LES CHEMINS DE LA DÉMATÉRIALISATION

Transcription

1 LES CHEMINS DE LA DÉMATÉRIALISATION Réussissez la suppression du papier en toute conformité LIVRE BLANC Sommaire Préambule Des aspects juridiques aux solutions technologiques» Quelques étapes clés dans la démarche de dématérialisation» Les concepts juridiques sont les fondations des solutions technologiques» Les fondamentaux technologiques» Un coffre-fort au cœur de l archivage électronique» Le stockage» La sécurité Les usages se multiplient» La dématérialisation des moyens de paiement» La facture électronique» La dématérialisation de la fiche de paie» L archivage électronique dans la sphère publique Les comportements évoluent» Les jeux d argent et paris en ligne» La dématérialisation de produits ou services prépayés» L identité numérique» Les bornes interactives Au cœur du développement durable» Les technologies au cœur d un débat : pollueur ou salvateur?

2 PRÉAMBULE La dématérialisation a été identifiée par les entreprises dès son origine comme un moyen efficace pour augmenter la performance opérationnelle en réduisant les coûts liés au traitement des documents papier. Etienne Plouvier Dematerialization Solution Manager Atos Worldline Aujourd hui, les textes et les solutions technologiques existent. Le Conseil de l Union Européenne à travers ses Directives et les États Membres en les transposant dans leurs textes nationaux ont défini les exigences à respecter afin d autoriser cette suppression totale du papier et libérer les initiatives. Un écosystème s est ainsi créé afin de définir des normes adaptées et créer des solutions en conformité. C est dans ce contexte que les États ont décidé d investir dans de grands projets nationaux de dématérialisation. Ces grands projets ont notamment pour objet d améliorer l efficacité et la qualité des services offerts aux usagers tout en réduisant la fraude. Ces investissements publics ont mis l individucitoyen au centre du débat. A titre d exemple, on peut citer : la déclaration de revenus en ligne, la carte santé électronique, le dossier médical personnel et la carte nationale d identité électronique. L appropriation progressive par l individu-citoyen de ces nouveaux usages et des nouveaux outils favorisera l éclosion de l individu-consommateur comme un nouveau relais de croissance. Deux conditions sont nécessaires pour atteindre cet objectif :» la mise en place de solutions simples et adaptées aux particuliers qui permettra une utilisation à grande échelle en garantissant la suppression du papier» une conduite du changement des comportements car l ancrage dans le monde papier est toujours présent de manière plus ou moins forte Demain, la dématérialisation sera la norme et l échange papier l exception. Ainsi, après la dématérialisation des paiements qui a réussi à s imposer partout dans le monde, ces nouveaux usages de la dématérialisation sont la prochaine étape qui permettra de profiter pleinement de l économie numérique. Ce livre blanc vous permettra d une part de vous familiariser avec les principes fondamentaux, juridiques et techniques, liés à la dématérialisation à travers plusieurs témoignages d experts. D autre part, il illustrera des points spécifiques à différents types d usages dans le secteur privé comme dans le secteur public. Enfin, il abordera ses effets sous l angle de la Responsabilité Sociétale de l Entreprise. P. 2 - LES CHEMINS DE LA DÉMATÉRIALISATION

3 DES ASPECTS JURIDIQUES AUX SOLUTIONS TECHNOLOGIQUES

4 QUELQUES ÉTAPES CLÉS DANS LA DÉMARCHE DE DÉMATÉRIALISATION DÉFINITION DES OBJECTIFS & CARTOGRAPHIE DES PROCESSUS Avant de lancer un projet de dématérialisation, il convient d identifier les objectifs à atteindre afin de se fixer une ligne directrice. Un des outils pour répondre à cet objectif peut être la cartographie stratégique représentée par le diagramme d Ishikawa ou diagramme en arêtes de poisson. Il s agit de décliner finement ce que recouvrent les objectifs principaux assignés et en déduire les actions à mettre en œuvre. Établir une cartographie suppose d analyser les processus métier existants en repensant l organisation et les systèmes d information. La cartographie a pour objet d identifier les services concernés par le projet de dématérialisation et ainsi urbaniser le système d information en proposant une approche SOA (Service Oriented Architecture). Cette approche permet de centraliser les services en commun et les rendre ensuite directement accessibles à différents processus de dématérialisation. Un des moyens est de les orchestrer via des outils de BPM (Business Process Management) afin de construire des applications sur mesure. La cartographie des processus offre ainsi une plus grande flexibilité pour déployer divers projets en limitant les investissements. Diagramme d Ishikawa P. 4 - LES CHEMINS DE LA DÉMATÉRIALISATION

5 CHOIX DU TYPE DE DEMATERIALISATION : AVEC OU SANS PAPIER Différents types de dématérialisation sont possibles :» la première est celle où le document papier perdure et constitue l original papier qui fera foi devant un juge en cas de contentieux» la deuxième est celle où le document est nativement électronique et recevable en justice. Ce deuxième cas permet les plus grandes économies mais impliquera une étude analytique des textes afin de valider sa faisabilité juridique et les moyens technologiques à mettre en place Dans le cas de processus papier existant, si la suppression totale du papier est possible d un point de vue légal et technique, elle se heurte toujours à la tradition d en conserver un exemplaire. C est pourquoi, dans ce cas, il est nécessaire de prévoir le traitement des documents papier entrants avec des services de numérisation afin de créer un document numérique et de faciliter son traitement, ainsi que l impression, la mise sous pli et l envoi postal de documents papier sortants. SPONSORING DE LA DIRECTION GÉNÉRALE ET CONDUITE DU CHANGEMENT La dématérialisation d un processus métier initialement basée sur l échange de documents papier entraîne des impacts dans l organisation du travail, aussi bien côté émetteur que côté destinataire. Plusieurs services dépendants de directions différentes, au sein de l entreprise, sont alors affectés. C est pourquoi il est bien souvent nécessaire d avoir une implication forte de la Direction Générale afin de sponsoriser le projet. C est le cas par exemple de la facture électronique où la Direction Informatique est impliquée pour l adaptation du système d information, la Direction Financière pour le traitement des factures et la Direction Commerciale pour la relation avec les clients acheteurs. De plus, la dématérialisation de ces processus métiers entraîne de possibles adaptations de postes. Il est nécessaire que la direction mette en place des actions de conduite du changement. Celles-ci passent notamment par des actions de communication internes et externes s attachant à en démontrer les avantages pour chacun afin de faciliter l adhésion de tous. MISE EN PLACE DE TABLEAUX DE BORD Un des points capitaux pour valider le ROI (Retour sur Investissement) attendu de la démarche, est de définir une série d indicateurs permettant de mesurer la situation avant et après le déploiement du projet. Selon le type d objectif attendu, différents types d indicateurs sont possibles comme : le temps de traitement manuel du document, le taux d erreurs, les délais de mise à disposition, les gains de place, les frais postaux et d impression, le taux de satisfaction des clients, le taux d adhésion au service proposé... La mise en place de tableaux de bord, alimentés par des outils de BAM (Business Activity Monitoring), permettent d analyser ces indicateurs dans leur contexte stratégique et mettent en évidence les leviers d actions possibles pour améliorer la performance. LES CHEMINS DE LA DÉMATÉRIALISATION - P. 5

6 LES CONCEPTS JURIDIQUES SONT LES FONDATIONS DES SOLUTIONS TECHNOLOGIQUES LA SUPPRESSION DU PAPIER A CONSTITUÉ UN VRAI BOULEVERSEMENT JURIDIQUE Tout notre droit civil Napoléonien était organisé exclusivement autour de l'écrit revêtu d'une signature manuscrite. La loi du 13 mars 2000 en France, sous l'influence du droit international et du droit communautaire, suivie de la Loi sur la Confiance en l'économie Numérique (LCEN) du 21 juin 2004, sont venues inaugurer un vrai changement culturel, en consacrant la reconnaissance de l'écrit électronique, à la fois à titre ad probationem mais aussi ad validitatem, et la signature numérique. Ces nouveaux processus de dématérialisation qui forment aujourd'hui notre quotidien, pour simples qu'ils apparaissent, nécessitent cependant une connaissance fine des contraintes légales et une interprétation juridico-technique des moyens à mettre en œuvre, afin d être fidèle à l'esprit et à la lettre des textes. LES CONCEPTS RÉCURRENTS D AUTHENTICITÉ, D INTÉGRITÉ ET DE CONSERVATION, SONT VENUS FONDER LA RÉFLEXION ET L'ÉLABORATION DES SOLUTIONS TECHNOLOGIQUES Le choix de supprimer le papier doit être réfléchi au cas le cas, après qualification des contraintes légales par type d'opération, par activité et par métier, en respectant les exigences juridiques qui régissent la dématérialisation. Cette inquisition des textes et des concepts posés par le législateur et leur respect, conditionnera, en effet, la validité et l'opposabilité de l'opération dématérialisée. Ces concepts se sont traduits par la mise en place de moyens techniques et organisationnels au meilleur état de l art, pour répondre à chacun des besoins qualifiés lors de l opération de dématérialisation à mettre en œuvre : identification, authentification des parties, traçabilité, horodatage, signature électronique, archivage dit à vocation probatoire. Cette analyse des textes constitue le pré-requis indispensable à partir duquel s'appuie le choix des outils technologiques à mettre en œuvre. FACTEUR CLÉ DE SUCCÈS : UNE ÉQUIPE PLURIDISCIPLINAIRE L inhibition qui peut parfois encore exister, à poursuivre un projet de dématérialisation, est souvent liée à la complexité imaginée du projet, lequel fait appel à des cultures multiples et à la peur du changement. Elle sera aisément levée dès lors que le projet est initié sous l égide d une équipe pluridisciplinaire associant en amont du projet, juristes, informaticiens et fonctionnels concernés. De cette manière, la solution sera constituée au plus près des besoins métier et des exigences légales, en s appuyant sur les solutions à l état de l art disponibles sur le marché. Véronique Dumond ebusiness Legal Expert Atos Worldline

7 LE DROIT EXIGE D'AVANTAGE DU DOCUMENT ÉLECTRONIQUE QUE DU DOCUMENT PAPIER La garantie de l'intégrité recouvre tant les modalités d'établissement du document, que celles de sa conservation et de sa restitution. Ainsi, la confiance au numérique est-elle subordonnée à la condition de présenter des garanties d'intégrité et de fiabilité des procédés mis en œuvre. Si : L écrit sous forme électronique est admis en preuve au même titre que l écrit sur support papier, ce n'est que sous réserve que puisse être dûment identifiée la personne dont il émane et qu il soit établi et conservé dans des conditions de nature à en garantir l intégrité. TROIS USAGES PEUVENT ÊTRE PRIS EN EXEMPLE» Les factures électroniques L'article 289-V du Code Général des Impôts concernant la transmission par voie électronique des factures, pose la condition de pouvoir garantir l'authenticité de leur origine et l'intégrité de leur contenu au moyen d'une signature électronique.» Les bulletins de paie électroniques Le code du travail pose, dans l'article L modifié par la loi de simplification du droit du 12 mai 2009, que la remise de pièce justificative dite bulletin de paie peut, avec l'accord du salarié concerné, être effectuée sous forme électronique. Le législateur fixe là aussi les conditions de garantie d'intégrité des données.» La contractualisation en ligne Le code civil pose dans l article 1325 alinéa 5, concernant l exigence d une pluralité d originaux pour les contrats sous forme électronique que l exigence est réputée satisfaite lorsque l acte est établi et conservé conformément aux articles et et que le procédé permet à chaque partie de disposer d un exemplaire ou d y avoir accès. LA DÉMATÉRIALISATION IMPLIQUE UNE ANALYSE PRÉALABLE ET FINE DES RÈGLES POUR APPRÉCIER LEUR PORTÉE AFIN DE CHOISIR LA SOLUTION TECHNIQUE LA PLUS ADAPTÉE AU CONTEXTE Véronique Dumond, ebusiness Legal Expert, Atos Worldline

8 LES FONDAMENTAUX TECHNOLOGIQUES LE CERTIFICAT NUMÉRIQUE : LE POINT DE DÉPART Aujourd hui la dématérialisation utilise largement les certificats électroniques pour assurer les principaux services de sécurité : authentification, signature, horodatage... À l origine de ces certificats, des Infrastructures de Gestion de Clés (IGC ou PKI en anglais) sont mises en œuvre. Une certification établie par le Référentiel Général de Sécurité (RGS) permet d héberger ces IGC RGS pour tous les niveaux de sécurité (de une à trois étoiles). Cette certification garantit que les IGC respectent :» des critères de qualité de service» des procédures d exploitation auditées» une très haute disponibilité des services» la traçabilité totale de toutes les opérations. Les certificats produits par ces IGC conformes au RGS, sont par exemple utilisés pour signer des documents qui doivent avoir une valeur probatoire. Des certificats électroniques de signature ou d authentification répondant à ces standards sont également requis pour pouvoir obtenir le nouveau label IDéNum (Identité Numérique) présenté par l administration Française à destination des citoyens. Christophe Brunet Senior Project Manager Atos Worldline P. 8 - LES CHEMINS DE LA DÉMATÉRIALISATION

9 LA SIGNATURE ÉLECTRONIQUE La signature électronique est un mécanisme cryptographique qui permet d obtenir la caractéristique de non répudiation sur un document dématérialisé : le signataire ne peut pas contester être celui qui a donné son accord au contenu du document. La signature électronique l identifie et manifeste son consentement. A l instar d une signature manuscrite, une signature électronique doit donc pouvoir être appliquée en toute confiance par l utilisateur. Ainsi, dans le Référentiel Général de Sécurité (RGS), l Agence Nationale de la Sécurité des Systèmes d Information (ANSSI) recommande l utilisation de produit de création de signature électronique :» répondant à un cahier des charges sécuritaires profil de protection» évalué par des laboratoires agréés» certifié dans un contexte européen (critères communs EAL 3+). Ce type d outil permet ainsi à un utilisateur, de visualiser un document (pdf par exemple) et d y apposer une signature électronique ayant la même valeur légale qu une signature manuscrite. LE JETON D HORODATAGE La transposition de concept de date certaine traduit quelques fois par le cachet de la poste faisant foi renvoie dans le monde numérique à la solution technologique désignée jeton d horodatage, émis par une Autorité d Horodatage. La seule information de date et heure, fournie par un ordinateur, ne peut pas être considérée comme suffisamment fiable et surtout elle ne peut être garantie intègre sur le long terme. C est le rôle du serveur d horodatage de générer un jeton d horodatage pour compléter les données dématérialisées. Le jeton d horodatage remplace avantageusement le cachet de la poste, le monde numérique permettant de faire plus et avec une précision supérieure :» le jeton est fiable, car il repose sur une date et heure contrôlée en permanence à la seconde près» le jeton est intègre car il est signé par l Autorité d Horodatage, qui en garantit le contenu et l exactitude sur le long terme» le jeton permet de prouver par exemple à quel moment un document a été signé, quand cette signature a été vérifiée, et quand le document a été finalement archivé Ce jeton d horodatage reste valide sur le long terme en apportant un élément à valeur probatoire, il constitue ainsi l un des éléments primordiaux pour assurer la validité dans le temps d un document dématérialisé. LES CHEMINS DE LA DÉMATÉRIALISATION - P. 9

10 UN COFFRE-FORT AU CŒUR DE L ARCHIVAGE ÉLECTRONIQUE PLUSIEURS TERMES CIRCULENT POUR PARLER DE CONSERVATION DE DONNÉES : ARCHIVAGE, COFFRE-FORT, STOCKAGE, SAUVEGARDE. QUELLES SONT LEUR DÉFINITION? L archivage électronique a pour objet de conserver des documents numériques pendant une période requise afin de satisfaire à des obligations légales ou à des fins patrimoniales. Pour ce faire, il assure la gestion du cycle de vie de l archive en garantissant sa pérennité, son intégrité au sens sémantique du terme et son intelligibilité. Il permet de conserver la valeur légale du document numérique. Il repose sur une organisation humaine et des solutions techniques communément regroupées sous le terme de SAE (Système d Archivage Électronique). Le coffre-fort électronique est un dispositif informatique qui peut être un des composants techniques du SAE afin de garantir l intégrité, au sens technique du terme, des documents déposés, ainsi que la traçabilité de toutes les opérations effectuées. Le stockage est le dernier élément qui permet l enregistrement de documents sur support informatique. Différents types de solutions de stockage existent, des plus usuelles comme le disque dur de l ordinateur personnel aux plus sophistiquées qui permettent de conserver de fortes volumétries avec un haut niveau de sécurité. La sauvegarde enfin est une copie des données d un espace de stockage sur un autre support à des fins de restauration. COMMENT LE COFFRE-FORT ÉLECTRONIQUE ASSURE-T-IL CES SERVICES? Afin de garantir l intégrité des données, le coffrefort calcule des empreintes sur les fichiers, les mémorise et les contrôle régulièrement. Il effectue plusieurs copies des documents déposés. Il trace toutes les actions sur le coffre, protége ces traces indépendamment du contenu du coffre et les rend disponibles aux ayant-droits comme preuve visualisable de la conservation sécurisée. La preuve ainsi constituée peut être utilisée vis-à-vis de tiers si nécessaire. QUELS SONT LES SERVICES SUPPLÉMENTAIRES APPORTÉS PAR LE SAE? Dans le cas de l archivage, la pérennisation inclut la lisibilité de l information dans le temps. Le SAE identifie et contrôle les formats des documents lors du versement. Il gère la période de conservation légale ou réglementaire et assure le cycle de vie de l archive conformément à une politique d archivage et à une convention d archivage qui précise les plans de classement des archives ainsi que le réglage des différents paramètres. Enfin, il assure la consultation, la destruction contrôlée et la restitution des archives lors d un changement de SAE. La période de conservation pouvant être importante, son architecture logicielle, conforme au modèle OAIS, doit permettre de le rendre indépendant des différentes technologies utilisées afin de faciliter les migrations. La production d une archive par un SAE à des fins de preuve s accompagne des éléments faisant démonstration de la conservation intègre de l archive, aidé en cela par les fonctionnalités du coffre-fort électronique détaillées ci-dessus. QUELS SONT LES OBJECTIFS D UNE NORME ET D UN STANDARD? La norme a une vocation généraliste, elle répond à des besoins Marché et apporte une solution qui se veut consensuelle, l exemple évident étant la représentation numérique de la date et de l heure (norme ISO 8601). Le standard traite des problématiques plus spécialisées en réponse à des besoins dont on ne connait pas forcément l impact à priori, comme la nécessité à un moment donné de résoudre une problématique d interopérabilité. Les standards les plus fameux sont ceux émis par le W3C concernant le Web (http, RDF, XML, etc.). Jean-Jacques Milhem Trust Solutions Manager Atos Worldline

11 Certains standards ont une notoriété aussi importante que les normes. On parle de standard de fait. Des standards propriétaires, peuvent être repris dans des normes dans un souci de pérennisation (cas du PDF/A repris dans la norme ISO 19005). DANS LE DOMAINE DE L ARCHIVAGE DE DOCUMENTS ET DE DONNÉES NUMÉRIQUES, QUELLES NORMES EXISTENT AUJOURD HUI? Il existe plusieurs normes assez complémentaires dans l ensemble, mais non coordonnées car initiées par des groupes ayant des préoccupations différentes, à différentes époques. Les évolutions des normes prennent en compte cependant les apports des autres normes, ce qui renforce leur complémentarité.» La plus ancienne est le records management, d origine anglo-saxonne, notamment australienne qui existe depuis les années Le records management intéresse l organisation de la gestion des documents, sous toutes ses formes : papier, électronique, etc., au sein de l entreprise, dès leur création. Il a été repris par l ISO et l AFNOR sous la référence NF/ISO en 2001.» Le modèle OAIS né d un projet initié en 1996 regroupant les grandes agences spatiales (US, Europe) pour affronter la problématique de la conservation des données spatiales sur le long terme. Le projet a duré plus de 5 ans avant la publication du modèle. Il a été repris par l ISO sous la référence ISO en 2003.» MoReq2 est un modèle européen d exigences fonctionnelles destiné à harmoniser en Europe la gestion des archives électroniques en répondant aux exigences du records management. Le document a été préparé sous la conduite du DLM Forum et publié sous l égide de la Commission européenne. Une première version a été publiée en 2001 suivi d une seconde version en Les membres du DLM Forum sont les Archives Nationales, des fournisseurs de logiciels ou de services, des consultants. MoReq2 n est pas à proprement parler une norme mais le soutien qu elle reçoit lui donne, en pratique, le poids d une norme internationale.» La norme française NF Z est née en Elle complète les normes précédentes sur le plan de la mise en œuvre technique du système d archivage. La norme a évolué plusieurs fois : en 2001, puis en 2009 pour bénéficier des apports des autres normes ci-dessus. QUELS SONT LEURS SPÉCIFICITÉS ET LEURS APPORTS?» Le records management analyse le document d archives sous l angle de son cycle de vie : dès lors qu un document est qualifié de record, il fera l objet d une gestion rigoureuse en matière de stockage, de classement, de détermination de durée de conservation, etc. Le record management peut contribuer à élaborer le plan stratégique de gestion de l information dans l entreprise.» Le modèle OAIS propose un modèle conceptuel permettant de traiter les difficultés induites par les changements de technologies, que ce soit des systèmes d information eux-mêmes ou des formats de représentation des archives.» MoReq2 permet de fournir des éléments pour la rédaction de cahiers des charges fonctionnels et de fournir une référence pour les audits de systèmes existants.» Enfin, la norme française NF Z définit un ensemble de règles et de dispositions applicables à un système d archivage numérique de documents qu ils soient nativement numériques ou issus d un processus de numérisation (papier, microforme, audiovisuels). La norme se concentre sur les caractéristiques du système informatique et de ses spécifications techniques. Elle met l accent sur l intégrité des documents archivés et sur la capacité de l archive à apporter la preuve de cette intégrité.

12 LE STOCKAGE LE STOCKAGE : PIERRE ANGULAIRE DE LA DÉMATÉRIALISATION DEUX APPROCHES EN FONCTION DES BESOINS QUELLES RÉPONSES PEUT APPORTER LA SOLUTION DE STOCKAGE AUX EXIGENCES LÉGALES EN TERMES DE CONSERVATION? Elle peut apporter une partie des réponses liées à l intégrité et la pérennité des informations conservées. En termes d intégrité, elle doit fournir des garanties pour éviter la perte de données en multipliant par exemple les copies, leur localisation sur des sites distants ainsi que l utilisation de différents types de support :» des supports chauds comme des disques magnétiques sécurisés par des technologies de type RAID pour des accès en temps réel.» des supports froids comme des bandes magnétiques de type LTO-3 (Linear Tape-Open WORM) En termes de pérennité, elle doit permettre de faire face à l obsolescence des équipements de stockage pour la conservation sur le long terme en facilitant la migration d un matériel vers un autre et ce, en minimisant les conséquences pour les applications clients. EN QUOI LE SUCCÈS DE LA DÉMATÉRIALISATION POSE-T-ELLE DE FAÇON PLUS SENSIBLE LA QUESTION DU STOCKAGE? L augmentation des données numériques à conserver et ses impacts sur les coûts de stockage et la scalabilité est une des questions clés à traiter pour qui a ou aura des besoins en forte volumétrie. L achat des équipements, offrant toujours plus de capacité et de performance, est une des réponses mais implique des contraintes qu il faut intégrer en fonction de ses impératifs.» La première concerne la dépendance vis-à-vis du constructeur de matériel choisi. Il faudra donc analyser les possibilités de migration vers des solutions tierces et les coûts associés pour se libérer de cette contrainte le cas échéant.» La deuxième est liée aux limites intrinsèques de l équipement sélectionné et aux coûts éventuellement prohibitifs des modèles supérieurs. Le développement de l activité lié à ce stockage peut alors être compromis. COMMENT SE LIBÉRER DE CE CHAMP DE CONTRAINTES? Une alternative à cette réponse est de proposer une architecture horizontale en multipliant les cellules de stockage qui permet ainsi d obtenir une scalabilité théoriquement illimitée. Il s agit de créer une infrastructure constituée d un ensemble de ressources potentiellement hétérogènes qui supprime ainsi la dépendance vis-à-vis d un constructeur particulier. Par conséquent, cela permet de garder une complète maîtrise de ses coûts de stockage en multipliant les équipements plus courants et moins onéreux. LA DISSÉMINATION DES INFORMATIONS N ENTRAÎNE-T-ELLE PAS D AUTRES DIFFICULTÉS? Bien sûr, une des principales difficultés consiste à pouvoir localiser sur quel équipement se situe le document recherché. Ce type de solution de stockage doit être à même de masquer ceci à l application cliente appelante en utilisant un annuaire de données qui indique cette localisation. Nous avons ainsi une optimisation de la bandepassante en permettant un accès en point-à-point entre l application cliente et l équipement de stockage sans intermédiaire. Enfin, les solutions les plus évoluées utilisent un annuaire massivement distribué qui permet la suppression :» d un goulot d étranglement pour ce qui est des performances» d un SPOF (Single Point Of Failure) pour ce qui est de la disponibilité Laurent Denel Storage Solution Manager Atos Worldline P LES CHEMINS DE LA DÉMATÉRIALISATION

13 LA SÉCURITÉ LA DÉMATÉRIALISATION EST-ELLE UN CHALLENGE POUR LA SÉCURITÉ... ET VICE VERSA? La sécurité des systèmes d information est une préoccupation majeure pour tout projet de dématérialisation. Les niveaux de sécurisation communément acceptés pour le traitement de documents ou archives papiers (documents disponibles en un seul exemplaire papier, stockés dans des locaux peu contrôlés, soumis à des risques d inondation ou d incendie non pris en compte) deviennent insuffisants dès lors que ces mêmes données sont dématérialisées. QUELLES SONT LES EXIGENCES CARACTÉRIS- TIQUES DE LA DÉMATÉRIALISATION?» L imputabilité qui permet de garantir l identité de l auteur d une action.» L accessibilité : les documents électroniques doivent être accessibles à tout moment.» La confidentialité : la facilité d utilisation des données au format électronique ne doit pas être synonyme d accès non contrôlé. Les fuites d information font encore trop souvent les gros titres de l actualité.» La traçabilité de manière fiable de l ensemble des actions réalisées sur les plates-formes de dématérialisation - y compris les actions les plus banales - notamment pour conserver des preuves en cas de litige.» La pérennité des données, des formats et des supports techniques utilisés (dans un monde où tout évolue très rapidement) sans impacter la facilité d utilisation, ni les performances techniques offertes par les plates-formes. Les données doivent être conservées sans être altérées et sans aucune perte. QUELS SONT LES MÉTHODES & MOYENS À METTRE EN ŒUVRE POUR GARANTIR UN NIVEAU DE SÉCURITÉ ADAPTÉ AU BESOIN EFFECTIF? Comme toujours lorsqu il s agit de sécurité, l objectif n est pas de faire de la sécurité uniquement pour faire de la sécurité, mais bien de protéger les données et systèmes en cohérence avec le niveau de protection défini en concertation avec le client. Il s agit de réaliser une étude préalable, en s appuyant sur une méthodologie de type Analyse de risques, déroulée conjointement avec la phase de définition des spécifications techniques et fonctionnelles de la plate-forme de dématérialisation. La première étape avant de se lancer dans la dématérialisation est donc bien d évaluer les besoins réels, en interrogeant les clients et les utilisateurs, en étudiant les normes et les référentiels, en évaluant le contexte juridique, et de manière générale en identifiant l ensemble des contraintes à prendre en compte. En second lieu, il s agit d identifier les menaces qui pèsent sur la plate-forme de dématérialisation : une infrastructure hébergée dans un data-center moderne et ultra sécurisé ne sera pas soumise aux mêmes risques qu une infrastructure hébergée dans le sous-sol d un bâtiment situé en zone inondable. La dernière étape consiste à proposer les mesures adaptées aux besoins exprimés, pour couvrir les menaces identifiées. Seront combinées des mesures techniques (cryptographie, authentification forte sur la plate-forme, réplication bi-site par exemple) et organisationnelles (politique de sécurité, gestion des habilitations, gestion de crise entre autres). Ces mesures doivent être évaluées en termes de faisabilité, coûts, exploitabilité et choisies de manière à apporter un maximum d efficacité pour un minimum de contrainte. Dominique Bonnin Security Manager Atos Worldline LES CHEMINS DE LA DÉMATÉRIALISATION - P. 13

14 EST-IL INTÉRESSANT DE PASSER PAR UNE PHASE DE CERTIFICATION? QUELLES SONT- ELLES? Oui en effet, si l on souhaite apporter une valeur particulière au niveau de sécurité d une telle plateforme, plusieurs types de certifications existent :» certification des composants techniques, type Critères Communs ou CSPN délivrés par l Agence Nationale de la Sécurité des Systèmes d Information (ANSSI), assure une évaluation indépendante de la conformité d un produit à un cahier des charges ou à une spécification technique. Ces certifications peuvent concerner les modules de signature électronique, d horodatage, etc...» certification liée aux exigences locales, elle assure le respect des règles définies en matière de confidentialité, d authentification, de signature, de certificats et d horodatage. Par exemple, pour une plate-forme à destination des administrations françaises, une conformité au RGS (Référentiel Générale de Sécurité) sera recherchée» certification de l organisation sécurité mise en œuvre autour de la plate-forme, sous la forme d une certification ISO 27001, qui garantit qu un Système de Management de la Sécurité de l Information a été mis en place sous la forme d un processus d amélioration continu (modèle Plan-Do-Check-Act -PDCA-) PLUS LES BESOINS DE SÉCURITÉ SERONT ÉLEVÉS, PLUS LES MESURES À METTRE EN ŒUVRE SERONT CONTRAIGNANTES Dominique Bonnin, Security Manager, Atos Worldline P LES CHEMINS DE LA DÉMATÉRIALISATION

15 LES USAGES SE MULTIPLIENT

16 LA DÉMATÉRIALISATION DES MOYENS DE PAIEMENTS UN MODÈLE PRÉCURSEUR POUR LA DÉMATÉRIALISATION DES DOCUMENTS La dématérialisation des moyens de paiement, qui a explosé durant les années 80, constitue un modèle précurseur pour la dématérialisation. UN DES ENJEUX : L ACCÉLÉRATION DES ÉCHANGES EN TOUTE SÉCURITÉ La première mise en place de la dématérialisation a concerné les échanges interbancaires : Ordinateur de Compensation et ensuite Système Interbancaire de Télécompensation. Comme pour la dématérialisation des documents, l amélioration de l efficacité des procédures, tout en maintenant un haut niveau de sécurité voire en renforçant celle-ci, a été un des objectifs premiers de la dématérialisation des moyens de paiement. DES EXIGENCES JURIDICO-TECHNIQUES Afin de pouvoir dématérialiser les opérations de paiement et s adapter aux besoins de nouveaux services en supprimant le papier, un ensemble de règles a été créé avec une volonté d unification internationale. Des techniques de sécurité de haut niveaux (authentification, intégrité, confidentialité, non répudiation ) ont dû être déployées industriellement et progressivement à l échelle des pays. A titre d exemple :» la dématérialisation en toute sécurité des Lettres de Change a permis l accélération de la remise des effets, en fournissant les informations selon des normes et des protocoles sur des réseaux nationaux (spécification ETEBAC)» l arrivée des nouveaux services de paiement avec le SEPA (Single Euro Payment) va entraîner la migration vers des protocoles de communication internationaux type IP D autres ordres sont en passe d être complètement dématérialisés sous l initiative du SEPA comme le Direct Debit pour le prélèvement ou Credit Transfer pour le virement avec des obligations d intégrité et de conservation de ces actes électroniques. L ÉMERGENCE DE NOUVEAUX OPÉRATEURS ET UN DÉPLOIEMENT PROGRESSIF En parallèle de la dématérialisation des échanges financiers entre entreprises, administrations et banques, différents moyens de paiement se sont développés, comme par exemple, l introduction de la carte de paiement en concurrence du chèque. Ce nouveau mode de paiement a nécessité également la mise en place de services pour traiter, stocker et conserver des cartes bancaires conformément aux exigences de sécurité comme PCI DSS (Payment Card Industry Data Security Standard) imposée par VISA, Master Card et Amex. Des opérateurs se sont ainsi spécialisés dans ces échanges et ont acquis une expérience indéniable sur l échange de flux à forte volumétrie et nécessitant un haut niveau de sécurité. Ils peuvent ainsi capitaliser sur ce savoir-faire et ces investissements pour aller vers la dématérialisation de documents avec de fortes exigences. L utilisation par le particulier de la carte de paiement a impliqué néanmoins un temps d adaptation plus ou moins significatif en fonction des personnes et des États. Il aura fallu entre 10 et 15 ans pour changer les comportements. UN DOMAINE EN PERPÉTUELLE ÉVOLUTION La monnaie électronique est une autre forme de moyen de paiement dématérialisé. Elle est un substitut à l'argent liquide (pièces et billets), stocké dans un dispositif électronique ou sur un serveur distant. Le porte-monnaie électronique est un exemple courant de ce type de moyen de paiement. L'utilisateur stocke une petite somme d'argent sur sa carte de banque ou sur une autre carte à puce (comme dans le cas de Monéo), ce qui lui permet d'effectuer des paiements d'un montant réduit. La monnaie électronique peut également être utilisée à partir des téléphones portables sur un compte de paiement en ligne. André-Marie Regnaut Emerging Offerings Manager Atos Worldline P LES CHEMINS DE LA DÉMATÉRIALISATION

17 LE PRÉLÈVEMENT COMME MOYEN DE PAIEMENT DE PROXIMITÉ GRÂCE AU MANDAT DÉMATÉRIALISÉ Le prélèvement paneuropéen, le SEPA Direct Debit (SDD), est un des instruments de paiement élaborés dans le cadre du SEPA. Son utilisation, entre un créancier et un débiteur, suppose la signature par ce dernier d un mandat qui exprime l autorisation, qu il donne au créancier, pour initier le prélèvement mais également à sa propre banque pour le débit de son compte. Ce mandat peut être totalement dématérialisé sous forme de e-mandat. Cette dématérialisation, dans la mesure où elle permet d inscrire la création du mandat dans un processus complètement automatisé, ouvre la voie à des usages innovants comme par exemple la création, la signature et la transmission d un e-mandat depuis un point de vente physique, permettant ainsi d ajouter le SDD à la gamme des moyens de paiement de proximité. Commerçants et acheteurs disposent déjà des outils nécessaires. D une part, les commerçants possèdent des terminaux de paiement IP capables de faire appels à des services distants :» de constitution de e-mandat» de vérification de signature» d archivage sécurisé D autre part, les acheteurs sont détenteurs de carte à puce EMV capable de chiffrer et signer des informations avec leur code confidentiel. Ce dernier offre un mécanisme à la fois pour identifier le débiteur et recueillir son accord. Outre les avantages reconnus de la dématérialisation, il ne faut pas négliger le vecteur d innovation qu elle représente! Anne Pouillard R&D Project Manager Atos Worldline LES CHEMINS DE LA DÉMATÉRIALISATION - P. 17

18 LA FACTURE ÉLECTRONIQUE UN RAPPEL DU CONTEXTE ET DES ENJEUX La facture électronique a pris un réel essor ces dernières années que ce soit dans le monde privé ou professionnel. Les démarches des fournisseurs pour envoyer des factures électroniques se sont très fortement accentuées. En 2009, l Europe produisait plus de 1 milliard de factures B2B et B2C par an. La commission Européenne a évalué le gain de la bascule à la facture électronique à 40 milliards d euros sur 6 ans. Les bénéfices de la facturation électronique sont multiples :» diminuer les coûts d activités à faible valeur ajoutée comme l impression, l affranchissement ou encore le stockage papier» diminuer les délais de transmission, d intégration et donc de paiement de la facture» supprimer les risques de pertes ou d erreurs de saisie» faciliter le contrôle, la recherche et la consultation» avoir une démarche green L utilisation de la facture électronique devient une obligation :» certains pays rendent la facture électronique obligatoire» c est une demande des gros clients ou fournisseurs» c est un facteur concurrentiel face à des partenaires toujours plus exigeants en termes de services La facturation électronique n est donc pas une simple mode mais une évolution naturelle et nécessaire apportant, à ses adeptes économies et rapidité de traitement. UN CADRE EUROPÉEN NÉCESSITANT ENCORE UNE ANALYSE PAYS PAR PAYS La dématérialisation fiscale est régie par la législation sur la TVA. En Europe, chaque état membre a transposé localement la directive 2001/115/CE. Cette directive a pour but de simplifier, moderniser et harmoniser les conditions imposées à la facturation en matière de taxe sur la valeur ajoutée dans la Communauté Européenne. Elle a ainsi défini un corpus minimal de mentions obligatoires que doit comporter chaque facture dans tous les États Membres aux fins de la taxe sur la valeur ajoutée. Ces mentions peuvent éventuellement être complétées par des exigences propres à un pays, un secteur ou une entreprise. Elle donne un cadre légal pour l utilisation de la facture électronique à condition que l authenticité de son origine et l intégrité de son contenu soient garanties. Les obligations portent aussi bien sur l acceptation du destinataire que sur la fabrication de la facture, sa transmission et sa conservation sur la période légale définie par le droit fiscal et commercial. Pour garantir cette authenticité et intégrité, elle préconise deux moyens principaux : l EDI* ou la Signature Électronique. * Échange de Données Informatisées Emmanuel Chivot einvoice Solution Manager Atos Worldline Deux types de dématérialisation La dématérialisation de la facture peut revêtir deux formes : fiscale ou non fiscale.» La dématérialisation non fiscale ne permet pas de s affranchir du papier car la facture électronique issue de ce procédé est le résultat d opérations de numérisation ou de génération de fichiers en vue d intégration automatique ou de consultation mais sans garantie d authenticité et d intégrité.» La dématérialisation fiscale permet quant à elle d éliminer complètement le papier. C est celle qui permet de bénéficier complètement des avantages liés à cette suppression du papier. P LES CHEMINS DE LA DÉMATÉRIALISATION

19 Pour la mise en place de ces moyens, il sera aussi nécessaire d étudier scrupuleusement les exigences nationales. En effet, certains pays peuvent exiger l apposition d une signature électronique même dans le cas du mode EDI. Les types de signatures électroniques peuvent différer aussi en fonction des pays et faire appel dans certains cas à des certificats électroniques dits qualifiés et des systèmes de création de signatures certifiées par les autorités locales. Hors de l Union Européenne (UE) les règles peuvent varier d avantage encore et il est nécessaire de faire une étude avant de se lancer sur des flux transfrontaliers impliquant un pays non membre de l Union. Le support de cabinets fiscalistes locaux pour réaliser ce type d étude est indispensable pour se prémunir de toute mauvaise interprétation. Cette complexité a d ailleurs souvent été perçue comme un frein au déploiement de la facture électronique. LA COMMUNAUTÉ EUROPÉENNE CONTINUE À ŒUVRER POUR FACILITER LA DÉMATÉRIALISATION Depuis 3 ans déjà, l Europe cherche à améliorer le déploiement de la facturation électronique au travers de différentes actions. L Expert Group, nommé en 2008 par la Commission Européenne comme un organisme consultatif, avait pour objectif de rédiger des recommandations pour la facilitation du déploiement de la facturation électronique. Son travail a permis de publier en novembre 2009 un rapport qui préconise une plus grande harmonisation de la législation sur la TVA dans l UE sur la base de l égalité de traitement du papier et de l électronique, soutenu par un code de bonnes pratiques. Le rapport recommandait la suppression des exigences de la directive portant sur l authenticité de l origine et l intégrité du contenu ainsi que les références aux différentes technologies s y afférant. Ces dernières recommandations ont reçu un accueil mitigé lors de la consultation publique qui a suivi et n ont pas toutes été reprises par la directive du 13 juillet 2010 (2010/45/UE) modifiant la directive 2006/112/CE relative au système commun de taxe sur la valeur ajoutée en ce qui concerne les règles de facturation. Cette directive demande à revoir les exigences actuelles, imposées en matière de TVA, en ce qui concerne la facturation électronique afin de supprimer les charges existantes et les obstacles à l'utilisation de ce système. Chaque État Membre aura jusqu au 1 e r janvier 2013 pour transposer cette directive. Elle mentionne conformément au rapport de l Expert Group, une égalité de traitement entre les factures papier et les factures électroniques. L'authenticité de l'origine, l'intégrité du contenu et la lisibilité d'une facture devront être garantis soit par des contrôles et processus internes, soit par le biais de la technologie. Néanmoins, la directive continue de mettre en avant l EDI et la Signature Electronique comme des exemples de technologies permettant de garantir authenticité et intégrité. Le nouveau challenge de la facture électronique réside dans l accentuation de l interopérabilité entre les fournisseurs de solution et le déploiement auprès des TPE/PME. Le CEN (Comité Européen de Normalisation) a ainsi pris le relais de l Expert Group pour répondre à ce challenge. LES FONDATIONS POUR BÂTIR LA DÉMATÉRIALISATION SONT EN PLACE La dématérialisation de la facture est un des premiers exemples au niveau européen riche d enseignements pour la dématérialisation de documents ayant une valeur vis-à-vis de l administration et des entreprises. Elle a permis de définir des bases qui serviront pour la dématérialisation d autres types de documents qui demanderont également de respecter ces fondamentaux que sont : l accord du destinataire, l authenticité de l origine, l intégrité du contenu, leur conservation et lisibilité dans le temps. Elle a créé un premier éco-système où interviennent différents acteurs amenant leur valeur ajoutée spécifique : juristes et fiscalistes, plate-forme d échanges, éditeurs de solutions, spécialistes de l EDI et/ou de la signature électronique, archiveur. Le terrain est donc prêt pour recevoir d autres graines et récolter les fruits de la dématérialisation d autres documents. Le PEPPOL PEPPOL (Pan European Public Procurement On- Line) : Initié en 2008 par la Commission Européenne, le projet PEPPOL est un pilote à grande échelle visant à élaborer à partir de benchmarks et best practices des spécifications communes permettant la facilitation des échanges électroniques au niveau des marchés publics. Il traite entre autres de la facture électronique et aboutira à la démonstration d une solution opérationnelle d eprocurement à l échelle européenne. LES CHEMINS DE LA DÉMATÉRIALISATION - P. 19

20 LA DÉMATÉRIALISATION DE LA FICHE DE PAIE DE L ANALYSE DES TEXTES À L ADHÉSION DES SALARIÉS Le code du travail pose désormais dans l'article L modifié par la loi de simplification du droit du 12 mai 2009, que la remise de pièce justificative dite bulletin de paie peut, avec l'accord du salarié concerné, être effectuée sous forme électronique dans des conditions de nature à garantir l'intégrité des données. Outre le préalable posé de l accord du salarié concerné, le législateur fixe donc, comme cadre à cette remise sous forme électronique, celui de garantir l'intégrité des données.» Comment répondre aux exigences visées par le législateur?» Quelles solutions mettre en œuvre?» Comment être sûr d avoir un bulletin de paie opposable à l organisme qui le demande et ce quelque soit la date de la demande dès lors qu il est électronique? Bien que le texte du code du travail vise la simplification du droit et l allègement des procédures, le moins que l on puisse en dire est qu il a fait débat. Le législateur a posé les garanties requises et a laissé aux experts la liberté de définir les solutions techniques pour y satisfaire. Pour débattre des solutions à mettre en œuvre il sera donc fait l exégèse, dans un premier temps des questions juridiques à couvrir :» modalités de l accord du salarié» qualification de la fiche de paie et de ce que cette qualification infère sur la nature des outils techniques à mettre en œuvre dans le cadre de sa création» conditions de remise du bulletin de paie» conditions de l intégrité des données au moment de la création du bulletin, de sa remise, puis dans le temps au travers des processus de conservation. S agissant cependant du bulletin de paie électronique, il est à noter que le législateur ne fixe l exigence de garantie d intégrité dans le texte qu au moment de sa remise» opposabilité aux tiers du bulletin de paie électronique comme pièce justificative et question corrélée de ses modalités de production aux tiers» question de la distinction de l original électronique comme document d origine et de sa copie à l instar de la distinction entre l original papier et la copie papier» gestion des modalités de consultation Autant de questions, autant de solutions techniques ajustées au plus près des problématiques juridiques qui conditionneront l usage de l un et/ou l autre des outils traditionnels de la dématérialisation (signature électronique, formats type PDF signé, scellement numérique, horodatage, espace sécurisé de conservation, PDF/A...). Ces solutions sont conçues en référence à l état de l art, aux recommandations issues des groupes de travail de tiers de confiance tels FNTC (Fédération Nationale des Tiers de Confiance) aux comités de normalisation avec notamment la norme NF Z LE FACTEUR CLÉ DE SUCCÈS : UNE CONDUITE DU CHANGEMENT FOCALISÉE SUR L ADHÉSION Quant à la peur liée au changement, il faudra pour que ce projet soit facteur d adhésion, savoir initier la transition en confiance. De l accord éclairé de chaque salarié dépendra, en effet, le projet et sa réussite. Or, l accord sera plus facilement donné s il est facteur de gain et de confort pour le salarié et si la nouveauté ne lui fait objectivement ou subjectivement, rien perdre. Ceci nécessite de la part de l équipe projet, d accompagner le changement avec pédagogie pour faciliter sa perception positive. A cet égard, la question de la conservation pérenne de fiches de paie, quand elles sont nativement numériques, constitue, pour le salarié sa principale préoccupation. Savoir apporter une réponse à cette question favorisera le déploiement dans une logique gagnantgagnant trés appréciable aujourd hui. Véronique Dumond ebusiness Legal Expert Atos Worldline P LES CHEMINS DE LA DÉMATÉRIALISATION

21 L ARCHIVAGE ÉLECTRONIQUE DANS LA SPHÈRE PUBLIQUE La dématérialisation est au cœur des préoccupations de l'état, des collectivités territoriales et des établissements publics. Elle rationalise et accélère les échanges au sein de la sphère publique. Avec la dématérialisation des procédures, les dossiers et pièces échangés deviennent numériques, cependant les dispositions du code du patrimoine en matière d'archivage restent applicables. Le cycle de vie d une archive, papier ou nativement électronique, passe par trois âges : les archives courantes, intermédiaires et définitives. Les Systèmes d Archivage Électronique (SAE) mettent en œuvre les mécanismes de conservation sécurisée des archives intermédiaires et définitives. L'ÂGE COURANT Le document est en cours de constitution ou d'utilisation, jusqu'à sa clôture. Il peut s agir de documents manipulés dans un système de Gestion Électronique de Documents (GED) ou dans des applications/progiciels métier : système de gestion comptable et financier, système de gestion des ressources humaines, profil d acheteur pour les marchés dématérialisés, parapheur électronique, etc... L'ÂGE INTERMÉDIAIRE Le document n'est plus utilisé activement, il est conservé pour des raisons administratives ou juridiques. Par exemple, dans le cas de l'achat public, les dossiers d'entreprises retenues doivent être conservés pendant 10 ans, délai qui recouvre à la fois les possibilités de recours et les délais de vérification comptable. Une fois ce délai passé - nous parlons de Durée d'utilité Administrative (DUA), une décision est prise quant au sort final de l archive : le document est soit détruit, soit conservé définitivement. Les DUA sont définies par type de document dans des tableaux de gestion mis en place par les archivistes. L'ÂGE DÉFINITIF Le document est conservé définitivement car il a un intérêt patrimonial ou historique. L enjeu pour les archives définitives est la pérennité du stockage et la garantie de lisibilité des documents dans le très long terme. La gestion des migrations de support de stockage et de format est au cœur de cette pérennité. Une bonne approche pour la gestion des formats consiste à supporter en priorité PDF/A, recommandé pour l archivage dans le Référentiel Général d Interopérabilité (RGI), et les principaux formats ouverts pour chaque média, avec une stratégie de conversion adéquate. LE SEDA Le point d entrée du SAE est la fonction de versement. Les archives sont déposées soit directement dans le SAE par les utilisateurs, soit par transferts opérés par des applications métiers ou par d autres SAE. Afin de répondre aux besoins d interopérabilité autour de l archivage, le RGI recommande l utilisation du Standard d Échange de Données pour l Archivage (SEDA) élaboré par les Archives de France et la DGME (Direction Générale de la Modernisation de l État). Le SEDA apporte un cadre normatif pour les échanges d informations entre les services d archives et leurs partenaires : entités productrices des archives, entités gestionnaires, entités de contrôle des processus, et enfin entités qui utilisent les archives. En complément de l interopérabilité technique, ce référentiel porte aussi sur l organisation de l archivage, avec la définition des rôles et des processus d archivage des acteurs publics. Les projets d archivage électronique se multiplient dans le secteur public. Ces projets doivent cependant s inscrire dans l organisation et les métiers des administrations publiques. L EXTERNALISATION DES ARCHIVES PUBLIQUES Pour répondre aux besoins d externalisation de la gestion des archives publiques, les approches BPO (Business Process Outsourcing - externalisation des processus métier), ou SaaS (Software as a Service) permettent de prendre en charge l intégralité de la chaîne de valeur de l archivage. En cas d externalisation, un agrément basé sur la norme NF Z doit être obtenu auprès des Archives de France (Ministère de la Culture). Christophe Bouvard Public Sector Project Manager Atos Worldline LES CHEMINS DE LA DÉMATÉRIALISATION - P. 21