Stratégie

Retards et dépassements de coûts plombent la transformation numérique du Pentagone

Le Government accountability office pointe les retards et dépassements de coûts du SI du Pentagone. (Photo Flickr/C.Highsmith)

Malgré un budget de 11 Md$ en 2025 pour la transformation numérique du Pentagone, un rapport du Government accountability office révèle d'importants défauts de performance, de tenue des délais et de contrôle, ainsi que des dépassements de coûts et des faiblesses en matière de cybersécurité.

PublicitéLe ministère américain de la Défense peine à assurer un suivi adéquat des performances de ses principaux systèmes informatiques et à les sécuriser, selon un audit récent du GAO (Government accountability office, soit l'organisme d'audit, d'évaluation et d'investigation du Congrès des États-Unis), alors qu'il prévoit de consacrer près de 11 Md$ à sa transformation numérique durant l'année fiscale 2025. La 6e évaluation annuelle des programmes informatiques du ministère de la Défense par le GAO a en effet révélé des lacunes importantes dans le reporting sur la performance et dans la planification de la cybersécurité pour les 24 principaux projets informatiques liés à des fonctions critiques, tels que les ressources humaines, la santé, la finance, la logistique ou encore la gestion des contrats.

L'audit révèle que, pour 5 programmes informatiques sur 19 audités sur le sujet, les équipes du Pentagone n'ont pas réussi à déterminer les outils de mesure minimum nécessaires sur des sujets clés, empêchant les responsables de la Défense d'évaluer si, par exemple, ces systèmes améliorent la satisfaction utilisateurs, apportent des rendements financiers ou stimulent l'innovation. Seul un des 19 programmes a répondu à toutes les attentes, tandis que 17 n'y ont que partiellement réussi. Et un programme n'a même atteint aucun objectif fixé.

La préparation cyber en retard sur les délais annoncés

L'audit a aussi identifié des lacunes inquiétantes en cybersécurité, alors que le Pentagone fait face à une augmentation des menaces. Malgré une échéance fixée à 2027 par le ministère, deux programmes ne sont dotés d'aucune stratégie de cybersécurité, tandis que quatre autres doivent encore établir des plans de mise en oeuvre d'une architecture zero trust. Ce modèle part du principe qu'aucun utilisateur ou appareil n'est fiable a priori et il est devenu un pilier central de la stratégie de cybersécurité fédérale. L'administration Biden a en effet demandé aux agences d'adopter des normes zero trust pour combattre des cyberattaques de plus en plus sophistiquées. « Le GAO va continuer à surveiller les progrès du ministère de la Défense en la matière », ajoute le rapport, soulignant l'urgence de la démarche.

La gestion financière de l'ensemble du portefeuille informatique du ministère de la Défense américain reste également problématique. Les responsables de 14 des 24 programmes concernés ont signalé, depuis janvier 2023, une augmentation des coûts, des retards, voire les deux. Les dépassements de coûts varient de 6,1 M$ à 815,5 M$ avec une augmentation médiane de 173,5 M$ par programme. « Douze programmes ont signalé des augmentations de coûts dans cette fourchette et, par ailleurs, sept ont subi un retard allant de 3 à 48 mois », indique le rapport. Les retards de calendrier s'étendant de trois mois à quatre ans avec un délai médian de 15 mois se sont, en effet, révélés tout aussi inquiétants que la flambée des coûts.

PublicitéRésultats mitigés dans le développement logiciel

Ces défauts rendent encore plus difficile le double défi qui consiste à moderniser les systèmes de défense vieillissants tout en maintenant un état de préparation opérationnel. Les quatre programmes les plus importants représentent 43% des dépenses prévues pour l'ensemble du portfolio. Ce qui concentre un risque financier majeur dans une poignée de systèmes critiques.

Tandis que 11 programmes utilisent des approches de développement agile, trois n'ont pas réussi à fournir les mesures et les outils nécessaires pour suivre la progression du développement et la satisfaction des utilisateurs. Ce défaut compromet les bénéfices des pratiques de développement modernes et réduit la visibilité sur les projets. Le GAO avait déjà recommandé au ministère de la Défense de s'attaquer à des problèmes similaires. Les représentants de cette administration ont approuvé la nouvelle recommandation visant à s'assurer que les différents programmes identifient les mesures adéquates de performance et les communiquent efficacement. Le ministère a décrit les actions mises en oeuvre pour répondre à la recommandation, sans toutefois fournir de détails, ni de calendrier précis.

Des défis partagés par nombre d'entreprises

Les conclusions du GAO soulignent les défis auxquels bon nombre de grandes organisations font face quand elles gèrent des portefeuilles informatiques complexes. Les difficultés rencontrées par le ministère dans la mesure des performances, l'organisation de la cybersécurité ou le contrôle des coûts sont les mêmes que celles auxquelles sont confrontés les DSI dans tous les secteurs d'activité.

Le rapport note également l'importance critique d'établir des mesures de performance exhaustives, de maintenir des pratiques de cybersécurité rigoureuses et de mettre en place une discipline de gestion de projet. L'expérience du Pentagone peut servir de mise en garde pour de nombreux chefs d'entreprise face aux risques d'une gouvernance non adéquate dans les transformations numériques à grande échelle.

Équilibre entre innovation et stabilité opérationnelle

Les problèmes auxquels le ministère de la Défense fait face reflètent, en effet, une tendance plus générale des entreprises à trouver le juste équilibre entre innovation et stabilité opérationnelle. Les conclusions du GAO montrent comment des mesures de performance inadaptées peuvent masquer des résultats business essentiels, rendant les managers incapables de justifier des investissements IT ou d'identifier les projets qui échouent avant qu'ils ne consomment des ressources trop importantes.

Les lacunes en cybersécurité sont tout particulièrement inquiétantes, étant donné que le secteur de la défense est une cible privilégiée de certains acteurs étatiques et des organisations cybercriminelles. Le retard dans l'implémentation de la politique zero trust suggère que même les organisations les mieux financées avec des mandats clairs peuvent avoir du mal à mettre en place des transformations complètes en matière de sécurité dans les délais prévus.

Des audits annuels jusqu'en mars 2029

Pour les DSI en général, ce rapport souligne l'importance d'établir des mécanismes de responsabilité clairs, des évaluations fréquentes de performances, ainsi que des cadres solides de gouvernance de projets. L'expérience du Pentagone montre que des budgets substantiels à eux seuls ne peuvent garantir des résultats satisfaisants en l'absence de pratiques précises de gestion et d'un contrôle cohérent. Le National defense authorization act américain impose au GAO de réaliser ces audits chaque année jusqu'en mars 2029, ce qui assure un contrôle continu des pratiques de gestion informatique du Pentagone