Envoyer un document à signer : le processus, pas le droit

Ce que tu envoies est une enveloppe, pas un document

L'unité avec laquelle travaille un service de signature électronique n'est pas le fichier. C'est une enveloppe : un ou plusieurs documents, une liste de destinataires, un rôle pour chacun, un ensemble de champs rattachés à tel destinataire sur telle page, un ordre de sollicitation et un cycle de vie — créée, envoyée, remise, consultée, partiellement signée, achevée, refusée, annulée ou expirée. Presque tout ce que l'on décrit comme « la signature n'a pas marché » est une enveloppe arrêtée dans l'un de ces états, et savoir lequel te dit quoi faire bien plus vite que de rouvrir le document.

La conséquence sur la préparation est immédiate : assemble tout d'abord. Fusionne les annexes, corrige l'ordre des pages, vérifie qu'aucune n'est à l'envers, puis crée l'enveloppe. Toute modification après ce point coûte un redémarrage complet, car une signature est liée au document tel qu'il était au moment de signer et une nouvelle version est un nouveau document. L'habitude à prendre est l'inverse de celle de la plupart des équipes : au lieu d'envoyer un brouillon puis de le rapiécer, passe dix minutes de plus à assembler et n'envoie qu'une fois.

L'ordre de signature est une décision de gestion, pas un réglage

Le routage séquentiel sollicite un destinataire à la fois et ne libère le document pour le suivant que lorsque le précédent a terminé. Utilise-le quand une signature dépend réellement d'une autre — un approbateur interne qui doit voir les termes définitifs avant la contrepartie, une caution qui ne signe que si l'emprunteur a signé, un contreseing qui conclut. Son coût : toute la chaîne attend le plus lent, et une seule personne en congé arrête tout sans le moindre message d'erreur.

Le routage parallèle sollicite tout le monde en même temps et s'achève quand le dernier a terminé. Il est plus rapide et c'est le bon réglage par défaut pour un document que plusieurs personnes signent à la même qualité — une décision d'assemblée, un accusé de réception de politique interne, un accord-cadre multipartite où les termes des uns ne dépendent pas de ceux des autres. Son mode de défaillance est différent et plus pénible : l'achèvement partiel. Trois signatures sur quatre, la quatrième muette, te laissent un document qui n'est pas un accord, que certains signataires croient conclu, et qu'il faudra refaire signer aux quatre si les termes bougent. Fixe une expiration, programme des relances, et sache avant d'envoyer qui sera vraisemblablement le quatrième.

Une conséquence de l'ordre est souvent négligée : dans la plupart des systèmes contractuels, l'accord se forme lorsque la dernière partie accepte, de sorte que le dernier signataire fixe la date d'existence du contrat. Si une date d'effet, un préavis ou un exercice comptable en dépend, place en dernier la partie que tu peux relancer, et ne laisse jamais la signature finale à la personne la plus injoignable. Et n'autorise pas les signataires à saisir une date à la main à côté de leur marque. La piste d'audit contient déjà une heure faisant foi ; une date saisie qui la contredit crée une contradiction dans ta propre preuve, sans aucun bénéfice.

La preuve est la piste d'audit, pas la marque

Une signature dessinée ou saisie est une image. N'importe qui peut en produire une qui ressemble à celle d'un autre, ce qui signifie que l'image ne prouve rien à elle seule, et que la valeur d'un service de signature électronique n'est pas de tracer de plus jolis paraphes mais de consigner comment le paraphe est arrivé là. Ce relevé — certificat de fin, piste d'audit, journal d'événements, les noms varient — contient typiquement l'identifiant de l'enveloppe, l'adresse de chaque destinataire, l'heure d'envoi de la demande, l'heure de remise, l'heure d'ouverture, l'adresse depuis laquelle elle a été ouverte, l'authentification utilisée, le consentement donné à contracter par voie électronique, le moment où chaque champ a été rempli, et une empreinte du document au moment du scellement.

Ce n'est pas un luxe technique, c'est exactement ce sur quoi le droit s'interroge. L'article 1366 du code civil français confère à l'écrit électronique la même force probante qu'au papier à deux conditions : que puisse être dûment identifiée la personne dont il émane, et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité. Identification et intégrité sont des propriétés du processus, pas du dessin. Au niveau européen, la même logique apparaît dans les présomptions attachées aux services qualifiés : selon le règlement eIDAS, un horodatage électronique qualifié bénéficie d'une présomption d'exactitude de la date et de l'heure et d'intégrité des données auxquelles elles sont liées, et un service d'envoi recommandé électronique qualifié d'une présomption d'intégrité des données, d'envoi par l'expéditeur identifié et de réception par le destinataire identifié. Chacune est un fait relatif à un processus.

En pratique, cela signifie trois choses. Conserve le certificat, pas seulement le fichier signé : un document scellé sans sa piste est une photo d'accord. Conserve une empreinte du fichier que tu peux recalculer — un condensat stocké à part permet de montrer des années plus tard que la copie de tes archives est bien celle qui a été signée. Et privilégie une authentification qui laisse une trace contrôlée par un tiers : un code envoyé sur un téléphone, une vérification d'identité, une connexion à un compte, tout ce qui est plus fort qu'un lien arrivé par courriel. Le lien seul prouve que celui qui avait accès à cette boîte a signé, affirmation plus faible qu'elle n'en a l'air et que tout litige attaquera.

Quand le signataire n'est pas la partie : sociétés et délégation

Une société ne signe rien. Une personne physique signe pour son compte, et la société n'est engagée que selon le pouvoir de représentation de cette personne, question de droit des sociétés et de registre — jamais quelque chose que vérifie la plateforme de signature. Celle-ci laissera volontiers signer quiconque dispose d'une boîte mail, au nom de qui il veut, et consignera fidèlement qu'il l'a fait.

Le droit allemand rend le piège concret. Selon le paragraphe 35 de la loi sur les sociétés à responsabilité limitée, la société est représentée en justice et hors justice par ses gérants, et lorsque plusieurs sont nommés ils ne sont habilités à la représenter que conjointement, sauf disposition contraire des statuts. Une enveloppe bâtie avec un seul bloc de signature pour une société allemande à deux gérants sans clause de représentation individuelle produit un document signé qui n'engage pas. Dans l'autre sens, le paragraphe 49 du code de commerce donne au fondé de pouvoir compétence pour tous les actes judiciaires et extrajudiciaires qu'implique l'exploitation d'un commerce, et le paragraphe 50 rend les limitations internes de ce pouvoir inopposables aux tiers : ta matrice d'approbation interne n'existe pas pour la contrepartie. Consulte l'extrait du registre avant de constituer la liste des destinataires, et fais figurer la qualité dans le bloc de signature lui-même.

La délégation mérite son propre traitement. La plupart des services permettent à un destinataire de réattribuer la demande, et bien employé c'est une fonctionnalité : la piste consigne qui a été invité, qui a réattribué, quand, et qui a finalement signé, ce qui garde la chaîne visible. Mal employée, elle devient la façon la plus courante de détruire une piste d'audit — le destinataire transfère simplement le courriel et quelqu'un d'autre signe par un lien adressé à une personne qui n'a jamais touché le document. Active la réattribution pour que l'on emploie le mécanisme qui se consigne lui-même, et désactive, si ton service le permet, la possibilité de signer depuis un lien ouvert par une adresse autre que celle invitée.

Quand le document change après qu'un signataire a signé

C'est la situation que tout processus de signature finit par rencontrer, et la mauvaise réponse est tentante : remplacer le fichier et laisser la signature en place. Ne le fais pas. Une signature répond à une question portant sur un document précis, et le signataire y a répondu pour la version qu'il a lue. Si la signature était cryptographique, remplacer les octets la casse et tout le monde verra qu'elle est cassée. Si ce n'était qu'une image dessinée — le cas ordinaire — rien ne casse, rien ne paraît anormal, et tu as discrètement produit un document qui semble signé par quelqu'un qui n'y a jamais consenti. Notre article sur les trois niveaux eIDAS traite de ce qu'est juridiquement cette image ; ici il suffit qu'elle ne prouve pas l'accord sur un texte que le signataire n'a jamais vu.

Il existe deux voies propres, et le choix se fait sur l'effort, pas sur le principe. Annuler l'enveloppe et la réémettre : marque l'ancienne comme annulée pour que la piste montre une annulation délibérée et non un document abandonné, crée une nouvelle enveloppe à partir du fichier corrigé et recollecte toutes les signatures — y compris celles déjà obtenues, car elles portaient sur un autre texte. Ou laisser le document signé tel quel et signer un avenant qui identifie l'original par son intitulé et sa date et énonce ce qui change. La seconde est plus rapide, et c'est ce que l'on fait réellement quand une clause bouge après que onze parties sur douze ont signé. La première s'impose quand la modification touche aux termes sur lesquels les premiers signataires se sont appuyés.

Six modes de défaillance, et ce qui règle chacun

Champs positionnés par coordonnées. Un bloc de signature déposé à un point fixe de la page sept y reste quand le contrat est régénéré avec un préambule plus long, et atterrit au milieu d'un paragraphe ou carrément sur une autre page. Utilise des ancres textuelles — une chaîne invisible dans le document à laquelle le champ s'attache — pour que le bloc suive sa clause. Le même problème arrive par la fusion : ajoute une annexe de deux pages avant la page de signature et toutes les coordonnées suivantes sont fausses. Assemble d'abord, positionne ensuite.

La demande qui n'arrive jamais. Envoyé n'est pas remis : les filtres mettent en quarantaine les messages à liens, les passerelles d'entreprise les réécrivent, une adresse générique ou partagée les dépose dans une file dont personne n'est responsable, un message d'absence les renvoie. Surveille l'événement de remise, pas celui d'envoi, et s'il n'apparaît pas dans la journée, renvoie à une seconde adresse plutôt que d'attendre. Évite totalement les adresses génériques pour les signataires : on n'identifie pas une personne à partir d'une boîte que dix personnes lisent. Les liens expirés relèvent de la même famille : enveloppes et liens ont une durée de vie, et un signataire qui revient de congé trouve une page morte et en conclut souvent que tout a été annulé. Règle l'expiration sur l'échéance réelle plus une marge, et envoie une relance avant, pas après.

L'enveloppe bloquée sur « consulté ». Quelqu'un l'a ouverte, a signé la page qu'il voyait, et n'a jamais atteint le paraphe de la page quatre ni le dernier champ obligatoire sous la ligne de flottaison d'un téléphone. Le statut reste « consulté » ou « en cours », chacun suppose que c'est fait, et le document ressort non signé trois semaines plus tard. Réduis les champs obligatoires au minimum réellement nécessaire, prévisualise l'enveloppe sur petit écran avant l'envoi, et considère qu'un destinataire qui a consulté sans terminer dans la journée appelle un coup de téléphone plutôt qu'une troisième relance. Et vérifie les fuseaux une bonne fois : les pistes d'audit sont généralement tenues dans une heure de référence unique, si bien qu'un événement horodaté à 23 h 40 peut être le lendemain matin là où se trouvait le signataire — un écart qui ressemble à une fraude dans un litige et n'est qu'une convention d'affichage.

Questions fréquentes

Routage séquentiel ou parallèle : lequel par défaut ?

Parallèle par défaut, séquentiel quand il existe une vraie dépendance. Pose une question : quelqu'un de la liste doit-il voir ce qu'un autre a fait avant de décider ? Un approbateur interne qui doit vérifier le prix final, oui ; une caution qui ne signe qu'après l'emprunteur, oui ; une contrepartie qui exige de signer en dernier, oui. Tous les autres peuvent être sollicités en même temps, et le faire retire des jours au cycle. L'hybride qui marche en pratique est un flux à deux temps : tout l'interne en parallèle, puis la contrepartie, puis le contreseing — trois étapes au lieu de six, avec seulement les dépendances réelles.

Quelqu'un me dit avoir signé mais l'enveloppe reste ouverte. Que s'est-il passé ?

Presque toujours un champ non rempli ou un bouton final non pressé. Le signataire a dessiné sa signature, a cru que l'acte était accompli, et n'a jamais fait défiler jusqu'au paraphe d'une page suivante ni pressé « terminer » — sur téléphone, la confirmation est souvent sous la ligne de flottaison. Ouvre la vue détaillée de l'enveloppe plutôt que le résumé : elle liste les champs obligatoires de chaque destinataire et ceux qui restent vides, ce qui te dit exactement quoi demander. Deux autres explications couvrent l'essentiel du reste : la personne a signé une autre enveloppe, en général une version antérieure que tu croyais annulée ; ou elle a signé une copie du fichier qui lui est parvenue autrement, en pièce jointe, ce qui produit un document signé que ton processus ne verra jamais. Demande-lui de t'envoyer ce qu'elle a signé avant de conclure à une défaillance de l'outil.

Puis-je ajouter une page après qu'une partie a déjà signé ?

Pas au document signé, non. Quel que soit son contenu, l'ajouter produit un document différent de celui auquel la première partie a consenti, et le fait que la signature paraisse toujours correcte est une propriété des images, pas une autorisation. Deux voies légitimes : annuler l'enveloppe, la reconstruire avec la page supplémentaire et recollecter toutes les signatures ; ou laisser le document signé intact et signer un avenant distinct qui nomme l'original par son intitulé et sa date, énonce ce qu'il ajoute, et est signé par tous. Prends la seconde quand l'ajout est réellement additionnel — un barème, une liste de contacts — et la première quand il modifie ce sur quoi le premier signataire s'est appuyé. Dans tous les cas, conserve l'enveloppe annulée : une piste montrant une annulation délibérée puis une réémission propre vaut bien mieux qu'un trou.

Un destinataire a transféré son lien et un collègue a signé. Est-ce un problème ?

Oui, et le problème est probatoire, non moral. Toute la piste dit désormais que la personne invitée a tout fait — ouvert, s'est authentifiée, a signé — alors qu'une autre l'a fait. La seule chose que le relevé devait établir, à savoir que cette signature provient de cet individu, est précisément ce qui est faux, et la contrepartie n'a aucun moyen de le savoir. Corrige pour l'avenir : annule l'enveloppe et réémets-la vers la personne qui signe réellement, en utilisant la fonction de réattribution si le service en propose une, car elle laisse un événement de délégation dans la piste au lieu d'une substitution silencieuse. Corrige structurellement en n'invitant jamais de boîtes partagées et en activant une étape d'authentification que le titulaire de la boîte ne peut pas transmettre, comme un code envoyé sur un numéro que tu détiens.

Que faut-il conserver une fois le document signé ?

Trois pièces, au même endroit, nommées pour qu'on voie qu'elles forment un ensemble. Le document final scellé. Le certificat de fin ou la piste d'audit, qui est la preuve que le document est bien ce qu'il prétend être. Et une empreinte du fichier — un condensat que tu calcules toi-même et stocke à part, afin de pouvoir montrer des années plus tard que la copie archivée est octet pour octet celle qui a été signée, et non un descendant réenregistré, recompressé ou annoté. Cette troisième pièce coûte une minute et c'est celle qui manque toujours au moment où elle compte. Quant à la durée, la conservation suit l'obligation sous-jacente et non la signature : un contrat commercial, un dossier du personnel et une pièce à valeur fiscale ont des délais différents, et la règle prudente est de garder l'ensemble tant qu'une action fondée dessus reste possible.