100 collaborateurs et exécute, chaque année, près de 4,9 milliards d'euros de dépenses.

M. Simon Uzenat, président. - Pour ce qui concerne les Serm, quel est le montant financier engagé ?

M. Frédéric Bredillot. - Je ne dispose pas à ce stade du chiffre annuel exact, mais l'ordre de grandeur de la mobilisation actuelle de la SGP au titre des conventions de financement - dont certaines couvrent des périodes supérieures à un an - est d'environ 30 millions d'euros.

La SGP a passé environ 2 000 marchés depuis sa création, dont 847 sont en cours d'exécution, parmi lesquels 69 marchés dépassent un montant initial de 50 millions d'euros, et 12 excèdent 500 millions d'euros. Le plus important marché s'élève à 2,819 milliards d'euros, pour un tronçon de la ligne 15, dans sa partie sud-ouest.

Au total, près de 2 800 fournisseurs - co-traitants ou sous-traitants - interviennent dans l'exécution de ces marchés, dont 95 % disposent d'un établissement en France.

La SGP exerce une mission exclusive de maîtrise d'ouvrage : elle conçoit et construit les lignes, puis les remet à Île-de-France Mobilités (IDFM), qui en assure la gestion technique et confie leur exploitation à des délégataires de service public. La SGP reste propriétaire des infrastructures et perçoit, à ce titre, une redevance modeste de la part d'IDFM, contribuant à son équilibre financier.

Ce modèle financier repose principalement sur une fiscalité d'État affectée et prélevée sur des contribuables franciliens, notamment une taxe sur les bureaux et surfaces commerciales en Île-de-France. Entre la création de la SGP et le début des travaux, les recettes fiscales dépassaient les dépenses, ce qui a permis la constitution d'une trésorerie. Depuis le début des travaux, les dépenses ont fortement augmenté, dépassant les recettes annuelles, ce qui a conduit à un recours à l'emprunt, qui est une spécificité de la SGP. Elle a ainsi profité des conditions de taux favorables en période de crise sanitaire : en 2020, la SGP est devenue le premier émetteur mondial de « green bonds. » Les fonds empruntés, déposés au Trésor, contribuent à réduire le besoin de financement de l'État et sont utilisés progressivement.

Après l'achèvement des travaux, les dépenses opérationnelles auront disparu et les recettes fiscales affectées jusqu'à l'amortissement complet de la dette contractée pour la réalisation du projet. Depuis la loi de finances pour 2019, un rapport annuel est transmis au Parlement, rendant compte de la situation financière de la SGP et de l'évolution de sa dette.

M. Benoît Dupuis. - Dès l'origine, la SGP a adopté une conception de l'achat public allant de bout en bout, soit de la définition du besoin jusqu'à la clôture financière du marché, en intégrant la passation et l'exécution. C'est à cette échelle que nous mesurons la performance de l'achat, en comparant le coût final à ce qui était prévu initialement.

La direction des marchés et du pilotage contractuel, que je dirige, regroupe toutes les expertises nécessaires : juristes, acheteurs, économistes de la construction, et fonctions administratives. Aujourd'hui, l'activité porte principalement sur le pilotage contractuel des marchés en phase d'exécution - le contract management. Il s'agit de contrôler les aspects techniques, budgétaires, le respect des coûts, de la qualité attendue et des délais jusqu'à la clôture du marché. Les principales procédures de passation de marchés sont derrière nous, hormis pour certains achats de travaux ou pour les futurs besoins liés aux projets de Serm. Cette direction compte 135 personnes, dont 76 mobilisées sur le pilotage contractuel, 14 acheteurs, 21 juristes et 24 agents dédiés aux tâches administratives.

En complément de notre activité propre, nous utilisons les centrales d'achat (Union des groupements d'achats publics [Ugap], direction des achats de l'État [DAE], Resah), notamment pour des prestations non récurrentes où nous n'avons pas d'effet de levier suffisant : mobilier, équipements informatiques, prestations d'accueil et de sécurité, ou encore, avec la DAE, la fourniture d'énergie pour les phases d'essai. Le recours au Resah reste résiduel et concerne le diagnostic amiante et un marché lié à des sujets d'organisation.

Nous avons instauré une gouvernance de l'activité achat - commande publique rigoureuse avec des comités de pilotage de la passation et de l'exécution des procédures, assurant la traçabilité de la totalité des actes, réunissant à chaque étape les directions prescriptrices, les experts de la direction des marchés et du pilotage contractuel, et selon l'importance du marché, un membre du directoire.

Nos marchés sont également soumis à une commission d'examen des procédures des marchés, composée en majorité de membres extérieurs, notamment des représentants de la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF), du Conseil d'État et du ministère du Budget.

M. Simon Uzenat, président. -Vous avez apporté des éléments utiles, mais nous vous attendons principalement sur votre coeur de métier et sur la manière dont vous l'exercez concrètement.

Vous avez évoqué des marchés très conséquents, supérieurs à 500 millions d'euros, voire jusqu'à 2,8 milliards d'euros. Qu'en est-il, pour ces marchés -- ainsi que pour ceux dépassant les 50 millions d'euros -- des modalités d'allotissement et du recours à la sous-traitance ? Disposez-vous de données consolidées à ce sujet ?

De même, s'agissant des achats innovants et du soutien aux TPE-PME, pouvez-vous nous indiquer si, parmi les attributaires de vos marchés, vous disposez de chiffres précis en la matière ? Vous avez mentionné que 95 % de vos 2 800 fournisseurs sont implantés en France, mais s'agissant spécifiquement des plus gros marchés, auxquels seules les majors du BTP sont en capacité de répondre, le font-elles en groupement, ou plutôt via la sous-traitance, et selon quelles modalités ?

Enfin, une question importante sur le contrôle des prix : dans un contexte où le nombre d'acteurs est réduit, la concurrence limitée, et les opérateurs en position de force, comment veillez-vous à éviter les effets d'aubaine ?

M. Frédéric Bredillot. - S'agissant des TPE-PME, notre action s'articule autour de deux leviers complémentaires. D'une part, nous menons un travail de sourcing spécifique et procédons à un allotissement adapté sur les marchés dont la taille le permet, notamment ceux liés au fonctionnement interne de l'établissement. D'autre part, pour les marchés de grande envergure - qui constituent l'essentiel de notre commande publique - nous intégrons des exigences de participation de TPE-PME, lesquelles se traduisent principalement par leur présence en tant que sous-traitants des mandataires de nos marchés.

M. Benoît Dupuis. - Nous avons fixé un objectif de 20 % de nos marchés de travaux en faveur des TPE-PME. Pour les marchés de prestations intellectuelles et de services, cette part se situe dans une fourchette comprise entre 10 et 20 %.

M. Simon Uzenat, président. - Les 20 % de marchés de travaux alloués aux TPE-PME correspondent-ils à une proportion en valeur ou en nombre de marchés attribués ?

M. Benoît Dupuis. - Il s'agit d'une proportion en valeur. Depuis la création de la SGP, 3,1 milliards d'euros ont été versés à des TPE-PME. Cependant, ces entreprises interviennent majoritairement en sous-traitance. Sur les 69 marchés supérieurs à 50 millions d'euros, la très grande majorité est portée par des groupements momentanés d'entreprises. Plus généralement, le nombre de TPE-PME titulaires de nos marchés est faible et s'élève à 53. À l'inverse, 1 386 sous-traitants enregistrés relèvent de cette catégorie, ce qui montre que l'essentiel de leur présence se situe dans les niveaux d'exécution, et non dans l'attribution directe des marchés.

M. Frédéric Bredillot. - Paradoxalement, notre préoccupation a été d'élargir le vivier au-delà des entreprises franciliennes. Nous avons donc mené, notamment avec les chambres de commerce et d'industrie (CCI), des campagnes de sourcing dans les territoires, visant à mobiliser des entreprises susceptibles soit de candidater directement à nos marchés, soit d'intervenir en tant que sous-traitants ou fournisseurs des titulaires.

Ces titulaires sont, pour l'essentiel, de grandes entreprises françaises de dimension mondiale, implantées en Île-de-France. Deux enjeux structurants guidaient notre stratégie : d'une part, la capacité du marché à répondre aux besoins industriels du projet ; d'autre part, l'obligation d'assurer des achats dans des conditions économiquement optimales, dans un contexte où la tension en matière de concurrence était importante.

Concernant les volumes, la phase de génie civil, désormais majoritairement achevée, a représenté un pic d'activité sans précédent avec jusqu'à vingt tunneliers simultanément en fonctionnement -- un niveau équivalent à l'ensemble de l'activité européenne dans ce domaine. Les tunneliers ont été acquis directement par les entreprises, auprès de fournisseurs mondiaux. Si l'approvisionnement en machines ne posait pas de difficulté, la disponibilité de personnels qualifiés pour les exploiter a parfois nécessité le recours à des entreprises étrangères, notamment suisses et italiennes, spécialistes des ouvrages d'art souterrains.

Sur la concurrence, la question cruciale demeure celle de l'allotissement et du phasage des attributions. Lors de l'attribution des quatre grands lots de conception-réalisation pour les quatre tronçons de la ligne 15 Nord, dont les montants s'échelonnent entre 1 et 2,8 milliards d'euros, le nombre d'entreprises susceptibles de candidater était limité. Les modalités de dialogue compétitif retenues et l'échelonnement des attributions des lots ont eu pour effet de limiter la possibilité pour les candidats d'attendre et de se positionner les uns par rapport aux autres. Le bilan que nous tirons est conforme à nos attentes : les marchés ont été attribués à des conditions inférieures à nos estimations, ce qui montre que la concurrence a bien fonctionné.

S'agissant du prix des matières premières, je précise que notre coût d'objectif est établi en euros constants 2012. Ce choix méthodologique permet de mesurer la performance des équipes sans biais lié à l'inflation. En pratique toutefois, les marchés sont payés aux conditions économiques courantes et donc soumis à l'évolution des indices. Très peu de marchés sont à prix fixe, ce qui signifie que nous avons effectivement absorbé des hausses en valeur courante.

Ces variations ont parfois fragilisé l'équilibre économique de certains prestataires, notamment les plus petits. C'est pourquoi nous avons porté une attention particulière à la trésorerie et aux délais de paiement des PME.

Enfin, sur un plan macroéconomique, l'inflation s'est révélée favorable à l'équilibre économique global du projet. Nous avons sécurisé, en amont, des financements à taux fixe, alors que nos dépenses sont peu affectées par l'inflation, hormis les travaux, et que nos recettes, elles, sont indexées sur celle-ci. Par conséquent, la hausse des prix a permis d'améliorer notre modèle économique et de réduire les échéances d'amortissement de la dette.

M. Benoît Dupuis. - Deux facteurs contribuent à la performance de notre politique d'achat.

Le premier tient au mode de financement du projet : il est entièrement sécurisé. Pour les entreprises candidates, c'est très important. Lorsqu'elles s'engagent sur des marchés de travaux de plusieurs années, la garantie que le maître d'ouvrage pourra honorer l'ensemble des paiements jusqu'au terme du contrat constitue un levier de confiance important.

Le second est un choix assumé : la quasi-totalité de nos marchés inclut une clause de révision. Ce n'est pas la norme dans la commande publique, certains acheteurs y recourant peu. Nous estimons pourtant que cela constitue un outil d'efficacité. En effet, cette souplesse permet de lisser les aléas économiques plutôt que de contraindre les fournisseurs à faire, dès la remise de l'offre, un pari spéculatif pour se prémunir de l'incertitude.

M. Frédéric Bredillot. - Nous intégrons aujourd'hui des considérations environnementales dans 95,5 % des marchés notifiés, en valeur, ce qui concerne en pratique la quasi-totalité des marchés de travaux. Sur le plan social, 93,5 % des marchés, en valeur, comportent des clauses d'insertion, avec un objectif initial de 5 % des heures travaillées réservées à des publics éloignés de l'emploi. Ce seuil a été relevé à 10 % il y a trois ans, ce qui a permis de générer à ce jour 5,6 millions d'heures d'insertion.

S'agissant de l'innovation, notre démarche se concentre essentiellement sur les techniques constructives en lien avec la décarbonation. Il s'agit du recours au béton bas carbone ou ultra bas carbone, avec l'ambition que l'ampleur de nos opérations permette à la fois l'expérimentation, la massification et la diffusion de ces techniques au sein de la filière.

M. Dany Wattebled, rapporteur. - Je souhaiterais revenir sur les marchés dont le montant dépasse 50 millions d'euros. Peu d'acteurs sont en capacité d'y répondre, ce qui soulève une question : dans un contexte où les appels d'offres sont lancés en parallèle sur plusieurs lignes, n'y a-t-il pas un risque d'entente entre les grands acteurs du BTP ? On sait que les majors du secteur -- Vinci, Eiffage, Bouygues, etc. -- peuvent constituer des groupements, voire se répartir les marchés, selon les périodes et leurs capacités opérationnelles.

Par ailleurs, ces marchés attirent nécessairement des entreprises étrangères, notamment européennes. Pouvez-vous nous indiquer quel est, en moyenne, le taux de retombées économiques sur les entreprises françaises ?

Ensuite, dans les contrats que vous signez, avez-vous recours à un nombre significatif d'avenants ? Compte tenu de la complexité de ces opérations, on peut en effet s'attendre à des modifications en cours d'exécution, ce qui peut générer un surcoût. Est-ce un phénomène que vous constatez fréquemment ?

Enfin, comment sont organisés les délais de paiement sur ces marchés longs ? Quel est, concrètement, votre délai moyen de paiement ?

M. Benoît Dupuis. - Le risque d'entente ou de pratiques anticoncurrentielles fait naturellement partie de nos préoccupations majeures, et ce, depuis l'origine. Nous y veillons de manière constante. À ce titre, notre commission d'examen des procédures des marchés inclut un représentant de la DGCCRF, précisément pour garantir la conformité concurrentielle des procédures et analyser les offres à la lumière de ces enjeux.

Conscients que la culture des acheteurs publics sur ce sujet peut parfois être limitée, nous avons organisé, avec l'appui de la DGCCRF, des formations spécifiques à destination de nos équipes, afin de détecter les signaux faibles révélateurs d'éventuelles pratiques illicites. À ce jour, nous n'avons identifié aucun indice sérieux laissant supposer l'existence de telles pratiques. Sans constituer une preuve absolue de leur absence, aucun élément concret ne nous a, jusqu'ici, alertés.

Cela étant, certaines configurations d'achat sont plus exposées que d'autres. Les quatre marchés de conception-réalisation qui viennent d'être mentionnés, lancés dans un délai resserré et à destination d'opérateurs peu nombreux, constituaient une configuration sensible. Quatre groupements ont répondu, autour des majors. Nous avons volontairement modifié l'ordre d'attribution des lots, ce qui peut perturber une entente éventuelle. Ce type d'initiative - rendre l'action publique moins prévisible - constitue une bonne pratique.

Enfin, en cas de risque identifié de saturation du marché, nous n'hésitons pas à décaler certains actes d'achat, afin de garantir un niveau de concurrence satisfaisant.

M. Frédéric Bredillot. - Sur la question des avenants, il s'agit effectivement d'un enjeu majeur. Nos marchés de travaux durent souvent six à huit ans, et il est rare qu'ils se déroulent strictement comme prévu. Les modifications peuvent d'ailleurs nous être imputables, liées à des changements de notre part en cours de route. Nos marchés sont fortement imbriqués - des systèmes industriels dans des ouvrages de génie civil. En conséquence, la performance d'achat ne s'évalue pas seulement à la notification, mais aussi à la clôture.

À ce stade, seuls sept marchés de travaux sont terminés, avec un décompte général et définitif signé. Les écarts constatés vont de -8 % à +29 % du montant de la notification initiale. D'autres marchés pourraient présenter des écarts plus importants. Il est important de souligner que notre pilotage s'effectue à l'échelle globale : nous pouvons accepter un surcoût sur un marché pour en éviter sur un autre.

Pour garantir leur régularité, nos avenants sont examinés par la même commission que celle qui suit les passations, composée majoritairement de membres externes. Elle intervient dès que des seuils sont dépassés.

Enfin, sur les délais de paiement, nous intégrons systématiquement des avances pour assurer une trésorerie favorable à nos fournisseurs.

M. Simon Uzenat, président. - À combien peut s'élever le pourcentage accordé ?

M. Benoît Dupuis. - Généralement 5 %.

M. Simon Uzenat, président. - D'accord. Il s'agit d'une part relativement faible.

M. Benoît Dupuis. - Nous avons pu accorder des avances allant jusqu'à 10 %.

M. Simon Uzenat, président. - Ce taux peut-il varier en fonction de la taille de l'entreprise ? On sait bien qu'une TPE ou une PME rencontrera davantage de difficultés de trésorerie qu'un grand groupe.

M. Benoît Dupuis. - L'avance n'est pas liée à la taille de l'entreprise, mais au niveau d'investissement nécessaire et des prestations à réaliser avant la première facturation. Elle permet de couvrir les achats ou commandes engagés en amont des travaux. En complément des avances, des jalons de paiement peuvent être définis en fonction des décaissements réels des titulaires. L'objectif est d'assurer une trésorerie aussi neutre que possible, sans faire peser sur les prestataires des charges qu'ils ne peuvent ni anticiper ni financer efficacement, d'autant que la SGP dispose des moyens pour assumer ces paiements.

M. Simon Uzenat, président. - Disposez-vous d'un indicateur mesurant le délai de paiement ?

M. Frédéric Bredillot. - Oui, notre délai moyen de paiement en 2024 s'établit à 34,7 jours pour l'ensemble des fournisseurs, et à 32,2 jours spécifiquement pour les TPE-PME. Cela reste un axe d'amélioration identifié.

M. Simon Uzenat, président. - Comment expliquez-vous ce délai ?

M. Frédéric Bredillot. - Nous faisons face à deux spécificités. D'une part, la diversité de nos opérations entraîne une grande hétérogénéité des factures : environ 20 000 par an, allant de 120 à 50 millions d'euros. Les plus petites, souvent émises par des TPE-PME, appellent une vigilance particulière, car leur situation financière est plus sensible, alors que les enjeux pour nous sont différents.

D'autre part, nos opérations les plus complexes génèrent des factures elles-mêmes complexes, dans le cadre d'opérations soumises à la loi MOP : situations mensuelles sur lesquelles s'empilent co-traitance et sous-traitance validée par un maître d'oeuvre, puis contrôlée en interne, le tout en comptabilité publique. Cette configuration alourdit considérablement les processus.

Nous avons récemment changé de progiciel de gestion, ce qui doit nous permettre de gagner en efficacité et de réduire nos délais de paiement.

M. Daniel Salmon. - Vous avez indiqué que 20 % des marchés en valeur bénéficiaient à des TPE-PME, principalement via la sous-traitance. Estimez-vous ce taux satisfaisant ? Peut-on aller plus loin, notamment par un recours accru à l'allotissement, afin de limiter la captation de valeur par les assembliers ?

Concernant l'environnement, vous mentionnez que 99,5 % des marchés de travaux incluent des considérations environnementales. Pouvez-vous préciser les exigences concrètes, notamment sur la gestion des déchets d'excavation liée aux tunneliers ? Quelle part les critères environnementaux représentent-ils dans la notation des offres ?

M. Michel Canévet. - L'instauration d'une responsabilité élargie du producteur (REP) entraîne-t-elle des surcoûts pour la SGP en matière de traitement des déchets ?

Par ailleurs, avez-vous été confrontés à des fraudes au paiement, comme la réception de fausses factures émanant de sociétés sans lien avec vous ? C'est un phénomène que plusieurs collectivités nous ont signalé.

Enfin, en tant qu'acteur expérimenté de la commande publique, avez-vous des propositions concrètes à formuler pour simplifier les procédures d'achat public et accélérer la concrétisation des projets, dans un contexte où la lourdeur administrative freine parfois la dynamique économique ?

M. Benoît Dupuis. - Nous encourageons activement la participation d'entreprises étrangères à nos appels d'offres, car notre objectif reste de garantir une intensité concurrentielle suffisante pour acheter au juste prix, dans un secteur aux capacités limitées. En pratique, nos fournisseurs sont aujourd'hui, en quasi-totalité, des entreprises françaises ou implantées en France, souvent à capitaux français. Nous menons un travail quotidien de sourçage, y compris à l'étranger, pour identifier les opérateurs économiques capables de répondre à nos besoins.

Cette approche reste complexe en raison de barrières à l'entrée, linguistiques ou réglementaires, et du cadre spécifique de la loi MOP, peu connu hors de France. Mais ces démarches portent leurs fruits : nous avons, par exemple, intégré WeBuild (Italie) et Ferrovial (Espagne) dans nos marchés de génie civil ou de conception-réalisation. Nous avons également élargi le vivier en maîtrise d'oeuvre, notamment en nous tournant vers des sociétés belges comme Sweco et Tractebel, du fait de la pression sur les ressources françaises.

Cette démarche relève pleinement, selon nous, du rôle de l'établissement que de diversifier et dynamiser son panel de fournisseurs.

M. Frédéric Bredillot. - Certaines de ces entreprises européennes interviennent d'ailleurs en groupement avec des co-traitants français, et s'appuient sur des sous-traitants eux aussi implantés en France.

M. Benoît Dupuis. - Je pense qu'en raison des barrières à l'entrée il leur est quasiment impossible de soumissionner seules.

M. Frédéric Bredillot. - Vous avez raison de pointer l'enjeu des terres excavées par les tunneliers : 33,5 millions de tonnes ont été extraites à ce jour, représentant un défi environnemental et financier important, notamment du fait de la taxe générale sur les activités polluantes (TGAP) sur les terres dites « naturellement polluées ».

La SGP vise un taux de valorisation de 70 % des déblais, avec 55 % atteints à ce jour par le réemploi, via des clauses contractuelles. En parallèle, les stipulations environnementales ont évolué, avec un recentrage progressif sur l'empreinte carbone : d'abord via la logistique, avec le recours accru au fluvial et limitation des transports routiers polluants, puis dans la conception même des ouvrages. Désormais, les entreprises doivent produire un bilan carbone dès la conception, et un système de prime à la réduction de l'empreinte carbone a été mis en place.

Concernant la simplification des procédures et les délais, un constat s'impose : la crédibilité de l'action publique passe par sa capacité à livrer des projets dans des délais à l'horizon politique atteignable. Il peut paraître contre-intuitif, par exemple, que le métro parisien ait été construit plus rapidement en 1900 qu'aujourd'hui. C'est pourtant très massivement le cas.

M. Simon Uzenat, président. - Pourriez-vous nous indiquer un ordre de grandeur, ou peut-être un ratio à la centaine de mètres ou au kilomètre ?

M. Frédéric Bredillot. - Le métro de 1900 était réalisé en tranchée ouverte, tandis qu'aujourd'hui, nous construisons à 50 mètres sous terre, avec un impact minimal en surface. Les objets techniques ne sont pas comparables. Pour l'usager, le ressenti reste similaire, mais les délais ont été multipliés par 6 ou 7. Il s'agit d'un enjeu majeur.

Le dispositif introduit par la loi de décembre 2023 sur les Serm nous semble pertinent : il permet de phaser les projets et d'éviter des opérations trop longues, sans bénéfice visible à court terme et plutôt des nuisances. Offrir des avancées progressives améliore l'efficacité et la lisibilité de l'action publique.

La commande publique n'est toutefois pas en tant que telle un facteur de ralentissement des opérations. Certes, les procédures sont longues. Sur les petits marchés, elles peuvent paraître lourdes, d'où notre recours à des centrales d'achat. Mais sur les grands marchés, le droit de la commande publique ne semble pas constituer un facteur majeur de retard.

En revanche, nous attirons votre attention sur un point : le droit de la commande publique ne permet pas de prendre en compte l'historique des entreprises candidates, ni de leurs relations avec le donneur d'ordre. On en comprend la logique et la nécessité d'éviter toute subjectivité dans l'attribution des marchés. Toutefois, la problématique de la sécurité doit être prise en compte. Nous demandons donc à nos titulaires de prendre des engagements formels en ce sens, que nous allons contrôler ensuite. Les entreprises sont plus ou moins vertueuses en la matière. Or, il serait pertinent d'explorer la possibilité d'introduire dans les critères d'attribution des éléments objectifs liés à la performance réelle des entreprises en matière de sécurité. Dans le domaine des marchés de travaux, cet aspect revêt une importance déterminante.

M. Benoît Dupuis. - Cette question rejoint le point évoqué sur les sous-traitants. Les TPE-PME figurent rarement parmi les titulaires, mais se retrouvent en nombre significatif dans les chaînes de sous-traitance, parfois au-delà du second rang. L'une de nos principales frustrations réside dans l'impossibilité, en tant qu'acheteur public, de prendre en compte la performance réelle - et notamment la non-performance - des entreprises candidates lors de l'attribution d'un marché. L'évaluation repose en effet exclusivement sur des éléments documentaires. En revanche, s'agissant des sous-traitants, nous nous autorisons à exercer une appréciation plus précise lors de leur agrément.

Ainsi, lorsqu'un sous-traitant, souvent une PME, ne tient pas compte des observations formulées, notamment en matière de sécurité - qui constitue pour nous une priorité absolue - nous nous réservons la possibilité de refuser son agrément, au moins temporairement, jusqu'à ce qu'il démontre une évolution organisationnelle conforme à nos exigences. Cet accompagnement se fait de manière progressive, avec un effort réel de formation et de dialogue en amont.

Le fait que les TPE-PME interviennent majoritairement comme sous-traitantes plutôt que comme titulaires apparaît économiquement peu satisfaisant, entraînant des marges successives liées à la chaîne de sous-traitance, avec des coefficients de vente, et complexifiant les responsabilités, en particulier sur les sujets de sécurité.

Nous plaidons ainsi pour une évolution du droit permettant aux acheteurs publics, sinon de limiter, du moins d'encadrer plus strictement le recours à la sous-traitance - que ce soit en volume, en rang ou en nombre d'intervenants.

M. Frédéric Bredillot. - La SGP a effectivement été confrontée à des tentatives de fraude, voire à des fraudes avérées, bien que de manière indirecte. Il s'agissait d'escroqueries visant des fournisseurs, dans lesquelles des individus se faisaient passer pour des représentants de la SGP afin de commander des biens facilement monnayables - chèques cadeaux, chèques vacances, téléphones, etc. - livrés à des adresses fictives, sans qu'aucune commande n'ait été passée par nos services.

La SGP, bien qu'elle n'ait pas subi de préjudice financier direct, s'estimant atteinte dans sa réputation, s'est constituée partie civile. L'affaire, prise en charge par les services de la police judiciaire, a permis l'identification d'un groupe d'escrocs actuellement poursuivis.

Cet épisode, qui a mis en lumière des pratiques de livraison pour le moins imprudentes de la part de certains opérateurs, souligne l'importance croissante des risques de fraude, contre lesquels nous restons particulièrement vigilants.

M. Simon Uzenat, président. - Je vous remercie pour vos interventions. Je me permets, en complément, de formuler plusieurs demandes qui pourront faire l'objet de réponses écrites.

Tout d'abord, pourriez-vous nous transmettre des éléments relatifs au nombre moyen de candidats par lot ainsi que l'évolution de ce ratio depuis la création de la SGP ? Cette donnée nous semble essentielle, dans un contexte où l'on observe, tant à l'échelle nationale qu'européenne, une contraction progressive de la concurrence. Avez-vous constaté un phénomène similaire ? Si oui, depuis quand ?

Par ailleurs, proposez-vous systématiquement la possibilité de présenter des variantes dans vos marchés ? Nous souhaiterions également disposer d'une pondération type de vos critères d'attribution - notamment la répartition entre le prix, les aspects techniques, et les exigences environnementales. Cette dernière dimension, en particulier, peut constituer un levier utile pour favoriser l'inclusion de TPE-PME françaises, même dans le cadre de groupements portés par des entreprises européennes.

Nous vous serions également reconnaissants de bien vouloir nous détailler votre politique de relation avec les sous-traitants, qu'elle soit directe ou indirecte. Quels mécanismes avez-vous mis en place pour garantir leur protection administrative, économique et financière ?

Enfin, s'agissant du pilotage par la donnée, pourriez-vous nous préciser l'architecture du système d'information dont vous disposez, son degré de réactivité, et si, à moyen terme, une mise à disposition publique de ces données est envisagée ? Cette transparence, dans un contexte de dépenses publiques significatives, serait évidemment précieuse, tant pour les entreprises que pour les citoyens.

M. Frédéric Bredillot. -Nous partageons pleinement l'exigence de transparence que vous évoquez. À notre connaissance, nous sommes l'un des premiers maîtres d'ouvrage à avoir fait le choix de rendre public, depuis peu, un bilan d'avancement complet de nos opérations présenté à notre conseil de surveillance.

Ce document, d'environ 140 pages, comporte des données détaillées - financières, calendaires, environnementales, économiques - ligne par ligne. Il exclut naturellement les données commercialement sensibles, mais constitue un effort significatif de redevabilité. Nous estimons qu'il s'agit là d'un devoir à l'égard des citoyens, afin de rendre compte, en toute clarté, de l'usage des fonds publics qui nous sont confiés et de l'activité que nous conduisons.

Cette audition a fait l'objet d'une captation vidéo disponible en ligne sur le site du Sénat.

La réunion est close à 19 h 10.