Audit du vote électronique : l'expertise indépendante qui sécurise votre scrutin
L'audit du vote électronique est une expertise indépendante menée par un spécialiste en sécurité des systèmes d'information, qui vérifie qu'une solution de vote par correspondance électronique garantit réellement la confidentialité des données, le secret du vote, l'intégrité et la sincérité du scrutin. Recommandée par la CNIL pour les scrutins à enjeu, cette expertise produit un rapport opposable, à réaliser avant toute utilisation du système. Elle n'est pas une certification : la CNIL ne certifie pas les solutions de vote.
C'est le maillon le plus mal compris du vote électronique. La plupart des organisateurs croient qu'une plateforme « conforme CNIL » se passe d'audit, ou qu'un badge sur un site web vaut expertise. Faux. L'audit est une mission d'analyse technique, contradictoire et documentée, commandée par le responsable de traitement — l'employeur — et menée par un tiers sans lien financier avec l'éditeur. Son absence ou son insuffisance peut fonder l'annulation d'une élection devant le tribunal judiciaire.
Cette page pose la définition exacte de l'audit, distingue audit et certification, détaille les critères de l'expert, le périmètre technique, les phases de la mission, le contenu du rapport, le coût réel, le calendrier d'intégration au protocole pré-électoral, l'opposabilité contentieuse et la remédiation en cas de non-conformité. Elle s'adresse aux RH, aux DRH, aux élus du CSE et aux organisateurs d'élections professionnelles qui veulent comprendre avant de signer — et défendre leur scrutin si on le conteste.
Le différenciateur. Un audit isolé ne suffit pas. La solution Sephos combine une cryptographie vérifiable par un tiers, une expertise indépendante documentée, et un chef de projet dédié, expert en droit social, qui pilote l'articulation entre l'audit technique et la sécurité juridique du scrutin — du protocole d'accord préélectoral au procès-verbal. Plus de 2 400 élections organisées, hébergement en France, gain de participation observé jusqu'à +22 points. L'audit, ici, est intégré à un accompagnement complet, pas vendu comme une option.
Définition : qu'est-ce que l'audit du vote électronique ?
L'audit du vote électronique — on parle aussi d'expertise indépendante — est une évaluation technique menée par un expert en sécurité informatique extérieur au système. Sa mission : vérifier, preuves à l'appui, que la solution fait ce qu'elle prétend faire, et qu'elle respecte les exigences de sécurité applicables à un scrutin dématérialisé.
L'expert ne se contente pas de lire une documentation commerciale. Il examine le code source, l'infrastructure d'hébergement, les mécanismes de chiffrement et de gestion des clés, la traçabilité des opérations et le dépouillement. Il confronte ce qu'il observe aux exigences de la recommandation de la CNIL sur la sécurité du vote par correspondance électronique. Il consigne ses constats, ses réserves et ses recommandations dans un rapport d'expertise daté et signé.
Cette page traite l'audit au sens strict — la mission d'expertise. Pour le portrait du profil de l'expert et les exigences d'indépendance, voir expertise indépendante du vote électronique. Pour le cadre de conformité du vote électronique CSE dans son ensemble, voir la page pilier.
Audit, expertise, certification : ne pas confondre
Trois mots circulent, et la confusion sert le marketing des prestataires les moins sérieux.
- L'audit (ou expertise indépendante) est une mission d'analyse réalisée par un tiers, qui produit un rapport sur un système donné à un instant donné. C'est ce que recommande la CNIL.
- La certification est la délivrance d'un label par un organisme accrédité selon un référentiel. La CNIL ne certifie pas les solutions de vote électronique. Aucune plateforme n'est « certifiée CNIL ». Méfiez-vous de tout site qui l'affiche.
- La conformité se documente par des matrices de conformité alignées sur les niveaux de risque de la recommandation CNIL — pas par un badge.
Un prestataire honnête vous fournit un rapport d'audit et une matrice de conformité ; il ne vous vend pas une certification qui n'existe pas. Ce point est développé sur la page vote électronique et CNIL.
L'audit est-il obligatoire ? Ce que dit la recommandation CNIL
C'est la première question, et elle mérite une réponse précise. La recommandation de la CNIL sur la sécurité des systèmes de vote par correspondance électronique (la délibération n° 2019-053, du 25 avril 2019) recommande le recours à une expertise indépendante du système de vote, en particulier pour les scrutins présentant un risque élevé.
Le terme « recommande » n'est pas un « facultatif » déguisé. En pratique :
- La recommandation CNIL constitue l'état de l'art opposable. Un juge saisi d'une contestation s'y réfère pour apprécier si le scrutin offrait les garanties suffisantes.
- Pour un scrutin classé en niveau de risque élevé (niveau 3) — fréquent pour les élections du CSE à fort effectif ou en climat social tendu —, l'expertise indépendante devient une mesure attendue. S'en passer, c'est s'exposer.
- L'absence d'audit, ou un audit superficiel, est un argument de contestation prêt à l'emploi pour une organisation syndicale ou un salarié mécontent.
Autrement dit : l'audit n'est pas une formalité administrative obligatoire au sens d'une déclaration préalable, mais c'est une garantie de sécurité dont l'absence fragilise juridiquement le scrutin. Pour un CSE à enjeu, le considérer comme optionnel est une erreur. Voir aussi vote électronique et Code du travail.
Qui doit commander l'audit : l'employeur, responsable de traitement
Point juridique à ne jamais inverser. Dans une élection du CSE, c'est l'employeur qui est responsable de traitement au sens du RGPD. La plateforme de vote est sous-traitant au sens de l'article 28 du RGPD, agissant sur instruction et encadrée par un contrat de sous-traitance.
Conséquence directe : c'est l'employeur qui doit s'assurer que l'audit a été réalisé, que la solution soit développée en interne ou fournie par un prestataire externe. L'employeur ne peut pas se décharger de cette responsabilité sur l'éditeur. Si le scrutin est contesté pour défaut de sécurité, c'est l'employeur, organisateur de l'élection, qui en répond.
| Situation | Qui commande l'audit | Qui le réalise |
|---|---|---|
| Solution développée en interne | L'employeur (responsable de traitement) | Un expert externe à l'entreprise et au service informatique |
| Solution fournie par un prestataire | L'employeur, sur la base de l'audit que le prestataire fait réaliser | Un expert externe à l'éditeur et à l'employeur |
En pratique, un prestataire sérieux fait auditer sa solution par un expert indépendant et fournit le rapport à l'employeur, qui l'intègre à sa documentation de conformité. Mais la responsabilité finale de disposer d'une expertise valide reste celle de l'employeur. Détail des rôles sur la page vote électronique et RGPD.
Qui peut réaliser l'audit : les critères de l'expert indépendant
L'efficacité de l'audit dépend entièrement de l'indépendance et de la compétence de l'expert. La recommandation CNIL fixe des critères précis, que voici réunis — un point que la plupart des concurrents survolent.
L'expert chargé de l'expertise indépendante doit :
- être un informaticien spécialisé en sécurité des systèmes d'information, capable de lire du code et d'analyser une architecture cryptographique ;
- n'avoir aucun intérêt financier dans la société qui a conçu la solution (l'éditeur) ni dans l'organisateur du scrutin (l'employeur). C'est le cœur de l'indépendance : un expert payé pour valider le produit de son employeur n'est pas indépendant ;
- avoir déjà audité au moins deux prestataires différents de vote électronique, gage d'expérience comparative ;
- avoir suivi la formation de la CNIL sur le vote électronique, qui calibre la grille d'analyse.
Ces critères distinguent une expertise indépendante d'un simple audit interne. Le service informatique de l'employeur ou l'équipe de l'éditeur peuvent mener des tests internes utiles, mais ils ne remplissent pas le critère d'absence d'intérêt financier : leurs travaux ne valent pas expertise indépendante au sens de la CNIL. C'est la différence à faire valoir au moment de choisir.
Audit interne ou expertise indépendante : le conflit d'intérêts en clair
| Critère | Audit interne | Expertise indépendante |
|---|---|---|
| Réalisé par | Service IT employeur / équipe éditeur | Tiers extérieur, sans lien financier |
| Intérêt financier | Présent (rémunéré par la partie auditée) | Absent (condition de validité) |
| Opposabilité devant le juge | Faible | Forte |
| Reconnu par la recommandation CNIL | Non, comme expertise | Oui |
Un audit interne prépare le terrain et corrige les défauts évidents ; il ne se substitue jamais à l'expertise indépendante exigée pour les scrutins à enjeu.
Les 3 niveaux de risque CNIL et leur incidence sur l'audit
La recommandation CNIL demande à l'organisateur d'évaluer le niveau de risque de son scrutin, puis d'appliquer les mesures correspondantes. Ce niveau détermine directement la profondeur de l'audit.
| Niveau | Enjeu typique | Incidence sur l'audit |
|---|---|---|
| Niveau 1 — faible | Scrutin à enjeu limité, faible impact d'une atteinte | Mesures de base ; expertise allégée ou ciblée |
| Niveau 2 — modéré | Enjeu intermédiaire, impact significatif | Renforcement de l'authentification et de la traçabilité ; expertise recommandée |
| Niveau 3 — élevé | Fort effectif, climat social tendu, antécédents contentieux | Expertise indépendante complète, vérifiabilité renforcée, tests de sécurité approfondis |
Les élections du CSE relèvent fréquemment du niveau 2 ou 3. Un climat social tendu, des antécédents de contestation, un effectif important ou des sites multiples font basculer le scrutin vers le niveau 3, qui appelle l'audit le plus complet. Plus le niveau est élevé, plus l'expert élargit son périmètre (code, infrastructure, gestion des clés, dépouillement) et plus la mission est coûteuse. C'est la première variable qui fait monter la facture.
L'évaluation du niveau de risque n'est pas une formalité : c'est l'acte qui dimensionne toute la sécurité du scrutin. Un chef de projet expert en droit social vous aide à le calibrer correctement, ni en sous-estimant l'enjeu (risque juridique), ni en le surestimant (coût inutile).
Le périmètre technique audité : que regarde l'expert ?
L'audit ne se limite pas à une revue documentaire. L'expert examine concrètement la chaîne technique du scrutin. Voici le périmètre type d'une expertise complète.
- Le code source. L'expert analyse le code de l'application de vote pour vérifier qu'il met réellement en œuvre les garanties annoncées (chiffrement, séparation des fichiers, anti-double-vote), sans porte dérobée ni faille connue.
- L'infrastructure d'hébergement. Architecture réseau, cloisonnement, durcissement des serveurs, gestion des accès, journalisation, hébergement en France et alignement sur les référentiels de sécurité.
- La génération et le scellement des clés. Comment la clé publique de l'élection est produite, et comment la clé de déchiffrement est répartie entre plusieurs porteurs.
- La cérémonie de clés. Le déroulé encadré et tracé de la génération distribuée des clés et du scellement de l'urne — moment clé de l'intégrité du scrutin.
- L'intégrité de l'exécutable. L'expert vérifie que le code audité est bien celui qui s'exécute en production (correspondance entre la version analysée et la version déployée).
- Le dépouillement. Le mécanisme de déchiffrement des résultats, la production des agrégats, la recalculabilité du décompte des sièges et la génération des procès-verbaux.
Ce périmètre est ce qui distingue une vraie expertise d'une déclaration de conformité. Une plateforme réellement auditable publie ses preuves et permet le rejeu indépendant du dépouillement ; une boîte noire qui demande de lui faire confiance n'est pas auditable.
Les 3 phases de la mission d'audit
L'expertise ne se déroule pas en un seul bloc. Elle suit le cycle de vie du scrutin, en trois phases. C'est la structure que les pages concurrentes ne formalisent pas.
| Phase | Moment | Ce que l'expert vérifie |
|---|---|---|
| Pré-scrutin | Avant l'ouverture du vote | Code source, infrastructure, génération et scellement des clés, cérémonie de clés, tests de sécurité avant ouverture |
| Péri-scrutin | Pendant le vote | Supervision, traçabilité des opérations, intégrité des journaux, absence de résultat partiel, bon fonctionnement de l'authentification |
| Post-scrutin | À la clôture et après | Dépouillement, recalculabilité du décompte, intégrité des agrégats, destruction des données dans les délais |
La phase pré-scrutin est la plus dense : c'est là que se concentrent l'analyse de code et la cérémonie de clés. La phase péri-scrutin porte sur la supervision en conditions réelles. La phase post-scrutin vérifie le dépouillement et, point souvent oublié, la destruction des données à l'issue des délais de recours. Un audit qui s'arrête à l'ouverture du vote est incomplet.
Ce que l'expertise vérifie : confidentialité, anonymat, intégrité, sincérité
Au-delà du périmètre technique, l'audit poursuit quatre objectifs de fond. Ils constituent la grille de lecture du rapport.
- La confidentialité des données. Les données personnelles (liste électorale, registre d'enrôlement) sont-elles protégées, minimisées, accessibles aux seules personnes habilitées ?
- L'anonymat et le secret du vote. Le système empêche-t-il de relier un électeur à son bulletin ? L'expert vérifie la séparation stricte entre la liste d'émargement et l'urne, et l'absence de déchiffrement individuel. L'anonymat est dissociatif et fort, sans être absolu : voir secret du vote électronique et anonymat du vote électronique.
- L'intégrité du scrutin. Aucun bulletin ajouté, supprimé ou modifié, aucun double vote. L'expert vérifie l'authentification, le mécanisme anti-double-vote et le scellement.
- La sincérité du scrutin. Le résultat proclamé reflète-t-il exactement les suffrages exprimés ? Le décompte est-il recalculable et vérifiable ?
Ces quatre objectifs recoupent les exigences que le juge examine en cas de contestation. Un scrutin qui les remplit, audit à l'appui, est défendable. Un scrutin qui les néglige est attaquable.
Cryptographie auditée : chiffrement homomorphe à seuil et vérifiabilité
Au cœur de l'audit technique se trouve la cryptographie. C'est là que se joue la supériorité réelle d'une solution — et que se corrige l'imprécision la plus répandue du marché.
La plateforme Sephos repose sur un chiffrement homomorphe à seuil : un cryptosystème ElGamal exponentiel sur la courbe Ristretto255. L'expert vérifie deux propriétés décisives.
On additionne sans déchiffrer. Le caractère homomorphe permet de calculer la somme des suffrages directement sur les bulletins chiffrés. Au dépouillement, seuls les agrégats (totaux par liste et par candidat) sont déchiffrés. Aucun bulletin individuel n'est jamais déchiffré. C'est ce que l'expert contrôle dans le code et lors du dépouillement.
La clé est répartie, jamais reconstituée. Le caractère à seuil signifie qu'il n'existe pas de clé unique. La clé de déchiffrement est partagée entre plusieurs porteurs de clés (trustees) via une génération distribuée (DKG), lors de la cérémonie de clés. Le déchiffrement n'est possible que si un seuil de porteurs collabore (par exemple 3 sur 5), et la clé secrète complète n'est jamais reconstituée en un seul endroit.
C'est plus précis et plus solide que l'expression trompeuse chiffrement de type « point à point » (vocabulaire de messagerie) employée par de nombreux concurrents — vocabulaire de messagerie inadapté au vote. Une preuve à divulgation nulle de connaissance accompagne chaque bulletin : elle atteste qu'il est bien formé, sans rien révéler du choix exprimé.
vérifiabilité de bout en bout : ce que l'expert peut rejouer
L'audit vérifie aussi la vérifiabilité de bout en bout (end-to-end verifiability), à deux niveaux :
- vérifiabilité individuelle : chaque électeur peut confirmer que son bulletin chiffré figure dans l'urne et reflète son intention, sans révéler son choix ;
- vérifiabilité universelle : n'importe quel tiers — expert, syndicat, observateur — peut rejouer le dépouillement hors ligne à partir des bulletins chiffrés et des preuves publiées, et retrouver le même résultat.
Une solution offrant cette double vérifiabilité est, par construction, auditable par tous, pas seulement par l'expert mandaté. C'est le plus haut niveau de garantie contrôlable.
Conformité RGPD et hébergement en France
L'audit ne porte pas que sur la cryptographie : il couvre la conformité RGPD et la sécurité de l'hébergement.
- Rôles RGPD. L'expert vérifie que la répartition est correcte : employeur responsable de traitement, plateforme sous-traitant (article 28). Voir vote électronique et RGPD.
- Analyse d'impact (AIPD). Le traitement comporte un registre d'enrôlement et un risque de traçage de la participation : une AIPD est requise. L'expert vérifie qu'elle a été réalisée.
- Minimisation et destruction. Les données collectées sont-elles limitées au nécessaire ? Sont-elles détruites à l'issue des délais de recours ? Voir données personnelles et vote électronique.
- Hébergement en France et alignement sur les référentiels de sécurité de l'État (RGS, et qualification SecNumCloud pour les exigences les plus fortes). La localisation des données en France facilite la maîtrise juridique et la réactivité opérationnelle — un facteur de confiance que l'employeur, responsable de traitement, doit pouvoir documenter.
Les recommandations de l'ANSSI (notamment son guide sur le vote par Internet pour les élections non politiques) complètent le cadre : elles insistent sur les tests de sécurité avant ouverture du scrutin, que l'audit doit intégrer.
Le rapport d'expertise : contenu et livrables
L'audit se matérialise par un rapport d'expertise, daté et signé par l'expert. C'est la pièce que l'employeur conserve et produit en cas de contestation. Aucun concurrent n'en décrit la structure : la voici.
Un rapport d'expertise complet comprend généralement :
- Le périmètre et la méthodologie : ce qui a été audité, comment, sur quelle version du système, à quelles dates.
- La grille de conformité CNIL : une matrice point par point, alignée sur le niveau de risque retenu (1, 2 ou 3), indiquant pour chaque exigence si elle est satisfaite, partiellement satisfaite ou non satisfaite.
- L'analyse de sécurité : constats sur le code, l'infrastructure, le chiffrement, la gestion des clés, la traçabilité et le dépouillement.
- Les réserves et recommandations : faiblesses identifiées, et mesures correctives demandées le cas échéant.
- Les conclusions : l'avis motivé de l'expert sur l'aptitude du système à garantir confidentialité, anonymat, intégrité et sincérité.
Structure type d'un rapport d'expertise
| Section | Contenu |
|---|---|
| Identification | Expert, mandant, système audité, version, dates |
| Périmètre & méthode | Éléments audités, techniques employées, niveau de risque |
| Grille de conformité | Matrice exigence par exigence (niveaux 1/2/3) |
| Analyse de sécurité | Code, infra, clés, dépouillement, traçabilité |
| Réserves | Anomalies, points de vigilance, recommandations |
| Conclusion | Avis motivé, validation ou conditions de validation |
Un rapport sérieux est lisible : il n'enfouit pas ses réserves. Un rapport qui ne contient aucune réserve sur un système complexe doit, paradoxalement, éveiller la prudence.
Quand réaliser l'audit : calendrier et rétroplanning
C'est le point que tous les concurrents négligent, et celui qui fait dérailler le plus de projets. L'audit doit être réalisé avant toute utilisation du système, et renouvelé après toute modification significative de la solution.
La règle de timing précise : le rapport d'expertise est rendu entre le scellement de l'urne et le premier tour. L'expert audite donc en amont, puis valide la configuration scellée juste avant l'ouverture.
Concrètement, dans le calendrier d'une élection CSE :
- Au moment du protocole d'accord préélectoral, le recours au vote électronique est acté et le principe de l'expertise indépendante est intégré au cahier des charges. C'est maintenant qu'on déclenche l'audit, pas après.
- Plusieurs semaines avant l'ouverture, l'expert mène l'analyse de code et d'infrastructure (phase pré-scrutin).
- Juste avant le premier tour, après la cérémonie de clés et le scellement de l'urne, l'expert valide la configuration finale et rend son rapport.
- Pendant le vote, supervision (phase péri-scrutin).
- À la clôture, vérification du dépouillement et de la destruction des données (phase post-scrutin).
Déclencher l'audit trop tard est l'erreur classique : un défaut détecté à la dernière minute oblige à reporter le scrutin, avec un risque sur les délais légaux. L'audit s'anticipe dès la rédaction du protocole. Voir calendrier des élections CSE et la checklist du protocole pré-électoral.
Combien coûte un audit de vote électronique ?
Aucun concurrent ne chiffre clairement ce poste. Nous le faisons, avec les réserves d'usage : un audit de vote électronique se compte en plusieurs milliers d'euros, le montant variant fortement selon plusieurs facteurs.
Les variables qui font monter la facture :
- Le niveau de risque CNIL. Un niveau 3 mobilise un audit complet (code, infra, clés, dépouillement, tests approfondis) ; un niveau 1 se limite à un périmètre ciblé. C'est la première variable.
- L'étendue du périmètre. Audit du seul code applicatif, ou audit incluant l'infrastructure d'hébergement, la cérémonie de clés et la supervision péri-scrutin.
- La complexité de la solution. Une architecture cryptographique avancée (chiffrement à seuil, double vérifiabilité) demande un expert pointu, donc plus rare et plus cher — mais c'est aussi ce qui rend le système réellement auditable.
- Le nombre de scrutins et leur récurrence. Un audit mutualisé sur une plateforme déjà expertisée coûte moins, par scrutin, qu'un audit ad hoc d'une solution interne.
- Les modifications. Toute évolution significative impose un nouvel audit (au moins partiel), donc un coût additionnel.
Quand un prestataire fait auditer sa solution et fournit le rapport à ses clients, le coût de l'expertise est mutualisé et intégré à l'offre — bien plus économique qu'un audit isolé que chaque employeur commanderait pour son seul scrutin. C'est un avantage concret d'une plateforme déjà expertisée. Pour un chiffrage adapté à votre scrutin, demandez une démo.
Que faire en cas de non-conformité : la remédiation post-audit
L'audit peut révéler des écarts. Que se passe-t-il alors ? C'est un angle mort total chez les concurrents.
Lorsque le rapport identifie des réserves ou des non-conformités, la marche à suivre est la suivante :
- Hiérarchiser les constats : une réserve mineure (un journal à enrichir) n'a pas le même poids qu'une faille bloquante (un déchiffrement individuel possible).
- Corriger : l'éditeur applique les mesures correctives demandées par l'expert. Sur une solution mutualisée et déjà éprouvée, ces corrections sont généralement marginales.
- Faire valider la correction : l'expert vérifie que la remédiation est effective. Sans cette contre-vérification, la correction n'est pas opposable.
- Documenter : le rapport final mentionne les écarts initiaux, les corrections et leur validation.
Le risque réel n'est pas tant qu'un audit trouve un défaut — c'est sa fonction — que de découvrir le défaut trop tard, faute d'avoir déclenché l'audit assez tôt. D'où, à nouveau, l'importance du calendrier. Une non-conformité non corrigée et utilisée malgré tout expose à l'annulation de l'élection.
Opposabilité du rapport et conséquences contentieuses
Le rapport d'expertise n'est pas un document interne : c'est une pièce probante devant le tribunal judiciaire. C'est l'angle juridique que les éditeurs purement techniques omettent.
- Opposabilité. En cas de contestation des élections CSE, le rapport d'expertise atteste que le système offrait les garanties de sécurité requises. Il se produit devant le tribunal judiciaire, compétent en matière d'élections professionnelles.
- Annulation pour défaut d'expertise. L'absence d'expertise indépendante, ou une expertise manifestement insuffisante, peut fonder l'annulation du scrutin lorsque le juge estime que les garanties de secret, d'intégrité ou de sincérité n'étaient pas assurées. La jurisprudence sanctionne les manquements aux principes généraux du droit électoral.
- Délai de contestation. Les recours en matière d'élections professionnelles s'exercent dans des délais courts (de l'ordre de 15 jours selon l'objet de la contestation). Un dossier de preuve solide — protocole, rapport d'audit, PV, journaux — se constitue avant le scrutin, pas après.
Le bon réflexe : penser l'audit non comme une dépense de conformité, mais comme une assurance contentieuse. Un scrutin audité, documenté et vérifiable se défend ; un scrutin opaque s'effondre au premier recours sérieux.
Checklist : vérifier qu'un prestataire est réellement auditable
Avant de signer, intégrez ces questions à votre cahier des charges. Un fournisseur sérieux y répond sans détour ; un fournisseur qui esquive est un signal d'alerte.
- Expertise indépendante : votre solution a-t-elle fait l'objet d'une expertise indépendante par un expert sans intérêt financier dans votre société ? Le rapport est-il communicable ?
- Critères de l'expert : l'expert est-il un spécialiste sécurité, a-t-il audité au moins deux prestataires, a-t-il suivi la formation CNIL ?
- Périmètre : l'audit a-t-il porté sur le code source, l'infrastructure, la génération et le scellement des clés, et le dépouillement ?
- Intégrité de l'exécutable : l'expert a-t-il vérifié que le code audité est bien celui exécuté en production ?
- Vérifiabilité : le dépouillement est-il rejouable hors ligne par un tiers (vérifiabilité universelle) ? L'électeur peut-il vérifier son bulletin (vérifiabilité individuelle) ?
- Chiffrement : la solution est-elle homomorphe à seuil (déchiffrement des seuls agrégats, aucun déchiffrement individuel) ? (Méfiez-vous de chiffrement de type « point à point » (vocabulaire de messagerie).)
- Clés : la clé de dépouillement est-elle répartie entre plusieurs porteurs, sans reconstitution de la clé complète ?
- Conformité : le prestataire fournit-il une matrice de conformité CNIL (niveaux 1/2/3) et non un badge « certifié CNIL » ?
- Rôles RGPD : le contrat précise-t-il employeur responsable de traitement, prestataire sous-traitant (art. 28) ? L'AIPD est-elle accompagnée ?
- Calendrier : à quel moment le rapport est-il rendu ? (Bonne réponse : entre le scellement de l'urne et le premier tour.)
Pour aller plus loin sur le choix d'un prestataire, voir questions à poser à un prestataire.
Comparer les acteurs de l'audit du vote électronique
Le marché de l'audit se partage entre cabinets d'expertise indépendants et éditeurs qui font auditer leur plateforme. Quelques cabinets se sont spécialisés dans l'expertise des systèmes de vote (on retrouve, parmi les acteurs cités sur le marché, des structures comme Demaeter, Expertis Lab ou Le Net Expert). Pour les comparer objectivement, appliquez la même grille de critères :
| Critère d'évaluation | Ce qu'il faut vérifier |
|---|---|
| Indépendance | Aucun intérêt financier dans l'éditeur ni l'organisateur |
| Expérience | Au moins deux prestataires audités, formation CNIL suivie |
| Périmètre | Code, infra, clés, cérémonie, intégrité de l'exécutable, dépouillement |
| Livrable | Rapport structuré avec grille de conformité par niveau |
| Phases couvertes | Pré-, péri- et post-scrutin (jusqu'à la destruction des données) |
| Rejouabilité | Capacité à rejouer le dépouillement hors ligne |
Le choix d'un expert n'est pas qu'une affaire de prix : un expert qui ne couvre pas le péri- et le post-scrutin, ou qui ne vérifie pas l'intégrité de l'exécutable, livre une expertise partielle.
L'audit dans un accompagnement complet : du protocole au PV
Voici l'angle que personne ne traite. L'audit technique, aussi rigoureux soit-il, ne sécurise qu'une partie du scrutin. La plupart des élections annulées le sont pour un vice de procédure — protocole mal rédigé, délai non respecté, liste électorale contestable, collèges mal composés —, pas pour une faille cryptographique.
C'est pourquoi l'audit gagne à s'inscrire dans un accompagnement hybride : sécurité technique et sécurité juridique. Chez Sephos, un chef de projet dédié, expert en droit social, fait le lien entre les deux. Il :
- calibre le niveau de risque CNIL et dimensionne l'audit en conséquence ;
- intègre l'expertise indépendante au calendrier du protocole d'accord préélectoral, pour qu'elle ne fasse pas dériver les délais ;
- veille à la composition des collèges, au quorum, au calcul des sièges et à la représentation équilibrée femmes-hommes ;
- prépare les pièces probantes (protocole, rapport d'audit, journaux, PV) en vue d'une éventuelle contestation.
À la clôture, la plateforme produit automatiquement les procès-verbaux d'ouverture et de clôture et un certificat de résultat. La déclaration administrative de l'élection (formulaire Cerfa, transmission à l'administration du travail) reste une démarche de l'employeur : votre chef de projet vous indique quoi transmettre et quand, mais la plateforme ne s'y substitue pas. Cet accompagnement, adossé à plus de 2 400 élections organisées, est ce que recouvre la promesse « bien plus qu'un logiciel ».
Glossaire des termes techniques de l'audit
Pour un public RH ou IRP non technique, voici les notions clés en clair.
- Scellement (de l'urne) : opération qui fige et verrouille l'urne électronique avant l'ouverture du vote, de sorte qu'aucune modification ne soit possible sans laisser de trace. Voir scellement de l'urne électronique.
- Cérémonie de clés : séance encadrée et tracée où plusieurs porteurs génèrent ensemble les clés de l'élection. La clé de déchiffrement est répartie, jamais détenue par une seule personne.
- Vérifiabilité : capacité à prouver l'honnêteté du scrutin. Individuelle : l'électeur vérifie son propre bulletin. Universelle : tout tiers rejoue le dépouillement.
- Chiffrement homomorphe à seuil : méthode de chiffrement permettant d'additionner les bulletins chiffrés sans les ouvrir, et n'autorisant le déchiffrement des résultats qu'à plusieurs porteurs de clés.
- Preuve à divulgation nulle de connaissance : preuve mathématique qu'un bulletin est valide, sans révéler le choix qu'il contient.
- Trustees (porteurs de clés) : personnes détenant chacune une part de la clé de déchiffrement ; un seuil d'entre elles doit collaborer pour dépouiller.
- Responsable de traitement / sous-traitant : au sens du RGPD, l'employeur (responsable) décide du traitement ; la plateforme (sous-traitant, art. 28) l'exécute sur instruction.
- AIPD : analyse d'impact relative à la protection des données, requise pour ce type de traitement.
Demander une démonstration
Vous voulez vérifier par vous-même comment une solution réellement auditable fonctionne — la cérémonie de clés, le chiffrement homomorphe à seuil, la double vérifiabilité, et la façon dont l'expertise indépendante s'intègre à votre calendrier d'élection ? Le mieux est de le constater en conditions réelles, avec un expert qui répond à vos questions de sécurité et de droit social.
Demander une démo — réponse sous 24 heures, accompagnée d'un chef de projet dédié. Ou demander à être rappelé.
Pour approfondir : conformité du vote électronique CSE, expertise indépendante du vote électronique, vote électronique et CNIL et scellement de l'urne électronique.
Faits à vérifier pour votre scrutin (YMYL)
Le cadre juridique évolue et chaque scrutin a ses particularités. Avant de finaliser votre protocole d'accord préélectoral, faites confirmer par votre conseil ou votre chef de projet : le niveau de risque CNIL applicable et les exigences d'expertise associées, la version en vigueur de la recommandation CNIL et des référentiels ANSSI/RGS à la date de votre élection, la composition des collèges électoraux, les règles de quorum, le calcul du quotient électoral et l'attribution des sièges à la plus forte moyenne, la durée du mandat (4 ans, ajustable de 2 à 4 ans par accord), les délais de contestation applicables et les règles de représentation équilibrée femmes-hommes.
Questions fréquentes
L'audit du vote électronique est-il obligatoire ?
La recommandation de la CNIL sur la sécurité du vote par correspondance électronique recommande une expertise indépendante, en particulier pour les scrutins à risque élevé. Ce n'est pas une obligation au sens d'une déclaration administrative, mais c'est l'état de l'art opposable : pour un CSE à enjeu (niveau 2 ou 3), s'en passer fragilise juridiquement le scrutin et offre un argument de contestation. En pratique, pour une élection à fort effectif ou en climat social tendu, l'audit est une mesure attendue.
Qui doit faire auditer la solution de vote électronique : l'employeur ou le prestataire ?
C'est l'employeur qui doit s'en assurer : il est responsable de traitement au sens du RGPD, que la solution soit interne ou fournie par un prestataire. La plateforme est sous-traitant (article 28). En pratique, un prestataire sérieux fait auditer sa solution par un expert indépendant et fournit le rapport à l'employeur, qui l'intègre à sa documentation. Mais la responsabilité finale de disposer d'une expertise valide reste celle de l'employeur, organisateur de l'élection.
Qui peut réaliser l'audit d'un système de vote électronique ?
Un informaticien spécialisé en sécurité, sans aucun intérêt financier dans l'éditeur ni dans l'organisateur du scrutin, ayant déjà audité au moins deux prestataires de vote électronique et suivi la formation de la CNIL sur le sujet. Ces critères distinguent l'expertise indépendante d'un simple audit interne : le service informatique de l'employeur ou l'équipe de l'éditeur peuvent mener des tests utiles, mais ne remplissent pas le critère d'indépendance financière et ne valent donc pas expertise au sens de la CNIL.
Que vérifie l'expert indépendant du vote électronique ?
Quatre objectifs de fond : la confidentialité des données, l'anonymat et le secret du vote, l'intégrité et la sincérité du scrutin. Pour cela, il examine le code source, l'infrastructure d'hébergement, la génération et le scellement des clés, la cérémonie de clés, l'intégrité de l'exécutable (le code audité est-il bien celui exécuté) et le dépouillement. Il vérifie aussi la conformité RGPD, la réalisation de l'AIPD et la destruction des données dans les délais.
Combien coûte un audit de vote électronique ?
Plusieurs milliers d'euros, le montant variant selon le niveau de risque CNIL (un niveau 3 mobilise un audit complet), l'étendue du périmètre, la complexité de la solution et le nombre de scrutins. Quand un prestataire fait auditer sa plateforme et fournit le rapport à ses clients, le coût est mutualisé et bien plus économique qu'un audit isolé commandé pour un seul scrutin. Pour un chiffrage adapté, demandez une démo ou demander à être rappelé.
Quand doit-on réaliser l'audit avant les élections CSE ?
Avant toute utilisation du système, et de nouveau après toute modification significative. Le rapport d'expertise est rendu entre le scellement de l'urne et le premier tour. Concrètement, l'audit se déclenche dès la rédaction du protocole d'accord préélectoral : l'analyse de code et d'infrastructure se mène plusieurs semaines avant l'ouverture, puis l'expert valide la configuration scellée juste avant le premier tour. Déclencher l'audit trop tard risque de faire dériver les délais de l'élection.
Quelle est la différence entre conformité CNIL et certification du vote électronique ?
La CNIL ne certifie pas les solutions de vote : aucune plateforme n'est « certifiée CNIL ». La conformité se documente par des matrices de conformité alignées sur les trois niveaux de risque de la recommandation CNIL, et se vérifie par une expertise indépendante. Un badge « conforme CNIL » ou « certifié CNIL » est trompeur. Exigez un rapport d'audit et une grille de conformité, pas un label qui n'existe pas.
Que dit la recommandation CNIL sur l'expertise indépendante ?
La recommandation sur la sécurité du vote par correspondance électronique préconise le recours à une expertise indépendante du système, surtout pour les scrutins à risque élevé. Elle fixe les critères de l'expert (spécialiste sécurité, sans intérêt financier, expérience d'au moins deux prestataires, formation CNIL suivie), classe les scrutins en trois niveaux de risque, et indique que le rapport est rendu entre le scellement de l'urne et le premier tour. C'est le texte de référence opposable en cas de contestation.
Quels sont les 3 niveaux de risque CNIL pour le vote électronique ?
Le niveau 1 (faible) concerne les scrutins à enjeu limité et impose des mesures de base. Le niveau 2 (modéré) renforce l'authentification et la traçabilité. Le niveau 3 (élevé) vise les scrutins à fort effectif ou en climat social tendu et exige une expertise indépendante complète, une vérifiabilité renforcée et des tests de sécurité approfondis. Plus le niveau est élevé, plus l'audit est étendu — et coûteux. Les élections du CSE relèvent fréquemment du niveau 2 ou 3.
Que contient le rapport d'expertise d'un audit de vote électronique ?
Le périmètre et la méthodologie (ce qui a été audité, sur quelle version, à quelles dates), une grille de conformité CNIL point par point selon le niveau de risque, l'analyse de sécurité (code, infrastructure, chiffrement, clés, traçabilité, dépouillement), les réserves et recommandations, et une conclusion motivée sur l'aptitude du système à garantir confidentialité, anonymat, intégrité et sincérité. C'est la pièce probante que l'employeur conserve et produit en cas de contestation.
Que se passe-t-il si le vote électronique n'a pas été audité ?
Pour un scrutin à enjeu, l'absence d'expertise indépendante — ou une expertise manifestement insuffisante — peut fonder l'annulation de l'élection devant le tribunal judiciaire, si le juge estime que les garanties de secret, d'intégrité ou de sincérité n'étaient pas assurées. C'est l'un des arguments de contestation les plus simples à soulever. Un scrutin audité, documenté et vérifiable se défend ; un scrutin non audité s'expose.
L'audit couvre-t-il le code source et l'infrastructure d'hébergement ?
Oui, pour une expertise complète. L'expert analyse le code source pour vérifier qu'il met réellement en œuvre les garanties annoncées, et l'infrastructure d'hébergement (architecture, cloisonnement, durcissement, accès, journalisation, hébergement en France et alignement sur les référentiels de sécurité). Il vérifie aussi l'intégrité de l'exécutable, c'est-à-dire que le code audité correspond bien à celui déployé en production. Un audit limité à une revue documentaire n'est pas une véritable expertise.
Qu'est-ce que la cérémonie de scellement des clés dans l'audit ?
C'est la séance encadrée et tracée durant laquelle les porteurs de clés génèrent ensemble les clés de l'élection, via une génération distribuée. La clé de déchiffrement est répartie entre plusieurs personnes : aucune ne la détient seule, et la clé complète n'est jamais reconstituée. L'urne est ensuite scellée. L'expert audite ce déroulé car c'est un moment décisif pour l'intégrité et le secret du scrutin. Le rapport est rendu après cette étape, entre le scellement et le premier tour.