La plupart des incidents dans une petite comptabilité ne viennent pas d’un pirate sophistiqué. Ils viennent d’un ancien collaborateur dont le compte est resté actif, d’un mot de passe partagé entre trois personnes, ou d’un IBAN fournisseur modifié par quelqu’un qui pouvait aussi lancer le paiement. Ces risques se traitent par l’organisation des accès, bien avant la technique.
Inventaire : qui entre dans le dossier
Commencez par dresser la liste de toutes les personnes et applications qui touchent aux chiffres. Dans une SRL de dix personnes, on arrive vite à une dizaine d’accès :
- le dirigeant, souvent administrateur de tout ;
- une ou deux personnes à l’administration, qui encodent achats et ventes ;
- l’expert-comptable externe et parfois plusieurs collaborateurs de son cabinet ;
- le secrétariat social, qui envoie les écritures de paie ;
- le réviseur ou la banque, qui demandent une consultation ponctuelle ;
- les applications connectées : collecte bancaire, caisse, webshop, outil de notes de frais.
Pour chaque ligne, notez ce que la personne doit pouvoir faire, pas ce qu’elle peut faire aujourd’hui. L’écart entre les deux est votre liste de corrections.
Des rôles utilisateurs qui séparent les tâches
Un logiciel comptable sérieux permet de définir des rôles plutôt que de donner des droits personne par personne. Le principe à appliquer est le moindre privilège : chacun reçoit le minimum nécessaire à son travail, et aucune personne seule ne peut boucler un circuit sensible du début à la fin.
| Rôle | Peut | Ne devrait pas pouvoir |
|---|---|---|
| Encodeur | encoder et joindre les pièces, proposer une imputation | valider une période TVA, créer un fournisseur |
| Approbateur | valider les factures d’achat de son budget | modifier les données bancaires |
| Responsable paiements | préparer et signer les lots de paiement | créer ou modifier un fournisseur, un IBAN |
| Comptable | passer les écritures de régularisation, clôturer une période | administrer les utilisateurs |
| Expert-comptable externe | tout le dossier comptable, déclarations | gérer les paiements de l’entreprise |
| Lecture seule | consulter balances, grands livres, pièces | modifier quoi que ce soit |
| Administrateur | créer et retirer des utilisateurs | idéalement, rien d’autre au quotidien |
Dans une très petite structure, une même personne cumule forcément plusieurs rôles. Compensez alors par un contrôle a posteriori : le dirigeant relit chaque mois la liste des fournisseurs créés et des IBAN modifiés, et la piste d’audit montre qui a fait quoi.
Trois combinaisons sont à éviter absolument : créer un fournisseur et le payer, modifier un IBAN et signer le paiement, encoder une facture et l’approuver seul au-delà d’un montant fixé.
L’IBAN fournisseur, cible numéro un
La fraude la plus répandue contre les PME belges reste le faux changement de coordonnées bancaires : un e-mail imitant un fournisseur annonce un nouveau compte, la facture suivante part vers l’escroc. Les mesures qui fonctionnent :
- toute modification d’IBAN est confirmée par téléphone, à un numéro déjà connu, jamais celui indiqué dans le message ;
- la modification est faite par une autre personne que celle qui paie ;
- le logiciel signale tout paiement vers un IBAN modifié depuis moins de trente jours.
La création des fournisseurs détaille les vérifications à faire au moment de l’encodage, numéro BCE compris.
itsme, eID et accès aux portails publics
Les déclarations ne se font pas dans le logiciel comptable mais sur les portails publics : Intervat pour la TVA, Biztax pour l’ISoc, Belcotax-on-web pour les fiches fiscales, MyMinfin pour la situation fiscale, l’e-Box entreprise pour le courrier officiel. On s’y connecte avec une identité personnelle : la carte d’identité électronique (eID) avec lecteur et code PIN, ou l’application itsme sur smartphone.
Ces identités sont nominatives. Elles ne se prêtent pas :
- le comptable ne se connecte jamais avec l’itsme du dirigeant, même « juste pour déposer la TVA » ;
- un collaborateur qui part perd ses rôles d’entreprise ; son eID, elle, continue d’exister, c’est donc le rôle qu’il faut retirer ;
- chaque intervenant externe agit sous sa propre identité, en vertu d’un mandat donné par l’entreprise.
Côté entreprise, les rôles sont attribués dans la gestion des accès fédérale (CSAM) par un gestionnaire d’accès principal, désigné par le représentant légal. Il peut déléguer à des gestionnaires d’accès secondaires et attribuer à chaque employé le rôle dont il a besoin. L’expert-comptable, lui, travaille via un mandat enregistré dans MyMinfin, qui lui permet de déposer et consulter sans disposer de vos identifiants. Vérifiez une fois par an la liste des mandats actifs : un ancien cabinet garde parfois un mandat des années après la fin de la collaboration.
Pour le courrier officiel reçu par ces canaux, voyez l’e-Box entreprise.
Arrivées, départs et revue trimestrielle
Les accès dérivent avec le temps. Une procédure simple suffit à les tenir :
- arrivée : le rôle est créé à partir d’un modèle, jamais en copiant les droits d’un collègue ;
- départ : le compte est désactivé le dernier jour de travail, les signatures bancaires et les rôles publics sont retirés la même semaine ;
- chaque trimestre : un export de la liste des utilisateurs et de leurs rôles est relu et signé par le dirigeant.
Exigez aussi l’authentification à deux facteurs pour tous les comptes du logiciel et de la banque en ligne, sans exception pour les administrateurs, qui sont les plus visés.
Si un accès a été compromis
Désactivez immédiatement le compte, changez les clés des intégrations connectées, puis relisez dans le journal des actions toutes les modifications faites depuis la dernière connexion légitime : fournisseurs, IBAN, paiements préparés, écritures supprimées. Prévenez la banque si un paiement est parti. Si des données personnelles de clients ou de salariés ont pu être consultées, la violation doit en principe être notifiée à l’Autorité de protection des données dans les 72 heures.