← Tous les articles

Chaîne de contrôle : le paperasserie ennuyeuse qui décide si vous pouvez faire confiance à une élection

Une élection a été annulée dans un pays entier — non parce que quelqu'un a triché, mais parce que personne ne pouvait prouver qu'il n'avait pas triché. Voici le paperasserie qui fait la différence.

Il est juste avant 9 heures du matin le 23 mai 2016, et dans un bureau de circonscription électorale quelque part en Autriche, un membre du conseil électoral fait quelque chose qui est strictement interdit par la loi.

Les bulletins de vote par correspondance sont arrivés. Les enveloppes extérieures scellées — chacune une petite forteresse de papier autour du vote d'un citoyen — sont posées sur une table. La loi dit que ces enveloppes ne peuvent pas être touchées avant le jour après l'élection. Elle dit que les seules personnes autorisées à les ouvrir sont l'autorité électorale de la circonscription. Elle dit que des témoins doivent être présents. Elle dit qu'un registre doit être tenu.

Rien de cela ne s'est produit.

Le membre du conseil ouvre quand même les enveloppes. Peut-être y a-t-il une pression pour accélérer le dépouillement. Peut-être que cela semble être un raccourci banal. Peut-être que personne ne s'attend à ce que cela ait de l'importance.

Six semaines plus tard, la Cour constitutionnelle autrichienne annule l'intégralité du second tour de l'élection présidentielle.

Ce qu'une chaîne de contrôle est vraiment

Avant d'en arriver aux tribunaux et aux conséquences, soyons précis sur ce dont nous parlons — car « chaîne de contrôle » sonne comme du jargon juridique mais est en réalité quelque chose de beaucoup plus simple.

Une chaîne de contrôle est l'enregistrement documenté de qui a touché à quelque chose, quand, sous quelle autorité, et avec quels témoins. C'est ce qui rend une pièce de preuve physique utilisable devant un tribunal. C'est ce qui rend un échantillon de sang digne de confiance dans un procès. C'est ce qui rend un bulletin de vote, après avoir passé par une douzaine de mains sur plusieurs jours, toujours prouvablement le même bulletin qu'un citoyen a mis dans une urne.

Sans cela, vous ne pouvez pas distinguer « rien ne s'est passé » de « quelque chose s'est passé et personne ne l'a attrapé ».

Cette distinction est tout. Et c'est exactement ce que la Cour constitutionnelle autrichienne jugeait.

Autriche 2016 : la chaîne de contrôle se rompt, et le résultat se rompt avec elle

Le second tour de l'élection présidentielle autrichienne du 22 mai 2016 était extraordinairement serré. Alexander Van der Bellen a vaincu Norbert Hofer par environ 30 000 voix — une marge inférieure à un point de pourcentage dans une élection nationale.

Les bulletins de vote par correspondance étaient centraux. Des centaines de milliers d'Autrichiens ont voté par courrier. La loi autrichienne était spécifique sur la façon dont ces bulletins devaient être traités : les enveloppes extérieures ne pouvaient pas être ouvertes avant 9 heures du matin le jour après l'élection, uniquement par l'autorité électorale de la circonscription, uniquement avec les membres du conseil requis présents, uniquement avec des témoins.

La Cour constitutionnelle, examinant les contestations du résultat, a trouvé dans sa décision W I 6/2016-125 que dans plusieurs circonscriptions, ces règles avaient été violées. Les votes ont été dépouillés prématurément. Des personnes non autorisées avaient manipulé les enveloppes. Les témoins requis étaient absents. Il n'y avait pas de registre approprié.

Environ 77 000 votes ont été affectés par des violations de procédure prouvées — plus du double de la marge gagnante.

La Cour n'a trouvé aucune preuve de fraude réelle. Laissez cela s'enfoncer un moment : l'élection a été annulée sans qu'un seul bulletin modifié soit identifié. Le problème était que la chaîne de contrôle rompue rendait impossible d'exclure que les bulletins avaient été falsifiés. La preuve d'innocence et la preuve de culpabilité nécessitent la même chose : un enregistrement documenté et ininterrompu de qui avait accès à quoi, et quand.

Un nouveau second tour a eu lieu le 4 décembre 2016. Le pays entier a voté à nouveau en raison des défaillances dans la tenue des dossiers dans une poignée de bureaux de circonscription.

Les deux choses qu'une chaîne de contrôle fait à la fois

Voici ce qui rend le cas autrichien si clarifiateur : la chaîne de contrôle n'a pas été rompue afin de commettre une fraude. Elle a été rompue parce que certains fonctionnaires ont traité les règles comme des formalités bureaucratiques plutôt que comme des mécanismes d'intégrité.

C'est le malentendu au cœur de la plupart des défaillances de la chaîne de contrôle.

Les règles existent pour servir deux objectifs complètement différents simultanément, et les deux sont essentiels.

Premièrement : prévenir la fraude. Si les bulletins ne peuvent être manipulés que par des personnes autorisées, à des moments autorisés, en présence de témoins, la fenêtre de falsification est étroite et observée. Il y a toujours quelqu'un dans la pièce. Il y a toujours un nom dans le registre.

Deuxièmement : prouver que la fraude n'a pas eu lieu. C'est la moitié que les gens oublient régulièrement. Après une élection, si quelqu'un conteste le résultat, la seule façon de démontrer qu'aucune falsification n'a eu lieu est de produire l'enregistrement complet et ininterrompu montrant chaque main qui a touché à chaque bulletin. Pas d'enregistrement, pas de preuve. Pas de preuve de fraude — preuve de l'absence de fraude.

Rompre la chaîne par commodité, c'est détruire la preuve qui vous aurait innocenté.

La Cour constitutionnelle autrichienne a compris cela parfaitement. Son verdict ne portait pas sur ce qui est arrivé à ces 77 000 bulletins. Son verdict portait sur le fait que ce qui leur est arrivé ne pouvait plus être établi. Cette incertitude, dans une course décidée par 30 000 voix, était légalement et démocratiquement mortelle.

Tower Hamlets 2014 : quand la chaîne se rompt pour une autre raison

L'Autriche nous montre ce qui se passe quand la chaîne de contrôle se rompt par négligence. Tower Hamlets nous montre ce qui se passe quand elle se rompt par conception.

En mai 2014, Lutfur Rahman a été élu maire exécutif de l'arrondissement londonien de Tower Hamlets. En avril 2015, une Election Court présidée par le commissaire Richard Mawrey QC a annulé cette élection dans son intégralité.

Le jugement dans Erlam & Ors v Rahman & Anor [2015] EWHC 1215 (QB) a constaté un catalogue remarquable de pratiques corrompues et illégales : usurpation d'identité, fraude au vote par correspondance, corruption, délit d'importunité, fausses déclarations, et influence spirituelle indue. Le tribunal a constaté une corruption généralisée si largement répandue qu'on pouvait raisonnablement supposer qu'elle avait affecté l'élection. Rahman a été démis de ses fonctions.

Le vote par correspondance était au cœur de tout cela. Et c'est le problème structurel que le vote par correspondance crée dans tout système sans contrôles robustes de la chaîne de contrôle.

Quand vous votez dans un bureau de vote, il y a une chaîne de contrôle intégrée dans l'environnement physique. Vous êtes seul dans un isoloir. Personne ne regarde votre main. Personne ne prend votre bulletin avant qu'il n'aille dans l'urne scellée. Personne ne le prend chez lui et ne le rapporte plus tard.

Quand vous votez par correspondance, le bulletin quitte l'environnement contrôlé. Il voyage par la poste. Il peut rester chez quelqu'un. Il peut être rempli avec d'autres personnes présentes. Il peut y avoir quelqu'un dans la pièce — un membre de la famille, un organisateur communautaire, quelqu'un qui a accompagné l'électeur à son rendez-vous — qui peut voir ce qui est coché, ou qui le remplit lui-même.

L'intégrité entière du bulletin de vote par correspondance dépend de ce qui se passe avant qu'il n'arrive jamais à la table de dépouillement. Et c'est précisément le segment de la chaîne de contrôle qui est le plus difficile à observer, enregistrer et vérifier.

Le 9e district du Congrès de la Caroline du Nord en 2018 a rencontré la même vulnérabilité. Un programme coordonné de bulletins de vote par absence — collecte de bulletins, parfois remplissage, parfois simple élimination des bulletins défavorables — a amené le State Board of Elections à ordonner une nouvelle élection complète. La méthode exploitée par les fraudeurs était l'écart entre un bulletin quittant les mains de l'électeur et arrivant à la garde officielle.

La leçon dans les deux cas est identique. La chaîne de contrôle doit couvrir l'intégralité du voyage du bulletin — pas seulement la partie qui se déroule dans la salle de dépouillement.

Ce que « qui peut le toucher, quand, et comment c'est prouvé » signifie réellement en pratique

La chaîne de contrôle dans une élection n'est pas une règle. C'est un système de prescriptions imbriquées, dont chacune comble une lacune différente.

Autorisation : Seules des personnes spécifiques, nommées, avec des rôles spécifiques peuvent manipuler les bulletins à chaque étape. « Le bureau électoral » n'est pas une personne. Il doit y avoir un nom, un rôle, et un enregistrement.

Calendrier : Les actions ne peuvent se produire qu'à des moments spécifiés. Les règles autrichiennes n'étaient pas une question de méfiance envers des fonctionnaires particuliers — elles visaient à assurer que le dépouillement ne pourrait pas commencer avant que la fenêtre légale s'ouvre, de sorte que la séquence des événements soit prouvable après coup.

Témoignage : La plupart des étapes de manipulation nécessitent au moins un observateur extérieur à l'équipe immédiate — un représentant d'un parti différent, un témoin indépendant, un membre du public. Les violations autrichiennes incluaient des dépouillements menés sans les témoins requis. Ce témoin n'est pas là pour être utile sur le moment. Il est là pour être utile six semaines plus tard, quand quelqu'un demande ce qui s'est passé.

Contenants scellés : Preuve physique de falsification. Une urne scellée avant qu'elle ne quitte le bureau de vote et arrivant à la salle de dépouillement avec le sceau intact est une déclaration dans l'enregistrement de contrôle. Une urne arrivant avec le sceau cassé a besoin d'une explication dans l'enregistrement. L'explication fait partie de la chaîne.

Enregistrement : Un enregistrement contemporain de chaque étape. Pas une mémoire. Pas une approximation. Une signature, une heure, une description de ce qui a été fait et par qui. L'enregistrement est la chaîne de contrôle rendue physique.

Rompez n'importe quel lien dans ce système et vous avez une lacune. Une lacune signifie que la période couverte par la rupture est invérifiable. Et une période invérifiable, dans une élection serrée, est légalement indistinguible d'une opportunité de fraude, que celle-ci ait été saisie ou non.

Les mathématiques inconfortables des dépouillements manuels et de la chaîne de contrôle

Il existe une version de cette histoire qui se termine par : « et puis les fonctionnaires ont tout dépouillé manuellement et ont confirmé le résultat. » Les tribunaux le disent. Les secrétaires d'État le disent. Et il vaut la peine d'être précis sur ce que cette affirmation établit et n'établit pas.

Le dépouillement manuel à l'échelle de l'État de la Géorgie d'environ 5 millions de bulletins en 2020 était une entreprise extraordinaire — 159 comtés, 41 881 lots, complétée en moins de six jours. Le dépouillement manuel a confirmé le résultat tabulé par machine à environ un dixième d'un pour cent. C'est vraiment significatif. Un bulletin papier physique, indépendamment dépouillé, est l'épine dorsale de tout régime d'audit sérieux.

Mais un dépouillement manuel n'est aussi bon que la chaîne de contrôle qui le soutient. Si vous ne savez pas que chaque bulletin dans ces 41 881 lots est le même bulletin qui a été émis — s'il y a une lacune quelconque non enregistrée et non observée entre la main d'un électeur et la table de dépouillement — alors le dépouillement manuel confirme l'intégrité de ce qui est dans les urnes, pas nécessairement l'intégrité de ce que les électeurs ont soumis.

Ce n'est pas une hypothèse. Dans le comté d'Antrim, Michigan en 2020, un audit manuel des bulletins présidentiels a produit un décompte final qui différait toujours de la tabulation par machine d'environ une douzaine de voix sur environ 15 700 émises](https://www.michigan.gov/sos/resources/news/2020/12/18/final-numbers-from-antrim-county-audit-continue-to-affirm-accuracy-of-election-results). Douze voix. Dans un petit comté, dans une course non décidée localement. Mais douze voix est un rappel que le dépouillement manuel — l'étalon-or — comporte sa propre erreur humaine irréductible : un bulletin mal lu, un lot mal compté, une marque ambiguë jugée différemment par deux personnes différentes.

Dans une course décidée par une poignée de voix, une méthode de vérification qui elle-même est décalée par une poignée de voix ne peut pas régler la question. « Le dépouillement manuel a confirmé » et « le secrétaire d'État dit que c'est bon » sont des rassurances. Ce ne sont pas des preuves. Ce qui transforme une assurance en preuve est un enregistrement indépendant et ininterrompu que n'importe quel observateur peut vérifier — non parce qu'il fait confiance au fonctionnaire qui l'a produit, mais parce que l'enregistrement est structuré de sorte que la falsification laisserait une trace détectable.

Le cadre d'audit avec limitation des risques du Colorado pointe dans la bonne direction : l'échantillonnage statistiquement rigoureux, dimensionné à la marge de la course, mené contre un durable enregistrement papier. Mais même un RLA nécessite que l'enregistrement papier lui-même ait voyagé une chaîne ininterrompue de la main de l'électeur à la table de l'auditeur.

La chaîne de contrôle n'est pas l'alternative à l'audit. C'est la condition préalable de l'audit.

Ce qui rend une lacune de contrôle vérifiable — et ce qui ne l'est pas

Le cas autrichien a produit quelque chose de rare et clarificateur : une cour constitutionnelle qui a articulé, par écrit, exactement pourquoi la conformité à la procédure n'est pas une formalité.

Le raisonnement de la Cour n'était pas « nous avons trouvé une fraude ». C'était : les mesures de sauvegarde requises n'ont pas été suivies de manière à affecter un nombre de voix supérieur à la marge gagnante, et par conséquent le résultat ne peut pas être vérifié. Le résultat ne peut pas être vérifié non pas parce que la Cour soupçonnait une manipulation — elle en a expressément exclu — mais parce que la vérification n'est possible que lorsque l'enregistrement est complet. Un enregistrement partiel ne produit au mieux qu'une confiance partielle.

C'est la même logique que la Cour constitutionnelle fédérale allemande a appliquée en 2009 quand elle a jugé que les machines à voter électroniques étaient inconstitutionnelles parce que les citoyens ordinaires ne pouvaient pas indépendamment vérifier les étapes essentielles du vote — non parce qu'une machine avait mal fonctionné, mais parce que l'architecture rendait la vérification impossible. La Cour suprême du Kenya a atteint la même conclusion en 2017 quand elle a annulé une élection présidentielle parce que la chaîne numérique du bureau de vote au dépouillement national ne pouvait pas être indépendamment vérifiée.

Le fil conducteur à travers Vienne, Nairobi et Karlsruhe est identique : un résultat qui ne peut pas être indépendamment vérifié n'est pas un résultat sur lequel une démocratie peut agir.

Le correctif est aussi le même dans chaque cas. Ce n'est pas « faites-nous confiance — nous avons vérifié. » C'est un système conçu de manière à rendre la vérification possible sans faire confiance à quiconque en particulier. Résultats instantanés au niveau de la circonscription publiés sous une forme lisible par machine. Manipulation des bulletins avec preuves de falsification et journaux contemporains que n'importe qui peut demander. Pistes d'audit structurées de sorte que toute lacune dans l'enregistrement soit aussi visible que toute lacune dans le dépouillement.

La chaîne de contrôle est un paperasserie ennuyeuse jusqu'à ce qu'elle soit la seule chose se dressant entre une élection légitime et une que personne ne peut défendre.

Ce qui n'est toujours pas vérifiable — et ce qui changerait cela

Voici ce que le jugement de la Cour constitutionnelle autrichienne n'a pas fait : il n'a pas créé un système dans lequel la chaîne de contrôle de la prochaine élection autrichienne est indépendamment vérifiable par quiconque souhaite vérifier.

Il a produit une nouvelle élection. Il n'a pas produit une nouvelle architecture.

Dans la plupart des juridictions qui gèrent les bulletins de vote par correspondance, l'enregistrement de qui a manipulé un bulletin, quand, et avec quels témoins est un document administratif interne. Il peut ou ne peut pas être régulièrement maintenu. Il peut ou ne peut pas être demandable publiquement. Il n'y a pas de publication standardisée, en temps réel, lisible par machine, des événements de contrôle que n'importe quel observateur pourrait télécharger et vérifier.

C'est ce qui manque toujours. L'écart entre « nous avons suivi les règles » et « voici l'enregistrement inaltérable, publiquement vérifiable prouvant que nous avons suivi les règles » est l'écart qui a produit Vienne 2016, Tower Hamlets 2014, et Caroline du Nord 2018 — et qui produira le suivant.

Les outils pour combler cet écart existent. Enregistrement cryptographique des événements de contrôle. Enregistrements signés en temps réel de quelle personne autorisée a touché quel conteneur scellé à quel moment. Pistes d'audit lisibles par machine publiées au moment où chaque étape de contrôle se produit, pas reconstruites après coup. Non pas parce qu'un fonctionnaire spécifique n'est pas digne de confiance — mais parce qu'un système dans lequel la confiance est nécessaire est un système dans lequel la confiance peut être mal placée, et dans lequel les erreurs et l'inconduite sont indiscernables jusqu'à ce qu'il soit trop tard.

Une chaîne de contrôle que n'importe qui peut vérifier n'est pas une chaîne de contrôle que n'importe qui peut tranquillement rompre.

Voyez à quel point cet écart est courant dans le monde →

Lisez la version de 2 minutes du problème de vérifiabilité →

Explorez la lacune complète de la chaîne de contrôle →

Sources

Voir tous les articlesExplorer les lacunes