← Tous les articles

Ce qui distingue un véritable audit d'un simple tampon de conformité

Chaque élection fait l'objet d'un « audit ». Presque aucun d'eux ne peut réellement changer un résultat — et le mot fait beaucoup de travail pour le cacher.

C'est la matinée du 4 novembre 2020, et un bureau de greffier à Windham, New Hampshire est confronté à un problème. Les bulletins ont été dépouillés. Les bandes de la machine ont imprimé. Quatre candidats républicains à la Chambre des représentants de l'État ont remporté leurs sièges — mais par des marges plus minces que quiconque ne s'y attendait. Une candidate, Kristi St. Laurent, a perdu face au quatrième républicain par seulement 24 voix.

Sa campagne demande un recompte manuel.

Le recompte manuel arrive. St. Laurent perd toujours — mais les chiffres ont bougé. Les quatre républicains ont tous gagné environ 300 voix chacun. Chaque démocrate de la course a perdu environ 99 voix. Le dépouillement mécanique et le dépouillement manuel se sont écartés de centaines dans une course en petite ville. La divergence n'est pas subtile. Ce n'est pas une erreur d'arrondi.

C'est une preuve irréfutable qui nécessite une explication.

À quoi ressemble un véritable audit

Le New Hampshire a fait quelque chose que la plupart des endroits ne feraient pas. En vertu de la SB 43, la législature de l'État a ordonné un audit forensique complet — pas un recompte, pas un communiqué de presse, pas une déclaration rassurante du bureau du Secrétaire d'État. Un audit forensique, mené par des experts indépendants : Harri Hursti, Mark Lindeman et Philip Stark, trois des chercheurs en sécurité électorale les plus accrédités du pays.

Ils ont eu accès aux machines. Ils ont eu accès aux bulletins. Ils ont mené des expériences.

Ce qu'ils ont trouvé, c'est ceci : une machine à plier que la ville avait louée pour préparer les bulletins par correspondance n'a pas plié le papier selon les lignes imprimées. Les plis allaient directement à travers les cases de vote. Les scanners optiques AccuVote — de la même famille de machines étudiées par des chercheurs de Princeton en 2006, quand Ariel Feldman, J. Alex Halderman et Edward Felten ont montré comment une minute d'accès physique pouvait compromettre un système entier — ont lu une fraction substantielle de ces plis de pli comme des cases marquées. L'équipe a estimé qu'environ 44 pour cent des plis à travers les cases de vote étaient interprétés comme des votes. Les passages expérimentaux ont produit des taux allant de environ 20 pour cent à plus de 72 pour cent. Une poudre blanche s'était aussi accumulée à l'intérieur des scanners, obstruant les lentilles.

Aucun malware. Aucune fraude. Aucune manipulation. Juste un pli au mauvais endroit, et des centaines de votes silencieusement mal comptabilisés.

Le rapport a conclu que l'élection était, pour l'essentiel, bien organisée. Lisez cette phrase lentement. Une élection bien organisée, dans une démocratie fonctionnelle, par des fonctionnaires compétents, a produit un mauvais comptage de centaines de votes dans une course décidée par 24 — et personne n'aurait su sans une enquête forensique indépendante et contraignante qui examine réellement les preuves matérielles.

C'est à quoi ressemble un véritable audit. Il est contraignant (la législature l'a ordonné), indépendant (l'équipe n'avait aucune relation avec les fonctionnaires qui ont mené le dépouillement), et basé sur des preuves (ils ont examiné le papier, les machines et les passages de test, pas seulement les certifications officielles). Il a produit des conclusions qui pouvaient — et ont — changer le dossier factuel de ce qui s'est passé.

Le rapport complet d'audit forensique SB 43 est public. Vous pouvez lire chaque décision méthodologique, chaque résultat expérimental, chaque restriction. Cette transparence n'est pas accidentelle — c'est le tout le point.

Ce que la plupart des « audits » sont réellement

Voici la vérité inconfortable que les fonctionnaires proposent rarement : dans la plupart des juridictions américaines, et dans de nombreuses démocraties du monde, ce qui est appelé un « audit » après une élection est un contrôle non contraignant qui ne peut pas, de par sa conception, changer le résultat certifié.

Un audit post-électoral typique pourrait vérifier 1 pour cent des bulletins. Ou 5 pour cent. Ou un échantillon fixe dans les bureaux de vote. L'échantillon est généralement choisi par le comté ou l'État qui le gère. Les personnes qui font la vérification sont généralement des employés du comté ou de l'État. La conclusion — presque invariablement — est que le dépouillement mécanique semble correct, dans les tolérances attendues.

Et quand l'audit est terminé, le résultat tient quel que soit ce qu'il a trouvé.

Ce n'est pas un audit au sens forensique. C'est un rituel de confiance. C'est une procédure conçue pour produire de l'assurance, pas pour contester l'autorité. Le mot « audit » fait le travail rhétorique de transmettre la rigueur sans exiger légalement aucune.

Un audit qui ne peut pas changer le résultat n'est pas un audit. C'est un communiqué de presse avec des étapes supplémentaires.

Pensez à ce que « non contraignant » signifie dans la pratique. Un fonctionnaire vérifie 1 pour cent des bulletins. Tout semble bon. L'élection est certifiée. Plus tard, quelqu'un trouve un problème — un pli à travers une case de vote, une carte tabulatrice mal configurée comme celle du comté d'Antrim, Michigan en 2020, où des résultats officiels incorrects ont été publiés parce qu'un greffier avait reprogrammé certaines mais pas toutes les cartes tabulatrices après un changement de course de dernière minute. À Antrim, l'erreur a été détectée non par un audit, mais parce que le résultat était si implausible pour un comté historiquement républicain qu'il a déclenché un examen immédiat. Une erreur plus subtile dans une course plus serrée, dans un comté dont personne n'avait de priors solides, n'aurait peut-être rien déclenché.

L'audit manuel qui a finalement vérifié chaque bulletin présidentiel à Antrim a différé du dépouillement mécanique d'environ une douzaine de votes sur environ 15 700 exprimés. Les fonctionnaires ont appelé cela une confirmation. Mais dans une course décidée par une poignée de votes, une méthode qui elle-même dépasse d'une poignée de votes ne peut pas réellement régler la question. « L'audit l'a confirmé » est une assurance, pas une preuve.

Ce qu'un audit limitant les risques promet réellement — et ce qu'il exige

Le Colorado a fait quelque chose véritablement différent. En novembre 2017, suite à ses élections générales, il est devenu le premier État des États-Unis à mener à bien un audit limitant les risques au niveau de l'État (RLA). Le Secrétaire d'État du Colorado a annoncé l'achèvement le 22 novembre 2017.

Un RLA n'est pas un contrôle par pourcentage fixe. C'est une procédure statistique qui répond à une question spécifique : compte tenu de la marge annoncée, quelle est la probabilité que le gagnant annoncé ait réellement perdu ? L'audit tire les bulletins au hasard et les compare main-à-machine jusqu'à ce que soit l'audit atteigne un seuil de confiance préétabli, soit l'échantillon devienne si grand que le résultat initial devrait être renversé.

La caractéristique critique est que la taille de l'échantillon s'adapte à la marge. Une course décidée par 50 voix nécessite de vérifier beaucoup plus de bulletins qu'une course décidée par 50 000. Le Colorado a commencé avec une limite de risque de 9 pour cent — signifiant pas plus de 9 pour cent de chance de certifier un mauvais gagnant — et l'a ensuite réduite à 3 pour cent. La FAQ RLA du Secrétaire d'État du Colorado explique la méthodologie en langage clair.

C'est significativement différent d'un contrôle non contraignant. Un RLA a une garantie statistique définie. Si l'audit déclenche un dépouillement manuel complet, un dépouillement manuel complet se produit. Les mathématiques sont publiques. N'importe qui peut vérifier le calcul de confiance par rapport aux bulletins échantillonnés.

Mais un RLA a un préalable non négociable : un dossier papier fiable contre lequel auditer.

C'est ici que le comté de Sarasota, en Floride, devient pertinent. En 2006, environ 18 000 bulletins blancs ont été enregistrés dans une course au Congrès décidée par 369 voix. Le comté a utilisé des machines à écran tactile DRE sans papier. La GAO a testé les systèmes et n'a trouvé aucun dysfonctionnement de la machine mais a noté, clairement, qu'une piste vérifiée par l'électeur aurait pu fournir une confirmation indépendante. Aucun dossier papier n'existait. Il n'y avait littéralement rien d'indépendant à auditer. Un audit limitant les risques à Sarasota 2006 aurait été mathématiquement impossible, car la couche de preuve sur laquelle reposent les mathématiques n'existait pas.

Vous ne pouvez pas mener un véritable audit sur un système qui ne laisse aucun artefact vérifiable indépendamment. Le bulletin papier n'est pas une sauvegarde archaïque. C'est la matière première de l'audit.

Ce que la Géorgie 2020 a prouvé — et ce qu'elle a laissé ouvert

L'audit post-électoral de la Géorgie en 2020 est fréquemment cité comme preuve que le système fonctionne. Il mérite un examen plus attentif qu'il ne le reçoit généralement.

Après l'élection présidentielle de novembre 2020, la Géorgie a mené un comptage manuel complet de tous les environ 5 millions de bulletins présidentiels — 159 comtés, 41 881 lots, achevés en moins de six jours. Le comptage manuel a confirmé le résultat tabulé par la machine, avec une variation entre le dépouillement initial et le comptage manuel d'environ un dixième de pour cent.

Crédit où il est dû : c'est un véritable exploit d'administration électorale, et l'existence de bulletins marqués par les électeurs l'a rendu possible. Georgia Public Broadcasting et NPR l'ont tous les deux couverts.

Mais voici ce que l'audit de la Géorgie ne pouvait pas faire : il ne pouvait pas vérifier que les bulletins qu'il comptait étaient les mêmes que les bulletins que les électeurs avaient l'intention de voter. La Géorgie utilise des appareils de marquage de bulletins Dominion (BMD). Un électeur touche un écran ; la machine imprime un bulletin avec du texte lisible par l'homme et un code QR. Le tabulateur lit le code QR. Dans Curling c. Raffensperger, un tribunal fédéral en octobre 2020 a cité un témoignage d'experts concluant que le système « ne fournit pas un dossier de bulletin vérifiable et auditable car il repose sur le code QR pour le dépouillement des votes et ce code lui-même ne peut pas être lu et vérifié par l'électeur. » Le tribunal a également cité la conclusion de 2018 des Académies nationales selon laquelle aucun mécanisme technique n'existe actuellement pour assurer qu'une application de comptage des votes produit des résultats précis.

Un comptage manuel fait un audit de ce que dit le code QR. Il ne peut pas — ne peut pas — faire un audit du fait que le code QR correspond à ce que l'électeur a touché sur l'écran. Si le logiciel BMD a mal enregistré le choix de l'électeur avant l'impression, le papier serait correct pour un compteur manuel et le mauvais comptage passerait chaque audit.

Ce n'est pas une accusation. C'est une contrainte logique. Un véritable audit exige que l'artefact en cours de comptage soit le même artefact que l'électeur a vérifié. Quand ces deux choses sont différentes — quand la machine lit un code-barres que l'électeur ne peut pas lire — l'audit vérifie la sortie de la machine, pas l'intention de l'électeur.

L'écart que personne ne nomme à voix haute

Donc nous avons un spectre.

À une extrémité : l'audit forensique de Windham. Experts indépendants, mandat contraignant, preuves matérielles examinées, expériences menées, conclusions qui divergent des comptages officiels et changent le dossier public de ce qui s'est passé. Cher, lent, politiquement inconfortable, et la seule raison pour laquelle nous savons ce qui s'est réellement passé.

Un peu plus loin dans le spectre : le RLA du Colorado. Mathématiquement fondé, honnête statistiquement quant aux niveaux de confiance, adaptable à la marge. Dépend toujours de papier auditable, exige toujours que le papier reflète l'intention réelle de l'électeur, mais bien plus rigoureux qu'un contrôle par pourcentage fixe.

À l'autre extrémité : l'audit post-électoral standard dans la plupart des endroits. Non contraignant. Géré par les mêmes fonctionnaires dont le dépouillement est censé être vérifié. Pourcentage fixe, souvent minuscule. Incapable de déclencher un changement de résultat. Conçu, dans la pratique, pour produire de l'assurance.

La plupart des élections vivent au mauvais bout du spectre. Et le mot « audit » flotte à travers tous avec égalité, faisant du travail de réputation qu'il n'a pas gagné.

La Cour constitutionnelle fédérale allemande l'a dit clairement dans son arrêt de mars 2009 interdisant les ordinateurs à voter : les étapes essentielles du vote et du comptage doivent être examinables par le citoyen sans connaissance spécialisée. Pas examinable par les fonctionnaires. Pas examinable par les fournisseurs. Par les citoyens. C'est la norme constitutionnelle qu'une démocratie doit à ses électeurs.

La commission du gouvernement néerlandais de 2007 sur les élections, « Stemmen met vertrouwen » — Voter avec confiance — est arrivée à la même conclusion d'une direction différente : la transparence et l'examinabilité ne sont pas des caractéristiques optionnelles d'un comptage fiable. Elles sont ce qui rend un comptage fiable tout court.

Aucune de ces conclusions n'est radicale. Les deux découlent de la même prémisse simple : un résultat que personne ne peut vérifier indépendamment n'est pas un résultat vérifié. C'est un résultat annoncé soutenu par la confiance envers celui qui l'a annoncé.

La confiance envers les fonctionnaires n'est pas la même chose que la preuve. Au Venezuela en 2017, Smartmatic — l'entreprise qui avait fourni le système de vote automatisé du Venezuela depuis 2004 — a déclaré publiquement qu'elle savait « sans aucun doute » que le taux de participation annoncé avait été manipulé, estimant la différence entre la participation réelle et annoncée à au moins un million de votes. L'entreprise qui avait construit le système l'a rejeté. Il n'y avait pas d'audit indépendant auquel faire appel. Il n'y avait rien.

C'est le cas terminal. Mais l'écart entre cela et l'audit forensique de Windham est un spectre, pas une ligne claire, et la plupart des élections se situent quelque part au milieu — avec des procédures appelées « audits » qui fonctionnent plus comme au Venezuela qu'à Windham.

Ce qui le rendrait vérifiable par n'importe qui

La solution n'est pas de faire confiance à de meilleurs fonctionnaires. C'est de concevoir des systèmes qui ne l'exigent pas.

Un véritable audit post-électoral a trois propriétés. Il est indépendant — mené par des personnes sans enjeu dans le résultat et sans relation hiérarchique envers les fonctionnaires qui ont mené l'élection. Il est contraignant — capable de produire un résultat certifié différent si les preuves le justifient. Et il est basé sur les preuves — il vérifie le dossier physique ou cryptographique par rapport au dépouillement mécanique, en utilisant une méthode dont le taux d'erreur est connu et publié.

Windham en avait les trois, après coup, parce qu'un ordre législatif l'a forcé. Le RLA du Colorado a la rigueur statistique et la force contraignante. Aucun n'est suffisant en soi si le dossier sous-jacent — le bulletin — ne peut pas être vérifié indépendamment pour refléter l'intention de l'électeur.

La conclusion plus difficile est celle-ci : même les comptages manuels portent une erreur humaine irréductible. L'audit manuel du comté d'Antrim a différé du dépouillement mécanique d'environ une douzaine de votes. Le dépouillement manuel de la Géorgie a différé du dépouillement mécanique d'environ un dixième de pour cent sur 5 millions de bulletins. « Un comptage manuel l'a confirmé » ne signifie pas zéro erreur. Dans une course décidée par douze votes, une méthode qui elle-même dépasse de douze votes ne peut pas définitivement régler la question. Dans une course décidée par 369 votes — comme Sarasota 2006 — l'absence de tout dossier papier signifie que la question ne peut même pas être posée.

Ce qui rendrait réellement les résultats vérifiables par n'importe qui est une combinaison de choses qui existent actuellement en pièces mais rarement ensemble : des bulletins marqués par les électeurs dont les marques reflètent sans ambiguïté le choix de l'électeur ; des audits réguliers, contraignants et indépendants avec un niveau de confiance statistique publié ; des résultats au niveau du bureau de vote publiés en formats lisibles par machine dès qu'ils sont finaux ; et une documentation complète de la chaîne de traçabilité qui est elle-même publique et auditable.

Aucune de ces choses ne nécessite de faire confiance à un fonctionnaire, fournisseur ou parti particulier. C'est le point. L'examinabilité signifie que le public peut vérifier, pas que les fonctionnaires ont vérifié et vous ont dit le résultat.

En ce moment, dans la plupart des endroits, le mot « audit » signifie ce dernier. Windham a montré à quoi ressemble le premier — après coup, sous pression, parce que quelqu'un a compté à la main et a remarqué que les chiffres ne correspondaient pas.

Ce ne devrait pas être comment nous le découvrons.

Voyez comment l'écart de l'audit non contraignant se manifeste à travers les juridictions | Explorez l'atlas complet des cas | Lisez la version de 2 minutes de cet argument

Sources

Voir tous les articlesExplorer les lacunes