Local authorities and digital: the guide for elected officials and department heads

Le lundi matin, dans une mairie, le numérique ne se voit pas. Il est pourtant partout : dans le logiciel d’état civil qui délivre les actes, dans la messagerie des services, dans la gestion des cantines et des inscriptions scolaires, dans la paie des agents, dans les caméras du centre technique, dans les dossiers d’urbanisme, dans le site internet. Le jour où une attaque informatique bloque tout, la commune découvre à quel point ses services en dépendent.

Le numérique des collectivités territoriales s’est construit par couches successives, au fil des besoins et des offres des éditeurs. Il est rarement piloté comme une politique publique. Ce dossier propose aux élus et aux directions générales une manière de le reprendre en main : savoir ce que l’on a, fixer des priorités pour le mandat, organiser les moyens et rendre compte.

Un paysage singulier

Les collectivités partagent quelques caractéristiques qui rendent leur situation différente de celle d’une entreprise ou d’une administration centrale.

Une grande diversité de métiers. Une commune moyenne exerce des dizaines de métiers différents : état civil, élections, urbanisme, voirie, écoles, petite enfance, action sociale, culture, sports, police municipale, finances, ressources humaines. Chacun a son logiciel, souvent fourni par un éditeur spécialisé. L’ensemble forme un patchwork difficile à faire communiquer.

Des équipes réduites. Beaucoup de communes n’ont pas de service informatique, ou une seule personne qui gère à la fois le matériel, les logiciels, la téléphonie et le site internet. Les compétences rares (sécurité, données, architecture) sont presque toujours absentes.

Des données très sensibles. État civil, situation sociale, santé dans certains services, enfants inscrits à l’école, dossiers fiscaux locaux : une collectivité détient sur ses habitants des informations parmi les plus personnelles qui soient.

Un rythme politique. Les priorités changent avec les mandats ; les systèmes, eux, doivent durer. Un projet lancé en fin de mandat risque d’être abandonné ; une dette technique accumulée pèse sur les équipes suivantes.

Une obligation de continuité et d’égalité. Le service public doit fonctionner pour tous, y compris pour les habitants qui n’utilisent pas le numérique. La dématérialisation ne peut pas devenir une condition d’accès aux droits.

Savoir ce que l’on a

La plupart des collectivités sont incapables de répondre rapidement à quatre questions simples : quelles applications utilisons-nous, qui en est responsable, combien coûtent-elles chaque année, et quelles données contiennent-elles ? Ce n’est pas de la négligence : l’information est dispersée entre les services, les contrats, les factures et la mémoire de quelques personnes.

Un inventaire est pourtant le préalable de toute décision. Il n’a pas besoin d’être parfait. Un tableau qui recense, pour chaque application, le service utilisateur, l’éditeur, le contrat et son échéance, le coût annuel, l’hébergement, les données personnelles traitées et l’existence ou non d’une sauvegarde suffit à révéler l’essentiel : les contrats qui arrivent à échéance sans que personne ne l’ait anticipé, les applications que plus personne n’utilise mais que l’on paie encore, les données sensibles hébergées sans garantie, les doublons.

Cet inventaire sert aussi au registre des traitements exigé par le RGPD, et à la sécurité : on ne protège pas ce que l’on ne connaît pas.

La cybersécurité, risque de continuité

Les collectivités sont devenues des cibles régulières des attaques par rançongiciel. Les autorités nationales de cybersécurité, comme l’ANSSI en France, le signalent depuis plusieurs années. Les conséquences ne sont pas seulement informatiques : état civil à l’arrêt, paie des agents retardée, cantines sans inscriptions, données d’habitants publiées. La reconstruction prend des semaines, parfois des mois.

Pour les élus, la cybersécurité doit être traitée comme un risque de continuité du service public, au même titre qu’une inondation ou une panne d’électricité. Cela suppose quelques décisions qui ne relèvent pas de la technique.

• Les sauvegardes des données essentielles sont faites, conservées hors ligne et testées par une restauration réelle au moins une fois par an
• Les comptes d’administration et les accès à distance sont protégés par une authentification à plusieurs facteurs
• Les postes et serveurs sont mis à jour, et les systèmes hors support sont identifiés et isolés
• Les agents sont sensibilisés, en particulier à l’hameçonnage
• Un plan de continuité dit comment délivrer les services essentiels si le système d’information est indisponible (actes d’état civil, paie, urgences sociales)
• Les contrats avec les prestataires prévoient la notification des incidents et la sécurité des accès
• Un exercice de crise a été mené avec la direction générale et les élus

Le cadre réglementaire se renforce. La directive européenne NIS 2 vise obligatoirement l’administration centrale ; son extension aux collectivités régionales et locales dépend des choix de chaque État dans sa loi de transposition. Quel que soit le résultat, les mesures ci-dessus sont celles que toute collectivité devrait appliquer : elles correspondent aux causes les plus fréquentes des attaques réussies. Notre dossier NIS 2 détaille les obligations pour les organisations concernées, et notre guide sur la règle de sauvegarde 3-2-1-1-0 en décrit le volet le plus décisif.

Des services en ligne qui servent vraiment

Les habitants attendent de pouvoir faire en ligne ce qu’ils font déjà en ligne avec leur banque ou leur fournisseur d’énergie : demander un acte, inscrire un enfant, signaler un problème de voirie, payer la cantine, prendre rendez-vous. Beaucoup de collectivités ont multiplié les formulaires en ligne, parfois sans gain réel : un formulaire qui produit un courriel qu’un agent ressaisit dans son logiciel déplace le travail sans le réduire.

Trois principes distinguent les services utiles. Ils sont reliés aux logiciels métier, pour que la demande arrive directement dans l’outil de l’agent. Ils informent l’usager de l’avancement de sa demande, ce qui réduit les appels et les déplacements. Ils sont conçus à partir des démarches les plus fréquentes, pas des plus faciles à mettre en ligne.

Le choix des premiers services se fait sur des critères simples : volume de demandes, temps passé par les agents, difficulté pour les habitants. Nous avons proposé une méthode dans notre article sur les services municipaux à mettre en ligne en premier. À terme, la cohérence vient d’un point d’entrée unique pour l’habitant, qui masque la diversité des logiciels internes : c’est l’objet du guichet unique numérique.

Un formulaire en ligne qui aboutit à une ressaisie n’a pas dématérialisé une démarche : il a déplacé le travail de l’habitant vers l’agent.

L’inclusion, condition et non option

Une partie de la population n’utilise pas internet, ou mal : personnes âgées, personnes en situation de handicap, personnes en grande précarité, personnes qui maîtrisent mal la langue écrite. Pour ces habitants, la dématérialisation d’une démarche peut signifier la perte d’un droit. La collectivité, proche du terrain, est en première ligne.

Quelques règles s’imposent. Toute démarche en ligne garde une alternative réelle (accueil, téléphone, courrier) qui ne pénalise pas l’usager. Les services en ligne respectent les exigences d’accessibilité, qui s’appliquent aux sites des organismes publics européens depuis la directive de 2016. Des lieux et des personnes accompagnent les habitants dans leurs démarches : médiateurs numériques, agents formés, partenariats avec des associations. Et les textes publiés sont écrits dans une langue claire, compréhensible sans connaître le vocabulaire administratif. Notre dossier sur l’accessibilité numérique développe ces exigences.

Les données : patrimoine et responsabilité

Une collectivité produit des données en permanence : budget, marchés, équipements, voirie, éclairage, collecte des déchets, fréquentation des services, consommation énergétique des bâtiments. Bien gérées, ces données éclairent les décisions : où rénover en priorité, quel service est saturé, quels quartiers sont moins bien desservis. Ouvertes au public, elles nourrissent la transparence et parfois des services créés par d’autres.

Trois responsabilités en découlent. Protéger les données personnelles, avec un délégué à la protection des données (obligatoire pour tout organisme public dans l’Union européenne, et mutualisable), un registre des traitements et des règles d’accès. Gérer les données comme un patrimoine : savoir qui en est responsable, assurer leur qualité, les documenter. Ouvrir ce qui peut l’être, dans les formats et selon les licences prévus par les règles nationales, en commençant par les données les plus demandées. Notre guide sur les API publiques aborde la manière de les rendre réutilisables durablement.

Acheter sans s’enfermer

La plupart des logiciels d’une collectivité sont achetés à des éditeurs spécialisés, dans des marchés publics souvent renouvelés par habitude. Plusieurs risques reviennent : dépendance à un éditeur unique pour un métier critique, formats de données propriétaires, coûts de sortie prohibitifs, hébergement sans garanties, absence d’interfaces pour relier les logiciels entre eux.

Les réponses relèvent de la rédaction des marchés : exiger la restitution des données dans un format ouvert et documenté, des interfaces de programmation pour les échanges, des engagements de sécurité et de notification des incidents, une clause de réversibilité chiffrée. Anticiper les renouvellements, en commençant le travail un an ou deux avant l’échéance, permet de comparer réellement les solutions. Notre méthode pour conduire un benchmark sans parti pris et notre comparatif des solutions de GED pour collectivités illustrent la démarche.

Mutualiser pour accéder aux compétences

Aucune petite ou moyenne collectivité ne peut recruter à elle seule un responsable de la sécurité, un architecte, un spécialiste des données et un juriste du numérique. Ensemble, elles le peuvent. La mutualisation prend plusieurs formes : service commun au sein d’une intercommunalité, syndicat mixte informatique, centre de gestion qui propose un délégué à la protection des données partagé, groupement de commandes pour acheter ensemble un logiciel, plateforme régionale de services.

Elle a ses exigences : une gouvernance claire entre les membres, des règles de répartition des coûts acceptées, des niveaux de service définis. Mais elle est souvent la seule manière d’atteindre un niveau de sécurité et de qualité de service correct. Pour un élu, adhérer à une structure de mutualisation existante est parfois la décision numérique la plus importante du mandat.

Former les agents, et les élus

Les agents des collectivités utilisent chaque jour des outils numériques, souvent sans formation au-delà de la prise en main initiale. Les conséquences se voient partout : fonctions des logiciels métier inexploitées, documents mal structurés, pratiques de sécurité approximatives, contournements par des outils personnels. La formation est l’un des investissements les plus rentables, et l’un des premiers sacrifiés quand le budget se resserre.

Un plan de formation réaliste distingue trois besoins. Un socle pour tous les agents : sécurité (mots de passe, hameçonnage, signalement des incidents), protection des données personnelles, production de documents accessibles. Une formation métier approfondie sur les logiciels de chaque service, organisée avec les éditeurs et renouvelée lors des changements de version. Et, pour l’encadrement, une formation à la conduite de projets numériques et au pilotage des prestataires.

Les élus ne sont pas en reste. Une courte formation en début de mandat sur les risques numériques, les responsabilités de la collectivité en matière de données et les arbitrages budgétaires du numérique change la qualité des débats en assemblée et en commission. Les associations d’élus et les structures de mutualisation en proposent souvent.

Un numérique sobre

Le numérique a une empreinte environnementale, en grande partie liée à la fabrication des équipements. Pour une collectivité, la sobriété passe d’abord par l’allongement de la durée de vie des matériels (ordinateurs, téléphones, écrans), le réemploi et le reconditionnement, l’achat d’équipements réparables, et la mutualisation des serveurs. Elle passe aussi par la conception des services : un site léger, rapide et accessible consomme moins de ressources et sert mieux les habitants équipés de matériels anciens ou de connexions lentes. Sobriété, inclusion et maîtrise des coûts vont ici dans le même sens.

Organiser le pilotage

Le numérique d’une collectivité a besoin d’un pilote identifié : un directeur ou un responsable du numérique, rattaché à la direction générale, et un élu référent qui porte les arbitrages politiques. Leur rôle n’est pas de tout faire, mais de tenir une feuille de route, de faire les arbitrages entre services, de suivre le budget et de rendre compte.

Un mandat en trois temps

Une manière pratique d’organiser l’effort consiste à le caler sur le calendrier du mandat.

• Première annéeinventaire, sécurité de base, formation des élus, feuille de route
• Années deux à quatreservices en ligne prioritaires, renouvellement des marchés clés, mutualisation, données
• Fin de mandatconsolidation, documentation, bilan public, transmission

La première année est celle du diagnostic et des fondamentaux : inventaire, mesures de sécurité de base, plan de continuité, formation courte des élus et de l’encadrement, feuille de route votée avec un budget pluriannuel distinguant investissement et fonctionnement.

Le cœur du mandat est celui des projets : services en ligne reliés aux logiciels métier, renouvellement des marchés en exigeant interopérabilité et réversibilité, adhésion ou renforcement de la mutualisation, premières données ouvertes et tableaux de pilotage.

La fin de mandat est celle de la consolidation : documenter ce qui a été fait, publier un bilan, éviter de lancer des projets lourds que l’équipe suivante devra porter sans les avoir choisis. Un numérique bien tenu est l’un des héritages les plus utiles qu’une équipe puisse laisser.

Rendre compte aux habitants

Le numérique d’une collectivité est financé par l’argent public et traite des données des habitants. Il gagne à être rendu visible. Un bilan annuel simple, présenté en assemblée et publié, peut indiquer les services mis en ligne et leur usage, les délais de traitement, les incidents de sécurité significatifs et leurs suites, les principaux contrats et leur coût, et les actions d’accompagnement des habitants. La publication des déclarations d’accessibilité, du registre des traitements de données, ou au moins de sa synthèse, et des données ouvertes participe de la même transparence.

Cette exigence de transparence n’est pas qu’une obligation : elle discipline le pilotage. Une collectivité qui sait qu’elle devra présenter ses indicateurs chaque année les suit avec plus d’attention.

Les indicateurs à suivre

Quelques indicateurs suffisent pour piloter et rendre compte : part des démarches les plus fréquentes réalisables en ligne de bout en bout ; délai moyen de traitement de ces démarches ; date du dernier test de restauration des sauvegardes ; part des comptes sensibles protégés par une authentification renforcée ; part des agents sensibilisés à la sécurité ; part des contrats comportant une clause de réversibilité ; nombre d’habitants accompagnés dans leurs démarches. Ils parlent aux élus parce qu’ils décrivent le service rendu et les risques, pas la technique.

Pour un diagnostic de la situation numérique de votre collectivité, ou l’accompagnement d’une feuille de route de mandat, voir notre expertise guichet unique et notre programme État civil, centré sur le service le plus fondamental qu’une commune rend à ses habitants.

Questions fréquentes

Par quoi une petite commune doit-elle commencer ?

Par les fondamentaux de sécurité (sauvegardes hors ligne testées, mises à jour, authentification renforcée des comptes sensibles), par l'inventaire de ses applications et contrats, et par l'adhésion à une structure de mutualisation si elle existe. Les services en ligne viennent ensuite, en commençant par les démarches les plus fréquentes.

Les collectivités doivent-elles avoir un délégué à la protection des données ?

Dans l'Union européenne, oui : le RGPD impose la désignation d'un délégué à la protection des données à tout organisme public. Il peut être mutualisé entre plusieurs collectivités, ce qui est fréquent pour les petites communes.

Comment financer le numérique d'une collectivité ?

En distinguant l'investissement (projets, équipements) du fonctionnement (licences, hébergement, maintenance, personnel), ce dernier étant souvent sous-estimé. Les financements nationaux et européens couvrent surtout l'investissement ; le fonctionnement doit être prévu dans le budget courant, sur plusieurs années.

Un élu doit-il comprendre la technique ?

Non, mais il doit comprendre les risques et les arbitrages : ce qui se passe si les systèmes s'arrêtent, quelles données sont détenues sur les habitants, quelles dépendances envers les fournisseurs, quel coût sur la durée. Une courte formation sur ces sujets en début de mandat est l'un des investissements les plus utiles.