Hélios, l'efficience comptable sans plan de secours

Un incident qualifié d'exceptionnel, et c'est déjà un déplacement

Le jeudi 5 février 2026, une baie de stockage Hitachi installée à Metz, l'un des deux centres qui hébergent les flux d'Hélios, cesse de fonctionner. La cause est étroite et matérielle, le dysfonctionnement d'un module de déduplication des données, ce composant qui ne conserve qu'une seule copie des informations identiques afin d'économiser de l'espace. Le matériel n'avait que deux ans. Il appartenait, selon le rapporteur de la mission flash, à un parc de trois mille baies analogues déployées dans le monde, dont aucune autre n'avait connu cette défaillance. Devant la commission des finances le 13 février, Éric Barbier, chef du service des gestions publiques locales à la DGFiP, résume la position de l'administration. Il s'agirait d'un « incident exceptionnel de nature technique, lié à une défaillance matérielle sur une baie de stockage ».

La restauration a exigé douze jours, en repartant des sauvegardes, avec perte de certaines données du jour même de la panne. La reprise complète n'a été annoncée que le 25 février, vingt jours après le déclenchement, certaines opérations demeurant impossibles la première semaine de mars.

La qualification mérite attention avant même les chiffres. Parler d'un incident « exceptionnel » et « de nature technique » accomplit un premier travail, celui de loger la responsabilité dans l'aléa matériel et chez un fournisseur étranger. Or une panne de baie de stockage n'a, en soi, rien d'extraordinaire. Ce qui transforme un incident matériel banal en paralysie nationale de douze jours ne se trouve pas dans la baie défaillante. Il se trouve dans le fait qu'aucun dispositif n'était prévu pour prendre le relais. Le mot « exceptionnel » déplace le regard du choix d'architecture vers la malchance, et c'est ce déplacement que la suite de cet article s'efforce de défaire.

Un concentrateur unique imposé par la loi

Hélios n'est pas une application parmi d'autres. Déployée il y a une vingtaine d'années pour succéder aux anciens modes de transmission, elle constitue le point de passage obligé entre les ordonnateurs du secteur public local, qui décident des dépenses et des recettes, et les comptables publics, qui les exécutent et les contrôlent. Les collectivités territoriales, les établissements publics locaux et les établissements publics de santé y transmettent leurs titres et leurs mandats selon le Protocole d'Échange Standard dans sa version 2, via le Portail Internet de la Gestion Publique. L'outil s'articule en aval avec la facturation électronique et avec la production des comptes financiers uniques.

Le périmètre desservi est considérable. Le rapport évoque un parc d'environ soixante mille ordonnateurs et quelque vingt mille agents de la DGFiP travaillant sur l'application, répartis entre deux centres, Versailles qui concentre près des trois quarts des postes comptables, et Metz le quart restant. La moitié des utilisateurs s'est trouvée dans l'incapacité totale de transmettre ses opérations, l'autre moitié fonctionnant d'abord en mode dégradé.

Cette architecture porte le double tranchant de la mutualisation. Elle a unifié les procédures comptables sur l'ensemble du territoire et permis des économies d'échelle réelles. Elle a, dans le même mouvement, fait de la DGFiP un concentrateur dont l'arrêt fige instantanément la chaîne comptable de dizaines de milliers d'entités. Jusqu'à quatre-vingt-dix pour cent des départements et quatre-vingt-quinze pour cent des comptables publics ont signalé des retards de paiement de leurs fournisseurs. Selon une enquête de Départements de France citée par la mission, près de trente pour cent des départements ont connu des difficultés pour verser une partie des prestations sociales qu'ils gèrent. Le rapporteur l'a formulé sans détour. L'incident étant survenu en début de mois, les paies ont été préservées, mais une panne survenue « aux alentours du 20 » aurait conduit à une situation très critique, avec « plusieurs milliards d'euros de salaires » non versés par la voie habituelle. Le caractère vital de l'outil n'a donc pas protégé l'outil. Il a seulement amplifié la portée de sa défaillance.

La chronologie d'une paralysie

5 février 2026 : défaillance du module de déduplication sur une baie Hitachi à Metz, arrêt d'Hélios. 13 février : la DGFiP qualifie l'incident d'exceptionnel devant la commission des finances. 15 au 19 février : des agents prennent des décisions de paiement sans cadre clair, dans l'attente d'instructions. 19 février : une note ministérielle autorise les comptables à payer sans effectuer l'ensemble de leurs contrôles habituels, soit quatorze jours après le début de la panne. 25 février : la DGFiP annonce la reprise complète. 29 avril : présentation du rapport de la mission flash par Jacques Oberti devant la commission des finances.

Non pas un bug, mais un accident normal

L'enchaînement qui transforme une baie en panne en paralysie générale n'est pas un défaut de fabrication isolé. Il décrit une propriété du système lui-même. La sociologie des organisations dispose d'un cadre pour le nommer, élaboré par Charles Perrow à partir de l'analyse de l'accident nucléaire de Three Mile Island. Dans les systèmes qui réunissent deux caractéristiques, une forte complexité interactive (les composants interagissent de manières difficiles à anticiper) et un couplage serré (les éléments dépendent étroitement les uns des autres, sans réserve de temps ni de souplesse pour absorber une défaillance), les pannes en chaîne ne sont pas des anomalies. Elles sont une caractéristique attendue de l'architecture. C'est en ce sens que Perrow les qualifie d'accidents « normaux ».

Hélios coche les deux cases. La déduplication illustre exactement la complexité interactive décrite par Perrow, puisqu'une défaillance sur ce composant rend inaccessibles des données que des sous-systèmes supposés sûrs tenaient pour acquises. Et l'obligation légale d'usage, couplée à l'absence de voie de contournement, installe le couplage serré, faute de mou pour résoudre l'incident avant qu'il ne devienne critique. La panne de février n'est pas la conséquence d'une erreur humaine ou d'un logiciel mal écrit. Elle est la traduction matérielle d'un choix de conception qui a privilégié la concentration sur la répartition.

Le concept

L'accident normal (normal accident) désigne, chez Charles Perrow, la défaillance majeure qui devient statistiquement inévitable dans les systèmes à haute technologie combinant complexité interactive et couplage serré. La catastrophe n'y résulte pas d'une faute isolée mais de l'interaction imprévue de défaillances mineures que l'architecture du système empêche de contenir. Référence : Charles Perrow, Normal Accidents : Living with High-Risk Technologies, New York, Basic Books, 1984.

Ce diagnostic n'enferme pourtant pas l'administration dans la fatalité, et c'est ici qu'un second courant de recherche éclaire le cas par contraste. Les travaux sur les organisations à haute fiabilité (high reliability organizations), menés notamment par Todd LaPorte, Karlene Roberts et Karl Weick, montrent que certaines organisations exposées à des risques comparables parviennent durablement à éviter la catastrophe. Elles y arrivent par la redondance des dispositifs, par une culture partagée de la fiabilité et par la capacité à décentraliser la décision quand la crise survient. La leçon est analytique avant d'être polémique. La fragilité d'Hélios n'était pas une nécessité technologique. Elle était le produit d'un arbitrage sur le couplage et la redondance, un arbitrage que le rapport lui-même qualifie de « sous-optimal ».

L'angle mort, un arbitrage vieux de vingt ans

Le cœur du rapport ne porte pas sur la baie défaillante. Il porte sur ce qui n'existait pas, un site de secours. Conçue au début des années 2000, l'application a été dotée de sauvegardes et d'une redondance des données, mais jamais d'un serveur de secours capable de prendre le relais en cas d'arrêt. La norme usuelle voudrait pourtant qu'une panne sur un système aussi critique soit résolue en quarante-huit heures. Hélios a mis douze jours, parce que la reprise supposait de tout reconstruire à partir des sauvegardes, sans bascule possible vers une installation de remplacement.

L'absence de plan de continuité d'activité, c'est-à-dire de la capacité à maintenir une activité minimale pendant l'incident puis à restaurer le service après lui, relève d'un choix de gouvernance, non d'un oubli technique. Et ce choix avait déjà été signalé. Un rapport de l'Inspection générale des finances de septembre 2022, dressant le bilan du contrat d'objectifs et de moyens 2020-2022 de la DGFiP, concluait à un bilan globalement positif tout en désignant le traitement de la dette informatique comme un point de vulnérabilité, et recommandait un pilotage à haut niveau de sa résorption avec une information semestrielle au niveau ministériel. La Cour des comptes, dès son rapport de 2019 sur les systèmes d'information de la DGFiP et de la DGDDI, avait pointé une dette technique pesant sur les capacités d'évolution, héritée pour partie du programme Copernic lancé en 2001. L'angle mort n'en était donc pas un pour qui voulait voir. La panne de février n'a pas révélé une vulnérabilité inconnue, elle a actualisé une vulnérabilité documentée et non traitée.

La correction est chiffrée. Doter Hélios, et d'autres applications critiques de la DGFiP également dépourvues de protection, d'un plan de continuité d'activité coûterait, selon le rapporteur, de l'ordre de cinquante millions d'euros par an pendant plusieurs années, à rapprocher des soixante à soixante-dix millions que la direction investit annuellement dans son informatique. Le rapport suggère une hausse des autorisations d'engagement d'environ deux cent cinquante millions d'euros sur la période du prochain contrat d'objectifs et de moyens, et préconise d'adosser ce chantier de résilience à la refonte Hélios 2, dont les premiers développements sont attendus avant 2027 pour un déploiement à partir de 2030. Une réserve traverse toutefois le constat. La DGFiP peine déjà à consommer les crédits dont elle dispose, se trouvant souvent en sous-réalisation. Le problème n'est pas seulement budgétaire, il est aussi de capacité à conduire le projet.

Le précédent qui n'en est pas un

La mémoire administrative associe spontanément Hélios à Louvois, le logiciel unique de solde des armées devenu synonyme de fiasco. Le rapprochement est instructif, mais à condition de l'inverser. Louvois, entré en service le 1er octobre 2011, a plongé des milliers de militaires dans la difficulté à cause d'erreurs de calcul de leur solde, incapable de maîtriser la complexité des nombreuses primes et indemnités militaires. Son abandon a été décidé fin 2013, son successeur Source Solde généralisé au 1er janvier 2021. Dans la même famille, l'Opérateur national de paye, lancé en 2007 pour centraliser la paie des agents de l'État, a été arrêté en 2014, la Cour des comptes relevant que son système présentait alors une valeur d'usage nulle.

Ces deux cas sont des échecs de livraison. Les outils n'ont jamais fonctionné comme prévu. Hélios est l'exact opposé. C'est un système qui fonctionne, et fonctionne depuis vingt ans, adopté par la totalité de son périmètre, irremplaçable au quotidien. La comparaison la plus parlante n'est donc pas celle de la ressemblance mais celle de la différence. Là où Louvois et l'Opérateur national de paye illustrent le risque d'une ambition excessive mal maîtrisée, Hélios illustre un danger plus discret et peut-être plus difficile à corriger, celui du succès opérationnel privé de filet de sécurité. Un projet qui échoue déclenche une mission, un audit, un abandon. Un système qui réussit sans plan de secours n'attire l'attention que le jour où il tombe. La proximité structurelle entre les trois épisodes ne tient pas à la nature de la défaillance, elle tient à un trait commun de l'appareil d'État, la sous-estimation chronique du risque opérationnel sur les systèmes de paiement publics.

Ce que la panne laisse en suspens

L'incident referme une parenthèse de douze jours et en ouvre une plus longue. La tension centrale demeure entière. L'efficience comptable de l'État repose sur une centralisation dont la robustesse a constitué l'angle mort, et la correction de cet angle mort suppose un arbitrage budgétaire pluriannuel dans un contexte de finances contraintes. Le rapporteur lui-même a laissé ouverte la question la plus structurante, celle de savoir si une forme de répartition des traitements sur plusieurs sites actifs ne réduirait pas, mieux qu'un site de secours passif, le couplage serré identifié comme cause profonde.

De cette tension découle une hypothèse vérifiable. Si la recommandation de la mission est suivie, la trajectoire de résilience d'Hélios deviendra lisible dans des documents publics datés. L'indicateur observable le plus net sera l'inscription, dans le prochain contrat d'objectifs et de moyens de la DGFiP couvrant la période 2028-2032, d'une ligne dédiée au plan de continuité d'activité, doublée de la mention d'un sous-chantier résilience dans le calendrier d'Hélios 2 et d'une hausse correspondante des autorisations d'engagement dans les annexes budgétaires de la mission Gestion des finances publiques. L'horizon de vérification se situe entre douze et vingt-quatre mois, à la négociation du contrat et au premier projet de loi de finances qui en porterait la traduction. L'indicateur négatif serait symétrique et tout aussi parlant. Un nouvel incident sur une application critique de la DGFiP, survenu d'ici vingt-quatre mois sans qu'un plan de continuité ait été déployé, confirmerait que le diagnostic de 2022, réitéré en 2026, peut être posé sans être suivi d'effet. La panne aura alors prouvé non pas la fragilité d'une baie de stockage, mais l'inertie d'une gouvernance du risque.

---

Note méthodologique

Cet article s'appuie principalement sur le compte rendu de la mission flash de la commission des finances présentée le 29 avril 2026, relayé par la presse spécialisée du secteur public local, ainsi que sur des rapports antérieurs de l'IGF (2022) et de la Cour des comptes (2015 et 2019). Plusieurs précisions factuelles ont dû être tranchées. Le nombre d'ordonnateurs varie selon les sources, autour de cinquante-cinq mille à soixante mille, et l'ordre de grandeur a été retenu plutôt qu'un chiffre unique. Les taux d'impact (quatre-vingt-dix, quatre-vingt-quinze et trente pour cent) proviennent d'enquêtes déclaratives auprès des départements et des comptables, et non d'une mesure exhaustive. Le scénario des « plusieurs milliards d'euros » de salaires non versés est une projection contrefactuelle du rapporteur, formulée au conditionnel dans l'article. Le périmètre d'Hélios relève de la comptabilité publique locale (DGFiP), les établissements publics de santé en étant usagers à ce titre, sans que l'article ne touche la sphère de l'Assurance Maladie, étrangère à cet outil. Sur le plan éditorial, le parallèle avec Louvois et l'Opérateur national de paye, déjà mobilisés dans des numéros antérieurs, est ici réemployé par contraste et non par ressemblance, ce qui en constitue l'élément analytique nouveau. Le cadre de Perrow a été préféré à celui de la dépendance au sentier, plus directement adapté à la question de la résilience qu'à celle de la trajectoire.

Sources

Sources primaires institutionnelles Assemblée nationale, commission des finances, communication de Jacques Oberti sur la panne d'Hélios, séance du 29 avril 2026 (compte rendu officiel, à vérifier avant publication sur assemblee-nationale.fr). Sénat et Assemblée nationale, questions au gouvernement et questions écrites relatives à la panne d'Hélios, février à mai 2026 (références exactes à vérifier avant publication sur senat.fr et assemblee-nationale.fr).

Rapports officiels antérieurs Inspection générale des finances, bilan du contrat d'objectifs et de moyens 2020-2022 de la DGFiP, septembre 2022 (igf.finances.gouv.fr, lien exact à vérifier avant publication). Cour des comptes, Les systèmes d'information de la DGFiP et de la DGDDI : investir davantage, gérer autrement, 2019 (ccomptes.fr). Cour des comptes, rapport public annuel 2015, chapitre sur l'Opérateur national de paye (ccomptes.fr).

Presse spécialisée du secteur public Acteurs Publics, « Après la panne d'Hélios, la centralisation des opérations comptables en question » : https://acteurspublics.fr/articles/apres-la-panne-dhelios-la-question-de-la-centralisation-des-operations-comptables-en-question/ Banque des Territoires (Localtis), « Panne d'Hélios : la mission flash pointe un déficit de communication et d'investissement » : https://www.banquedesterritoires.fr/panne-dhelios-la-mission-flash-pointe-un-deficit-de-communication-et-dinvestissement CIO-online et Le Monde Informatique, articles sur le rapport Oberti et le coût du plan de continuité d'activité, mai 2026 (liens exacts à vérifier avant publication).

Cadres théoriques Charles Perrow, Normal Accidents : Living with High-Risk Technologies, New York, Basic Books, 1984. Todd R. LaPorte et Paula M. Consolini, « Working in Practice but Not in Theory : Theoretical Challenges of High-Reliability Organizations », Journal of Public Administration Research and Theory, 1991. Karl E. Weick et Kathleen M. Sutcliffe, Managing the Unexpected, Jossey-Bass, 2001.

Parallèles historiques et doctrine de continuité Cour des comptes et documentation publique sur le programme Louvois et son successeur Source Solde (ccomptes.fr, defense.gouv.fr). SGDSN, Guide pour réaliser un plan de continuité d'activité, et ANSSI, guides sur la résilience numérique et la gestion de crise (sgdsn.gouv.fr, cyber.gouv.fr).