Conformité NF203 — Certifier votre logiciel de facturation contre la fraude TVA

#NF203 vs NF525 — Deux normes issues du même texte légal

L'article 88 de la loi de finances 2016 (n° 2015-1785 du 29 décembre 2015) a introduit à l'article 286 I-3° bis du CGI une obligation unique : tout assujetti à la TVA qui enregistre les règlements de ses clients via un logiciel doit utiliser un système satisfaisant aux conditions d'inaltérabilité, sécurisation, conservation et archivage. De ce texte unique sont nées deux normes distinctes selon le périmètre fonctionnel du logiciel.

NF525 (NF Z97-525) cible les logiciels de caisse et systèmes POS qui enregistrent des paiements immédiats en point de vente — transaction au comptoir, règlement carte en face-à-face, caisse de restaurant, borne de paiement. Son terrain d'élection : la restauration, le commerce de détail, l'hôtellerie, les stations-service, les activités de loisirs avec encaissement direct. Voir conformité NF525 logiciel de caisse.

NF203 (NF Z97-203) cible les logiciels de facturation qui émettent des factures pour des prestations de services. La transaction n'est pas forcément immédiate : une facture est émise en fin de mois, à l'achèvement d'une mission, sur la base d'un bon de commande. Son terrain d'élection : prestataires de services BtoB, professions libérales (avocats, experts-comptables, architectes, consultants), agences (communication, conseil, digital), éditeurs SaaS facturant des abonnements, entreprises de services du numérique, cabinets de formation.

Qui relève de NF203 seulement, de NF525 seulement, ou des deux ? La réponse dépend de l'activité réelle et des logiciels utilisés. Une entreprise de conseil qui n'a pas de caisse physique et facture uniquement ses prestations : NF203 uniquement. Un restaurant qui encaisse au comptoir : NF525 uniquement (sauf s'il facture aussi des événements privés via un module de facturation distinct — dans ce cas les deux normes s'appliquent simultanément). Un retailer omnicanal avec POS en magasin et facturation BtoB pour ses clients entreprises : NF525 sur le POS et NF203 sur le module de facturation BtoB. Un éditeur SaaS qui facture ses abonnements mensuels et n'a pas de point de vente physique : NF203 uniquement. Un e-commerçant qui vend à la fois à des particuliers (panier en ligne = NF525 sur la plateforme) et émet des factures à des entreprises clientes (= NF203 sur le module de facturation) : les deux s'appliquent sur des périmètres distincts.

Erreur fréquente observée : une entreprise de services qui a installé un logiciel de caisse pense être couverte NF525 et oublie que son module de facturation sur ERP (Sage, Cegid, SAP) relève de NF203 et doit être audité séparément. Les deux périmètres n'ont pas nécessairement les mêmes équipes techniques derrière eux.

#Les 4 conditions NF203 — Inaltérabilité, Sécurisation, Conservation, Archivage

#Condition 1 — Inaltérabilité des données de facturation

Une facture enregistrée dans le système ne peut plus être modifiée ni supprimée après son émission. Techniquement, cela impose que la base de données de facturation soit protégée par des mécanismes cryptographiques : hash chaining (SHA-256 minimum), triggers de protection interdisant tout UPDATE ou DELETE sur les enregistrements de factures émises, numérotation séquentielle stricte sans lacune.

La spécificité NF203 par rapport à NF525 : dans un logiciel de caisse, la transaction est en général atomique (encaissement immédiat, clôture). Dans un logiciel de facturation, le cycle de vie d'une facture est plus complexe : devis → bon de commande → facture proforma → facture définitive → avoir éventuel. Seule la facture définitive est soumise à l'inaltérabilité. Les statuts antérieurs (devis, proforma) restent modifiables — mais le passage au statut « émise » doit être irréversible et déclencher la mise sous protection cryptographique.

Erreur fréquente : des factures sont annulées via suppression directe en base (DELETE SQL) plutôt que par création d'un avoir. C'est la non-conformité la plus couramment rencontrée dans les ERP personnalisés et les modules de facturation développés en interne. La numérotation doit également être continue — un gap dans la séquence (facture n° 2024-0523 absente entre 2024-0522 et 2024-0524) est en soi un signal d'altération pour un auditeur DGFiP.

#Condition 2 — Sécurisation par signature numérique par facture

Chaque facture doit être couverte par une signature numérique individuellement, en plus d'appartenir à une chaîne de signatures liée. Les deux approches acceptées restent les mêmes que pour NF525 : HMAC (avec clé secrète sécurisée hors base) ou signature asymétrique (RSA 2048 ou ECDSA minimum). La chaîne de signatures doit couvrir sans interruption l'ensemble des factures depuis l'origine — toute rupture trahit une possible suppression ou modification.

Points de vérification Nehos spécifiques à la facturation : les avoirs sont-ils inclus dans la chaîne (oui, obligatoire — un avoir est un document comptable à part entière qui doit être signé et chaîné) ? Les factures de situations (acomptes, factures intermédiaires sur affaires longues) sont-elles traitées comme des factures à part entière dans la chaîne ? Les factures émises par des utilisateurs différents sur un même compte multi-utilisateurs sont-elles toutes rattachées à la même chaîne par entité juridique ?

#Condition 3 — Conservation 6 ans minimum

Les données de facturation doivent être conservées pendant 6 ans à compter de la date d'émission de la facture, dans un format garantissant la non-altérabilité. Cette condition soulève des questions pratiques pour les éditeurs SaaS : que se passe-t-il pour les archives de facturation après résiliation d'un client ? Le contrat doit impérativement prévoir une procédure d'export complet et de remise des archives à l'entreprise cliente, dans un format permettant la vérification ultérieure de la chaîne de signatures.

Points Nehos : la politique de rétention réelle en base de données (pas seulement celle décrite dans les CGV), les logs de suppression, l'existence d'une procédure documentée de réponse à une réquisition DGFiP, et la robustesse de l'export d'archives (format standardisé incluant les métadonnées de signature, pas seulement un PDF imprimable).

#Condition 4 — Archivage par clôtures périodiques

Le logiciel doit générer automatiquement des certificats de clôture journaliers, mensuels et annuels. Chaque certificat contient le total des factures de la période, le montant HT par taux de TVA applicable, le total TTC, le hash de clôture de la chaîne, et la date-heure de génération. La DGFiP peut demander la production de n'importe quel certificat de clôture pour n'importe quelle journée des 6 dernières années.

Erreur fréquente dans les logiciels de facturation : la clôture journalière est conçue pour un logiciel de caisse avec activité quotidienne certaine. Dans un contexte de facturation, certains jours ne comportent aucune facture émise — le logiciel doit quand même générer un certificat de clôture à zéro pour ces journées, prouvant qu'aucune facture n'a été émise (et non qu'elles ont été supprimées). Les logiciels qui ne génèrent des clôtures que les jours avec activité créent des plages non certifiées.

#Logiciels concernés par NF203 en 2026

La liste des logiciels de facturation concernés par NF203 est bien plus large qu'on ne l'imagine au premier abord. Elle couvre plusieurs catégories.

ERP avec modules de facturation. Les grands ERP — SAP (module SD/FI), Cegid (Cegid Business, Quadratus), Sage (100cloud, X3), Divalto, Microsoft Dynamics 365 Finance — ont tous publié des attestations individuelles ou obtenu des certifications pour leurs modules de facturation sur les versions récentes. Mais attention : l'attestation de l'éditeur standard ne couvre pas nécessairement les personnalisations développées en interne. Si votre équipe IT a développé un module de facturation personnalisé par-dessus Sage 100 ou Dynamics, c'est cette couche supplémentaire qui doit faire l'objet d'un audit NF203 spécifique.

CRM avec fonctions de facturation. Des outils comme Salesforce Billing, HubSpot (devis + factures), Pipedrive ou Pennylane sont de plus en plus utilisés non seulement pour le suivi commercial mais aussi pour l'émission directe de factures. La conformité NF203 de ces outils dépend de la version, du plan tarifaire souscrit et de la configuration utilisée. Salesforce Billing a publié une attestation individuelle pour les configurations standard sur l'offre Revenue Cloud — mais une configuration personnalisée avec des flux d'approbation sur mesure peut en sortir.

Plateformes de facturation SaaS d'abonnement. Stripe Billing, Recurly, Chargebee, Zuora sont des plateformes d'infrastructure de facturation utilisées par de nombreux éditeurs SaaS français. Leur conformité NF203 mérite une analyse spécifique : ce sont des sociétés américaines dont le siège et les serveurs principaux sont hors de France. La DGFiP considère que l'obligation NF203 s'applique à l'assujetti français utilisateur, quelle que soit la localisation du service de facturation. En pratique, Stripe Billing et Chargebee ont publié des analyses de conformité pour leurs clients français, mais elles ne constituent pas une attestation NF203 au sens strict — la responsabilité reste sur l'éditeur SaaS français qui les utilise.

Modules de facturation développés en interne. Dans les applications web métier, il est fréquent que le module de facturation ait été développé en interne par l'équipe technique, souvent avant 2018, sans que les conditions NF203 aient été prises en compte. C'est typiquement le profil qui présente les non-conformités les plus critiques : pas de hash chaining du tout, suppression de factures en base possible, pas de clôtures automatisées.

Outils de facturation pour indépendants et petites structures. Freebe, Indy, Zervant, Facture.net, SolidPepper — ces outils destinés aux freelances et TPE ont pour la plupart publié des attestations individuelles. Mais les utilisateurs doivent vérifier la date et la version couverte, et s'assurer que leur usage de l'outil (notamment si plusieurs utilisateurs partagent un compte entreprise) entre bien dans le périmètre de l'attestation.

#Facturation électronique 2026 et NF203 — Interaction PDP/PPF

Une question revient systématiquement en 2026 : la réforme de la facturation électronique obligatoire (PDP — Plateformes de Dématérialisation Partenaires — et PPF — Portail Public de Facturation) remplace-t-elle l'obligation NF203 ?

La réponse est non — et il est important de comprendre pourquoi les deux obligations coexistent et répondent à des objectifs différents.

La réforme facturation électronique (issue de la loi de finances 2020 et du calendrier de déploiement PDP/PPF) vise à dématérialiser et à transmettre les factures BtoB en format structuré (Factur-X, UBL, CII) via des plateformes agréées par la DGFiP, pour permettre un pré-remplissage de la TVA et lutter contre la fraude par la traçabilité des flux inter-entreprises. Elle porte sur le format et le canal de transmission des factures.

NF203 porte sur l'intégrité interne des données de facturation dans le logiciel qui les génère. Son objectif est de s'assurer qu'une facture une fois émise ne peut pas être altérée, supprimée ou modifiée dans la base de données du logiciel — indépendamment de la manière dont elle est ensuite transmise au client ou à l'administration.

Les deux obligations sont cumulatives et non substituables. Un logiciel de facturation peut être parfaitement conforme PDP (il émet des factures Factur-X transmises via une PDP agréée) et non conforme NF203 (ses factures peuvent être supprimées en base de données). À l'inverse, un logiciel NF203 conforme peut utiliser un format de facturation papier ou PDF non structuré — ce qui le rendra non conforme PDP dès que l'obligation de facturation électronique s'appliquera à l'entreprise concernée selon le calendrier de déploiement.

Pour les éditeurs SaaS qui préparent leur mise en conformité PDP en 2026, Nehos recommande de traiter NF203 et PDP simultanément : les deux projets touchent le même module de facturation et les mêmes équipes techniques, et les synergies d'audit sont importantes. Voir glossaire facturation électronique PDP pour le détail des exigences PDP/PPF.

#Audit NF203 Nehos — 5 à 10 jours de diagnostic

Notre processus d'audit NF203 suit la même structure que notre audit NF525, adapté aux spécificités des logiciels de facturation. Voici le déroulé précis.

Jours 1-2 — Collecte documentaire et revue d'architecture. On demande : le schéma de base de données du module de facturation, le code source des fonctions d'émission et de clôture de factures (ou accès en revue de code sécurisé), la documentation technique existante sur la conformité NF203, les derniers certificats de clôture générés, et — pour les éditeurs SaaS — la liste des configurations clients actives et les contrats de service (pour qualifier le périmètre de l'attestation individuelle envisagée).

Jours 3-5 — Analyse technique et tests. Reverse engineering du code de traitement des factures pour vérifier l'implémentation du hash chaining. Test des triggers de protection en base (tentatives de DELETE et UPDATE sur des factures émises — doivent être bloquées). Vérification des algorithmes de signature (SHA-256 minimum). Test des clôtures sur des périodes avec et sans activité (les jours sans facture doivent quand même générer un certificat). Simulation d'une réquisition DGFiP : demande de production des certificats de clôture pour 12 mois passés.

Jours 6-8 — Gap analysis et qualification des risques. Classification des écarts : critique (non-conformité certaine, amende certaine en cas de contrôle DGFiP), majeur (risque élevé, remédiation urgente), mineur (bonnes pratiques à améliorer, risque modéré). Pour les éditeurs SaaS multi-clients, analyse de la couverture de l'attestation individuelle envisagée selon les différentes configurations clientes.

Jours 9-10 — Rapport et plan de remédiation. Rapport livré avec findings détaillés par condition NF203, niveau de risque global, plan de remédiation priorisé avec estimations de charge, recommandation sur la voie de conformité (attestation individuelle ou certification AFNOR NF203 selon profil de l'éditeur), et — pour les SaaS éditeurs — recommandation sur la communication client et la mise à jour des CGV.

#8 erreurs techniques fréquentes des logiciels de facturation

Sur les missions d'audit NF203 conduites depuis 2023, les huit non-conformités les plus souvent rencontrées, par ordre de fréquence décroissante.

(1) Modification directe d'une facture sans créer un avoir. La fonction de correction d'erreur sur une facture émise modifie directement l'enregistrement en base plutôt que de créer un avoir lié. C'est la non-conformité critique la plus fréquente, présente dans la majorité des modules de facturation développés avant 2018 sans considération NF203. La chaîne de hash est brisée à chaque correction. Niveau de risque : critique.

(2) Suppression de factures en base de données. La base de données autorise un DELETE SQL sur les enregistrements de factures — qu'il s'agisse d'une suppression via l'interface utilisateur, via un accès direct à la base par l'équipe technique, ou via un script de maintenance. En l'absence de trigger de protection, des factures peuvent disparaître sans trace dans les archives. Niveau de risque : critique.

(3) Gaps dans la numérotation séquentielle des factures. Des lacunes existent dans la séquence des numéros de factures — factures de test supprimées, erreurs de génération en cas d'accès concurrent multi-utilisateurs, numérotation par utilisateur plutôt que par entité juridique. Un gap dans la numérotation est en lui-même un signal d'alerte pour un auditeur DGFiP. Niveau de risque : majeur.

(4) Absence totale de chaîne de signatures. Le logiciel ne génère aucune signature numérique sur les factures et n'implémente pas de hash chaining. Fréquent dans les modules de facturation développés en interne avant 2018 ou sur des outils généralistes non spécialisés fiscalité française. Niveau de risque : critique.

(5) Absence de clôtures journalières automatisées. Le logiciel ne génère pas automatiquement un certificat de clôture chaque jour. Les clôtures sont soit manuelles (non effectuées les jours sans activité facturation), soit hebdomadaires ou mensuelles uniquement. Les jours sans certificat créent des plages non certifiées exploitables par un auditeur DGFiP pour remettre en cause l'intégrité de l'ensemble de la période. Niveau de risque : majeur.

(6) Archives non conformes à la rétention 6 ans. La politique de rétention réelle en base de données ne garantit pas 6 ans de conservation non altérable : purges programmées, archivage avec destruction différée, politique cloud d'effacement des données inactives après résiliation. Pour les éditeurs SaaS, l'absence de procédure d'export des archives au moment de la résiliation est particulièrement problématique. Niveau de risque : majeur.

(7) Architecture multi-entreprises sans chaînes de hash séparées. Un logiciel multi-tenant (SaaS BtoB avec plusieurs clients entreprises) maintient une chaîne de hash globale partagée entre les entités, rendant impossible la vérification isolée par entité juridique lors d'un contrôle DGFiP. Chaque entité juridique assujettie à la TVA doit avoir sa propre chaîne de hash distincte. Niveau de risque : critique sur l'architecture multi-tenant.

(8) Algorithmes de signature obsolètes. La chaîne de signatures utilise MD5 ou SHA-1, considérés comme cryptographiquement insuffisants depuis 2017 et non conformes aux exigences minimales du référentiel NF203 (SHA-256 minimum). Parfois hérité d'une implémentation ancienne non mise à jour lors des évolutions fonctionnelles du logiciel. Niveau de risque : critique si MD5, majeur si SHA-1.

#SaaS et NF203 — Le cas spécifique des éditeurs logiciels

Les éditeurs SaaS qui incluent un module de facturation dans leur produit font face à une double obligation NF203 qu'il est important de distinguer clairement.

Obligation 1 — leur propre facturation. Comme toute entreprise assujettie à la TVA qui utilise un logiciel pour émettre ses factures à ses clients, l'éditeur SaaS lui-même doit utiliser un logiciel de facturation conforme NF203 pour ses propres factures d'abonnement. C'est une obligation qui s'applique indépendamment de leur produit.

Obligation 2 — la conformité de leur produit. Si le SaaS édité inclut un module de facturation permettant à ses clients de générer des factures pour leurs propres clients, ce module doit être conforme NF203. L'éditeur a alors le choix entre deux voies : publier une attestation individuelle sous sa propre responsabilité attestant que son module de facturation satisfait aux quatre conditions NF203, ou obtenir une certification AFNOR NF203 auprès d'un organisme certificateur accrédité.

L'enjeu est considérable pour un éditeur SaaS multi-clients. Si son module de facturation n'est pas conforme NF203 et que ses clients ETI font l'objet d'un contrôle DGFiP, chaque client non conforme est exposé à une amende de 120 000 €. La responsabilité contractuelle de l'éditeur peut être engagée si les CGV ne précisent pas les obligations de conformité NF203 à la charge du client. Certains contrats d'utilisation de SaaS BtoB incluent désormais explicitement une clause NF203 attestant la conformité du module de facturation — c'est devenu un argument commercial différenciant dans les appels d'offres ETI.

Cas particulier des éditeurs SaaS qui facturent via Stripe Billing ou Chargebee : la conformité NF203 de ces plateformes pour les clients français est partiellement documentée mais ne constitue pas une attestation NF203 valable au sens strict français. L'éditeur SaaS français qui délègue sa facturation à Stripe Billing doit soit vérifier que la configuration utilisée entre dans le périmètre d'une attestation NF203 valide publiée, soit publier sa propre attestation individuelle sur la base d'un audit technique préalable.

Nehos a développé une approche spécifique pour les éditeurs SaaS : un audit accéléré (5 jours) qui qualifie simultanément la conformité du module de facturation du produit, la couverture de l'attestation individuelle envisagée par rapport aux configurations clients actives, et les modifications techniques nécessaires avant publication. Délai typique entre audit et publication de l'attestation individuelle : 4 à 8 semaines selon le nombre de non-conformités identifiées.

#Attestation individuelle vs certification AFNOR NF203

Deux voies légales, deux niveaux de garantie — même logique que pour NF525.

La certification AFNOR NF203 est délivrée par un organisme certificateur accrédité COFRAC qui a audité le logiciel et vérifié les quatre conditions du référentiel. C'est le document le plus solide face à un contrôle DGFiP ou dans un appel d'offres ETI qui exige une preuve de conformité. Son coût : 12 000 à400 000 € selon l'organisme certificateur et la complexité du logiciel, en dehors des honoraires d'audit et de remédiation Nehos. Durée d'obtention : 3 à 6 mois. La certification doit être renouvelée à chaque évolution majeure impactant les fonctions NF203.

L'attestation individuelle est rédigée et publiée par l'éditeur sous sa propre responsabilité, sans vérification externe. Elle est légalement suffisante pour l'entreprise utilisatrice qui la produit lors d'un contrôle DGFiP. Mais elle engage la responsabilité de l'éditeur : attester la conformité d'un logiciel qui ne l'est pas expose l'éditeur à une responsabilité contractuelle lourde vis-à-vis de ses clients et potentiellement pénale.

Recommandation Nehos : pour les développements internes (une entreprise qui a développé son propre système de facturation pour sa propre activité), l'attestation individuelle est une voie acceptable, à condition qu'un audit technique rigoureux ait été conduit préalablement. Pour les éditeurs SaaS multi-clients avec un module de facturation utilisé par des dizaines ou centaines d'entreprises assujetties à la TVA, la certification AFNOR est l'investissement qui protège durablement la responsabilité de l'éditeur, renforce la confiance clients et devient un argument commercial dans les RFP ETI et grands comptes. Nehos accompagne les deux parcours.

#DGFiP 2026 — Contrôles et risques

En 2025-2026, la DGFiP a étendu ses contrôles NF203 au-delà des secteurs traditionnellement ciblés (restauration, retail). Les prestataires de services, cabinets de conseil, agences et sociétés de services numériques font désormais partie des secteurs sous surveillance. La vérification de la conformité NF203 est intégrée aux procédures d'Examen de Comptabilité (EC) et de Vérification de Comptabilité (VC) standard.

La sanction prévue à l'article 1770 duodecies du CGI est identique à celle applicable pour NF525 :120 000 € par logiciel non conforme. Pour une agence de conseil qui utilise trois outils de facturation distincts (un ERP pour les factures de missions, un module CRM pour les devis convertis en factures, et un outil SaaS pour la facturation récurrente), l'exposition peut atteindre360 000 € d'amende minimale sur un seul contrôle.

Au-delà de l'amende forfaitaire, les mêmes risques de requalification fiscale qu'en NF525 existent : si la DGFiP estime que l'absence d'inaltérabilité révèle un risque de minoration du chiffre d'affaires ou de la TVA collectée sur services, elle peut engager une procédure de reconstitution du CA (article L. 73 LPF) avec rappel de TVA sur 3 à 6 ans, majorations de 40 % (manquement délibéré) ou 80 % (manœuvres frauduleuses), et intérêts de retard à 0,20 % par mois.

Un signal d'accélération notable en 2026 : l'interconnexion progressive entre les données PDP (facturation électronique) et les vérifications NF203. Dès lors que la DGFiP reçoit les flux de facturation électronique via les PDP agréées, elle peut croiser les montants transmis avec les archives NF203 demandées lors d'un contrôle. Une discordance entre les totaux transmis via PDP et les certificats de clôture NF203 constitue un signal d'alerte automatique.

#Méthodologie Nehos

Notre mission NF203 suit cinq phases séquentielles avec points de décision clairs. Phase 0 — Cadrage (2 jours, gratuit sous NDA) : qualification du logiciel de facturation concerné, de l'architecture technique (on-premise, SaaS, module ERP, développement interne), du volume annuel de factures émises, du contexte de risque DGFiP (contrôle en cours, audit préventif, appel d'offres ETI exigeant une attestation NF203). Phase 1 — Audit (5-10 jours) : diagnostic complet des quatre conditions NF203, rapport gap analysis classifié critique/majeur/mineur, recommandation sur la voie de mise en conformité. Phase 2 — Remédiation (3-10 semaines selon gaps) : corrections techniques des non-conformités identifiées, mise en place ou correction du hash chaining, automatisation des clôtures, mise à jour des algorithmes de signature, suite de tests automatisés NF203 intégrée à la CI/CD. Phase 3 — Certification ou attestation (2-6 semaines) : si certification AFNOR, accompagnement de la soumission au certificateur et suivi jusqu'à l'émission du certificat ; si attestation individuelle, validation du document, support à la publication et mise à jour des CGV pour les éditeurs SaaS. Phase 4 — Maintien en condition de conformité : revue annuelle, procédure d'alerte en cas d'évolution du logiciel impactant la conformité NF203, mise à jour de l'attestation ou de la certification.

Sur les projets avec contrainte de délai (contrôle DGFiP signalé, appel d'offres avec date limite), Nehos peut mobiliser en 48h et produire un rapport préliminaire en 5 jours ouvrés.

#ROI — Cas éditeur SaaS RH avec module facturation

Contexte : éditeur SaaS RH français (SIRH pour PME et ETI), 140 clients entreprises actifs, module de facturation intégré permettant aux RH de facturer des prestations de formation interne. En 2025, un prospect ETI (800 salariés) exige lors d'un appel d'offres la fourniture d'une attestation NF203 valide pour le module de facturation du SaaS, faute de quoi le contrat ne peut être signé.

Mission Nehos : audit NF203 du module de facturation (7 jours), identification de 2 non-conformités critiques (suppression possible de factures en base, absence de clôtures journalières automatisées), 1 non-conformité majeure (algorithme SHA-1 sur la chaîne de signatures). Remédiation en 5 semaines : correction des 3 points, mise en place du hash chaining SHA-256, automatisation des clôtures avec génération de certificats PDF, suite de tests automatisés intégrée dans le pipeline GitHub Actions.

Résultats : attestation individuelle NF203 publiée en semaine 7, contrat ETI signé (valeur annuelle 768 k€). Par cascade, l'attestation NF203 a mis en conformité les 140 clients actifs utilisant le module de facturation. Investissement total mission Nehos :360 000 € HT. ROI sur le seul contrat ETI déclenché par l'attestation : moins de 6 mois. Voir cas SaaS RH module facturation NF203.

#Tarification — 12 à 640 k€ HT

Trois forfaits selon le périmètre d'intervention. Audit seul (sans remédiation) : 12 à 288 k€ HT, inclut les 5-10 jours de diagnostic, le rapport complet avec gap analysis classifié par niveau de risque, le plan de remédiation chiffré et le conseil sur la voie de mise en conformité. Adapté aux DSI et directions juridiques qui souhaitent qualifier le risque avant de décider de la suite. Audit + remédiation jusqu'à l'attestation individuelle : 18 à 512 k€ HT selon le nombre et la gravité des écarts. Inclut la remédiation technique des non-conformités, la suite de tests automatisés et l'accompagnement à la publication de l'attestation individuelle, avec mise à jour des CGV pour les éditeurs SaaS. Délai typique : 5 à 10 semaines. Mission complète jusqu'à la certification AFNOR NF203 : 32 à 640 k€ HT, hors frais du certificateur accrédité (12 000 à400 000 € en plus, payés directement à l'organisme). Recommandé pour les éditeurs SaaS avec plus de 50 clients entreprises utilisateurs du module de facturation. Délai : 10 à 18 semaines.

Pour les structures qui doivent traiter NF203 et PDP/facturation électronique simultanément, Nehos propose des missions combinées avec tarification forfaitaire — les deux audits touchant les mêmes équipes et le même périmètre, la charge combinée est inférieure à la somme des deux missions séparées. Estimation précise en 30 minutes sur RDV : [Calendly conformité NF203](https://calendly.com/raphael-poirier_/decouverte15min-nehos-groupe