POUVOIR JUDICIAIRE
A/3124/2015-FPUBL ATA/948/2019
COUR DE JUSTICE
Chambre administrative
Arrêt du 28 mai 2019
dans la cause
Madame A______ représentée par Me Christian Dandres, avocat
contre
VILLE DE GENÈVE
EN FAIT
Le 25 janvier 2012, le Conseil administratif de la ville (ci-après : CA) l'a nommée employée, avec effet rétroactif au 1er janvier 2011.
b. À teneur de son cahier des charges, signé le 7 novembre 2011, elle se situait en classe L, sous le statut de cadre intermédiaire. Sa mission générale consistait à analyser, concevoir, réaliser, installer et maintenir les systèmes informatiques de la ville, conduire des projets en matière de systèmes informatiques et veiller à la sécurité ainsi qu'à la disponibilité des systèmes d'information et de communication.
Ses activités principales étaient listées en soixante points sous quatre catégories, soit management stratégique, management tactique, management opérationnel ainsi qu'encadrement et gestion du personnel dans un contexte de gestion de projet. En matière de sécurité, ces tâches étaient notamment les suivantes : contribuer à l'élaboration de la stratégie de sauvegarde et de protection de l'information et des données, la mettre en place et la vérifier, puis procéder à des tests ; mesurer, analyser et surveiller la charge de fiabilité des systèmes d'information de ses domaines d'activités et proposer des solutions d'optimisation ; administrer, configurer et paramétrer les systèmes SAP (couche applicative, base de données) et maintenir les performances ; mettre en production les nouveaux environnements SAP, gérer le socle SAP, accompagner les changements du périmètre d'utilisation SAP et appliquer les correctifs. Elle avait également, entre autres, pour tâche de contribuer à la rédaction de documents d'appels d'offres et de participer à la sélection des prestataires.
Il était également précisé qu'elle était spécifiquement responsable du domaine des environnements SAP (partie technique).
b. Dans le cadre de l'entretien périodique du 5 février 2014, le supérieur hiérarchique de Mme A______, soit Monsieur B______, a relevé que l'entretien portait sur la période allant du 15 décembre 2012 au 4 février 2014, mais que l'intéressée avait été en congé maternité et en vacances de fin décembre 2012 à mi-juillet 2013. À titre de bilan, il a relevé que Mme A______ était très engagée et motivée dans le domaine SAP. Elle avait réalisé un excellent travail sur la période concernée et dépassé les objectifs qui lui étaient fixés dans les activités et projets réalisés depuis son retour de congé maternité. Elle était également une très bonne « force de proposition ».
Monsieur C______, directeur de la DSIC, a quant à lui, indiqué que, contrairement à l'appréciateur, il aurait suggéré plusieurs points d'améliorations sur les compétences sociales et personnelles, soit l'empathie et la réceptivité (notamment lorsque ses collègues lui demandent de faire moins de bruit), et, d'autre part, l'intégrité et la loyauté (notamment sur le volet éthique des relations contractuelles).
Ledit rapport concluait notamment que les contrôles de sécurité au niveau SAP étaient faibles. Cette situation se soldait par une non-conformité absolue aux règles de bonnes pratiques recommandées par SAP, avec une somme significative de cinq cent trente-trois vulnérabilités. Si les « notes de sécurité » (correctifs) étaient à jour sur les plateformes, ces efforts consentis en terme de charge étaient ruinés par des failles liées à la configuration par défaut de certains périmètres systèmes. La charge relative à l'implémentation des correctifs afin de pallier les vulnérabilités détectées s'avérerait importante tant du point de vue des ressources internes que des investissements externes.
Les constats suivants pouvaient notamment être faits : configuration déficiente des fichiers de contrôle d'accès (aucune restriction configurée au niveau de Gateway SAP), appels de fonction à distance non-maîtrisé, utilisateur de secours non-protégé (notamment SAP*), fichiers journaux désactivés, paramètres de profil non-conformes aux recommandations SAP et aux règles de bonne pratique. Ceci démontrait certaines déficiences dans l'administration technique de ces plateformes. Il était recommandé de traiter avec une priorité élevée les recommandations concernant SAP Gateway et SAP*.
En date des 27 janvier, 3 et 13 février 2014, des séances ont eu lieu en présence de Mme A______, M. B______ et Monsieur E______, conseiller de direction chargé de sécurité à la DSIC, afin de parcourir le rapport d'audit et d'évaluer notamment la pertinence des vulnérabilités exprimées.
Le 25 juillet 2014, Mme A______ a fait l'objet d'un avertissement pour avoir tenu des propos menaçants envers son supérieur hiérarchique, Monsieur F______.
Le 10 septembre 2014, le CA a ouvert une enquête administrative à l'encontre de Mme A______, en raison d'éléments susceptibles, s'ils étaient avérés, de constituer une violation grave des devoirs généraux d'un employé susceptible d'entraîner une sanction disciplinaire et fonder un licenciement. Ils avaient trait, d'une part, à des informations erronées données au sujet de ses diplômes et à des propos inadéquats envers sa hiérarchie et ses collègues, et, d'autre part, à la présence de failles de sécurité dans le système informatique et à des comportements non conformes à la déontologie professionnelle. Les deux enquêteurs désignés étaient des juristes du service juridique de la ville.
Le 11 mai 2015, les enquêteurs ont rendu leur rapport.
Ils avaient tenu quatre audiences de comparution personnelle les 23 septembre et 27 octobre 2014 ainsi que le 20 février et 17 mars 2015. Ils avaient également procédé à l'audition de quatre témoins : M. B______ les 18 février et 17 mars 2015, M. C______ le 18 février 2015, M. F______ le 18 février 2015 et M. E______ le 20 février 2015.
Ledit rapport retenait les éléments suivants :
Mme A______ avait eu des altercations avec deux collègues de travail, Messieurs G______ et H______, durant l'année 2012. Elle avait traité le premier de « roi des blaireaux » et lui avait adressé des e-mails, en réservant copie à d'autres employés de la DSIC, le qualifiant de personne sans éducation, insignifiante, incompréhensible et inintéressante. Elle avait par ailleurs eu des relations tendues avec le second précité. En outre, elle avait tenu des propos inadéquats le 26 juin 2014 à l'encontre de son chef hiérarchique, M. F______, cela sur un ton agressif et en présence d'autres employés de la DSIC. Ce dernier comportement avait fait l'objet d'une sanction entrée en force. S'il y avait lieu de retenir à la décharge de l'intéressée que les faits reprochés étaient en partie anciens et n'avaient pas fait l'objet d'une sanction, il convenait de retenir, globalement, une attitude récurrente et peu respectueuse à l'égard de ses collègues. La situation allait par ailleurs en se péjorant dès lors qu'elle s'en était prise directement à son supérieur hiérarchique dans le dernier épisode en date.
Elle avait laissé, par négligence ou manque de vigilance, des plateformes de la ville dans un état critique de vulnérabilité, la responsabilité du défaut d'identification des failles de sécurité, en particulier les failles « classiques » permettant à des tiers de s'introduire indûment dans le système (à l'exception de la faille SAP Gateway) incombant à l'intéressée. Il en allait de même s'agissant des configurations contraires aux règles de bonne pratique des environnements SAP que l'intéressée avait elle-même mis en place depuis son entrée en fonction. Quant à la faille SAP Gateway, elle ne l'avait pas remontée à sa hiérarchie dans un délai raisonnable, malgré sa « criticité », puisqu'elle avait attendu près de deux mois après son retour de congé maternité pour le faire. En l'absence de son responsable direct, l'existence de cette faillite aurait pourtant dû être transmise à l'échelon hiérarchique supérieur. Il n'était en revanche pas établi qu'elle ait eu connaissance, avant le rapport d'audit, d'autres failles de sécurité que celle concernant SAP Gateway. L'existence d'une éventuelle surcharge de travail n'avait pas été constatée et ne pouvait donc être retenue à la décharge de l'intéressée. Devait être en revanche retenu à sa décharge le fait que la plateforme SAP n'avait jamais été auditée auparavant et que M. B______ était à la fois le supérieur hiérarchique et le binôme de l'intéressée, avant leur récent transfert, ce qui impliquait une responsabilité partagée. Le statut alors hybride de M. B______ semblait avoir généré un manque de distance voire de clairvoyance par rapport à l'exécution et au contrôle des tâches, au détriment d'une relation de travail efficace.
Par ailleurs, elle avait participé à l'élaboration, pour le compte de la DSIC, du cahier des charges pour le marché public « I______ », tout en sachant que son compagnon travaillait au sein de la société J______ (en qualité de chef de projet) directement concernée par l'appel d'offres en cours. Il ne pouvait lui échapper que cette situation présentait un conflit d'intérêts manifeste, ce qu'elle avait omis de communiquer à sa hiérarchie.
En conclusion, il apparaissait que Mme A______ semblait disposer des compétences techniques requises pour son poste. Elle avait toutefois perdu, dans une certaine mesure, la confiance de sa hiérarchie. Il apparaissait qu'elle avait adopté à plusieurs reprises un comportement inapproprié envers certains collègues et son supérieur hiérarchique, manqué de vigilance et de contrôle pour des plateformes informatiques avec toutefois une responsabilité partagée avec son supérieur hiérarchique, omis de signaler un conflit d'intérêts dans le cadre de l'élaboration du cahier des charge d'un appel d'offres et introduit manuellement, avec toutefois la participation de son supérieur hiérarchique, des heures en sa faveur dans le système de décompte horaire, apparemment pour compenser du travail effectué pendant son congé maternité. Le grief relatif à la non-possession d'un diplôme dont il était fait mention dans son dossier de candidature ne pouvait en revanche être retenu à son encontre, dès lors que la direction de la DSIC n'avait pas procédé aux vérifications nécessaires relatives audit diplôme lors de son engagement.
Le 13 mai 2015, le CA a transmis le rapport susmentionné à Mme A______ en lui impartissant un délai pour transmettre ses observations et solliciter une audition par une délégation dudit conseil.
Le 29 mai 2015, Mme A______ a adressé ses observations au sujet du rapport susmentionné au maire de la ville et au directeur général de la ville.
Elle ne partageait pas les conclusions des enquêteurs imputant uniquement à sa charge les tensions existant dans le service, cette analyse manquant d'objectivité. S'agissant des reproches relatifs à la vulnérabilité des systèmes d'informations, elle avait commencé l'application des paramètres correctifs pour certains, tandis que d'autres ne pouvaient pas être appliqués à la ville. Le rapport d'audit relevait d'ailleurs que les notes correctives de sécurité étaient à jour et que les corrections RFC permettant la communication entre les systèmes étaient implémentées de manière suffisamment sécurisée. Ses supérieurs lui avaient en outre demandé de rédiger le cahier des charges litigieux, alors même qu'ils savaient que son compagnon travaillait dans une société active dans le domaine SAP. La saisie manuelle des heures avait été proposée et validée par ses responsables hiérarchiques. La motivation de l'enquête administrative n'était qu'une stratégie pour révéler qu'elle n'était plus désirable, à la suite d'une réorganisation de groupe.
Les 23 juin et 22 juillet 2015, Mme A______, accompagnée de la secrétaire syndicale, a eu des entretiens avec le directeur général de la ville portant sur les suites envisageables au rapport d'enquête.
Le 29 juillet 2015, le CA a résilié l'engagement de Mme A______ avec effet au 30 novembre 2015 pour motif fondé.
Après avoir pris en considération ses arguments, il constatait que les faits établis par le rapport d'enquête ne permettaient pas la continuation des rapports de service, le lien de confiance étant définitivement rompu. Elle était libérée de son obligation de travailler jusqu'au terme du délai de congé. La décision était exécutoire nonobstant recours.
Elle contestait son licenciement pour les raisons qu'elle avait exposées dans ses observations du 29 mai 2015. Elle sollicitait pour le surplus l'autorisation de compléter son recours après avoir constitué un avocat si la ville maintenait sa décision nonobstant le grief essentiel qu'elle invoquait à ce stade, à savoir la violation de son droit d'être entendue pas une délégation du CA.
Le 15 octobre 2015, la ville s'est déterminée sur la violation du droit d'être entendue invoquée par Mme A______, contestant celle-ci.
Le 22 octobre et le 4 novembre 2015, le juge délégué a tenu des audiences de comparution personnelle des parties et d'enquêtes, portant exclusivement sur la problématique de violation du droit d'être entendue invoquée par la recourante.
Le 17 novembre 2015, les parties ont transmis leurs observations sur la seule question du respect du droit d'être entendu de Mme A______ suite à sa demande d'audition par une délégation du CA.
Par arrêt du 24 novembre 2015 (ATA/1257/2015), la chambre administrative a constaté la nullité de la décision du CA du 29 juillet 2015 et déclaré irrecevable le recours interjeté par Mme A______.
Le droit d'être entendu de Mme A______ avait été violé, dès lors qu'elle devait être entendue par une délégation du CA composée d'au moins un membre de cette autorité. Les deux entretiens qu'elle a eus avec le directeur général ne pouvaient en tenir lieu, ce d'autant moins qu'ils n'avaient jamais été annoncés ni présentés comme ayant cette portée.
Par arrêt du 18 novembre 2016 (8C_20/2016), le Tribunal fédéral a annulé l'arrêt précité et renvoyé la cause à la chambre administrative pour qu'elle statue à nouveau, notamment qu'elle se prononce sur l'existence d'un motif fondé de licenciement.
Le 7 février 2017, Mme A______ a complété son recours.
La décision de licenciement ne retenait plus que deux griefs à son encontre, soit d'avoir laissé des failles de sécurité dans le système informatique de la ville et d'avoir participé à l'élaboration d'un document relatif à un appel d'offres, sans avoir informé sa hiérarchie de l'existence d'un possible conflit d'intérêts.
Les griefs invoqués à son encontre n'étaient pas fondés. La décision litigieuse apparaissait comme la tentative de lui faire supporter certaines carences de sa haute hiérarchie. Ce faisant, elle violait gravement le principe de l'interdiction de l'arbitraire. Si par impossible la chambre administrative devait estimer qu'elle avait violé ses obligations de service, elle devait considérer que ces manquements ne seraient pas suffisamment graves pour justifier la résiliation des rapports de travail. Dans un contexte difficile de travail, elle avait eu à coeur, tout en s'investissant dans ses tâches, de faire valoir ses droits en se manifestant. Cette attitude avait sous doute présidé à la décision querellée, de sorte que cette dernière devait également être considérée comme étant abusive.
L'enquête administrative avait permis de mettre en évidence les nombreuses et graves violations par la recourante de ses obligations d'employée de la ville. Les éléments reprochés avaient entamé puis rompu la confiance que sa hiérarchie avait placé en elle, cela de surcroît alors qu'elle occupait un poste particulièrement sensible au sein de la DSIC. Le licenciement reposait dès lors sur des motifs objectivement fondés, n'était pas abusif et était conforme au droit.
Les motifs soulevés pour fonder le licenciement étaient clairement établis par une enquête administrative, dont certains éléments avaient été admis par la recourante, même si elle avait cherché à minimiser ses erreurs, de sorte que la décision entreprise n'était nullement arbitraire.
La décision litigieuse respectait par ailleurs le principe de la proportionnalité. La recourante avait violé à réitérées reprises ses devoirs de service dans des contextes divers et variés. Certaines violations étaient particulièrement graves, dans la mesure où elles pouvaient porter atteinte à l'image de la ville ou paralyser potentiellement tout le système SAP, sur lequel reposait le fonctionnement de l'administration municipale. Il n'était pas envisageable de la maintenir à un tel poste, alors même qu'elle n'assumait pas les tâches qui lui avaient été confiées et que la plateforme SAP était vitale pour la ville.
Dans l'hypothèse où la chambre administrative considérerait que le licenciement était contraire au droit, la réintégration de la recourante était exclue sans que cela ne cause de nombreux problèmes quant à l'organisation et le bon fonctionnement de la DSIC, ce au vu du fait qu'elle avait été libérée de son obligation de travailler, des conflits qu'elle avait entretenu avec ses collègues, de la très longue période durant laquelle l'intéressée n'avait plus travaillé ainsi que des problème de sécurité de la plateforme SAP dont elle était en partie à l'origine.
Si, par impossible, la chambre administrative devait considérer qu'une indemnité était due à l'intéressée, celle-ci devait être fixée à son minimum, compte tenu du fait qu'elle était âgée de moins de 42 ans, qu'elle avait travaillé moins de six ans pour la ville, dont une partie sous enquête, que les manquements établis étaient graves et que le marché du travail était constamment à la recherche d'employés correspondant au profil professionnel de l'intéressée, ce qui devait lui permettre de retrouver rapidement un emploi.
a. La représentante de la ville a confirmé que tous les griefs mentionnés dans sa décision du 29 juillet 2015 étaient reprochés à Mme A______ et pas seulement ceux mentionnés dans les écritures de cette dernière.
b. Mme A______ a indiqué qu'elle contestait l'intégralité des motifs fondant son licenciement.
Elle a produit un schéma concernant le fonctionnement des plateformes SAP. Il y avait un tout, composé d'une application, d'une base de données et d'un système d'exploitation. Pour faire « lire ce système », plusieurs métiers entraient en ligne de compte : les développeurs (ou les fonctionnels), les administrateurs SAP qui correspondaient au poste d'ingénieur informatique à la ville et les administrateurs SAP sécurité, aussi appelés consultants SAP sécurité. Pour sa part, elle avait été engagée comme ingénieure informatique, c'est-à-dire administrateur SAP pour le module BASIS. Son activité consistait à paramétrer techniquement et à entretenir ensuite la maintenance, l'opérationnel et la mise à jour. En revanche, tout ce qui concernait l'activité administrateur SAP sécurité nécessitait des formations qu'elle n'avait jamais suivies. Cette dernière activité relevait davantage d'une forme d'audit, dont les recommandations et les consignes étaient ensuite appliquées par les administrateurs système, soit elle-même ou ses pairs.
Ce n'était pas elle qui avait proposé les modalités permettant de compenser le travail qu'elle avait effectué durant son congé maternité, mais son supérieur hiérarchique.
a. M. B______ a indiqué qu'il avait participé au recrutement de Mme A______. Il a également confirmé qu'au sein de la ville, il y avait des ingénieurs système qui s'occupaient des serveurs, des fonctionnels qui s'occupaient du paramétrage et des développeurs qui créaient des programmes informatiques permettant d'adapter le programme standard SAP aux besoins spécifiques de la ville. En revanche, il n'y avait pas d'administrateur sécurité ou de « consultant SAP sécurité ». Il y avait un responsable sécurité qui édictait les directives en la matière, soit M. E______. Lorsqu'il identifiait un problème en matière de sécurité, deux options étaient offertes, soit l'externalisation en faisant appel à une société, soit il évoquait le problème avec la personne concernée en interne afin de trouver une solution. M. E______ était rarement venu les voir, et en tous cas pas avant l'audit d'D______ en 2014. À la suite de cet audit, une société externe avait été mandatée pour mettre en place les paramètres. Ils ne faisaient pas de retour régulier à M. E______ sur leurs activités. Ils n'avaient pas de lien hiérarchique avec de dernier. L'activité de « consultant SAP sécurité » était en grande partie externalisée. Cela consistait notamment à demander des audits de sécurité. Depuis l'audit effectué par la société D______, qui était le premier du genre, il y en avait eu beaucoup d'autres, à raison d'au moins un par année. Les normes de sécurité étaient de la compétence du responsable sécurité et non de sa propre compétence, ou de celle de Mme A______ à l'époque. Le métier de « consultant SAP sécurité » était un métier spécifique, dont la formation était dispensée par SAP. Au moment de son engagement, il ne ressortait pas du dossier de Mme A______ qu'elle avait une formation de SAP sécurité, et elle n'avait pas suivi une telle formation durant son activité à la ville. À l'époque, ils recherchaient plutôt un administrateur SAP que quelqu'un orienté sur la sécurité. Mme A______ était la personne la plus apte à mettre en pratique les corrections de sécurité dans l'environnement SAP. Elle n'était pas l'auteure des correctifs, mais appliquait ceux qui lui étaient remontés. À sa connaissance, il n'y avait pas eu de correctifs remontés à Mme A______ qui n'aient pas été appliqués. Il avait toujours été satisfait du travail de cette dernière, ce qui ressortait d'ailleurs des évaluations. Elle était proactive. Lorsqu'elle découvrait quelque chose d'utile en matière de sécurité, ils en discutaient afin d'essayer de l'implémenter et d'améliorer le système.
Mme A______ avait commencé à travailler sur le cahier des charges avant son congé maternité et souhaitait poursuivre. Ils avaient décidé d'un commun accord qu'elle pourrait continuer à le faire durant son congé maternité. Il fallait que ses heures soient prises en compte et ils avaient choisi la solution des timbrages manuels ajoutés, en accord avec son supérieur hiérarchique Monsieur K______ et le directeur ad intérim Monsieur L______. À sa connaissance, il n'y avait pas eu de réaction au sujet de cette situation à l'époque. Il était avec Mme A______ lorsque les heures avaient été comptabilisées.
Il n'avait jamais constaté de comportements déplacés de la part de Mme A______ au sein de leur groupe. Elle était très professionnelle et axée sur son travail. Il n'avait pas assisté aux échanges entre Mme A______ et M. G______, lequel ne travaillait pas avec eux mais au sein du centre de compétence SAP à l'unité développement. L'intéressée lui avait en revanche rapporté des incidents évocateurs de manque de respect entre collègues. De tels incidents lui avaient par ailleurs été rapportés par d'autres personnes que Mme A______.
b. M. G______ a notamment indiqué qu'il s'entendait plutôt bien avec Mme A______, à l'exception d'une petite altercation qu'il avait eue avec elle. Alors qu'elle s'était placée derrière lui pour intervenir sur son clavier, il s'était senti agressé et avait levé le bras et lui disant « allez dai ! ». En faisant ce mouvement, il l'avait touchée sans vouloir le faire. Elle était alors allée se plaindre et il avait été convoqué par le directeur. Il n'y avait plus eu d'incident par la suite et leur collaboration était bonne. Il n'avait pas connaissance de disputes entre Mme A______ et d'autres collègues.
a. M. E______ a notamment confirmé que le rapport d'audit qu'il avait commandé était le premier pour ce système. C'était en procédant à cet audit qu'un certain nombre de vulnérabilités étaient apparues. Celui-ci n'avait pas pour but d'imputer la responsabilité de l'une ou l'autre vulnérabilité à quelqu'un, mais de donner une image permettant ensuite de prendre les bonnes décisions pour remédier aux problèmes identifiés. Tout système informatique était vulnérable, que cela soit pour des raisons inhérentes au produit ou à son implantation. Le rapport d'audit n'avait pointé personne, mais avait fait le constat de vulnérabilité du système en raison de sa configuration. Il avait notamment mis en évidence qu'il y avait des vulnérabilités liées au fait qu'un certain nombre de paramétrages par défaut n'avaient pas été modifiés. Normalement, ces paramètres devaient être changés par les administrateurs système, une fois que les systèmes étaient mis en place ou modifiés. Le paramétrage par défaut permettait de passer à travers les couches de sécurité. Il existait environ quarante à cinquante familles de plateformes et chaque administrateur était responsable de la sécurité de la plateforme dont il avait la charge. C'était lui-même qui avait décidé des correctifs à apporter et qui les avait lancés, cela avec l'assistance d'une société externe. À ce moment-là, Mme A______ n'était plus là. Si elle avait été encore là, elle aurait eu la responsabilité de la correction des vulnérabilités. Elle aurait participé à l'élaboration du plan d'action, en raison de sa connaissance du système.
Il n'avait pas de griefs particuliers à former contre Mme A______. Il s'était plutôt bien entendu avec elle. La seule chose qu'il n'avait pas comprise, c'était sa réaction par rapport à l'audit. Elle s'était axée sur les aspects formels, plutôt que de s'attaquer au fond, soit la correction des vulnérabilités.
b. M. F______ a indiqué qu'il avait eu deux problèmes de mésentente avec Mme A______, l'un concernait le différend avec M. G______ et l'autre la discussion qu'il avait eue avec elle-même concernant l'attribution de places. Pour le reste, c'était une relation de travail normale. S'agissant du travail de Mme A______, il y avait de bonnes et de mauvaises choses. Les choses pouvaient aller bien avec elle, mais il y avait eu une période difficile, qui avait nécessité l'envoi de beaucoup de messages électroniques, l'intéressée ayant de la peine à corriger les erreurs, sans qu'il faille argumenter et le mettre par écrit.
Il avait entendu, peu après l'engagement de l'intéressée, que son concubin travaillait pour la société J______.
c. Madame M______, ingénieure en télécommunication, a notamment indiqué qu'elle avait travaillé avec l'intéressée durant plusieurs années au sein de la même unité et qu'elles avaient été très bonnes collègues de travail. Elles exerçaient la même fonction, mais au sein d'un groupe différent.
Les règles de sécurité pour les réseaux relevaient de l'initiative de l'ingénieur. Lorsqu'il s'agissait d'un remaniement important, cela était remonté au chef de la sécurité, soit M. E______.
d. Madame N______ a expliqué qu'elle était cheffe de projet à la DSIC jusqu'en 2017. Elle avait travaillé sur plusieurs projets concernant la technologie SAP, dont Mme A______ était en charge de l'exploitation. La collaboration avec Mme A______ était très bonne, que cela soit au niveau humain ou professionnel. Elle avait collaboré avec Mme A______ sur un grand projet, soit celui du « portail RH ». Il s'agissait de prendre en charge la gestion intégrale des ressources humaines de la ville. Après la mise en place du portail, il y avait eu un test de pénétration au premier semestre 2014 pour l'ensemble du système SAP dont elle se souvenait qu'il avait permis de constater que le système était robuste. Aucune faille critique n'avait été mise en évidence. Dans une audition de sécurité, il y avait toujours énormément de lignes qui ne concernaient pas toujours des failles critiques ou importantes. Au tout début du projet, il y avait eu un problème avec le prestataire et Mme A______ avait suppléé aux carences de ce dernier.
Le 19 octobre 2018, Mme A______ a produit deux documents complémentaires comprenant notamment des schémas relatifs au développement des serveurs informatiques.
Le 4 décembre 2018, la ville a produit ses conclusions après enquêtes.
Dans la mesure où la ville ne possédait pas de consultant SAP sécurité, la recourante avait bien pour mission générale de veiller à la sécurité de SAP, cette tâche n'étant attribuée à aucun de ses collègues. Cela ressortait également de son cahier des charges. Si M. B______ semblait ignorer les dispositions sur les marchés publics, la recourante n'était pas en position de les ignorer, dès lors que son cahier des charges prévoyait expressément le fait de contribuer à la rédaction des documents d'appel d'offres et à la participation à la sélection de prestataires.
Elle s'était employée, à son niveau, à implémenter les plateformes selon les standards prévalant dans le domaine. Elle ne pouvait être licenciée au prétexte qu'elle avait gravement fauté, plus d'une année après la reddition du rapport d'audit par D______ et alors que le travail de cette société avait été remis en cause. La ville avait multiplié les critiques qu'elle savait infondées ou insuffisamment graves, avec pour intention de la licencier malgré ses excellents états de service. Cette manière de procéder était non seulement contraire au statut du personnel de la ville du 29 juin 2010 (ci-après : le statut - LC 21 151.30), mais également aux principes de la bonne foi et de l'interdiction de l'arbitraire.
Le 28 janvier 2019, les parties ont été informées que la cause était gardée à juger.
Le 20 mai 2019, les parties ont confirmé qu'elles ne sollicitaient pas la tenue d'une nouvelle audience, malgré le changement de juge délégué.
L'argumentation et le contenu détaillés des pièces produites par les parties seront repris, en tant que de besoin, dans la partie en droit du présent arrêt.
EN DROIT
Interjeté en temps utile devant la juridiction compétente, le recours est recevable (art. 132 de la loi sur l'organisation judiciaire du 26 septembre 2010 - LOJ - E 2 05 ; art. 62 al. 1 let. a de la loi sur la procédure administrative du 12 septembre 1985 - LPA - E 5 10).
Le litige porte sur la conformité au droit de la décision de licenciement du 29 juillet 2015.
a. En tant qu'employée de la ville, la recourante est soumise au statut ainsi qu'au règlement d'application du statut du personnel de la ville (REGAP - LC 21 152.0), adopté le 14 octobre 2009 par le CA.
Le chapitre VI du statut énonce les devoirs du personnel. Parmi les devoirs généraux, les membres du personnel sont tenus au respect des intérêts de la ville et doivent s'abstenir de tout ce qui peut lui porter préjudice (art. 82 du statut), doivent par leur attitude entretenir des relations dignes et respectueuses avec leurs collègues, leurs supérieures et supérieurs et leurs subordonnées et subordonnés et faciliter la collaboration entre ces personnes (art. 83 let. a du statut), justifier et renforcer la considération et la confiance dont le personnel de la ville doit être l'objet (art. 83 let. c du statut), remplir leurs devoirs de fonction consciencieusement et avec diligence (art. 84 let. a du statut), se conformer aux règlements et directives les concernant ainsi qu'aux instructions de leurs supérieures et supérieurs et en exécuter les ordres avec conscience et discernement (art. 84 let. f et g du statut).
Aux termes de l'art. 93 al. 1 du statut, les membres du personnel qui violent leurs devoirs de service intentionnellement ou par négligence peuvent se voir infliger un avertissement ou un blâme ou la suppression de l'augmentation annuelle de traitement pour l'année à venir.
Selon l'art. 94 du statut, si la violation des devoirs de service le justifie, le changement d'affectation d'office au sens de l'art. 41 al. 4 ou le licenciement sont réservés.
b. L'art. 34 du statut fixe les conditions d'un licenciement pour motif objectivement fondé.
Aux termes de l'art. 34 al.1 du statut, après la période d'essai, un employé ou une employée peut être licenciée, par décision motivée du CA, pour motif objectivement fondé pour la fin d'un mois, moyennant un délai de préavis de trois mois durant les cinq premières années de service (let. a), quatre mois de la sixième à la dixième année de service (let. b), six mois dès la onzième année de service (let. c).
Selon l'art. 34 al. 2 du statut, le licenciement est contraire au droit s'il est abusif au sens de l'art. 336 de la loi fédérale du 30 mars 1911, complétant le Code civil suisse (CO, Code des obligations - RS 220) ou s'il ne repose pas sur un motif objectivement fondé. Est considéré comme objectivement fondé tout motif dûment constaté démontrant que les rapports de service ne peuvent pas se poursuivre en raison soit de l'insuffisance des prestations (a), un manquement grave ou répété aux devoirs de service (b), l'inaptitude à remplir les exigences du poste (c), la suppression du poste sans qu'il soit possible d'affecter la personne concernée à un autre emploi correspondant à ses capacités et aptitudes professionnelles (d), l'échec définitif aux examens d'aptitude à l'exercice de sa profession (e).
c. L'art. 99 du statut règle la procédure en cas de licenciement. Lorsqu'il s'avère qu'un membre du personnel est passible d'un licenciement au sens de l'art. 34 al. 2 let. a à c, le CA ouvre une enquête administrative qu'il confie à une ou plusieurs personnes choisies au sein ou à l'extérieur de l'administration municipale au sens de l'art. 97 (al. 1). Un licenciement ne peut être prononcé sans que la personne intéressée ait pu préalablement faire valoir ses observations sur les motifs avancés pour le justifier (al. 2).
d. Les communes disposent d'une grande liberté de décision dans la définition des modalités concernant les rapports de service qu'elles entretiennent avec leurs agents (arrêts du Tribunal fédéral 8C_78/2012 du 14 janvier 2013 consid. 6.1 ; 2P.46/2006 du 7 juin 2006 consid. 2.2 ; ATA/147/2018 du 20 février 2018 et les arrêts cités).
Ainsi, l'autorité communale doit bénéficier de la plus grande liberté d'appréciation pour fixer l'organisation de son administration et créer, modifier ou supprimer des relations de service nécessaires au bon fonctionnement de celles-ci, questions relevant très largement de l'opportunité et échappant par conséquent au contrôle de la chambre de céans (art. 61 al. 2 LPA). Ce pouvoir discrétionnaire ne signifie pas que l'autorité est libre d'agir comme bon lui semble, dès lors qu'elle ne peut ni renoncer à exercer ce pouvoir, ni faire abstraction des principes constitutionnels régissant le droit administratif, notamment la légalité, la bonne foi, l'égalité de traitement, la proportionnalité et l'interdiction de l'arbitraire. Il en découle que le juge doit contrôler que les dispositions prises se tiennent dans les limites du pouvoir d'appréciation de l'autorité communale et qu'elles apparaissent comme soutenables au regard des prestations et du comportement du fonctionnaire ainsi que des circonstances personnelles et des exigences du service (ATA/147/2018 précité et les arrêts cités).
Le principe de la proportionnalité, garanti par les art. 5 al. 2 et 36 de la Constitution fédérale de la Confédération suisse du 18 avril 1999 (Cst. - RS 101), se compose des règles d'aptitude - exigeant que le moyen choisi soit propre à atteindre le but fixé -, de nécessité - qui impose qu'entre plusieurs moyens adaptés, on choisisse celui qui porte l'atteinte la moins grave aux intérêts privés - et de proportionnalité au sens étroit - qui met en balance les effets de la mesure choisie sur la situation de l'administré et le résultat escompté du point de vue de l'intérêt public (ATF 125 I 474 consid. 3 et les arrêts cités ; ATA/147/2018 du 20 février 2018 et les arrêts cités).
Il convient, en premier lieu, d'examiner le bienfondé des reproches adressés à la recourante.
L'intimée reproche en premier lieu à la recourante d'avoir tenu des propos inadéquats envers MM. G______ et F______ et d'avoir eu une altercation avec M. H______.
Il ressort du dossier que la recourante a déjà fait l'objet d'un avertissement en date du 25 juillet 2014 à la suite de l'incident avec M. F______. Quand bien même elle conteste les faits qui lui sont reprochés et considère que la procédure menant à cet avertissement n'a pas été respectée, ces éléments n'ont pas à être réexaminés dès lors que la décision y relative est entrée en force.
L'existence d'une véritable altercation entre la recourante et M. H______ n'est par ailleurs pas établie. D'une part, le principal intéressé n'a pas été entendu sur les faits en question dans le cadre de l'enquête administrative. Son audition par-devant la chambre de céans n'a pas non plus été requise. D'autre part, la recourante conteste avoir eu une altercation avec M. H______. Elle a expliqué, lors de son audition du 23 septembre 2014, à la suite d'une remarque de sa part, M. H______ s'était emporté, avant de s'excuser. Elle n'avait jamais eu d'autres anicroches avec lui. Le rapport d'enquête administrative ne se réfère, pour retenir l'existence de cette altercation, qu'à une déclaration de M. B______ à teneur de laquelle M. H______ lui avait confié, à une reprise, se sentir mal à l'aise avec l'intéressée. Ledit rapport omet toutefois de mentionner que M. B______ a également relevé que la relation entre les deux précités n'avait rien d'inquiétant ou d'anormal.
S'agissant enfin des propos inadéquats tenus à l'encontre de M. G______, il convient en premier lieu de retenir, comme relevé dans le rapport d'enquête administrative, que les faits y relatifs sont anciens puisqu'ils datent de 2012. À teneur du dossier, il n'apparaît pas que la recourante aurait fait l'objet d'une sanction. La recourante reconnaît avoir traité son collègue de « roi des blaireaux » et de lui avoir adressé un e-mail dans lequel elle indiquait à ce dernier qu'il manquait d'éduction et était « insignifiant ». En revanche, contrairement à ce que laisse penser le rapport d'enquête, les personnes mises en copie de ses échanges de courriels n'étaient pas n'importe quel employé de la DSIC, mais les responsables hiérarchiques respectifs des deux protagonistes ainsi qu'une responsable des ressources humaines. Par ailleurs, il ressort du dossier que le comportement de M. G______ n'était pas exempt de reproches. À teneur d'un courriel produit par la recourante, une collègue laissait entendre que l'intéressé manquait de respect envers ses collègues. Cet élément est confirmé par le compte-rendu figurant au dossier d'un entretien du 9 octobre 2012 durant lequel Monsieur O______, employé au sein de la DSIC, a été entendu au sujet d'une altercation entre la recourante et M. G______ survenue le 2 octobre 2012. Ce dernier avait constaté que M. G______ avait levé le bras et lui avait dit « casse toi », « fous le camp », « tu n'as rien à foutre ici », lui avait montré la direction de la porte en disant « Dai, dai ». Il a encore précisé qu'il n'y avait « pas de limite » à la manière dont M. G______ s'exprimait. M. B______ a également indiqué, lors de son audition du 18 février 2015, que M. G______ n'avait pas un comportement facile (ton agressif, instructions péremptoires, aucun « merci »). Enfin, lors de son audition devant la chambre de céans, M. G______ a indiqué qu'il n'avait eu qu'une « petite altercation » avec la recourante, qu'il n'y avait plus eu d'incident par la suite et que leur collaboration était bonne.
Plusieurs témoins auditionnés par la chambre de céans, soit Mmes M______ et N______ ainsi que M. E______, ont enfin confirmé avoir entretenu de bonnes voire d'excellentes relations professionnelles avec la recourante.
Compte tenu de ce qui précède, le grief tendant à reprocher à la recourante d'avoir tenu des propos inadéquats envers des collègues et supérieurs n'est que partiellement fondé.
La recourante conteste les manquements qui lui sont reprochés, considérant s'être employée, à son niveau, à implémenter les plateformes selon les standards prévalant dans le domaine. Elle considère notamment que l'intimée lui impute des responsabilités et des tâches qui ne relevaient pas de ses attributions.
b. S'agissant des reproches portant sur la négligence ou le manque de vigilance dans l'identification des failles de sécurité, il convient de relever qu'à teneur du rapport d'audit sur lequel s'appuie principalement l'intimée pour former ce grief à l'encontre de la recourante il apparaît que les contrôles de sécurité au niveau SAP étaient faibles. Il a notamment été relevé l'existence de cinq cent trente-trois vulnérabilités. Les « notes de sécurité » (correctifs) étaient en revanche à jour sur les plateformes.
À titre préalable, il sera relevé qu'à teneur des déclarations de M. B______ aux enquêteurs des 18 février et 17 mars 2015 non contestées par l'intimée plusieurs des failles signalées par le rapport d'audit se sont révélées erronées ou non critiques, tandis que d'autres ne pouvaient pas être corrigées sans bloquer l'application. Une faille avait également été citée à trois reprises.
M. E______ a indiqué aux enquêteurs, le 20 février 2015, qu'il n'existait pas de politique de sécurité de l'information à la DSIC, notamment sous forme de directive, mais qu'un projet de règlement était en cours, sur recommandation de la Cour des comptes. M. B______ a confirmé, le 18 février 2015, qu'il n'existait, s'agissant de la sécurité, ni directive ni critère précis de la part de la direction.
À teneur des explications de M. B______ devant la chambre de céans, l'environnement SAP a été mis en exploitation au sein de la ville le 1er janvier 2004. Il ressort par ailleurs des déclarations de plusieurs témoins que le rapport d'audit rendu par la société D______ en 2014 était le premier pour ce système. Dès lors, il n'est pas aisé de déterminer si les failles mises en lumière par l'audit relevaient de la responsabilité de la recourante, soit notamment si elles étaient apparues postérieurement à son entrée en fonction et si l'intéressée aurait pu et dû, le cas échéant, les résoudre. Il a d'ailleurs été relevé par M. E______, lors de son audition par le juge délégué, que l'audit n'avait pas pour but d'imputer la responsabilité de l'une ou l'autre vulnérabilité à quelqu'un, mais de donner une image permettant ensuite de prendre les bonnes décisions pour remédier aux problèmes identifiés. Le rapport d'audit n'avait pointé personne, mais avait fait le constat de vulnérabilité du système en raison de sa configuration. Les témoignages figurant au dossier ne permettent pas non plus d'établir avec certitude la responsabilité de la recourante. M. E______ a signalé aux enquêteurs, le 20 février 2015, que certaines failles étaient certainement préexistantes à l'arrivée de la recourante. Il pensait toutefois qu'elle avait les compétences pour les détecter. M. B______ a indiqué, le 18 février 2015, que selon lui, on ne pouvait pas imputer à la recourante les failles existantes dans les environnements SAP.
À teneur du vaste cahier des charges de la recourante, signé plus d'un an et demi après son engagement, les activités qui lui étaient attribuées en qualité d'ingénieure informatique étaient très diverses et variées. Il en ressort néanmoins qu'elle était spécifiquement responsable du domaine des environnements SAP (partie technique). Lors de son audition devant la chambre de céans, M. B______ a indiqué qu'il avait participé au processus de recrutement de la recourante. Ils recherchaient alors une administrateur SAP plutôt qu'une personne orientée sur la sécurité. Il ne ressortait d'ailleurs pas du curriculum vitae de la recourante qu'elle avait une formation en SAP sécurité et elle n'en avait jamais suivi durant son activité au sein de la ville. Il a également confirmé que la recourante était la personne la plus apte à mettre en pratique les corrections de sécurité dans l'environnement SAP, précisant qu'elle n'était pas l'auteure des correctifs mais qu'elle appliquait ceux qui lui étaient remontés. Il ressort des éléments qui précèdent que si la mission de la recourante, en matière de sécurité, consistait indéniablement à appliquer des correctifs aux failles dans l'environnement SAP qui lui étaient remontées, l'existence de tâches relative à l'identification desdites failles lui incombant demeure incertaine.
La recourante et M. B______ ont tous deux fait part, tant dans leurs déclarations aux enquêteurs que devant la chambre de céans, d'une surcharge de travail importante, ce que semblent toutefois contester MM. C______ et E______ qui ont quant à eux indiqué aux enquêteurs que depuis que M. B______ avait repris le poste de l'intéressée, il ne semblait pas particulièrement surchargé. Sur la base des déclarations des deux précités, le rapport d'enquête administrative a relevé qu'une surcharge de travail n'avait pas été constatée et ne pouvait être retenue. Or, à teneur du procès-verbal de la séance s'étant tenue le 20 novembre 2013 en présence, notamment, de l'intéressée ainsi que de MM. B______ et C______, ce dernier a indiqué « qu'une ressource supplémentaire sera affectée au groupe système 1 afin de soulager [la recourante] et d'assurer sa suppléance, entre autres, si la DSIC obtient les postes supplémentaires demandés au budget 2014 ». Cet élément tend à confirmer la surcharge de travail évoquée, tant par la recourante que par M. B______.
Ainsi, les éléments au dossier ne permettent pas d'établir à satisfaction la responsabilité de la recourante concernant l'existence de failles relevées par le rapport d'audit ainsi que l'absence d'identification de celles-ci.
c. S'agissant du reproche relatif à la tardiveté du signalement de l'existence d'une faille critique dont elle avait connaissance, il ressort des déclarations de la recourante - non contestées par l'intimée - qu'elle aurait appris l'existence d'une faille au niveau de SAP Gateway grâce à une « note OSS » émise par SAP durant son congé maternité. Lors de son retour de congé maternité le 15 juillet 2013, M. B______ était en vacances, de sorte qu'elle ne lui avait parlé qu'à son retour en septembre 2013. Or, il est premièrement surprenant de constater, qu'alors que la recourante était en congé maternité, personne n'ait été chargée de recevoir ce type d'information et d'agir en conséquence. En tout état, l'intimée ne saurait reprocher de bonne foi à la recourante de ne rien avoir mis en oeuvre durant toute la durée de son congé maternité pour gérer ladite faille. S'agissant de la gestion de ladite faille dès son retour, il ressort tant des déclarations de la recourante que de M. B______, qu'après avoir été averti de l'existence de la faille relative à SAP Gateway, il avait été décidé de ne pas procéder à la correction de celle-ci, au vu de l'audit qui était en cours. Il ressort également du dossier que ce n'est qu'à l'été 2014 que ladite faille a été corrigée. Ainsi, dès lors qu'aucune mesure ne semble avoir été prise pour que la faille précitée soit gérée en l'absence de la recourante, et qu'alors même que l'existence de ladite faille a été communiquée au supérieur hiérarchique de la recourante, aucune mesure n'a été rapidement prise pour sa correction, il ne saurait être reproché à l'intéressé de ne pas avoir communiqué plus rapidement sur l'existence de celle-ci.
d. S'agissant des reproches relatifs aux configurations contraires aux règles de bonne pratique des environnements SAP, le rapport d'audit précité retient l'existence de failles liées à la configuration par défaut de certains périmètres systèmes. Or, il ressort tant du cahier des charges de l'intéressée que de ses propres déclarations, que ce type de paramétrage relevait clairement de sa responsabilité. Interrogé sur la contradiction entre les compétences de la recourante et l'existence de problèmes de paramétrage par défaut du système, M. B______ a relevé lors de son audition du 17 mars 2015 que « personne n'était infaillible ». M. E______ a quant à lui précisé, lors de son audition du 20 février 2015, que « lors de l'installation d'une plateforme, il faut verrouiller certains éléments de base, ce qui n'est pas fait avec une configuration par défaut, et ce que [la recourante] n'a pas fait ». Il a également précisé lors de son audition par le juge délégué que les ingénieurs informaticiens avaient certaines tâches liées à la sécurité et qu'ils s'occupaient notamment du paramétrage. Il doit dès lors être retenu que la recourante a commis des erreurs dans le paramétrage de certains systèmes.
Le grief relatif à la sécurité de la plateforme SAP n'est dès lors que partiellement fondé.
b. À teneur du dossier, la recourante a procédé à l'élaboration d'un cahier des charges, dans le cadre de l'appel d'offres précité, avant, pendant et après son congé maternité, soit entre la fin de l'année 2012 et le courant de l'année 2013. Il ressort des déclarations de la recourante aux enquêteurs le 27 octobre 2014 que son compagnon travaillait pour la société J______ depuis 2007 en qualité de chef de projet. L'intéressée et M. B______ ont tous deux indiqué, dans le cadre de leurs auditions respectives des 27 octobre 2014 et 18 février 2015 que cette société s'occupait déjà des systèmes de sécurité de la ville avant la rédaction de l'appel d'offre litigieux et avant même l'engagement de la recourante. Nonobstant, la question de savoir si la participation de la recourante à l'appel d'offres précité présentait un réel risque de conflit d'intérêt peut souffrir de rester indécise compte tenu de ce qui suit.
Dans son audition du 18 février 2015, M. B______ a précisé que lorsqu'il avait demandé à la recourante de travailler sur l'appel d'offres, il savait que son compagnon travaillait dans une société de services active dans SAP, mais pas qu'il s'agissait de la société J______. Il ne l'avait appris qu'un mois plus tard environ, de la bouche même de la recourante. M. F______ a quant à lui indiqué lors de son audition devant la chambre de céans qu'il avait appris peu après l'engagement de la recourante que son concubin travaillait pour la société J______. Il ressort de ce qui précède que la relation personnelle liant la recourante à un employé de la société J______ était connue de plusieurs responsables au sein de la ville, sans qu'il ne lui ait été immédiatement demandé de stopper son travail sur ce point.
La recourante et M. B______ ont tous deux indiqué, notamment dans leurs auditions respectives des 27 octobre 2014 et 18 février 2015, qu'il n'y avait selon eux pas de problème de conflit d'intérêt. M. C______ a confirmé, lors de son audition du 18 février 2015, qu'au vu de la réaction de la recourante lorsqu'il lui avait demandé d'interrompre la rédaction du cahier des charges, elle n'avait pas conscience de la problématique du conflit d'intérêt potentiel. Par ailleurs, MM. C______ et B______ ont tous deux relevé, lors de leur audition par les enquêteurs le 18 février 2015, qu'il n'existait pas de directive sur l'élaboration des appels d'offres et en particulier la problématique du conflit d'intérêts.
Il apparaît dès lors que la recourante considérait, tout comme son supérieur hiérarchique direct, qu'il n'existait aucun risque de conflit d'intérêts entre la rédaction du document litigieux et sa situation personnelle. Quand bien même le cahier des charges de la recourante prévoit explicitement qu'elle peut être amenée à contribuer à la rédaction des documents d'appels d'offres et à participer à la sélection des prestataires, il ne ressort pas du dossier qu'elle aurait été informée des règles particulièrement denses en marchés publics relatives aux conflits d'intérêts, ce qui est conforté par l'absence de directive en la matière. Il est par ailleurs surprenant que l'intimée retienne à la fois que M. B______ supérieur hiérarchique direct de la recourante et agissant également comme binôme de celle-ci ignorait les dispositions relatives aux marchés publics, alors que l'intéressée ne pouvait les ignorer.
De même, la découverte de ces faits remonte, à teneur du dossier, à l'année 2013. Une réunion s'est tenue le 20 novembre 2013 en présence, notamment, de l'intéressée et de MM. C______ et B______, notamment sur cette problématique. Or, à teneur du procès-verbal y relatif, il n'apparaît pas qu'une sanction ait été envisagée à l'encontre de la recourante pour ces faits ni même qu'une remontrance ait été formulée. L'intimée ne peut dès lors prétendre de bonne foi, dans une décision de licenciement rendue près de deux après ces faits, qu'ils constitueraient une violation grave aux devoirs de service.
Compte tenu de ce qui précède, ce grief est infondé.
b. À titre préalable, il convient de relever que le fait que la recourante ait été amenée à travailler durant son congé maternité est hautement problématique. À teneur de l'art. 35a al. 3 de la loi fédérale sur le travail dans l'industrie, l'artisanat et le commerce du 13 mars 1964 (LTr - RS 822.11), auquel renvoie l'art. 80 du statut, les accouchées ne peuvent être occupées durant les huit semaines qui suivent l'accouchement. À teneur du dossier et notamment des déclarations des parties et témoins, il n'est toutefois pas possible d'établir à quelle période précise de son congé celle-ci a travaillé à domicile pour le compte de l'intimée.
Par ailleurs, il apparaît que la manière dont ont été comptabilisées les heures effectuées par la recourante durant son congé maternité n'est effectivement pas conforme aux art. 9 et 49 al. 4 du règlement sur l'aménagement du temps de travail du 13 juin 2012 (RATT - LC 21 152.20).
Cela étant, M. C______ a indiqué, lors de son audition du 18 février 2015, qu'une gestionnaire des ressources humaines lui avait montré les pointages de la recourante des mois de juillet et août 2013. Il avait demandé des explications à MM. K______ et B______, lesquels lui avaient indiqué que c'était pour compenser les heures de travail effectuées par l'intéressée durant son congé maternité. Il a encore relevé que ces heures avaient été validées par M. B______ et qu'elles n'avaient pas été invalidées par MM. K______ et L______. Dans son audition devant la chambre de céans, M. B______ a confirmé que le timbrage manuel d'heures sur les mois de juillet et août 2013, en vue de compenser le travail effectué par la recourante durant son congé maternité, avait été fait en accord avec son supérieur hiérarchique, M. K______ et le directeur ad intérim M. L______.
Il apparaît dès lors, qu'en sus de M. B______, deux autres supérieurs hiérarchiques de la recourante (comprenant le directeur ad intérim de la DSIC) étaient au courant de la manière et de la raison de la comptabilisation desdites heures. Il ne peut dès lors être reproché à la recourante cet état de fait, survenu près de deux ans avant son licenciement et validé par plusieurs responsables hiérarchiques.
En l'occurrence, sur les quatre griefs initiaux formulés à l'encontre de la recourante dans la décision litigieuse, seuls deux peuvent être retenus, qui plus est partiellement.
S'il ressort des considérants qui précèdent que la recourante a effectivement eu des propos inadéquats à l'égard de M. G______ étant précisé que ce dernier a également eu des propos et des gestes inappropriés à son égard , il apparaît qu'ils ont été tenus dans un contexte de relations tendues entre deux personnalités, lesquelles semblent toutefois s'être aplanies par la suite. Les faits en cause sont par ailleurs anciens puisqu'ils remontent à 2012, soit près de trois ans avant le licenciement de la recourante. Les propos inadéquats tenus envers M. F______ ont par ailleurs déjà fait l'objet d'un avertissement le 25 juillet 2014, de sorte qu'ils ne sauraient en être tenu compte à nouveau, en l'absence de nouveaux manquements de ce type commis depuis lors.
Par ailleurs, s'il apparaît que la recourante a effectivement commis des erreurs relatives au paramétrage de certains systèmes, les autres reproches relatifs à la sécurité de la plateforme SAP formulés à son encontre ne peuvent être retenus pour les motifs mentionnés supra. Il ressort en outre du dossier que depuis l'audit de la société D______ de janvier 2014, la gestion de la sécurité des plateformes utilisées par la ville a été modifiée. Dorénavant, des audits interviennent chaque année, lesquels listent les failles devant faire l'objet de correctifs.
Il apparaît dès lors que le fonctionnement global de l'identification des failles de sécurité a été revu.
La Cour des comptes dans son rapport n° 51 d'avril 2012 relatif à l'audit de gestion lié à la gouvernance de la DSIC (ci-après : le rapport de la Cour des comptes) l'avait d'ailleurs préconisé. Celle-ci avait en effet soulevé que « la DSIC n'a pas encore mis en place certains éléments clés nécessaires à une gestion globale de la sécurité informatique. À titre d'illustration, il n'existe pas de politique sécurité et donc de vision globale de la problématique. En outre, des audits sécuritaires ponctuels sont menés, mais ils ne s'inscrivent pas dans un plan d'audit annuel formalisé et intégrant les risques à couvrir compte tenu de l'appétence des risques de la Ville. Par ailleurs, les recommandations des audits sécuritaires ne sont pas suivies de manière formalisée ; il est ainsi difficile d'avoir une vision d'ensemble et de vérifier que les risques détectés ont bien fait l'objet de mesures correctives adéquates » (p. 26 du rapport de la Cour des comptes). Ledit rapport prévoyait une recommandation visant à « prioriser la mise en oeuvre de correction des constats soulevés dans le corps du rapport en tenant notamment compte des ressources à disposition de la DSIC et des risques découlant des constats. Dans ce cadre, il conviendra de prendre, sur le court terme, des mesures portant notamment sur : la gestion des investissements informatiques, la gestion de projet ; le plan de charge et les comptes rendus d'activité ; la gestion des risques ainsi que de certains points essentiels au maintien d'une sécurité adéquate. Ce plan d'action devrait comprendre plusieurs volets incluant des objectifs précis, des délais et des budgets pour leur mise en oeuvre » (p. 33 du rapport de la Cour des comptes).
Dans ces circonstances, il apparaît que tant la Cour des comptes que le rapport d'audit ont pointé un certain nombre de lacunes, notamment dans l'identification des failles de sécurité, lesquelles ne sauraient toutefois être imputables à la recourante seule, collaboratrice colloquée en classe L, mais relèvent bien plutôt d'une politique globale de sécurité insuffisante au sein de la DSIC.
En outre, comme susmentionné, aucun grief ne peut être retenu à son égard concernant la communication de la faille relative à SAP Gateway, de sorte qu'elle n'a pas contrevenu à l'art. 7 al. 1 let. b de la « directive relative à l'utilisation des systèmes d'information et de communication » du 8 octobre 2003 (ci-après : la directive SIC).
Enfin, l'argument de l'intimée, selon lequel le fait que la ville ne possède pas de consultant SAP sécurité et que cette tâche ne soit attribuée à aucun des collègues de la recourante impliquait que l'intéressée avait bien pour mission générale de veiller à la sécurité de SAP, ne saurait être suivi. L'intimée ne peut imputer à la recourante une carence dans sa propre organisation pour en tirer un argument contre son employée et ce, même s'il ressort effectivement du cahier des charges de la recourante au demeurant extrêmement large qu'un certain nombre de tâches relatives à la sécurité lui incombait.
En tout état, il convient de relever les éléments suivants. Il apparaît qu'alors même que M. B______ était à la fois le supérieur hiérarchique direct de la recourante, mais également son binôme dans la mesure où une partie de son activité consistait à effectuer le même travail que celle-ci, et alors même que le rapport d'enquête administrative retient une responsabilité partagée relative à certains manquements, seule la recourante a été sanctionnée, qui plus est par un licenciement. La recourante a par ailleurs été licenciée plus d'un an et demi après la reddition du rapport d'audit et après sa dernière évaluation, dans laquelle aucun reproche ne lui était fait concernant ses compétences métiers.
Ainsi, s'il est certes établi que la recourante a commis certaines erreurs, elles ne sont pas constitutives, ni individuellement, ni même cumulées, de manquements graves ou répétés aux devoirs de service, fondant la résiliation des rapports de service. La question de savoir s'ils auraient pu justifier une sanction souffrira de rester indécise, indépendamment d'une prescription disciplinaire éventuellement acquise à l'époque de la décision, ne s'agissant pas de l'objet du litige.
En conséquence, compte tenu de l'ensemble des circonstances, la chambre de céans retiendra que le comportement de la recourante, remis dans son contexte, n'est pas de nature à justifier un licenciement, lequel est disproportionné et ne repose pas sur un motif objectivement fondé. En d'autres termes, l'intimée ne pouvait, sans violer les principes de proportionnalité et sans abuser de son pouvoir d'appréciation, licencier l'intéressée sur la base de l'art. 34 al. 2 let. b du statut.
Compte tenu de ce qui précède, la chambre de céans renoncera à examiner le grief de la recourante tendant à la violation du principe de l'arbitraire.
a. Selon l'art. 336 CO, applicable par renvoi de l'art. 34 al. 2 du statut, le congé est abusif lorsqu'il est donné par une partie pour une raison inhérente à la personnalité de l'autre partie (al. 1 let. a) ; en raison de l'exercice par l'autre partie d'un droit constitutionnel (al. 1 let. b) ; seulement afin d'empêcher la naissance de prétentions juridiques de l'autre partie, résultant du contrat de travail (al. 1 let. c) ; parce que l'autre partie fait valoir de bonne foi des prétentions résultant du contrat de travail (al. 1 let. d) ; parce que l'autre partie accomplit un service obligatoire ou une obligation légale (al. 1 let. e) ; il est également abusif lorsqu'il est donné par l'employeur en raison de l'appartenance ou de la non appartenance du travailleur à une organisation syndicale ou en raison de l'exercice conforme d'une activité syndicale (al. 2 let. a) ; pendant que le travailleur est membre d'une institution d'entreprise, en l'absence d'un motif justifié de résiliation (al. 2 let. b) ; sans respecter la procédure de consultation prévue pour les licenciements collectifs (al. 2 let. c).
b. L'énumération prévue dans la loi n'est pas exhaustive (ATF 132 III 115 consid. 2.1 ; 125 III 70 consid. 2a ; 123 III 246 consid. 3b). Elle concrétise avant tout l'interdiction générale de l'abus de droit et en aménage les conséquences juridiques pour le contrat de travail. D'autres situations constitutives de congé abusif sont donc également admises par la pratique. Elles doivent toutefois comporter une gravité comparable aux cas expressément mentionnés à l'art. 336 CO (arrêt du Tribunal fédéral 4C.174/2004 du 5 août 2004 consid. 2.1).
L'abus de la résiliation peut découler non seulement des motifs du congé, mais également de la façon dont la partie qui met fin au contrat exerce son droit (ATF 125 III 70 consid. 2b). Lorsqu'une partie résilie de manière légitime un contrat, elle doit exercer son droit avec des égards (ATF 125 III 70 consid. 2b ; 118 II 157 consid. 4b/cc p. 167). Ainsi, un comportement violant manifestement le contrat, par exemple une atteinte grave au droit de la personnalité dans le contexte d'une résiliation, peut faire apparaître cette dernière comme abusive. En revanche, un comportement qui ne serait simplement pas convenable ou indigne des relations commerciales établies ne suffit pas. Il n'appartient pas à l'ordre juridique de sanctionner une attitude seulement incorrecte (arrêt du Tribunal fédéral 4C.174/2004 précité consid. 2.1).
c. En l'occurrence, la recourante considère que son licenciement serait lié au fait qu'elle aurait eu à coeur, tout en s'investissant dans ses tâches, de faire respecter ses droits en se manifestant. Toutefois, elle n'apporte pas la preuve de ce qu'elle avance. La chambre de céans retiendra qu'il n'existe aucun élément probant permettant de retenir que le licenciement litigieux serait abusif au sens de l'art. 336 CO, de sorte que ce grief sera écarté.
En dérogation avec l'art. 105 du statut, lorsque le licenciement contraire au droit est également abusif au sens de l'art. 336 CO ou des art. 3 ou 10 de la loi fédérale sur l'égalité entre femmes et hommes du 24 mars 1995 (loi sur l'égalité, LEg - RS 151.1) ou sans juste motif au sens de l'art. 30 du statut, la chambre administrative annule le licenciement et ordonne la réintégration de la personne intéressée (art. 106 du statut).
b. L'indemnité visée à l'art. 105 du statut doit être fixée à la lumière de la jurisprudence dégagée pour l'application de l'art. 31 al. 3 de la loi générale relative au personnel de l'administration cantonale du pouvoir judiciaire et des établissements publics médicaux du 4 décembre 1997 (LPAC - B 5 05 ; ATA/449/2016 du 31 mai 2016 consid. 14 et les arrêts cités).
Conformément à cette jurisprudence, il y a lieu de tenir compte de l'ensemble des circonstances du cas d'espèce et de les apprécier sans donner une portée automatiquement prépondérante à certains aspects, comme le fait d'avoir, ou non, retrouvé un emploi en cours de procédure (ATA/347/2016 du 26 avril 2016 consid. 11b ; arrêts du Tribunal fédéral 8C_472/2014 du 3 septembre 2015 consid. 11.2 ; 8C_421/2014 du 17 août 2015 consid. 3.4.2).
c. En l'espèce, comme susmentionné, le licenciement de la recourante est contraire au droit. L'intimée a clairement exposé dans ses écritures qu'elle s'opposait toutefois à toute réintégration si le licenciement devait être considéré comme tel. Il ressort également des écritures de l'intimée et plus largement de la procédure que le lien de confiance est définitivement rompu, ce qui rendrait toute proposition de réintégration illusoire. Cette option n'entre donc pas en ligne de compte.
Il convient ainsi de fixer l'indemnité due à la recourante. À cet égard, il y a lieu de tenir compte du caractère matériellement infondé du licenciement de la recourante pour manquement grave ou répété aux devoirs de service, de la durée de ses rapports de travail, soit six ans, du fait que la recourante était âgée de 40 ans au moment de son licenciement et de l'existence de deux griefs partiellement fondés à son encontre.
Au vu de l'ensemble de ces éléments, l'indemnité due à la recourante sera fixée à quatre mois, sur les douze maximums prévus, de son dernier traitement brut comprenant le treizième salaire au prorata du nombre de mois fixés, à l'exclusion de toute autre rémunération, l'indemnité n'étant pas soumise à la déduction des cotisations sociales (ATA/148/2018 du 20 février 2018 consid. 9 ; ATA/449/2016 précité consid. 15 ; ATA/153/2016 du 23 février 2016).
Le recours sera donc admis dans cette mesure.
PAR CES MOTIFS LA CHAMBRE ADMINISTRATIVE
à la forme :
déclare recevable le recours interjeté le 14 septembre 2015 par Madame A______ contre la décision de la Ville de Genève du 29 juillet 2015 ;
au fond :
l'admet partiellement;
dit que le licenciement de Madame A______ est contraire au droit ;
constate que la réintégration de Madame A______ n'est pas possible ;
dit que la Ville de Genève doit verser à Madame A______ une indemnité fixée à quatre mois de son dernier traitement brut, comprenant le treizième salaire au prorata du nombre de mois fixés, à l'exclusion de tout autre élément de rémunération, l'indemnité n'étant pas soumise aux déductions des cotisations sociales ;
l'y condamne en tant que besoin ;
met à la charge de Madame A______ un émolument de CHF 500.- ;
alloue à Madame A______ une indemnité de procédure de CHF 1'200.-, à la charge de Ville de Genève ;
dit que, conformément aux art. 82 ss de la loi fédérale sur le Tribunal fédéral du 17 juin 2005 (LTF - RS 173.110), le présent arrêt peut être porté dans les trente jours qui suivent sa notification par-devant le Tribunal fédéral ;
par la voie du recours en matière de droit public, s'il porte sur les rapports de travail entre les parties et que la valeur litigieuse n'est pas inférieure à CHF 15'000.- ;
par la voie du recours en matière de droit public, si la valeur litigieuse est inférieure à CHF 15'000.- et que la contestation porte sur une question juridique de principe ;
par la voie du recours constitutionnel subsidiaire, aux conditions posées par les art. 113 ss LTF, si la valeur litigieuse est inférieure à CHF 15'000.- ;
le mémoire de recours doit indiquer les conclusions, motifs et moyens de preuve et porter la signature du recourant ou de son mandataire ; il doit être adressé au Tribunal fédéral, Schweizerhofquai 6, 6004 Lucerne, par voie postale ou par voie électronique aux conditions de l'art. 42 LTF. Le présent arrêt et les pièces en possession du recourant, invoquées comme moyens de preuve, doivent être joints à l'envoi ;
communique le présent arrêt à Me Christian Dandres, avocat de la recourante, ainsi qu'à la Ville de Genève.
Siégeant : Mme Krauskopf, présidente, MM. Thélin et Pagan, Mmes Payot Zen-Ruffinen et Cuendet, juges.
Au nom de la chambre administrative :
la greffière-juriste :
J. Poinsot
la présidente siégeant :
F. Krauskopf
Copie conforme de cet arrêt a été communiquée aux parties.
Genève, le
la greffière :