Lorsque votre organisation achète un service Peppol, par appel d’offres ou par une consultation de plusieurs fournisseurs, la qualité de la consultation détermine en grande partie la qualité du service dont vous bénéficierez ensuite pendant des années. Un fournisseur de services assure la liaison entre votre système financier et le réseau Peppol : l’envoi et la réception des factures électroniques, l’enregistrement de votre organisation sur le réseau et souvent aussi la validation et l’archivage. Comme il s’agit d’un maillon critique de votre flux de facturation, il vaut la peine de formuler précisément vos attentes à l’avance.
Cette page propose un cadre d’exigences en huit catégories. Pour chaque catégorie, vous découvrez pourquoi l’exigence est importante et quelles questions concrètes vous pouvez inclure dans la consultation. En bas de page, vous trouverez l’ensemble résumé sous forme de liste de contrôle à copier. Ce cadre est utilisable quel que soit le pays dans lequel votre organisation est établie ; les règles et procédures nationales de marchés publics sortent du champ de cette page. La voie par laquelle les organismes publics reçoivent les factures électroniques varie toutefois selon le pays : aux Pays-Bas, en Belgique et au Luxembourg notamment via Peppol, en Allemagne avec XRechnung via les portails de l’administration fédérale, en France via Chorus Pro. Voir Facturation électronique dans le secteur public.
Vous voulez d’abord savoir ce que fait exactement un fournisseur de services ? Lisez alors Qu’est-ce qu’un fournisseur de services Peppol.
1. Certification
Pourquoi c’est une exigence. Seules les entités ayant conclu un accord avec OpenPeppol, par l’intermédiaire d’une autorité Peppol, peuvent échanger des messages sur le réseau en tant que fournisseur de services. Cette adhésion s’accompagne de tests techniques et d’engagements en matière de sécurité et de niveau de service. Un fournisseur qui n’est pas lui-même certifié peut fournir le service via une entité certifiée, mais vous voulez alors savoir de quelle entité il s’agit et qui est responsable de quoi. Pour en savoir plus sur le rôle de l’autorité, lisez Qu’est-ce qu’une autorité Peppol.
Questions pour la consultation :
- Le fournisseur est-il lui-même un fournisseur de services Peppol certifié par OpenPeppol ? Si non : par quel sous-traitant certifié le service est-il fourni, et comment la répartition des responsabilités est-elle fixée contractuellement ?
- À quelle autorité Peppol le fournisseur est-il rattaché ?
- Pour quel rôle le fournisseur est-il certifié : le rôle de point d’accès Peppol (envoi et réception), le rôle SMP (enregistrement), ou les deux ?
- Comment le fournisseur démontre-t-il que sa certification reste valable pendant toute la durée du contrat ?
- Comment êtes-vous informé si la certification est suspendue ou retirée ?
2. Types de documents pris en charge
Pourquoi c’est une exigence. Peppol ne se limite pas à la facture. Le réseau prend en charge plusieurs types de documents, chacun avec sa propre spécification. Pour la facturation électronique, Peppol BIS Billing 3.0 est la spécification courante : une CIUS de la norme européenne EN 16931. Il existe en outre des déclinaisons nationales. Si votre organisation souhaite à terme échanger aussi des commandes ou des catalogues par voie électronique, il est judicieux de l’intégrer d’emblée dans la consultation.
Questions pour la consultation :
- Le service prend-il en charge l’envoi et la réception de factures électroniques et d’avoirs conformes à Peppol BIS Billing 3.0 ?
- Quelles variantes nationales de CIUS ou extensions sont prises en charge ?
- D’autres types de documents Peppol sont-ils pris en charge, comme les commandes, les confirmations de commande, les avis d’expédition, les catalogues ou l’Invoice Response ?
- Comment le fournisseur gère-t-il les nouvelles versions des spécifications, et les mises à jour sont-elles appliquées sans surcoût ?
- Le service peut-il aussi livrer les documents reçus dans le format attendu par votre propre système financier (conversion) ?
3. Gestion SMP et clause de sortie
Pourquoi c’est une exigence. Pour pouvoir recevoir des messages, votre organisation doit être enregistrée avec un identifiant Peppol dans un Service Metadata Publisher (SMP). Cet enregistrement indique aux expéditeurs par quel fournisseur de services et pour quels types de documents vous êtes joignable. L’entité qui gère l’enregistrement SMP détient ainsi de fait la clé de votre joignabilité. Une bonne clause de sortie est la principale garantie contre la dépendance vis-à-vis du fournisseur (vendor lock-in).
Questions pour la consultation :
- Qui gère l’enregistrement SMP de vos identifiants Peppol, et quels identifiants Peppol et schémas sont enregistrés ?
- L’identifiant Peppol reste-t-il de manière démontrable la propriété de votre organisation ?
- Comment se déroule le transfert de l’enregistrement SMP vers un autre fournisseur de services à la fin du contrat : quelles étapes, quel délai et quelle coopération ?
- Comment évite-t-on que des messages soient perdus ou livrés en double pendant la transition ?
- Dans quel format et dans quel délai récupérez-vous l’ensemble de vos documents et métadonnées à la fin du contrat ?
- La sortie entraîne-t-elle des coûts, et ceux-ci sont-ils fixés à l’avance ?
- Sous quel numéro d’identification êtes-vous enregistré ? Les organismes publics néerlandais sont enregistrés sous leur OIN (l’identifiant néerlandais des organismes publics).
- Aux Pays-Bas, l’ancien fournisseur de services doit transférer ou clôturer l’enregistrement dans un délai de trois jours ouvrables : le fournisseur s’y engage-t-il contractuellement ?
4. Validation
Pourquoi c’est une exigence. Une facture électronique qui arrive techniquement n’est pas pour autant correcte sur le fond. La validation au regard des règles applicables évite que des factures erronées n’entrent dans votre processus de traitement ou que vos propres factures soient rejetées par le destinataire. Ce qui se passe lorsqu’un document échoue à la validation est tout aussi important.
Questions pour la consultation :
- Les documents sortants et entrants sont-ils validés, et selon quels ensembles de règles ?
- Qu’advient-il d’un document refusé : bloqué, transmis avec un avertissement, ou signalé à l’expéditeur ?
- Comment et par quel canal êtes-vous informé des documents refusés, et le message d’erreur est-il compréhensible ?
- Le service prend-il en charge l’Invoice Response ou des messages de statut comparables ?
- Dans quel délai les règles de validation modifiées sont-elles appliquées ?
5. SLA (Service Level Agreement)
Pourquoi c’est une exigence. Les factures sont directement liées aux délais de paiement et à la relation avec vos fournisseurs. Une panne chez votre fournisseur de services peut signifier que des factures n’arrivent pas ou ne sont pas envoyées. Un SLA rend vérifiables les engagements en matière de disponibilité et d’assistance.
Questions pour la consultation :
- Quelle disponibilité le fournisseur garantit-il, et comment est-elle mesurée et rapportée ?
- Quels sont les délais de réponse et de résolution par niveau de priorité d’un incident ?
- À quelles heures et par quels canaux l’assistance est-elle disponible, et dans quelles langues ?
- À quoi ressemble la procédure d’escalade, et qui est votre interlocuteur attitré ?
- Comment et combien de temps à l’avance la maintenance planifiée est-elle annoncée ?
- Quelles sont les conséquences du non-respect du SLA ?
- Existe-t-il un plan de continuité d’activité testé périodiquement ?
6. Archivage
Pourquoi c’est une exigence. Les organismes publics sont souvent soumis à des obligations de conservation à la fois fiscales et archivistiques. Il est important de fixer à l’avance si le fournisseur de services conserve les documents reçus et envoyés, pendant combien de temps, et qui est responsable de leur consultabilité pendant la durée de conservation applicable.
Questions pour la consultation :
- Le fournisseur conserve-t-il les documents envoyés et reçus, XML original compris ? Si oui, pendant combien de temps ?
- La durée de conservation peut-elle être alignée sur l’obligation de conservation applicable à votre organisation ?
- Comment l’intégrité et l’inaltérabilité des documents archivés sont-elles garanties ?
- Comment pouvez-vous rechercher, consulter et exporter les documents archivés, y compris après la fin du contrat ?
- Comment et quand les documents sont-ils supprimés à l’expiration de la durée de conservation ?
- Qui est responsable de l’archivage : le fournisseur, votre organisation, ou une responsabilité partagée ?
7. API et connexions
Pourquoi c’est une exigence. La valeur de la facturation électronique réside dans le traitement automatique. Cela suppose une connexion fiable entre le service Peppol et votre système financier ou ERP. La qualité et la documentation de l’API déterminent l’effort que demande la mise en œuvre.
Questions pour la consultation :
- Quelles possibilités de connexion le service propose-t-il (API REST, connecteurs standard, échange de fichiers) ?
- La documentation de l’API est-elle publique ou consultable à l’avance ?
- Existe-t-il une sandbox dans laquelle vous pouvez tester la connexion sans données de production ?
- Le service prend-il en charge les webhooks pour les changements de statut ?
- Comment êtes-vous informé des modifications de l’API, et combien de temps les anciennes versions restent-elles prises en charge ?
- Quelle assistance le fournisseur propose-t-il pendant la mise en œuvre ?
8. Sécurité de l'information et localisation des données
Pourquoi c’est une exigence. Les factures contiennent des données d’entreprise et parfois des données personnelles. Les organismes publics appliquent souvent leur propre politique de sécurité et des exigences quant à la juridiction dans laquelle les données sont stockées. Ces exigences s’appliquent également à votre fournisseur de services et à ses éventuels sous-traitants.
Questions pour la consultation :
- Comment les données sont-elles chiffrées pendant le transport et au repos ?
- Comment la gestion des accès est-elle organisée ?
- Dans quelle région et sous quelle juridiction les données sont-elles stockées et traitées ?
- Quels sous-traitants interviennent, et comment êtes-vous informé des changements en la matière ?
- De quelles certifications ou audits démontrables le fournisseur dispose-t-il ?
- Le fournisseur est-il disposé à conclure un accord de traitement des données (au sens de l’article 28 du RGPD) ?
- Comment et dans quel délai les incidents de sécurité sont-ils notifiés ?
- Votre organisation peut-elle réaliser des audits ou consulter des rapports d’audit ?
- Le fournisseur dispose-t-il de la certification ISO 27001 ou d’une attestation équivalente ? Aux Pays-Bas, l’autorité Peppol l’exige des fournisseurs de services.
Ce que cela signifie pour vous
En achetant un service Peppol, votre organisation n’achète pas un simple logiciel, mais un maillon de votre processus financier central et de votre joignabilité pour vos fournisseurs. Ces exigences sont difficiles à rattraper après coup.
Liste de contrôle à copier pour votre consultation. Reprenez ces points tels quels dans votre consultation :
- Certification : le fournisseur est un fournisseur de services Peppol certifié par OpenPeppol (ou travaille via un sous-traitant certifié), avec mention de l’autorité Peppol, du ou des rôles certifiés et d’une validité démontrable pendant toute la durée du contrat
- Types de documents : envoi et réception conformes à Peppol BIS Billing 3.0, aux variantes nationales de CIUS pertinentes et, le cas échéant, commandes, catalogues et messages de statut
- Gestion SMP et sortie : l’identifiant Peppol reste la propriété de l’organisation ; transfert avec étapes, délai, coûts et restitution des documents fixés à l’avance ; enregistrement sous le bon numéro d’identification (pour les organismes publics néerlandais, l’OIN) ; aux Pays-Bas, transfert dans un délai de trois jours ouvrables
- Validation : les documents sortants et entrants sont validés au regard de la norme EN 16931, de Peppol BIS et de la CIUS applicable ; les documents refusés sont traités de manière démontrable
- SLA : disponibilité garantie et rapportée, délais de réponse et de résolution, canaux d’assistance, procédure d’escalade
- Archivage : conservation incluant le XML original, durée de conservation alignée sur l’obligation applicable, garanties d’intégrité et export
- API et connexions : API documentée, sandbox, webhooks ou notifications de statut, politique de versions et assistance à la mise en œuvre
- Sécurité de l’information et localisation des données : chiffrement, gestion des accès, stockage dans la juridiction requise, sous-traitants ultérieurs, certifications, accord de traitement des données et notification des incidents, ISO 27001 ou attestation équivalente
Trouvez des fournisseurs adaptés dans le comparateur et soumettez-leur cette liste de contrôle.
Pour conclure
Une bonne consultation pour un service Peppol ne se limite pas à savoir si un fournisseur peut envoyer des factures. La certification, la propriété de votre enregistrement, une clause de sortie réaliste, la validation, les engagements de niveau de service, l’archivage, les possibilités de connexion et la sécurité de l’information déterminent ensemble si le service restera fiable pendant des années et si vous pourrez changer de fournisseur sans difficulté par la suite.
Pour le contexte plus large de la facturation électronique dans le secteur public, lisez Facturation électronique dans le secteur public. Dans le comparateur de Peppol.now, vous trouverez des fournisseurs adaptés à votre situation ; vous leur soumettez ensuite la liste de contrôle.
