Fujitsu a fait d'Horizon un test de responsabilité sur la prévention du transfert de coûts

Résumé

• Le rôle de Fujitsu dans Horizon doit être compris comme un cas de prévention du transfert de coûts: les résultats du logiciel étaient traités comme preuve de manquants en agence, et ces résultats ont contribué à transférer la charge financière, juridique et réputationnelle sur les sous-directeurs de Post Office individuels.
• Le dossier public comprend le jugement Bates v Post Office sur les questions liées à Horizon, le rapport final Volume 1 de l'Enquête sur le système informatique Horizon de Post Office, la déclaration 2024 de Fujitsu, les données d'indemnisation de GOV.UK, l'examen parlementaire, les enseignements de la NAO sur les régimes d'indemnisation, ainsi que les reportages actuels sur l'indemnisation et le remplacement.
• La question de contrôle n'est pas simplement de savoir si le logiciel avait des bogues. Il s'agit de savoir si Post Office, Fujitsu, le gouvernement, les avocats, les auditeurs et les procureurs disposaient de preuves suffisamment fiables avant de traiter les résultats du système comme des preuves contre des personnes.
• La responsabilité est partagée. Fujitsu a fourni et soutenu Horizon. Post Office l'a exploité, s'y est fiée et a mené des actions en justice sur cette base. Le gouvernement était propriétaire et supervisait le cadre de politique publique. Les acteurs juridiques et les procureurs avaient des obligations de communication de preuves. Les demandeurs ont supporté un coût transféré dévastateur.
• La leçon durable est que les systèmes numériques ne devraient pas être autorisés à transformer l'incertitude opérationnelle en dette personnelle, suspicion criminelle ou indemnisation tardive, à moins que la norme de preuve ne soit explicite et puisse être contestée de manière indépendante.

La question est le transfert de coûts, pas seulement une défaillance logicielle

Le scandale Horizon est souvent décrit par l'expression « bogues logiciels ». Cette expression est exacte mais trop limitée. Les bogues, erreurs et défauts importaient parce que les résultats d'Horizon étaient utilisés pour identifier des manquants présumés en agence et pour étayer des demandes, des mesures disciplinaires, des procédures civiles et des poursuites. La question de la responsabilité n'est donc pas seulement de savoir si le logiciel était défaillant.

Il s'agit de savoir si des résultats de logiciel défaillants ou insuffisamment expliqués ont pu transférer des coûts sur des personnes qui ne pouvaient ni voir ni contester le système sous-jacent.

Le jugementBates v Post Office Horizon Issuesde 2019 est la source juridique centrale de cet article, car il a examiné en détail la fiabilité d'Horizon, ses bogues, erreurs, défauts, l'accès à distance et les allégations probatoires. LeVolume 1 du rapport finalde l'enquête sur le système informatique Horizon de Post Office a ensuite replacé l'impact humain du scandale et le contexte d'indemnisation dans un dossier public plus large. Ces documents montrent pourquoi une explication technique étroite est inadéquate.

Le transfert de coûts peut se produire silencieusement. Les comptes d'une agence montrent un manquant. L'exploitant est sommé de régulariser. L'institution traite le résultat du système comme faisant autorité. L'individu fait face à des pressions, des dettes, une suspension, des poursuites, la faillite, la stigmatisation ou l'emprisonnement. Si le système est erroné, incertain, modifiable à distance, mal documenté ou mal compris, l'erreur institutionnelle devient un fardeau personnel. C'est là le type de défaillance.

Le rôle de Fujitsu entre dans cette catégorie, car l'entreprise a fourni et soutenu le système dont les résultats avaient une valeur probante. Le rôle de Post Office y entre aussi, car elle gérait la relation avec les sous-directeurs et s'appuyait sur ces résultats. Le rôle du gouvernement y entre, car la propriété publique et la supervision ont façonné l'environnement de responsabilité. Les acteurs juridiques y entrent, car les obligations de communication de preuves et de preuve déterminent si les défendeurs peuvent contester les affirmations techniques.

Aucun acteur unique n'explique entièrement le scandale, mais chaque acteur avait une surface de contrôle.

La question de la prévention est simple: avant qu'un système numérique ne transfère une perte à une personne, quelles preuves sont requises? Qui vérifie le système? Qui documente les défauts? Qui divulgue les incertitudes? Qui peut contester le résultat? Qui paie lorsque le résultat est erroné? Horizon importe parce que ces questions ont reçu une réponse trop tardive.

Le rôle de fournisseur de Fujitsu incluait des obligations probatoires

Ladéclaration officiellede Fujitsu en 2024 a présenté des excuses aux sous-directeurs et à leurs familles et a reconnu la gravité de l'affaire. Cette déclaration est importante, mais la responsabilité du fournisseur ne peut reposer uniquement sur des excuses. Un fournisseur dont le système est utilisé comme preuve dans des litiges et des poursuites a des obligations en matière de registres de fiabilité, de divulgation des défauts, de communications de support, de preuves d'expert, de transparence sur l'accès à distance et de pistes d'audit.

Le fournisseur ne décide peut-être pas des poursuites. Il n'est peut-être pas propriétaire de la relation client. Il ne définit peut-être pas chaque stratégie juridique. Mais il peut connaître des choses sur le système que d'autres ne connaissent pas. Il peut connaître l'historique des défauts, les schémas de support, les capacités d'accès à distance, les modes d'erreur connus et les limites du diagnostic. Lorsque les résultats du système sont traités comme des preuves, ces connaissances deviennent des preuves d'intérêt public, et non de simples connaissances internes sur le produit.

Le guide d'ingénierie de la sécurité des systèmes du NIST,SP 800-160 volume 1 révision 1, n'est pas spécifique à Horizon, mais il aide à énoncer un principe général: les systèmes dignes de confiance nécessitent de l'ingénierie, de l'assurance et des preuves sur tout le cycle de vie. Dans le contexte d'Horizon, une preuve digne de confiance ne concernait pas seulement la résistance aux cyberattaques. Il s'agissait de savoir si l'on pouvait se fier aux résultats comptables pour accuser un être humain de devoir de l'argent ou d'avoir commis une faute.

Le dossier de preuves du fournisseur aurait dû inclure des réponses claires. Quels défauts étaient connus? Quelles versions étaient concernées? Quels défauts pouvaient créer ou modifier des manquants? Quelles agences étaient touchées? Quels accès à distance étaient possibles? Des transactions pouvaient-elles être insérées, modifiées ou corrigées sans que l'exploitant ne le voie? Quelles pistes d'audit existaient? Quelles étaient leurs limites? Quelles déclarations d'expert pouvaient être faites en toute sécurité? Lesquelles ne l'étaient pas?

Ces questions importent, car les sous-directeurs n'avaient pas un accès égal aux rouages internes d'Horizon. Une personne accusée sur la base de données système ne peut pas vérifier de manière indépendante un système propriétaire sans divulgation. L'opacité du fournisseur crée donc une asymétrie probatoire. Plus la conséquence pour l'individu est grave, plus le devoir du fournisseur de rendre visibles les incertitudes est élevé.

La responsabilité du fournisseur s'étend également au remplacement et à la transition. Un article de Computer Weekly en 2026 sur le fait que Fujitsu a étéécarté des principaux contrats de remplacement d'Horizonmontre que les conséquences en matière d'approvisionnement ont continué jusqu'au dossier public actuel. Cependant, le remplacement n'est pas la même chose que la réparation. Une nouvelle orientation fournisseur ne répond pas en elle-même à ce qui est arrivé aux personnes lésées par l'ancien système probatoire.

Les preuves logicielles nécessitent une visibilité contradictoire

Le dossier Horizon met en évidence une règle générale pour les preuves logicielles: si le résultat d'un système est utilisé contre une personne, cette personne doit pouvoir contester la fiabilité du système, le cheminement des données et les explications alternatives. Cette contestation ne peut être significative si l'institution contrôle toutes les connaissances techniques et traite le résultat comme présumé exact.

La page publique du Crown Prosecution Service sur ladivulgationest une source générale, et non une conclusion spécifique à Horizon. Elle est pertinente, car les procédures pénales dépendent de la divulgation d'éléments susceptibles de miner l'accusation ou d'aider la défense. Dans une affaire de preuve logicielle, les journaux de défauts, les tickets de support, les bogues connus, les enregistrements d'accès à distance, les limites d'audit et les incertitudes des experts peuvent constituer des éléments à divulguer. Si ces éléments ne sont pas identifiés et partagés, l'accusé ne peut pas tester la preuve.

Le commentaire de la Law Society surBates v Post Officeaide à comprendre pourquoi ce litige est devenu une référence. Mais le point le plus profond dépasse ce seul cas. Les systèmes numériques génèrent aujourd'hui des preuves dans les domaines des prestations sociales, des opérations bancaires, de l'emploi, de la fiscalité, des soins de santé, du commerce de détail, du maintien de l'ordre et de la gouvernance des plateformes. La leçon d'Horizon est que les preuves issues d'un système ne doivent pas être traitées comme neutres simplement parce qu'elles sont numériques.

La visibilité contradictoire exige plusieurs contrôles. Premièrement, un registre des défauts suffisamment complet pour montrer les modes d'erreur connus. Deuxièmement, des pistes d'audit qui identifient les actions humaines, automatisées et à distance. Troisièmement, des preuves d'expert qui énoncent les limites, et pas seulement les certitudes. Quatrièmement, la conservation des journaux système avant tout litige. Cinquièmement, un examen indépendant lorsque la même institution qui bénéficie du résultat contrôle la preuve. Sixièmement, une règle sur la charge de la preuve qui ne bascule pas discrètement sur l'individu.

Le cadre du transfert de coûts aide à clarifier les enjeux. Si un manquant en agence est réel et imputable à un exploitant, l'institution peut avoir une créance. Si le manquant est causé par un défaut du système, une correction à distance, une erreur de synchronisation ou un processus comptable inexpliqué, l'institution ne doit pas transférer le coût. C'est la norme de preuve qui détermine la voie empruntée.

Horizon montre ce qui se passe lorsque la confiance institutionnelle dépasse l'humilité probatoire. Un système peut être globalement opérationnel et produire néanmoins des résultats contestés dans des cas particuliers. Un fournisseur peut corriger des défauts tout en laissant en suspens les résultats passés. Un tribunal peut recevoir des preuves d'expert et conclure néanmoins que les hypothèses antérieures n'étaient pas sûres. Les preuves logicielles ont besoin d'un canal pour ces incertitudes avant que des vies ne soient brisées.

L'indemnisation est une preuve de responsabilité différée

Les régimes d'indemnisation sont parfois considérés comme une phase administrative distincte après le scandale. Dans l'affaire Horizon, l'indemnisation fait partie des preuves de la responsabilité. L'ampleur, la complexité, les retards, les frais juridiques et la charge imposée aux demandeurs dans le cadre de la réparation révèlent à quel point il est difficile de réparer un transfert de coûts une fois que les institutions ont traité les résultats du système comme faisant autorité pendant des années.

Les données actuelles de GOV.UK surla réparation financière et les frais juridiques liés à Horizon pour 2026font de l'indemnisation un dossier public vivant. La note de la House of Lords Library surl'avancement des indemnisationsrésume les dispositifs et le contexte politique actuel. La note du National Audit Office surles enseignements tirés des régimes d'indemnisation gouvernementauxest pertinente, car l'administration de l'indemnisation elle-même peut reproduire un préjudice si elle est lente, complexe ou objet de méfiance.

La réparation différée est une autre forme de transfert de coûts. Les personnes accusées à tort ou soumises à des pressions peuvent attendre des années une réparation financière tout en supportant les conséquences d'une faillite, les frais juridiques, des atteintes à la santé, des pertes familiales, une stigmatisation réputationnelle et la perte d'opportunités commerciales. L'indemnisation ne peut pas entièrement restaurer ces pertes, mais le retard aggrave l'écart. Plus les institutions mettent du temps à réparer, plus l'individu continue de financer l'échec de l'institution.

Un reportage du Guardian en 2026 surles dates limites des régimes d'indemnisationmontre que la pression pour la réparation restait un problème d'actualité. Cette actualité importe. Horizon n'est pas seulement un échec technologique historique. En 2026, l'indemnisation, la responsabilité, le remplacement et l'apprentissage institutionnel font toujours partie du dossier public.

Les systèmes d'indemnisation doivent donc être jugés à l'aune de leur utilisabilité pour les demandeurs. Les règles d'éligibilité sont-elles claires? La charge de la preuve est-elle équitable? Des paiements provisoires sont-ils disponibles? Les frais juridiques sont-ils couverts? Les demandeurs traumatisés sont-ils soutenus? Les familles des demandeurs décédés sont-elles servies? Les décisions sont-elles rendues en temps voulu? Les appels sont-ils accessibles? Des statistiques sont-elles publiées? Les concepteurs des régimes tirent-ils des enseignements des demandeurs? Ces questions ne sont pas des détails administratifs.

Elles déterminent si l'État et les institutions cessent de transférer les coûts aux victimes.

La leçon en matière de prévention est encore plus forte. Si la réparation est aussi difficile, le seuil probatoire avant le transfert initial des coûts aurait dû être plus élevé. Il est bien moins coûteux et plus juste de prévenir les accusations non fondées que d'indemniser après un préjudice injustifié.

Le contrôle public devait rester d'actualité

Le dossier public d'Horizon continue d'évoluer. La Business and Trade Committee du UK Parliament a inscrit à son ordre du jour unesession de témoignages orauxen 2026 liée à la justice et à la responsabilité dans l'affaire Horizon. L'explication de 2024 du UK Parliament surla justice pour les sous-directeursmontre comment le scandale est devenu une préoccupation institutionnelle nationale. Le contrôle public est important, car les systèmes complexes de responsabilité peuvent dériver une fois que l'attention s'estompe.

Le contrôle actuel devrait se concentrer sur la prévention, et pas seulement sur la recherche de responsabilités. Qu'est-ce qui empêchera un autre système de produire des dettes personnelles ou des soupçons criminels sans possibilité de contestation adéquate? Comment les fournisseurs divulgueront-ils les défauts? Comment les organismes publics maintiendront-ils une expertise technique indépendante? Comment les procureurs traiteront-ils les preuves issues de logiciels propriétaires? Comment les régimes d'indemnisation éviteront-ils de traumatiser à nouveau les demandeurs?

Comment les systèmes de remplacement éviteront-ils d'hériter des mêmes présomptions probatoires?

Un article de Computer Weekly de 2025 sur la réaction de la direction de Fujitsu au rapport d'enquête et les liens avecl'impact humain d'Horizonillustre la tension persistante en matière de responsabilité autour de la réponse institutionnelle. Les reportages secondaires ne doivent pas remplacer les conclusions de l'enquête, mais ils aident à montrer que la responsabilité ne dépend pas seulement des documents officiels; elle dépend aussi de la manière dont les organisations internalisent ces documents.

Le contrôle public doit également porter sur la propriété étatique. La position de Post Office et son rôle dans les politiques publiques signifient qu'il ne s'agissait pas simplement d'un litige privé entre fournisseur et client. Le gouvernement avait des devoirs de surveillance, de financement, d'indemnisation et sa crédibilité institutionnelle était en jeu. Si un réseau de service public s'appuie sur des systèmes probatoires propriétaires, le gouvernement doit s'assurer qu'il peut les comprendre et les contester. L'externalisation de l'exploitation technique ne peut pas signifier l'externalisation de la responsabilité publique.

La même règle s'applique au-delà d'Horizon. Les systèmes d'aide sociale, les systèmes fiscaux, les systèmes d'immigration, les systèmes de santé, les systèmes judiciaires et les marchés réglementés dépendent de plus en plus des résultats de logiciels. Si ces résultats affectent l'argent, le statut, la liberté ou la réputation, les institutions publiques ont besoin de compétences techniques et de règles de divulgation avant que le préjudice ne se produise.

L'accès à distance aurait dû être une question probatoire de premier ordre

L'accès à distance est l'un des concepts techniques les plus importants du dossier Horizon, car il détermine qui pouvait modifier, corriger ou influencer les données d'une agence et ce que l'exploitant de l'agence pouvait raisonnablement savoir. Si un acteur central peut accéder aux enregistrements ou les modifier, l'histoire probatoire n'est pas simplement « le système de l'agence a enregistré un manquant ». L'histoire doit inclure qui d'autre pouvait toucher aux données, quand, avec quels contrôles et avec quelle piste d'audit.

Lesite webofficiel de l'enquête sur le système informatique Horizon de Post Office est précieux, car il donne au public un accès à un long dossier probatoire. Le jugement Bates reste la source la plus directe pour l'analyse de l'accès à distance et des bogues/erreurs/défauts utilisée ici, mais le dossier de l'enquête montre pourquoi les capacités techniques devaient être examinées en même temps que la gouvernance, la culture, la procédure judiciaire et l'indemnisation.

L'accès à distance n'implique pas automatiquement un acte répréhensible. De nombreux systèmes nécessitent un accès de support pour corriger des défauts, maintenir le service et aider les utilisateurs. Le problème de responsabilité apparaît lorsque l'accès à distance existe mais est nié, mal compris, mal divulgué, faiblement journalisé ou traité comme non pertinent pour les allégations contre les utilisateurs. Dans un litige comptable, la possibilité d'une modification à distance n'est pas une question secondaire. C'est une explication alternative qui peut modifier la charge de la preuve, les preuves et l'équité.

La règle de prévention devrait être explicite. Si une institution s'appuie sur le résultat d'un système pour accuser un utilisateur, elle doit divulguer si l'accès à distance a pu affecter les données pertinentes. Elle doit conserver les journaux montrant les actions à distance. Elle doit expliquer qui avait accès, quels contrôles régissaient cet accès et si une action à distance a eu lieu pendant la période concernée. Si les journaux sont incomplets, l'incertitude devrait jouer contre la confiance institutionnelle, et non contre l'individu accusé.

Cette règle est particulièrement importante dans les systèmes de service public distribués. Les exploitants d'agences, les agents locaux, les franchisés, les sous-traitants et les petites entreprises opèrent souvent à la périphérie d'une plateforme centrale. L'institution centrale détient le pouvoir technique. L'exploitant local a une responsabilité vis-à-vis du public. Lorsque les enregistrements divergent, l'institution centrale ne devrait pas être autorisée à supposer que l'exploitant périphérique est à l'origine de la divergence sans permettre une contestation du système central.

La transparence sur l'accès à distance devrait donc être intégrée à la conception du système. L'utilisateur devrait recevoir des notifications ou des journaux des actions de support lorsque cela est approprié. Les pistes d'audit devraient être infalsifiables. Les témoins experts devraient comprendre et divulguer les capacités à distance. Les contrats devraient indiquer comment l'accès de support affecte la preuve. Les tribunaux et les régulateurs devraient s'interroger à ce sujet avant d'accepter un résultat système comme décisif.

La preuve d'expert doit inclure les limites, pas seulement des conclusions

Horizon montre également pourquoi la preuve d'expert concernant les systèmes logiciels doit inclure les limites. Un expert peut dire qu'un système a généralement fonctionné. Cette affirmation peut être vraie sans pour autant prouver qu'un manquant particulier a été causé par une personne particulière. Les systèmes logiciels peuvent être généralement fiables tout en échouant dans des conditions particulières. Ils peuvent traiter des millions de transactions tout en produisant des bogues qui importent profondément pour un seul défendeur.

La preuve d'expert devrait donc être spécifique à l'allégation. Quelle agence? Quelles dates? Quelle version du logiciel? Quel historique de défauts? Quels tickets de support? Quelles actions à distance? Quel processus de rapprochement? Quelles migrations de données? Quels bogues connus? Quelles pistes d'audit? Quelles explications alternatives? Une affirmation générale de fiabilité ne peut remplacer une analyse spécifique au cas.

L'arrêt de 2024 de la UK Supreme Courtdans une affaire connexe d'indemnisation/contexte juridique liée à Post Office n'est pas un jugement technique sur Horizon et ne doit pas être étiré pour en devenir un. Il n'est mentionné ici que pour rappeler que les suites judiciaires se sont poursuivies par de multiples voies procédurales. Le principe plus important est général: les systèmes juridiques ont besoin de preuves techniques suffisamment précises pour pouvoir être testées.

Les experts devraient également divulguer l'incertitude en langage courant. Si un défaut a pu créer une divergence, il faut le dire. Si l'expert ne peut pas exclure une action à distance parce que les journaux sont manquants, il faut le dire. Si l'architecture du système crée des limites quant à ce qui peut être déduit, il faut le dire. Les tribunaux et les personnes accusées peuvent mieux gérer l'incertitude qu'une confiance excessive qui s'effondre par la suite.

Les employés des fournisseurs qui témoignent sont confrontés à un risque particulier. Ils peuvent connaître le système en profondeur, mais leur employeur peut avoir des intérêts commerciaux, réputationnels ou contractuels. Cela ne rend pas leur témoignage faux. Cela signifie que les tribunaux et les institutions devraient exiger l'indépendance, la divulgation des conflits, l'accès aux registres complets des défauts et une séparation claire entre l'analyse technique et la défense institutionnelle.

Le contrôle de prévention consiste en une liste de contrôle des preuves d'expert pour les accusations générées par logiciel. Fiabilité générale, historique des défauts pertinents, capacité d'accès à distance, preuve de la traçabilité des données, exhaustivité des journaux d'audit, comportement spécifique à la version, contexte des tickets de support et incertitude résiduelle. Si la liste de contrôle ne peut pas être remplie, l'institution ne devrait pas traiter le résultat du logiciel comme une preuve décisive contre l'individu.

Le remplacement n'efface pas la dette probatoire

Remplacer Horizon ou écarter Fujitsu des futurs approvisionnements peut être nécessaire, mais le remplacement n'efface pas la dette probatoire. Des personnes ont subi un préjudice sous l'ancien système. Les condamnations, les remboursements, les faillites, les pertes d'entreprises, les traumatismes familiaux et les atteintes à la réputation ne peuvent être réparés en disant qu'un nouveau système sera meilleur. L'ancien dossier probatoire doit encore être audité, expliqué et indemnisé.

Le remplacement peut même créer un risque de clôture prématurée. Les organisations peuvent préférer parler de transformation, de modernisation, de nouveaux fournisseurs et de résilience future, car ces sujets semblent constructifs. Les victimes et les demandeurs peuvent encore attendre une réparation. Le système qui a causé le préjudice peut être mis hors service alors que les conséquences restent vivantes. La responsabilité doit garder les deux temporalités à l'esprit: le remplacement futur du système et la réparation des préjudices passés.

La transition fournisseur devrait inclure la préservation des connaissances. L'historique des défauts, les tickets de support, les rapports d'experts, les dictionnaires de données, les journaux de transactions, les enregistrements d'accès à distance et les documents d'audit ne devraient pas disparaître lors du remplacement. Si de futurs demandeurs ou enquêteurs ont besoin de comprendre le comportement d'Horizon, ces enregistrements doivent rester disponibles. Un système mis hors service peut encore constituer une preuve.

Le remplacement devrait également se demander si le nouveau système modifie la règle du transfert de coûts. Les exploitants d'agences recevront-ils des journaux d'audit plus clairs? Les actions de support à distance seront-elles visibles? Les contestations de divergences auront-elles une voie indépendante? Les avis de défauts seront-ils divulgués aux utilisateurs concernés? Les poursuites ou les recouvrements civils s'appuieront-ils un jour sur les résultats du système sans contestation technique? Une nouvelle interface sans nouvelles règles probatoires ne suffit pas.

Les marchés publics devraient intégrer ces enseignements. Les fournisseurs soumissionnant pour des systèmes produisant des preuves contre des individus devraient être tenus de fournir des mécanismes de divulgation des défauts, des pistes d'audit, des journaux de support visibles pour l'utilisateur, des protocoles de preuve d'expert, des droits d'examen indépendant et des engagements de conservation des données. Le critère d'achat ne devrait pas seulement demander si le système fonctionne; il devrait demander si le système peut être contesté équitablement.

L'histoire du remplacement d'Horizon relève donc de la prévention, et pas seulement de l'exploitation. Un organisme public qui achète un nouveau système sans y intégrer des droits de contestation a trop peu appris.

La charge des demandeurs fait partie du préjudice institutionnel

Le processus de réparation ne devrait pas obliger les demandeurs à prouver à nouveau ce que le scandale a déjà prouvé structurellement: que la dépendance institutionnelle à Horizon a causé une grave injustice. Les demandes individuelles nécessiteront toujours des preuves, mais la conception de cette charge de la preuve importe. Si les demandeurs sont contraints de reconstituer des pertes vieilles de plusieurs décennies avec des documents que l'institution aurait dû conserver, le coût est à nouveau transféré à la personne lésée.

Les régimes d'indemnisation devraient partir d'une conception tenant compte des traumatismes. Certains demandeurs peuvent se méfier de Post Office, du gouvernement, des avocats ou des fournisseurs, car ces institutions leur ont déjà fait défaut. Certains peuvent manquer de documents parce que leur entreprise a fait faillite, que leur famille a déménagé, que leur santé s'est détériorée ou que des années ont passé. Certains peuvent être décédés, laissant à leur famille le soin de naviguer dans le processus. Le régime devrait réduire les frictions lorsque l'institution connaît déjà le contexte général de la défaillance.

Le retard administratif n'est pas neutre. Chaque mois de retard peut signifier des tensions financières continues, des successions non réglées, une incertitude juridique, du stress et une frustration publique. Les statistiques sur les réparations devraient donc indiquer non seulement les paiements globaux, mais aussi les temps d'attente, les dossiers en instance, les raisons des retards, les résultats des appels, le soutien aux demandeurs et la charge des frais juridiques. La transparence transforme le retard en un fait gouvernable.

Les enseignements du National Audit Office sur les régimes d'indemnisation importent, car la réparation est un système de prestation. Un régime mal conçu peut recréer un déséquilibre institutionnel tout en ayant l'intention de réparer. Des formulaires complexes, des règles de preuve étroites, des offres incohérentes et une communication lente peuvent devenir un préjudice secondaire. La même humilité probatoire exigée avant les poursuites devrait se retrouver dans l'indemnisation.

La responsabilité de Fujitsu croise la charge des demandeurs, même lorsque le gouvernement et Post Office administrent les régimes. Si les preuves fournies par le fournisseur ont contribué au transfert initial des coûts, la coopération du fournisseur devrait maintenant aider à réduire la charge des demandeurs. Les dossiers techniques, les historiques de défauts et les explications du système devraient être mis à disposition pour la réparation, le cas échéant. Le demandeur ne devrait pas avoir à redécouvrir un système que le fournisseur a construit.

Le test moral est de savoir si la réparation inverse le sens de la charge. Pendant le scandale, les individus ont été contraints de porter la certitude institutionnelle. Pendant l'indemnisation, les institutions devraient porter la charge de la réparation. Toute autre approche laisse intacte la logique du transfert de coûts.

Une règle de prévention devrait s'appliquer au-delà de Post Office

La leçon d'Horizon devrait être formulée comme une règle institutionnelle générale: aucun résultat de système automatisé, semi-automatisé ou propriétaire ne devrait être utilisé pour imposer une dette, une sanction disciplinaire, des poursuites, une exclusion ou un préjudice réputationnel grave, à moins que la personne concernée ne puisse contester le système de manière significative. Cette règle vaut pour l'administration publique, les services réglementés et les plateformes privées où les preuves issues de systèmes régissent les résultats humains.

Une contestation significative comporte des éléments minimaux. La personne devrait connaître les données utilisées. Elle devrait connaître la version du système et les règles applicables. Elle devrait avoir accès aux informations sur les défauts qui pourraient affecter le cas. Elle devrait être informée si des humains ou des systèmes distants pouvaient modifier l'enregistrement. Elle devrait pouvoir obtenir des journaux ou un examen technique indépendant. Elle ne devrait pas avoir à prouver qu'un système caché est erroné sans accès au système.

Ce principe n'est pas anti-technologie. Des systèmes fiables peuvent protéger les personnes, détecter la fraude, réduire les erreurs et améliorer le service. Le fait est que le pouvoir institutionnel s'accroît lorsque les systèmes deviennent des preuves. Ce pouvoir a besoin de garanties procédurales. Horizon a échoué non pas parce que la technologie était utilisée, mais parce que la technologie a été traitée comme plus autoritaire que ne le justifiaient les preuves et que les personnes ont été laissées en dehors de la boucle de preuve.

Les conseils d'administration devraient donc poser une question simple pour tout système à enjeux élevés: une personne peut-elle contester équitablement ce résultat? Si la réponse est non, le système ne devrait pas être utilisé pour un transfert de coûts à enjeux élevés. Si la réponse est oui, le conseil devrait demander des preuves: pistes d'audit, divulgation des défauts, voies de recours, examen indépendant, notifications aux utilisateurs et règles de conservation.

Les fournisseurs devraient accueillir favorablement cette règle s'ils veulent des marchés dignes de confiance. Un système qui peut être contesté équitablement est plus durable qu'un système défendu par l'opacité. Les droits de contestation exposent les défauts plus tôt, réduisent les litiges catastrophiques et rendent les clients moins susceptibles de traiter le fournisseur comme un adversaire caché. Un logiciel digne de confiance n'est pas un logiciel que personne ne peut remettre en question. C'est un logiciel qui survit à la remise en question.

La leçon publique plus large est que la preuve numérique devient ordinaire. Cette banalité rend Horizon plus, et non moins, important. Le prochain scandale de transfert de coûts pourrait provenir de logiciels d'aide sociale, d'analyses fiscales, d'automatisation de la paie, de police prédictive, de facturation hospitalière, de modération de plateforme ou de comptage d'énergie. La règle de prévention devrait être en place avant que le prochain groupe d'individus ne se fasse dire que le système doit avoir raison.

Les pistes d'audit devraient être conçues pour la personne accusée

De nombreux systèmes d'audit sont conçus pour les administrateurs, les fournisseurs ou les équipes d'assurance interne. Horizon montre pourquoi les pistes d'audit à enjeux élevés devraient également être conçues pour la personne affectée par le résultat. Si un système indique qu'une agence est en manquant, l'exploitant de l'agence devrait pouvoir voir suffisamment du cheminement des transactions, des corrections, du support et des exceptions pour comprendre l'allégation. Une piste d'audit que seule l'institution peut interpréter est une faible protection.

Un audit orienté vers la personne ne signifie pas exposer chaque détail sensible du système. Cela signifie donner à la personne concernée un enregistrement cohérent: les transactions en cause, les horodatages, les étapes de rapprochement, toute modification initiée de manière centralisée, les incidents connus affectant l'agence ou la période, les défauts pertinents et une voie pour demander un examen indépendant. L'enregistrement devrait être exportable et durable. Il ne devrait pas dépendre du pouvoir discrétionnaire d'un responsable local.

Les pistes d'audit devraient également montrer l'absence lorsque l'absence importe. Si aucun accès à distance n'a eu lieu, le système devrait pouvoir le montrer. Si un accès à distance a eu lieu mais n'a pas affecté les données contestées, le système devrait montrer la limite. Si les journaux sont incomplets, l'enregistrement devrait le dire. Le silence ne devrait pas être automatiquement interprété contre l'individu.

La règle de conception est que l'audit devrait suivre la conséquence. Plus la conséquence possible est grave, plus la piste d'audit doit être transparente et pouvoir être examinée de manière indépendante. Une exception mineure de rapprochement interne peut nécessiter un certain niveau de preuve. Une demande exigeant qu'un individu rembourse des milliers de livres, perde son gagne-pain ou fasse face à des soupçons criminels en exige bien davantage.

Cette règle améliorerait également les incitations des fournisseurs. Si les pistes d'audit doivent être utilisables par les personnes accusées, les fournisseurs doivent construire des systèmes qui s'expliquent eux-mêmes. Cela peut ajouter des coûts, mais cela évite des coûts sociaux bien plus importants. Les systèmes qui ne peuvent pas générer de pistes d'audit équitables ne devraient pas être utilisés pour imposer une responsabilité personnelle à enjeux élevés.

Le recouvrement civil et les poursuites ne devraient pas partager des présupposés non fiables

Horizon met également en garde contre le fait de laisser le recouvrement civil et les poursuites se renforcer mutuellement par la même hypothèse non testée. Si un résultat système est traité comme fiable dans une demande civile, cette confiance peut migrer vers une mesure disciplinaire ou un soupçon pénal. Si une poursuite traite les enregistrements système comme faisant autorité, cette posture peut renforcer le recouvrement civil. La même prémisse technique faible peut circuler à travers les voies juridiques.

Le contrôle de prévention consiste à exiger un examen technique indépendant avant toute escalade. Un manquant contesté ne devrait pas passer d'une question comptable à une demande de remboursement, puis à des poursuites, sans se demander si un défaut du système, une action à distance, une intervention de support ou une erreur de rapprochement n'est pas une explication plausible. Chaque escalade devrait nécessiter une base probatoire plus solide que la précédente.

Le recouvrement civil devrait également inclure des vérifications d'équité. L'exploitant avait-il accès aux documents nécessaires pour contester le manquant? L'exploitant a-t-il été informé des défauts connus? Des explications alternatives ont-elles été examinées? Les corrections initiées de manière centralisée ont-elles été examinées? Le montant réclamé était-il basé sur une perte vérifiée plutôt que sur la confiance dans le système? Ces vérifications devraient avoir lieu avant que la pression ne soit exercée, et non après le début du litige.

Les poursuites pénales élèvent encore le seuil. La liberté, la réputation et le casier judiciaire sont en jeu. La divulgation doit être proactive. La preuve d'expert doit être prudente. L'institution qui engage ou soutient les poursuites ne devrait pas être autorisée à s'appuyer sur la complexité propriétaire comme bouclier. Si le système est trop complexe pour être divulgué et testé, il est trop complexe pour être utilisé comme preuve pénale décisive.

La même idée s'applique aux mesures disciplinaires internes et à la résiliation de contrat. Un sous-directeur ou un contractant peut être ruiné même sans condamnation si l'institution met fin à la relation, retient le paiement ou rend publics des soupçons fondés sur des données système non fiables. Les décisions administratives à enjeux élevés ont besoin de leur propre processus de contestation technique.

Horizon est devenu catastrophique en partie parce que différents canaux de responsabilité ont répété la même confiance. Les futurs systèmes devraient faire l'inverse: chaque escalade devrait rouvrir la question technique avec un examen plus approfondi.

La gestion des preuves devrait survivre aux changements de direction

Les scandales qui durent survivent aux cadres dirigeants, aux ministres, aux responsables fournisseurs, aux avocats et aux équipes informatiques. La gestion des preuves doit donc survivre aux changements de direction. Les dossiers de défauts, les tickets de support, les journaux d'audit, les documents du conseil, les rapports d'experts et les communications avec les demandeurs devraient être conservés dans le cadre d'un plan de conservation légal et éthique, et non laissés aux habitudes départementales.

Cela importe, car la responsabilité différée dépend souvent de vieux documents. Un demandeur peut avoir besoin de preuves des années plus tard. Un tribunal peut réexaminer une condamnation. Une enquête peut demander qui savait quoi et quand. Un programme de remplacement peut avoir besoin de savoir quels défauts ont nui aux utilisateurs. Si les documents disparaissent, le retard profite à nouveau à l'institution qui contrôlait la preuve.

Les contrats fournisseurs devraient inclure des obligations probatoires après la résiliation. Lorsqu'un fournisseur est remplacé, il devrait toujours conserver et fournir les documents pertinents pour les demandes d'indemnisation, les enquêtes et les examens juridiques. Les organismes publics ne devraient pas perdre l'accès aux preuves parce qu'une relation commerciale prend fin. Les fournisseurs ne devraient pas non plus pouvoir considérer la connaissance historique des défauts comme non pertinente une fois qu'un contrat est terminé.

La gestion des preuves nécessite également des métadonnées: qui a créé l'enregistrement, quand, quelle version du système il concerne, quelle agence ou quel demandeur il affecte, et s'il a été examiné. Un tas de documents n'est pas la même chose qu'une preuve utilisable. Les personnes lésées par Horizon avaient besoin de preuves utilisables, et non d'archives institutionnelles que seuls les initiés pouvaient décoder.

C'est pourquoi la prévention et la réparation se rejoignent dans la conception des enregistrements. Un système qui enregistre bien les défauts peut empêcher les accusations non fiables. Si la prévention échoue, ces mêmes enregistrements peuvent favoriser une indemnisation plus rapide. De mauvais enregistrements échouent deux fois: d'abord lorsque le préjudice se produit, puis à nouveau lorsque la réparation est retardée.

La responsabilité devrait être intégrée dans la conception du prochain système

La dernière leçon de Fujitsu est que la responsabilité ne peut pas être ajoutée après coup à un système de remplacement une fois que la colère publique est retombée. Les droits de contestation, la visibilité de l'audit, la divulgation des défauts, les journaux d'accès à distance, les normes de preuve d'expert et la conservation des preuves d'indemnisation devraient être des exigences de conception dès le départ. Une nouvelle plateforme qui reproduirait l'asymétrie de preuve de l'ancienne moderniserait l'interface tout en préservant le risque de transfert de coûts.

Le test de responsabilité est la prévention avant la réparation

La question de responsabilité après Horizon n'est pas seulement de savoir combien d'indemnités sont versées ou quels dirigeants présentent des excuses. Il s'agit de savoir si les institutions disposent désormais d'une règle de prévention: ne pas utiliser un système numérique pour transférer des coûts, des soupçons ou une charge juridique sur des individus, à moins que la fiabilité du système, ses défauts, ses chemins d'accès et les limites de son audit ne puissent être contestés de manière indépendante.

Le dossier public ne réduit pas la responsabilité à la seule Fujitsu. Post Office, le gouvernement, les avocats, les auditeurs, les procureurs et les administrateurs de l'indemnisation ont tous eu ou ont des rôles. Le rôle de Fujitsu reste important, car les fournisseurs peuvent détenir des connaissances techniques qui déterminent si la preuve du système est sûre. Lorsque ces connaissances ne sont pas rendues utilisables, les personnes extérieures au système portent le risque.

Pour Fujitsu et les autres fournisseurs, la leçon est de traiter les systèmes probatoires comme des systèmes d'intérêt public lorsqu'ils peuvent nuire aux individus. Les dossiers de défauts, les pistes d'audit, les journaux d'accès à distance, les déclarations d'experts et le langage sur l'incertitude devraient être gérés comme faisant partie du dossier de sécurité du produit. Un système utilisé pour des accusations n'est pas un outil administratif ordinaire.

Pour les institutions publiques, la leçon est d'intégrer la contestation technique indépendante dans les processus. Ne laissez pas les systèmes propriétaires devenir des témoins incontestables. Ne présumez pas que les résultats numériques sont neutres. Ne laissez pas la conception de l'indemnisation faire reposer à nouveau la charge de la preuve sur ceux qui ont déjà été lésés. N'attendez pas un feuilleton télévisé ou des années de litige pour rendre visibles les défauts du système.

Pour les individus affectés par des systèmes automatisés ou semi-automatisés, la leçon est sombre mais importante: exigez les journaux, l'historique des défauts, l'enregistrement des accès, l'explication alternative et la règle de charge de la preuve. Un résultat système n'est une preuve que lorsqu'il peut être testé.

Horizon devrait être retenu comme un scandale de transfert de coûts, car c'est ce qui a rendu la défaillance technique si destructrice. L'incertitude logicielle est devenue une dette personnelle, un soupçon pénal et une réparation différée. L'avenir responsable n'est pas seulement de meilleurs logiciels. C'est une règle selon laquelle les institutions doivent prouver le système avant de faire payer la personne.