Paie externalisée : répartir les responsabilités

Externaliser la paie permet de confier des opérations à un prestataire ; cela ne remplace pas l’employeur dans ses obligations envers les salariés et les organismes sociaux. La mission doit préciser qui calcule, qui vérifie, qui décide, qui déclare et qui suit les corrections. Une validation mensuelle globale, sans documents ni responsable identifié, protège mal les deux parties.

La bonne répartition associe trois documents cohérents : une lettre de mission décrivant les prestations, un calendrier de fonctionnement et les clauses de protection des données. Aucun de ces documents ne suffit isolément. Voici une méthode pour organiser une paie de PME et traiter les désaccords sans attendre de déterminer définitivement qui supportera le coût d’une erreur.

L’employeur reste l’interlocuteur responsable de sa paie

Lors du paiement du salaire, l’employeur remet le bulletin. Il conserve les doubles pendant cinq ans. Confier leur préparation, leur diffusion ou leur archivage à un cabinet n’efface pas ces obligations. Il doit pouvoir obtenir les documents et vérifier l’exécution des tâches confiées. Code du travail, L. 3243-2 et L. 3243-4.

La DSN relève également de l’obligation de l’employeur. Elle porte sur les rémunérations, les caractéristiques de l’emploi, les événements et les autres données prévues par le texte. Les données antérieurement inexactes ou incomplètes doivent, le cas échéant, être régularisées. La mention « déclarations incluses » dans une offre commerciale ne permet pas de laisser une anomalie connue sans suite. Code de la sécurité sociale, L. 133-5-3(I).

Cela ne rend pas le prestataire irresponsable. Une inexécution de ses engagements peut engager sa responsabilité contractuelle, à apprécier selon la mission, les faits, le préjudice et le lien entre eux. Le recours contre le prestataire reste distinct de la régularisation due au salarié ou à l’organisme. Code civil, article 1231-1.

Décrire une mission, pas seulement un nombre de bulletins

Avant signature, demandez une liste des opérations incluses et exclues. La préparation du bulletin n’inclut pas nécessairement le conseil sur une rupture, la rédaction d’un avenant, l’exécution bancaire ou la défense lors d’un contrôle. Une interface permettant de déposer des pièces ne prouve pas que quelqu’un les examine avant la paie.

La lettre de mission doit notamment préciser la reprise des paramètres initiaux : convention collective, classifications, rémunérations, temps de travail, organismes et historiques nécessaires. Distinguez les faits communiqués par l’entreprise de l’analyse technique confiée au cabinet. Si celui-ci doit vérifier un paramètre, décrivez les pièces nécessaires et la réponse attendue ; une case « validé client » ne devrait pas masquer une question technique restée sans réponse.

Fixez également le circuit des demandes hors périmètre. Par exemple : signalement du besoin, explication de l’incidence, accord sur la prestation supplémentaire et calendrier compatible avec l’obligation à remplir. La découverte tardive d’un coût ne doit pas devenir le seul moment où les parties discutent de la tâche.

Exemple : une annexe de fonctionnement renseignée

Prenons l’entreprise fictive Ardoise, dix-huit salariés, qui confie ses bulletins et déclarations à un cabinet. Léa est responsable administrative ; le dirigeant autorise les paiements ; Paul est le gestionnaire du cabinet, avec une remplaçante désignée. Le tableau suivant est une organisation contractuelle proposée, pas un calendrier imposé par la loi.

Les dates internes laissent du temps pour calculer et contrôler. Elles n’autorisent pas à ignorer un fait connu après le 23 septembre. Le cabinet doit expliquer comment il intègre une absence tardive ou une décision reçue avant la clôture ; après clôture, il qualifie avec l’entreprise la correction nécessaire.

Dans cette hypothèse de moins de cinquante salariés, l’échéance mensuelle de cotisations est le 15 du mois suivant : le calendrier doit préserver cette contrainte, au-delà du paiement des salaires le 30. La date de paiement du salarié n’est pas la date limite universelle des déclarations sociales. Code de la sécurité sociale, R. 243-6(II).

Contrôler un résultat sans refaire toute la paie

Le contrôle employeur porte d’abord sur ce qu’il connaît : salariés présents, entrées et sorties, absences, heures transmises, rémunérations décidées et changements bancaires. Le cabinet présente les différences significatives et explique les questions de calcul relevant de sa mission. Comparer seulement le total du virement avec celui du mois précédent manque une erreur compensée par une variation inverse.

Chez Ardoise, une décision écrite prévoit, pour Nora, un salaire de base de 2 450 euros bruts et une prime de septembre de 350 euros bruts. Sous l’hypothèse qu’aucun autre élément brut n’intervient, le total attendu est 2 800 euros bruts. Un brouillon affichant 2 600 euros doit conduire à examiner les lignes : il pourrait avoir repris l’ancienne prime de 150 euros. Ce calcul ne permet pas de déduire le net, qui dépend des prélèvements applicables.

Deux dossiers appellent des analyses différentes. Si Léa a envoyé la décision de 350 euros dans le canal convenu et que le cabinet a repris l’ancienne valeur, on conserve cet envoi et on demande l’explication de l’écart. Si la décision est restée dans la messagerie du dirigeant, le cabinet ne disposait pas de ce fait ; il faut examiner les transmissions et les vérifications effectivement convenues avant d’attribuer l’erreur.

Dans les deux cas, la priorité opérationnelle reste la même : calculer la paie correcte, identifier la version approuvée, mettre en cohérence le paiement et les déclarations concernés. La conclusion du dossier est documentée : prime retenue 350 euros, brut 2 800 euros, référence du bulletin final et validation correspondante. Le désaccord sur les honoraires de correction est traité séparément.

Dépôt DSN et paiement ne clôturent pas le suivi

La mission doit attribuer la lecture des retours, y compris lorsqu’ils arrivent après le dépôt. Précisez qui distingue une question d’identité, un écart de cotisations ou une information fiscale, qui répond et qui vérifie le résultat de la correction. Le dirigeant n’a pas besoin de manipuler chaque fichier technique, mais doit connaître les anomalies qui demandent sa décision.

Une liste de suivi utile indique la période, l’organisme, la donnée concernée, le responsable, l’échéance et la preuve de clôture. Pour choisir entre remplacement, régularisation ou échange avec l’organisme, utilisez la procédure de correction des anomalies DSN. N’assimilez pas « fichier renvoyé » à « correction prise en compte ».

La lettre de mission doit aussi organiser les pièces nécessaires à un contrôle Urssaf. Désignez celui qui extrait l’historique et celui qui explique les décisions de l’entreprise ; l’un ne possède pas nécessairement les informations de l’autre.

Qualifier le rôle RGPD et limiter les accès

Pour la production de paie réalisée sur instruction de l’employeur, le prestataire intervient généralement comme sous-traitant. Cette qualification porte sur une activité précise. Elle ne signifie pas que toutes les opérations du cabinet, notamment celles répondant à ses obligations propres, sont réalisées pour le compte du client. Les définitions se fondent sur les finalités et moyens réellement déterminés. RGPD, Art. 4(7) et 4(8).

Le contrat doit couvrir les instructions, la confidentialité, la sécurité, les prestataires ultérieurs, l’assistance, les contrôles et le sort des données. Identifiez les outils employés et les lieux de traitement, plutôt que de vous contenter d’une mention « conforme RGPD ». Le contrat de sous-traitance RGPD doit correspondre à la mission de paie réellement confiée. RGPD, Art. 28(1), 28(2) et 28(3).

Une organisation raisonnable utilise des comptes nominatifs, des droits limités et un canal protégé. Le manager qui valide des heures n’a pas, pour cette seule raison, à consulter les coordonnées bancaires de toute l’entreprise ou le taux de prélèvement à la source. Pour un changement de compte bancaire, prévoyez une confirmation par un canal déjà connu, distinct du message qui demande la modification. Ce choix pratique répond au risque de détournement ; il ne constitue pas une formalité légale uniforme.

En cas d’indisponibilité du portail, le circuit de secours doit être prévu : interlocuteur, mode de transmission autorisé et vérification des versions. Envoyer tout le dossier RH sur une adresse personnelle improvisée n’est pas une solution de continuité satisfaisante. Le niveau de sécurité doit être adapté au risque, notamment pour la confidentialité, l’intégrité et la disponibilité. RGPD, Art. 32(1) et 32(2).

Préparer la sortie et les archives séparément

Avant la résiliation, convenez de la dernière période traitée, des déclarations restant à déposer et des anomalies encore ouvertes. Une migration des dossiers RH doit transmettre les paramètres et historiques nécessaires au repreneur, avec les explications utiles ; une collection de PDF ne permet pas toujours de reprendre les calculs.

Prévoyez une restitution vérifiable : inventaire, formats exploitables, contrôle de présence, accès limité pour la passation puis retrait des anciens droits. L’Art. 28(3)(g) du RGPD organise, au choix du responsable, le renvoi ou la suppression des données et la destruction des copies, sauf obligation légale de conservation. Toute conservation invoquée doit donc être identifiée et circonscrite, pas assimilée à un accès opérationnel illimité.

Enfin, les cinq ans de conservation des doubles par l’employeur ne règlent pas à eux seuls la disponibilité du bulletin électronique pour le salarié. Cette obligation spécifique doit continuer à être assurée lors du changement de prestataire. Ne résiliez pas un portail en supposant que le simple export destiné à la comptabilité maintient l’accès individuel requis. Code du travail, D. 3243-8.

Ce qu’il faut retenir

• Répartissez les opérations et les preuves attendues avant la première paie.
• Séparez faits transmis, expertise du cabinet et décisions de l’employeur.
• Corrigez la paie sans attendre l’issue d’un recours entre les parties.
• Préservez le suivi des retours, les archives et la disponibilité des bulletins lors de la sortie.

FAQ

L’absence de réponse du dirigeant vaut-elle validation ?

Ne construisez pas le fonctionnement sur cette supposition. Organisez une relance et une suppléance ; une éventuelle clause de validation doit être examinée avec ses conditions et ne rend pas exactes des données erronées.

Le prestataire dispose-t-il de soixante-douze heures pour signaler une fuite à son client ?

L’Art. 33(2) lui impose d’informer le responsable du traitement dans les meilleurs délais après en avoir connaissance. Le délai de soixante-douze heures concerne, sous les conditions de l’Art. 33(1), la notification du responsable à l’autorité. RGPD, article 33.

Faut-il transmettre les entretiens d’évaluation au cabinet ?

Pas par principe. Pour calculer une prime décidée, transmettez la décision et les éléments nécessaires à sa paie. L’ensemble des commentaires d’évaluation n’est pas justifié par la seule commodité d’un dossier partagé.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.