Le NOUVEL ACHAT

La dématérialisation des factures pourrait réduire les coûts d’au moins 50%. Cela représente près de 40 milliards d’économies pour l’ensemble de l’UE. On comprend mieux l’enjeu pour la Commission Européenne qui souhaite encourager la dématérialisation à grande échelle en 2016. Lire notre article. La Directive 13 juillet 2010 dont la transposition est prévue au plus tard le 1er janvier 2013, vient modifier la directive TVA, avec des évolutions probables du cadre de la facture électronique. Elle introduit notamment la notion de « piste d’audit fiable » soulevant d’importantes questions techniques au-delà de la transposition dans les textes.

Pour la dématérialisation des factures, Il existe aujourd’hui deux grandes voies. La première voie consiste à convertir électroniquement des factures papiers, pour répondre d’abord à des objectifs d’unification de stockage et d’archivage électronique. Ce passage au numérique est souvent appliqué aux factures entrantes. Deux solutions s’offrent alors, la numérisation qui consiste à transformer un document en une image. La dématérialisation simple qui permet l’envoi électronique d’une facture PDF sans valeur probante. Dans les deux cas l’original reste le papier.

La deuxième voie est la dématérialisation fiscale. La DGI retient deux possibilités. La première est fixée par l’article 289 V. La facture est un fichier PDF sécurisé au moyen d’une signature électronique qui remplace l’envoi papier. Dans ces conditions, c’est un original fiscal à valeur légale qui doit être conservé 10 ans. La deuxième est fixée par l’article 289 bis, la facture est un message électronique sous la forme d’un fichier structuré XML ou EDI, l’original est électronique à caractère fiscal revêtu d’une force probante se substituant au document papier. Le message doit être archivé durant 10 ans avec obligation de restitution en cas ce contrôle fiscal.

En quoi la directive du 13 juillet 2010 vient modifier la directive TVA de 2006 ?
La DIRECTIVE 2006/112/CE DU CONSEIL du 28 novembre 2006 relative au système commun de taxe sur la valeur ajoutée, dite directive TVA , évoque le facture envoyée par voie électronique.

Pour être acceptées par les Etats membres, l’article 233 alinéa 1, précise les conditions techniques dans lesquelles les factures électroniques doivent être produites :

Soit accompagnées d ‘une signature électronique avancée, soit au moyen d’un échange de données informatisées (EDI) et d’un accord permettant de garantir l’authenticité de l’origine et l’intégrité des données.

La directive 2010/45/UE du Conseil s’applique à la directive TVA en précisant les règles de la facturation électronique.

L’article 232 modifié précise que l'utilisation d'une facture électronique est soumise à l'acceptation du destinataire.

L’article 233 précise qu’authenticité et intégrité peuvent être établies au moyen des technologies existantes (Signature avancée ou EDI). Cette décision n’excluant pas une troisième voie possible qui n’utiliserait pas nécessairement ces technologies mais parviendrait aux mêmes fins par d’autres moyens.

(11) « L'authenticité et l'intégrité des factures électroniques peuvent également être garanties en recourant à certaines technologies existantes, comme l'échange de données informatisé (EDI) et les signatures électroniques avancées. Toutefois, étant donné que d'autres technologies existent, les assujettis ne devraient pas être tenus de recourir à l'une ou l'autre technologie particulière de facturation électronique. » « Chaque assujetti détermine la manière dont l'authenticité de l'origine, l'intégrité du contenu et la lisibilité de la facture sont assurées. Cela peut être réalisé par des contrôles de gestion qui établiraient une piste d'audit fiable entre une facture et une livraison de biens ou de services. »

Rien n’est donc imposé aux utilisateurs. Cette troisième voie s’appuie sur la restitution d’une « piste d’audit fiable ». De quoi s’agit-il ? Une piste d’audit est une forme de concaténation de données par nature et de sources différentes, permettant la restitution d’un historique.

(12) « Il convient de préciser que, lorsqu'un assujetti stocke en ligne les factures qu'il a émises ou reçues, l'État membre dans lequel la taxe est due, outre l'État membre dans lequel l'assujetti est établi, devrait avoir le droit de consulter ces factures à des fins de contrôle.

L’innovation est que cette piste d’audit vient substituer un processus construit, à un simple échange de données. De la continuité de cette chaîne dépend l’authentification de l’émetteur, du fait générateur, tout en garantissant l’intégrité du processus.

Cette troisième voie conforte les possibilités d’audit, il faut se donc préparer à des capacités renforcées de contrôle. Cet audit est assorti d’une obligation de pouvoir de communiquer ses archives à des tiers pour des procédures de contrôle. Il faut donc disposer d’un système ouvert et communiquant. Accessoirement, Il est à noter que le processus papier n’est en rien exonéré de cette obligation.

La transposition de cette directive qui doit s’effectuer au plus tard pour le 1er janvier 2013 soulève donc bien des questions dans son application.

Le développement d’Internet s’accompagne d’un accroissement des risques de fraude. Il faut donc redoubler de moyens d’actions et trouver une réponse proportionnée aux risques de détournement et d’usurpation d’identité.
Pour les opérateurs, il découlerait une nouvelle approche technique ou l’enjeu reposerait autant sur les données de traçabilité que sur les données de facturation elles-mêmes. La récupération de données tout au long de la chaîne, jusqu’à la livraison, voire l’intégration de données issues de tiers tel que les relevés d’opérations bancaires devient un aspect critique.

Concernant l’intégrité, cette approche ne concède rien aux technologies cryptographiques de scellement numérique et de signature électronique qui devront autoriser des modifications ou des transformations intervenues en cours de processus. Par exemple, la transformation de format devrait être possible et pourrait être tracée dans un fichier XML, log de suivi attaché à la facture.

La notion de piste d’audit fiable nous semble la seule véritablement garante de la sécurité des transactions et à même de prévenir les risques de fraude. Elle soulève toutefois de nombreuses questions techniques. Il est fort à parier que le métier d’opérateur de dématérialisation évolue aussi considérablement vers une gestion plus technique de la facturation. En substituant un processus construit à un simple échange de données, il sera question plus que jamais, d’interopérabilité des systèmes.
Thierry AMADIEU

Pour plus d'information sur la notion de "reliable audit trail" cf. notre tableau ci-joint ou (voir les notes explicatives ) .

Contributeurs : Alain Esterle, Thierry BEAUGE ,Thierry AMADIEU , Alain DUCASS et François DEVORET

La présentation faite par Monsieur DOUMAIN de la DAJ dans le cadre de la réunion de l'OEAP du 26 janvier, a permis de préciser un certain nombre de points concernant le projet d'arrêté sur la signature électronique (*).

Nous avions indiqué dans notre précédent article du 25 janvier, que l'arrêté prépare le terrain à la directive marchés publics réformant les directives 2004/17 et 2004/18 et dont la transposition est prévue au plus tard en 2014. L'arrêté entrera en application le 19 mai 2013, ce qui correspond à la fin de la PRIS V1. Tout d’abord, à qui s’adresse cet arrêté signature électronique ? Aux pouvoirs adjudicateurs autant qu’aux opérateurs économiques. Ce pourrait être plus affirmé, notamment en ajoutant dans l’article 1er, après (…) sont signés électroniquement, la portion de phrase suivante : « par la personne habilitée du pouvoir adjudicateur ou de l’entité adjudicatrice et de l’opérateur économique », selon les modalités prévues par le présent arrêté.

La convergence avec le dispositif communautaire est confirmée dès l'article 2, alinéa 1er, qui fait référence à la TSL Européenne et au RGS même si aujourd’hui, il n'existe pas de correspondance immédiate entre les certificats référencés par la TSL et la conformité au RGS. Un point de détail mais qui a son importance,

L'article 2, II, indique que l'utilisateur d'un certificat doit donner au pouvoir adjudicateur les moyens d’effectuer la vérification. Monsieur DOUMAIN souligne que si le texte par lui-même ne présente pas de difficulté, le risque est dans la pratique. II faut éviter une situation où l'acheteur serait tenté de faire confiance systématiquement et accepterait par défaut tous les certificats. C'est pourquoi le texte rappelle à l'alinéa 2 de l'article 6 quels sont à points de vérification. Ils sont au nombre de 4. Ces conditions sont héritées de la parenté du certificat avec le certificat racine de l'autorité de certification émettrice. Cette parenté doit pouvoir être établie pour vérifier de façon catégorique, la validité, l’absence de révocation et l'identité du porteur. Rappelons au passage, que ce contrôle n’établit par la capacité juridique du porteur à engager l'entreprise. Là encore, pour les certificats étrangers une solution de type PEPPOL permet d'assurer cette vérification étendue aux autorités Européennes et Internationales.

Article 3 : Quel format pour la signature?

Au delà des formats CAdES, PAdES et XAdES expressément cités, la directive n'exclut pas le recours à d'autres formats. La DAJ a donc prévu cette possibilité dans le RC. Nous attirons l’attention de la DAJ sur le risque de cette disposition à portée floue dans son application. En effet faut-il comprendre que l'acheteur peut limiter dans son RC la liste les formats acceptés, et imposer l’un d’entre eux exclusivement, ce qui équivaudrait à un retour à la case départ, ou bien faut-il comprendre, au contraire, qu'il peut élargir la liste à d'autres formats au delà des trois indiqués qui de toutes les façons sont de droit ? Concernant l’utilisation des formats CAdES, PAdES et XAdES, ne serait-il pas plus simple d’aligner le texte sur la décision 2011/130/UE du 25 février 2011

Article 5 : La définition du parapheur électronique semble présupposer une utilisation pour la co-signature ou une signature multiple de plusieurs signataires. Ce n’est pas forcément le cas d’un parapheur électronique qui peut aussi être utilisé par un seul signataire pour signer une série de documents.

Article 6 : La gratuité semble acquise pour l'acheteur qui doit disposer des moyens de vérifications adaptés fournis par le signataire. Le signataire a toujours la faculté d’utiliser la solution gratuite proposée par le profil d'acheteur ou faire le choix d’un parapheur payant, dans ce cas on peut supposer que les frais éventuels de vérification lui incombent. Pour les certificats étrangers, nous ne voyons aucune contradiction entre le principe d’une vérification manuelle qui serait proposée gratuitement, comme sur le portail « Sunnystamp » de Lex Persona et une vérification automatique intégrée à la plate-forme de dématérialisation et qui dans ce cas pourrait être payante du fait de la valeur ajoutée apportée à l’acheteur.

L'article 6, 6°, fait mention de l’identifiant de la politique de signature. "La validation technique est effectuée automatiquement par le profil d’acheteur lorsque le certificat utilisé appartient à une des catégories mentionnées au 1° du II de l’article 2 et lorsque le document est signé au moyen de l’outil de signature proposé par le profil d’acheteur."

Et si ce n’est pas le cas ?
Nous comprenons ici que par identifiant de politique de signature, il faut entendre les preuves techniques restituées par le profil d'acheteur et qui assurent la traçabilité des opérations de vérification. S'il s'agit d'un certificat étranger non reconnu par le profil d'acheteur et à défaut de preuves techniques fournies par sa plate-forme, comment l'acheteur doit-il procéder ? Il nous semble dans ce cas indispensable de faire référence à une solution de vérification (de type PEPPOL) permettant la récupération d’une attestation de vérification.

Concernant l'entrée en vigueur du texte.
Le texte se présente de la manière suivante : Les articles 1, 2 et 3 précisent le champ d’application (document des marchés publics nécessitant une signature) et les types de certificats considérés comme valides aux plans de la sécurité (PRISv1, TSL, RGS) et de l’interopérabilité (RGI, XAdES, CAdES, PAdES), Les articles 4, 5 et 6 portent sur les conditions de création et de vérification des signatures,

L’article 7 spécifie que le nouvel arrêté entrera en vigueur le 19 mai 2013, en précisant que jusqu’à cette date les certificats de la « liste mise à disposition par voie électronique par le ministère chargé de la réforme de l’Etat » (PRISv1) peuvent être pris en compte, L’article 8 spécifie que l’arrêté du 28 août 2006 sera abrogé au moment de l’entrée en vigueur de ce nouvel arrêté (19 mai 2013). La date d'application au 19 mai 2013 constitue un délai particulièrement long. Les adaptations probables du texte et l'alignement sur la directive rendent ces délais incontournables pour la DAJ.

Il apparait aussi que l'arrêté du 28 août 2006 se trouve être en contradiction absolue avec le texte, puisqu'il ne reconnait pas la TSL Européenne et limite les certificats utilisés à ceux de la PRIS V1. Il n’est donc pas régulier au regard des Directives européennes.

A propos de l’arrêté du 28 août 2006 :

Celui-ci a déjà vu abroger ses articles 1, 2, 3 et 4 par l’arrêté du 14 décembre 2010, et ses articles 8, 9, 10, 11, 12, 13 et 14 par l’arrêté du 1er janvier 2010. Les articles 6, 7 et 8 qui restent concernent spécifiquement la signature électronique des candidats et des offres. Ces articles précisent que, pour être valides, les certificats doivent être « d’une part conformes au RGS et d’autre part référencés sur la liste mise à disposition par voire électronique par le ministère chargé de la réforme de l’Etat » (PRISv1).

Cependant, les trois premiers articles du projet d’arrêté assurent la conformité entre réglementation nationale et européenne aussi bien pour la sécurité (TSL) que pour les formats des signatures (XAdES, CAdES, PAdES). Dans ces conditions, retarder l’entrée en vigueur du nouveau traité d’un an devient très dommageable au développement des échanges transfrontières, notamment pour les appels d’offre publics.Dans l'intervalle comment faire ?

La proposition d'Alain ESTERLE, est d'abroger l'arrêté d'août 2006 dès que possible et d'effectuer une entrée en application progressive de l'arrêté signature, d'abord pour les articles 1, 2et 3 puis le reste en mai 2013.

Rien n’interdit cette entrée en vigueur progressive d’autant qu'aucun texte équivalent à cet arrêté n’existe aujourd’hui. Il est donc proposé de procéder à l’entrée en vigueur immédiate des trois premiers articles du projet d’arrêté et à l’abrogation simultanée de l’arrêté du 28 août 2006, tout en reportant au 19 mai 2013 l’entrée en vigueur des articles 4, 5 et 6 du projet d’arrêté.

Cette solution permettra de maintenir en application les dispositions prévues dans l’arrêté du 28 août 2006 puisqu’elles se retrouvent incluses dans les trois premiers articles du nouvel arrêté, tout en les élargissant dès maintenant pour englober les conditions prévues par la réglementation européenne. Les spécificités PRISv1, d’ailleurs caduques, disparaîtront d’elles même avec la mise à jour de la « liste mise à disposition par voire électronique par le ministère chargé de la réforme de l’Etat ».

(*) Accéder au projet d'arrêté :

Thierry AMADIEU, le 27 janvier 2012