Archivage électronique des documents Qualiopi : coffre-fort numérique et valeur probante

Un contrôleur de la Caisse des Dépôts demande à consulter, pour une session organisée deux ans plus tôt, la feuille d’émargement, le programme et le certificat de réalisation. Ils existent bien : quelque part dans un dossier partagé, sur un ordinateur qui a changé de disque dur entre-temps, dans une boîte mail dont l’ancien salarié avait la charge. Rien n’a été modifié, mais rien ne permet non plus de le démontrer formellement. C’est précisément ce que l’archivage électronique est censé résoudre — et c’est aussi le point sur lequel la plupart des organismes de formation improvisent.

Ce que la réglementation exige vraiment

Aucun texte n’impose à un organisme de formation de disposer d’un système d’archivage électronique certifié. L’obligation, elle, est bien réelle : l’article L6362-6 du Code du travail exige de pouvoir présenter, sur demande de l’administration ou d’un financeur, les documents justifiant la réalité d’une action ; à défaut, l’action est réputée ne pas avoir eu lieu et les sommes perçues doivent être remboursées. Le référentiel national qualité ajoute sa propre couche d’exigence via l’indicateur 32 (amélioration continue et gestion des risques), qui suppose une traçabilité fiable des preuves d’une année sur l’autre, du même ordre que celle attendue à l’indicateur 27 lorsque la prestation est sous-traitée.

Ce que ces textes exigent, ce sont des résultats — intégrité, disponibilité, traçabilité — pas une technologie particulière. Un classeur papier bien tenu répondait déjà à ces critères ; un dossier numérique mal organisé n’y répond pas mieux qu’un carton égaré, même s’il paraît plus moderne.

NF Z42-013 et NF Z42-020 : deux normes, deux périmètres

Deux normes françaises structurent le sujet, et elles sont souvent confondues :

• NF Z42-013, devenue l’équivalent français de la norme internationale ISO 14641, décrit les exigences d’un véritable système d’archivage électronique (SAE) : gestion du cycle de vie du document, format de conservation, journal des événements, procédure de restitution en cas de contrôle.
• NF Z42-020, publiée en 2012, porte sur un périmètre plus étroit : le composant coffre-fort numérique (CCFN), un module qui garantit l’intégrité et la confidentialité des documents déposés, sans nécessairement offrir les fonctions de gestion documentaire complètes d’un SAE.

Un « coffre-fort numérique » grand public (souvent proposé par une banque ou un opérateur de coffre-fort personnel) répond généralement à NF Z42-020, pas à NF Z42-013 : il protège un dépôt, mais ne gère pas le cycle de vie documentaire complet qu’un audit approfondi pourrait exiger sur plusieurs années.

Ce que garantit — et ne garantit pas — la certification NF461

La certification NF461, délivrée par AFNOR Certification, atteste qu’un système d’archivage électronique respecte à la fois NF Z42-013 et ISO 14641. Elle certifie l’éditeur ou le prestataire de la solution, pas l’organisme de formation qui l’utilise : souscrire à un service certifié NF461 donne une présomption forte en cas de litige, mais ne dispense pas l’organisme de bien classer et documenter ses propres archives à l’intérieur de cet outil.

Concrètement, un organisme de formation n’a pas besoin d’obtenir lui-même une certification : il choisit, le cas échéant, un prestataire déjà certifié, au même titre qu’il choisirait un hébergeur ou un éditeur de logiciel de gestion.

Faut-il s’équiper d’une solution certifiée ?

Pour la majorité des petits et moyens organismes, la réponse est non — un article dédié à la durée de conservation des documents le rappelle : un dossier numérique organisé par session, sauvegardé régulièrement et horodaté à l’export, couvre largement les exigences d’un audit de surveillance ou de renouvellement.

L’archivage certifié devient pertinent dans des situations précises :

• volume important de sessions et de financeurs différents (CPF, OPCO, Régions, fonds européens), avec des délais de conservation qui montent jusqu’à 10 ans pour le FSE+ ;
• sous-traitance en cascade, où plusieurs organismes doivent produire des preuves cohérentes et où un dépôt commun infalsifiable limite les contestations ;
• clause contractuelle explicite d’un financeur ou d’un donneur d’ordre imposant un archivage à valeur probante ;
• organismes multi-établissements cherchant à centraliser des preuves produites par plusieurs équipes sans dépendre d’un poste de travail unique.

En dehors de ces cas, investir dans un SAE certifié avant d’avoir stabilisé ses processus internes revient souvent à sophistiquer un problème d’organisation plutôt qu’à le résoudre.

Horodatage et valeur probante : ce que change eIDAS

Le règlement européen eIDAS (n° 910/2014) encadre la valeur juridique de l’horodatage électronique dans l’Union européenne. Un horodatage qualifié bénéficie d’une présomption légale d’exactitude de la date et de l’heure attestées, opposable devant un juge sans avoir à démontrer autre chose. Un horodatage simple — celui, par exemple, d’un export PDF ou d’un envoi d’email — reste recevable comme élément de preuve, mais un contradicteur peut plus facilement en contester la fiabilité.

Pour un organisme de formation, la conséquence pratique est simple : horodater ses preuves au moment de la clôture de chaque session (et non a posteriori, juste avant un audit) renforce considérablement leur valeur en cas de litige avec un financeur ou de contrôle administratif.

Ce que montre la recherche sur l’archivage de long terme

La difficulté n’est pas de stocker un fichier, mais de garantir qu’il reste intègre, authentique et daté de façon incontestable des années après sa création — un problème que la littérature académique sur l’archivage numérique documente depuis longtemps. Une étude de référence de Vigil, Buchmann, Cabarcas, Weinert et Wiesmaier, publiée en 2015 dans la revue Computers & Security (« Integrity, authenticity, non-repudiation, and proof of existence for long-term archiving: A survey »), montre que les mécanismes cryptographiques utilisés pour garantir l’intégrité d’un document (signatures, empreintes, horodatages) ont eux-mêmes une durée de vie limitée : un algorithme jugé sûr aujourd’hui peut devenir vulnérable dans dix ou quinze ans, ce qui oblige à re-signer ou re-horodater périodiquement les archives les plus anciennes pour préserver leur valeur probante.

Cette conclusion éclaire directement le cas des organismes de formation soumis aux délais de conservation les plus longs — dix ans pour une action cofinancée par le FSE+ : un simple export daté une fois pour toutes n’offre pas la même garantie dans le temps qu’un processus d’archivage qui rafraîchit périodiquement ses preuves d’intégrité, ce que proposent justement les solutions certifiées NF461.

Mettre en place un archivage fiable sans usine à gaz

Quelques principes suffisent à couvrir la quasi-totalité des situations rencontrées en audit :

1. Un dossier par session, classé par date, réunissant convention, programme, émargements et certificat de réalisation — jamais dispersé entre plusieurs outils.
2. Un export horodaté à la clôture de la session, pas au moment du contrôle : c’est la date de création réelle du document qui doit être démontrable.
3. Une sauvegarde régulière et testée, hors du poste de travail d’une seule personne, pour éviter qu’un départ de salarié ou une panne ne fasse disparaître des preuves — un risque de même nature que celui décrit dans l’article sur les cyberattaques visant les organismes de formation.
4. Un journal d’accès et de modification minimal, même artisanal (nom du fichier, date, auteur), pour pouvoir retracer qui a produit ou modifié un document.
5. Une vérification annuelle, avant chaque audit de surveillance ou de renouvellement, que les preuves des sessions passées restent lisibles et accessibles — un format de fichier obsolète est aussi problématique qu’un dossier perdu.

Passez à l’action

Le Kit Certif Complet fournit une trame d’archivage prête à l’emploi, organisée indicateur par indicateur, avec tous les modèles de documents attendus par le référentiel (297 €, garantie 14 jours). Si vous démarrez votre activité, l’ebook Créer son organisme de formation en 30 jours installe dès le premier jour les bons réflexes de classement et d’archivage, ou choisissez le pack complet kit + ebook.