SIPAC 2.0 : quand le chef du DEFR a-t-il été informé des 71 failles de sécurité ?

Suite aux récentes révélations de presse documentées par des pièces officielles obtenues en vertu de la loi sur la transparence (LTrans), il apparaît qu'un audit avait formellement identifié 71 failles de sécurité (dont 27 critiques) dès mai 2025 sur le système SIPAC 2.0. À quelle date exacte le chef du DEFR a-t-il été personnellement informé de ces alertes majeures, et comment justifie-t-il qu'aucun report ni mesure corrective préalable n'aient été exigés avant le déploiement du 6 janvier 2026?

Le Conseil fédéral n’a pas induit le Parlement en erreur. Le chef du Département de l’économie, de la formation et de la recherche a été régulièrement informé de l’avancement du projet et des risques. Il n’existe pas de date à laquelle il aurait été informé de « 71 failles de sécurité, dont 27 critiques », puisque les audits n’ont pas abouti à cette conclusion. Le contrôle de sécurité recensait 71 constats de différents niveaux de priorité, et un examen distinct de l’architecture relevait 9 constats critiques. Les problèmes de sécurité déterminants ont été corrigés avant la mise en service, et les autres constats ont donné lieu à des mesures. Les incidents de janvier et février n’étaient pas liés à ces constats, mais principalement aux interactions avec les systèmes environnants et aux charges en production. Leur ampleur et leurs conséquences opérationnelles étaient imprévues. La communication initiale, centrée sur la situation technique, n’a toutefois pas suffisamment rendu compte des difficultés opérationnelles des caisses de chômage.

Le Conseil fédéral est conscient que des versements tardifs ont pu avoir des conséquences importantes. La législation ne prévoit toutefois pas de mécanisme général d’indemnisation. Toute prétention doit être examinée individuellement selon l’article 89a de la loi sur l’assurance-chômage en relation avec l’article 78 de la loi fédérale sur la partie générale du droit des assurances sociales ; une indemnisation suppose notamment un dommage établi et un lien de causalité adéquat. Les délais ne peuvent pas être globalement imputés à SIPAC 2.0 : ils pourraient également résulter d’un dossier complexe ou incomplet, de vérifications nécessaires ou d’erreurs de traitement. En cas de difficultés financières urgentes, une avance peut en outre être demandée à la caisse de chômage.

Le 5 janvier 2026, la migration a été menée à bien : les échanges avec les systèmes environnants étaient stables, les tests concluants et la mise en service progressive réussie. Tous les critères déterminants étaient donc remplis, et aucun élément bloquant ne justifiait un report. Dans ces conditions, reporter d’un an la mise en service, comme l’aurait permis le maintien contractuel de l’ancien système jusqu’à fin 2026, n’aurait pas supprimé les risques résiduels : cela n’aurait fait que différer une décision fondée sur les mêmes éléments et les mêmes incertitudes. La mise en service au 6 janvier était par conséquent justifiée sur la base des informations disponibles.