Appel d’offres dans le secteur public : tout écrire… Tout détailler

Rédaction

En 2007, le Groupement d’intérêt public – Carte professionnel de santé, qui a pour mission de promouvoir la sécurité des échanges électroniques dans le secteur de la santé, a lancé un appel d’offres pour l’hébergement et l’exploitation de son système d’information pendant trois ans. Avec des bonnes pratiques pour éviter les mauvaises surprises. Témoignage de Michel Paillet, responsable du pôle exploitation et administration du GIP-CPS.

« A la différence du secteur privé, dans le secteur public, ce qui est indiqué dans le CCTP (Cahier des clauses techniques particulières) et dans le CCAP (Cahier des clauses administratives particulières) vaut acceptation par le prestataire. On ne signe pas de contrat ultérieurement avec le prestataire. Il faut donc détailler au maximum. Dans le cadre de l’attribution d’un marché, j’ai donc élaboré un CCTP de près de 200 pages décrivant notamment l’architecture, toutes les applications et à quoi elles servent. Il faut y passer du temps, qui sera de toute façon gagné par la suite. Avantages : nous jouons la transparence et le prestataire a une vision exacte du périmètre qu’il aura à gérer. Il importe d’être exhaustif sur le nombre de machines et d’applications. Dans le secteur privé, l’une des clauses que l’on retrouve quasiment systématiquement dans les contrats est la suivante : « Sous réserve d’audit après acceptation du contrat ».

Cette clause, écrite en petits caractères en bas de page, autorise des révisions de prix par le prestataire si tout n’a pas été prévu en amont. Autant anticiper pour éviter les mauvaises surprises ! Plus on est précis, plus les prestataires comprennent ce qu’ils ont à faire et plus la compétition entre eux sera rude.

Second point d’action : raisonner en unités d’œuvre qui sont utiles pour tout, et sur toute la durée du contrat. J’en ai établi pas moins de 150, construites sur l’expérience des trois années précédentes d’infogérance.

Une clause de benchmarking doit être insérée dans tous les contrats, même si il est parfois difficile de trouver une société concurrente qui accepte de réaliser cette opération sans obtenir le marché. La clause de benchmarking doit être complétée par une clause de révision annuelle du prix.

Sinon, le niveau de facturation a tendance à augmenter alors que l’on s’attend plutôt à l’inverse en recourant à infogérance ! J’ai intégré un indicateur qui permet d’inciter le prestataire à faire des efforts de productivité : les sommes économisées sont redistribuées à parts égales.

Ce point est évidemment détaillé dans l’appel d’offres. De même, le niveau des performances doit être lié à des pénalités : lorsqu’une telle disposition est intégrée dans un appel d’offres public, elle devient contractuelle et non négociable ! Les indicateurs de performances sont regroupés par catégories et pondérés.

Et je dispose d’un indicateur global de qualité de la prestation, qui doit être supérieur à 95 %, cet indicateur étant susceptible d’être modifié au fil de la prestation pour gagner en « qualité ». D’une manière générale, le calcul de certains indicateurs doit pouvoir être modifié ainsi que les seuils à atteindre si les valeurs ne sont pas pertinentes. Avoir un indicateur en permanence à 100 % peut ne pas être systématiquement pertinent.

Souvent, le fournisseur explique que ce type d’indicateurs fait partie de son plan d’assurance qualité interne. Certes, mais ce plan arrive après la signature du contrat et ce n’est pas contractuel ! Il faut absolument inclure cet élément dans la négociation commerciale avec des pénalités plafonnées.

Autre précaution utile : auditer le site du fournisseur, une fois par an, ne serait-ce que pour vérifier qu’il fait ce qu’il a écrit et que les règles de sécurité, les procédures de mise en exploitation sont correctement appliquées. Là encore, cet audit doit être prévu dans l’appel d’offres, avec, par exemple, des dispositions qui prévoient de lier des anomalies critiques à des pénalités ; par exemple si trois anomalies critiques par le fait du prestataire sont constatées, la facture mensuelle sera réduite de x %, à charge pour lui de les corriger à ses frais. »

Exemples d’indicateurs pour un tableau de bord d’exploitation

  • Nombre d’incidents signalés par gravité (mineurs, moyens, majeurs) ;
  • durée moyenne de l’attente téléphonique si des incidents ont été ouverts par cette méthode ;
  • taux de réactivité de la supervision ;
  • temps moyens de rétablissement du service, classés par gravité, écart et pourcentage d’incidents pris en compte dans les délais et hors délais ;
  • nombre d’arrêts programmés ;
  • taux de disponibilité de chaque plate-forme, hors arrêts programmés et taux moyen du parc de production ;
  • nombre des sauvegardes réalisées par plate-forme, date, durée, type de sauvegarde, et durée moyenne ;
  • temps moyen d’accès à la page d’accueil de chaque application Web (temps moyen calculé sur au moins 10 mesures journalières) ;
  • temps moyen de réponse des applications basé sur des requêtes « étalon » (calculé sur un minimum de 10 transactions de référence) ;
  • nombre d’erreurs au niveau de l’exécution des traitements batch, et taux de réussite des traitements batch ;
  • nombre maximal d’utilisateurs simultanés dans chaque instance de la base de données.

Quelques exemples de clauses à utiliser dans les appels d’offres

LA SECURITÉ

  • Le prestataire devra fournir au début de chaque trimestre les calendriers des maintenances préventives (matérielles et logicielles) en indiquant les résultats dans un rapport trimestriel.
  • Pour chaque incident, une fiche détaillant les caractéristiques de l’incident, les impacts de l’incident, les causes et la solution mise en œuvre pour résoudre de manière définitive celui-ci doit être systématiquement fournie sous vingt-quatre heures pour les incidents critiques et majeurs.
  • Dans le cas d’un dysfonctionnement ou d’un incident sécurité provoquant un arrêt de service supérieur à 2 heures ayant un impact majeur sur les clients ou partenaires, une cellule de crise devra être mise en place.
  • Certains serveurs sont des machines ayant un haut niveau de sensibilité. Il est demandé à ce que ces serveurs soient hébergés dans des lieux adéquats (bunkers à accès très restreints ayant une authentification forte accompagnée d’une traçabilité et d’une vidéosurveillance permanente…).
  • Toute réapparition d’un incident ayant déjà eu lieu dans un contexte technique équivalent sera décompté dans l’indicateur de la qualité de l’analyse des dysfonctionnements avec un coefficient pondérateur qui prendra en compte le délai écoulé entre l’apparition de la première occurrence et de la suivante ainsi que le nombre d’occurrences survenues.
  • Le prestataire informe régulièrement de tout événement ou circonstance susceptible d’affecter le contenu, la continuité, la sécurité, la qualité ou le coût du service dès qu’il en a connaissance.

LE PILOTAGE

  • Le prestataire fournira une semaine avant toute mise en production d’une nouvelle application ou d’une mise à jour du système d’exploitation ou d’une base de données le détail complet de l’opération de mise en production avec le minutage associé.
  • Pour chaque mise en production d’un applicatif ou d’une mise à niveau importante, il est systématiquement demandé de fournir le mode opératoire minuté du retour arrière en cas d’opération de mise en production infructueuse.
  • Le titulaire du marché devra fournir en standard dans la prestation et sans coût additionnel les outils suivants, disponibles 24 heures sur 24 : un extranet (gestion des incidents d’exploitation et de sécurité, des demandes de changement, suivi des projets en cours), un outil de suivi en temps réel de l’utilisation des ressources matérielles (mémoire, CPU, pourcentage d’utilisation disque, ratio des entrées/sorties…) sur l’ensemble des machines de production et de secours, ainsi qu’un outil de gestion pour intégrer tous les dossiers de mise en production des applications, les fiches descriptives des différents équipements avec l’ensemble de leurs composants.

LA RÉVERSIBILITÉ

  • Dans un but de réversibilité, le prestataire devra de manière systématique utiliser les standards du marché pour les outils mis à disposition de son client, afin d’en faciliter l’utilisation ultérieure.
  • La prestation de réversibilité ne pourra pas être sous-traitée et s’applique à toutes les prestations du présent marché. La phase de réversibilité doit durer six mois au maximum. Le prestataire a une obligation de respecter des échéances.
  • Les prestations attendues lors de la phase de réversibilité portent sur l’organisation et la coordination des actions de l’ensemble des participants du marché, le suivi d’avancement du projet et sur la méthodologie de réalisation, d’intégration, de validation et de cohérence des résultats des différentes étapes, la formation du personnel du repreneur à l’ensemble des connaissances et modes opératoires, l’accompagnement du repreneur pour le familiariser avec les prestations attendues, la prise en charge des incidents survenant durant la phase de réversibilité.

LA GOUVERNANCE

  • Le prestataire, en tant que professionnel de l’infogérance, devra s’engager à assumer les objectifs suivants : mettre à disposition les ressources nécessaires à l’exploitation du système d’information, diminuer les coûts d’exploitation à périmètre constant, homogénéiser le parc des matériels et des progiciels utilisés, optimiser les temps de réalisation des traitements différés et les temps de réponse des applications hébergées, fournir un taux de disponibilité maximal des systèmes hébergés et un nombre de dysfonctionnements minimal, et sécuriser le systèmes d’information.
  • La réduction des coûts d’exploitation sur le périmètre confié au prestataire sera imputée à hauteur de 50 % sur la facturation mensuelle du périmètre concerné.
  • Le calcul des pénalités est effectué en fonction des indicateurs mensuels n’ayant pas atteint les minima imposés. Pour chacun d’entre eux, un coefficient de pondération est appliqué pour aboutir à la formule du calcul global, sachant que le montant total des pénalités mensuelles ne peut pas représenter plus de 50 % du montant mensuel des prestations forfaitaires. Le calcul des pénalités mensuelles est effectué à la fin de chaque trimestre calendaire et décompté de la facture mensuelle suivante. Il se base sur un indicateur de la qualité globale de la prestation (QGP).
  • Le devoir de conseil de la part du titulaire doit s’exercer sans sollicitation particulière. De même, la prévention des risques est incluse dans les prestations et doit faire l’objet d’une information et d’actions systématiques à l’initiative du prestataire.