Résumé

  • Le 6 septembre, le Conseil de l’ICANN a autorisé son président-directeur général, ou ses délégataires, à conclure un contrat de renfort stratégique pour Engineering & IT avec un prestataire privilégié. La décision a été publiée le 9 septembre.
  • L’ICANN invoque des besoins en développement logiciel, assurance qualité, gestion de contenu et autres compétences techniques, ainsi qu’une couverture étendue des fuseaux horaires.
  • Ses propres règles disent que l’autorité et la responsabilité peuvent être déléguées, mais pas la redevabilité. Sa politique contractuelle distingue également délégation de signature et maintien du pouvoir d’approbation.
  • La décision publique ne comporte pas de matrice des rôles. Une fiche non sensible pourrait indiquer responsable interne, fonction externe, niveau de privilège, limite d’approbation et preuve de retrait des accès.

Une réserve de compétences n’est pas un organe de décision

Les résolutions approuvées le 6 septembre 2026 autorisent le président-directeur général de l’ICANN, ou ses délégataires, à contracter avec le prestataire privilégié et à effectuer les paiements correspondants. Le Conseil parle de « strategic staff augmentation » pour l’ingénierie et l’informatique.

Le raisonnement expose le besoin avec précision. Des ressources extérieures doivent compléter les équipes internes, absorber les variations de charge, fournir des compétences qui ne justifient pas toujours un poste permanent et prolonger la couverture opérationnelle à travers les fuseaux horaires. Développement logiciel, assurance qualité et gestion de contenu figurent parmi les fonctions citées. Le périmètre comprend aussi bien des initiatives stratégiques que des services courants.

Mais exécuter une fonction et détenir l’autorité institutionnelle sont deux choses différentes. Une personne peut préparer une mise en production sans l’approuver, tester une version sans décider de la politique, ou intervenir sous astreinte sans devenir propriétaire du cadre de risque. Le contrat peut rendre la capacité variable ; il ne doit pas rendre l’auteur d’une décision introuvable.

La résolution ne prouve aucune dérive de ce type. Elle ne publie simplement pas la carte fonctionnelle qui permettrait à un observateur extérieur de suivre la limite. Les éléments de négociation sont caviardés. Le prestataire, le prix, la durée, la date de signature, l’effectif et l’état d’exécution ne sont pas établis par la page consultée. Les deviner transformerait une lacune documentaire en accusation.

La doctrine de l’ICANN fournit déjà la règle

Les Delegation of Authority Guidelines, révisées en octobre 2024, ouvrent sur une formule exigeante : l’autorité et la responsabilité peuvent être déléguées, la redevabilité ne le peut pas. Le Conseil reste comptable des pouvoirs que lui attribuent les Bylaws. Lorsque l’autorité relève du président-directeur général, celui-ci peut demander à d’autres de piloter un dossier, mais conserve la responsabilité.

Le même document confie les opérations quotidiennes au président-directeur général, dans le champ des résolutions du Conseil, et réserve au Conseil la surveillance. Il ne s’agit donc pas de tout centraliser. Il s’agit de maintenir un point d’attribution lorsque l’exécution se distribue.

La Contracting and Disbursement Policy, entrée en vigueur en janvier, matérialise cette distinction. Elle fixe des seuils d’approbation et prévoit en principe l’intervention du Conseil au-delà de 750 000 dollars, sous réserve des budgets de projet spécifiquement approuvés. Un dirigeant peut déléguer par écrit la signature d’une catégorie de contrats, avec validation juridique et information des autres dirigeants. Le texte précise toutefois que son pouvoir d’approbation n’est pas transféré et qu’il demeure responsable.

Le travail technique externe devrait conserver la même grammaire : celui qui signe, celui qui exécute, celui qui approuve et celui qui répond du résultat peuvent être différents, à condition que le lien soit durablement documenté.

Une longue pratique ne suffit pas à rendre les rôles lisibles

Les minutes du 3 mai 2025 replacent l’autorisation dans le temps long. Selon ce document, l’ICANN a fait appel dès 2014 à une société tierce pour renforcer sa capacité informatique. Des appels d’offres ont eu lieu en 2014 puis en 2017, avant plusieurs renouvellements jusqu’en mai 2025. Le prestataire d’alors avait assuré du développement, de l’assurance qualité et de la gestion de contenu.

Rien ne permet d’en déduire que le prestataire privilégié de 2026 est le même, ni qu’il s’agit d’un renouvellement. En revanche, l’apport externe apparaît comme un élément installé du modèle opérationnel, non comme une solution improvisée après une panne.

Le Form 990 de l’exercice 2025 éclaire l’échelle générale sans décrire ce nouveau contrat. Il dénombre 136 prestataires indépendants ayant reçu plus de 100 000 dollars pendant la période concernée ; plusieurs des plus importants fournissent des services de conseil informatique. Le document précise aussi que les effectifs régionaux incluent salariés directs, personnes détachées par un employeur tiers et prestataires indépendants de longue durée.

La déclaration fiscale affirme que les politiques écrites de conflits d’intérêts s’appliquent aux prestataires indépendants et qu’une déclaration annuelle est remplie. La page sur les pratiques applicables aux salariés décrit, de son côté, confidentialité et conflits pour le personnel. Ces éléments attestent l’existence de contrôles. Ils ne décrivent pas, rôle par rôle, la frontière publique des permissions attachées au contrat de septembre.

Une fiche de contrôle peut rester sobre et sûre

Publier les noms des intervenants, les machines, les identifiants, les vulnérabilités ou les procédures d’incident serait inutile et parfois dangereux. La transparence utile se situe au niveau des catégories de contrôle.

Une fiche liée aux résolutions 2026.09.06.03–.04 pourrait indiquer, pour chaque chantier, le dirigeant comptable du résultat et le responsable opérationnel interne. Elle qualifierait la fonction externe, la classe de système ou de données, le niveau de privilège et les actes que le rôle peut préparer, exécuter, recommander ou jamais approuver. Elle noterait la séparation des tâches, l’escalade, la possibilité de sous-traiter et l’état des engagements de confidentialité et de conflits.

La sortie mérite autant d’attention que l’entrée. Dates de revue et d’expiration, attestation de retrait des accès, remise du code et des preuves opérationnelles, puis historique des corrections forment une seule chaîne. Cette projection ne dévoile ni surface d’attaque ni donnée personnelle.

Il s’agit d’un modèle éditorial de Daniel Kade, pas d’une obligation annoncée par l’ICANN. Les sources ne montrent ni privilège excessif, ni approbation confuse, ni défaut de départ. Elles montrent une autorisation de capacité dont l’interface publique avec l’autorité interne reste à expliciter.

Le prix ne répondrait pas à la question d’autorité

La résolution jumelle maintient certains éléments confidentiels pour la négociation. Une divulgation ultérieure du prestataire, du montant ou de la durée améliorerait la transparence des achats. Elle ne dirait toujours pas qui répond d’une modification, qui l’approuve et comment un accès prend fin.

Les Governance Guidelines chargent le Conseil de surveiller la performance de la direction, le risque d’entreprise et la planification informatique. L’index des documents de gouvernance rend la répartition institutionnelle visible. Il manque un raccord non sensible entre cette carte et la main-d’œuvre mixte qui agit dans les systèmes.

L’ICANN qualifie l’autorisation de fonction administrative ne nécessitant pas de consultation publique. Une fiche de rôle ne ferait pas de la gestion des ressources humaines un référendum. Elle rendrait vérifiable le principe que l’institution proclame déjà : la capacité peut franchir une frontière contractuelle ; la redevabilité, non.

Sources