Tout produit qui incorpore des composants, sous-ensembles matériels, logiciels d’origine américaine, ou est produit en utilisant de la technologie ou des logiciels d’origine américaine est soumis à des restrictions à l’exportation, du fait de l’application extraterritoriale de la réglementation américaine. A ce titre, les sociétés françaises qui achètent et vendent des composants, équipements, technologies d’usage militaires sont contraintes d’appliquer les réglementations de la norme ITAR (International Traffic in Arms Regulations). Une stricte conformité aux législations qui régissent le contrôle des exportations est ainsi incontournable.
ITAR, une norme expansive aux multiples cas d’application
La norme ITAR est un système d’autorisations fonctionnant sur la base d’un classement des matériels en fonction de plusieurs critères difficiles à prendre en compte dans leur ensemble. Elle fait partie intégrante de la stratégie de sécurité nationale des États-Unis, empêchant l’exportation, l’importation ou la réexportation de produits ou savoir-faire militaires américains dont la finalité d’usage aurait été détournée.
La norme ITAR englobe 21 catégories (des gilets pare-balles aux satellites en passant par les systèmes d’imagerie). Elle peut inclure des éléments mineurs tels que des pièces de rechange, des composants, et des sous-systèmes. Cette norme révèle toute sa complexité lorsqu’elle s’applique aux données techniques et aux services : ceux-ci peuvent inclure une gamme d’assistance ou de formation, des services de conception, de développement, de production, de test, d’exploitation, de maintenance ou de réparation qui en dépendent.
Schématiquement, ITAR s’applique via le produit, tous les documents qui lui sont attachés, les pièces qui le composent, les outils qui l’ont fabriqué, la nationalité du savoir-faire qui a permis sa création, la nationalité des ingénieurs qui l’ont développé, la nationalité du client final, la nationalité du fournisseur, la nationalité de l’intermédiaire commercial, la formation requise pour utiliser le produit, ainsi que les services de maintenance et de réparation apportés tout au long de son cycle de vie. Par extension, le produit auquel s’applique la norme peut lui-même « ITARiser » l’ensemble du système auquel il est intégré.
Un risque en arborescence
Le système de contrôle américain est l’un des plus exigeants au monde. De ce fait, le risque pour les sociétés françaises concernées par la norme ITAR se situe à deux niveaux.
Fonctionner dans le cadre légal des procédures ITAR suppose une lourde dépendance : les demandes d’autorisations préalables et les délais d’obtention des licences d’exportation soumises à approbation engendrent des pertes de contrats et des retards de livraisons. La réputation de l’entreprise à l’international ainsi que sa croissance à l’export peuvent donc en être impactés. En aval des autorisations d’exportation, les procédures ITAR imposent également un contrôle laborieux du respect des engagements de destination finale des composants estampillés ITAR : il s’agit de pouvoir assurer à tout instant une traçabilité des composants. En outre, depuis le 12 novembre 2019, il est interdit d’échanger des informations concernées par la norme ITAR par mail via un système informatique non-homologué NIST (National Institute of Standards and Technology).
Aussi, l’ITARisation accidentelle concerne tous les cas d’application inattendus de la réglementation ITAR sur des produits ou technologies initialement non concernés. Le risque d’ITARisation peut rapidement s’étendre aux cas de mauvaise gestion. Par exemple, les échanges d’informations, l’attribution du personnel à la production, l’isolation des articles ITAR et de stratégie à l’export. La multitude des cas d’application de la norme ITAR est telle qu’il semble difficile de maintenir une gamme de produits « ITAR-free » sur le long terme.
La gestion du risque ITAR ne relève donc pas de la seule responsabilité de l’Export Control et de la Trade Compliance. Il incombe également au RSSI, aux Directions des Achats, Techniques, Financières, et aux ressources humaines de contrôler la propagation du risque parmi les produits et technologies au sein de leur entreprise.
Le risque de sanctions pour violation des dispositions ITAR
Le Directorate of Defense Trade Controls (DDTC) assure l’application de la norme ITAR. A ce titre, il est habilité à interpréter les dispositions de la réglementation, à mener des enquêtes et à engager des poursuites pénales en cas de non-conformité. À des fins d’efficacité et lorsqu’il l’estime nécessaire, le DDTC peut faire évoluer la réglementation ITAR. Le système américain de contrôle des exportations dispose de ce fait de trois caractéristiques : il est rétroactif, extraterritorial et « intrusif » (dans la mesure où il permet l’accès à toutes les informations incluses dans le contrat, qu’il s’agisse du fournisseur ou du client final).
Ainsi, outre l’inertie du processus d’obtention des licences, le danger principal est la sévérité des sanctions applicables. Les amendes qui frappent les sociétés en infraction sont en effet extrêmement élevées (plusieurs centaines de millions de dollars). En outre, une sanction du DDTC engendre un risque réputationnel sur le long terme pour l’entreprise concernée.
Les plans d’actions en entreprise : éviter « l’ITARisation » à outrance et développer « l’ITAR-free »
En entreprise, la gestion de la norme ITAR peut se faire à deux niveaux. À court terme, il s’agit de véhiculer les bonnes pratiques à adopter : on parle « d’hygiène » de traitement d’informations et de composants ITAR. Une sensibilisation efficace des personnels passe par une responsabilisation des différentes directions concernées.
Sur le long terme, la stratégie ITAR-free vise à développer de nouveaux programmes avec des composants similaires aux composants ITAR. Ce procédé passe par de nouveaux investissements dans la recherche, le rachat d’entreprises stratégiques et une concentration sur les programmes de coopération européenne. L’ITAR-free peut voir le jour et perdurer uniquement si le risque d’ITARisation accidentelle, lié aux multiples cas d’application de la norme ITAR, est maîtrisé.
En France, deux cas de restrictions ITAR sont très médiatisés. Il s’agit en premier lieu du missile Scalp de MBDA dans la vente de Rafale en Égypte, ainsi que les satellites de type Pléiades de Thales et Airbus vendus aux Émirats Arabes Unis. Ces programmes ont bénéficié de l’intervention du Président français, justifiée par les enjeux financiers (respectivement 2 milliards et 700 millions d’euros). Il serait tentant de croire que le recours diplomatique peut être utilisé chaque fois qu’un produit se retrouve interdit d’exportation (or, rappelons qu’un simple boulon suffit à ITARiser tout le produit). La voie diplomatique n’est donc pas une solution pérenne puisqu’une entreprise de défense française envoie en moyenne entre 800 et 1000 demandes de licences ITAR par an au DDTC.
Ainsi, dans l’attente de devenir plus résiliente face aux États-Unis, l’industrie de défense française devra compter sur une sensibilisation efficace et permanente de ses personnels, et fonctionner avec ce que le DDTC autorise à exporter, en quantité et dans les pays autorisés. Bien que cette dépendance puisse être réduite, via les pratiques et les stratégies adéquates, l’ITAR-free total est inenvisageable pour le moment. Cela supposerait des investissements considérables en R&D sur le territoire français et/ou européen. Qui plus est, la norme ITAR est régulièrement révisée afin que le standard du régime du contrôle des exportations américaines puisse demeurer incontournable.
Au sein des entreprises de la défense, la norme ITAR constitue un risque dont le niveau de maîtrise a tendance à stationner à « partiel », conséquence d’une responsabilisation et d’une communication inter-directions encore fragmentée.
Manon Lemercier