« On a d'autres priorités » : la phrase qui coûte le plus cher au secteur public
Il y a une phrase que j'entends dans presque chaque échange avec un décideur public. Elle est prononcée sans agressivité, souvent avec un sourire un peu las. « La conformité, on sait que c'est important. Mais on a d'autres priorités. »
Je la comprends. Un budget qui se tend, des équipes sous l'eau, un système d'information à moderniser, des usagers à servir. Face à ça, un registre de traitement ou une cartographie des risques semblent pouvoir attendre. Toujours. La conformité a ce défaut : elle ne fait jamais partie des urgences du jour, jusqu'au jour où elle devient l'urgence de l'année.
Le problème, c'est que le contexte a changé. Vite. Et que l'indifférence polie d'hier est en train de devenir un pari perdant.
Les chiffres ont changé de décennie
Commençons par le plus parlant. En 2025, la CNIL a prononcé 83 sanctions pour un montant cumulé de près de 487 millions d'euros. Pour situer : c'était 55 millions en 2024. Le montant a été multiplié par neuf en un an.
On me répondra que ces sommes visent surtout les géants du numérique, et c'est en partie vrai. Mais c'est passer à côté de l'essentiel. Depuis 2022, la CNIL dispose d'une procédure simplifiée qui lui permet de sanctionner en quatre à six mois, là où il fallait dix-huit à vingt-quatre mois auparavant. Résultat : une part majoritaire des sanctions passe désormais par cette voie rapide, et elle ne vise plus les mastodontes mais le tissu réel. La secrétaire de mairie, la PME de cinquante salariés, l'établissement public qui n'a ni DPO désigné, ni registre à jour, ni politique de conservation. Le haut du spectre fait la une. Le bas du spectre fait jurisprudence, et il frappe des structures qui pensaient passer sous les radars.
Un chiffre pour finir de convaincre : en 2025, la CNIL a reçu plus de 20 000 plaintes et enregistré 6 167 notifications de violations de données, un record, dont un incident sur deux relève d'un piratage. Et pour 2026, l'institution a annoncé que la cybersécurité absorberait la moitié de ses contrôles. Elle a aussi été explicite sur un point qui concerne directement le secteur public : l'État et ses opérateurs ne sont plus épargnés et figurent nommément dans ses cibles.
L'AFA ne fait plus que sensibiliser
La CNIL n'est pas seule. L'Agence française anticorruption a publié en 2025 son Plan national pluriannuel de lutte contre la corruption 2025-2029. Ce n'est pas un document de communication : l'AFA a achevé le lancement des contrôles de l'ensemble des régions françaises et cible désormais les grandes collectivités.
Un chiffre devrait faire réfléchir tous les élus et cadres territoriaux : les collectivités territoriales concentrent 40 % des affaires d'atteintes à la probité jugées par les tribunaux. Ce n'est pas une statistique abstraite. C'est le signal que le risque n'est pas ailleurs, chez les autres, dans le privé. Il est dans les marchés publics, les subventions, les délégations, la commande publique du quotidien.
L'AFA relève d'ailleurs un point qui résume à lui seul le problème de « l'autre priorité » : les dispositifs de prévention (chartes de déontologie, référents, lignes d'alerte) sont largement déployés sur le papier, mais restent peu identifiés et donc peu utilisés par ceux à qui ils sont destinés. Cocher la case ne suffit plus. Un dispositif qui existe sans vivre n'est pas une protection, c'est une illusion de protection.
La rupture la plus profonde est passée presque inaperçue
Depuis le 1er janvier 2023, un nouveau régime de responsabilité financière des gestionnaires publics est entré en vigueur. Il met fin à un principe vieux de plus de deux siècles. Désormais, le juge financier ne juge plus les comptes : il juge les personnes, ordonnateurs comme comptables, auteurs des fautes de gestion les plus graves. Les sanctions peuvent atteindre jusqu'à six mois de rémunération.
Et la jurisprudence se construit, décision après décision. Une attachée d'administration hospitalière condamnée pour ne pas avoir alerté sa hiérarchie d'un risque. Une secrétaire de mairie mise en cause pour une omission répétée dans la transmission de documents à un assureur. On est loin des grandes affaires de détournement. On est dans la gestion ordinaire, celle où une défaillance de processus, une absence de traçabilité, un contrôle interne défaillant suffisent à engager une responsabilité personnelle.
Ajoutez à cela le travail des chambres régionales des comptes, dont les recommandations sont désormais suivies, totalement ou partiellement, dans huit cas sur dix. Et un contexte de finances locales sous tension où plusieurs départements se trouvent déjà en situation critique, ce qui aiguise mécaniquement l'attention des contrôleurs sur la qualité de la gestion.
Ce que ces trois signaux disent, ensemble
Pris isolément, chacun de ces éléments peut se relativiser. Assemblés, ils dessinent une tendance de fond qui ne se retournera pas : le contrôle monte en puissance, il s'accélère, il descend vers les structures moyennes, et il vise de plus en plus les personnes et les processus, pas seulement les organisations.
Dans un contexte économique tendu, cette convergence n'est pas un hasard. Quand l'argent public se raréfie, l'exigence de bonne gestion augmente. Le contrôle n'est pas un supplément de bureaucratie que la crise permettrait de reléguer. C'est précisément ce que la crise fait remonter en haut de la pile.
La conformité n'est pas une contrainte, c'est une assurance
Voilà où je veux en venir, sans détour, parce que c'est le cœur de mon métier. Traiter la conformité comme une priorité de second rang revient à faire un pari : celui que le contrôle ne viendra pas, que la violation n'arrivera pas, que la faute ne sera pas imputée. Ce pari était tenable il y a dix ans. Il ne l'est plus.
La vraie question n'est donc pas « a-t-on le temps de s'occuper de la conformité ? ». Elle est : « peut-on encore se permettre de ne pas s'en occuper ? ».
S'équiper d'un dispositif de GRC (Gouvernance, Risques et Conformité) solide, ce n'est pas empiler des procédures. C'est se doter d'une manière de piloter le risque : savoir où sont ses vulnérabilités, tracer ses décisions, prouver que ses dispositifs vivent réellement, réagir vite quand un contrôle ou un incident survient. C'est transformer une posture défensive et subie en une capacité de maîtrise. C'est, pour un gestionnaire public désormais personnellement exposé, la différence entre subir un contrôle et le traverser.
La culture du risque ne se décrète pas dans l'urgence, le jour où l'auditeur frappe à la porte. Elle se construit avant. Ceux qui l'auront compris en feront un avantage. Les autres découvriront, trop tard, que « l'autre priorité » était en réalité la première.
Sources
CNIL, bilan sanctions 2025 (83 sanctions, ~487 M€)
https://www.cnil.fr/fr/bilan-sanctions-2025CNIL, rapport annuel 2025 (contrôles, cybersécurité 2026)
https://www.cnil.fr/fr/rapport-annuel-2025AFA, rapport d’activité 2025 (collectivités, 40% des atteintes à la probité)
https://www.agence-francaise-anticorruption.gouv.fr/files/2026-07/Rapport%20d'activit%C3%A9%202025%20AFA.pdfAFA, plan national de lutte contre la corruption 2025-2029
https://www.banquedesterritoires.fr/un-nouveau-plan-de-lutte-contre-la-corruption-alors-que-les-atteintes-la-probite-vont-croissantNouveau régime de responsabilité des gestionnaires publics (entrée en vigueur 2023)
https://cms.law/fr/fra/news-information/nouvelle-responsabilite-financiere-des-gestionnaires-publicsCRC Occitanie, bilan 2025 (80% de recommandations suivies)
https://gazette-du-midi.fr/au-sommaire/collectivites/controles-enquetes-recommandations-le-bilan-2025-de-la-crc-occitanie
- fonction publique
- cartographie des risques
- AFA
- traçabilité
- Sapin II
- conformité
- finances publiques
- Cour des comptes
- CNIL
À lire également
DGFiP : deux comptes légitimes, 678 437 personnes concernées
Intrusions en juin et juillet 2026, revendiquées mi-août. Le mode opératoire tient en une phrase : usurpation des identifiants de deux comptes légitimes, dont celui d'un tiers habilité. C'est le scénario que les dispositifs de sécurité couvrent le moins bien.
Hôpitaux publics : un déficit qui recule, un investissement qui décroche
Le déficit hospitalier recule de 2,9 à 2,3 milliards d'euros, mais l'effort d'investissement passe de 5,1 % à 4,8 % des recettes. Une amélioration du résultat obtenue en partie au détriment de la capacité future pose une question de pilotage, pas de comptabilité.
Non, l'AI Act n'est pas reporté
Entré en vigueur le 27 juillet 2026, le règlement digital omnibus décale au 2 décembre 2027 les obligations des systèmes à haut risque de l'annexe III. L'application générale de l'AI Act, elle, n'a pas bougé. La confusion entre les deux est répandue et coûteuse.