Article 88 de la Loi de Finances 2016

Article 88 de la Loi de Finances 2016 : certification des logiciels d’encaissement 1

Mercatel : mission et thèmes de travail 2

Mercatel : un think tank à vocation opérationnelle issu du monde du commerce de détail. Une structure ouverte regroupant toutes les formes de commerce et son éco système. ØReprésenter le commerce vis-à-vis d’autorités publiques ou privées ØPoser les problématiques et les faire comprendre ØFaciliter les évolutions ü ü ü Éclairer Standardiser Faciliter Coordonner Dialoguer Autour des enjeux technologiques du front office du commerce de détail et particulièrement sur le sujet des paiements Permettre des gains de productivité , de réduction des coûts ou de développement du Chiffre d’Affaires et d’anticiper les conséquences des évolutions en cours ou à venir 3

MERCATEL : un think tank à vocation opérationnelle qui agit sur trois types d’échéances A court terme, en mode réactif pour porter la voix du commerce et des adhérents 0 - 1 an A moyen terme en mode coopératif pour contribuer à établir des standards et proposer des voies de convergence entre l’ensemble des acteurs A long terme pour anticiper des évolutions et en dégager les enjeux 1– 3 ans et plus 4

Les thèmes 1. Paiement sans-contact et nouveaux moyens de paiement par mobile 2. Prépayé : TRD, Chèque cadeau , autres. 3. Aspects règlementaires : MIF, DSP 2, Directive européenne sur les données personnelles 4. Sécurité : Distributeurs automatiques de carburant, PCI. . . ; 5. Encaissement : projet de loi de finances 2016 et norme NF 525 ; dématérialisation 6. Standards et évolution des protocoles d'échanges des transactions cartes : CB 5. 5, EPAS/NEXO 1. Prospectives : paiement sécurisé et technologie des blockchains ; paiement instantané ; identification biométrique etc. 5

L’origine du texte de loi 6

Participants à la réunion 1. Enseignes : Carrefour, Disney, Groupe Etam, FNAC, Intermarché, E. Leclerc, Monoprix, Printemps, Groupe Rocher, RATP, SNCF, Kingfisher (Castorama), Auchan, Accor 2. Editeurs : ACK, AEM Softs, Cap info, Cegid, Cylande, Lafon, NCR, Symag , Tokheim, Toshiba, Wincor-Nixdorf 3. Autres : American Express, ANCV, Verifone 7

Exposé des motifs Une des fraudes les plus couteuses pour le Trésor est celle qui consiste pour les entreprises à occulter une partie de leurs recettes encaissées en espèces afin d’échapper notamment à l’application de la taxe sur la valeur ajoutée (TVA). Cette fraude a été facilitée par le développement des systèmes électroniques de caisse. Certains logiciels permettent en effet de retirer des recettes de la comptabilité. et de reconstituer les tickets de caisse sans que cette manipulation soit décelable. Tous les Etats sont aujourd’hui confrontés à ce phénomène et tentent d’y apporter une réponse appropriée. L’article 20 de la loi relative à la lutte contre la fraude fiscale et la grande délinquance économique et financière du 6 décembre 2013 offre de nouveaux moyens à l’administration pour détecter les systèmes de caisse frauduleux et pour pénaliser leurs concepteurs. Depuis l’entrée en vigueur de ces nouvelles sanctions et sous la pression des opérations de contrôle qui se poursuivent, la plupart des éditeurs de logiciels de caisse ont réagi en proposant à leurs clients des mises jour visant à supprimer leurs fonctions frauduleuses, voire à limiter leur permissivité. Mais certains clients n’ont pas procédé à ces mises à jour. Conformément à ce qui a été annoncé lors du Conseil national de lutte contre la fraude du 23 juin 2015 pour renforcer la lutte contre la fraude à la TVA, il est proposé de prévoir l’utilisation obligatoire d’un logiciel ou un système sécurisé. , c’est à dire satisfaisant à des conditions d’inaltérabilité. , de sécurisation, de conservation et d’archivage ainsi qu’une amende fiscale pénalisant la détention d’un logiciel par une entreprise qui ne serait pas en mesure de justifier qu’elle utilise un logiciel ou un système sécurisé. La présentation d’une attestation d’homologation par un tiers habilité à conduire des audits de certification d’un haut niveau de sécurité ou bien la présentation d’une attestation individuelle de l’éditeur selon laquelle le logiciel est sécurisé permettraient cette justification. A cet effet, l’administration disposerait du pouvoir de constater, de manière inopinée, dans les locaux des entreprises, quel logiciel de caisse elles détiennent et de demander à l’entreprise de pouvoir présenter l’attestation selon laquelle le logiciel ou système qu’elle utilise est sécurisé. Le défaut de présentation d’une telle attestation entrainerait l’application de l’amende de 5 000 € ( porté dans la loi à 7500€) et l’obligation de se mettre en conformité. dans un délai de soixante jours. Une entrée en vigueur diffère est prévue afin de permettre aux utilisateurs de logiciel et systèmes de caisse de prendre en compte ces nouvelles dispositions.

Le texte de loi l’article 88 prévoit l’obligation suivante : Toute personne assujettie à la taxe sur la valeur ajoutée doit : lorsqu'elle enregistre les règlements de ses clients au moyen d'un logiciel de comptabilité ou de gestion ou d'un système de caisse, utiliser un logiciel ou un système satisfaisant à des conditions d'inaltérabilité, de sécurisation, de conservation et d'archivage des données en vue du contrôle de l'administration fiscale, attestées par un certificat délivré par un organisme accrédité dans les conditions prévues à l'article L. 11528 du code de la consommation ou par une attestation individuelle de l'éditeur, conforme à un modèle fixé par l'administration. Le délai d’application de cet article a été fixé au 1 er Janvier 2018 9

Pourquoi un Groupe de Travail ? La proposition de MERCATEL est de mettre en place un groupe de travail mixte Enseignes / Editeurs afin : ü D’évaluer au mieux les conséquences opérationnelles de ce nouveau cadre législatif, ü D’être prêt dans les délais prévus par la loi, ü De constituer une force de proposition vis à vis de l'Administration qui est sur le point d’engager une consultation des professionnels concernés. Les interlocuteurs de l’administration ont été identifiés et contactés Un lien avec le Medef va être établi via le Cd. CF et des rencontres sont prévues avec d’autres organisations de commerçants : UMIH, Buralistes, etc. pour fédérer notre démarche. 10

Problèmes posés 11

Problèmes posés Des problèmes posés à la fois aux commerçants et aux éditeurs : • Choix de la voie pour être conforme à la réglementation : certification ou attestation de l’éditeur • Couts associés aux projets de mise en conformité, • Réalisme des plannings etc. La question des sanctions : • les sanctions annoncées s’entendent elles par : société, point de vente, points d’encaissement ? 12

Problèmes posés « lorsqu'elle enregistre les règlements de ses clients au moyen d'un logiciel de comptabilité ou de gestion ou d'un système de caisse, » Questions : 1. Définition des périmètres : comptabilité, gestion, système de caisse ; lequel des trois ? 2. Type de commerce concerné : proximité, e-commerce, drive ? 13

Problèmes posés « lorsqu'elle enregistre les règlements de ses clients au moyen d'un logiciel de comptabilité ou de gestion ou d'un système de caisse, » Questions : 1. Définition des périmètres : comptabilité, gestion, système de caisse ; lequel des trois ? Dans le cas des grandes enseignes, elles disposent à la fois des trois types de systèmes ( comptabilité, gestion, système de caisse). Notre compréhension est celle d’un « ou » exclusif et donc le périmètre vérifiable serait le système de caisse. Celui-ci se compose le plus souvent de différents modules dont tout ou partie est constitué de logiciels acquis auprès d’éditeurs et d’éléments réalisés en interne ou par un prestataire du type intégrateur. Notre compréhension est que la partie concernée est celle qui produit la transaction , comprise comme l’élément générant le CA et excluant donc la gestion des moyens de paiement et notamment la partie monétique. 2. Type de commerce concerné : proximité, e-commerce, drive ? Le commerce étant de plus en plus omni canal , une transaction peut être commencée dans un type et terminée dans un autre exemple click and collect. Il est nécessaire de déterminer le périmètre concerné les contrôles. 14

Problèmes posés « utiliser un logiciel ou un système satisfaisant à des conditions d'inaltérabilité, de sécurisation, de conservation et d'archivage des données en vue du contrôle de l'administration fiscale, » Questions : 1. Définition des termes 2. Les logiciels existants sont ils conformes ? 3. Formes de preuve 15

Problèmes posés « utiliser un logiciel ou un système satisfaisant à des conditions d'inaltérabilité, de sécurisation, de conservation et d'archivage des données en vue du contrôle de l'administration fiscale, » Questions : 1. Définition des termes Il est souhaité une clarification des notions d’inaltérabilité/sécurisation . Les participants se proposent d’aider à établir ces définitions éventuellement en donnant des exemples de bonnes pratiques ( signature, cryptage etc. ). Un sous-groupe de travail serait chargé de faire des propositions dans ce sens en intégrant les formes de preuves pouvant être apportées. Thème par thème, une revue des bonnes pratiques européennes pourrait s’avérer utile pour la définition du modèle français. 2. Conservation et archivage L’administration devra définir ses besoins en matière de restitution. Ce point exclut un format standard. Chaque enseigne restant maitre de la mise en œuvre tout en garantissant la restitution des données pendant la période de contrôle. 16

Problèmes posés « attestées par un certificat délivré par un organisme accrédité dans les conditions prévues à l'article L. 11528 du code de la consommation » Questions : 1. Normes existantes 2. Organismes de certification 3. Conditions de la certification : durée, renouvellement , releases 4. Périmètre de responsabilités dans les solutions complexes (éditeurs, intégrateurs, DSI ), 17

Problèmes posés « attestées par un certificat délivré par un organisme accrédité dans les conditions prévues à l'article L. 11528 du code de la consommation » Questions : 1. Norme existante : aucun éditeur présent n’est certifié. Certains ont envisagé la voie de la norme NF 525 mais celle-ci couvre un territoire beaucoup plus vaste que le sujet à traiter entrainant des coûts et des délais disproportionnés. Côté enseigne, la complexité des systèmes rend difficile l’identification d’un seul éditeur. 1. Organismes de certification: se posent en outre deux problèmes : un seul certificateur à ce jour ( INFOCERT ) . L’administration doit se positionner sur les règles nécessaires à la certification par d’autres acteurs ce qui renvoie à la précision des termes ( voir plus haut ) mais aussi à l’établissement d’une liste de certificateurs agréés. 1. Conditions de la certification : Il s’agira également de définir la durée de validité de la certification et les éléments déclencheurs de son renouvellement. 18

Problèmes posés « ou par une attestation individuelle de l'éditeur, conforme à un modèle fixé par l'administration . » Questions : 1. Connaissance précise des versions exploitées 1. Périmètre de responsabilités dans les solutions complexes (éditeurs, intégrateurs, DSI), 2. Contenu de l’attestation 3. Possibilité d’auto certification ou d’auto évaluation 19

Problèmes posés « ou par une attestation individuelle de l'éditeur, conforme à un modèle fixé par l'administration. » Questions : 1. Connaissance précise des versions exploitées 1. Périmètre de responsabilités et Contenu de l’attestation : dans le cadre de systèmes complexes se pose la question d’une auto évaluation par les enseignes sur les mêmes critères que ceux établis pour la certification et l’attestation éditeurs. Ce type d’évaluation implique ( modèle suédois ) un explicitation des moyens mis en œuvre pour répondre à l’administration et être en adéquation avec la loi. Autre exemple avec l’auto évaluation de la norme PCI / DSS et l’engagement des mandataires sociaux pénalement responsables. 20

Contenu du Groupe de Travail ? Les sujets principaux de travail et les livrables concerneront les points suivants : ü Définition précise de ce qu’est un logiciel sécurisé et inaltérable et moyens de le vérifier aussi bien dans une optique de certification que d’attestation ou d’auto évaluation ü Périmètres ü Motifs et conditions d’une auto évaluation ü Etablissement d’un guide définissant les principales étapes d’un projet de ce type 21

Mode de fonctionnement et prochaines étapes Structuration des groupes de travail : üProposition de groupes mixtes distributeurs/ éditeurs üFréquence et calendrier : chaque groupe de travail définira sa méthode et ses moyens üEspace de travail partagé : sera créé par Mercatel et mis à disposition des participants üDialogue avec l’administration : information à réaliser et réunion de travail à prévoir en particulier pour connaître les plannings envisagés pour la consultation. 22