En février, le réviseur d'une petite société de négoce zurichoise demande une seule chose : la facture fournisseur qui se trouve derrière une écriture importante de décembre, telle qu'elle se présentait le jour de la comptabilisation. Le comptable retrouve un PDF. Il s'ouvre sans problème. Mais la question suivante du réviseur demande plus de temps. Comment savoir que c'est bien le fichier qui se trouvait dans le système en décembre, et non une copie retouchée en janvier ?
Cette question résume à elle seule ce qu'est une piste d'audit documentaire de fin d'année. Avant la clôture des comptes, il est utile de savoir quels documents vous devrez présenter et ce que chaque type de preuve permet réellement d'établir.
Ce que les règles suisses exigent de vos documents
Le Code des obligations part de la pièce justificative. Selon l'art. 957a du Code des obligations (CO), la comptabilité suit les principes régissant l'établissement des comptes, dont la justification de chaque écriture par une pièce et la possibilité de la contrôler par la suite. Une pièce peut exister sur papier ou sous forme électronique. Le rapport annuel a son propre calendrier : l'art. 958 CO accorde six mois après la fin de l'exercice pour l'établir et le soumettre à l'organe qui l'approuve, et il doit être signé.
Vient ensuite la conservation. L'art. 958f CO fixe un délai de dix ans, à compter de la fin de l'exercice, pour les livres, les pièces justificatives, le rapport annuel et le rapport de révision. Le rapport annuel et le rapport de révision sont conservés par écrit et signés. Les livres et les pièces peuvent être conservés sous forme électronique, pour autant qu'ils correspondent toujours aux opérations sous-jacentes et puissent être rendus lisibles à tout moment.
L'ordonnance du Conseil fédéral sur la tenue et la conservation des livres de comptes (Olico) précise les modalités pour les documents électroniques. Selon son art. 3, les documents doivent être conservés de manière à ce qu'ils ne puissent pas être modifiés sans que cela soit décelable. L'art. 9 va plus loin pour les supports modifiables : l'intégrité des données enregistrées doit être protégée par un procédé technique, et le moment de l'enregistrement doit pouvoir être prouvé d'une manière qui ne se laisse pas falsifier. L'ordonnance cite la signature numérique comme exemple pour le premier point et l'horodatage pour le second. Elle demande aussi que les procédures soient documentées et que les journaux correspondants soient conservés.
Quatre points qu'un réviseur peut vous demander de démontrer
Il vaut la peine de les distinguer, car une même preuve couvre rarement les quatre.
Que le fichier existait à un moment donné
La date de modification d'un fichier est fixée par celui qui le détient, et n'importe qui peut la changer. Un horodatage électronique qualifié est d'une autre nature. En vertu de l'art. 41 du règlement eIDAS, il bénéficie d'une présomption d'exactitude de la date et de l'heure qu'il indique. C'est à celui qui la conteste d'apporter la preuve contraire.
Qu'il n'a pas été modifié depuis
La même présomption de l'art. 41 couvre l'intégrité des données auxquelles l'horodatage est associé. Concrètement, l'empreinte (hash) du fichier exact est liée à l'heure, de sorte qu'un fichier modifié ne correspond plus. C'est la propriété que l'art. 3 Olico décrit en termes généraux.
Qui a signé
Une signature apposée sur le document montre qui l'a approuvé. Le rapport annuel en est le cas typique, puisque l'art. 958 exige qu'il soit signé. Savoir si une signature scannée, avancée ou qualifiée suffit dépend de la forme exigée par la règle applicable. Cette question relève de votre comptable, pas de l'horodatage.
Qui était la personne
C'est le point que l'on oublie. Un horodatage ne dit rien de la personne qui a déposé le fichier. Si une contrepartie ou une autorité demande qui a établi ou approuvé un document, la réponse doit s'appuyer sur une vérification d'identité derrière le nom. La vérification d'identité de Swiss Trust Layer relie un document scellé à une personne contrôlée sur la base de son passeport, de sorte que le nom figurant sur le document repose sur quelque chose de vérifié.
Ce que fait le scellement, et ce qu'il ne fait pas
Sceller un fichier sur Swiss Trust Layer enregistre l'empreinte du fichier exact avec un horodatage qualifié. Plus tard, chacun peut comparer le fichier au sceau, et la vérification concorde ou non. Cela répond aux deux premières questions ci-dessus.
Cela ne dit pas si la facture était correcte, si l'écriture était juste ou si vos comptes sont complets. Ce n'est pas un logiciel de comptabilité et cela ne rend pas vos livres conformes. L'Olico demande également des procédures documentées et des journaux conservés, et un sceau ne les rédige pas à votre place. Il revient à votre comptable ou à votre réviseur d'apprécier si l'ensemble de votre dispositif satisfait à l'ordonnance.
Un ordre de travail pour les dernières semaines de l'année
Commencez par les documents les plus difficiles à reconstituer plus tard : relevés bancaires, factures liées aux plus grosses écritures, feuilles d'inventaire, contrats signés, approbations du conseil ou des propriétaires. Scellez-les une fois l'ensemble arrêté et conservez les certificats de scellement à côté des fichiers. Si vous migrez des documents vers un nouveau système, consignez le transfert comme le demande l'art. 10 de l'ordonnance, puis vérifiez ensuite que les fichiers correspondent toujours à leurs sceaux.
Notez ensuite, pour chaque document, à laquelle des quatre questions il peut répondre. Les lacunes apparaissent vite. Un contrat fournisseur peut porter un horodatage sans qu'aucune identité ne se trouve derrière. Un rapport annuel signé peut porter une signature sans preuve de la date à laquelle sa version définitive existait.
Avant que le réviseur ne demande
Le réviseur de notre exemple n'a pas besoin d'un récit sur décembre. Il lui faut un fichier et une vérification qui concorde avec lui. Si vous souhaitez en disposer pour votre propre ensemble de fin d'année, commencez à sceller vos documents, ou lisez d'abord le fonctionnement du processus.
