Audit de conformité du vote électronique : sécurisez votre scrutin avant qu'on le conteste
L'audit de conformité du vote électronique est l'expertise indépendante recommandée par la CNIL et adossée au Code du travail, qui vérifie — preuves à l'appui, avant la première utilisation du système — que le dispositif respecte les 3 niveaux de risque et les objectifs de sécurité attendus : confidentialité, secret du vote, intégrité, sincérité, traçabilité et vérifiabilité du dépouillement, du protocole pré-électoral au procès-verbal. Ce n'est pas une certification : la CNIL ne certifie pas les solutions de vote. C'est une mission d'analyse technique, contradictoire et documentée, commandée par l'employeur (responsable de traitement) et menée par un tiers sans lien financier avec l'éditeur.
Cette page n'est pas une dissertation : c'est un outil de décision. Vous y trouverez la grille pour situer votre niveau de risque, la checklist actionnable des points de contrôle, le calendrier d'intégration de l'audit dans votre rétroplanning CSE, une fourchette de coût et ses variables, et les conséquences juridiques d'un audit manquant. Objectif : vous permettre de vérifier si votre scrutin est conforme — ou de mandater l'expertise au bon moment, sans faire dériver vos délais.
Le différenciateur. Un audit isolé ne sécurise qu'une partie du scrutin. La solution Sephos relie la sécurité technique (cryptographie vérifiable par un tiers, expertise indépendante documentée) à la sécurité juridique (droit social), grâce à un chef de projet dédié, expert en droit social, qui pilote l'articulation du protocole d'accord préélectoral à la cérémonie des clés, puis au procès-verbal. Plus de 2 400 élections organisées, hébergement en France, gain de participation observé jusqu'à +22 points sur les scrutins accompagnés. Ici, l'audit est intégré à un accompagnement complet, pas vendu comme une option.
Sommaire
- Définition : audit, expertise, certification
- Le cadre réglementaire de l'audit
- L'audit est-il obligatoire ?
- Qui commande, qui réalise, qui paie
- Grille : déterminer votre niveau de risque
- Les 7 objectifs de sécurité
- Le périmètre audité
- Les tests inclus (pentest, charge, fonctionnels)
- Chiffrement, scellement, partage de clé à seuil
- Anonymat, RGPD et journalisation
- Les livrables de l'audit
- Calendrier : quand lancer l'audit
- Combien coûte un audit de conformité
- Que risque-t-on sans audit
- Checklist de conformité actionnable
- Questions fréquentes
Audit, expertise, certification : trois mots à ne pas confondre
Trois termes circulent et la confusion sert le marketing des prestataires les moins sérieux. Tranchons-les une fois pour toutes.
- L'audit de conformité (ou expertise indépendante) est une mission d'analyse réalisée par un tiers, qui produit un rapport sur un système donné, à un instant donné. C'est ce que recommande la CNIL et ce qu'attend le juge.
- La certification est la délivrance d'un label par un organisme accrédité selon un référentiel. La CNIL ne certifie pas les solutions de vote électronique. Aucune plateforme n'est « certifiée CNIL ». Tout site qui l'affiche vous induit en erreur.
- La conformité se documente par des matrices de conformité alignées sur les niveaux de risque de la recommandation CNIL — pas par un badge.
Un prestataire honnête vous remet un rapport d'audit et une grille de conformité ; il ne vous vend pas une certification qui n'existe pas. Ce point est développé sur la page conformité du vote électronique CSE côté outils, et dans le silo dédié à la sécurité et à la CNIL.
Le cadre réglementaire de l'audit : CNIL, Code du travail, ANSSI
L'audit de conformité du vote électronique ne flotte pas dans le vide : il s'appuie sur trois sources qui se complètent.
Le Code du travail. Les articles R.2314-5 et suivants encadrent le recours au vote électronique pour les élections du CSE : confidentialité, sécurité, cahier des charges, et expertise du système avant sa mise en place. C'est ce socle réglementaire qui fait du contrôle préalable une exigence, et non un confort.
La recommandation de la CNIL sur la sécurité des systèmes de vote par correspondance électronique. C'est le texte technique de référence. Il classe les scrutins en trois niveaux de risque, définit les objectifs de sécurité attendus pour chacun, fixe les critères de l'expert indépendant et indique que le rapport est rendu entre le scellement de l'urne et le premier tour. Cette recommandation a connu plusieurs versions ; sa mise à jour la plus récente renforce notamment la vérifiabilité du dépouillement, le contrôle des manipulations portant atteinte au secret, et, pour les scrutins de niveau 3, la transparence accrue (publication d'éléments permettant le contrôle, note pédagogique destinée aux électeurs). Faites toujours confirmer par votre conseil la version applicable à la date de votre élection.
Les recommandations de l'ANSSI, notamment son guide sur le vote par Internet pour les élections non politiques, complètent le cadre : elles insistent sur les tests de sécurité avant ouverture du scrutin, que l'audit doit intégrer, et sur le référentiel général de sécurité (RGS) comme grille d'évaluation des moyens techniques.
Repère décisif (fenêtre 2026). Les exigences sur la vérifiabilité du dépouillement et sur la protection renforcée du secret sont au cœur des dernières évolutions de la doctrine CNIL. Un audit à jour les intègre désormais explicitement : l'expert ne se contente plus de vérifier que les bulletins sont chiffrés, il contrôle que tout tiers peut recalculer le résultat à partir des éléments publiés, et que la conception n'autorise aucune manipulation qui briserait le secret. C'est sur ces points qu'une solution réellement vérifiable se distingue d'une boîte noire.
L'audit de conformité est-il obligatoire ?
C'est la première question, et elle mérite une réponse nette. Le Code du travail subordonne le recours au vote électronique pour le CSE à une expertise préalable du système. La recommandation CNIL rend cette expertise indépendante nécessaire en pratique pour les scrutins de niveau de risque 2 et 3 — soit la majorité des élections du CSE dès qu'il y a un effectif significatif ou un climat social tendu.
Le terme « recommande » n'est pas un « facultatif » déguisé :
- La recommandation CNIL constitue l'état de l'art opposable. Un juge saisi d'une contestation s'y réfère pour apprécier si le scrutin offrait des garanties suffisantes.
- Pour un scrutin de niveau 3 — fort effectif, climat social tendu, antécédents de contentieux —, l'expertise indépendante est une mesure attendue. S'en passer, c'est s'exposer.
- L'absence d'audit, ou un audit superficiel, est un argument de contestation prêt à l'emploi pour une organisation syndicale ou un salarié mécontent.
Autrement dit : l'audit n'est pas une déclaration administrative obligatoire, mais c'est une garantie de sécurité dont l'absence fragilise juridiquement le scrutin. Pour un CSE à enjeu, le considérer comme optionnel est une erreur. La checklist des élections CSE intègre d'ailleurs ce point de vigilance dans le déroulé global.
Qui commande, qui réalise, qui paie : le triangle à ne jamais inverser
C'est la confusion la plus coûteuse du marché. Trois rôles distincts interviennent, et les inverser expose l'employeur.
| Rôle | Qui est-ce ? | Ce qu'il fait | Ce qu'il ne fait PAS |
|---|---|---|---|
| Responsable de traitement | L'employeur | Décide du vote électronique, commande, choisit et finance l'expertise, porte la responsabilité du traitement | Il ne peut pas se décharger de sa responsabilité sur le prestataire |
| Sous-traitant (art. 28 RGPD) | L'éditeur de la plateforme (Sephos) | Fournit la solution sur instruction, met le système à disposition de l'expert, documente la conformité | Il n'est pas l'expert indépendant de son propre produit |
| Expert indépendant | Un tiers sans lien d'intérêt | Audite le système et rédige le rapport | Il ne vend pas la solution et n'organise pas le scrutin |
La règle à graver : dans une élection CSE, l'employeur est responsable de traitement au sens du RGPD, et la plateforme de vote est sous-traitant (article 28). On ne l'inverse jamais. Conséquence directe : c'est l'employeur qui doit s'assurer que l'audit a été réalisé, que la solution soit développée en interne ou fournie par un prestataire externe.
Audit indépendant obligatoire vs audit de sécurité interne du prestataire
Voici la distinction que ni les éditeurs purs ni les cabinets purs n'explicitent. Un prestataire peut mener — et doit mener — des tests de sécurité internes sur son produit. C'est utile, mais ce n'est pas l'expertise indépendante exigée : son équipe a un intérêt financier dans le produit audité.
| Critère | Audit de sécurité interne | Expertise indépendante |
|---|---|---|
| Réalisé par | Équipe de l'éditeur / service IT employeur | Tiers extérieur, sans lien financier |
| Intérêt financier | Présent (rémunéré par la partie auditée) | Absent (condition de validité) |
| Qui le mandate | L'éditeur, pour son propre produit | L'employeur, responsable de traitement |
| Opposabilité devant le juge | Faible | Forte |
| Reconnu par la recommandation CNIL | Non, comme expertise | Oui |
En pratique, un prestataire sérieux fait auditer sa solution par un expert indépendant et fournit le rapport à l'employeur, qui l'intègre à sa documentation de conformité. Le coût de l'expertise est alors mutualisé sur l'ensemble des scrutins de la plateforme, donc bien plus économique qu'un audit isolé commandé pour un seul scrutin. Mais la responsabilité finale de disposer d'une expertise valide reste celle de l'employeur.
Qui peut être expert indépendant : critères de qualification
L'efficacité de l'audit dépend entièrement de l'indépendance et de la compétence de l'expert. La recommandation CNIL fixe des critères que voici réunis :
- être un informaticien spécialisé en sécurité des systèmes d'information, capable de lire du code et d'analyser une architecture cryptographique ;
- n'avoir aucun intérêt financier dans l'éditeur de la solution ni dans l'organisateur du scrutin (l'employeur) — c'est le cœur de l'indépendance ;
- avoir déjà audité plusieurs prestataires différents de vote électronique (au moins deux), gage de point de comparaison ;
- être formé au vote électronique et à la doctrine CNIL en la matière, au-delà de la sécurité informatique générale.
Pour vérifier la neutralité d'un expert, posez trois questions : a-t-il un lien capitalistique ou contractuel avec l'éditeur ? Est-il rémunéré par l'organisateur d'une manière qui orienterait son jugement ? A-t-il audité d'autres solutions, ou est-il « l'expert maison » d'un seul fournisseur ? Un expert réellement indépendant répond sans détour et accepte que son rapport soit communiqué aux syndicats.
Les 3 niveaux de risque CNIL : grille pour situer votre scrutin
La recommandation CNIL demande à l'organisateur d'évaluer le niveau de risque de son scrutin, puis d'appliquer les mesures correspondantes. Ce niveau dimensionne toute la sécurité du scrutin et la profondeur de l'audit. C'est l'acte fondateur — pas une formalité.
| Niveau | Enjeu typique | Mesures attendues | Incidence sur l'audit |
|---|---|---|---|
| Niveau 1 — faible | Scrutin à enjeu limité, faible impact d'une atteinte | Séparation des fichiers, chiffrement, traçabilité de base | Expertise allégée ou ciblée |
| Niveau 2 — modéré | Enjeu intermédiaire, impact significatif | Authentification renforcée, scellement, journaux robustes, tests fonctionnels | Expertise requise en pratique, tests obligatoires |
| Niveau 3 — élevé | Fort effectif, climat social tendu, antécédents contentieux | Authentification forte, chiffrement à seuil à porteurs multiples, vérifiabilité renforcée, transparence accrue | Expertise complète, tests d'intrusion et de charge, contrôle du dépouillement |
Comment déterminer votre niveau (grille d'analyse)
Cochez les facteurs aggravants. Plus ils s'accumulent, plus votre scrutin monte en niveau :
- Effectif : corps électoral important (plusieurs centaines à plusieurs milliers d'électeurs) → tire vers le niveau 2-3.
- Climat social : tensions, conflit récent, négociation difficile → tire vers le niveau 3.
- Antécédents : élection précédente contestée, recours déjà engagés → tire vers le niveau 3.
- Enjeux de représentativité : implantation syndicale disputée, franchissement de seuils de représentativité → tire vers le niveau 3.
- Multi-sites / multi-collèges : complexité organisationnelle élevée → tire vers le niveau 2-3.
Les élections du CSE relèvent fréquemment du niveau 2 ou 3. Ni la sous-estimation (risque juridique) ni la surestimation (coût inutile) ne sont neutres : un chef de projet expert en droit social vous aide à calibrer le niveau juste. La calculatrice de quorum CSE et le générateur de calendrier des élections CSE vous aident, en amont, à cadrer l'ampleur réelle du scrutin.
Les 7 objectifs de sécurité à atteindre (et leurs moyens)
La recommandation CNIL fixe une série d'objectifs de sécurité que tout système de vote électronique doit atteindre, modulés selon le niveau de risque. Les voici réunis avec des exemples de moyens — la grille que l'audit applique point par point.
| # | Objectif de sécurité | Exemples de moyens |
|---|---|---|
| 1 | Confidentialité et intégrité des données | Chiffrement des échanges et des données, cloisonnement, contrôle d'accès, durcissement des serveurs |
| 2 | Secret du vote | Chiffrement du bulletin sur le poste de l'électeur, séparation stricte urne / liste d'émargement, déchiffrement des seuls agrégats |
| 3 | Authentification fiable de l'électeur | Enrôlement WebAuthn / passkey, secrets dérivés localement, anti-double-vote (nullifier) |
| 4 | Sincérité et intégrité du scrutin | Scellement de l'urne, preuves de bonne formation des bulletins, recalculabilité du décompte |
| 5 | Surveillance et traçabilité | Journalisation horodatée et inaltérable, supervision du déroulé, conservation de la piste d'audit |
| 6 | Vérifiabilité du dépouillement | Rejeu hors ligne du dépouillement par un tiers, preuves publiées, recalcul des sièges |
| 7 | Disponibilité et continuité | Architecture redondée multi-site, plan de reprise (RTO/RPO), procédure en cas d'incident |
Plus le niveau de risque est élevé, plus ces objectifs sont renforcés : pour un niveau 3, la vérifiabilité du dépouillement et la protection du secret ne sont pas optionnelles, et la continuité de service est appréciée de façon qualitative (redondance multi-site, capacité de reprise sans perte de données) — sans engagement chiffré de disponibilité, qui n'aurait pas de sens probant sur un scrutin.
Le périmètre de l'audit : ce que l'expert passe au crible
L'audit ne se limite pas à une revue documentaire. L'expert examine concrètement toute la chaîne du scrutin. Voici le périmètre type d'une expertise complète.
- Le logiciel et le code source. L'expert analyse le code de l'application de vote pour vérifier qu'il met réellement en œuvre les garanties annoncées (chiffrement, séparation des fichiers, anti-double-vote), sans porte dérobée ni faille connue. Pour un niveau 3, la dernière doctrine CNIL pousse vers la publication du code source, gage de transparence.
- Les serveurs et l'infrastructure. Architecture réseau, cloisonnement, durcissement, gestion des accès administrateurs, journalisation, hébergement (la localisation des données est examinée).
- La constitution et l'enrôlement des listes électorales. Comment la liste est constituée, gelée, et comment les électeurs sont enrôlés — un point sensible pour le RGPD (registre d'enrôlement).
- Le déroulement du scrutin. Ouverture, intégrité des opérations en conditions réelles, absence de résultat partiel ou de tendance exposés pendant le vote.
- Le dépouillement. Mécanisme de déchiffrement des agrégats, recalculabilité du décompte des sièges, production des procès-verbaux et du certificat de résultat.
- L'archivage. Conservation conforme des données et des preuves, accessibilité des journaux en cas de litige, destruction des données à l'issue des délais de recours.
Ce périmètre est ce qui distingue une vraie expertise d'une simple déclaration de conformité. Une plateforme réellement auditable publie ses preuves et permet le rejeu indépendant du dépouillement ; une boîte noire qui demande qu'on lui fasse confiance n'est pas auditable.
Les tests inclus dans l'audit : intrusion, charge, fonctionnels
Pour les scrutins de niveau 2 et 3, l'audit ne se contente pas d'observer : il éprouve le système par des tests. Ils sont obligatoires à ces niveaux.
- Tests d'intrusion (pentest). L'expert simule des attaques pour mesurer la résistance du système : tentatives d'accès non autorisé, injection, contournement de l'authentification, atteinte à l'intégrité de l'urne ou des journaux. L'objectif est de débusquer les failles avant qu'un attaquant ne les exploite.
- Tests de charge. Le système est sollicité dans des conditions proches du pic réel (afflux d'électeurs à l'ouverture, à la pause déjeuner, en fin de scrutin) pour vérifier qu'il tient la montée en charge sans dégradation ni perte de bulletins. Un système qui s'effondre le jour J est un motif de contestation.
- Tests fonctionnels. Vérification que chaque fonction se comporte exactement comme spécifié : un électeur ne peut voter qu'une fois, ne peut pas voter hors période, le bulletin chiffré est bien enregistré, le dépouillement produit un résultat recalculable. C'est la garantie que le système fait ce qu'il dit, sur tous les cas d'usage prévus.
Un audit qui omet ces tests pour un scrutin de niveau 2 ou 3 est incomplet. Exigez qu'ils figurent au périmètre, et que leurs résultats apparaissent dans le rapport.
Chiffrement, scellement et partage de clé à seuil : ce que l'audit contrôle
Au cœur de l'audit technique se trouve la cryptographie. C'est là que se joue la supériorité réelle d'une solution — et que se corrige l'imprécision la plus répandue du marché.
La plateforme Sephos repose sur un chiffrement homomorphe à seuil : un cryptosystème ElGamal exponentiel sur la courbe Ristretto255. L'expert vérifie trois propriétés décisives.
On additionne sans déchiffrer. Le caractère homomorphe permet de calculer la somme des suffrages directement sur les bulletins chiffrés. Au dépouillement, seuls les agrégats (totaux par liste et par candidat) sont déchiffrés. Aucun bulletin individuel n'est jamais déchiffré. L'expert le contrôle dans le code et lors du dépouillement.
La clé est répartie, jamais reconstituée. Le caractère à seuil signifie qu'il n'existe pas de clé unique. La clé de déchiffrement est partagée entre plusieurs porteurs de clés (trustees) via une génération distribuée (DKG), lors de la cérémonie des clés. Le déchiffrement n'est possible que si un seuil de porteurs collabore (par exemple 3 sur 5), et la clé secrète complète n'est jamais reconstituée en un seul endroit.
Chaque bulletin se prouve. Une preuve à divulgation nulle de connaissance accompagne chaque bulletin : elle atteste qu'il est bien formé, sans rien révéler du choix exprimé.
Schéma du flux : du clic au procès-verbal
1. ENRÔLEMENT 2. VOTE 3. URNE SCELLÉE 4. DÉPOUILLEMENT 5. PV
WebAuthn/passkey → bulletin chiffré → scellement + → cérémonie des clés → PV + certificat
secret local sur le poste empreinte figée (seuil de porteurs) de résultat
(preuve ZK jointe) agrégats déchiffrés recalculable
─────────────────────────────────────────────────────────────────────────────────────────────────────
Liste d'émargement (qui a voté) ╫ STRICTEMENT DISSOCIÉE ╫ Urne (bulletins chiffrés, sans identité)
La barre centrale matérialise la séparation stricte entre la liste d'émargement et l'urne : on sait qui a voté, jamais pour qui.
Scellement et calcul d'empreintes
Le scellement fige l'urne et la configuration de l'élection avant l'ouverture, de sorte qu'aucune modification ne soit possible sans laisser de trace. L'audit vérifie un point capital : que le système déployé est identique au système audité. Cela passe par le calcul d'empreintes (hash) : l'expert recalcule l'empreinte du code et de la configuration scellés, et la compare à celle du système qu'il a examiné. Si les empreintes correspondent, le système qui tourne en production est bien celui qui a été expertisé. Cette recalculabilité des empreintes est ce qui transforme une promesse en preuve. Sans elle, rien n'interdit qu'une version modifiée tourne le jour du vote.
Vérifiabilité du scrutin et contrôle a posteriori
L'audit contrôle enfin la vérifiabilité de bout en bout (end-to-end verifiability), à deux niveaux :
- vérifiabilité individuelle : chaque électeur peut confirmer que son bulletin chiffré figure dans l'urne et reflète son intention, sans révéler son choix ;
- vérifiabilité universelle : n'importe quel tiers — expert, syndicat, observateur — peut rejouer le dépouillement hors ligne à partir des bulletins chiffrés et des preuves publiées, et retrouver le même résultat.
C'est exactement ce que la doctrine CNIL la plus récente renforce : le contrôle a posteriori du bon dépouillement. Une solution offrant cette double vérifiabilité est, par construction, auditable par tous, pas seulement par l'expert mandaté.
Anonymat, RGPD et piste d'audit infalsifiable
L'audit ne porte pas que sur la cryptographie : il couvre l'anonymat de l'électeur, la conformité RGPD et la traçabilité.
Anonymat de l'électeur. L'expert vérifie la dissociation stricte entre l'identité de l'électeur et son bulletin : la liste d'émargement et l'urne ne peuvent jamais être recroisées, et aucun reçu du contenu du vote n'est délivré. L'anonymat est fort et dissociatif, sans être présenté comme absolu : le système ne déchiffre jamais les bulletins individuels et réduit fortement la coercition, sans prétendre l'éliminer totalement.
Conformité RGPD. L'expert contrôle la répartition correcte des rôles — employeur responsable de traitement, plateforme sous-traitant (article 28) —, la réalisation de l'AIPD (requise ici en raison du registre d'enrôlement et du risque de traçage de la participation), la minimisation des données collectées et leur destruction dans les délais.
Piste d'audit infalsifiable. Le système conserve une journalisation horodatée et inaltérable de toutes les opérations sensibles (ouverture, scellement, votes enregistrés sans leur contenu, clôture, dépouillement). Cette piste d'audit doit être conservée et accessible en cas de litige : c'est elle qui permet, des mois plus tard, de reconstituer le déroulé exact du scrutin devant un juge.
Hébergement en France. La localisation des données en France facilite la maîtrise juridique et la réactivité opérationnelle — un facteur de confiance que l'employeur, responsable de traitement, doit pouvoir documenter.
Les livrables de l'audit : rapport, grille, RGS, comptes rendus
L'audit se matérialise par un ensemble de livrables que l'employeur conserve et produit en cas de contestation. Aucun concurrent n'en décrit la structure ; la voici.
| Livrable | Contenu | À quoi il sert |
|---|---|---|
| Rapport d'expertise détaillé | Périmètre, méthode, version auditée, dates, analyse de sécurité, réserves, conclusion motivée | Pièce probante centrale devant le tribunal judiciaire |
| Grille de conformité CNIL | Matrice point par point, alignée sur le niveau de risque (1/2/3) : satisfait / partiel / non satisfait | Cartographier la conformité, exigence par exigence |
| Évaluation RGS | Appréciation des moyens techniques au regard du référentiel général de sécurité | Documenter le niveau de sécurité des composants |
| Comptes rendus de cérémonie | Procès-verbaux de la cérémonie des clés (génération, scellement, descellement, dépouillement) | Tracer les moments critiques, par les porteurs de clés |
Structure type d'un rapport d'audit de conformité
| Section | Contenu |
|---|---|
| Identification | Expert, mandant, système audité, version, dates |
| Périmètre & méthode | Éléments audités, techniques employées, niveau de risque retenu |
| Grille de conformité | Matrice exigence par exigence (niveaux 1/2/3) |
| Tests | Résultats des tests d'intrusion, de charge et fonctionnels |
| Analyse de sécurité | Code, infrastructure, clés, dépouillement, traçabilité |
| Réserves | Anomalies, points de vigilance, recommandations |
| Conclusion | Avis motivé, validation ou conditions de validation |
Exploiter le rapport face aux organisations syndicales
Le rapport n'est pas un document de tiroir. Présenté en commission électorale ou aux organisations syndicales, il désamorce une grande partie des soupçons sur la sincérité du vote électronique. Un rapport sérieux est lisible : il n'enfouit pas ses réserves. Paradoxalement, un rapport qui ne contient aucune réserve sur un système complexe doit éveiller la prudence. Le bon réflexe : communiquer le rapport et la grille de conformité en amont du scrutin, pour bâtir la confiance avant qu'un contentieux ne s'enclenche. C'est précisément le rôle d'un modèle de note d'information aux salariés bien construit, qui peut renvoyer aux garanties auditées.
Calendrier : quand lancer l'audit dans le rétroplanning CSE
C'est le point que tous les concurrents négligent — et celui qui fait dérailler le plus de projets. Personne ne le date précisément. Nous le faisons.
Règle de fond. L'audit doit être réalisé avant toute utilisation du système, et renouvelé après toute modification substantielle. Le rapport d'expertise est rendu entre le scellement de l'urne et le premier tour.
Concrètement, dans le rétroplanning d'une élection CSE :
| Jalon | Moment | Action liée à l'audit |
|---|---|---|
| Négociation du protocole | En amont du scrutin | Le recours au vote électronique est acté ; l'expertise indépendante est inscrite au cahier des charges. C'est ici qu'on déclenche l'audit. |
| Analyse technique | Plusieurs semaines avant l'ouverture | L'expert mène l'analyse de code, d'infrastructure et les tests (intrusion, charge, fonctionnels). |
| Constitution / gel de la liste | Avant l'enrôlement | L'expert vérifie la constitution et l'enrôlement des listes électorales. |
| Préavis d'enrôlement | Au moins 15 jours avant le gel de la liste | Les électeurs initient leur enrôlement WebAuthn. |
| Cérémonie des clés + scellement | Juste avant le premier tour | L'expert audite la cérémonie, recalcule les empreintes, valide la configuration scellée et rend son rapport. |
| Déroulement du vote | Pendant le scrutin | Supervision, contrôle de la traçabilité, relances aux électeurs. |
| Dépouillement + clôture | À la clôture | Contrôle du dépouillement, recalcul des sièges, vérification de l'archivage et de la destruction des données. |
L'erreur classique est de déclencher l'audit trop tard : un défaut détecté à la dernière minute oblige à reporter le scrutin, avec un risque sur les délais légaux. L'audit s'anticipe dès la rédaction du protocole, pas après. Pour bâtir ce rétroplanning sans rien oublier, appuyez-vous sur le générateur de calendrier des élections CSE, la checklist des élections CSE et le modèle de PAP vote électronique, qui intègre la clause d'expertise.
Combien coûte un audit de conformité du vote électronique ?
Aucun concurrent ne chiffre clairement ce poste. Nous le faisons, avec les réserves d'usage : un audit de conformité se compte en plusieurs milliers d'euros, le montant variant fortement selon plusieurs facteurs.
Les variables qui font monter la facture :
- Le niveau de risque CNIL. Un niveau 3 mobilise un audit complet (code, infrastructure, clés, dépouillement, tests d'intrusion et de charge approfondis) ; un niveau 1 se limite à un périmètre ciblé. C'est la première variable.
- La taille du corps électoral. Un scrutin à plusieurs milliers d'électeurs et multi-sites élargit le périmètre des tests de charge et de l'analyse d'infrastructure.
- L'audit de code. Un audit qui inclut l'analyse du code source (et a fortiori sa publication pour un niveau 3) demande un expert pointu, donc plus rare et plus cher — mais c'est ce qui rend le système réellement auditable.
- La complexité cryptographique. Une architecture avancée (chiffrement à seuil, double vérifiabilité) requiert une expertise rare. C'est aussi ce qui distingue un système prouvable d'une boîte noire.
- La récurrence. Toute modification substantielle impose un nouvel audit (au moins partiel), donc un coût additionnel.
Quand un prestataire fait auditer sa plateforme et fournit le rapport à ses clients, le coût de l'expertise est mutualisé et intégré à l'offre — bien plus économique qu'un audit isolé que chaque employeur commanderait pour son seul scrutin. C'est un avantage concret d'une plateforme déjà expertisée. Pour estimer le budget global de votre projet, le simulateur de prix du vote électronique donne une fourchette, et un chiffrage adapté à votre scrutin se cale en démo.
Que risque-t-on si le vote électronique n'a pas été audité ?
C'est un angle mort total chez les concurrents. Pourtant, c'est le risque qui doit motiver l'audit.
- Contestation facilitée. L'absence d'expertise, ou une expertise manifestement insuffisante, est l'un des arguments les plus simples à soulever pour une organisation syndicale ou un salarié. Le défaut d'audit met l'employeur en position défensive d'emblée.
- Annulation du scrutin. Le tribunal judiciaire, compétent en matière d'élections professionnelles, peut annuler l'élection lorsqu'il estime que les garanties de secret, d'intégrité ou de sincérité n'étaient pas assurées. La jurisprudence sanctionne les manquements aux principes généraux du droit électoral. Réorganiser un scrutin a un coût humain, financier et social considérable.
- Délai court. Les recours en matière d'élections professionnelles s'exercent dans un délai de l'ordre de 15 jours selon l'objet de la contestation. Le dossier de preuve — protocole, rapport d'audit, grille de conformité, PV, journaux — se constitue avant le scrutin, jamais après.
Le bon réflexe : penser l'audit non comme une dépense de conformité, mais comme une assurance contentieuse. Un scrutin audité, documenté et vérifiable se défend ; un scrutin opaque s'effondre au premier recours sérieux. Le modèle de PV de carence CSE et la calculatrice des résultats CSE complètent le dossier de preuve, mais ne remplacent pas l'expertise.
Articuler l'audit technique et le droit social : le lien que personne ne fait
Voici l'angle que ni les cabinets d'audit purs ni les éditeurs purs ne traitent. L'audit technique, aussi rigoureux soit-il, ne sécurise qu'une partie du scrutin. La plupart des élections annulées le sont pour un vice de procédure — protocole mal rédigé, délai non respecté, liste électorale contestable, collèges mal composés — pas pour une faille cryptographique.
C'est pourquoi l'audit gagne à s'inscrire dans un accompagnement hybride : sécurité technique et sécurité juridique. Chez Sephos, un chef de projet dédié, expert en droit social, fait le lien entre les deux. Il :
- calibre le niveau de risque CNIL et dimensionne l'audit en conséquence ;
- intègre l'expertise indépendante au calendrier du protocole d'accord préélectoral, pour qu'elle ne fasse pas dériver les délais ;
- veille à la composition des collèges, au quorum, au calcul des sièges (quotient électoral puis plus forte moyenne) et à la représentation équilibrée femmes-hommes ;
- relie la cérémonie des clés (volet technique) à la documentation juridique (protocole, PV) ;
- prépare les pièces probantes en vue d'une éventuelle contestation.
À la clôture, la plateforme produit automatiquement les procès-verbaux d'ouverture et de clôture et un certificat de résultat, et le décompte est recalculable et vérifiable. La déclaration administrative de l'élection (formulaire Cerfa, transmission à l'administration du travail) reste, elle, une démarche de l'employeur : votre chef de projet vous indique quoi transmettre et quand, mais la plateforme ne s'y substitue pas. Cet accompagnement, adossé à plus de 2 400 élections organisées, est ce que recouvre la promesse « bien plus qu'un logiciel ».
Cas d'usage : ce que la volumétrie change concrètement
Au-delà du discours, la preuve se lit dans les chiffres. Plus de 2 400 élections organisées, ce n'est pas un slogan : c'est un volume qui a permis d'éprouver la plateforme en conditions réelles — multi-sites, gros effectifs, climats sociaux tendus — et de la faire expertiser de manière récurrente. Sur les scrutins accompagnés, le gain de participation observé atteint jusqu'à +22 points : non pas une garantie (le vote reste volontaire), mais un fait constaté, lié à la simplicité de l'enrôlement WebAuthn et à la confiance qu'inspire un dispositif vérifiable.
Cette répétition est aussi ce qui rend l'audit économique et fiable : une plateforme déjà auditée plusieurs fois présente des réserves marginales plutôt que des défauts structurels, et le coût de l'expertise se mutualise. Un éditeur qui n'a organisé qu'une poignée de scrutins ne peut pas en dire autant.
Critères de choix d'un prestataire conforme
Avant de signer, exigez des preuves de conformité concrètes — pas des promesses :
- Rapports d'audit : la solution a-t-elle été expertisée par un tiers indépendant ? Le rapport est-il communicable et récent ?
- Grille de conformité CNIL : le prestataire fournit-il une matrice par niveau (1/2/3), et non un badge « certifié CNIL » ?
- Références : combien de scrutins réellement organisés, sur quels profils (effectif, multi-sites) ?
- Vérifiabilité : le dépouillement est-il rejouable hors ligne par un tiers ?
- Crypto : chiffrement homomorphe à seuil, déchiffrement des seuls agrégats, aucun déchiffrement individuel ?
- Authentification : enrôlement WebAuthn / passkey (secret local), et non un code réutilisable transmis ?
- Rôles RGPD : le contrat précise-t-il employeur responsable de traitement, prestataire sous-traitant (art. 28), avec accompagnement de l'AIPD ?
- Accompagnement : un chef de projet expert en droit social, du protocole au PV ?
Checklist de conformité actionnable : les points de contrôle
Voici la grille spécifique à l'audit de conformité — au-delà du simple choix de logiciel. Parcourez-la avant votre scrutin : chaque case non cochée est un risque à traiter.
Cadre et rôles
- Le niveau de risque (1/2/3) de mon scrutin a été déterminé et justifié.
- L'employeur est identifié comme responsable de traitement ; le prestataire comme sous-traitant (art. 28).
- L'AIPD a été réalisée (registre d'enrôlement, risque de traçage de la participation).
- L'expertise indépendante est inscrite au cahier des charges du protocole.
Expert et indépendance
- L'expert est un informaticien spécialisé en sécurité, sans intérêt financier dans l'éditeur ni l'employeur.
- Il a audité plusieurs prestataires et est formé au vote électronique.
- Son rapport est communicable aux syndicats et à la CNIL.
Périmètre et tests
- L'audit couvre logiciel/code source, infrastructure, listes/enrôlement, déroulement, dépouillement, archivage.
- Les tests d'intrusion, de charge et fonctionnels sont inclus (obligatoires niveaux 2 et 3).
- L'intégrité de l'exécutable est vérifiée par recalcul d'empreintes (système déployé = système audité).
Sécurité du vote
- Chiffrement homomorphe à seuil : déchiffrement des seuls agrégats, aucun déchiffrement individuel.
- Partage de clé à seuil : clé répartie entre porteurs, jamais reconstituée.
- Séparation stricte urne / liste d'émargement vérifiée.
- Authentification WebAuthn / passkey, secret dérivé localement.
- Vérifiabilité individuelle et universelle (dépouillement rejouable hors ligne).
Traçabilité et livrables
- Journalisation horodatée, inaltérable, conservée et accessible en cas de litige.
- Rapport d'expertise, grille de conformité, évaluation RGS et comptes rendus de cérémonie des clés disponibles.
- Le rapport est rendu entre le scellement de l'urne et le premier tour.
Calendrier
- L'audit a été déclenché dès le protocole, pas à la dernière minute.
Pour un dossier complet, combinez cette checklist avec le modèle de PAP CSE, le modèle d'invitation des syndicats et l'ensemble des outils gratuits pour vos élections.
Demander une démonstration
Vous voulez vérifier par vous-même comment une solution réellement auditable fonctionne — la cérémonie des clés, le chiffrement homomorphe à seuil, le partage de clé à seuil, le recalcul d'empreintes, la vérifiabilité par un tiers — et comprendre comment l'expertise indépendante s'intègre à votre calendrier d'élection ? Le mieux est de le constater en conditions réelles, avec un expert qui répond à vos questions de sécurité et de droit social.
Demander une démo — réponse sous 24 heures, accompagnée d'un chef de projet dédié. Ou demander à être rappelé.
Pour approfondir, explorez les outils gratuits pour vos élections, le simulateur de prix du vote électronique et la checklist des élections CSE.
Questions fréquentes
Le vote électronique est-il vraiment sécurisé ?
Oui, lorsqu'il repose sur les bonnes garanties et qu'il a été audité. Un système conforme chiffre le bulletin sur le poste de l'électeur, sépare strictement l'urne de la liste d'émargement, ne déchiffre que les agrégats (jamais les bulletins individuels), répartit la clé de déchiffrement entre plusieurs porteurs et permet de rejouer le dépouillement hors ligne. L'expertise indépendante vérifie tout cela. La sécurité ne se présume pas : elle se prouve, audit et journaux à l'appui.
L'audit d'un système de vote électronique est-il obligatoire ?
Le Code du travail subordonne le recours au vote électronique pour le CSE à une expertise préalable du système, et la recommandation CNIL la rend nécessaire en pratique pour les scrutins de niveau de risque 2 et 3 — la majorité des élections CSE. Ce n'est pas une déclaration administrative, mais une garantie de sécurité dont l'absence fragilise juridiquement le scrutin et offre un argument de contestation. Pour un CSE à enjeu, le considérer comme optionnel est une erreur.
Qui réalise l'audit de conformité du vote électronique ?
Un expert indépendant : un informaticien spécialisé en sécurité des systèmes d'information, sans aucun intérêt financier dans l'éditeur de la solution ni dans l'employeur, ayant audité plusieurs prestataires et formé au vote électronique. C'est l'employeur (responsable de traitement) qui doit s'assurer que cet audit a été réalisé. En pratique, un prestataire sérieux fait auditer sa plateforme et fournit le rapport, que l'employeur intègre à sa documentation de conformité.
Que dit la délibération CNIL sur l'audit du vote électronique ?
La recommandation de la CNIL sur la sécurité des systèmes de vote par correspondance électronique classe les scrutins en trois niveaux de risque, fixe les objectifs de sécurité attendus pour chacun, définit les critères de l'expert indépendant, et indique que le rapport d'expertise est rendu entre le scellement de l'urne et le premier tour. Sa mise à jour la plus récente renforce la vérifiabilité du dépouillement et la protection du secret. Faites confirmer la version applicable à la date de votre élection.
Comment garantir l'anonymat des votants lors d'un vote électronique ?
Par la dissociation stricte entre l'identité de l'électeur et son bulletin : la liste d'émargement (qui a voté) et l'urne (les bulletins chiffrés) ne peuvent jamais être recroisées. Le bulletin est chiffré sur le poste, seuls les agrégats sont déchiffrés au dépouillement, aucun bulletin individuel n'est jamais déchiffré, et aucun reçu du contenu du vote n'est délivré. L'anonymat est fort et dissociatif, et la coercition fortement réduite, sans être présentés comme absolus. L'expert vérifie cette dissociation lors de l'audit.
Quels sont les 3 niveaux de risque et les objectifs de sécurité de la CNIL ?
Le niveau 1 (enjeu limité) impose des mesures de base ; le niveau 2 (enjeu intermédiaire) renforce authentification, scellement et journaux et rend les tests obligatoires ; le niveau 3 (enjeu fort, climat social tendu) exige authentification forte, chiffrement à seuil à porteurs multiples, vérifiabilité renforcée et transparence accrue. Les objectifs de sécurité couvrent la confidentialité et l'intégrité des données, le secret du vote, l'authentification, la sincérité du scrutin, la traçabilité, la vérifiabilité du dépouillement et la disponibilité.
Comment choisir un prestataire de vote électronique conforme à la CNIL ?
Exigez des preuves, pas des promesses : un rapport d'audit indépendant communicable et récent, une grille de conformité CNIL par niveau (et non un badge « certifié CNIL »), un chiffrement homomorphe à seuil avec dépouillement rejouable par un tiers, une authentification WebAuthn/passkey, un contrat précisant les rôles RGPD (employeur responsable de traitement, prestataire sous-traitant art. 28) avec accompagnement de l'AIPD, des références volumétriques, et un chef de projet expert en droit social du protocole au PV.
Que se passe-t-il en cas de panne pendant le scrutin ?
Un système conforme prévoit la continuité de service : architecture redondée multi-site, plan de reprise (RTO/RPO) et procédure d'incident, sans engagement chiffré de disponibilité. Les tests de charge, inclus dans l'audit pour les niveaux 2 et 3, vérifient justement que le système tient les pics d'affluence sans perte de bulletins. En cas d'incident, la journalisation horodatée et inaltérable permet de reconstituer le déroulé et de prendre les décisions nécessaires (prolongation, mesures correctives) sous le contrôle du bureau de vote.
Les serveurs de la solution de vote sont-ils hébergés en France ?
Oui, les données de la solution Sephos sont hébergées en France. La localisation des données en France facilite la maîtrise juridique et la réactivité opérationnelle, et constitue un facteur de confiance que l'employeur, responsable de traitement, doit pouvoir documenter. L'audit examine l'infrastructure d'hébergement (architecture, cloisonnement, durcissement, gestion des accès) et son alignement sur les référentiels de sécurité.
Que vérifie un expert indépendant lors de l'audit du vote électronique ?
Le logiciel et le code source, l'infrastructure d'hébergement, la constitution et l'enrôlement des listes, le déroulement du scrutin, le dépouillement et l'archivage. Il mène des tests d'intrusion, de charge et fonctionnels (obligatoires niveaux 2 et 3), recalcule les empreintes pour vérifier que le système déployé est identique au système audité, contrôle le chiffrement homomorphe à seuil, le partage de clé à seuil, la séparation urne/émargement, l'anonymat, la conformité RGPD et la vérifiabilité du dépouillement.
Que change la dernière recommandation CNIL pour l'audit du vote électronique CSE ?
Les évolutions les plus récentes de la doctrine CNIL renforcent deux axes : la vérifiabilité du dépouillement (tout tiers doit pouvoir recalculer le résultat à partir des éléments publiés) et la protection contre les manipulations portant atteinte au secret. Pour les scrutins de niveau 3, la transparence est accrue (publication d'éléments de contrôle, comme le code source, et note pédagogique destinée aux électeurs). L'audit intègre désormais explicitement ces contrôles. Vérifiez la version applicable à la date de votre scrutin.
Que risque-t-on si le vote électronique n'a pas été audité ?
Pour un scrutin à enjeu, l'absence d'expertise indépendante — ou une expertise manifestement insuffisante — peut fonder l'annulation de l'élection devant le tribunal judiciaire, si le juge estime que les garanties de secret, d'intégrité ou de sincérité n'étaient pas assurées. C'est l'un des arguments de contestation les plus simples à soulever, dans un délai de l'ordre de 15 jours. Un scrutin audité, documenté et vérifiable se défend ; un scrutin non audité s'expose à une réorganisation coûteuse.