Interview - Jean-Laurent Santoni

Juriste de formation, Jean-Laurent Santoni a exercé ses activités dans le monde de l'assurance où il a notamment participé à la création de plusieurs polices d'assurance. Il a mis en place son approche, essentiellement fondée sur la gestion des risques, au sein de la commission an 2000 du Clusif (Club de la Sécurité des Systèmes d'Information Français). A 200 jours de la date fatale, il fait le point du planning à mettre en place et des conseils utiles...

Propos recueillis le 23 juin 1999 par Alain Steinmann

JDNet: Quel rôle le Clusif veut-il jouer par rapport à l'an 2000?
Jean-Laurent Santoni: La particularité du Clusif est d'être composé de fournisseurs et d'utilisateurs. Nous avons tenté d'appréhender le problème de l'an 2000 par l'approche des risques. Nous nous voulons plus un lieu d'échange que d'affrontement. En 1995, j'ai pris en charge la commission an 2000 et, dès 1996, nous avons édité un document qui préconisait une approche globale du problème. En avril 97, à J -1000, nous avons développé des questionnaires, des outils d'évaluation de risque et des méthodologies qui ont servi de référence. Le Clusif a notamment été appelé à participer au Comité national pour le passage à l'an 2000. En septembre 98, nous nous sommes rendu compte que la situation devenait urgente, c'est pour cela que nous avons conçu le document de conduite de projet d'urgence qui est disponible sur notre site en intégralité.

Aujourd'hui, quelle est la situation en France?
La situation est très hétérogène et très imprégnée de la culture des chefs d'entreprise. Les entreprises "in" sont celles qui ont une culture "qualité" et une approche processus. Celles-là ont compris que l'an 2000 n'était pas une problématique seulement technique mais aussi organisationnelle et concurrentielle.
De l'autre côté, on peut parler d'entreprises qui utilisent la "science sans conscience", celles qui utilisent des systèmes de production assistée par ordinateur sans se rendre compte de leur dépendance. De ce côté, on trouve plutôt des entreprises qui pensent d'abord à finir l'année. Ce sont ces entreprises, qui ne sont pas sensibles aux évolutions, qui sont en danger car elles ne sont pas prêtes culturellement.

Secteur par secteur, où en est-on ?
Il n'y a pas d'effet de secteur: on trouve de tout dans le même secteur. Même du côté des grandes entreprises, tout le monde n'est pas prêt. Je connais par exemple de grands transporteurs qui travaillent avec des bouts de papier. En fait, il y a une dimension culturelle non négligeable et certains ont encore des réflexes du type "c'est un coup des fournisseurs pour nous faire acheter du matériel".

Que répondez-vous à ceux qui disent que l'an 2000 n'est pas un problème à l'ordre du jour ?
Je leur demanderais au moins de s'identifier clairement, qu'on puisse les éviter Ils engagent leur responsabilité économique car ils risquent de voir leur entité économique disparaître. Et leur responsabilité personnelle vis à vis de la communauté de leurs actionnaires et salariés. L'an 2000 peut être un pari. Faire le pari qu'il ne se passera rien peut être dangereux. Faire le pari qu'il se passera quelque chose, c'est déjà faire la démarche d'en tirer un avantage par rapport à ceux qui ne feront rien.

Où en est le secteur public ?
La France a la chance d'avoir un secteur public centralisé. EDF et France Télécom arriveront sans peine à maîtriser l'an 2000. La plus grande difficulté, c'est l'éparpillement.

Comment une entreprise peut-elle savoir si elle est prête ?
C'est difficile de dire ce qu'on entend par "prêt" ou "non prêt". Au Clusif, nous disons clairement qu'il ne faut pas s'exarcerber sur les inventaires mais avoir une approche de type gestion de risques. Il faut s'organiser pour ne pas être en situation de dépendance ou de blocage. Les bonnes questions à se poser c'est: de quoi ai-je besoin ? Comment m'organiser en fonction de ces besoins ?
Le blocage technique est une chose: il est lié à la non préparation des composants. Tout le monde a peu ou prou fait son inventaire mais certains vont se retrouver bloqués parce qu'ils n'ont pas d'informations provenant de leurs fournisseurs. Il faut bien comprendre dans quel processus s'intègre le composant. Ceux qui seront prêts sont ceux qui auront suffisamment préparé et analysé la situation pour savoir comment se débrouiller.

Comment se situent les entreprises françaises par rapport à leurs homologues européennes ?
Les anglo-saxons ont une forte culture du risque mais, même au Royaume-Uni, il a fallu une campagne de communication supplémentaire nécessaire. Les plus avancés sont les néerlandais (dont la commission an 2000 est dirigée par l'ancien patron de Philips) et les Allemands (où le patronat a pris les choses en main). Plus on descend vers le sud, moins les pays sont prêts. La France est un doux mélange d'hypersensibilité et de scepticisme cartésien.

Est-ce que ce qu'on avait prévu il y a deux ans, à J-1000 s'est réalisé
Il y a deux ans, il n'y avait pas de mission consacrée à l'an 2000 et seulement quelques "fous" osaient en parler. A J-1000, certains journalistes sont venus au Clusif en pensant qu'on allait parler des festivités de l'an 2000, c'est vous dire! L'arbre de l'euro a caché la forêt de l'an 2000 et beaucoup d'entreprises ont préféré évincer le problème qui était susceptible de remettre en cause les objectifs sur l'euro. On disait que c'était surtout un problème de migration de Cobol et que ça ne concernait que les grands. En fait, on ne mesurait pas toutes les conséquences puisqu'on avait une approche essentiellement centrée sur les inventaires. Il n'y avait d'ailleurs pas beaucoup de solutions pour scanner le code source et trouver les problèmes de dates.

Quels conseils donneriez-vous aux entreprises aujourd'hui, à 200 jours du bug?
1- Abandonner la recherche de l'inventaire mais plutôt se demander ce qui est essentiel à leur activité, ce qui est vital au sens financier, puis ce qui est critique et enfin le non critique (les statistiques par exemple).
2- Identifier les composants électroniques qui peuvent flancher dans ce qui est vital: en fait ce n'est pas énormément de choses.
3- Faire un inventaire rapide des solutions possibles et de leur faisabilité. Changer une machine par exemple, ce n'est pas compliqué mais réorganiser une chaine de production, c'est difficile à 200 jours de l'an 2000.
4- Si la solution est faisable, la mettre en place. Sinon étudier un plan de contournement manuel et dégradé. Entre une solution glorieuse et une solution basique, je choisis la basique, c'est une approche humble. Mais il faut bien se réserver du temps pour une réflexion en amont et en aval.
Il faut avoir une vision transversale. Ceux qui prétendent que c'est compliqué doivent se rendre compte que c'est une bonne occasion pour se poser le problème et que les points étudiés vont pouvoir servir dans l'entreprise.

Quel est le planning idéal?
Depuis le début de l'année, les entreprises doivent avoir analysé les contraintes de leurs systèmes. Entre juin et août, elles doivent réaliser des tests d'intégration pour voir quels sont les outils conformes à l'an 2000 et qu'ils sont bien compatibles entre eux. C'est une notion très importante: les logiciels compatibles an 2000 ne le sont pas forcément entre eux! En septembre, il faudra mettre en place un plan de continuité pour organiser un bon passage, mettre en place une gestion des incidents.

Et ceux qui sont hors planning ?
Ce sont des proies faciles qui vont chercher des bouées de secours. Ils ont peur et sont prêts à acheter n'importe quoi. Ceux-là doivent mettre en place notre plan de secours. Ils ont encore une chance s'ils ne sont pas trop lourds et que leur dépendance par rapport à leur système d'information n'est pas trop importante.

Qui doit prendre en charge le projet de passage à l'an 2000? La direction informatique?
C'est l'erreur initiale. L'an 2000 est un problème qui a des connotations partout. Je pense qu'il faut une approche à quatre: le patron du comité de pilotage doit être le chef d'entreprise et doit organiser la réflexion selon trois axes:
1- Les systèmes d'information (l'informatique de gestion)
2- Les infrastructures
3- Les process.

Quels seront les coûts du passage à l'an 2000 selon vous?
Il faut distinguer trois choses:
1- Les mises à niveau du matériel et des logiciels devraient représenter entre 150 et 200 milliards de francs. Mais l'an 2000 peut obliger à avancer des dépenses et la somme due uniquement à l'an 2000 est très difficile à estimer.
2- Les coûts de dysfonctionnement que personne ne peut évaluer aujourd'hui.
3- Les risques en terme de croissance. Là il y a deux approches: ceux qui pensent que ça va nous coûter très cher et que nous allons perdre des points de croissance et d'autres (dont je fais partie) qui estiment que la nécessité d'adaptation va entraîner beaucoup d'activité.

Qu'est-ce-que le Clusif prévoit pour le 3 janvier 2000?
Tous les jours, il va se passer tout un tas de petits incidents mais nous ne prévoyons pas de catastrophe. Vous savez, l'an 2000 a déjà commencé et il se produit tous les jours des problèmes avant même le passage effectif. Mais le plus à redouter, c'est l'effet domino, des petites causes qui produisent de grands effets. Ca dépendra un peu de l'état de préparation des foules. Si elles ont été assez bien préparées, elles ne paniqueront pas. Sinon, il pourrait y avoir des effets de panique.

Le passage à l'an 2000 n'est pas l'arbre qui cache la forêt de l'inadaptation croissante des moyens informatiques?
Si. D'autres problèmes vont se poser. Mais le bug de l'an 2000 va durer 6 mois et il ne faudra pas se sentir débarrassé le soir du 3 janvier. D'autres problèmes vont apparaître après. Il faudra d'ailleurs surveiller le 29 février 2000 et quelques autres dates. Plus généralement, on ne pourra pas faire l'économie d'une vraie réflexion sur la dépendance dans laquelle on se trouve aujourd'hui vis-à-vis des systèmes d'information.

Toutes nos interviews