Certifications ISO, normes, archivage etc. Que faut-il respecter pour faire de la facturation électronique ?

Avec le développement des technologies du Cloud et la migration des systèmes d’information des entreprises, la sécurité informatique n’a jamais autant été au cœur des préoccupations. Les entreprises sont de plus en plus exigeantes, les cyber-attaques ou fraudes se multiplient. Tout comme les normes et les certifications mises en place par les Etats.

Alors que la France va rendre la facturation électronique obligatoire pour toutes les entreprises à partir de 2026 (report de l’entrée en vigueur initialement prévue en 2024), où en sommes-nous ? Existent-ils des obligations en termes de facturation électronique ? Sur l’hébergement des données ? Et après 2026 ?

Petit tour d’horizon de ce qu’il convient de faire pour assurer la valeur légale des factures électroniques et la sécurité de votre système d’information.

Comment assurer la valeur légale d’une facture électronique ?

Première information, il n’y a pas de certification à passer pour faire de la facture électronique. Selon le Code général des impôts, une “facture est considérée comme électronique si et seulement si le processus est dématérialisé de bout en bout”. Ce qui veut dire qu’une facture électronique n’aura une valeur légale que si elle n’a jamais été imprimée.

Mais il ne suffit pas de ne pas imprimer une facture pour qu’elle ait de la valeur aux yeux de l’Administration fiscale. En effet, pour que vos factures électroniques remplacent définitivement le bon vieux papier, il faut que être capable, à tout moment du traitement, de justifier de 3 critères :

• l’authenticité de l’émetteur
• l’intégrité de la facture
• la lisibilité de la facture

Pour cela, il existe trois protocoles différents qui sont acceptés et définis par le Bulletin officiel des impôts : l’EDI fiscal, la signature électronique et la piste d’audit fiable.

En résumé : il n’existe pas de norme ou de certification à passer pour faire de la facturation électronique. Cependant, il y a un certain nombre de règles à respecter et de contrôles à effectuer pour être serein devant l’Administration fiscale. Une partie de ses règles est liée à vos outils et donc à la charge de vos prestataires, une partie est liée à vos processus et reste donc à votre charge.

Mais alors, quand on entend les entreprises parler de certifications ISO, de normes, etc. A quoi cela fait-il référence ? Rentrons dans le vif du sujet !

La norme ISO 27001

Dans le domaine des systèmes d’information, la norme ISO 27001 est l’une des plus connues. Il s’agit d’une norme internationale de sécurité informatique publiée en 2005 et révisée en 2013. Pour être tout à fait complet dans les présentations, son titre entier est “Technologies de l’information – Techniques de sécurité – Systèmes de gestion de sécurité de l’information – Exigences”.

Concrètement, cette norme concerne potentiellement toutes les entreprises et plus largement tous les types d’organisations (ONG, administrations, etc). Elle fixe le cadre et définit les exigences pour la mise en place d’un système de management de la sécurité de l’information.

Son objectif est de définir un protocole qui va permettre aux organisations d’identifier les menaces, de maîtriser les risques liés aux informations cruciales de l’organisation et de mettre en place des mesures de protection appropriées. Le tout dans une logique d’amélioration continue.

Si cette norme est souvent citée, c’est parce qu’elle donne un cadre de référence en termes de sécurité informatique. Il ne s’agit donc pas à proprement parler d’une norme liée à la mise en place d’une solution de facturation électronique.

Certification SecNumCloud, de quoi parle-t-on ?

Ici, nous ne parlons plus de norme. Le SecNumCloud est une “qualification” délivrée par l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information. Il s’agit d’une qualification purement française, que le Gouvernement cherche d’ailleurs à pousser au niveau européen.

Avec le développement des technologies et la migration des entreprises vers le Cloud, les cyber-attaques se sont multipliées. C’est pour répondre à ces enjeux que le l’Etat français a mis en place cette qualification. Il s’agit donc d’un label spécifiquement destiné à tous les acteurs du Cloud, qui proposent des services en PaaS, SaaS ou IaaS. Celui-ci est basé sur la norme ISO-27001, décrite ci-dessus, à laquelle il ajoute des spécificités qui sont destinées aux spécialistes du Cloud.

L’objectif est de proposer un label qui justifie du respect des bonnes pratiques de sécurité en termes d’hébergement des données par le prestataire. Cela simplifie également les relations entre prestataires et clients, plutôt que de négocier à chaque fois les conditions de sécurité.

Encore une fois, il ne s’agit pas d’une qualification liée à la facturation électronique mais plutôt de bonnes pratiques en termes de sécurité liées à l’hébergement des données des solutions Cloud. Un bonus mais pas une obligation.

Qu’en est-il des certifications concernant l’archivage ?

Autre certification qui pose souvent question au sujet de la facture électronique : l’archivage. Si l’on se penche sur le Bulletin officiel des impôts lié à ce sujet, il n’y a pas de norme obligatoire pour faire de l’archivage électronique.

Ce qui est indispensable, pour garantir la valeur probante de l’archivage des factures électroniques, c’est de respecter les trois critères mentionnés plus haut : authenticité, intégrité et lisibilité. Le tout sur une durée de 10 ans qui est la durée de conservation maximale des factures.

S’il existe effectivement des normes liées à l’archivage électronique, celles-ci sont plus souvent utilisées pour l’archivage de données beaucoup plus sensibles que les factures.

En bref, concernant l’archivage, les certifications sont plus un moyen de rassurer la clientèle sur les bonnes pratiques, un argument commercial, qu’une réelle nécessité. A condition que votre prestataire respecte le principe de la piste d’audit fiable sur toute la durée de conservation, vous pouvez être serein sur l’archivage de vos factures.

Facture électronique obligatoire en 2026 : ce qui va changer

Comme nous l’avons déjà abordé dans de précédents articles, l’Etat français prévoit la généralisation de la facture électronique dans le B2B à partir de 2026 (report de l’entrée en vigueur prévue en 2024). Dans le cadre de cette réforme, l’Etat va s’appuyer sur des plateformes de dématérialisation partenaires, qui auront à charge d’émettre et recevoir les factures pour le compte de leurs clients. Ces prestataires devront-ils respecter les normes ci-dessus pour être certifiés par l’Etat ?

La réponse est oui pour les solutions SaaS qui voudront être prestataires partenaires de l’Etat et c’est le cas de Freedz qui ambitionne de devenir PDP (Plateforme de Dématérialisation Partenaire). En effet, la DGFiP prévoit que les données gérées par les plateformes de dématérialisation partenaires soient hébergées par des prestataires qualifiés SecNumCloud. et que leurs propres solutions passent a minima la certification ISO 27001.

Nous l’avons vu, les seules restrictions en termes de facturation électronique aujourd’hui sont définies par le Code général des impôts. Elles concernent donc plutôt les processus comptables et il n’y a pas de certifications exigées en termes de sécurité informatique. Ce qui ne veut pas dire que l’on peut faire n’importe quoi… Dans le processus de piste d’audit fiable, vous devez effectivement identifier les différentes solutions utilisées et montrer comment celles-ci assurent l’intégrité des documents.
Des règles qui devraient évoluer à partir de 2026 pour les prestataires de dématérialisation qui souhaitent devenir officiellement partenaires de l’Etat.