Le NOUVEL ACHAT

Le 22 octobre à l'occasion d'une réunion de l'OEAP, Monsieur Serge DOUMAIN de la Direction des Affaires Juridiques s'explique sur l'arrêté signature electronique des marchés publics. Il rappelle que ce texte est motivé par la recherche d'une plus grande simplicité et la nécessité d'un élargissement de la signature au cadre européen. La DAJ qui avait déjà engagé une vaste concertation à laquelle nous avions pris part (1) se veut rassurante quant à la mise en application du dispositif. Nous saluons au passage cette avancée qui consacre l'utilisation du parapheur pour les entreprises; sujet pour lequel nous avions longtemps milité et quelques autres aussi. Le texte qui ne dispose que pour les marchés publics n'est pas figé et est encore susceptible d'évolutions en fonction du retours des utilisateurs précise la DAJ.

• Certificats

Rappel des types certificats électroniques objet du présent arrêté. L'abrogation de l'arrêté du 28 août 2006 rend caduque la liste PRIS dès l'entrée en vigueur du RGS, le 19 mai 2013 (2). D'ici là, les certificats PRIS V1 pourront être utilisés. La prise en compte de ces disposition par les autorités de certification et l'organisation de la migration gratuite ou non vers une conformité RGS soulève quelques interrogations. Il faudra être vigilant sur ce point. La DAJ rappelle à ce sujet que le référencement n'est pas obligatoire pour produire du certificat RGS. Elle relève uniquement de la politique de certification décidée par l'AC.

Pour les certificats étrangers, il sont valables dès l'instant qu'ils répondent à des normes équivalentes au RGS. Comment établir cette correspondance ? Nous avions attiré votre attention sur le mapping des paramètres du RGS en regard des conditions de l'ETSI notamment pour les autres certificats européens; travail effectué par Alain ESTERLE dans le cadre de PEPPOL. (3)

• Vérification mode d'emploi

La DAJ indique qu'un mode d'emploi à l'attention des acheteurs doit être ajouté à la réponse dématérialisée pour indiquer les moyens de vérification de la signature. Le fait que ce mode d'emploi soit inclus et non extérieur à l'offre elle-même ne semble pas poser de problème aux acheteurs (le mettre à l'extérieur serait une source d'oubli et compliquerait la réponse). Nous avions pris les devants en recommandant aux utilisateurs d'un parapheur électronique maison, qu'un document « politique de signature » soit systématiquement ajouté à l'offre transmise. Ce document devant indiquer, le type de parapheur utilisé, le format de signature et les moyens de vérification utilisés par l'acheteur.

• Les formats

Les formats avancés CADES, XADES, PADES (confirmé par décision de la Commission Européenne) s'imposent par défaut à l'acheteur. D'autres formats peuvent être utilisés s'ils sont spécifiés explicitement dans le RC. La problématique de vérification reste entière. La DAJ souligne que cette vérification est de la responsabilité de l'acheteur et ne saurait être déléguée. Au passage, quelques mots sur la signature PDF (PADES) qui présente bien des avantages en terme de vérifications. Autoportante, PADES incorpore les moyens de vérification à l'aide du lecteur ACROBAT dans le document lui même. Pour l'utilisateur, cette signature est rassurante car elle présente l’avantage d'une représentation graphique par un tampon cryptographique qui intègre les paramètres de vérification juridique. Les limites de PADES sont liées à la politique de référencement d'ADOBE qui ne référence pas systématiquement les autorités de certification (référencement payant). Cela implique que ce référencement soit effectué manuellement par le vérificateur directement dans sont lecteur ACROBAT. PADES ne permet pas non plus de signer d'autres documents que PDF ce qui exclu d'autres types de fichiers (.xls, .doc etc.). Pour ce type de fichier, c'est le mode détaché qui prévaut (XADES, CADES etc.) En pratique, la transformation systématique de tous les fichiers en PDF avant signature nous semble souhaitable pour éviter les erreurs de manipulation. Pour résoudre ce problème et sauf contre-indication du RC, il suffit d'une version PDF signée du tableau Excel ajoutée systématiquement par l'entreprise à la version native utilisable par l'acheteur mais celle-ci non signée.

• LexPersona, le parapheur
  

Présentation du parapheur Sunnystamp de LexPersona qui insiste qur le fait que la vérification ne donnera pas le même résultat sans une cohérence des critères de validation. D'où la nécessité d'une table de correspondance. Pour les certificats LP met à disposition de l’interrogateur PEPPOL sur son site. (2).

En conclusion, ce texte nous semble encourager les avancées de la dématérialisation même si la charge de la vérification qui repose désormais sur les acheteurs soulève de vrais questions. Evitons toutefois de tomber dans le travers d'une vérification dont les paramètres trop contraignants risquerait de freiner les développements ultérieurs. La complexité technique est particulièrement anxiogène pour l'ensemble des utilisateurs. A ce propos, que se passe t-il en cas de survenance d'un litige, s'inquiète un acheteur ? La question jurisprudentielle laisse la DAJ sans réponse qui souligne que le juge se trouve particulièrement démuni pour traiter de la haute technicité du sujet. A notre avis, plus nous augmenterons les conditions techniques de recevabilité plus nous multiplierons les sources de litiges. Où faut-il positionner le curseur ? Comme toujours en telle matière "au milieu se tient la vertu". Soyons donc pragmatique en présumant d'abord de la bonne foi de l'entreprise dès l'instant que la signature apposée sur un fichier est manifeste.
(1) projet d'arrêté, nos commentaires

(2) arrêté signature, mode d'emploi

(3) vérification de la qualité d'un certificat avec PEPPOL

L’ADETEF m’a confié la responsabilité de la conduite des pilotes PEPPOL pour la France. Ce fût un honneur et une joie de pouvoir collaborer avec l'équipe dynamique d'ADETEF, agence en charge de la promotion de nos savoirs-faires à l’International. Cette mission fût aussi l'occasion, d’apprécier la qualité des échanges avec la direction du projet de PEPPOL, toujours à l’écoute et de pouvoir partager une vision commune avec l’ensemble de mes collègues Européens.
Alors que le projet PEPPOL se termine, bientôt relayé par OpenPEPPOL, quel bilan tirer de l’expérimentation et quelles conséquences pour l’achat public et l’eProcurement en France et en Europe ?

A l'appui du credo de la Commission Européenne pronant les vertus du marché intérieur, PEPPOL veut faire de l'e-Procurement public un accélérateur des échanges économiques intracommunautaires.

Avec PEPPOL, nous héritons d’une infrastructure de reconnaissance des certificats électroniques, véritable clé de voûte de la confiance numérique en Europe, d’un dossier virtuel d’entreprise constitué d’un référentiel commun d’attestations pour les entreprises, d’une infrastructure distribuée et sécurisée permettant d’échanger les messages structurés de l’eProcurement et dont la syntaxe normalisée repose sur des standards ouverts, UBL , UN/CEFACT; dans un seul but, l'interopérabilité. Ces réalisations brillantes n’ont pas toujours su convaincre les opérateurs.
Faut-il en déduire un manque de maturité ou des freins au changement ? Après plusieurs mois de travail, le cloud Européen en est encore aux balbutiements mais nous laisse entrevoir déjà un futur prometteur pour les échanges dématérialisés. Open PEPPOL saura t-il poursuivre le travail accompli par PEPPOL et lever les freins encore nombreux ?

Contrairement à la grande distribution qui, parfois à marche forcée, a su faire reconnaitre l’importance des échanges EDI à l’ensemble de ses fournisseurs ; l’achat public Européen de son côté, peine encore à imposer une vision commune. Dans un contexte de crise, la préférence Nationale reste forte. Les Etats membres poursuivent des objectifs souvent divergents. La commande publique reste majoritairement fragmentée et donne souvent l’impression d’un archipel constitué d’îlots de « procurement ». Malgré ses 2000 milliard d’Euros en valeur, la commande publique Européenne pèse guère sur un marché où les initiatives comme PEPPOL sont encore trop isolées pour faire école.

Redonner le pouvoir aux utilisateurs, voilà finalement la promesse de PEPPOL.
Les choix fait par PEPPOL d’un modèle ouvert fondé sur des standards est la garantie de connecter facilement et au moindre coût tout utilisateur à ses partenaires commerciaux. La promesse de PEPPOL est donc de redonner le pouvoir aux utilisateurs. Similaire en tous points aux modèles des opérateurs de télécoms, le réseau PEPPOL permet aux utilisateurs de choisir librement leur opérateur de service sous réserve de conformité aux standards. Cette proposition de valeur se heurte logiquement aux modèles captifs de certains opérateurs, qui proposent des réseaux à valeur ajoutée (RVA) souvent propriétaires.

PEPPOL distingue la partie passation (pre-award) de la partie exécution (post-ward).

En France, que retenir des pilotes PEPPOL ?
Dans le domaine de la passation, PEPPOL a su convaincre plusieurs acteurs majeurs qui rassemblent un grand nombre de communautés ou collectivités. La vérification de signature électronique équipe déjà ou est sur le point d’équiper des plateformes comme PLACE, la place des marchés de l’Etat qui rassemble les Ministères et les services déconcentrés, les Chambres de Commerce, l’UGAP et le SAE. Achatpublic.com, avec plus de 1500 collectivités clientes, le Conseil Général de l’Aube avec plus de 100 collectivités de l’Aube. D’autres projets sont à l’étude, eMegalis ou le futur portail MAXIMILIEN de la Région île de France ; en tout près de 3000 collectivités seront bientôt en capacité de vérifier la qualité de certificats électroniques étrangers. Pour le moment, le service de validation au niveau Français est opéré par LexPersona.

Pour le dossier virtuel, connectée au référentiel Européen EVS (Européen VCD Service) qui assure la correspondance entre les attestations des différents pays, la plateforme eAttestations, peut désormais assurer le contrôle de la conformité des fournisseurs étrangers. Ce contrôle déjà réalisé automatiquement au plan National avec les entreprises situées sur le territoire est maintenant étendu aux entreprises étrangères. Effective pour la lutte contre la travail illégal (NOTI 1), cette conformité sera aussi bientôt élargie aux attestations fiscales et sociales ( NOTI 2).

Dans le domaine de l’exécution des marchés où les outils de l’eProcurement sont traditionnellement mis en œuvre, l’ADETEF en permettant la connexion de la France au réseau PEPPOL par la création de deux points d’accès (AP/SMP), officialisée le 12 décembre 2011, a certainement pris une décision déterminante. En effet, les points d’accès opérés par SERES du Groupe La Poste et TRADESHIFT opérateur de dématérialisation, sont les relais indispensables pour assurer la validation, la transformation et le transport des messages, catalogue, commande, facture etc. d’un point à un autre du réseau PEPPOL.

Du côté de l’Etat, le raccordement du système comptable CHORUS au réseau PEPPOL via le concentrateur de factures opéré par EXTELIA permet désormais à l’Etat, déjà en capacité de réception de factures électroniques conformément à la Loi de modernisation de l’économie (LME) du 4 août 2008, de recevoir des flux de factures normalisées UBL 2.0 (FEN0105A) ou UN/CEFACT CII (FEN0135A) aussi bien depuis la France que de l’Etranger.

Les pilotes factures électroniques.
Plusieurs expérimentations de factures électroniques ou de catalogues utilisant le réseau PEPPOL, ont été conduites avec succès au cours du premier semestre 2012. Envoi de facture électronique UBL 2.0 de l’UGAP vers le CG10. L’UGAP trouve ainsi dans PEPPOL un moyen facile de raccorder ses clients en offrant un canal de dématérialisation des factures à moindre coût.

Envoi de factures électroniques de fournisseurs Français établis sur le territoire National vers l’Université de Lund en Suède par l’intermédiaire de l’opérateur de dématérialisation QWEEBY relié pour l’occasion au point d’accès TRADESHIFT.

Le pilote eCatalogue Healthcare, un enjeu considérable pour l’achat hospitalier.

Avec le pilote eCatalogue, nous touchons là à toute la complexité de l’achat hospitalier. Avant de constituer un levier économique, le catalogue est d’abord un outil permettant d’assurer un niveau de qualité des données. L’achat hospitalier ne peut en effet se contenter de données approximatives, là ou la responsabilité de toute la chaîne d’approvisionnement peut être engagée. L’instanciation du message électronique entre le fournisseur et l’hôpital, les liaisons avec les référentiels techniques GS1 et les systèmes de classification eCl@SS, UNSPSC ou CPV ; toutes ces problématiques ont du être résolues dépassant souvent le cadre de PEPPOL.

Nous avons du faire appel aux meilleures expertises pour résoudre les difficultés. Nous avons pu nous appuyer sur la vision métier des fournisseurs et le savoir-faire d’UniHA et du CHU de Montpellier. Le pilote eCatalogue constitue un démonstrateur unique pour l’ensemble de la communauté de la santé.

PEPPOL est une préfiguration de ce que pourrait être la commande publique en Europe demain avec des moyens déjà disponibles. Des projets de plus grande ampleur comme eSENS (Electronic Simple European Networked Services) vont immédiatement prendre le relais de PEPPOL produisant le liant indispensable au marché avec des retombées dans d’autres domaines que l’eProcurement. Même si les freins sont grands et les opérateurs toujours difficiles à convaincre, PEPPOL a su ouvrir la voie d’un eProcurement Européen. Cette initiative pourrait même susciter des intérêts autres qu'Européens dans un contexte de Mondialisation.

Je suis finalement très fier, d’avoir pu collaborer avec Alain DUCASS et son équipe, Nicolas BOTTON, Alain ESTERLE et Michel DECLUNDER respectivement responsables de la facture, de la signature électronique de la promotion de PEPPOL en France, Bruno BOUTTEAU, aujourd’hui à l’ARS (Agence Régionale de Santé) d’Alsace. Malgré toutes les difficultés rencontrées, les doutes parfois, je pense avoir mener cette mission avec au final, quelques résultats. Ces réalisations trouveront de nouveaux développements au sein d'une communauté PEPPOL bien vivante.

Thierry AMADIEU – responsable des pilotes PEPPOL