Electronic signature integrated into document management (EDM): what to check

L’erreur la plus courante tient en une phrase : « le document est signé, il est donc probant ». Lorsqu’on rapproche signature électronique et GED, la valeur d’une signature dépend en réalité de ce qui se passe après : comment elle est vérifiée, avec quelles preuves elle est conservée, et si l’on pourra encore la valider quand le certificat du signataire aura expiré. La plupart des solutions de gestion documentaire proposent désormais un connecteur de signature. Voici ce qu’il faut vérifier avant de l’activer.

Sept points de contrôle

• Le niveau de signature adapté à chaque document. Le règlement eIDAS distingue la signature simple, avancée et qualifiée ; seule la qualifiée a l’effet juridique d’une signature manuscrite dans toute l’Union. Un bon de commande interne et un contrat engageant ne demandent pas le même niveau. La GED doit permettre d’associer un niveau à chaque type de document, plutôt qu’un réglage unique.
• Signature ou cachet. Lorsqu’un document émane d’une organisation plutôt que d’une personne (attestation, facture, acte délivré en masse), le cachet électronique, prévu par le même règlement, est souvent l’outil approprié.
• Le format de signature. Pour les PDF, le format PAdES, normalisé par l’ETSI, intègre la signature dans le fichier ; XAdES et CAdES couvrent d’autres formats. Un format standard garantit qu’un autre logiciel pourra vérifier la signature dans quelques années.
• La validation au moment du versement. La GED doit vérifier la signature quand elle reçoit le document, en s’appuyant sur les listes de confiance européennes, et conserver le rapport de validation à côté du document.
• La conservation dans le temps. Les certificats expirent, les algorithmes vieillissent. Les niveaux de signature dits à long terme (avec horodatage et éléments de validation intégrés, puis horodatages successifs) ou un service de conservation des signatures permettent de prouver que la signature était valide au moment où elle a été apposée.
• La version signée est la version archivée. Le circuit doit garantir que le fichier conservé est exactement celui qui a été signé, avec l’ordre des signataires, les délégations et l’horodatage dans les métadonnées.
• La réversibilité. Si vous changez de prestataire de signature ou de GED, pouvez-vous exporter les documents signés, leurs rapports de validation et les fichiers de preuve, dans des formats lisibles sans l’outil d’origine ?

Pourquoi la GED est le bon endroit pour ces contrôles

Le service de signature gère un moment : celui où l’on signe. La GED gère la durée : classement, droits d’accès, durées de conservation, sort final. C’est donc à la jonction des deux que la valeur probante se gagne ou se perd. Une GED qui sait lire et conserver les preuves de signature, et qui s’inscrit dans une politique d’archivage conforme aux normes du domaine, comme la NF Z42-013 en France ou l’ISO 14641, protège l’organisation bien au-delà de la durée de vie du prestataire de signature.

Le règlement eIDAS 2, en vigueur depuis mai 2024, conforte ce cadre et ajoute de nouveaux services de confiance, dont l’archivage électronique qualifié. Les organisations qui préparent l’arrivée des portefeuilles européens d’identité ont intérêt à vérifier dès maintenant que leur circuit documentaire saura accueillir des signatures émises depuis ces portefeuilles.

Notre article sur le lien entre identité numérique et signature qualifiée détaille les niveaux de garantie. Pour les circuits documentaires eux-mêmes, notre produit GedFlow part d’un diagnostic documentaire sur un service, signature comprise.

1. Règlement (UE) n° 910/2014 (eIDAS), articles 25 à 36, modifié par le règlement (UE) 2024/1183, Journal officiel de l’Union européenne.
2. ETSI EN 319 142, signatures électroniques PAdES ; ETSI EN 319 132 (XAdES) et EN 319 122 (CAdES).
3. AFNOR NF Z42-013 et ISO 14641, archivage électronique.