Comment un coffre-fort d’offres empêche toute divulgation anticipée

La plupart des réglementations prévoient que les offres ne doivent pas être ouvertes avant l’heure officielle. Dans bien des organismes, cette règle repose sur la confiance : un administrateur qui pourrait lire les dépôts s’engage à ne pas le faire. Le risque n’est pas seulement la fuite réelle, mais l’impossibilité de prouver qu’il n’y en a pas eu lorsqu’un soumissionnaire évincé conteste.

De « personne ne devrait » à « personne ne peut »

Un coffre-fort d’offres change la question. Au lieu de contrôler qui a le droit de regarder, il rend la consultation impossible tant que les bonnes conditions ne sont pas réunies. Chaque enveloppe est chiffrée au moment du dépôt. La clé nécessaire pour la déchiffrer n’est détenue par aucune personne ni aucun système isolé.

Des clés partagées, détenues par le comité

La clé de déchiffrement est divisée en parts détenues par les membres du comité de l’appel d’offres. L’ouverture exige qu’un nombre minimal de parts soient réunies pendant la séance d’ouverture. Ni un administrateur, ni un membre du comité, ni l’exploitant du système ne peut ouvrir le coffre seul.

• Les clés suivent le comité : si un membre est remplacé, sa part n’est pas transférée.
• Les détenteurs de clés confirment leur présence avec un second facteur, comme une clé d’accès, avant l’enregistrement de la présence.
• L’ouverture n’est possible qu’après la date limite de dépôt.

Après l’ouverture

L’ouverture ne met pas fin au contrôle. Une fois déchiffrés, les documents d’offre restent réservés aux personnes que leur rôle et l’étape de la procédure y autorisent. Chaque consultation et téléchargement est journalisé : le dossier montre qui a vu quoi, et quand.

Les questions à poser à tout éditeur

• Qui, techniquement, pourrait lire une offre avant l’heure d’ouverture ? Administrateurs et personnel de l’éditeur compris.
• Le déchiffrement est-il lié au comité, ou à un compte système ?
• Que deviennent les clés d’un membre du comité remplacé ?
• Le procès-verbal d’ouverture peut-il être modifié après signature ?
• Pouvez-vous me montrer le journal d’accès d’un document d’offre ?

Dans DigiProcure

Le coffre-fort à double verrou de DigiProcure chiffre les enveloppes au dépôt, ne distribue les parts de clé qu’aux membres votants en exercice du comité et exige une confirmation par clé d’accès à l’ouverture. La garde des clés s’appuie sur un service de gestion des clés : elles n’existent jamais en un seul endroit.