Audit interne de la signature électronique : la méthode

Ce qu'il faut retenir

• L'audit interne de la signature électronique vérifie que les parcours, les preuves et les contrôles sont conformes et fiables.
• Il couvre : niveaux de signature, identification, dossiers de preuve, archivage, gouvernance et prestataires.
• Un audit par échantillonnage permet de vérifier la qualité réelle des dossiers produits.
• Le rapport d'audit alimente les plans d'amélioration et rassure la direction et les régulateurs.

Auditer son usage de la signature électronique permet de vérifier que la promesse (preuve fiable, conformité) se réalise dans la pratique. Cet article présente la méthode et les points de contrôle.

Pourquoi auditer la signature électronique

• vérifier la fiabilité des dossiers de preuve ;
• s'assurer de la conformité aux niveaux annoncés ;
• détecter les dérives (documents non archivés, identifications faibles) ;
• préparer les contrôles externes et réglementaires ;
• améliorer les parcours et les contrôles.

L'audit n'est pas une formalité : il vérifie que le système produit réellement ce qu'il promet.

Le périmètre de l'audit

Le périmètre se définit selon les risques et les flux.

La méthode d'audit

1. Cadrer : objectifs, périmètre, référentiels.
2. Cartographier : flux, niveaux, documents, outils.
3. Échantillonner : prélever des dossiers représentatifs.
4. Vérifier : chaque dossier contre les critères.
5. Rapporter : constats, écarts, recommandations.
6. Suivre : plan d'action et vérification.

L'échantillonnage est la clé : il permet de mesurer la qualité réelle plutôt que la configuration théorique.

Les points de contrôle d'un dossier

• le document signé est présent et non modifié ;
• l'identification du signataire est documentée ;
• le niveau de signature correspond au flux ;
• les consentements et accusés sont horodatés ;
• l'horodatage est vérifiable ;
• les pièces annexes (pouvoirs) sont présentes ;
• le dossier est accessible et archivé.

Chaque point manquant est un écart à corriger.

Les écarts fréquemment constatés

• niveau de signature non documenté ;
• identification faible pour des documents à enjeu ;
• consentements fusionnés avec la signature ;
• horodatages absents ou non vérifiables ;
• archivage incomplet ou non réversible ;
• pouvoirs des signataires non contrôlés.

Ces écarts se corrigent par des contrôles renforcés et des parcours améliorés.

Erreurs fréquentes dans l'audit lui-même

• Auditer la configuration et non les dossiers réels.
• Échantillon trop petit ou biaisé.
• Ignorer les cas d'erreur (échecs, annulations).
• Ne pas suivre le plan d'action.
• Faire l'audit sans les métiers : les pratiques réelles diffèrent des procédures.

Checklist d'audit interne

1. Définir périmètre et référentiels.
2. Cartographier flux et niveaux.
3. Prélever un échantillon représentatif.
4. Vérifier chaque dossier sur les points clés.
5. Documenter les écarts et recommandations.
6. Suivre la mise en œuvre du plan d'action.

Pour aller plus loin

• Auditer un dossier de preuve — la méthode détaillée sur un dossier.
• Gouvernance des clés — l'un des domaines à auditer.
• Preuve et contestation — ce que l'audit prévient.

Questions fréquentes

À quelle fréquence auditer ?

Annuellement, ou selon les exigences sectorielles. Un audit ciblé après une évolution importante est utile.

Qui réalise l'audit ?

L'audit interne, ou un tiers indépendant pour une revue externe. La méthode doit être documentée.

Que faire des écarts ?

Corriger par priorité de risque, avec un plan d'action suivi et vérifié.

Sources officielles

• Article 1367 du code civil — signature électronique
• Règlement eIDAS — niveaux de signature
• ISO/IEC 27001 — référentiel de sécurité

Pour aller plus loin

L'audit d'un dossier de preuve est la brique de base d'un audit plus large. La méthode est détaillée dans l'article sur l'audit d'un dossier de preuve.

Ce contenu fournit une information générale et ne remplace pas la méthodologie de votre fonction d'audit.