Identité numérique : qui signe vraiment dans votre entreprise ?

La circulaire est passée sous les radars. Le 18 septembre, le ministère de l'Agriculture a demandé à toutes ses structures sous tutelle de basculer leurs plateformes sur l'identité numérique e-Houwiya avant le 15 novembre 2026. Un ministère parmi d'autres, direz-vous. C'est le troisième signal en six mois.

Juillet, septembre, novembre

Depuis le 1er juillet 2026, les services du Registre national des entreprises fonctionnent exclusivement en ligne, et il faut un identifiant numérique pour s'y connecter : DigiGo lorsque c'est la personne morale qui agit, e-Houwiya lorsque c'est une personne physique. Pas de guichet de repli. Pas de dossier papier déposé par le coursier du cabinet comptable. Vous avez l'identifiant, ou vous n'avez pas le service.

Puis l'Agriculture, avec une circulaire du secrétaire général qui impose l'authentification multifacteur et le raccordement à l'Identifiant unique du citoyen, portails web et application Khadamat compris. Le ministère s'appuie sur un pilote mené sur les autorisations du domaine public hydraulique et sur un guide technique rédigé avec TunTrust et le ministère des Technologies de la communication. Retenez ce détail plus que le reste : il existe maintenant un mode d'emploi que les autres administrations peuvent recopier.

Elles le recopieront.

Le certificat coûte presque rien, et ce n'est pas le sujet

Un certificat de signature mobile DigiGo tourne autour d'une cinquantaine de dinars hors taxe pour deux ans selon la grille publiée par TunTrust, et les certificats sur support matériel montent à plusieurs centaines. Pour une PME qui paie sa connexion internet dix fois ce montant dans l'année, l'obstacle budgétaire n'existe pas. Le blocage est ailleurs.

Il tient à la nature même de la signature électronique : elle est nominative. Un certificat identifie une personne, pas une fonction, et encore moins « la direction ». Quand une déclaration part signée avec le certificat du gérant, c'est le gérant qui l'a signée. Juridiquement, il n'y a rien à discuter — c'est précisément ce que la non-répudiation veut dire.

Le téléphone de signature dans le tiroir de la comptable

Vous savez comment ça se passe. Dans une société de négoce du Sahel, le téléphone de signature — un vieil appareil gris, chargeur scotché à la prise, jamais sorti du bureau — dort dans le tiroir de la comptable, avec le code inscrit au dos d'une carte de visite. Tout le monde trouve ça pratique. Le gérant voyage, les déclarations partent, personne ne rate une échéance.

Notre position est nette : c'est une faute de gestion, pas un arrangement malin. Un certificat prêté, c'est votre responsabilité personnelle qui circule dans le bureau d'à côté, et le jour où une déclaration sociale ou une inscription au RNE est contestée, vous n'aurez aucun moyen de démontrer que ce n'est pas vous qui avez cliqué. Vous ne pourrez même pas plaider l'erreur d'un collaborateur : au regard du système, ce collaborateur n'existe pas.

L'autre risque est plus bête et plus fréquent. Le gérant part en déplacement, tombe malade, se dispute avec son associé, et l'entreprise entière s'arrête parce qu'une seule personne détient la clé d'accès à l'administration. Combien de sociétés tunisiennes tiennent aujourd'hui leur conformité sur un seul numéro de téléphone ?

Ce que votre système de gestion doit pouvoir répondre

Quatre questions, et elles ne sont pas théoriques. Qui a préparé l'acte ? Qui l'a validé en interne ? Qui l'a signé auprès de l'administration ? À quelle date, avec quel accusé de réception ?

La plupart des PME savent répondre à la troisième. Rarement aux trois autres. Or c'est l'écart entre les deux qui fait la différence entre un dossier défendable et une parole contre une autre. Une délégation de signature interne, datée, avec une date de début et surtout une date de fin, vaut mieux qu'un mot de passe partagé et un accord tacite. Elle se range dans un classeur, elle s'oppose à un tiers, elle se retire le jour où la personne quitte l'entreprise.

Côté outil, la règle est simple : séparer la préparation de la validation, horodater chaque acte, conserver l'accusé avec la pièce plutôt que dans une boîte mail. C'est la raison pour laquelle nous avons fait des habilitations et de la traçabilité une brique de base d'Axiom, et pas un module qu'on active plus tard. Un ERP qui ne sait pas dire qui a fait quoi ne vous sert à rien le jour du contrôle.

Ce qu'il reste à faire d'ici janvier

Vous avez une fenêtre courte, et elle se referme au rythme des circulaires ministérielles. Quatre chantiers concrets :

• Commander au moins deux certificats nominatifs, pas un seul : le dirigeant et une deuxième personne de confiance, pour que l'entreprise ne s'arrête jamais.
• Écrire noir sur blanc qui est habilité à signer quoi, avec des montants et des types d'actes, et faire signer ce document par les intéressés.
• Récupérer les certificats prêtés, révoquer ceux dont vous avez perdu la trace, changer les codes.
• Vérifier que vos accusés de dépôt RNE, fiscaux et sociaux sont archivés dans votre système de gestion, rattachés au dossier concerné.

Commencez par le premier point cette semaine. Un seul certificat dans une entreprise, c'est un point de rupture ; deux certificats avec une délégation écrite, c'est une organisation. Le reste peut attendre novembre, mais pas au-delà : quand une administration ferme son guichet papier, elle ne le rouvre jamais.