La dématérialisation des échanges : un sujet complexe et à plusieurs visages

Parole d’expert de Joël SPITALIER – Janvier 2019

La généralisation des échanges électroniques est aujourd’hui une réalité concrète pour l’ensemble des entreprises. TPE, ETI, PME, grands comptes, organismes publics, toutes les structures sont concernées et voient leurs traditionnels échanges papiers passer à l’électronique. Dans ce contexte, la dématérialisation n’est plus un choix, mais une obligation qui nécessite d’être pensée dans une logique réellement globale pour fonctionner correctement.

C’est aussi un de ces rares cas où les efforts consentis pour passer à la dématérialisation amènent rapidement des retours positifs en termes de : traçabilité documentaire (minimisation des pertes), rapidité d’accès à l’information, sécurité des échanges et surtout économies à court terme.

Prendre de la hauteur sur son projet

Un premier point à prendre en compte tient tout simplement à bien analyser l’ensemble des flux et des documents qui seront gérés de manière dématérialisée. En effet, en fonction de leur nature, différents processus voire obligations seront nécessaires : contrats, factures, documents RH, etc., sont autant de cas d’usage différents. Attention donc à avoir une vue d’ensemble de tous les documents qui seront numérisés et échangés électroniquement en considérant également leur criticité et leur devenir.

Le point sur les factures

Concernant les factures, qui est un poste qui concerne tous les acteurs, il est fondamental de bien comprendre que l’édition et l’échange électronique de ces documents doivent reposer sur une méthodologie normalisée et compatible avec la législation en vigueur. Sur ce point, nous pouvons notamment évoquer le cas des entreprises qui travaillent avec le secteur public et qui doivent répondre aux obligations de Chorus Pro. Cette démarche aujourd’hui réservée aux fournisseurs des administrations a d’ailleurs son pendant dans le cadre de la facturation inter-entreprises également. Attention donc à entrer dans une logique de professionnalisation de la gestion des factures électroniques, conforme à la réglementation fiscale et qui ne peut donc se limiter à l’envoi d’un simple PDF joint dans un mail.

Le point lié à l’archivage des documents électroniques

Trop souvent encore les SAE (Systèmes d’Archivage Electronique) sont méconnus ou confondus avec des GED (Gestion Electronique de Documents)

Sur ce point, une vigilance particulière est également nécessaire pour réaliser un réel archivage à valeur légale et à force probatoire (i.e. pouvant avoir force de preuve en cas de litige).

Pour répondre à des obligations fonctionnelles, réglementaires et normées, l’archivage à valeur probatoire doit pouvoir garantir l’authenticité, l’intégrité et la lisibilité des pièces qui y sont versées. En effet, il est devenu très facile de modifier et falsifier un document bureautique ou PDF. Aussi, une SAE doit-il à la fois prendre en compte des notions purement technologiques, mais aussi intégrer des données réglementaires et métier, telles que le temps de conservation en fonction des documents par exemple. Globalement, les grandes fonctionnalités d’un système d’archivage électronique résident essentiellement dans le fait d’admettre que seule la version finale soit archivée et que sa destruction ne peut se faire que dans des cas bien précis et de manière « supervisée ». Pour arriver à cette finalité, un contrôle rigoureux des durées de conservation et de la présence de certaines données est absolument nécessaire.

Ces quelques points illustrent parfaitement que la dématérialisation de documents ne peut être traitée sans prendre de la hauteur. A titre d’exemple : beaucoup confondent encore les notions de stockage, sauvegarde et archivage (à caractère légal). Il est donc nécessaire de lancer son projet en prenant les bonnes décisions pour respecter tous les prérequis nécessaires afin de se conformer aux usages et à la réglementation en vigueur.

Bien constituer son référentiel RGPD, un axe stratégique pour les entreprises

Parole d’expert de Pascal FEYDEL – Novembre 2018

Être en conformité avec le fameux règlement RGPD entré en vigueur cette année est désormais un axe stratégique pour l’ensemble des entreprises, et ce, quel que soit leur secteur d’activité ou leur taille. Les réglementations européennes et françaises fixent désormais précisément les droits et devoirs qui incombent à toute organisation (usages, traçage, accès aux données, conditions de conservation) en matière de données nominatives enregistrées dans leurs bases de données.

Le RGPD (Règlement Général sur la Protection des Données) constitue le fer de lance de ces nouvelles dispositions immédiatement applicables. Celui-ci impose à tout organisme public comme privé, de rendre auditables les mesures prises en matière de protection des données personnelles, en documentant à la fois le niveau de conformité ciblé (démarches en cours) et atteint (mesures prises en entrée en vigueur).

Dans ce contexte, un nouvel homme-clé est né : le DPO (Data Protection Officer). Ce dernier est le garant de la mise en conformité de l’entreprise et doit piloter le projet de bout en bout. En liaison avec les services qui déclarent les traitements nominatifs réalisés dans l’ensemble des applications informatiques exploitées sous leur responsabilité, tout DPO doit ainsi mettre en place un mode de gestion industriel pour mener à bien sa mission. A priori évident, un tel processus est particulièrement complexe et nécessite de s’appuyer sur une approche pragmatique et traçable. L’objectif est simple : modéliser les traitements de suivi et la production des registres pour l’ensemble des organismes dont le data Protection Officer a la charge.

Mener à bien sa démarche de mise en conformité

Une démarche structurée est donc nécessaire, et notamment grâce au digital. En voici un exemple. Concrètement, une première étape consisterait en une déclaration, par les agents et via des formulaires adaptés, des traitements susceptibles de collecter et exploiter des données à caractère personnel.  Un circuit de validation librement modélisé pourrait ensuite acheminer chaque déclaration vers le DPO qui matérialiserait son accord et produirait les registres réglementaires adaptés à chaque organisation dont il a la charge, sur la base de modèles préalablement constitués. Chaque agent disposerait alors de fonctions lui permettant de suivre les traitements et d’accéder aux registres générés. Cet exemple démontre clairement la complexité de mener à bien une démarche de mise en conformité de manière globale faute de mettre en place des processus de gestion structurés.

Ce que nous pouvons conclure de ces différents éléments est que la mise en conformité souvent présentée uniquement sous l’angle du conseil ne suffit pas. En effet, faute de mettre en place des processus de gestion collaboratifs et dédiés, il sera difficile de maintenir à jour son référentiel, de le faire évoluer et d’assurer sa mise en conformité. Attention donc à bien prendre la hauteur nécessaire pour s’assurer de la pertinence de sa démarche et de la viabilité de son approche pour être conforme aux directives du RGPD.