Maîtriser la signature électronique qualifiée : une procédure d'entreprise

Introduction

Déployer une signature électronique qualifiée exige plus qu’un certificat valide. L’entreprise doit relier le document, le signataire, le dispositif qualifié, la validation et les preuves dans une procédure que les équipes peuvent exécuter et auditer.

Cette procédure réduit les blocages au moment de signer et évite qu’un changement de prestataire ou de certificat rompe la chaîne de preuve. Elle définit aussi les exceptions qui interrompent le parcours.

Nota Sign relie le document, le signataire, le certificat qualifié, l’ordre de signature et la piste d’audit dans un même parcours QES. La procédure écrite devient ainsi une configuration testable plutôt qu’un contrôle théorique. Pour lancer le premier flux, approuvez votre procédure de signature qualifiée dans Nota Sign.

Poser la signature qualifiée

Qualifiez d’abord le document, ses parties, sa forme, les pouvoirs du signataire et la règle sectorielle éventuelle. La QES répond à une catégorie eIDAS précise, mais elle ne corrige pas un défaut propre à l’acte.

Le règlement (UE) n° 910/2014 définit la QES comme une signature avancée créée au moyen d’un dispositif qualifié et fondée sur un certificat qualifié. La procédure reprend ces trois exigences et les traduit en contrôles du parcours.

La version et les annexes sont figées avant l’envoi. Une correction déclenche une nouvelle approbation et un nouveau cycle lorsque le contenu signé change.

Vérifier le certificat et le signataire

Le certificat exact est vérifié pour son émetteur, son statut qualifié, sa période de validité, son état et son titulaire. L’équipe rapproche ensuite le titulaire du signataire prévu et contrôle son pouvoir de représentation.

Le parcours traite explicitement un certificat expiré, révoqué, inattendu ou impossible à valider. Aucun de ces résultats ne doit être converti en succès par une intervention non documentée.

Le statut qualifié du prestataire et du service est vérifié dans les sources de confiance pertinentes au moment du contrôle.

Définir le niveau et la preuve

Le dossier conserve le fichier signé, le certificat, le dispositif ou service de création, les données temporelles, le résultat de validation et les événements utiles. Chaque élément reste relié à la version et au signataire concernés.

L’article 25 d’eIDAS attribue à la QES un effet équivalent à la signature manuscrite dans son cadre. La procédure distingue ce régime du contrôle des pouvoirs, de la forme du document et des autres règles applicables.

La conservation est définie selon le document. Un test de restitution confirme que la preuve reste lisible et exploitable après la clôture.

Configurer le flux

Configurez l’ordre des signataires, les approbations, la date limite, les relances et les critères d’arrêt. L’approbation interne reste séparée de l’action du titulaire du certificat.

Testez le parcours normal, le remplacement d’un signataire, l’expiration, la révocation, l’erreur de version et l’export. Chaque scénario doit produire un résultat clair et la preuve prévue.

Les paramètres et résultats du pilote sont datés afin de pouvoir être reproduits lors d’une revue.

Approuver la procédure

La direction juridique, la conformité, la sécurité et les opérations approuvent le périmètre, les contrôles, les preuves et les exceptions avant le premier flux.

Une modification du document, du prestataire, du dispositif, du certificat ou de la conservation rouvre la procédure. L’ancienne version demeure liée aux dossiers qu’elle a gouvernés.