L’UE 5 Management des systèmes d’information du DSCG 2026 a eu lieu le jeudi 22 octobre 2026, de 9 h 30 à 12 h 30 (3 heures, coefficient 1). Le sujet portait sur NÉVARYS, opérateur fictif de bornes de recharge, en trois dossiers indépendants notés sur 60 points : architecture, urbanisation du SI et capitalisation des connaissances (22 points), conduite du projet de modernisation du SI (16 points), sécurité, continuité et architecture de confiance (22 points). Les éléments de réponse proposés ici ne constituent pas un corrigé officiel.

1. Comment se présentait l’épreuve en 2026 ?

L’arrêté du 5 décembre 2025 a placé l’UE 5 le jeudi 22 octobre à 9 h 30, avant l’UE 3 l’après-midi (voir le calendrier du DSCG 2026). Le sujet de 13 pages comptait cinq annexes. Aucun document ni matériel n’était autorisé, et la page de garde précise que l’usage d’une calculatrice « constituerait une fraude ». Elle exige aussi des hypothèses explicites et des réponses justifiées.

2. Le cas NÉVARYS

Fondée en 2019 à Grenoble et rachetée en 2024 par un fonds d’investissement européen, NÉVARYS exploite au 31 décembre 2025 8 200 bornes dans huit régions. Elle compte 230 collaborateurs, environ 280 techniciens itinérants, salariés ou sous-traitants, et 450 000 abonnés actifs sur son application, pour un chiffre d’affaires 2025 de 78 millions d’euros. Le plan 2026-2028 vise environ 18 000 bornes, une disponibilité moyenne au-dessus de 98 % (94 % en 2025) et la rentabilité opérationnelle en 2028.

Sa plateforme de supervision, développée en interne en 2020, sature au-delà de 10 000 bornes. Trois incidents de fin 2025 (application partiellement indisponible six heures, écarts de facturation, tentative d’intrusion) montrent la fragilité du SI. Le candidat, responsable du contrôle interne, conseille la directrice générale.

3. Dossier 1 : architecture, urbanisation et connaissances

Diagnostic et architecture cible (questions 1 et 2)

La question 1 demandait un diagnostic d’urbanisation et d’intégration applicative, avec des fragilités hiérarchisées et reliées au plan. L’énoncé fournit les constats : ni cartographie ni schéma directeur, des échanges par fichiers et des passerelles au cas par cas, une interface manuelle entre CRM et facturation, des rapprochements manuels entre facturation et comptabilité (annexe B). La saturation de la supervision vient en tête : si le plan est tenu, le parc atteint 8 200 + 2 600 = 10 800 bornes fin 2026, au-delà du seuil de 10 000.

La question 2 attendait une architecture cible pour 18 000 bornes : urbanisation (zones, quartiers, îlots, référentiels uniques), bus d’échange ou middleware au lieu des liaisons point à point, API vers les opérateurs d’itinérance et les partenaires de paiement, cloud pour la montée en charge. Le jury 2025 relevait dans un nombre significatif de copies des « développements génériques, peu contextualisés » : chaque choix doit partir du parc connecté.

Développement interne, infogérance ou SaaS (question 3)

La question 3 comparait les modes de déploiement de la supervision : coût total de possession (TCO), investissement (CAPEX) ou charges (OPEX), tarification au poste ou à l’usage. L’annexe E chiffre trois plateformes, en K€ :

Deux hypothèses sont à écrire : le TCO ignore le coût des compétences internes, « élevées » pour Alpha, et traite la redevance de Bêta comme fixe alors que le parc double. Autre piège : Alpha, progiciel propriétaire acquis en CAPEX quand Bêta et Gamma relèvent de l’OPEX, n’est pas un développement interne, option que l’annexe ne chiffre pas.

Gestion des connaissances (question 4)

La question 4 portait sur la gestion des connaissances des 280 techniciens. L’annexe D décrit un savoir-faire gardé dans des notes sur téléphone, une heure de passation quand un collègue le remplace pendant ses congés, le départ d’un ancien. Le modèle SECI de Nonaka et Takeuchi (connaissances tacites et explicites) fournit le cadre. Une base de connaissances mobile reliée à l’historique des interventions et des communautés de pratique entre régions peuvent servir d’outils, à condition de laisser du temps pour contribuer et d’y associer les sous-traitants.

4. Dossier 2 : conduite du projet NÉVARYS 2028

Le projet remplace la plateforme de supervision et réurbanise le SI autour d’elle, pour environ 6,5 millions d’euros sur trois ans. La directrice générale s’interroge sur une démarche agile à l’échelle, séduisante mais exigeante en maturité ; la directrice administrative et financière plaide pour une démarche plus séquentielle, et aucun référent métier formel n’existe.

La question 1 (rôles de la MOA et de la MOE, comitologie, démarche, livrables) attendait une position argumentée entre ces deux options. Une démarche hybride se défend : cadrage, budget et jalons séquentiels, puis des lots en itérations courtes pour l’application et les outils de terrain. La responsable d’exploitation d’Île-de-France, qui a demandé à être associée au projet, ferait une référente métier naturelle.

La question 2 portait sur la conduite du changement pour quatre populations : techniciens, opérateurs de supervision, commerciaux, fonctions support. Le cas donne les résistances : une vingtaine des 42 techniciens d’Île-de-France viennent de sous-traitants intégrés avec leurs habitudes, une partie significative des collaborateurs a moins de deux ans d’ancienneté, le CRM est inégalement adopté.

La question 3 portait sur le bilan post-implémentation. Ses indicateurs se tirent du sujet : disponibilité (94 % en 2025, plus de 98 % visés), délai moyen de rétablissement de 38 heures, 187 incidents dont 12 majeurs, écarts de facturation, budget et délai. Capitaliser ces retours d’expérience rejoint la gestion des connaissances du dossier 1.

5. Dossier 3 : sécurité, continuité et confiance

Le directeur sécurité du SI relève des mots de passe comme principale authentification, des droits gérés de façon artisanale, des sauvegardes hétérogènes et aucun plan de continuité. NÉVARYS est en outre, dans les termes du sujet, opérateur de services essentiels au sens de la directive NIS. La directive (UE) 2022/2555, dite NIS 2, qui l’a abrogée au 18 octobre 2024, parle désormais d’entités essentielles et importantes et vise les exploitants de points de recharge.

Risques et continuité (questions 1 et 2)

La question 1 demandait une cartographie des risques selon leur probabilité et leur impact. L’annexe C cite un rançongiciel qui a rendu le réseau d’un opérateur européen indisponible plus de dix jours. Exemple de classement, à justifier dans la copie :

Pour le plan de continuité (question 2), le jury 2025 valorisait la distinction entre PCA et PRA et les notions de RTO et de RPO. Un bilan d’impact placerait la supervision et la facturation au plus haut niveau de criticité ; le PCA s’articule avec le SOC externalisé et la déclaration des incidents.

Signature électronique, contrats et assurance (questions 3 et 4)

La question 3 portait sur l’infrastructure à clé publique (clés asymétriques, certificat délivré par une autorité de certification) et sur la valeur probante de la signature électronique. Le règlement (UE) n° 910/2014, dit eIDAS, distingue signature simple, avancée et qualifiée ; son article 25 donne à la signature qualifiée l’effet d’une signature manuscrite. L’article 1366 du Code civil donne à l’écrit électronique la même force probante que l’écrit papier, sous conditions d’identification et d’intégrité, et l’article 1367 avec le décret n° 2017-1416 présume fiable, jusqu’à preuve contraire, la signature qualifiée. Pour des factures émises en masse, le cachet électronique (article 35 d’eIDAS) et l’horodatage complètent le dispositif.

La question 4 croisait la responsabilité (contractuelle, NIS, RGPD pour les données de mobilité), les clauses à exiger des prestataires (niveaux de service et pénalités, réversibilité, localisation des données, droit d’audit) et l’assurance cyber, pour les dommages propres comme pour la responsabilité envers les tiers.

6. Qu’est-ce qui change par rapport aux sessions passées ?

L’urbanisation et le pilotage du changement figuraient au sujet 2019, le schéma directeur en 2021, la gestion de projet en 2023 et 2024, la facturation électronique en 2023. Sécurité et PCA-PRA reviennent après le dossier Zero Trust de 2025. La supervision d’objets connectés, la gestion des connaissances, le bilan post-implémentation, l’infrastructure à clé publique et le volet assurantiel n’apparaissent pas dans les thèmes recensés de 2019 à 2025 (voir les annales DSCG par UE).

Selon le rapport du jury 2025, le taux de réussite à l’UE 5 est passé de 57,82 % en 2024 à 38,84 % en 2025 avant délibération, ce que le jury relie au repositionnement des sujets au niveau master. Il conseillait pour 2026 de citer les modèles et de contextualiser chaque réponse.

7. Que retenir pour la session 2027 ?

C’était le dernier sujet sur le programme de l’arrêté du 13 février 2019. À partir de 2027 s’applique celui de l’arrêté du 4 août 2025 : selon le guide pédagogique, l’UE 5 reprend l’ancien programme, sauf ce qui est déjà vu en UE 8 du DCG, et ajoute notamment la cybersécurité. Voir la page Réforme DSCG 2027 et le guide de l’UE 5.

8. Quand tombent les résultats ?

Après les oraux de l’UE 6 et de l’UE 7, qui commencent le lundi 26 octobre 2026, les résultats seront publiés le vendredi 11 décembre 2026 sur Cyclades. Pour le calcul de la moyenne, voir calculer sa moyenne au DSCG.

9. Questions fréquentes

10. Références officielles

• CRCF : sujets du DCG et du DSCG
• Rapport du jury national du DSCG 2025 (PDF)
• Arrêté du 5 décembre 2025 (calendrier 2026)
• Arrêté du 4 août 2025 (programme 2027)
• Guide pédagogique du DSCG, juillet 2026 (PDF)
• Règlement (UE) n° 910/2014 (eIDAS)
• Code civil, article 1366
• Code civil, article 1367
• Décret n° 2017-1416 du 28 septembre 2017
• Directive (UE) 2022/2555 (NIS 2)

11. À lire aussi

• Annales DSCG par UE : sujets, thèmes tombés et méthode
• Comment réviser l’UE 5 Management des systèmes d’information
• Réforme DSCG 2027 : ce qui change UE par UE