Rapport de navigabilité : quel outil de preuve ?

L'EASA n'impose aucune technologie pour le rapport de revue de navigabilité : depuis le 7 août 2026, le règlement (UE) 2026/100 exige un rapport écrit, probant et conservé cinq ans, sans prescrire d'outil — PDF partagé, système de gestion documentaire ou registre distribué restent des options ouvertes. Le choix vous appartient, et le critère pour trancher tient en une question : dans cinq ans, devant une autorité ou un acquéreur qui doute, voulez-vous affirmer la date et l'intégrité de votre rapport, ou les démontrer ?

Ce critère change tout. Si la réponse est « démontrer », ni le PDF de plus dans un dossier partagé ni la procédure interne renforcée ne suffisent : il faut une couche de preuve vérifiable par un tiers — et c'est précisément ce qu'un registre infalsifiable sait apporter. Voyons d'abord ce que le règlement exige exactement.

Ce que M.A.903(h) change

Nous avons détaillé l'ensemble du paquet réglementaire dans notre article sur le règlement (UE) 2026/100. Le point qui nous intéresse ici est le nouveau M.A.903(h), introduit par le règlement d'exécution (UE) 2026/100 de la Commission : « le détail et le résultat d'une revue de navigabilité sont consignés dans un rapport de revue de navigabilité ». La Part-ML reprend la même exigence au point ML.A.903(h). Les points CAMO.A.220(a)(3) et CAO.A.090(a)(4) imposent ensuite de conserver ce rapport avec l'ARC ou la recommandation, et les points CAMO.A.220(a)(7) et CAO.A.090(c) fixent une durée de conservation de cinq ans lorsque l'organisation qui émet n'est pas celle qui gère la navigabilité — un cas devenu courant puisque la revue peut désormais être confiée à une organisation indépendante. Les AMC et GM qui précisent le contenu attendu ont été adoptés le 6 juillet 2026 par la décision ED 2026/005/R de l'EASA.

Ce qui était une bonne pratique devient donc un enregistrement réglementé : modèle contrôlé, contenu minimal défini, responsable identifié, place dans le système d'archivage, durée de conservation opposable. Et parce que la revue peut être réalisée par un tiers, ce rapport circule entre organisations — gestionnaire de la navigabilité, organisation de revue, autorité compétente, parfois acquéreur de l'avion. Chaque transfert pose la même question : comment le destinataire sait-il que le document n'a pas changé depuis sa signature ?

Ce qu'un auditeur attend d'un record réglementaire

Un enregistrement réglementaire ne vaut que par trois propriétés, toutes vérifiables en audit :

• L'existence datée : pouvoir démontrer que le rapport existait, sous cette forme, à une date précise — pas seulement l'affirmer.
• L'intégrité : pouvoir démontrer qu'aucune ligne n'a été modifiée après la signature, y compris par quelqu'un qui a accès au serveur.
• L'auditabilité dans la durée : pouvoir produire le document et sa preuve cinq ans plus tard, face à une autorité ou à un acquéreur, sans dépendre de la bonne volonté d'un seul système interne.

Un PDF déposé dans un dossier partagé n'apporte aucune de ces trois garanties de façon démontrable. Une date de modification de fichier se change, un document se réécrit, un serveur se migre : ces systèmes n'ont jamais été conçus pour produire de la preuve opposable — précisément le fossé que la nouvelle exigence met en lumière.

La décision à trancher : trois options, un critère

Face à M.A.903(h), trois postures sont possibles. La première consiste à produire le rapport comme n'importe quel document interne : conforme à la lettre le jour de la signature, indéfendable trois ans plus tard. La deuxième renforce la procédure interne — dossiers verrouillés, droits d'accès, journalisation maison — ce qui améliore la discipline sans produire de preuve vérifiable par un tiers. La troisième ajoute une couche de preuve externe : une empreinte du rapport, horodatée dans un registre que personne ne peut réécrire. Le critère de choix tient en une question : dans cinq ans, devant une autorité ou un acquéreur qui doute, voulez-vous affirmer ou démontrer ? Si la réponse est « démontrer », seule la troisième option tient la distance.

Ce qu'une blockchain apporte, sans jargon

Une blockchain est un registre d'écritures que personne — pas même son opérateur — ne peut modifier ou effacer a posteriori, et dont chaque écriture est datée de manière infalsifiable. Appliquée au rapport de revue, la méthode tient en une phrase : on ne publie pas le rapport sur la blockchain, on y inscrit son empreinte.

Concrètement, à la signature du rapport, le système calcule une empreinte cryptographique du fichier — une courte chaîne de caractères qui change dès qu'un seul octet du document change — et l'inscrit dans le registre avec un horodatage. Le document reste dans le système d'archivage habituel, sous contrôle d'accès. Trois conséquences pratiques :

• La preuve d'existence : l'empreinte horodatée démontre que ce document exact existait à cette date. Impossible de « créer » rétroactivement un rapport lors d'un audit.
• La preuve d'intégrité : quiconque détient le fichier peut recalculer son empreinte et la comparer à celle du registre. Si elles correspondent, le document est inchangé ; si un détail a été retouché, la comparaison échoue.
• La vérification indépendante : l'autorité compétente, l'acquéreur ou le client peut vérifier sans dépendre de l'éditeur du logiciel ni d'un accès au système interne de l'organisation. Et comme seule l'empreinte est inscrite, le contenu du rapport reste confidentiel.

Chaque nouvelle version du rapport fait l'objet d'un nouvel ancrage : l'historique des versions devient une chaîne de preuves, ce qui répond naturellement à l'exigence de traçabilité complète d'un processus de revue — de la revue documentaire des dossiers à l'examen physique de l'avion, dont M.A.903 impose qu'ils soient rapprochés dans le temps (M.A.903(e)).

Ancrer un rapport de revue : l'empreinte va au registre, le document reste dans l'archivage.

L'outil : la grille exigence ↔ propriété du registre

Voici la correspondance complète, utilisable telle quelle pour cadrer un cahier des charges ou répondre à une question d'audit.

Deux lignes de cette grille méritent d'être soulignées. La preuve d'existence est la seule réponse solide au scénario du rapport « reconstitué » à la veille d'un audit : sans ancrage daté, rien ne distingue un rapport signé le jour de la revue d'un rapport rédigé trois ans après. Et la vérification indépendante transforme la dynamique d'un transfert : le destinataire n'a plus à faire confiance à l'émetteur, il contrôle.

Cas borné : un ARC contesté trois ans après son émission

Prenons le scénario le plus défavorable, et le plus réaliste. En 2026, un CAMO indépendant émet l'ARC d'un jet d'affaires après revue, comme le permet désormais le point M.A.901(c), et consigne le rapport exigé par M.A.903(h). Trois ans plus tard, en 2029, l'avion est vendu. En due diligence, l'acquéreur conteste : il soupçonne que le rapport de revue a été complété après coup pour masquer un constat levé tardivement, et demande la preuve que le document présenté est bien celui qui existait à la date de l'ARC.

Sans ancrage. Le CAMO produit le PDF et ses métadonnées internes. L'acquéreur répond qu'une date de fichier se modifie, qu'un serveur se réinstalle, que le journal d'événements du système documentaire est administré par le CAMO lui-même — partie intéressée. Le différend se règle sur la crédibilité, pas sur des faits : négociation de prix, réserve dans l'acte de vente, parfois nouvelle revue de navigabilité aux frais du vendeur. Le CAMO, même de bonne foi, ne peut pas démontrer ce qu'il affirme.

Avec ancrage. Le CAMO produit le rapport et l'attestation d'ancrage : l'empreinte du document, inscrite dans le registre le jour de la signature de l'ARC, en 2026. L'acquéreur — ou son conseil — recalcule l'empreinte du fichier qu'on lui remet et la compare à celle du registre. Elle correspond : le document est inchangé depuis 2026, et le débat sur l'antériorité est clos en quelques minutes. Si le rapport avait été retouché, même d'une ligne, la comparaison échouerait et l'écart serait visible. Même démonstration face à l'autorité compétente si elle ouvre une enquête sur l'ARC : l'organisation produit le document et sa preuve, sans devoir convaincre.

Le même différend, avec et sans ancrage : des semaines de négociation contre des minutes de vérification.

Ce cas illustre le point central : la valeur du rapport de revue ne se joue pas le jour de sa signature, mais le jour où quelqu'un le conteste. C'est ce jour-là que la différence entre un PDF et un enregistrement ancré se mesure — en semaines de négociation, ou en minutes de vérification.

Le même problème de confiance, côté pièces

Ce besoin d'enregistrements inviolables n'est pas nouveau en aéronautique : il est simplement remonté au premier plan. L'affaire AOG Technics, révélée en 2023, l'a montré de façon spectaculaire : des pièces pour moteurs CFM56 avaient été distribuées avec des certificats falsifiés, et des dizaines d'avions ont dû être immobilisés le temps de vérifier les historiques. La valeur d'une pièce — comme celle d'un rapport de revue — tient entièrement à la crédibilité de son dossier. C'est cette leçon que l'industrie est en train de tirer : GA Telesis, l'un des majors mondiaux du MRO, a présenté en 2026 WILBUR, un registre fondé sur la blockchain destiné à donner à chaque pièce, moteur et cellule un dossier de cycle de vie unique et vérifiable, dont les essais à grande échelle ont démarré à l'été 2026. Le rapport de revue de navigabilité exigé par M.A.903(h) s'inscrit dans exactement le même mouvement : transformer des documents de conformité en enregistrements probants.

Ce que la blockchain ne résout pas

La réponse naturelle n'est pas la réponse magique. Quatre limites doivent être dites clairement, parce qu'elles conditionnent le succès réel d'un tel dispositif.

• La saisie erronée à la source. Un registre infalsifiable prouve qu'un document n'a pas changé depuis son ancrage — il ne prouve pas que son contenu est exact. Un rapport qui consigne une erreur de lecture, un numéro de série mal recopié ou un constat oublié sera parfaitement intègre... et parfaitement faux. L'ancrage déplace l'enjeu vers la qualité du processus de revue lui-même : contrôles croisés avant signature, compétence du personnel, supervision. La preuve cryptographique ne se substitue jamais à la rigueur du réviseur.
• La gouvernance du registre. Qui opère le registre, qui peut y écrire, qu'advient-il si l'opérateur disparaît ? Un registre propriétaire fermé, vérifiable uniquement via l'éditeur, recrée exactement la dépendance qu'on prétendait éliminer. La valeur probante dépend de choix de gouvernance — registre ouvert ou consortium, standards publics d'empreintes, procédure de vérification exportable — qui sont des décisions d'architecture, pas des propriétés automatiques de la technologie.
• L'adoption par les tiers. La preuve n'a de valeur que si l'autorité, l'acquéreur ou l'assureur accepte de la vérifier — et de la recevoir. Le règlement (UE) 2026/100 est neutre technologiquement : il n'impose ni ne mentionne la blockchain, et aucune autorité n'est tenue de reconnaître un ancrage. En pratique, la démonstration est assez simple pour être acceptée de bonne foi, mais il serait faux de présenter le dispositif comme une reconnaissance réglementaire.
• Le rapport coût / besoin. Pour une organisation qui émet trois ARC par an pour ses propres avions, une procédure interne rigoureuse peut suffire. La couche de preuve se justifie quand le rapport circule — revue découplée de la gestion, flotte multi-clients, transactions d'avions — c'est-à-dire précisément dans les configurations que le règlement 2026/100 vient de généraliser.

Par où commencer

Pas besoin de projet pharaonique. Une mise en œuvre pragmatique tient en cinq points :

1. Garder le rapport là où il est : le système d'archivage existant reste la source du document ; la blockchain n'est qu'une couche de preuve.
2. Ancrer à la signature : le calcul et l'inscription de l'empreinte doivent faire partie du circuit de signature du rapport, pas d'une étape manuelle après coup.
3. Ancrer chaque version : toute modification donne lieu à une nouvelle version signée et ancrée, jamais à une réécriture silencieuse.
4. Prévoir la vérification par un tiers : un simple fichier d'empreintes exportable permet à une autorité ou à un acquéreur de vérifier de son côté.
5. Rester neutre vis-à-vis des formats : empreintes au standard ouvert, procédure de vérification documentée — la preuve doit survivre au changement d'éditeur logiciel.

Apport Kepler : la preuve documentaire devient une infrastructure de la navigabilité

Apport Kepler : notre conviction est que le règlement (UE) 2026/100 marque le moment où la preuve documentaire cesse d'être une affaire de bonne gestion interne pour devenir une infrastructure de la navigabilité, au même titre que le dossier technique de l'avion. Dès lors que le rapport de revue circule entre organisations et doit tenir cinq ans, la question « comment prouver » ne peut plus relever de l'improvisation de chaque CAMO : elle appelle des rails communs — ancrage standardisé, vérification indépendante, formats ouverts. Les organisations qui poseront ces rails maintenant transformeront une contrainte réglementaire en argument de vente : un historique de navigabilité démontrable vaut de l'argent à la revente d'un avion.

Kepler Aviation développe cette couche de preuve pour les enregistrements de navigabilité au sein de l'écosystème Kepler Digitals, qui applique la blockchain à l'aéronautique. Pour échanger sur la sécurisation de vos rapports de revue, contactez-nous.