Summary

  • Le GAO a étudié dix-huit grands programmes informatiques de gestion du Department of Defense (DOD), associés à 10,3 milliards de dollars de dépenses prévues entre les exercices 2024 et 2026. Sept ont déclaré que leurs équipes n'avaient pas reçu, ou ne connaissaient pas, de formation pour reconnaître et signaler la fraude ou la manipulation de leurs systèmes durant les deux années précédentes.
  • Onze programmes connaissaient ou avaient reçu cette formation. Sur l'évaluation du risque de fraude, dix ont répondu oui, cinq non et trois ignoraient si elle était pratiquée. Le DOD impose une sensibilisation générale à la fraude, mais aucune formation spécifique à la détection dans les systèmes informatiques.
  • La nouvelle recommandation du GAO confie au directeur de l'informatique une action menée avec le Comptroller, responsable désigné du risque de fraude à l'échelle du ministère depuis juillet 2020. Le résultat devra se voir dans chaque programme: risques enseignés, personnes formées et chemin de remontée d'un signal.

La belle attestation et le mauvais bureau

Un certificat général remplit très bien une case centrale. On peut annoncer combien de salariés ont suivi le cours, la date de la session et le pourcentage de conformité. La manipulation d'un système de paiements ou de gestion du personnel se présente rarement sous le titre du cours. Une formation utile doit partir des opérations que l'équipe accomplit: le changement d'une donnée, une approbation qui prend une autre route, une incohérence que les contrôles de routine ne relèvent pas. Elle doit aussi nommer la personne qui reçoit l'alerte.

Le rapport publié le 28 septembre 2026 mesure précisément cet écart entre l'instruction centrale et la connaissance au poste de travail. Le GAO a interrogé dix-huit bureaux de programme parmi les grands investissements informatiques de gestion déclarés par le DOD. Pour sept, les responsables ont indiqué que les équipes n'avaient pas reçu ou ne connaissaient pas de formation, au cours des deux années précédentes, destinée à reconnaître et signaler des signes de fraude ou de manipulation dans les systèmes informatiques. Onze programmes ont déclaré l'inverse. Les réponses ont été examinées à la date d'avril 2026.

Ces systèmes soutiennent des fonctions ordinaires et coûteuses: soins, personnel, finances, logistique, contrats. Le bureau du directeur de l'informatique du DOD a chiffré à 10,3 milliards de dollars les dépenses prévues pour ces dix-huit programmes sur les exercices 2024 à 2026; quatre concentrent la moitié de cette prévision. Les chiffres situent la taille de la responsabilité. Ils donnent aussi du poids à une question concrète: quand un employé voit une opération étrange dans un programme de cette taille, reconnaît-il un risque de fraude et possède-t-il un canal crédible pour le signaler?

Deux responsables, une formation qui se perd entre eux

La réponse du ministère au GAO fait apparaître deux étages de commandement. Le DOD indique avoir désigné en juillet 2020 l'Office of the Under Secretary of Defense (Comptroller) comme entité chargée de la gestion du risque de fraude. Il cite également sa formation générale obligatoire et des exigences financières intégrées aux directives de certification de ses systèmes de gestion. Ce sont des instruments centraux que l'administration peut montrer.

Le directeur de l'informatique contrôle l'univers des grands programmes concernés. Pourtant, les responsables du DOD ont expliqué que le ministère n'exige actuellement aucune formation spécifique pour reconnaître et signaler les signes de fraude dans les systèmes informatiques. La formation générale existe; le programme local doit encore apprendre ce que ses propres données, droits d'accès, contrôles et procédures rendent suspect. C'est le passage difficile. Il suppose de connaître le fonctionnement réel d'un logiciel et la division du travail autour de lui.

Les réponses sur l'analyse du risque confirment le problème de livraison. Dix programmes disent évaluer leur risque de fraude. Cinq disent ne pas le faire. Trois ne savent pas si une telle évaluation existe. Cette troisième réponse laisse une armoire administrative imaginaire: peut-être qu'un dossier a été rempli quelque part, mais les responsables interrogés ne peuvent pas l'utiliser pour préparer leurs équipes. Un contrôle qui reste introuvable au moment de former les employés vaut surtout pour le classement des archives.

Le cadre du GAO demande aux équipes de comprendre le risque dans leur environnement fonctionnel, de distinguer les contrôles antifraude des contrôles financiers habituels, de reconnaître des indices et de recevoir une instruction régulière. Le contenu doit pouvoir descendre jusqu'à ceux qui entretiennent le système et remontent les incidents. La sensibilisation générale constitue le début du trajet; le programme doit assurer le dernier kilomètre.

Une recommandation, deux noms sur l'enveloppe

Le GAO formule une seule nouvelle recommandation dans cette édition de son évaluation annuelle. Le secrétaire à la Défense doit charger le directeur de l'informatique, en collaboration avec le Comptroller, d'entretenir une pratique antifraude dans les grands programmes: formation à la reconnaissance des risques, exemples liés aux fonctions exercées et connaissance des évaluations de risque. Six recommandations antérieures restent ouvertes sur d'autres sujets; elles constituent un dossier séparé.

Le DOD a partiellement accepté cette recommandation. Son argument renvoie au rôle déjà attribué au Comptroller et aux exigences financières de la certification annuelle. Le GAO maintient sa demande: les employés des grands programmes informatiques doivent recevoir une instruction pertinente et savoir qu'elle est disponible. Les deux interlocuteurs parlent à des niveaux différents. L'un décrit l'autorité dans l'organigramme; l'autre cherche une preuve qui arrive jusqu'aux équipes.

Le même rapport relève d'autres pratiques incomplètes: huit des dix programmes qui développaient activement du logiciel n'ont pas démontré l'utilisation des mesures et outils Agile exigés; six des dix-huit n'avaient pas établi de plan de mise en œuvre du zero trust pour l'échéance 2027 du DOD; trois n'avaient pas de stratégie de cybersécurité approuvée. Ces chiffres décrivent des contrôles distincts. Ils rappellent pourquoi un tableau de bord du ministère doit pouvoir descendre d'une doctrine générale à des dossiers de programme vérifiables.

La pièce qui manque au public est simple à nommer: pour chaque programme, une évaluation de ses risques de fraude, la formation qui traite ces risques, la trace des rôles atteints et le responsable qui prend l'alerte, avec un passage explicite entre le directeur de l'informatique et le Comptroller. Une prochaine vérification du DOD ou du GAO montrant cet ensemble dans les dix-huit programmes changerait le constat. Aujourd'hui, sept réponses révèlent que le dernier kilomètre de la formation reste mal assuré.

Sources