Piste d’audit et traçabilité
Mis à jour le
Une piste d'audit est la possibilité de reconstituer une opération dans les deux sens : depuis son fait générateur jusqu'à son enregistrement comptable, et inversement depuis une écriture jusqu'aux pièces qui la justifient. Appliquée à un dispositif de contrôle interne, elle porte sur les contrôles eux-mêmes : qui a vérifié quoi, à quelle date, sur la base de quel document, et ce qui a été modifié depuis. Un contrôle réalisé mais non tracé est traité, lors d'un audit, comme un contrôle qui n'a pas eu lieu.
Une notion qui vient de la comptabilité
L'exigence est ancienne en matière de facturation : le VII de l'article 289 du code général des impôts subordonne certaines modalités d'émission des factures à des contrôles documentés et permanents établissant une piste d'audit fiable entre la facture et l'opération qui la fonde.
Le contrôle interne comptable poursuit le même objet à l'échelle du dispositif : les critères de qualité comptable (réalité, justification, exactitude, rattachement au bon exercice) ne se démontrent qu'en remontant d'une écriture à son origine.
Source : Décret n° 2012-1246 du 7 novembre 2012, article 170
Ce qu’elle exige d’un dispositif
Tracer un contrôle ne consiste pas à cocher une case. La trace doit permettre à un tiers, plusieurs mois après, de reconstituer ce qui a été fait sans interroger son auteur.
- L'auteur du contrôle, nommément, et non le service auquel il appartient
- La date et l’heure, horodatées par le système et non saisies par l’utilisateur
- Le périmètre exact : quelles opérations, sur quel échantillon, selon quelle méthode de sélection
- La conclusion, y compris lorsqu'elle ne relève aucune anomalie
- Les pièces consultées, conservées ou référencées
- L'historique des modifications ultérieures, avec leur auteur et leur motif
Pourquoi le tableur ne suffit pas
Un fichier bureautique n'atteste de rien : sa date de modification est celle du dernier enregistrement, son auteur celui du dernier utilisateur, et rien n'y distingue une correction de saisie d'une réécriture postérieure au contrôle.
Ce n'est pas une question d'outillage mais de valeur probante. Un dispositif dont les traces peuvent être modifiées sans laisser d'empreinte ne démontre pas ce qu'il prétend démontrer, quelle que soit la rigueur de ceux qui le tiennent.
La conservation, souvent oubliée
La traçabilité suppose une durée de conservation compatible avec celle des contrôles susceptibles d'intervenir. Un examen de la gestion ou une certification portent sur des exercices clos, parfois anciens.
La question se double d'une contrainte inverse issue du RGPD : ces traces désignent des agents nommément, et ne peuvent être conservées indéfiniment sans justification. L'arbitrage entre les deux se documente.
Ce qu’Isodit apporte sur ce point
- Horodatage système de chaque opération, avec son auteur
- Historique des modifications : ce qui a changé, quand et par qui
- Conservation des contrôles concluant à l'absence d'anomalie au même titre que les autres
- Restitution d'un dossier de preuve par processus ou par exercice