Il serait injuste d’y voir un défaut des services achats. Leur métier est de comparer des offres selon des critères clairs et équitables, et ils le font avec rigueur. Mais on leur demande de couvrir, avec la même exigence, des dizaines de familles d’achats : énergie, bâtiment, informatique, flotte, sûreté. Il paraît difficile de maîtriser en profondeur chacun de ces environnements, surtout quand l’un d’eux se transforme aussi vite que la technologie numérique.

Six lignes manquent souvent à la comparaison.

Ce que le marché a changé depuis la rédaction du cahier des charges. Un cahier des charges se prépare souvent plusieurs mois avant la consultation. Pendant ce temps, le marché bouge : analyse vidéo par intelligence artificielle, architectures ouvertes et interopérables, cybersécurité intégrée dès la conception, maîtrise de l’hébergement des données. Ces évolutions pourraient ne pas figurer parmi les critères, simplement parce qu’elles sont trop récentes pour y avoir trouvé leur place.

Ce que le périmètre de lecture permet de voir. Une décision d’achat s’appuie sur ce que l’on comprend de l’environnement concerné. Or la sûreté moderne ne relève plus seulement de la caméra : elle touche au réseau, au stockage, à la cybersécurité, à la réglementation, à l’intelligence artificielle. Il pourrait arriver que certains de ces sujets, plus techniques, restent en périphérie de ce que l’évaluation peut raisonnablement examiner. Non par négligence, mais parce que personne ne peut tout connaître de tout. Deux offres pourraient alors sembler équivalentes sur le papier alors que l’une repose sur une conception d’hier et l’autre sur celle d’aujourd’hui. C’est peut-être ainsi que l’on en vient, en toute bonne foi, à reconduire une sûreté que le marché a déjà dépassée.

Faire fonctionner le système. Les équipements vieillissent, les logiciels demandent des mises à jour, le stockage se remplit, les pannes arrivent. Les professionnels appellent cela le MCO, le maintien en conditions opérationnelles. Autrement dit : s’assurer que ça marche encore, et pas seulement le jour de la recette.

Le garder à l’abri. C’est le MCS, le maintien en conditions de sécurité : appliquer les correctifs, revoir qui a accès à quoi, vérifier que personne n’a laissé une porte ouverte. Dans ses travaux sur la cybersécurité, la Cour des comptes relève, d’après une étude du SGDSN, que ce maintien représente de l’ordre de 10 % de l’investissement initial, chaque année. Ce ne serait donc pas un supplément, mais la suite normale de l’achat.

Répondre aux obligations. NIS2, Cyber Resilience Act, exigences propres aux opérateurs d’importance vitale : la conformité n’est pas gratuite, mais elle coûterait nettement moins cher lorsqu’elle est prévue dès l’achat que lorsqu’il faut la rattraper en urgence, avec un équipement qui n’a pas été pensé pour.

L’incident qu’on n’a pas eu. C’est la ligne la plus difficile à chiffrer, parce qu’elle ne se voit que lorsqu’elle se produit. La même Cour des comptes évoque, pour une cyberattaque, un coût moyen de 5 à 10 % du chiffre d’affaires d’une organisation, en précisant que ce coût reste largement sous-évalué. Une grande partie correspondrait à l’activité qui s’arrête.

Une fois ces lignes posées, la comparaison pourrait changer. L’offre à −15 % pourrait devenir la plus chère au bout de cinq ans. Elle pourrait aussi rester la meilleure, et c’est pourquoi la question mérite d’être posée à froid, avant la signature.

Il reste un dernier point, souvent négligé : ce que le fournisseur s’engage à garantir. Un engagement de moyens dit « nous ferons le maximum ». Un engagement de résultat dit « voici le niveau de service promis, voici ce qui se passe si nous ne le tenons pas ». Dans un appel d’offres, cette différence pèserait autant que le prix.

Sept questions que l’on pourrait poser avant de signer :

1. Le cahier des charges tient-il compte des évolutions les plus récentes du marché, et la solution proposée les intègre-t-elle nativement ?
2. Les équipes techniques (DSI, RSSI, sûreté) ont-elles été associées à l’analyse des offres, là où le sujet dépasse la compétence d’achat ?
3. Quel est le coût annuel de maintenance et de mise à jour, sur cinq et dix ans ?
4. Qui applique les correctifs de sécurité, et dans quel délai ?
5. Que se passe-t-il le jour où une nouvelle obligation réglementaire apparaît ?
6. Quel niveau de service est garanti par contrat, et avec quelles conséquences en cas de manquement ?
7. Que devient le système si le fournisseur disparaît ou change de stratégie ?