Un logiciel comptable contient tout ce qu’un escroc cherche : la liste des fournisseurs et leurs coordonnées bancaires, les salaires, la trésorerie, les factures à payer. Il contient aussi des données personnelles de salariés et de clients, que le RGPD vous oblige à protéger. La sécurité ne se joue pas d’abord sur la technique de l’éditeur, mais sur la façon dont l’entreprise organise ses propres accès.
Les quatre règles de base
- Un compte par personne. Jamais d’identifiant « compta@ » partagé entre trois utilisateurs. Sans compte nominatif, le journal des actions ne sert à rien.
- La double authentification pour tous, administrateurs compris : un code sur le téléphone ou une clé physique en plus du mot de passe. C’est la mesure la plus efficace contre le vol d’identifiants par hameçonnage.
- Des accès retirés le jour du départ d’un salarié, d’un stagiaire ou d’un cabinet comptable, en même temps que ses accès bancaires.
- Une revue trimestrielle de la liste des utilisateurs et de leurs droits, signée par le dirigeant.
Les droits utilisateurs
Un logiciel sérieux permet d’attribuer des rôles plutôt que de tout ouvrir à tout le monde. Le principe est le moindre privilège : chacun a ce dont il a besoin, rien de plus, et aucun circuit sensible ne peut être parcouru en entier par une seule personne.
| Rôle | Peut | Ne doit pas pouvoir |
|---|---|---|
| Saisie | enregistrer factures et notes de frais, joindre les pièces | valider une période, créer un fournisseur |
| Validation des achats | approuver les factures de son périmètre | modifier un RIB |
| Trésorerie | préparer et transmettre les virements | créer un fournisseur ou modifier ses coordonnées bancaires |
| Comptable | écritures d’inventaire, clôture de période, déclarations | gérer les utilisateurs |
| Expert-comptable | dossier complet, régularisations | payer |
| Consultation | lire balances, grands livres, tableaux de bord | modifier |
| Administrateur | créer et retirer des accès | idéalement rien d’autre au quotidien |
Trois cumuls sont à proscrire : créer un fournisseur et le payer, modifier un RIB et signer le virement, saisir une facture et l’approuver seul au-delà d’un montant fixé. Dans une très petite structure, où une seule personne fait presque tout, compensez par un contrôle a posteriori : le dirigeant relit chaque mois la liste des fournisseurs créés et des coordonnées bancaires modifiées, que le journal des modifications doit pouvoir produire.
La fraude au changement de RIB reste la plus fréquente contre les TPE : un faux courriel de fournisseur annonce de nouvelles coordonnées, le virement suivant part chez l’escroc. Toute modification de RIB se confirme par téléphone, à un numéro déjà connu, et se fait par une autre personne que celle qui paie.
Les données dans le cloud
La quasi-totalité des logiciels comptables récents sont hébergés en ligne. C’est en général plus sûr qu’un serveur au fond d’un bureau, à condition de choisir l’éditeur sur des critères vérifiables plutôt que sur une promesse commerciale.
| Critère | Ce qu’il faut obtenir |
|---|---|
| Localisation des données | hébergement dans l’Union européenne, avec la liste des sous-traitants |
| Contrat de sous-traitance RGPD | un accord de traitement des données conforme à l’article 28 du RGPD |
| Chiffrement | des données en transit et au repos |
| Sauvegardes | fréquence, durée de rétention, test de restauration, copie sur un second site |
| Réversibilité | export complet à tout moment : FEC, pièces justificatives, factures électroniques d’origine, fiches tiers |
| Journalisation | historique des connexions et des actions consultable par l’administrateur |
| Qualifications | certifications de sécurité de l’hébergeur ; la qualification SecNumCloud de l’ANSSI est le niveau le plus exigeant en France |
Deux points sont souvent négligés. D’abord la réversibilité : un dossier enfermé chez un éditeur qui ne permet pas d’exporter les pièces et les fichiers d’origine vous empêche de changer d’outil et peut vous mettre en difficulté lors d’un contrôle si l’éditeur disparaît. Ensuite les sauvegardes de votre côté : exportez au moins à chaque clôture le FEC et les pièces de l’exercice vers un stockage que vous contrôlez.
Les intégrations
Chaque application connectée (banque, plateforme agréée, caisse, outil de notes de frais) détient un jeton d’accès à votre dossier. Donnez à chacune une autorisation limitée à son usage, vérifiez la liste une fois par an et révoquez celles que vous n’utilisez plus. Les règles de conception sont détaillées dans l’intégration API comptable.
En cas d’incident
Bloquez le compte concerné, changez les mots de passe et révoquez les jetons des intégrations, puis relisez dans le journal toutes les actions faites depuis la dernière connexion légitime : RIB modifiés, virements préparés, écritures supprimées. Prévenez votre banque immédiatement si un virement est parti. Si des données personnelles ont pu être consultées ou dérobées, la violation doit en principe être notifiée à la CNIL dans les 72 heures, et les personnes concernées informées si le risque est élevé. La répartition des accès avec votre cabinet est traitée dans la collaboration avec l’expert-comptable.