Dans beaucoup de PME, tout le monde travaille avec le même identifiant, souvent celui du dirigeant. C'est confortable, jusqu'au jour où il faut savoir qui a modifié une facture, ou lorsqu'un collaborateur quitte l'entreprise.
Le principe de séparation des tâches
Le contrôle interne repose sur une idée simple : la personne qui engage une dépense ne devrait pas être celle qui la paie, ni celle qui la comptabilise. Dans une petite structure, cette séparation ne peut pas être totale, mais elle peut être partielle, et c'est déjà l'essentiel du bénéfice.
Quatre profils suffisent
- Saisie : créer factures et dépenses, sans accès aux paiements ni aux paramètres
- Validation : approuver, lettrer, valider les écritures
- Consultation : lecture seule, pour le cabinet ou pour un associé non opérationnel
- Administration : paramètres, utilisateurs, connexions bancaires, réservé au dirigeant
L'accès aux connexions bancaires et aux coordonnées de paiement doit rester le plus restreint possible. La fraude au faux fournisseur passe presque toujours par la modification d'un RIB par quelqu'un qui n'aurait pas dû y avoir accès.
L'accès du cabinet comptable
Il gagne à être nominatif et distinct des accès internes, avec des droits adaptés : consultation complète, export du FEC, dépôt de commentaires. Un accès dédié permet aussi de savoir précisément ce que le cabinet a consulté ou modifié, ce qui clarifie les responsabilités en cas de désaccord.
La traçabilité
Chaque écriture doit porter l'identité de son auteur et la date de sa création ou de sa modification. C'est une exigence de la piste d'audit fiable, et c'est également ce qui permet de reconstituer une anomalie. Cette traçabilité perd toute valeur si plusieurs personnes partagent un identifiant.
La revue des accès
Une revue semestrielle de la liste des utilisateurs prend dix minutes : qui a encore un accès, avec quels droits, et est-ce toujours justifié. Les comptes des personnes parties doivent être désactivés le jour du départ, pas au moment où l'on s'en aperçoit.