En juillet 2024 l’Agence du Numérique en Santé (ANS) a publié le référentiel MATURIN SMS. Ce référentiel permet d’identifier le niveau de maturité des systèmes d’information des établissements du secteur médico-social.
J’ai analysé ce référentiel en m’intéressant aux questions qui relèvent peu ou prou de mon expertise.
Le référentiel est structuré en 7 dimensions (pratiques de management des SI, adéquation fonctionnelle, adéquation de l’infrastructure, …), et 64 questions dont 15 « questions socles ». Pour chaque indicateur, il y a 5 paliers de maturité notés de 0 à 4.
Dans la première dimension, intitulée pratiques de management des SI, la première thématique concerne les compétences et l’organisation de la fonction SI. Elle est déclinée en 4 indicateurs :
1.1.1 Ressources SI internes
1.1.2 Ressources SI mutualisées avec d’autres acteurs
1.1.3 Ressources SI externes
1.1.4 Ressources SI externes – Types de prestations réalisées
Je me suis intéressé à l’indicateur 1.1.3, intitulé Ressources SI externes
Pour cet indicateur, les cinq paliers de maturité sont les suivants :
0 – Absence de recours à des prestataires externes en matière de SI
1 – Recours à un ou plusieurs prestataires externes en matière d’assistance ou de support informatique
2 – Recours à un prestataire pour la gestion de projet SI / l’assistance à maitrise d’ouvrage
3 – Recours à un prestataire externe qui délivre les prestations d’un RSI ou DSI
4 – Participation du prestataire externe SI aux décisions stratégiques de l’OG/ESSMS
Un indicateur utile, mais faible
Premier constat : le référentiel considère le recours à des prestataires externes comme un indicateur de la maturité des systèmes d’information.
Il est vrai que, pour de très nombreux établissements, le recours à des prestataires est fort utile, voire indispensable. C’est en particulier le cas pour les établissements qui auraient répondu négativement à l’indicateur 1.1.1 (ressources SI internes) et 1.1.2 (ressources SI mutualisées).
Cependant, le recours à des prestataires externes n’est ni un indicateur de performance, ni un idéal à atteindre. C’est un indicateur de consommation. Au même titre que l’indicateur de consommation des solutions hydroalcooliques (ICSHA) conçu il y a fort longtemps par la Haute Autorité de Santé.
Certes, dans un hôpital moderne, il semble difficile de maintenir un bon niveau d’hygiène hospitalière uniquement avec de l’eau et du savon. Cet indicateur est donc utile. Mais il est faible. Car rien ne nous dit que ladite solution sera utilisée à bon escient. J’ai entendu parler d’hôpitaux qui achetaient de la solution hydroalcoolique pour satisfaire aux exigences de la HAS, la stockaient (du moins en partie) et s’en débarrassaient une fois la date limite d’utilisation dépassée.
Je suppose (je ne suis pas médecin) que l’indicateur ICSHA est très utile. Mais il a des effets pervers. Et je pense que l’indicateur « Ressources SI externes » peut avoir des effets pervers.
En effet :
– Rien ne garantit que l’établissement a choisi le bon prestataire,
– Rien ne garantit que les compétences du prestataire sont pleinement utilisées.
Ces niveaux sont-ils pertinents ?
Un autre point qui me frappe concerne les niveaux de maturité.
Le niveau de satisfaction de l’indicateur semble proportionnel au niveau hiérarchique de la personne que le prestataire conseille ou supplée. Examinons d’abord les trois premiers niveaux :
1 – support informatique
2 – chef de projet ou AMOA
3 – RSI ou DSI
Or, je ne vois pas en quoi un établissement faisant appel à un DSI extérieur serait plus mature qu’un établissement faisant appel à un assistant à la maîtrise d’ouvrage. Le référentiel précise « plusieurs réponses possibles ». Mais quelle est la règle de calcul de la notation ? Si vous avez une explication, je suis preneur.
Sous-traiter la prise de décision ?!
Le quatrième niveau de cet indicateur me laisse carrément perplexe. Il s’énonce comme suit :
- Participation du prestataire externe SI aux décisions stratégiques de l’OG/ESSMS
Dans quelle mesure et dans quelles conditions un prestataire externe est-il légitime pour participer aux décisions stratégiques de son client ? Il y a deux cas possibles :
– Si par « prestataire » on entend un consultant, je suis très mal à l’aise. Le rôle d’un consultant est de conseiller, non de décider en lieu et place des décideurs,
– Si « prestataire » désigne un manager de transition ou un DSI à temps partagé, son pouvoir de décision est légitime. Mais dans ce cas on se retrouve ipso facto au niveau 3.
Le seul moyen de lever cette ambiguïté est d’examiner le contrat qui lie l’établissement et la ressource externe : est-ce un contrat d’intérim ? de prestation intellectuelle ? de sous-traitance ? de prestation de conseil ?
D’autre part, si le prestataire est un manager de transition ou un intérimaire, le niveau 4 de cet indicateur de maturité fait double emploi avec le niveau 4 de l’indicateur 1.1.1 (ressources SI internes) : « RSI ou DSI fait partie de l’équipe de direction ».
Last but not least, le référentiel Maturin SMS ne définit pas la fonction d’un RSI et d’un DSI. Quels sont leurs rôles et responsabilités respectifs ? Dans la plupart des établissements (mais pas tous), le DSI est directeur du système d’information et le RSI est responsable du service informatique. Le premier définit la stratégie IT, fait partie de l’équipe de direction et participe aux décisions stratégiques, le second « recueille les besoins métiers, met en œuvre la roadmap technique, accompagne les équipes et met en place des processus techniques » (définition APEC). Sans compter que dans certaines organisations on trouve, non un RSI, mais un ou plusieurs DSI adjoint(s) dont les rôles sont très variables (applicatifs, support, infrastructure, …). Pour que les rôles soient clairs, le référentiel devrait, selon moi, comporter une annexe comprenant la fiche de poste des différents intervenants, ou se référer à un référentiel de compétences (APEC ou autre).
Confrontation à Cobit
La première dimension du référentiel Maturin SMS s’intitule « Pratiques de management des SI ». C’est là que des référentiels sur le management du SI déjà établis peuvent s’avérer utiles. Je pense en particulier à Cobit.
Cobit a trente ans. Il a fait ses preuves.
Une des caractéristiques fortes de Cobit est la distinction entre deux dimensions du management du SI : sa gouvernance et sa gestion. La participation aux décisions stratégiques relève de la gouvernance. L’assistance, le support, la gestion de projet et l’assistance à la maîtrise d’ouvrage relèvent de la gestion. Les choses sont claires.
Remarquons que Cobit ne s’intéresse pas au qui-fait-quoi. Le but n’est pas de savoir si un organisme a un DSI ou un RSI, ou si ces personnes sont sous-traitants ou intérimaires, mais de savoir quels processus de gouvernance et de gestion du SI sont mis en place.
Mon opinion
Je trouve dommage que le jeune Maturin ne se soit pas plus inspiré de ses grands frères et sœurs Cobit, ITIL et CMMI. Peut-être que le modèle de maturité a besoin de progresser en maturité. Espérons que, malgré sa jeunesse, il contribuera à élever le niveau de maturité des SI des établissements du secteur médico-social.
Dans un prochain article, je vous parlerai d’un autre indicateur de Maturin SMS : le pilotage des projets SI.