Piste d’audit fiable : organiser les contrôles utiles

La piste d’audit fiable relie une facture à l’opération réelle qui la justifie. Elle repose sur des contrôles effectifs et explicables. Le passage par une plateforme agréée ne permet pas d’affirmer, sans examiner le procédé de sécurisation utilisé, que cette obligation a disparu.

Ce qu’il faut retenir

• La PAF est une voie de sécurisation des factures prévue par l’article 289, VII, 1° du CGI.
• Elle ne remplace pas le circuit électronique obligatoire lorsqu’une opération entre dans son champ.
• Une facture doit pouvoir être rapprochée des éléments utiles de commande, d’exécution et de règlement.
• La documentation décrit des contrôles réellement pratiqués, avec un niveau proportionné à l’entreprise.

Vérifier le procédé utilisé pour chaque flux

L’article 289, V impose l’authenticité de l’origine, l’intégrité du contenu et la lisibilité pendant la conservation. Son VII prévoit plusieurs procédés : contrôles établissant une PAF, signature électronique qualifiée, message structuré respectant les conditions réglementaires et cachet électronique qualifié. Le procédé choisi doit satisfaire à ses conditions propres. Article 289 du CGI.

Dressez une liste de vos flux : factures papier encore autorisées, fichiers reçus de l’étranger, anciennes archives, factures émises ou reçues par plateforme. Pour chaque flux, indiquez le procédé employé et les preuves disponibles. Le seul mot « XML » ou « signature » ne prouve pas que toutes les conditions du procédé choisi sont satisfaites.

La facturation électronique obligatoire détermine le circuit applicable. Une PAF bien documentée n’autorise pas à substituer un PDF par courriel au circuit imposé.

Répartir les tâches avec la plateforme

L’article 41 septies A de l’annexe IV du CGI prévoit que la plateforme doit pouvoir, selon le procédé retenu, contribuer à la documentation de la PAF, satisfaire aux exigences de signature ou tenir les éléments requis pour l’échange de données informatisé. Le texte ne pose donc pas une dispense générale de PAF pour toute facture passant par une plateforme. Exigences relatives aux plateformes agréées.

Demandez au prestataire une réponse écrite : quels contrôles réalise-t-il, quelles traces fournit-il, quelles preuves restent à votre charge ? Une plateforme peut tracer la transmission ; la validation de la livraison ou du service fait dépend généralement de votre processus métier.

Cette répartition doit figurer dans le dossier de choix de la plateforme et être revue lors d’une migration.

Construire un contrôle adapté à votre activité

Le BOFiP prévoit des contrôles proportionnés à la taille, à l’activité et aux systèmes de l’entreprise. Il admet notamment des rapprochements manuels dans une très petite structure. La documentation doit permettre d’expliquer les contrôles et leur réalité ; elle n’impose pas à toute TPE un manuel de contrôle interne de grand groupe. BOI-TVA-DECLA-30-20-30-20, §50 à 80 et 180.

Voici une grille de travail à adapter, et non un formulaire réglementaire universel :

Pour une prestation sans bon de livraison, utilisez un élément adapté : validation de livrable, compte rendu ou attestation de service fait. Ne créez pas après coup un document prétendant constater un contrôle qui n’a jamais eu lieu.

Traiter aussi les exceptions

Une procédure devient utile lorsqu’elle explique ce qui se passe en cas de différence : livraison partielle, prix contesté, facture reçue deux fois ou changement de coordonnées bancaires. Désignez la personne qui bloque le règlement, celle qui vérifie et celle qui décide de la suite.

Conservez le lien entre l’anomalie, la facture et la résolution. Un tableau « contrôlé : oui » sans explication d’un écart ne permet pas de comprendre la décision. Pour la fraude au changement de RIB, prévoyez une confirmation par un canal connu, distinct du message demandant le changement.

Un contrôle du dossier doit permettre de partir d’une facture et de retrouver l’opération, puis de partir d’une opération et de retrouver sa facturation. Les pièces choisies dépendent du processus réellement suivi.

Conserver sans multiplier les copies personnelles

Organisez les durées selon les obligations applicables aux factures et à leurs justificatifs. Le délai fiscal demeure de six ans au 28 septembre 2026, avec une transition légale vers dix ans concernant les documents dont la conservation expire après le 1er janvier 2027. Le guide de conservation des factures détaille cette articulation avec le délai commercial.

Limitez les accès aux pièces et évitez de verser des boîtes de messagerie entières au dossier lorsqu’un justificatif ciblé suffit. L’archive obligatoire et les copies de travail répondent à des besoins différents : notre guide des données personnelles dans les factures aide à les distinguer.

Décrire un circuit que les équipes peuvent expliquer

Pour commencer, choisissez un flux réel de votre organisation : achats récurrents, ventes de biens ou prestations sur devis. Le responsable de ce flux doit pouvoir expliquer comment une facture entre dans le circuit, qui la rapproche des éléments disponibles et comment une différence est résolue. Le dossier doit conserver cette explication même si la personne change de poste.

Une fiche courte peut séparer les éléments stables des pièces propres à chaque opération. La partie stable décrit les outils, les rôles et les contrôles. La partie liée à la facture contient les références utiles, les validations et les éventuelles réserves. Cette organisation proposée évite de recopier la procédure complète dans chaque dossier tout en permettant de comprendre le contrôle appliqué.

Précisez aussi le périmètre des automatismes. Une comparaison du total avec la commande ne vérifie pas nécessairement la quantité reçue. Une détection des doublons par numéro peut manquer une facture retransmise sous une référence différente. Le dossier doit expliquer les limites du contrôle et le traitement prévu pour les situations qu’il ne peut pas résoudre seul.

Gérer les facturations qui ne suivent pas une chaîne simple

Toutes les opérations ne correspondent pas à une commande, une livraison puis une facture unique. Une prestation peut comporter un acompte et plusieurs jalons. Une facture peut regrouper plusieurs livraisons. Le lien entre les pièces doit alors préciser ce qui a déjà été facturé, ce qui reste à facturer et à quelle partie de l’opération chaque montant correspond.

Voici un cas entièrement fictif. La société Érable commande vingt unités à un fournisseur. Le dossier préparé pour l’examen comporte une commande de vingt unités, un justificatif de réception de douze unités et une facture de vingt unités. Ces trois pièces ne permettent pas, à elles seules, de conclure à une facture erronée : il faut encore examiner les modalités de facturation convenues et rechercher les autres éléments d’exécution.

La fiche de contrôle peut donc noter : « écart entre quantité réceptionnée dans la pièce disponible et quantité facturée ; vérification des conditions et de la seconde livraison à effectuer ». Elle désigne la personne chargée de cette recherche. Elle ne doit pas transformer l’absence d’un document dans le dossier en affirmation certaine sur ce qui s’est passé.

Si des pièces complémentaires sont obtenues, conservez leur date et expliquez comment elles modifient la conclusion. Si un avoir est finalement émis, reliez-le à la facture concernée et à la cause de correction. L’exemple ne suppose ni contrôle réellement effectué ni issue particulière ; il montre comment garder une réserve explicite jusqu’à sa résolution.

Vérifier la restitution après un changement d’outil

Une migration peut conserver les fichiers tout en perdant les liens qui permettaient de les comprendre. Examinez donc séparément la présence des documents, leurs références et les associations entre eux. Un répertoire contenant toutes les factures ne restitue pas forcément les validations auparavant visibles dans un outil d’achat.

Avant la fermeture d’un ancien accès, préparez un exercice de restitution. Choisissez des dossiers présentant des situations différentes : opération simple, livraison partielle, avoir ou anomalie résolue. Demandez aux équipes de retrouver les pièces et d’expliquer le chemin suivi. Le compte rendu doit indiquer ce qui a été examiné, ce qui manque et les limites de la vérification. Un échantillon réussi ne démontre pas la complétude de toutes les archives.

Faites préciser les formats disponibles, les droits d’accès et les éléments que le prestataire peut effectivement restituer. La promesse générale d’un « export complet » doit être confrontée à la liste des pièces nécessaires. Vérifiez notamment si les commentaires utiles, dates de validation et références des documents liés sont compris dans l’export envisagé.

Maintenir une documentation fidèle dans le temps

La procédure doit évoluer lorsque le circuit change : nouvelle équipe de validation, changement de plateforme, regroupement de commandes ou nouvelle délégation. Conservez les versions nécessaires pour expliquer le fonctionnement applicable à une période. La procédure actuelle ne décrit pas toujours les contrôles qui existaient lors de l’émission d’une ancienne facture.

Lorsqu’une faiblesse est découverte, distinguez le constat, la mesure corrective et sa vérification. Une procédure nouvellement signée ne prouve pas que le contrôle fonctionnait auparavant. Consignez honnêtement la période et les opérations susceptibles d’être concernées, puis déterminez les recherches ou rapprochements complémentaires possibles. Cette démarche permet de traiter le problème sans fabriquer une preuve historique.

Enfin, donnez une règle de classement aux exceptions. Une différence expliquée, une pièce encore attendue et une anomalie confirmée ne doivent pas recevoir le même statut. Le suivi devient exploitable lorsqu’une personne peut identifier la question ouverte, retrouver les pièces qui la fondent et savoir qui doit prendre la prochaine décision.

Questions fréquentes

La plateforme agréée supprime-t-elle automatiquement la PAF ?

Non. Identifiez le procédé de sécurisation employé et la répartition des preuves. Les textes prévoient expressément une contribution possible de la plateforme à la documentation de la PAF.

Une petite entreprise doit-elle acheter un logiciel spécialisé ?

Les textes n’imposent pas un produit particulier. Des contrôles manuels adaptés peuvent convenir si l’entreprise sait expliquer leur fonctionnement et retrouver les éléments utiles.

L’archivage suffit-il à constituer une PAF ?

Non. Il préserve les documents ; la PAF établit aussi le lien avec l’opération facturée et les contrôles effectués. Une facture parfaitement conservée peut encore correspondre à une livraison contestée.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.