Signature électronique en entreprise : mise en place

La signature électronique en entreprise remplace le parapheur papier pour les devis, les contrats et les documents internes. Le règlement européen eIDAS distingue trois niveaux, du plus simple au plus exigeant. Le bon réflexe : choisir le niveau selon le risque porté par le document, puis conserver le dossier de preuve qui l’accompagne.

Ce que vaut juridiquement une signature électronique

Le cadre tient en deux étages. La loi n° 2000-230 du 13 mars 2000 a reconnu à la signature électronique la même valeur qu’une signature manuscrite en droit français. Le règlement (UE) n° 910/2014 du 23 juillet 2014, connu sous le nom d’eIDAS, applicable depuis le 1er juillet 2016, a ensuite harmonisé les règles à l’échelle européenne et remplacé la directive de 1999.

Deux articles du Code civil portent la mécanique au quotidien. L’article 1366 accorde à l’écrit électronique la même force probante qu’à l’écrit papier, à deux conditions : son auteur doit être identifié, et le document établi puis conservé de façon à garantir son intégrité. L’article 1367 définit la signature et réserve une présomption de fiabilité au procédé qui répond aux conditions fixées par voie réglementaire.

Retenez surtout le principe de non-discrimination posé par eIDAS : un juge ne peut écarter une signature au seul motif qu’elle est électronique, quel que soit son niveau. L’écart entre les trois niveaux se joue sur la charge de la preuve, pas sur l’admissibilité devant un tribunal.

Simple, avancée, qualifiée : ce qui les sépare

• Le niveau simple relie des données à un signataire sans exigence technique forte : une case cochée, un tracé à la souris, un code reçu sur un téléphone. Rapide à déployer, plus délicat à défendre le jour où le signataire conteste.
• Le niveau avancé impose un lien univoque avec le signataire, son identification, un moyen de création placé sous son contrôle exclusif et la détection de toute modification ultérieure du document.
• Le niveau qualifié ajoute un certificat qualifié et un dispositif de création certifié, fournis par un prestataire de services de confiance qualifié. Le règlement reconnaît à cette signature qualifiée un effet équivalent à celui de la signature manuscrite dans toute l’Union européenne.

La qualification d’un prestataire se vérifie. Chaque État membre tient une liste de confiance nationale, publiée et consultable à l’échelle européenne. Une mention commerciale « conforme eIDAS » sur une plaquette ne remplace pas ce contrôle, qui prend quelques minutes.

Le niveau se choisit selon le risque, jamais selon le tarif

Trois questions suffisent à trancher. Quel engagement financier ou juridique ce document porte-t-il ? Quelle probabilité que le signataire le conteste, change d’avis, disparaisse ? Un tiers impose-t-il un niveau précis, banque, assureur, acheteur public ? La commande publique répond à ses propres règles : le règlement de consultation annonce le niveau de signature attendu, à lire avant de monter un dossier de réponse.

Quels documents signer en priorité

Commencez par ce qui circule en aller-retour et fait perdre des jours. Dans une TPE, la liste tient en quelques familles :

• Devis et bons de commande, souvent signés dans l’urgence puis mal classés
• Contrats cadres, contrats de prestation, avenants et conditions particulières
• Contrats de travail, avenants, conventions de stage, documents d’embauche
• Procès-verbaux d’assemblée, décisions d’associé, pouvoirs et mandats
• Baux, contrats de maintenance, mandats de prélèvement, attestations
• Bons d’intervention et comptes rendus de réunion de chantier

La facture obéit à une autre logique, fiscale et réglementaire : elle relève du choix d’un logiciel de facturation et de devis numériques, pas de l’outil de signature. Ne mélangez pas les deux chantiers, même si les deux outils finissent par se parler.

Le dossier de preuve, pièce par pièce

Un document signé, seul, prouve peu de chose. Ce qui se défend, c’est un ensemble cohérent que votre solution doit savoir reconstituer et exporter :

• Le fichier signé dans son format final, avec les certificats qui y sont rattachés
• La piste d’audit retraçant chaque action, ouverture, consultation, acceptation, signature, avec les dates et les identifiants associés
• Les éléments d’identification recueillis avant la signature et la méthode employée
• Le statut du certificat à l’instant de la signature, vérifié puis consigné
• Les preuves d’envoi, de réception et d’acceptation des conditions générales

L’horodatage mérite une attention particulière. Cette technique associe de manière sûre une date et une heure de référence à des données, pour établir leur existence avant une certaine date, auprès d’un tiers horodateur de confiance et selon un protocole normalisé connu sous la référence RFC 3161. Sans lui, la date inscrite dans un fichier reste une simple déclaration de l’émetteur.

Choisir une solution : les critères qui comptent vraiment

Les démonstrations commerciales se ressemblent toutes. Le tri se fait sur sept points concrets, à poser par écrit avant le premier rendez-vous :

• Les niveaux de signature couverts, et la possibilité d’en changer selon la famille de documents
• L’export complet du dossier de preuve, dans un format lisible sans l’outil, récupérable à tout moment
• L’intégration à l’existant : gestion commerciale, espace de fichiers partagé, outil de gestion de la relation client
• L’hébergement des documents et des preuves, le pays concerné, le sous-traitant réel derrière l’offre
• Le sort des données en fin de contrat : export, délai de restitution, effacement
• Le parcours imposé au signataire : nombre d’étapes, appareils acceptés, langue, accessibilité
• Un support joignable en français, avec un délai de réponse annoncé par écrit

Le coût se compare en coût complet, pas en prix d’appel. Selon les éditeurs, la facturation porte sur l’utilisateur, sur le nombre d’envois, sur l’acte de signature ou sur la vérification d’identité, plus lourde aux niveaux avancé et qualifié. Comptez aussi le paramétrage des modèles et la formation des équipes, deux postes systématiquement absents des comparatifs. Une PME qui signe quelques documents par mois et une société de services qui en signe des centaines n’arbitrent pas de la même façon.

Mettre en place la signature électronique en entreprise

Le projet échoue rarement pour des raisons techniques. Il échoue parce que personne n’a décidé qui signe quoi, à quel niveau, ni où atterrissent les documents signés. Sept étapes, dans cet ordre :

1. Cartographiez les documents qui sortent signés, avec leur volume annuel et leur enjeu. Un tableur et une matinée suffisent.
2. Attribuez un niveau à chaque famille de documents, et écrivez cette règle noir sur blanc dans une note interne d’une page.
3. Décidez comment le signataire est identifié : adresse professionnelle vérifiée, code à usage unique, contrôle d’une pièce d’identité, entretien à distance selon le niveau visé.
4. Réécrivez les modèles : emplacement des champs, ordre des signataires, mentions particulières, case d’acceptation des conditions générales.
5. Lancez un pilote sur un seul type de document, pendant quelques semaines, avec un référent unique qui recueille les retours.
6. Formez les équipes sur les cas tordus, pas sur le bouton « envoyer » : signataire absent, erreur dans le montant, refus, relance.
7. Branchez l’archivage avant la généralisation, jamais après. Les documents du pilote doivent déjà partir au bon endroit.

Le parcours vu par le signataire

Votre client ne connaît ni votre outil ni votre organisation. Chaque étape ajoutée fait chuter le taux de retour : création d’un compte, application à installer, code envoyé sur une ligne fixe, document illisible sur téléphone. Testez le parcours vous-même, depuis un mobile, avec une connexion médiocre, comme le ferait un artisan entre deux chantiers.

Deux réglages améliorent nettement les délais : une relance automatique programmée à un rythme raisonnable, et un ordre de signature explicite quand plusieurs personnes interviennent. Le reste relève du texte de votre message d’envoi, trop souvent laissé au modèle par défaut.

Qui a le pouvoir d’engager la société

Vérifiez ce point avant le déploiement. Un compte partagé entre plusieurs collaborateurs détruit la valeur de la signature : le lien univoque avec une personne physique disparaît. Chaque signataire a son compte, son moyen d’authentification, son périmètre. Les délégations de pouvoir se formalisent par écrit et se révisent au départ de chaque salarié concerné, au même titre que les accès aux outils de travail collaboratif.

Conservation, RGPD et sécurité des documents signés

L’archivage à valeur probatoire ne se confond ni avec le stockage, ni avec la sauvegarde, ni avec la gestion documentaire. La sauvegarde duplique un contenu qui reste modifiable, pour redémarrer après un incident : ce dispositif garde toute son utilité, et se construit selon les règles propres à la sauvegarde des données d’entreprise. L’archivage, lui, fige un document et prouve qu’il n’a pas bougé.

Quatre exigences le caractérisent : la pérennité du format et de la lisibilité, l’intégrité démontrable du contenu, la confidentialité des accès, l’accessibilité effective pendant toute la durée de conservation. Les normes NF Z42-013 et ISO 14641-1 décrivent ces pratiques ; leur application reste volontaire, mais leurs exigences constituent un bon cahier des charges face à un prestataire.

Combien de temps conserver ? Le droit commun de la prescription civile fixe cinq ans, à compter du jour où le titulaire du droit a connu ou aurait dû connaître les faits lui permettant de l’exercer : c’est l’article 2224 du Code civil, issu de la loi n° 2008-561 du 17 juin 2008 portant réforme de la prescription en matière civile. Le même code prévoit un délai butoir de vingt ans à l’article 2232. Les durées propres à certains documents, sociaux ou fiscaux, s’ajoutent à cette base et la dépassent souvent.

Le règlement général sur la protection des données, applicable depuis le 25 mai 2018, encadre le reste. Une signature électronique traite des données personnelles : identité, adresse, numéro de téléphone, parfois une pièce d’identité et une donnée de connexion. Trois réflexes :

• Ne collectez que ce qu’exige le niveau retenu, et supprimez les copies de pièces d’identité dès que leur finalité est atteinte
• Documentez la durée de conservation de chaque catégorie, dossier de preuve compris, dans votre registre des traitements
• Encadrez le prestataire par un contrat de sous-traitance et informez les signataires, au même titre que les visiteurs de votre site soumis aux règles RGPD applicables à une TPE

La sécurité suit la même logique : comptes nominatifs, authentification renforcée sur l’outil de signature, revue périodique des droits, journalisation conservée. Un accès administrateur laissé à un ancien prestataire vaut toutes les failles techniques réunies.

Les erreurs qui fragilisent une signature électronique

Les litiges naissent rarement de la technologie. Ils naissent de raccourcis pris au moment du déploiement, puis oubliés :

• Appliquer un niveau unique à tous les documents, du bon de commande au contrat pluriannuel
• Conserver le fichier signé et jeter la piste d’audit, réduite au rang de pièce jointe encombrante
• Confondre archivage et sauvegarde, et découvrir la différence le jour d’une contestation
• Laisser signer depuis une boîte générique ou un compte partagé entre plusieurs personnes
• Ignorer la question du pouvoir d’engager la société, faute de délégation écrite
• Ne jamais rouvrir un document signé plusieurs années plus tôt pour vérifier qu’il reste lisible
• Recueillir des justificatifs d’identité sans durée de conservation ni base légale définie

Un dernier point tient à la relation client. La signature électronique change le rythme des échanges : un devis part le matin et revient signé l’après-midi, ce qui déplace la pression sur votre capacité à tenir le délai annoncé. Prévenez vos équipes, et calez les plannings avant d’ouvrir le robinet.

Prochaine étape : prenez vos dix derniers documents signés sur papier, classez-les par enjeu, et attribuez à chacun un niveau de signature. Cette liste d’une page devient votre cahier des charges, et rend les démonstrations d’éditeurs beaucoup plus courtes.