La Philippines impose un cadre strict d'accréditation pour les fournisseurs de services de facturation électronique
Le Bureau des impôts internes (BIR) des Philippines a publié le 12 octobre 2026 la Circulaire de mémorandum des revenus (RMC) no 110-2026, établissant un cadre obligatoire d'accréditation pour les fournisseurs de services de facturation électronique (ESPs). Ce cadre est directement lié à l'échéance du 31 décembre 2026 pour la conformité obligatoire à la facturation électronique, comme indiqué dans la RMC no 98-2026.
À retenir
- La RMC no 110-2026 établit un cadre obligatoire d'accréditation pour les ESPs aux Philippines, entré en vigueur immédiatement le 12 octobre 2026.
- Le processus d'accréditation comprend sept étapes, dont une évaluation approfondie de la confidentialité des données et de la cybersécurité.
- Les ESPs doivent obtenir des certifications internationales telles que ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 1 et SOC 2.
- Les ESPs doivent se conformer à l'ordonnance exécutive no 119, série de 2026, concernant la classification des données du gouvernement et la résidence des données.
- Les ESPs doivent démontrer leur résilience opérationnelle par le biais de tests de charge, de contrainte, de scalabilité, de basculement et de récupération.
Contexte
La RMC no 110-2026 introduit un processus d'accréditation en sept étapes pour les ESPs, qui doit être terminé avant qu'ils ne puissent commercialiser leurs services de facturation électronique aux Philippines. Ce cadre est le plus complet à ce jour, combinant des exigences en matière de certification de sécurité, de résilience opérationnelle et d'obligations de résidence des données.
Objectif du cadre
L'objectif principal de ce cadre est d'assurer que seuls les ESPs répondant aux normes les plus élevées de sécurité, de résilience et de conformité peuvent opérer sur le marché philippin. Cela vise à protéger les intérêts des contribuables et à garantir l'intégrité du système de facturation électronique.
Alignement avec les échéances réglementaires
La RMC no 110-2026 s'aligne sur l'échéance du 31 décembre 2026 pour la conformité obligatoire à la facturation électronique, comme indiqué dans la RMC no 98-2026. Cela signifie que les ESPs doivent obtenir leur accréditation avant cette date pour pouvoir offrir leurs services à temps.
Ce qui change: le processus d'accréditation
Le processus d'accréditation comprend sept étapes séquentielles: (1) examen de la complétude documentaire; (2) évaluation de l'adéquation et de la convenance de l'entité ESP; (3) examen de l'architecture technique; (4) évaluation de la confidentialité des données et de la cybersécurité; (5) démonstration du système; (6) tests d'interopérabilité; et (7) tests de charge et de contrainte.
Évaluation de la confidentialité des données et de la cybersécurité
L'étape d'évaluation de la confidentialité des données et de la cybersécurité est particulièrement exigeante. Les ESPs doivent démontrer leur conformité avec des cadres de sécurité reconnus internationalement, notamment ISO/IEC 27001 (gestion de la sécurité de l'information), ISO/IEC 27017 (contrôles de sécurité du cloud), et ISO/IEC 27018 (protection des informations personnellement identifiables dans les environnements cloud), ainsi que les certifications d'audit SOC 1 et SOC 2. De plus, les ESPs doivent se conformer à l'ordonnance exécutive no 119, série de 2026, qui régit la classification des données du gouvernement et la résidence des données.
Tests de charge, de contrainte, de scalabilité, de basculement et de récupération
Les tests de charge, de contrainte, de scalabilité, de basculement et de récupération sont explicitement requis, signalant que le BIR entend tenir les ESPs à des normes de résilience opérationnelle, et non simplement à une conformité documentaire.
Implications pour les ESPs
Pour les ESPs, ce cadre représente un défi majeur mais aussi une opportunité de démontrer leur engagement envers des normes élevées de sécurité et de conformité. Les ESPs doivent investir dans des infrastructures robustes et des processus pour répondre aux exigences rigoureuses du BIR.
Certification et conformité
Les ESPs doivent obtenir les certifications nécessaires pour répondre aux exigences de la RMC no 110-2026. Cela comprend les certifications ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 1 et SOC 2. De plus, ils doivent se conformer à l'ordonnance exécutive no 119, série de 2026, concernant la classification des données du gouvernement et la résidence des données.
Résilience opérationnelle
Les ESPs doivent démontrer leur capacité à gérer les charges élevées, les contraintes et les situations de basculement. Cela implique des investissements dans des infrastructures redondantes et des plans de continuité des activités.
Perspectives / À surveiller
Les ESPs doivent être vigilants concernant les mises à jour réglementaires et les modifications potentielle du cadre d'accréditation. Ils doivent également surveiller les développements technologiques et les meilleures pratiques en matière de sécurité et de conformité.
Prochaines étapes pour les ESPs
Les ESPs doivent commencer immédiatement à préparer leur candidature à l'accréditation. Cela implique de rassembler les documents nécessaires, de démontrer leur adéquation et leur convenance, et de préparer leurs systèmes pour les évaluations techniques et de sécurité.
Surveillance continue
Le BIR surveillera de près les ESPs accrédités pour s'assurer qu'ils maintiennent leur conformité. Les ESPs doivent être prêts à répondre à toute demande d'information ou d'audit du BIR.
Questions fréquentes
- Quelles sont les étapes du processus d'accréditation pour les ESPs?
- Le processus d'accréditation comprend sept étapes: (1) examen de la complétude documentaire; (2) évaluation de l'adéquation et de la convenance de l'entité ESP; (3) examen de l'architecture technique; (4) évaluation de la confidentialité des données et de la cybersécurité; (5) démonstration du système; (6) tests d'interopérabilité; et (7) tests de charge et de contrainte.
- Quelles certifications sont requises pour les ESPs?
- Les ESPs doivent obtenir des certifications internationales telles que ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 1 et SOC 2.
- Quelles sont les exigences en matière de résidence des données?
- Les ESPs doivent se conformer à l'ordonnance exécutive no 119, série de 2026, concernant la classification des données du gouvernement et la résidence des données. Cela implique que les données des contribuables doivent être stockées et traitées conformément aux exigences de résidence des données aux Philippines.
- Que se passe-t-il si un ESP ne respecte pas les exigences?
- Le BIR peut suspendre ou révoquer l'accréditation d'un ESP en cas de non-conformité, de défaillances de service, de violations de la sécurité des données, de violations liées à l'évasion fiscale, d'insolvabilité ou de violations des lois applicables.
- Comment les ESPs peuvent-ils préparer leur candidature à l'accréditation?
- Les ESPs doivent commencer immédiatement à préparer leur candidature en rassemblant les documents nécessaires, en démontrant leur adéquation et leur convenance, et en préparant leurs systèmes pour les évaluations techniques et de sécurité.
