Summary

  • Dans un échantillon de 53 grands investissements IT de 12 agences, l’évaluation du GAO a indiqué plus de risques que la note du directeur informatique pour 24 projets. Vingt-sept évaluations concordaient, et deux notes des CIO signalaient plus de risques que le GAO.
  • Vingt et une des 53 notes n’avaient pas été actualisées dans les délais fixés par les agences elles-mêmes. Les procédures de l’Éducation et de la Santé pouvaient dépasser la fréquence trimestrielle demandée par l’Office of Management and Budget (OMB). En avril 2026, l’OMB a annoncé la préparation d’un successeur au tableau de bord sans calendrier de livraison dans cette annonce.

Le dossier avance, la note reste assise

Le rapport du GAO publié le 7 octobre 2026 porte sur un instrument de surveillance très ordinaire : la note de risque qui accompagne un investissement informatique public. L’OMB fixe les règles du Federal IT Dashboard, la General Services Administration (GSA) exploite le site, et les responsables informatiques des agences donnent les notes. Le Congrès et les contribuables voient la même vitrine. Ils ne voient pas, au même endroit, chaque changement intervenu dans le registre des risques d’un projet.

Pour choisir ses dossiers, le GAO est parti des données budgétaires de 26 agences. Il a retenu 53 investissements, répartis entre 12 agences, comportant au moins 35 millions de dollars d’activités de développement. Il a comparé les notes des CIO d’avril 2025 aux risques inscrits autour de mars 2025 dans les registres des projets, aux présentations devant les organes de suivi, aux indicateurs de performance et à d’autres rapports officiels. La comparaison a donc une date, un périmètre et une base documentaire. Elle ne mesure pas la totalité des investissements fédéraux.

Les deux lectures coïncidaient pour 27 investissements. Dans deux cas, la note du CIO était plus sévère que l’appréciation du GAO. Pour 24 autres, le GAO voyait davantage de risques. Cinq de ces 24 projets ont été jugés très risqués par le GAO alors que les agences les situaient au niveau moyen ou en dessous ; sept ont été jugés assez risqués face à une note moyenne ou inférieure ; douze ont été jugés moyens alors que la note affichée était plutôt faible ou faible. L’écart ne décrit pas 24 échecs informatiques. Il décrit 24 jugements publics moins alarmants que les pièces examinées.

La VA offre un cas net dans cet échantillon : pour ses six investissements retenus, le GAO a évalué le risque plus haut que la note du CIO. La même direction de l’écart apparaissait dans cinq des huit projets du ministère des Transports, quatre des neuf de la Santé et trois des quatre du Trésor. Le ministère de la Sécurité intérieure en comptait deux sur quatre. Il s’agit des projets sélectionnés, pas d’un classement exhaustif des ministères.

La date fait partie de l’information

Le GAO a isolé un second problème. Parmi les 53 notes, 21 n’avaient pas été mises à jour à temps selon la procédure de leur propre agence. Ce nombre répond à une autre question que les 24 évaluations sous-estimées. Une note ancienne peut encore refléter le risque, et une note récente peut le juger trop faiblement. Le contrôle sérieux regarde les deux dimensions : ce que dit la note et quand elle a été réexaminée.

Les procédures n’avaient pas toutes la même cadence. Commerce, Transports et GSA prévoyaient des actualisations mensuelles, mais au moins un investissement de chacun n’avait pas reçu sa mise à jour d’avril 2025. Santé et Sécurité intérieure prévoyaient une cadence trimestrielle ; certaines notes n’avaient pas changé pendant les trois mois précédant le point de comparaison. Neuf des 21 notes tardives provenaient de la Santé. L’Éducation travaillait sur un rythme semestriel. À la Santé, des composantes pouvaient suivre un cycle trimestriel ou semestriel.

Ces deux derniers schémas pouvaient dépasser la règle actuelle de l’OMB, qui demande au moins une actualisation par trimestre.

Les CIO exercent un jugement, ils ne recopient pas mécaniquement une grille. Le GAO reconnaît que les agences peuvent tenir compte de facteurs différents. GSA, par exemple, regarde entre autres le caractère sensible d’un actif ou le risque de financement. Mais cette latitude ne dispense pas de dater l’appréciation, ni de montrer comment elle répond aux risques déjà inscrits par les équipes. Le GAO a lui-même trouvé deux dossiers où sa lecture était moins sévère que celle de l’agence.

Cette symétrie donne du poids à la critique des 24 autres : l’audit a comparé des pièces à des jugements, pas appliqué une règle selon laquelle chaque projet devait virer au rouge.

Changer de site sans sauver l’historique serait un tour de passe-passe

En avril 2026, l’OMB a annoncé qu’il préparait la fin du Dashboard actuel et son remplacement par un dispositif plus léger. Le GAO ne trouvait ni date de sortie ni détails suffisants dans cette annonce ; GSA indiquait que le site demeurait accessible en mai 2026. Le rapport rappelait aussi une recommandation antérieure restée sans action de l’OMB sur le suivi des investissements en difficulté repérés par les notes des CIO. Le futur écran héritera donc d’une question ancienne : quelle trace gardera-t-il des risques connus, des anciennes notes et du jour où quelqu’un a décidé de les modifier ?

Le GAO a formulé 17 nouvelles recommandations à neuf agences sur la qualité et la fréquence des notes. Cinq agences ont accepté les leurs. La Sécurité intérieure en a accepté une et contesté une autre ; Commerce et Défense les ont contestées ; le Trésor n’a pas pris position. Ce partage des réponses importe moins que le prochain acte vérifiable : un risque change dans le registre, le CIO actualise la note à temps, puis l’instance compétente traite le problème. Une note corrigée six mois après le chantier ne guide plus la surveillance au moment utile.

La réflexion de Heng Lu sur le problème d’agence dans la gouvernance pose la question de celui qui maîtrise un signal et de celui qui subit une mauvaise décision. Les faits fédéraux viennent du GAO. Ici, l’équipe de projet tient le registre, le CIO choisit la note, l’OMB fixe la cadence et GSA montre le résultat. L’écart entre ces opérations peut transformer une alerte déjà écrite en silence public. Le tableau de bord mérite son nom quand on peut remonter de la couleur à la pièce et à la date.

Sources