Partage de fichiers comptables : guide des bonnes pratiques

Les fichiers comptables circulent en permanence entre un cabinet et ses clients — sauvegardes QuickBooks, organisateurs fiscaux, relevés bancaires, registres de paie et données sources pour les déclarations — et chaque transfert doit satisfaire les règles de confidentialité de l'ordre professionnel, les standards de sécurité de l'administration fiscale française, et les obligations du RGPD. La CNIL a sanctionné plusieurs cabinets pour transmission non sécurisée de données clients, avec des amendes pouvant atteindre 20 000 € pour des cabinets de petite taille. Tout document contenant un numéro de sécurité sociale, des coordonnées bancaires ou des données personnelles identifiables constitue une donnée sensible au sens de l'article 9 du RGPD. La pile principale pour la plupart des cabinets de petite et moyenne taille : SmartVault ou ShareFile pour le portail client principal, un logiciel de comptabilité avec échange chiffré intégré, DocuSign pour les flux de signature, et un service de transfert chiffré ad hoc pour les crises de fin de période.

Portails clients : SmartVault, ShareFile, Canopy, TaxDome

SmartVault débute à 25 € par utilisateur et par mois, ShareFile à 50 € par utilisateur et par mois pour les fonctionnalités avancées. Canopy et TaxDome ciblent spécifiquement les cabinets comptables, en regroupant portail, gestion de cabinet et facturation. Un petit cabinet typique (3 à 10 experts-comptables, 200 à 800 clients) choisit l'une de ces solutions selon l'adéquation avec ses flux de travail. Fonctionnalités à comparer : chiffrement AES-256-GCM au repos, TLS 1.3 en transit, intégration SSO, séparation des rôles conseiller/client, e-signature intégrée, téléchargement mobile pour les photos de reçus, et politiques de conservation par type de document. Testez l'interface côté client — si l'UX du portail est pénible, les clients reviennent à l'envoi de pièces jointes par email et votre posture de sécurité s'effondre.

Catégorisation des données par niveau de sensibilité

Tous les fichiers comptables ne sont pas également sensibles. Un modèle d'organisateur vide est public. Une balance d'essai est une information commerciale confidentielle. Un bulletin de salaire avec un numéro de sécurité sociale est une donnée personnelle à risque élevé en vertu du RGPD et des lois sur la notification de violation. Un relevé fiscal avec des coordonnées bancaires déclenche les obligations de sécurité renforcée prévues par les lignes directrices de la CNIL. Classez les documents à l'envoi en niveaux Public / Interne / Confidentiel / Restreint, et appliquez cette classification dans les politiques de conservation et d'accès. Les certifications ISO 27001 et SOC 2 poussent les cabinets vers cette approche structurée.

Les pics de la saison fiscale

De janvier à fin mai, le volume de transferts de fichiers d'un cabinet comptable grimpe de 10x. Un seul dossier de déclaration peut inclure 80 à 200 documents par client — bulletins de salaire, avis d'imposition, justificatifs de charges, reçus de dons. Pour un cabinet avec 500 clients, cela représente 40 000 à 100 000 documents sur 90 jours. Les portails avec téléchargement en masse, OCR automatique vers le logiciel fiscal, et téléchargement via application mobile réduisent considérablement le temps de traitement. Les structures de frais indexées sur le volume de transfert (comme certains services de transfert facturés à l'API) détruisent vos marges — optez pour une tarification forfaitaire par client dans la mesure du possible.

Le canal avec l'administration fiscale

L'espace professionnel impots.gouv.fr et les portails des organismes sociaux gèrent les communications sécurisées avec l'administration fiscale française. La DGFIP, l'URSSAF et les organismes de recouvrement disposent de portails sécurisés spécifiques. Évitez le fax — les serveurs de fax transmettent souvent en clair sur le réseau, et de nombreux systèmes de fax modernes relaient vers l'email, ce qui signifie que le numéro de sécurité sociale de votre client est passé par une boîte Outlook en texte clair. Lorsque l'administration demande des pièces justificatives en réponse à un avis de redressement, utilisez les portails officiels ou le courrier recommandé avec accusé de réception. N'envoyez jamais de documents fiscaux non chiffrés par email.

Lettres de mission et consentements de divulgation

La réglementation française interdit aux experts-comptables de divulguer des informations de déclaration sans consentement écrit. Le RGPD renforce cette obligation : toute divulgation à un tiers (un établissement bancaire demandant des déclarations fiscales, un avocat en droit des affaires) nécessite une base légale documentée. Pour ces divulgations, obtenez le consentement signé via DocuSign ou Adobe Sign avant tout transfert. Les violations peuvent entraîner des sanctions disciplinaires de l'ordre professionnel et des amendes CNIL. Conservez les consentements signés dans le dossier client pour la durée du délai de prescription applicable.

Import des relevés bancaires et des données de transactions

La comptabilité récupère les données bancaires via des connecteurs API des principaux établissements français — BNP Paribas, Société Générale, Crédit Agricole et la plupart des banques en ligne proposent des API compatibles DSP2. Le client accorde son consentement OAuth, l'application lit les transactions pour la période autorisée, et les données alimentent le logiciel de comptabilité. Pour les banques non disponibles en connecteur automatique, les clients téléchargent manuellement des relevés PDF ou CSV. Les relevés bancaires PDF dépassent souvent 20 Mo par an pour un compte professionnel — au-dessus de la limite de pièces jointes Gmail. Un portail avec téléchargement de dossier en masse gère cela, ou un lien chiffré pour les rattrapages ponctuels.

Dossiers d'audit et de révision de fin d'exercice

Pour les cabinets fournissant des services d'attestation, les dossiers de travail d'audit nécessitent un stockage durable pendant la période de conservation — généralement 7 ans selon les normes professionnelles françaises et les standards PCAOB pour les audits de sociétés cotées. Les dossiers de travail comprennent les feuilles de synthèse, les calculs justificatifs, les lettres d'affirmation de la direction et les notes d'entretien. CaseWare et Wolters Kluwer's ProSystem fx Engagement dominent le marché des logiciels d'audit. Pour l'échange de fichiers entre le commissaire aux comptes et le directeur financier du client, le portail du cabinet gère les entrées ; la gestion interne des dossiers de travail passe par Microsoft 365 ou un outil dédié. Restreignez l'accès à l'équipe de mission plus le réviseur.

Sorties de clients et passations vers un autre cabinet

Quand un client part vers un autre cabinet comptable, le successeur demande les pièces au titre des règles professionnelles. Le cabinet sortant doit fournir les pièces appartenant au client (ses justificatifs, ses déclarations antérieures) mais peut retenir les dossiers de travail du cabinet. La remise se fait généralement par portail sécurisé ou lien chiffré — jamais sur clé USB remise physiquement au client car les clés USB se perdent. Conservez votre propre copie d'archivage selon les règles de conservation. Selon les règles de l'ordre des experts-comptables, des délais précis s'appliquent pour répondre aux demandes de dossiers — préparez un flux de travail en amont.

Transferts chiffrés ad hoc pour les urgences de saison

14 mai, 20h. Un client vient de réaliser qu'il a oublié sa déclaration de revenus fonciers. Le portail est en maintenance pour la nuit ; la déclaration doit partir demain. Un lien chiffré à expiration de 24 heures fait parvenir le fichier à votre bureau sans ouvrir un ticket dans le système de portail. HexaTransfer, SwissTransfer et Dropbox Transfer couvrent ce cas. Enregistrez le fichier dans votre système de gestion de cabinet a posteriori pour que la piste d'audit reste cohérente. N'acceptez pas de documents fiscaux par SMS, WhatsApp ou Gmail personnel — ces canaux ne sont pas conformes au RGPD et votre assureur responsabilité professionnelle vous interrogera à ce sujet après une violation.

Essayez HexaTransfer sur https://hexatransfer.com — gratuit, sans compte, 10 Go maximum. Pour le client du 14 mai qui vient enfin de retrouver le justificatif manquant à 22h, un lien à connaissance nulle vous permet de déposer à temps sans compromettre votre posture de conformité RGPD.