Le siège de la Cnam (Caisse nationale d'assurance maladie) ou Cnam EP pour établissement public pilote la gestion de l'assurance maladie, tout en pesant finalement peu dans le dispositif global : environ 2 500 agents sur un total de 62 000 ; des charges de fonctionnement inférieures à 2,2 Md€ à comparer aux 248,8 Md€ de dépenses d'assurance maladie en 2022. Assez logiquement, une large part de l'activité de cet établissement public central est dévolue à la construction et à la gestion des systèmes d'information. Ainsi, la direction déléguée des systèmes d'information (DDSI) emploie à elle seule 41 % de l'effectif du siège et représente 300 M€ de dépense externe (selon le prévisionnel de décembre 2022), sur un total de 528 M€.

En 2022, le budget systèmes d'information de la Cnam représentait 516,5 M€, soit 75% des autorisations d'engagement (AE) de l'établissement.

L'analyse du fonctionnement de cet établissement central dans l'assurance maladie par la Cour des comptes se traduit par un satisfecit global, notamment en termes d'efficacité des achats. Les sages relèvent que le nombre de marchés ayant connu des contentieux ou des dépassements budgétaires reste sous la barre des 1% sur les nombreux contrats passés chaque année (en moyenne plus de 170 par an sur la période 2018-2022). La Cour des comptes pointe tout juste les risques que fait peser la coordination inhérente à la complexité de l'organisation mise en place pour la gestion des achats et des marchés, notamment la coexistence de trois pôles d'achats. Risque qui s'est « concrétisé en quelques occasions, en particulier pour les marchés à forte composante informatique ».

Deux prestataires tiennent la boutique

Mais la principale critique de la Cour, concernant l'informatique de la Cnam, ne réside pas dans l'efficacité de la fonction achats mais plutôt dans la dépendance vis-à-vis de quelques prestataires « dans les deux domaines cruciaux que sont, d'une part, la maîtrise d'ouvrage et la maîtrise d'oeuvre informatiques, d'autre part, le conseil stratégique ». Ainsi, sur la période 2012 à 2022, les cinq plus gros fournisseurs de prestations intellectuelles - presque à 100% dans le domaine de l'informatique - ont représenté, via différents marchés, sous-traitants inclus, un total de commandes de 877 M€. Et le premier de ces fournisseurs a réalisé à lui seul plus de 80% de ce total ! « Le deuxième fournisseur a un poids financier moindre mais intervient sur des sujets stratégiques », souligne le rapport de la Cour des comptes. Ces deux fournisseurs ne sont pas identifiés, mais une analyse menée en 2018 par un expert mandaté par le CE de la Cnam pointait le rôle prépondérant des ESN Sopra Steria et Atos dans tous les projets clefs.

Sur une période de 10 ans, le principal prestataire informatique de la Cnam s'est adjugé 81% des dépenses de prestations intellectuelles allant au top 5 des fournisseurs de l'établissement.

Pour les Sages de la rue Cambon, ce risque de dépendance s'est notamment matérialisé sur le marché Sophia-Prado, une application d'accompagnement pour les personnes atteintes de maladies chroniques et celles revenant à leur domicile après hospitalisation, dont le démarrage a été chaotique (retards, rupture de service, cyberattaque). « Le protocole transactionnel a été signé au détriment de la Cnam - les dédommagements versés au prestataire (le principal fournisseur de la Cnam, NDLR) pour l'évolution du cahier des charges surcompensant les pénalités de retard qui lui ont été opposées - alors que la société avait reconnu elle-même avoir des difficultés à remplir ses obligations contractuelles », soulignent les auteurs du rapport. Autrement dit, malgré les errements du prestataire, c'est la Cnam qui a fini par lui accorder une rallonge (d'environ 2,6 M€).

Un goût pour les procédures sans publicité ni mise en concurrence

Ce poids pris par quelques fournisseurs crée une situation de dépendance, selon la Cour. Et une rupture de concurrence ? En tout cas, la rue Cambon explique que « la parfaite connaissance du fonctionnement et des attentes de l'établissement public par les deux prestataires dominants peut constituer une entrave à l'entrée d'un nouveau concurrent sur les marchés proposés par la Cnam. » Et de donner l'exemple d'un marché subséquent relatif à l'Espace numérique en santé et au bouquet de services aux professionnels de santé, un appel d'offres qui n'a reçu que deux réponses, « sans que la Cnam s'interroge sur les raisons de cette faible concurrence ».

La faiblesse de la concurrence sur les marchés IT de l'établissement est renforcée par le recours fréquent de ce dernier à des procédures de marchés sans publicité ni mise en concurrence préalables, via la mise en avant de l'existence de droits d'exclusivité. Un argument notamment avancé pour justifier la reconduction du marché Osmose, solution nationale de diffusion multicanal de messages à destination des assurés, professionnels de la santé et employeurs. Pour la Cour des comptes, la Cnam gagnerait à élaborer une doctrine partagée par tous ses acheteurs sur la notion d'exclusivité, « sur la base de la jurisprudence établie par le Conseil d'État ». Façon de dire qu'actuellement, on n'y est pas.

Les projets phares massivement externalisés

Signalons que cette dépendance aux prestataires - et donc par voie de conséquence une certaine perte de maîtrise des équipes internes sur les systèmes d'information - a déjà été pointée par les organisations syndicales. Fin 2020, la CGT faisait état d'un taux d'externalisation supérieur à 53% sur les principaux projets de la DDSI, avec une perte de maîtrise sur deux domaines clefs (les refontes des applications Matis, Arpège et Atempo et le domaine dit informationnel). « Alors que les maintenances applicatives sont portées à équité entre la DDSI et les sous-traitants, les projets phares tels que les refontes applicatives, les projets prioritaires et les projets vitrines tels que le digital sont très majoritairement externalisés », mentionne ainsi un compte-rendu de la commission informatique, publié par la CGT. Et ce document d'ajouter : « La société Sopra Steria est en situation de monopole sur deux marchés avec un chiffre d'affaires de 314 M€ possible sur 6 ans, soit 52 millions d'euros par an. »

Un objectif de réinternalisation

Ce recours massif à des prestataires alourdit par ailleurs la facture des projets. La Cnam elle-même évalue le prix d'une intervention journalière d'un consultant dans une fourchette comprise entre 650 € et 1 000 €, en fonction de sa séniorité - « les entreprises ont évidemment intérêt à proposer des consultants expérimentés », raille la Cour des comptes. Contre un coût estimé à 430 € par jour en interne.

Le bilan social de la Cnam en 2021 montre que plus de 2400 prestataires avaient alors accès à ses locaux.

Et la rue Cambon de plaider pour un examen en profondeur de l'équilibre entre prestations et ressources internes. Dans le rapport des Sages, la Cnam indique que le recours aux prestations intellectuelles concerne environ la moitié de la charge des projets réalisés, avec un niveau plus élevé dans la fabrication de solutions (57 % en 2022). Dans sa nouvelle convention d'objectifs et de gestion conclue avec l'État pour la période 2023-2027, la Cnam a pris un objectif de réinternalisation des projets de système d'information. Et s'est dotée d'indicateurs limitants le recours à la sous-traitance : rester sous les 20 % de la charge en assistance à maîtrise d'ouvrage et sous les 50 % en assistance à maîtrise d'oeuvre.

En complément :
- La Cnam recrute 430 informaticiens à Paris et en régions