Le déploiement de la facture électronique

Les évolutions encourageant le déploiement de la facture électronique

Le recours obligatoire pour les fournisseurs de l’État

L’ordonnance 2014-697 du 26 juin 2014 a rendu progressivement obligatoire le déploiement de la facture électronique pour les fournisseurs de l’État, des collectivités locales et de leurs établissements publics respectifs. D’ici à 2020, l’État recevra 100% de ses factures d’achats de façon dématérialisée. La mise en place progressive du déploiement de la facture électronique est définie suivant le calendrier suivant :

• Le 1er janvier 2017 : pour les grandes entreprises de plus de 5000 salariés et personnes morales de droit publique
• Au 1er janvier 2018 : pour les entreprises de taille intermédiaire de 250 à 4999 salariés
• Le 1er janvier 2019 : pour les petites et moyennes entreprises de 10 à 249 salariés
• Au 1er janvier 2020 : pour les micro-entreprises de moins de 10 salariés

Le ministère de l’action et des comptes publics a mis en place un site internet dédié à Chorus pro. On y retrouve notamment toute la documentation nécessaire aux fournisseurs pour comprendre comment se servir de la plateforme.

La numérisation des factures papier : les informations nécessaires

Les entreprises peuvent numériser les factures reçues et émises sous format papier afin de les conserver dans un format numérique. Mais seulement pour les factures émises depuis le 31 mars 2017. Ces copies sont alors admises par l’administration fiscale comme pièce justificative notamment au regard de la TVA. Mais seulement si elles respectent l’ensemble des conditions de fiabilité fixées par décret.

Cette possibilité a été instaurée par l’article 16 de la loi de finances rectificative pour 2016. Les modalités techniques ont été précisées par arrêté en date du 22 mars 2017. Il s’agit des mêmes modalités techniques que celles définies en décembre 2016 par le décret 2016-1673 qui venait préciser l’article 1379 du code civil.

Les principales caractéristiques de numérisation peuvent se résumer en une phrase :  » La facture dématérialisée doit être une copie conforme de l’originale dans un format sécurisé dont la procédure d’archivage est contrôlée. « 

Pour ce qui est de la conformité de la copie, la facture numérisée doit être la copie conforme de la facture papier. L’image, le contenu et les couleurs doivent être reproduites à l’identique.

Pour ce qui est de la sécurisation du format, la facture doit être numérisée sous format PDF ou PDF/A28. Chaque fichier doit être daté et, afin de garantir l’intégrité des données, être assorti d’un dispositif de sécurité. Au choix, il peut s’agir :

• D’un cachet serveur fondé sur un certificat conforme au moins au référentiel général de sécurité de niveau 1 étoile
• D’une empreinte numérique
• D’une signature électronique fondée sur un certificat conforme au moins au référentiel général de sécurité de niveau 1 étoile
• De tout dispositif sécurisé équivalent fondé sur un certificat délivré par une autorité de certification figurant sur la liste de confiance française Trust service Status List-TSL.

En ce qui concerne la procédure d’archivage réglementé, les factures numérisées peuvent être conservées par la société ou par un tiers mandaté. Les opérations d’archivage doivent être définies selon une organisation documentée. Elles doivent faire l’objet de contrôles internes. Et cela permet d’assurer la disponibilité, la lisibilité et l’intégrité des factures pendant toute la durée de conservation.

Ainsi numérisée, la facture dématérialisée tient lieu et place de facture originale et la facture papier peut être jetée. On parle alors de copie fiable.

Une seule inconnue demeure : le sort des factures papier émises avant le 31 mars 2017. Entrent-elles également dans le dispositif ou doivent-elles être conservées sous format papier ? Une position de l’administration est attendue sur ce sujet.

Les trois modes de sécurisation : fonctionnement et réglementations particulières

La piste d’audit fiable : un premier mode de sécurisation des factures

La piste d’audit fiable s’applique à toutes les factures qui ne sont pas sécurisées par les deux autres modes existants que sont l’EDI et la signature électronique. Elle s’applique donc à toutes les factures électroniques autres que celles précédemment énoncées, aux factures PDF simple par exemple. Elle s’applique aussi à toutes les factures papier.

Aujourd’hui, presque aucune entreprise française n’a recours qu’à l’EDI ou à la signature électronique pour ses factures entrantes et sortantes. Toutes les entreprises sont donc concernées.

La piste d’audit fiable a été introduite par la directive européenne 2010/45/UE du 13 juillet 2010. Le but de cette directive est de promouvoir le recours à la facture électronique en élargissant les modes d’élaboration et de transmission de ces factures. Les entreprises sont autorisées à recourir au système de facturation électronique de leur choix. À condition de mettre en œuvre des contrôles qui établissent une piste d’audit fiable. Et ce, entre une facture et une livraison de biens ou la réalisation d’un service.

Concrètement, la piste d’audit fiable se compose de :

• La description des process internes de l’entreprise qui doit permettre de retracer le flux de facturation depuis son origine, en règle générale la commande, jusqu’à l’archivage de la facture, en passant par la livraison, la facturation, le paiement
• La description des contrôles mis en place afin de s’assurer du bon déroulement des procédures décrites
• Les preuves de ces contrôles, ces derniers devant être permanents et documentés

L’administration fiscale ne donne aucune consigne sur les contrôles à mettre en place. Chaque entité selon sa taille, son organisation et son secteur d’activité choisira les contrôles qui lui semblent les mieux adaptés. Les process mis en place devront permettre à l’entité de garantir l’authenticité, l’intégrité et la lisibilité des factures.

La première inquiétude des chefs d’entreprise vis-à-vis de la piste d’audit fiable est le contrôle fiscal. La demande par le vérificateur de la piste d’audit fiable de l’entreprise contrôlée devient de plus en plus fréquente et les sanctions peuvent être lourdes. Selon l’article L13 D du LPF, les contrôleurs peuvent vérifier l’ensemble des informations, documents, données, traitements informatiques ou systèmes d’information constitutifs des contrôles de la piste d’audit fiable ainsi que la documentation décrivant leur modalité de réalisation.

Si il y a absence de piste d’audit fiable ou de process de contrôle clairs et documentés, les factures ne sont plus considérées comme factures d’origine. Sauf pour l’application du 3 de l’article 283 du CGI : « Toute personne qui mentionne la taxe sur la valeur ajoutée sur une facture est redevable de la taxe du seul fait de sa facturation ».

Concrètement, pour les factures entrantes, la sanction est la remise en cause de la déductibilité de la TVA. Cette sanction est clairement énoncée au paragraphe 110 du BOI-TVA-DECLA-30-20-3050-20131018. En revanche, pour les factures sortantes, aucune sanction n’est clairement écrite. Mais il est bien dit que les factures ne sont plus considérées comme des factures originales. L’application de l’article 1737 du CGI pourrait alors s’appliquer. Le défaut de facturation ou la facturation d’opérations ne correspondant pas à la réalité, sont sanctionnés par une amende de 50 % du montant qui a été ou aurait dû être facturé, ramené à 5% en cas de comptabilisation des dites factures. La réalité devant être démontrée par la piste d’audit fiable.

Pour le moment, si la documentation de la piste d’audit fiable est de plus en plus demandée lors d’une procédure de vérification de comptabilité, aucun redressement n’est intervenu au seul motif de son absence. Reste à savoir, combien de temps cela va durer.

La signature électronique : un autre mode de sécurisation

Les caractéristiques imposées par l’administration fiscale

La signature électronique est un terme assez vague. L’administration fiscale a précisé ce qu’elle entendait par cette notion :  » La signature électronique doit permettre, à l’aide d’un système cryptographique, de garantir l’identité du signataire ainsi que l’intégrité du document signé. « 

Seules les signatures électroniques qualifiées, au sens de l’administration fiscale, permettent à la fois de garantir l’authenticité de l’origine, l’intégrité du contenu et la lisibilité des factures. Par conséquent, l’utilisation d’une signature électronique non qualifiée n’exempte pas la société de la mise en place d’une piste d’audit fiable.

Une signature est dite qualifiée par l’administration fiscale lorsqu’elle est obtenue par un certificat électronique certifié. Cela veut dire qu’elle est fourni par un prestataire de services ayant obtenu une qualification de la part d’un organisme lui-même accrédité par l’État. L’article 96 F de l’Annexe III au CGI liste ce que doivent contenir la signature électronique et le certificat électronique.

Lorsqu’on parle de signature électronique d’une facture il s’agit en réalité d’une signature et d’un certificat. La signature va permettre d’identifier l’émetteur. Le certificat va permettre de détecter si le document a été modifié depuis l’apposition de la signature.

La signature électronique et le certificat électronique doivent être à minima équivalent à un niveau de sécurité RGS 2 étoiles.

Il s’agit d’un niveau de sécurité élevé pour lequel le fournisseur de certificat électronique doit contrôler l’identité de son client. Et ce, au moyen de la vérification :

• Des pièces d’identité originales du porteur du certificat et de son représentant légal si le porteur est une personne morale
• Du code SIREN
• Des documents justifiant l’adresse ou le siège social

Toutes ces vérifications doivent se dérouler en face à face avec le porteur du certificat. L’administration précise que le certificat doit être attribué par un prestataire qualifié dit de confiance. À ce jour, la société LSTI est la seule à être habilitée par l’ANSSI à qualifier des prestataires de services de confiance. Le conseil supérieur de l’Ordre des Experts-Comptables figurant sur cette liste, un expert­-comptable peut signer électroniquement ses factures grâce à sa signature numérique Signexpert.

L’administration précise également que le certificat électronique doit être conservé sur un support matériel cryptographique, une clé USB ou une carte à puce par exemple. Les certificats électroniques sur support immatériel, tel que logiciel, ne sont pas autorisés car moins sécurisés.

Le format PDF apparaît comme une évidence

L’administration fiscale ne précise pas quels sont les formats informatiques à privilégier. Dans la pratique, c’est le format PDF qui sera essentiellement utilisé. Car, en effet, il répond aux exigences réglementaires citées précédemment mais aussi parce qu’il a un statut de standard international.

C’est parce qu’il s’agit d’un format ouvert depuis de nombreuses années, que l’utilisation de PDF connait un tel succès. En effet, en accordant l’accès à ce format à tous les développeurs pour mettre en œuvre les fonctions de lecture et de création de PDF dans des logiciels tiers, Adobe Systems a fait de PDF une référence en termes de format numérique. Aujourd’hui, plus de 25 ans après sa création, ce format permet d’échanger et de lire des documents indépendamment de l’environnement informatique du créateur et du lecteur du document. Depuis 2008, PDF est devenu la norme ISO 32000. Depuis cette date, c’est donc l’organisation internationale de normalisation qui est responsable des mises à jour. Et aussi, du développement des nouvelles versions.

Fonctionnement de la signature électronique d’une facture

Pour bien comprendre le fonctionnement de la signature électronique et le système de vérification par le receveur, il faut savoir qu’un certificat électronique se compose d’une clé privée et d’une clé publique. La clé privée est propre à l’émetteur, elle sert à crypter sa signature et n’est jamais communiquée au receveur. La clé publique va servir au receveur à décrypter la signature reçue.

Lorsque l’émetteur signe électroniquement la facture, deux étapes se succèdent :

• La création d’un code unique, appelée empreinte, liée au document : cette étape est appelée le hachage
• Le cryptage de cette empreinte grâce à la clé privée contenue dans le certificat électronique. Pour cette étape il sera demandé à l’émetteur de s’identifier grâce au support matériel où se trouve son certificat, une clé USB par exemple et d’un code personnel. L’empreinte cryptée est la signature électronique

La facture est maintenant signée électroniquement, l’envoi de ce document va comprendre :

• Le document signé
• Le certificat électronique

Du côté du receveur, à l’ouverture du document la vérification s’opère également en deux étapes :

• À partir du document, le logiciel procède à la phase de hachage pour obtenir l’empreinte unique du document
• Ensuite, il procède à un décryptage de la signature, grâce à la clé publique contenue dans le certificat, pour obtenir une autre empreinte

Si les deux empreintes obtenues sont identiques, alors la signature est valide.

L’entreprise qui reçoit une facture électronique signée doit s’assurer de la validité de la signature et de l’intégrité du contenu de celle-ci, ainsi que de la validité du certificat électronique. À défaut, la société doit traiter ces factures entrantes comme des PDF non signés, c’est-à-dire mettre en place une piste d’audit fiable.

La signature électronique se différencie de la signature papier, essentiellement par son caractère non visuel. En effet, la signature électronique de certification correspond à une suite de nombres annexée au document signé mais non visible sur le fichier en tant que tel. Toutefois, à l’ouverture d’un fichier PDF signé, un bandeau bleu en haut du document indique le nom de la personne physique ou morale ayant certifié le document, l’identité de l’autorité de certification ayant émis le certificat ainsi que l’état de validité du document. Trois cas sont possibles, ils sont reconnaissables par l’icône présent à gauche du bandeau :

• Un TIC vert
• Une croix Rouge
• Un panneau de circulation jaune avec une point d’exclamation noir

Signature électronique : les exigences réglementaires particulières

Si une entité réceptrice de la facture signée électroniquement souhaite sécuriser cette facture entrante par la voie de la signature électronique, elle devra effectuer les vérifications relatives à l’authenticité et à l’intégrité du document :

• Vérifier la signature électronique apposée sur la facture
• S’assurer de l’authenticité et de la validité du certificat attaché à la signature électronique

L’administration précise que ces contrôles doivent pouvoir être réalisés à la réception de la facture mais également pendant toute la durée de conservation fiscale qui est égale à 6 ans. Il est donc absolument indispensable de conserver la facture sous son format original.

En cas de recours à la facture électronique PDF simple ou PDF signée électroniquement mais dont la signature n’est pas « qualifiée » au sens de l’administration fiscale, la société devra sécuriser ses factures par la mise en place d’une piste d’audit fiable.

Concernant les contrôles de l’administration fiscale, cette dernière peut notamment vérifier :

• La conformité du dispositif de la création de signature
• Les caractéristiques de qualité et de validé du certificat électronique qualifié, en s’assurant qu’il est bien fourni par un organisme habilité à le faire
• Les fonctions de l’application logicielle

L’ensemble des contrôles va permettre au vérificateur de s’assurer que le dispositif utilisé est en conformité avec les prescriptions de l’article 96F de l’annexe Ill du CGI.

Si le dispositif utilisé est reconnu non conforme, l’entreprise disposera d’un délai de 30 jours à compter de la réception du procès-verbal de l’administration fiscale pour formuler des observations, apporter des justifications ou procéder aux régularisations nécessaires. À défaut, le système utilisé ne sera plus considéré comme permettant d’assurer l’authenticité de l’origine, l’intégrité du contenu et la lisibilité des factures. En conséquence, les factures transmises en vertu du dispositif contrôlé ne constitueront plus des factures d’origine, le risque de défaut de facturation est sanctionné par une amende de 50% du montant facturé, ramenée à 5% si la facture est bien comptabilisée.

Concernant les factures entrantes, c’est la déductibilité de la TVA qui peut être remise en cause, sauf à avoir sécurisé ces factures par la piste d’audit fiable.

L’EDI ou l’Échange de Données Informatisées

L’EDI peut être défini comme l’échange de données entre deux ordinateurs.

Nous allons maintenant aborder les règles à respecter pour que le système EDI utilisé soit qualifié d’EDI fiscal ou EDI complet. En effet, tous les flux EDI ne sont pas admis par l’administration fiscale comme voie de sécurisation des factures. Pour obtenir la qualification d’EDI fiscal, les flux doivent être échangés selon des normes techniques et une organisation spécifique. Si ce n’est pas le cas, l’entreprise doit sécuriser ses factures via la voie de la piste d’audit fiable.

La composition des étapes d’échange d’un message EDI

Étape 1 : la préparation du document à envoyer

L’émetteur, par exemple le fournisseur, va préparer son document comme par exemple la facture, grâce à son ERP ou logiciel de facturation.

Étape 2 : la traduction du document au format EDI

Les données sont ensuite traduites en format EDI. Le « traducteur » peut être intégré dans l’ERP ou le logiciel de facturation, mais il peut également s’agir d’un logiciel à part comme un système d’interface. L’étape de traduction peut également être externalisée en faisant appel à un prestataire de services.

Étape 3 : la connexion et la transmission des documents EDI

Les données sous format EDI sont ensuite transmises au partenaire, ici le client.

Les données EDI peuvent être transmises directement de l’entreprise émettrice à l’entreprise réceptrice, on parle alors d’EDI point à point ou d’EDI in situ. Ce mode de transmission crée une connexion sécurisée entre deux partenaires à l’aide d’un même protocole. Ce mode nécessite également la mise en place de stations EDI, un ensemble de matériels et de logiciels en interne chez chacun des prestataires. Les deux entreprises souhaitant échanger leurs données, mettent en place un réseau également privé.

Une autre solution consiste à externaliser la station EDI en ayant recours à un prestataire de réseau EDI qui met à disposition des deux entreprises , un réseau privé.

Les échanges peuvent également transiter par internet via un prestataire de services, on parle alors de Web EDI. Ce mode de communication ne nécessite pas d’intégration à une infrastructure informatique puisqu’elle utilise le net.

Étape 4 : l’intégration des données chez le receveur

Cette étape va consister en l’intégration des données EDI dans le système d’information du client. Il s’agit du schéma inverse de ce qui se passe chez le fournisseur, le client récupère des données au format EDI qu’il traduit au format interne de son logiciel comptable ou ERP afin d’intégrer la facture d’achat.

Pour que l’échange de données fonctionne, encore faut-il que les deux ordinateurs parlent la même langue. Il faut que les informations soient échangées selon un format ou une norme EDI compris par les deux ordinateurs. Si ce n’est pas le cas, le recours à un traducteur sera nécessaire. L’avantage de recourir à une externalisation de la station EDI est que ce service de traduction est généralement compris dans l’offre du prestataire.

Il existe plusieurs dizaines de normes EDI, mais la plus utilisée pour les documents commerciaux en Europe reste la norme EDIFACT. Parce qu’elle a été adoptée très massivement par les entreprises pionnières de l’EDI, elle s’est rapidement imposée comme la norme de référence dans les relations commerciales interentreprises. Cette norme contient plus de 200 messages standards dont le message INVOIC, qui correspond au message facture.

Afin de s’assurer que les données échangées seront bien comprises par les deux ordinateurs, les entreprises partenaires doivent se mettre d’accord sur la norme qui sera utilisée par chacun et si elles sont différentes. Elles doivent aussi se mettre d’accord sur le moyen de traduction à utiliser, telle qu’une application ou un prestataire externe par exemple. Cet accord est matérialisé via une convention EDI.