Comment lire un VPAT (et un ACR) : le guide de l’acheteur

Demandez à n'importe quel fournisseur de logiciels une preuve d'accessibilité et vous recevrez un VPAT. Demandez à trois fournisseurs et vous obtiendrez trois documents qui se ressemblent presque tous, prétendant tous à une conformité quasi totale, sans moyen évident de savoir lequel est vrai. C'est le problème avec le VPAT : c'est un modèle, pas un certificat. Personne ne le note, personne ne le valide, et un fournisseur peut le remplir en une après-midi sans jamais utiliser un lecteur d’écran. Et pourtant, c'est l'artefact le plus demandé dans l'achat d'accessibilité — requis par les acheteurs fédéraux des États-Unis sous Section 508, attendu dans les appels d'offres publics européens via EN 301 549, et de plus en plus exigé par les universités avant qu'un contrat n'approche le juridique. Ce guide explique ce qu'est le document, comment lire honnêtement les quatre niveaux de conformité, quels schémas devraient vous inquiéter, et les cinq questions qui transforment un formulaire en preuve.

VPAT ou ACR ? La distinction qui piège tout le monde

Les deux termes sont utilisés de manière interchangeable dans la conversation, et la différence est plus simple que la confusion ne le suggère. Le VPAT (Voluntary Product Accessibility Template) est le formulaire vierge, maintenu par le Information Technology Industry Council (ITI). L'ACR (Accessibility Conformance Report) est le document complété qu'un fournisseur produit en remplissant ce formulaire. Ainsi, lorsqu'un bureau des achats demande « votre VPAT », ce qu'il veut, c'est votre ACR.

L'ITI publie le modèle en quatre éditions, et celle que vous recevez compte plus que la plupart des acheteurs ne le réalisent :

• Édition WCAG — Critères de succès WCAG uniquement. Bien pour un produit web du secteur privé ; insuffisant pour les achats publics.
• Édition Section 508 — WCAG plus les chapitres révisés de la Section 508. Le choix par défaut pour les acheteurs fédéraux et du secteur public des États-Unis.
• Édition UE — WCAG plus EN 301 549. Ce que les organismes publics européens devraient demander.
• Édition INT (Internationale) — les trois en un seul document. La version la plus utile à recevoir, car elle permet à un rapport de satisfaire les acheteurs dans plusieurs juridictions.

La révision actuelle du modèle est VPAT 2.5. Si un fournisseur vous envoie un rapport 2.0 ou 2.1, le document précède entièrement WCAG 2.2 et ne peut pas parler des neuf critères de succès ajoutés en octobre 2023 — y compris l'authentification accessible, l'aide cohérente et la taille minimale des cibles. Cela n'est pas automatiquement disqualifiant, mais cela vous indique quand le fournisseur a pris l'exercice au sérieux pour la dernière fois.

Les quatre niveaux de conformité, et ce qu'ils signifient réellement

Chaque ligne d'un ACR comporte l'un des quatre termes. Leur signification littérale est plus étroite qu'il n'y paraît :

• Supports — la fonctionnalité répond au critère sans défauts connus. Cela ne signifie pas « testé de manière exhaustive » ; cela signifie que le fournisseur n'est pas au courant d'un échec.
• Partially Supports — une partie du produit ne répond pas au critère. C'est la ligne la plus informative de tout le document, car la note d'accompagnement vous indique quelle partie et à quel point c'est grave.
• Does Not Support — la majorité de la fonctionnalité ne répond pas au critère.
• Not Applicable — le critère est sans rapport avec le produit, par exemple un critère concernant l'audio préenregistré dans un produit ne contenant pas d'audio.

Lisez d'abord la colonne des remarques et ensuite la colonne de statut. Une ligne marquée « Partially Supports » avec la note « le sélecteur de date dans le module de rapport piège le focus du clavier ; correction prévue pour le T4 » vaut plus pour vous que dix lignes de « Supports » non qualifiés. Cela vous indique que le fournisseur a testé, trouvé quelque chose, compris et en est responsable.

Surveillez également la déclaration de portée, généralement un court paragraphe en haut. Un rapport qui évalue « l'application web destinée aux apprenants » n'a rien dit sur la console administrative dans laquelle votre personnel vivra, les outils d'auteur que votre faculté utilisera, ou l'expérience mobile. La portée est l'endroit où les parties inconfortables d'un produit disparaissent discrètement, et la réduire est entièrement légal.

Six signaux d'alarme dans un rapport de conformité d'accessibilité

La plupart des rapports faibles échouent de la même manière reconnaissable. Recherchez ceux-ci avant de regarder quoi que ce soit d'autre :

1. « Supports » à chaque ligne. Un logiciel réel de toute taille a des lacunes. Une colonne parfaite n'est pas un signe d'excellence ; c'est un signe que personne n'a testé, ou que quelqu'un a décidé que le formulaire était un atout marketing. Traitez la conformité totale comme une affirmation nécessitant plus de preuves, pas moins.
2. Aucune date, ou une date de plus de 12 mois. Un ACR décrit une version de produit à un moment donné. Un rapport de 2023 décrit un logiciel qui n'existe plus.
3. Aucune version de produit. Sans cela, vous ne pouvez pas dire si le rapport couvre ce qui vous est vendu.
4. Remarques vides. Une colonne de « Supports » sans notes explicatives est un formulaire qui a été rempli, pas un produit qui a été évalué.
5. Aucune méthodologie d'évaluation. Un rapport crédible nomme ce qui a été fait : quel outil automatisé, quels lecteurs d’écran et versions, quels navigateurs, si des utilisateurs handicapés ont été impliqués. « Revue interne » n'est pas une méthodologie.
6. Un overlay dans la réponse. Si la réponse à un critère est qu'un widget ou une barre d'outils d'accessibilité le résout, le produit sous-jacent ne le respecte pas. Les overlays se superposent à un balisage qu'ils ne peuvent pas réparer, et plusieurs fournisseurs d'overlays ont eux-mêmes été nommés dans des litiges d'accessibilité.

Les outils automatisés détectent seulement environ 30 à 40 % des problèmes WCAG. Ainsi, un rapport dont la méthodologie est « nous avons effectué une analyse automatisée » a, au mieux, vérifié un tiers de la norme — et spécifiquement le tiers qui n'inclut pas si un utilisateur de lecteur d’écran peut réellement accomplir une tâche.

Un autre schéma mérite d'être nommé car il est facile à manquer : le rapport qui répond à une question différente de celle que vous avez posée. Un fournisseur vendant une plateforme d'apprentissage peut vous envoyer un ACR couvrant leur site web marketing public, qui est un produit réellement différent avec une base de code réellement différente. Le document sera précis, actuel et entièrement hors sujet. Vérifiez que le nom et la version du produit dans l'en-tête correspondent à ce qui est sur le devis.

Cinq questions qui transforment un formulaire en preuve

L'ACR est le début de la conversation. Ces cinq questions de suivi font plus pour séparer la conformité réelle du simple papier que n'importe quelle quantité de lecture :

1. « Qui a effectué l'évaluation, et des personnes handicapées ont-elles été impliquées ? » L'auto-évaluation est normale et acceptable — la plupart des ACR publiés sont des auto-évaluations — mais la réponse doit être spécifique. Un audit indépendant par un tiers est plus fort ; un fournisseur qui en revendique un devrait pouvoir nommer l'auditeur et partager le rapport.
2. « Montrez-moi le plan de remédiation pour chaque ligne Partially Supports. » Dates et responsables, par écrit. C'est la question à laquelle les fournisseurs s'attendent le moins et c'est la plus révélatrice.
3. « La portée couvre-t-elle les interfaces administratives et d'auteur ? » Votre personnel et votre faculté sont également des utilisateurs, et dans l'éducation, ils sont souvent les utilisateurs avec les flux de travail les plus complexes.
4. « Que se passe-t-il lorsque nous signalons une barrière ? » Demandez la fenêtre d'accusé de réception et la classification de la gravité par écrit, puis mettez-la dans le contrat. Un défaut d'accessibilité classé comme un bug cosmétique ne sera jamais corrigé.
5. « Pouvons-nous le tester nous-mêmes pendant l'essai ? » Un fournisseur confiant dans le rapport vous remettra un compte et vous encouragera à le faire. Trente minutes avec le clavier débranché et un lecteur d’écran en marche vous en diront plus que tout le document.

Mettez les réponses dans le contrat plutôt que dans le fichier d'évaluation. Un engagement de conformité, une fenêtre de remédiation pour les barrières signalées et un droit de re-tester au renouvellement valent plus que n'importe quel rapport, car ils survivent aux trois prochaines versions du produit. Notre liste de contrôle de 25 questions pour l'achat d'un LMS accessible standardise cette conversation entre les fournisseurs présélectionnés.

Ce qui est différent dans l'enseignement supérieur

Les universités appliquent une couche supplémentaire, et il vaut la peine de le savoir avant de commencer. En plus de l'ACR, la plupart des institutions effectuent une évaluation de sécurité en utilisant le HECVAT d'EDUCAUSE, et les grandes institutions ajoutent un avenant d'accessibilité au contrat — une clause engageant le fournisseur à un niveau de conformité, à une remédiation dans un délai défini, et parfois à indemniser l'institution contre les réclamations d'accessibilité découlant du produit. Harvard est parmi les institutions qui en exigent un.

Le contexte réglementaire s'est également durci. La règle du Département de la Justice des États-Unis sous ADA Title II et la règle de la Section 504 du Département de la Santé et des Services sociaux fixent toutes deux la conformité WCAG comme une obligation explicite pour les institutions publiques à des dates fixes, ce qui convertit « nous devrions examiner l'accessibilité » en une échéance pour une personne nommée. Nous couvrons le calendrier et ce que cela signifie pour les cours en ligne dans notre guide sur les délais de l'ADA Title II et de la Section 504.

Une conséquence pratique : achetez pour l'ensemble de l'obligation, pas seulement pour la plateforme. Une institution peut détenir un ACR de fournisseur impeccable et être encore non conforme, car les cours publiés à l'intérieur de la plateforme contiennent des vidéos non sous-titrées et des PDF non balisés. La plateforme est la moitié facile. Voir ce qu'il faut utiliser avec Canvas pour savoir comment les deux moitiés s'assemblent.

Si vous êtes le fournisseur sollicité

Le conseil s'inverse proprement. Publiez l'ACR à une URL publique stable plutôt que d'envoyer un PDF sur demande — les acheteurs présélectionnent avant de vous contacter, et un rapport public vous place dans la présélection. Utilisez l'édition INT pour qu'un document serve les acheteurs dans plusieurs juridictions. Nommez précisément votre méthodologie, y compris les versions de lecteurs d’écran et de navigateurs.

Surtout, divulguez vos lacunes avec des dates. Cela semble commercialement risqué et c'est le contraire. Un évaluateur d'accessibilité expérimenté lit un rapport tout vert comme preuve d'un programme immature ; un rapport avec onze lignes « Partially Supports » honnêtes et un plan de remédiation daté se lit comme une équipe qui connaît son propre produit. Régénérez le rapport à chaque version pour que sa date ne vous embarrasse jamais, et maintenez un journal des modifications d'accessibilité public pour que la revendication soit vérifiable entre les rapports.

Eduspera publie son propre Rapport de Conformité d'Accessibilité contre WCAG 2.2 AA, EN 301 549 et Section 508, généré à partir d'un fichier versionné dans le dépôt du produit afin qu'il soit réédité à chaque version plutôt que rédigé une fois et laissé vieillir. Les limitations connues sont listées ouvertement, axe-core fonctionne dans le pipeline de déploiement, et nos réponses HECVAT sont publiques pour qu'un évaluateur de sécurité puisse nous qualifier avant que le questionnaire ne soit envoyé. Les institutions peuvent commencer avec le kit pilote de 12 semaines.

Questions fréquemment posées

Un VPAT est-il une certification ?

Non. C'est un modèle d'auto-évaluation sans organisme de certification, sans exigence d'audit et sans expiration. Tout fournisseur peut en remplir un. Sa valeur vient entièrement de la rigueur qui le sous-tend, c'est pourquoi la déclaration de méthodologie et la colonne des remarques comptent plus que la colonne de statut.

À quelle fréquence un VPAT doit-il être mis à jour ?

Au moins annuellement, et en pratique à chaque version significative. Un rapport de plus de 12 mois décrit un logiciel qui a depuis changé. L'approche la plus forte est de générer le rapport à partir d'un fichier versionné dans le dépôt du produit afin qu'il soit réédité automatiquement à chaque version.

Qui peut créer un VPAT ?

N'importe qui — l'équipe du fournisseur, un cabinet de conseil en accessibilité ou un auditeur indépendant. L'auto-évaluation est la norme et est acceptable tant qu'elle est déclarée. Une évaluation indépendante par un tiers pèse considérablement plus dans les achats de l'enseignement supérieur et du gouvernement.

Un VPAT prouve-t-il la conformité ADA ou Section 508 ?

Non. Il documente l'évaluation de la conformité d'un fournisseur par rapport à une norme technique. Il ne décharge pas l'obligation légale de votre institution, et il ne couvre pas le contenu que vous publiez à l'intérieur du produit. Un ACR de plateforme parfait et une bibliothèque de cours non sous-titrée vous laissent toujours non conforme.

Que dois-je faire si un fournisseur n'a pas de VPAT du tout ?

Traitez la revendication d'accessibilité comme non vérifiée et demandez-en un avec un délai. Pour un petit fournisseur, une alternative crédible est une déclaration d'accessibilité datée nommant la norme, la méthodologie de test et les lacunes connues. Ce que vous ne devriez pas accepter, c'est une assurance verbale sans rien d'écrit derrière.