← Tous les articles7 novembre 2026

Un audit qui ne peut pas changer le résultat est une cérémonie

Deux des audits électoraux les plus célébrés de l'histoire américaine récente n'ont pas pu changer un seul résultat. Ce n'est pas une caractéristique — c'est un aveu.

C'est la matinée du 8 décembre 2007, et un rapport vient d'atterrir sur le bureau de Jennifer Brunner, secrétaire d'État de l'Ohio. Neuf semaines de travail d'équipes de l'Université d'État de Pennsylvanie, de l'Université de Pennsylvanie et de WebWise Security, Inc. — des équipes à qui on a remis le véritable code source et l'équipement des systèmes de vote utilisés dans tout l'Ohio. Leur conclusion, appliquée à chaque système qu'ils ont étudié, n'est pas ambiguë.

Tous les systèmes étudiés possèdent des défaillances de sécurité critiques qui rendent leurs contrôles techniques insuffisants pour garantir une élection digne de confiance.

Pas certains. Tous. Le rapport EVEREST — Evaluation and Validation of Election-Related Equipment, Standards and Testing — a documenté des défaillances partagées : des attaques internes que le logiciel ne pouvait pas arrêter, une cryptographie mal appliquée, des journaux d'audit qui pouvaient être falsifiés ou effacés par les mêmes personnes qu'ils étaient censés surveiller. Dans le cas du système ES&S, le rapport a noté qu'il n'avait jamais auparavant reçu d'examen détaillé du code source et d'évaluation de sécurité d'équipe rouge.

Les élections de l'Ohio fonctionnaient sur ces machines. Et les audits censés détecter les problèmes avec ces machines ? Dans tous les comtés de l'État, ils n'étaient pas contraignants. Le décompte s'est maintenu quels que soient les résultats.

C'est l'écart dont parle ce post.

Ce que « audit non contraignant » signifie réellement

Un audit qui ne peut pas changer le résultat n'est pas une protection. C'est une cérémonie.

Le mot « audit » porte un poids énorme. Il implique un examen minutieux, la responsabilité, la possibilité de correction. On l'utilise en finance parce qu'un audit échoué arrête quelque chose — il peut annuler un ensemble de comptes, déclencher une restitution, mettre fin à une carrière. Quand les responsables électoraux disent « nous avons mené un audit post-électoral », la plupart des gens supposent qu'ils signifient la même chose. Généralement, ce n'est pas le cas.

Un audit non contraignant est une observation du décompte sans crocs. Il peut découvrir une discordance. Il déposera un rapport. Le résultat certifié reste certifié.

Dans la plupart des juridictions américaines — et de nombreuses démocraties dans le monde — il n'y a pas de seuil automatique et prédéfini auquel une discordance d'audit déclenche une correction, encore moins une réélection. Le résultat va dans un document. Le document reste dans un fichier. Le vainqueur est inauguré.

Ce n'est pas un problème hypothétique. L'examen EVEREST de l'Ohio — une analyse de sécurité indépendante au niveau du code source, antagoniste — a trouvé des défaillances critiques dans chaque système qu'il a examiné. Il a été publié au public selon la Loi sur les documents publics de l'Ohio. L'Ohio a continué à utiliser ces systèmes. Le rapport final d'EVEREST rend clair que l'audit digne de confiance lui-même était compromis, avec des journaux « généralement falsifiables ou effaçables par les personnes qu'ils étaient censés surveiller ». Un audit basé sur des journaux falsifiables n'est pas un audit. C'est du papier administratif.

Nous suivons cette catégorie d'écart structurel dans les juridictions ici — /gaps/non-binding-audit.

Les deux audits qui valent la peine d'être étudiés côte à côte

Si vous voulez comprendre ce qu'un véritable audit fait différemment, commencez par deux exemples américains qui valent vraiment la peine d'être examinés — non pas parce qu'ils prouvent que les élections sont volées, mais parce qu'ils illustrent précisément ce que le mot « audit » peut signifier quand il a des crocs, et ce qu'il ne peut toujours pas prouver seul.

Colorado, 2017. Suite à son élection de novembre, le Colorado est devenu le premier État américain à compléter un audit limitant les risques au niveau de l'État (RLA). La conception est mathématiquement spécifique : plutôt que de vérifier un pourcentage fixe de bulletins, un RLA dimensionne son échantillon selon la proximité de la course. Une course décidée par un pour cent nécessite beaucoup plus de bulletins vérifiés manuellement pour atteindre la confiance statistique qu'une décidée par vingt. Le Colorado a commencé avec une limite de risque de neuf pour cent et l'a ensuite resserrée à trois pour cent, ce qui signifie qu'il y avait au maximum trois pour cent de chance que l'audit certifie un mauvais vainqueur. Le secrétaire d'État du Colorado a annoncé l'achèvement le 22 novembre 2017. Ce n'était pas un recomptage. C'était un test statistique avec un niveau de confiance défini, basé sur des bulletins papier vérifiés manuellement.

Géorgie, 2020. Quand la marge présidentielle en Géorgie s'est établie à environ 11 000 votes sur près de cinq millions de votes exprimés, le premier RLA à l'échelle de l'État en Géorgie a dû devenir quelque chose de plus important. Parce que la marge était si serré, les exigences statistiques signifiaient auditer essentiellement chaque bulletin. Donc la Géorgie a fait exactement cela : 159 comtés, 41 881 lots, environ cinq millions de bulletins présidentiels totalisés manuellement par des yeux humains en moins de six jours. Le résultat différait du total de la machine d'environ un dixième de un pour cent — bien dans la plage de variabilité du comptage humain. Georgia Public Broadcasting a rapporté la confirmation le 19 novembre 2020.

Ces deux éléments sont, par n'importe quelle mesure, plus sérieux qu'un sondage ponctuel. La question qui vaut la peine de se poser est ce qu'ils ne peuvent toujours pas faire — et ce qui se passe dans les dizaines d'États qui ne font ni l'un ni l'autre.

L'écart entre « nous avons vérifié » et « vous pouvez vérifier »

Voici ce que les audits du Colorado et de la Géorgie partagent avec tous les autres audits post-électoraux : ils sont menés par les mêmes responsables qui ont géré l'élection. Les observateurs extérieurs peuvent regarder. Les candidats peuvent envoyer des représentants. Mais l'acte fondamental — retirer les bulletins, effectuer le décompte, signaler les totaux — se produit à l'intérieur d'un processus gouvernemental, contrôlé par des employés du gouvernement, documenté par les dossiers gouvernementaux.

Ce n'est pas une conspiration. C'est une observation structurelle de la manière dont la confiance circule.

La Cour constitutionnelle fédérale allemande l'a dit clairement en 2009 quand elle a jugé que les machines de vote électronique ne satisfaisaient pas à la norme de légitimité démocratique : les étapes essentielles du vote et de la détermination des résultats doivent être examinables par le citoyen sans connaissance spécialisée. La décision de la Bundesverfassungsgericht dans les affaires 2 BvC 3/07 et 2 BvC 4/07 concerne les ordinateurs — mais sa logique s'étend directement aux audits. Un processus que vous ne pouvez pas vérifier indépendamment n'est pas un processus vérifiable, quel qu'il soit appelé.

Les Pays-Bas sont arrivés à un endroit similaire en 2007, quand la commission consultatif du gouvernement a publié Stemmen met vertrouwen (« Voter en confiance ») et a conclu que la transparence et la vérifiabilité — controleerbaarheid — étaient des fondations non négociables d'une élection digne de confiance. La réponse de la commission n'était pas de meilleures machines ou de meilleurs audits par les responsables ; c'était un dossier papier lisible par l'homme que tout observateur pouvait confirmer. Les Pays-Bas ont entièrement abandonné leurs ordinateurs de vote. La Kiesraad détient le rapport complet.

Un audit mené par les responsables, confirmé par les responsables, rapporté aux responsables et déposé dans les dossiers officiels est mieux que rien. Ce n'est pas la même chose que la vérifiabilité indépendante.

Ce que « confirmé » laisse ouvert

Revenons à la Géorgie 2020 un moment, car c'est le cas le plus fort pour les audits par comptage manuel — et même cela porte une mise en garde qui vaut la peine d'être nommée.

Une variation d'un dixième de un pour cent entre le décompte de la machine et le décompte manuel sur cinq millions de bulletins semble être du bruit. C'est probablement le cas. Mais un dixième de un pour cent de cinq millions fait cinq mille votes. La marge gagnante était d'environ onze mille. Cela signifie que la variation entre les deux méthodes était environ la moitié de la marge de victoire — dans une course où le perdant a demandé un recomptage et le résultat a été amèrement contesté au niveau national.

« Le décompte manuel a confirmé le décompte de la machine » et « le décompte manuel était identique au décompte de la machine » sont des affirmations différentes. Le décompte manuel de la Géorgie a confirmé le résultat — le même candidat a gagné par une marge assez grande pour survivre à la variation. C'est exactement ce qu'un RLA est conçu pour faire : confirmer le gagnant avec une confiance statistique, non atteindre une précision d'erreur zéro. Le RLA du Colorado fait la même chose.

Mais maintenant, réduisons le problème. Comté d'Antrim, Michigan, 2020 : un petit comté où une erreur humaine a produit des résultats non officiels manifestement faux. Une fois corrigés et vérifiés manuellement, le décompte final manuel différait du total tabulation de la machine d'environ une douzaine de votes sur environ 15 700 votes exprimés. Douze votes. Dans une course décidée par une poignée de votes, un décompte manuel qui est lui-même décalé de douze votes n'est pas une preuve d'exactitude. C'est une mesure avec une marge d'erreur — et la marge d'erreur doit être plus petite que la marge de victoire avant qu'une méthode puisse « confirmer » quelque chose.

La leçon honnête n'est pas que les décomptes manuels sont peu fiables ou que quoi que ce soit est frauduleux. La leçon honnête est que même l'étalon-or des recomptages manuels porte une erreur humaine irréductible — et l'erreur sans vérification systématique et indépendante n'est que l'erreur que nous avons acceptée.

Un audit non contraignant d'un système sans papier ne peut même pas atteindre ce niveau d'incertitude honnête. Ce n'est simplement que compter des électrons et déposer un rapport.

L'audit qui a réellement changé quelque chose — parce qu'il était antagoniste

L'examen EVEREST de l'Ohio a changé quelque chose. Non pas parce qu'il était contraignant sur les résultats — ce ne l'était pas — mais parce qu'il était véritablement indépendant et antagoniste, avec accès au véritable code source et à l'équipement, mené par des chercheurs qui n'avaient aucun intérêt à défendre le système existant.

La Californie a fait quelque chose de similaire en 2007. La secrétaire d'État Debra Bowen a commandé un examen complet par des informaticiens de l'Université de Californie à qui on a donné le code source pour les systèmes de vote certifiés dans l'État. Le rapport Diebold a constaté que les contrôles technologiques « ne fournissaient pas une sécurité suffisante pour garantir une élection digne de confiance » et a identifié des vulnérabilités aux virus qui pourraient se propager entre les machines. Le rapport Sequoia a trouvé « des faiblesses de sécurité importantes dans tout le système ». Le rapport Hart InterCivic a trouvé des composants qui « se font largement confiance les uns aux autres » avec des interfaces réseau non sécurisées.

Ces résultats ont produit des conditions exécutoires — des exigences de sécurité renforcées annoncées le 3 août 2007 — parce que les examens étaient indépendants, les résultats étaient publiés, et la secrétaire d'État devait répondre publiquement à ce que l'examen public avait produit.

C'est structurellement différent d'une autorité électorale examinant son propre décompte et le déclarant confirmé. Et cela pointe directement vers le modèle qui fonctionne : pas les audits par les initiés, mais l'inspectabilité par les externes — cryptographique, public, lisible par machine, et en continu.

Le Brésil mène un test de sécurité public antagoniste formel avant chaque élection générale, invitant tout chercheur qualifié à essayer de casser l'urna eletrônica, avec les résultats utilisés pour améliorer le système avant qu'il ne soit déployé. Le programme du Tribunal Superior Eleitoral est la version institutionnelle de ce que l'Ohio et la Californie ont commandé comme des examens ponctuels — sauf qu'il est habituel, attendu, et intégré au cycle électoral.

La question de conception que les audits ne peuvent pas répondre

Voici ce qu'aucun audit post-électoral, contraignant ou non, ne peut répondre : Le bulletin que j'ai marqué est-il le bulletin qui a été compté ?

Dans Curling v. Raffensperger, jugée le 11 octobre 2020, la Cour de district américaine du District nord de la Géorgie a enregistré un témoignage d'experts sur les appareils de marquage de bulletins Dominion de la Géorgie qui rend cela vivant. La cour a constaté que le système « ne fournit pas un enregistrement de bulletin vérifiable et auditable parce qu'il repose sur le code QR pour la tabulation des votes et ce code lui-même ne peut pas être lu et vérifié par l'électeur ». L'opinion de la cour a également cité la conclusion des Académies nationales selon laquelle aucun mécanisme technique n'existe actuellement pour assurer qu'une application de comptage des votes produit des résultats précis et que les tests seuls ne peuvent pas assurer que les systèmes n'ont pas été compromis.

Un recomptage manuel en Géorgie en 2020 a compté le texte imprimé sur ces feuilles de sortie des appareils de marquage de bulletins. Mais les machines ont tabulé à partir des codes QR. Si une machine imprimait du texte disant « Candidat A » tout en codant un vote pour « Candidat B » dans le code-barres — un scénario que la cour traitait comme théoriquement réalisable — un recomptage manuel du texte lisible par l'humain confirmerait la manipulation, ne la détecterait pas.

Ce n'est pas une allégation que cela s'est produit. C'est une description d'un problème architectural que aucun audit post-électoral ne peut entièrement résoudre si l'artefact audité n'est pas identique à l'artefact qui a été tabulé. L'audit judiciaire de Windham, New Hampshire en 2021 a illustré l'inverse : les scanners ont mal lu les bulletins pliés parce qu'un pli au mauvais endroit ressemblait à un ovale marqué pour le capteur. Le rapport d'audit judiciaire de la SB 43 n'a trouvé aucune fraude, aucun logiciel malveillant — juste de la physique. Et l'erreur n'était découvrable que parce que du papier durable existait et qu'un décompte manuel pouvait récupérer l'intention de l'électeur. Sans papier, il n'y avait rien à récupérer.

Un système qui tabule à partir d'un code que l'électeur ne peut pas lire, vérifié par un processus que l'électeur ne peut pas reproduire, confirmé par des responsables en qui l'électeur doit faire confiance — ce n'est pas une élection vérifiable. C'est une performance de vérification.

Ce qu'un véritable audit exigerait

Un audit contraignant est celui qui peut changer le résultat. Cela signifie, avant le début de l'élection, définir dans la loi : quel seuil de discordance déclenche un recomptage manuel ; quel seuil de recomptage manuel déclenche une enquête ; quelle constatation d'enquête déclenche une élection nouvelle. Pas « nous enquêterons dessus ». Un chemin d'escalade automatique, spécifique et préalablement engagé.

Un audit significatif exige également :

Un artefact digne de confiance à auditer — un enregistrement papier vérifié par l'électeur que l'électeur a physiquement confirmé, pas un code-barres qu'il ne peut pas lire, produit par une machine qu'il ne peut pas inspecter.

L'indépendance des responsables audités — pas les observateurs qui peuvent regarder, mais les auditeurs qui peuvent exiger l'accès, exécuter leurs propres décomptes et publier leurs propres résultats.

Des résultats publics, lisibles par machine au niveau du bureau de vote — afin que tout citoyen avec une feuille de calcul puisse reproduire les totaux en haut de page lui-même, sans avoir besoin d'un intermédiaire gouvernemental pour lui dire que le décompte était correct.

Et, finalement, la vérifiabilité cryptographique de bout en bout — le type de système où un électeur peut vérifier, en utilisant uniquement les données publiques, que son bulletin était inclus dans le total final sans apprendre le vote de quelqu'un d'autre. L'échec iVote de la Suisse en 2019 — où les chercheurs Sarah Jamie Lewis, Olivier Pereira et Vanessa Teague ont découvert une trappe cryptographique qui pouvait faire que les votes altérés produisent une preuve de vérification réussie — montre à quel point c'est difficile à bien faire. Mais cela montre aussi exactement pourquoi l'inspectabilité du code source par des cryptographes indépendants est la seule façon de savoir si la revendication de vérifiabilité est réelle.

Un audit qui ne peut pas changer le résultat est une cérémonie. C'est peut-être une cérémonie bien intentionnée, menée par des responsables honnêtes qui n'ont rien à cacher. Cela ne la rend pas une vérification. La vérification est ce qui se produit quand la réponse semblerait différente si le décompte était faux — et quand n'importe qui peut faire le contrôle, pas seulement les personnes qui ont certifié le résultat.

Ce qui n'est toujours pas vérifiable — et ce qui le rendrait vérifiable

Dans la plupart des juridictions américaines aujourd'hui, voici ce qu'un membre indépendant du public ne peut pas faire :

Confirmer que le bulletin qu'il a marqué correspond à ce qui a été tabulé, sans faire confiance à la machine.
Reproduire le total au niveau du comté à partir de données lisibles par machine au niveau du bureau de vote le soir même où les résultats sont publiés.
Vérifier que l'échantillon d'audit a été tiré au hasard et non sélectionné.
Savoir, avant l'élection, quel niveau de discordance déclenche automatiquement une correction contraignante.

Ce qui rendrait chacun de ces éléments vérifiable : des dossiers papier vérifiés par l'électeur avec des marques lisibles par l'homme ; une publication instantanée, au niveau du bureau de vote, de résultats lisibles par machine ; une sélection d'échantillon d'audit vérifiable cryptographiquement ; et des seuils d'escalade statutaires écrites dans la loi avant que tout élection ne commence — pas négociées après un résultat surprenant.

Le RLA du Colorado est une étape vers le deuxième et le quatrième. Le décompte manuel de 2020 de la Géorgie est une étape vers le deuxième. Aucun n'est une vérification complète. Aucun n'est une cérémonie. L'écart entre eux et les États qui ne font ni l'un ni l'autre est documenté dans notre suivi des écarts.

L'objectif n'est pas de se méfier de tous les responsables électoraux. C'est de construire des systèmes où leur honnêteté est sans importance pour la question — parce que la réponse est vérifiable par n'importe qui.

Explorez comment cet écart apparaît dans les juridictions →

Voir le paysage complet des écarts en matière d'intégrité électorale →

Résumé de deux minutes →

Sources

Voir tous les articles Explorer les lacunes