C’est un vrai choc de simplification que l’Etat a mis en place avec la facturation électronique. Déjà, il est attaqué en coulisses, sur fond de cyberattaques sur des sites institutionnels. Au point de se demander si ces attaques ne visent pas à faire dérailler ce processus.
La facturation électronique devient obligatoire en France.
Il fallait donc, presque fatalement, qu’elle devienne inquiétante.
L’État connaîtrait désormais nos clients, nos fournisseurs, les montants que nous leur facturons. Il pourrait observer nos transactions. Et puisque les administrations françaises ont récemment subi des intrusions informatiques importantes, voilà réunis tous les ingrédients nécessaires pour transformer une réforme comptable et fiscale en symptôme supplémentaire de la dérive « illibérale » de nos démocraties.
Alors que la probabilité de voir les attaques cyber auxquelles nous assistons depuis quelques semaines, accrédite – sérieusement – la possibilité d’opérations de guerre hybride.
Le raisonnement mérite pourtant d’être repris depuis son commencement.
Une facture électronique n’invente pas la facture. Elle ne crée ni le client, ni le fournisseur, ni le montant facturé, ni la TVA. Elle transforme en données structurées des informations qui existent déjà, qui sont déjà très largement produites par informatique, qui entrent déjà dans les comptabilités des entreprises et auxquelles l’administration fiscale peut déjà accéder dans l’exercice de ses missions de contrôle.
La véritable nouveauté est ailleurs.
Elle réside dans la capacité de faire circuler certaines de ces informations sous une forme normalisée, structurée et exploitable automatiquement.
Et cette différence, loin d’être anodine, pourrait permettre d’accomplir un saut qualitatif considérable dans la relation entre l’entreprise et l’État.
Dans le système déclaratif traditionnel, l’entreprise réalise ses opérations, établit ses factures, tient sa comptabilité, calcule la TVA collectée et la TVA déductible, établit périodiquement une déclaration, transmet le résultat de ses calculs à l’administration et acquitte ce qu’elle lui doit.
L’administration reçoit cette déclaration et conserve le pouvoir de la contrôler.
Autrement dit, nous demandons à l’entreprise de produire une information, de la comptabiliser, de la transformer en déclaration et de transmettre à l’État le résultat d’un calcul que celui-ci doit ensuite être capable de vérifier.
La facture électronique change potentiellement cette logique. Lorsque les informations nécessaires sont structurées et transmises automatiquement, l’administration dispose progressivement des éléments lui permettant de reconstituer elle-même une partie croissante de la position fiscale de l’entreprise.
Elle connaît la facture émise. Elle connaît la TVA correspondante. Elle peut connaître les éléments nécessaires à son exigibilité et, dans les situations où l’encaissement la détermine, disposer des informations de paiement prévues par le dispositif.
Dès lors apparaît une question étonnamment peu présente dans le débat :
Pourquoi continuer à demander aux entreprises de déclarer à l’État ce que l’État est désormais capable de calculer lui-même?
Voilà pourtant de la simplification au moment où tout le monde appelle à en provoquer le choc, avant probablement de s’incliner devant le souffle, plus ou moins téléguidés, des contestations levées dans l’opinion publique.
On peut alors imaginer progressivement une relation différente.
L’entreprise facture.
Le système comptable transmet les informations fiscalement nécessaires.
L’administration calcule ou préremplit la TVA dont elle estime l’entreprise redevable.
L’entreprise vérifie.
Elle valide ou rectifie.
Elle conserve évidemment un droit de contestation et les voies de recours qui accompagnent normalement l’établissement de l’impôt.
Lorsque des circonstances particulières de trésorerie le justifient, elle peut demander, dans le cadre prévu par le droit, un délai ou un échéancier.
Le changement paraît technique.
Il est en réalité philosophique.
Il permettrait de passer progressivement d’un système dans lequel l’entreprise calcule, déclare et l’État contrôle à un système dans lequel l’État calcule à partir des données dont il dispose et l’entreprise contrôle ce que l’État a calculé.
C’est une modernisation au sens propre.
Les hackers prennent un malin plaisir à communiquer sur les données qu’ils sont parvenus à dérober, à fanfaronner sur leur importance, à focaliser les médias et nourrir le débat public, sur leurs « exploits ».
Aucune de ces perspectives ne dispense d’examiner les risques associés à la concentration et à la circulation des données. Bien au contraire.
Une facture peut révéler énormément sur une entreprise: ses fournisseurs, ses clients, ses volumes d’activité, ses dépendances, parfois sa stratégie industrielle. Agrégées à grande échelle, ces informations peuvent permettre de cartographier des filières économiques entières.
Les questions relatives à l’hébergement, aux plateformes intermédiaires, à leur actionnariat, à l’extraterritorialité de certaines législations, au secret professionnel, à la durée de conservation et à la cybersécurité sont donc parfaitement légitimes.
Confondre la nécessité de sécuriser une infrastructure avec la légitimité de la fonction qu’elle remplit constitue un curieux raccourci.
Or ce raccourci devient particulièrement intéressant dans le climat actuel, caractérisé par une hypersensibilité aux attaques cyber qui se multiplient au cours des dernières semaines et mois, en ciblant, précisément, des sites institutionnels ou de grandes bases de données.
Les hackers prennent un malin plaisir à communiquer sur les données qu’ils sont parvenus à dérober, à fanfaronner sur leur importance, à focaliser les médias et nourrir le débat public, sur leurs « exploits ».
Il faut les documenter, rechercher leurs auteurs, comprendre leurs méthodes, corriger les vulnérabilités et mesurer les conséquences.
Mais il faut également observer ce qu’elles produisent dans notre représentation collective.
Chaque intrusion devient la preuve que l’État ne peut protéger aucune donnée. Chaque fuite rend suspecte toute centralisation. Toute centralisation devient surveillance. Toute automatisation devient contrôle social.
C’est ici qu’apparaît une dimension cognitive beaucoup plus intéressante.
Il n’est nul besoin de prétendre que les cyberattaques seraient nécessairement organisées dans le but de faire échouer la facturation électronique. Une telle affirmation exigerait des preuves que nous n’avons pas.
Le phénomène peut être beaucoup plus subtil.
Une attaque informatique possède deux effets: l’effet matériel de l’intrusion et l’effet cognitif de la défiance qu’elle produit.
Le premier appartient à la cybersécurité.
Le second appartient désormais pleinement au champ politique.
Et celui qui souhaite affaiblir un État n’a pas nécessairement besoin de détruire ses infrastructures. Il peut aussi contribuer à persuader sa population que toute infrastructure commune est dangereuse, que toute administration est suspecte, que toute donnée transmise est une liberté abandonnée et que toute modernisation cache une volonté de contrôle.
La défiance fait ensuite le reste.
Les précédents ne manquent sans doute pas. Mais, pour l’avoir personnellement rencontré, celui du déploiement du compteur Linky mérite d’être rappelé. Maillon de la transformation du réseau électrique en réseau intelligent, il fut lui aussi présenté comme un instrument de surveillance, d’intrusion dans la vie privée, voire de dépossession de l’usager.
Or la numérisation du comptage et du réseau de distribution participe précisément de cette évolution vers un système électrique davantage observable, pilotable et capable d’intégrer des flux devenus plus complexes : productions décentralisées, autoconsommation, effacement, nouveaux usages électriques et, plus largement, adaptation à un système énergétique européen de plus en plus interdépendant.
Le parallèle est instructif. Une infrastructure destinée à donner davantage d’intelligence au système qui nous relie peut être cognitivement retournée contre sa propre finalité : ce qui doit permettre de mieux connaître le réseau devient « surveillance » ; ce qui doit permettre de mieux le piloter devient « contrôle » ; ce qui doit contribuer à sa résilience devient une menace pour la liberté individuelle.
Il ne s’agit évidemment pas d’interdire la critique de ces dispositifs. Il s’agit de distinguer la vigilance, indispensable, de la fabrication de la défiance.
L’ombre agitée du Big Brother dans le contrechamp des cyberattaques laisse passer le méchant loup.
La guerre cognitive n’a pas besoin de fabriquer les faits. C’est probablement le point essentiel: une opération cognitive efficace n’a pas nécessairement besoin d’inventer une cyberattaque parfaite, une fuite de données ou une erreur administrative.
Les faits peuvent être parfaitement authentiques.
Il suffit de les agréger, de les ordonner et de leur donner une signification.
Une fuite réelle devient la preuve de l’incapacité générale de l’État.
Une plateforme étrangère devient la preuve d’une perte de souveraineté.
Une donnée fiscale devient une donnée de surveillance.
Un dispositif antifraude devient un dispositif de contrôle social.
Une obligation comptable devient une atteinte aux libertés.
Pris séparément, chacun des problèmes mérite examen.
Assemblés dans une même chaîne narrative, ils produisent autre chose : un récit.
Et le récit finit par déplacer la question.
Nous ne nous demandons plus : « Comment construire une infrastructure fiscale numérique efficace, proportionnée, souveraine et sûre ? »
Nous nous demandons : « De quel droit l’État connaît-il mes factures ? »
Comme si l’administration fiscale venait de découvrir qu’une entreprise avait des clients, des fournisseurs et de la TVA à acquitter.
La question, lancinante et inévitable, consiste à mesurer les conséquences, qui adviendraient si une puissance étrangère, ayant développé et actualisé un art complet de la guerre hybride, parvenait à « gripper » le mécanisme en un ou plusieurs endroits? Et comment elle s’y prendrait?
Si une puissance étrangère parvenait réellement à « gripper » durablement le mécanisme de facturation électronique – directement ou par l’intermédiaire d’un prestataire critique – plusieurs effets pourraient se cumuler:
- Économique: retards d’émission ou de réception des factures, perturbation des rapprochements comptables, difficultés de paiement, tensions de trésorerie, particulièrement pour les PME dépendantes de règlements rapides.
- Fiscal: dégradation ou retard des informations permettant à la DGFiP de suivre la TVA, anomalies artificielles, difficultés de préremplissage et, dans une attaque sophistiquée, risque de compromettre l’intégrité des données plutôt que leur seule disponibilité.
- Systémique: puisque toutes les entreprises assujetties sont progressivement intégrées à la même architecture réglementaire, une défaillance touchant un nœud important peut avoir des effets en cascade. Cela impose précisément redondance, continuité d’activité et possibilité de fonctionner en mode dégradé.
- Informationnel: les métadonnées de facturation peuvent révéler les relations entre entreprises, volumes, rythmes d’approvisionnement et dépendances. Pour un acteur hostile, la valeur ne réside donc pas seulement dans le vol d’une facture particulière mais potentiellement dans la cartographie du tissu économique.
- Cognitif et politique: Quelques incidents spectaculaires pourraient suffire à installer l’idée que « l’État numérique ne fonctionne pas », que la réforme était dangereuse et que la modernisation administrative constitue une menace.
Ce dernier point produit un paradoxe remarquable puisqu’il n’est même pas nécessaire de faire tomber durablement le système pour atteindre un objectif stratégique. Il peut suffire d’ébranler suffisamment sa fiabilité pour que la société demande elle-même son démantèlement.
L’ombre agitée du Big Brother laisse passer le méchant loup.
C’est pourquoi la résilience du dispositif, sa redondance, la possibilité de fonctionner en mode dégradé, la maîtrise de ses dépendances technologiques et la souveraineté juridique de ceux qui en détiennent les données ne sont pas des objections à la facturation électronique.
Elles sont les conditions de sa réussite.
Dans une administration gouvernée par la donnée, la donnée devient une infrastructure. Et lorsqu’une infrastructure a pour fonction de produire de la confiance, la confiance elle-même devient une surface d’attaque.
Mais une opération hostile pourrait rechercher un résultat plus subtil encore.
Pour affaiblir une infrastructure, il n’est pas toujours nécessaire de la détruire.
Il peut suffire de détruire la confiance qu’on lui accorde.
Quelques interruptions spectaculaires, quelques fuites de données, quelques entreprises incapables d’émettre leurs factures, quelques témoignages suffisamment médiatisés pourraient produire un effet politique infiniment supérieur à l’effet technique de l’attaque elle-même.
Le sabotage atteint alors son rendement maximal lorsque la société attaquée en tire elle-même la conclusion qu’elle doit renoncer à l’infrastructure.
C’est ici que cybersécurité et guerre cognitive commencent véritablement à se rejoindre.
L’attaque informatique produit un événement.
Sa mise en récit produit une représentation.
Et cette représentation peut devenir : l’État est incapable de protéger vos données ; la numérisation vous expose ; l’administration vous surveille ; la modernisation menace votre liberté ; il faut donc revenir en arrière.
Une puissance hostile n’aurait même plus besoin d’obtenir elle-même le démantèlement du système. Elle pourrait chercher à créer les conditions dans lesquelles nous le réclamerions.
En attendant la Renaissance 