Piste d’audit de la signature électronique : comment prouver qui a signé quoi et quand

Qu’est-ce qu’une piste d’audit de la signature électronique ?

Une piste d’audit est un enregistrement chronologique des événements associés à un processus numérique. Dans le cas de la signature électronique, elle peut documenter, selon la plateforme, des événements tels que l’envoi d’un document, l’avancement du workflow, la finalisation de la signature ou son refus.

Sa fonction principale est de permettre de reconstituer ultérieurement qui a participé au processus, ce qui s’est passé et à quel moment.

Une piste d’audit ne doit toutefois pas être confondue avec la signature électronique elle-même. Le journal d’activité décrit le déroulement du workflow, tandis que la preuve cryptographique concerne directement le document signé et permet de vérifier des éléments tels que la signature, le certificat, l’horodatage et l’intégrité du contenu.

Ces deux composantes sont complémentaires, mais n’ont pas nécessairement la même valeur probante.

Quelles informations une piste d’audit devrait-elle contenir ?

Toutes les plateformes n’enregistrent pas les mêmes événements. Avant de choisir une solution de signature électronique, il est donc utile de vérifier quelles informations sont conservées et dans quelle mesure elles peuvent être facilement récupérées.

Pour les organisations soumises à des audits ou à des exigences de conformité, il est également important d’évaluer la conservation, l’accessibilité et l’exportabilité des preuves, et pas uniquement le nombre d’événements enregistrés.

Comment vérifier qu’un document n’a pas été modifié ?

Une signature électronique reposant sur des mécanismes cryptographiques ne rend pas nécessairement impossible la modification d’un fichier. Elle permet en revanche de détecter les altérations apportées après la signature.

Le contenu du document est lié mathématiquement à la signature. Si les données signées sont modifiées, une vérification ultérieure peut indiquer que leur intégrité n’est plus garantie. L’Administration fédérale suisse explique également que, lorsqu’une signature est valide, il est possible de vérifier que le contenu n’a pas été modifié depuis sa signature. (Bit_admin)

Les certificats et les horodatages apportent des éléments supplémentaires à la chaîne de vérification : le certificat fournit des informations sur la signature, tandis que l’horodatage permet de situer celle-ci dans le temps.

Il est donc plus précis de parler de détection des manipulations que de qualifier les documents de techniquement « inaltérables ».

Pourquoi la vérification ne s’arrête-t-elle pas une fois le document signé ?

Un document peut devoir être contrôlé plusieurs mois, voire plusieurs années après sa signature. À ce moment-là, il ne suffit pas nécessairement de savoir que le workflow a été finalisé : il peut être nécessaire de vérifier si la signature est techniquement valide, quel certificat a été utilisé, si le fichier a été modifié ou si le certificat a été révoqué.

Les outils de validation remplissent donc une fonction différente de celle de la piste d’audit.

Un autre aspect important concerne le pouvoir de signature. Dans le cadre d’un contrat d’entreprise, identifier correctement une personne ne signifie pas automatiquement démontrer qu’elle était habilitée à représenter l’organisation.

Un exemple de cette approche sur le marché suisse est DeepValidator de DeepCloud. Ce service valide les signatures et les cachets électroniques et peut, grâce à l’intégration des données du Registre du commerce suisse, vérifier les pouvoirs de signature enregistrés pour une organisation donnée. DeepValidator peut également être utilisé pour valider des signatures provenant de différents prestataires.

Identifier, signer et vérifier : trois étapes distinctes

Un processus numérique fiable peut donc être considéré comme une chaîne composée de trois fonctions :

• Identifier la personne signataire
• Signer le document
• Vérifier ultérieurement la signature et les pouvoirs de signature

Cette distinction permet également d’évaluer les plateformes de manière plus complète.

Dans l’écosystème DeepCloud, par exemple :

• DeepID est utilisé pour l’identification numérique et est intégré au processus de signature avec DeepSign
• DeepSign permet la signature électronique des documents
• DeepValidator intervient lors de la validation ultérieure des signatures et des cachets électroniques ainsi que, lorsque cela est pertinent, dans la vérification des pouvoirs de signature enregistrés

La valeur de ce modèle tient également au fait que les trois fonctions appartiennent au même écosystème. De manière générale, toutefois, lorsque l’on compare différentes solutions, le critère essentiel consiste à vérifier que l’identité, la signature, l’intégrité et la validation peuvent être reliées de manière claire et vérifiable.

Un cas concret : GGA Maur numérise les signatures collectives

L’importance de relier identification et signature apparaît clairement dans le cas de la coopérative suisse GGA Maur. L’organisation devait gérer des signatures collectives même lorsque les personnes habilitées travaillaient depuis différents sites ou à distance. Auparavant, elle utilisait des signatures scannées insérées dans les documents, une méthode qui ne permettait pas de vérifier de manière univoque l’identité de la personne signataire.

GGA Maur a donc numérisé le processus en utilisant DeepSign en combinaison avec DeepID : DeepID pour identifier la personne signataire et DeepSign pour signer numériquement les documents. GGA Maur peut ainsi gérer les signatures à distance tout en conservant un processus documenté et en réduisant les étapes manuelles.

Outre les aspects liés à la traçabilité, ce cas met également en évidence des avantages opérationnels mesurables : GGA Maur a atteint 500 documents signés numériquement et indique une économie de CHF 10 par document.

Par ailleurs, pour les organisations ayant des exigences plus avancées en matière de traçabilité, il existe des solutions sur site. DeepSign On-Prem, par exemple, enregistre de manière sécurisée les actions effectuées au cours du processus et intègre dans le document les informations relatives au certificat ainsi que, le cas échéant, à l’horodatage qualifié.

Piste d’audit et valeur juridique en Suisse

En Suisse, le cadre juridique de référence est la loi fédérale sur la signature électronique (SCSE).

Une piste d’audit ne suffit pas, à elle seule, à rendre une signature électronique équivalente à une signature manuscrite. Conformément à l’article 14, alinéa 2bis du Code des obligations, cette équivalence concerne la signature électronique qualifiée fondée sur un certificat qualifié délivré par un prestataire reconnu et accompagnée d’un horodatage électronique qualifié. (Bit_admin)

Pour de nombreux contrats, le droit suisse applique toutefois le principe de la liberté de forme. Le type de signature approprié dépend donc du document, des exigences légales et des accords conclus entre les parties.

Conclusion

Un processus de signature fiable ne s’arrête pas à la signature du document. Il doit permettre de retracer qui a signé quel document, à quel moment, si son contenu est resté intact et, lorsque cela est pertinent, si la personne signataire était habilitée à agir au nom d’une organisation.

Une bonne piste d’audit permet de reconstituer le processus, mais ne remplace pas les preuves associées à la signature. Pour évaluer une solution, il est donc utile de se poser une question concrète : si ce document devait être contesté ou vérifié dans cinq ans, de quels éléments disposerais-je pour prouver qui l’a signé, quand, quel contenu a été signé et avec quels pouvoirs de signature ?