Entretien Axel Jacquet, DSI de la fondation des Apprentis d'Auteuil : « RGPD

La fondation des Apprentis d'Auteuil est d'une taille importante (voir encadré). Comment s'insère la DSI dans son organisation ?

AJ : La DSI est rattachée, comme toutes les fonctions régaliennes (finances, juridique, achats, immobilier...), au secrétariat général. L'actuel secrétaire général est l'ancien CFO du groupe Lacoste. Nous avons le périmètre classique d'une DSI avec une petite nuance sur le parc pédagogique. Certains enfants sont hébergés, d'autres seulement élèves, d'autres les deux : le parc pédagogique est à leur disposition. Il existe, selon les établissements, deux cas : soit sous la responsabilité de la DSI, soit sous celle d'un référent numérique local. Notre DSI est centralisée, car les établissements ont une faible autonomie tout en étant très demandeurs de soutien. Dans les métiers socio-éducatifs, nous avons des experts de leur domaine mais qui sont ravis de laisser gérer l'IT par la DSI. Beaucoup viennent de structures plus petites où ils devaient s'occuper de tout et ils se rendent bien compte du confort qu'amène une DSI structurée.

Comment se caractérise votre système d'information lui-même ?

AJ : Il est assez classique pour l'essentiel. Nous avons un mix de on premise, de SaaS, de spécifiques... avec l'ETL Talend pour gérer environ 120 flux inter-applicatifs. Nos serveurs on premise sont tous virtualisés à 100 %. Autant que possible, nous optons pour des solutions du marché : Cegid XRP Ultimate (ex-Qualiac), HR Access, Cornerstone (développement RH), Salesforce (gestion des mécènes)... Par contre, pour le SI « cœur de métier », nous avons affaire à une série de marchés de niches, avec de petits acteurs français à chaque fois car dans chaque pays la réglementation et les pratiques sont très locales. Il n'y a pas d'équivalent à SAP pour le socio-éducatif ! En plus, notre fondation a un champ d'action très vaste : scolaire, protection de l'enfance, insertion, petite enfance (crèches à vocation sociale...), foyers de jeunes travailleurs (FJT)... Pour la gestion des FJT, il existe trois ou quatre solutions sur le marché d'éditeurs de petite taille, certains étant même des sociétés unipersonnelles ! Sécurité, pérennité ou RGPD, nos exigences sont un peu en décalage avec la faible maturité du marché ! Pourtant, récemment, l'incendie d'OVH a rappelé qu'un datacenter peut brûler ! Nous avons des exigences notamment en termes de redondance incompatibles avec les pratiques de tout petits éditeurs qui ont souvent des sauvegardes sur le même site ! Parfois, respecter nos demandes est une vraie difficulté pour les petits éditeurs mais il leur faut faire avec. Ces acteurs sont bien conscients que nous les tirons vers le haut. Dans la protection de l'enfance, nous sommes exceptionnels avec nos 80 établissements et 5000 jeunes. Nous allons contractualiser avec un éditeur dont nous serons le principal client. Le contrat inclut des clauses de révision de sa sécurité. L'éditeur est très motivé par notre référence, et il sent que nous l'amenons à s'améliorer. De plus en plus, nous optons pour de l'hébergé mais les exigences des hébergeurs sont parfois inférieures aux nôtres.

Pourquoi, dans ce genre de cas, n’optez-vous pas pour du on premise ?

**AJ : En 2017, avec Jaguar Network, nous avons créé deux datacenters redondés au niveau de toutes les couches avec de très hautes exigences. Mais toutes les solutions ne sont pas disponibles on premise ! En effet, gérer un double modèle hébergé/on premise est complexe pour l'éditeur. Cegid veut aller vers du SaaS mais est conscient que le double modèle est, selon lui, obligatoire pour encore plusieurs années, car ses grands clients ont une architecture où domine le on premise avec des personnalisations. C'est la même chose que SAP, PeopleSoft ou Oracle E-Business Suite : les nouveaux clients optent pour le cloud, les anciens se convertissent peu. Pour les petits acteurs, la dualité est difficile à assurer. Nous sommes obligés de faire avec, mais avoir des exigences élevées amène une vraie logique gagnant-gagnant. Notre intérêt est la pérennité, la sécurité... ce qui est aussi le cas de l'éditeur qui, a priori, tient à survivre. Par exemple, nous exigeons de tous nos fournisseurs qu'ils disposent d'une cyberassurance alors que c'est encore rare chez les éditeurs. Parfois, nous leur accordons un délai de mise en place.

Côté bureautique, quels sont vos choix ?

AJ : Nous avons opté pour l'offre Office 365 en 2015 pour la messagerie et le collaboratif plus un Office on premise avec licence perpétuelle pour la bureautique, notamment grâce à la politique généreuse de Microsoft vis-à-vis du secteur socio-éducatif. L'informatique arrive de plus en plus dans le cœur de nos métiers. Cela implique de devoir accroître l'équipement de nos équipes. En 2016, il y avait 2700 PC. En 2021, nous en sommes à 4000. Le parc informatique croît plus vite que nos effectifs. Les modalités d'accueils évoluent. Avant, nous avions de grands internats et les équipes se voyaient tout le temps. Maintenant, la tendance est au logement diffus, avec des appartements dispersés en ville. Du coup, les équipes se croisent moins. Et, de ce fait, elles doivent recourir beaucoup plus au collaboratif, à la dématérialisation, à des workflows (par exemple pour les congés payés), à des dossiers enfants dématérialisés... Et nous sommes dans un secteur où l'informatique est souvent vécue comme une contrainte empêchant d'être avec le jeune. Evidemment, il y a de très gros enjeux RGPD sur des dossiers de placements judiciaires qui comportent des données médicales et sociales parfois lourdes. Des solutions avec des GED intégrées vont permettre de mieux garantir nos obligations RGPD que des fichiers stockés sur un serveur.**

Comment avez-vous abordé le RGPD, justement ?

AJ : Le RGPD nous aide ! C'est une véritable opportunité qui pousse à mieux s'outiller, à mieux se structurer et... à purger les données ! Pour réduire le stockage, c'est une solution parfaite. Avant, on gardait tout en se disant que ça pourrait peut-être servir. Personne ne voulait être celui qui a fait détruire quelque chose qui aurait été utile. Là, le RGPD impose un nettoyage selon des règles précises. Il impose de fixer des durées de conservation. Finies les innombrables copies de secours ! RGPD et green-IT vont bien ensemble de ce point de vue.

Comment avez-vous traité la crise sanitaire avec ses obligations de confinement ?

AJ : Notre cœur d'activité ne peut pas s'arrêter : l'accueil est nécessairement 365 jours par an, sept jours sur sept, vingt-quatre heures par jour. Les actualités télévisées ont beaucoup parlé des EHPAD mais pas du tout des 120 000 jeunes protégés en France, avec en moyenne un salarié par jeune. L'activité scolaire s'est poursuivie mais à distance : les enseignants, qui fréquentaient peu les espaces numériques de travail (ENT), s'y sont mis brutalement et rapidement. Ce sont systématiquement des SaaS (Ecole directe de Charlemagne, notamment) et il y a eu des problèmes de saturation les premiers jours, mais l'éditeur a très vite adapté ses infrastructures. Pour nous, en interne, la crise s'est bien passée car nos infrastructures sont scalables, notamment notre VPN open source. Et nous avons pu doubler les débits sortants de nos datacenters avec Jaguar Network en vingt-quatre heures. Parfois, nous avons dû recourir à des solutions originales. Il n'y avait plus de portables sur le marché, alors les comptables ont emporté leur PC fixe chez eux. Office 365 et Teams ont été des facteurs de facilitation de la mutation. Il a fallu parfois faire quelques rappels. Par exemple qu'il n'était pas nécessaire d'utiliser le VPN et d'en consommer la bande passante pour faire du Teams. Mais, globalement, ça s'est bien passé. Les fonctions RH ont été bien plus impactées que la DSI pour faire des attestations, s'adapter à un contexte réglementaire mouvant... Notre vraie pandémie à nous, DSI, ce sont les cyberattaques ! Les équipes gérant l'infrastructure opèrent depuis la Seine-et-Marne pour gérer des datacenters à Marseille. Faire tout de chez eux ne change donc rien. La crise a mis la DSI sous les feux de la rampe. Tous les métiers ont pris conscience de l'importance de l'IT. Il faut se rendre compte qu'assurer une telle continuité d'activité durant des confinements aurait été irréalisable il y a vingt ans. C'est le numérique qui l’a rendue possible.

Quels sont vos enjeux actuels ?

**AJ : Avant tout, faire face à une demande accrue de numérique. La crise sanitaire a été révélatrice du besoin de numérique tant pour s'occuper des jeunes que pour les jeunes eux-mêmes. Des enfants ne savaient pas faire plein de choses : utiliser Word, imprimer, déposer un fichier sur un drive... Chez moi, mon épouse et moi avons accompagnés nos enfants. Mais, dans d'autres foyers... Il y a une vraie fracture numérique chez les enfants et les enseignants. Pour 40 jeunes, il y avait avant trois ou quatre PC en libre-service. C'est aujourd'hui nettement insuffisant pour la continuité d'activité. Nous avons créé des postes d'accompagnateurs numériques, acheté des équipements (600 tablettes pour les bénéficiaires de dispositifs d'insertion par exemple). Notre support informatique croule sous les demandes. Nous avons dû accroître leur effectif de 50 % ! Le support, ce sont les infirmiers de l'informatique : les techniciens sont à la croisée de toutes les demandes, au contact des « patients » utilisateurs, toujours dans l'urgence avec des demandes fortes. Le haut débit, c'est tout de suite !

En 2019, par chance, nous avions lancé un appel d'offres télécoms. A la place d'Orange, nous avons choisi Waycom pour installer du haut-débit partout, autant que possible de la fibre (nous avons triplé le nombre de sites fibrés), du cuivre sinon. Nous avons 300 points de présence télécom, souvent périurbains ou ruraux, et le déploiement de la nouvelle infrastructure est en cours d'achèvement. Sur nos sites, nous avons choisi plutôt du FTTH de préférence au FTTO pour des questions de coût, en sacrifiant la rapidité de rétablissement en cas d'incident, sauf pour les sites stratégiques bien entendu. Mais cette évolution a amené une très forte croissance de la satisfaction utilisateurs. Depuis 2018, nous avons amorcé la couverture WiFi des sites. Actuellement, nous avons 400 bornes, à termes 2500. Là aussi, la crise a été une opportunité car l'équipement local est dans le budget de l'établissement. Avant, le dialogue était compliqué : installer le WiFi pouvait être sacrifié pour des travaux d'entretien ou d'aménagement tels que repeindre des chambres ou aménager un terrain de basket. Aujourd'hui, ce n'est plus le cas.**

Quels sont les projets en cours ?

AJ : Outre les télécoms, nous avons en chantier le remplacement de l'application gérant la protection de l'enfance. Nous migrons d'un spécifique qui accuse bien son âge à un SaaS qui permet un accès en mobilité. Notre SI, orienté administratif, est en train d'être transformé en un SI de tous les collaborateurs, avec 7000 utilisateurs au lieu de 1000. A terme, nous voulons un SI ouvert aux jeunes et aux familles pour consulter leur dossier, utiliser un agenda lié à celui de leur établissement ou parcourir l'agenda d'un éducateur. L'idée est d'associer les jeunes et les familles au suivi et aux décisions qui les concernent, décliner dans le SI le principe du « penser et agir ensemble » qui prévaut dans nos actions pédagogiques. Ça ne se fera pas en un an, même si la crise sanitaire a permis d'accélérer. Notre fondation est en cours de réécriture de son projet stratégique pour la période 2022-2027. Les enjeux du numérique vont y être essentiels, y compris pour les sensibiliser aux risques (cybersécurité, cyberharcèlement...). Nous sommes le FAI de nos jeunes : nous avons donc des obligations de journalisation et de filtrage mais nous devons aussi aller plus loin. Et, bien entendu, c'est un poncif mais la cybersécurité est évidemment un enjeu majeur et permanent. Nous avons des problèmes de grands mais des moyens limités. Nous utilisons les services d'un RSSI en temps partagé pour nous aider. Nous avons deux axes sur ce sujet : protéger et préparer. Protéger, c'est avant tout la mise en œuvre des bonnes pratiques (audits, patching...). Préparer, c'est pouvoir faire face en cas de cybercrise. La question n'est en effet pas de savoir s'il y aura une cybercrise mais quand elle aura lieu. Il nous faut apprendre à réagir. Nous menons donc des exercices de cybercrise et avons sensibilisé notre DG, notre cellule nationale de gestion de crise (qui s'occupe des situations critiques les plus diverses depuis trente ans) et les directions métiers.