Sécurisation des logiciels de gestion d’officine

La législation anti fraude fiscale se renforce

Par

Publié le 26/10/2015

Article réservé aux abonnés

Dans le cadre de la lutte contre la fraude fiscale, les éditeurs de logiciels de gestion et d’encaissement devront, à compter du 1er janvier 2018, soit obtenir un certificat par un organisme agréé, soit délivrer à leurs clients une attestation individuelle de conformité. Explications.

La lutte des autorités publiques contre la fraude fiscale va monter d’un cran. Le projet de loi de finances pour 2016 prévoit en effet une disposition qui obligera, à partir du 1er janvier 2018, les éditeurs de logiciels, tous secteurs confondus, à sécuriser leurs logiciels de gestion et d’encaissement de façon à empêcher toute fraude fiscale.

Le code général des impôts sera donc modifié et proposera une alternative aux éditeurs : soit obtenir un certificat par un organisme accrédité, soit délivrer une attestation individuelle de conformité selon un modèle qui sera fixé par l’administration. L’entreprise qui ne respectera pas cette obligation sera soumise à une amende de 5 000 euros et aura l’obligation de mise en conformité dans un délai de 60 jours. Peu de réactions à ce jour des éditeurs de logiciels de gestion officinales (LGO) à ce projet. Rappelons que le monde de la pharmacie a été secoué par des affaires de fraude fiscale avec des développements judiciaires complexes (voir « le Quotidien du Pharmacien » du 4 avril dernier). Il est peut-être difficile d’évaluer d’emblée ce que peut représenter cette évolution réglementaire pour ces éditeurs.

Une certification volontaire

Les perspectives ne sont cependant pas si floues puisque le projet en question fait référence au code de la consommation pour encadrer la certification, c’est-à-dire la norme NF 525 dédiée aux logiciels d’encaissement. Une marque plutôt, et non une norme, tient à préciser Jean-Louis Michel, directeur général d’Infocert, l’organisme qui travaille avec l’Afnor sur ce sujet précis. En effet, cette certification se fait sur la base du volontariat, un peu comme une entreprise qui décide d’obtenir une certification ISO, à laquelle d’ailleurs NF 525 fait référence (ISO 9001). L’organisme vérifie ainsi les principaux points suivants : l’identification des processus et des données d’encaissement, la sécurisation de l’enregistrement des données par signature électronique, la création d’une piste d’audit, l’archivage des données, et l’absence de fonctions occultant ces données.

Pour Jean-Louis Michel, le fait de ne pas rendre obligatoire cette certification permet de faire progresser les logiciels sur des bases techniques, en se confrontant à des visions externes. Aucun éditeur de LGO n’a lancé une telle procédure jusqu’à présent, même si depuis un an ou deux certains ont pris contact avec Infocert pour des formations. Dans d’autres domaines de la santé, tels que les logiciels ambulanciers, la certification s’est généralisée.

Meilleur compromis possible

Le directeur d’Infocert estime que le projet du gouvernement est « le meilleur compromis possible », en incitant les éditeurs de logiciels à s’autoréguler plutôt que de les soumettre à une législation obligatoire qui, à force de règles détaillées, tend « à tirer les choses vers le bas. » L’alternative est-elle si satisfaisante ? Il a sans doute été tenu compte du fait que de nombreux logiciels sont développés au sein d’entreprises, ou de réseau d’entreprises, ne nécessitant pas forcément d’être soumis à une quelconque certification. Mais le fait de devoir présenter une attestation individuelle de conformité suscite des interrogations, notamment exprimées par le Syntec numérique, syndicat patronal des technologies numériques. « Je comprends la démarche du projet de loi que j’estime légitime, mais je crains que l’attestation individuelle, demandée en alternative d’une certification, pose des problèmes pratiques insurmontables », s’inquiète Laurent Baudart, délégué général de Syntec Numérique. Sa principale crainte est de voir s’appliquer cette réglementation à des contrats conclus antérieurement à son adoption, ce qui néanmoins a peu de chance de se produire, la non-rétroactivité des lois étant un des grands principes du droit français.

Quand bien même, il est difficile de garantir la sécurité d’un logiciel de gestion et d’encaissement pour chacun de ses clients, ledit logiciel ayant une vie après avoir été commercialisé par un éditeur, soit par le biais d’un intégrateur (rare dans le monde de l’officine où les éditeurs sont aussi les intégrateurs en relation directe avec leurs clients pharmaciens), soit chez le client lui-même. « L’inviolabilité absolue n’existe pas, on peut rendre les choses plus difficiles et coûteuses pour celui qui veut détourner un système, mais s’il veut le faire, il y parviendra. »

L’autre préoccupation exprimée par Laurent Baudart est le coût que pourrait entraîner une certification. « Un coût élevé est un frein à l’innovation des start-up, qui ont moins de moyens », ajoute-t-il. Jean-Louis Michel précise que le coût d’une marque NF est dérisoire. Il reste cependant à estimer le coût du développement nécessaire à la mise en conformité à cette future réglementation.

Hakim Remili