Experts-comptables : sécuriser la collecte de documents

Les experts-comptables et teneurs de livres peuvent limiter la dispersion des documents en proposant à chaque client un canal de collecte unique, en demandant une liste précise pour une période définie et en supprimant le dépôt temporaire après le transfert des éléments requis vers le logiciel comptable ou le système de gestion du cabinet.

Le portail est le bureau de réception, pas le dossier client. Cette distinction évite que les factures, relevés, états de paie et justificatifs d'identité ne s'installent dans les boîtes personnelles, les dossiers de téléchargement et les longues chaînes d'e-mails.

Définissez le travail avant d'ouvrir la collecte

"Envoyez tout pour le trimestre" est rapide à écrire et coûteux à gérer. Les clients répondent avec des exports en double, des relevés complets lorsque deux pages suffisent, des échanges sans rapport et des archives de la mauvaise période.

Construisez la demande à partir du programme de travail. Pour chaque élément, précisez :

• Le document ou rapport exact
• L'entité, le compte ou la période qu'il doit couvrir
• Le format accepté
• La raison de la demande
• La possibilité d'accepter une copie partielle ou masquée
• La personne chargée du contrôle
• L'emplacement du document approuvé
• La date de suppression de la copie de collecte

Le principe de minimisation du RGPD s'applique lorsque les archives contiennent des données personnelles : les informations doivent être adéquates, pertinentes et limitées à la finalité annoncée. Les règles fiscales, commerciales et professionnelles peuvent imposer la conservation de certains documents. Elles régissent le dossier client officiel, pas chaque pièce jointe ou copie de travail temporaire.

Utilisez une matrice de collecte

Cet exemple transforme une demande comptable récurrente en transfert contrôlé. Adaptez-le à la mission et aux exigences locales.

N'ajoutez une ligne que si la mission l'exige. Une destination vide est un signal d'alerte : si personne ne sait où placer le document après contrôle, le portail risque de devenir une archive par accident.

Séparez la demande du document

Envoyez une notification qui identifie le cabinet, la mission et l'échéance sans placer d'informations sensibles dans l'objet. Le message peut mener à une page de dépôt qui affiche la demande exacte et les informations de confidentialité du cabinet.

Ne joignez pas un formulaire fiscal partiellement rempli ou un relevé d'exemple contenant de vraies données. Utilisez un modèle vierge ou décrivez les champs attendus. Ne placez ni identifiant fiscal, ni numéro de compte bancaire, ni nom de fichier dans les rappels.

Une adresse e-mail dédiée aux documents peut aider les clients qui ne peuvent pas utiliser le navigateur. Elle crée tout de même des copies dans leur dossier Envoyés et les systèmes de messagerie. Expliquez cette limite et évitez de transférer le message en interne. Notre comparatif entre portails de dépôt et pièces jointes détaille les compromis.

La Publication 4557 de l'administration fiscale américaine sur la protection des données fiscales recommande aux professionnels de connaître les emplacements des informations sensibles, de limiter les accès aux salariés autorisés, de chiffrer les informations sensibles en transit et d'éliminer les archives de manière sûre. Ses références juridiques concernent les fiscalistes américains, mais ses questions sur l'inventaire et les accès sont utiles ailleurs. Chaque cabinet doit suivre son autorité, son ordre professionnel et le droit applicable.

Proposez à chaque client un parcours répétable

Les clients commettent moins d'erreurs lorsque le parcours reste identique :

1. Le cabinet envoie une demande pour une période comptable.
2. Le client utilise la page de dépôt reconnaissable du cabinet.
3. Le portail confirme la réception sans énumérer les noms de fichiers par e-mail.
4. La personne désignée vérifie que le dépôt est complet et refuse les fichiers inutilisables.
5. Elle importe ou consigne les informations acceptées dans le système comptable approuvé.
6. Le cabinet demande les remplacements par le même canal.
7. La personne clôture la liste et retire la copie temporaire de collecte.

Conservez la liste de suivi de la mission hors du portail. Elle peut indiquer "justificatif bancaire de mars reçu" sans copier de numéro de compte, de solde ou de nom de fichier. L'équipe voit ainsi l'avancement pendant que les documents suivent leur propre calendrier de suppression.

Limitez l'accès selon la mission et la tâche

L'accueil peut avoir besoin de savoir qu'un dépôt est arrivé sans le lire. Un collaborateur peut avoir besoin des factures mais pas des justificatifs du bénéficiaire effectif. Un associé peut approuver une exception sans accéder systématiquement à chaque relevé. Un prestataire externe ne doit pas hériter de toute la liste des clients parce qu'il remplace une personne pendant une semaine.

Utilisez des comptes nommés et réexaminez les droits après un changement de personnel ou de mission. Séparez la consultation ordinaire des téléchargements d'originaux, des modifications de suppression et de l'administration des membres. Notre liste du moindre privilège propose une matrice adaptable à un cabinet comptable.

Les recommandations de sécurité du Comité européen de la protection des données pour les petites entreprises préconisent des identifiants individuels, des profils d'autorisation différenciés, le retrait des droits obsolètes et des examens réguliers. Elles rappellent aussi que les mesures doivent correspondre au risque du traitement.

Traitez les changements de coordonnées bancaires comme un contrôle antifraude distinct

Un portail peut recevoir une attestation bancaire ou un mandat, mais le dépôt ne prouve ni l'identité de l'expéditeur ni l'authenticité des coordonnées de paiement. Une personne qui contrôle la messagerie d'un client peut aussi recevoir ou utiliser les liens envoyés à cette adresse.

Vérifiez les changements de paiement par un canal distinct et fiable défini par le cabinet. Utilisez par exemple un numéro de téléphone déjà présent dans le dossier client et une personne autorisée. Ne prenez pas le numéro fourni dans la demande de modification comme unique moyen de contrôle.

La collecte, l'analyse antimalware et la validation des fichiers ne remplacent ni les contrôles d'identité, ni les procédures contre le blanchiment, ni la signature électronique, ni l'autorisation des paiements. Chacun exige sa propre mesure approuvée.

Vérifiez que le service autorise les documents

Le travail comptable porte souvent sur des documents qui mêlent des informations financières ordinaires à des catégories restreintes. Une déclaration fiscale personnelle peut contenir des informations sur des personnes à charge, des dépenses de santé ou des affaires pénales. Les documents de paie peuvent inclure des absences maladie ou des cotisations syndicales. Un relevé complet de carte peut contenir des données qu'un produit de collecte généraliste n'autorise pas.

Sunset Docs n'est pas autorisé par défaut pour les données concernant des mineurs, relatives aux condamnations pénales, relevant de catégories particulières, biométriques utilisées pour identifier une personne de manière unique, les données complètes de carte bancaire, les identifiants ou les secrets. Ne déposez pas une déclaration ou une liasse de paie complète avant qu'une personne n'en ait vérifié le contenu au regard de ces restrictions. Utilisez une solution approuvée ou concluez l'accord écrit requis lorsqu'il est proposé.

Le service ne vérifie pas non plus l'identité et ne constitue pas une archive fiscale, comptable ou client permanente. Son rôle se limite à la collecte temporaire de documents autorisés. Notre évaluation en 15 questions aide les équipes à confirmer cette adéquation avant utilisation.

Terminez le processus après le contrôle

Une fois le dépôt complet, consignez le résultat du travail dans le système de mission. Ne transférez vers le dossier client approuvé que les documents que le cabinet doit conserver. Supprimez ensuite la copie temporaire et tout téléchargement local exceptionnel.

Ne promettez pas que la suppression du dépôt actif efface instantanément chaque sauvegarde protégée. Vérifiez le cycle publié du prestataire. Ne laissez pas non plus une annulation d'abonnement ou un problème de paiement prolonger la date de suppression.

Sunset Docs programme la suppression à la collecte, permet aux utilisateurs autorisés de supprimer plus tôt et maintient la conservation malgré les changements de facturation. Sa visionneuse réduit les téléchargements ordinaires d'originaux, mais n'empêche ni captures d'écran, ni photographies, ni impressions, ni transcriptions. Les mesures et limites actuelles figurent sur la page Sécurité.

Un modèle de demande client

Merci d'utiliser notre page de dépôt pour les documents de {mois, trimestre ou mission} :

{upload_link}

Merci de fournir {éléments exacts} pour {entité et plage de dates} avant le {date}. N'ajoutez aucun document extérieur à cette période. Vous pouvez masquer {champs} s'ils ne sont pas nécessaires au travail et si le document reste exploitable.

{Rôle ou équipe} consultera le dépôt. La suppression de la copie temporaire est programmée {délai}. Les documents que nous devons conserver seront placés dans notre système client approuvé selon les informations de conservation figurant dans {lien de confidentialité ou de mission}.

Contactez {contact du cabinet} avant de déposer des informations de santé, des données de mineurs, relatives aux condamnations pénales, des données complètes de carte bancaire ou des identifiants de compte.

Questions fréquentes

Un portail de dépôt remplace-t-il un logiciel comptable ?

Non. Il reçoit des fichiers pour consultation. Les opérations, rapprochements, dossiers de travail et archives client appartiennent aux systèmes comptables, fiscaux ou de gestion du cabinet approuvés.

Les clients peuvent-ils envoyer leurs documents par e-mail s'ils le préfèrent ?

Le cabinet peut proposer une collecte par e-mail approuvée comme solution de repli. Expliquez que des copies externes restent dans les boîtes mail, gardez un objet générique et replacez le travail dans le même processus contrôlé de consultation et de suppression.

Le cabinet doit-il conserver tous les originaux reçus ?

Non. Conservez les documents exigés par la mission, les règles professionnelles ou la loi. Retirez les doublons et copies temporaires lorsque leur finalité prend fin. Le cabinet doit documenter cette distinction.

Un portail peut-il réaliser les vérifications de connaissance du client ?

Non. La réception d'un fichier ne vérifie ni identité, ni propriété, ni authenticité, ni statut au regard des sanctions. Utilisez le processus de conformité et de vérification approuvé par le cabinet.

Que faire si un document contient les informations d'une personne à charge ?

Arrêtez-vous avant de le déposer dans un service qui n'autorise pas les données de mineurs. Utilisez un canal approuvé ou collectez un document plus ciblé si le processus et les règles applicables le permettent.

Comment donner accès au personnel saisonnier ?

Donnez à chaque personne un compte nommé, le rôle le plus étroit nécessaire et une date de fin liée à la mission. Examinez l'activité récente et retirez l'accès dès la fin du travail.