Préparation à l'audit des notes de frais : le guide

Votre système de gestion des dépenses sera-t-il prêt lorsque les auditeurs frapperont à votre porte ? Pour la plupart des organisations, la réponse à cette question est un « probablement » inquiet. La préparation à l'audit ne se fait pas du jour au lendemain. Elle exige des processus systématiques, une documentation exhaustive et une technologie qui enregistre chaque transaction et chaque décision de votre flux de gestion des dépenses.

Ce guide couvre tout ce que vous devez savoir pour atteindre et maintenir la préparation à l'audit des dépenses. Que vous vous prépariez à un audit interne ou à un audit financier externe, ou que vous travailliez à l'obtention d'une certification SOC 2 ou ISO 27001, les principes et pratiques présentés ici vous aideront à bâtir un processus de gestion des dépenses prêt pour l'audit à tout moment.

Comprendre les exigences de la piste d'audit

La piste d'audit est la pierre angulaire de la préparation à l'audit des dépenses. Elle crée un enregistrement chronologique de chaque transaction dans votre système de gestion des dépenses, depuis le moment où la dépense est engagée jusqu'à son rapprochement final dans le grand livre.

Ce qu'une piste d'audit complète doit enregistrer

Une piste d'audit des dépenses solide doit enregistrer les éléments suivants pour chaque transaction :

• Origine de la transaction : quand et où la dépense a eu lieu ; nom du fournisseur, lieu, date et heure.
• Détails de la soumission : quand la dépense a été soumise, par qui et par quel canal (mobile, web, e-mail, flux de carte d'entreprise).
• Pièces justificatives : reçus originaux, factures et documents complémentaires joints à la dépense.
• Chaîne d'approbation : chaque action d'approbation, y compris qui a approuvé, quand, les commentaires formulés et le chemin de la hiérarchie d'approbation suivi.
• Contrôles de politique : les résultats de l'application automatisée des politiques, y compris les violations détectées, les avertissements émis et les exceptions autorisées.
• Modifications : chaque modification apportée à la dépense après la soumission initiale ; qui a effectué la modification, ce qui a été modifié, anciennes et nouvelles valeurs.
• Traitement du paiement : quand et comment le remboursement a été traité ; mode de paiement, référence de lot et écritures comptables.
• Actions système : actions automatiques effectuées par le système, telles que les conversions de taux de change appliquées, les calculs de taxes et les évaluations des règles de politique.

L'immuabilité : l'exigence non négociable

Les pistes d'audit doivent être immuables. Une fois qu'un enregistrement est créé, il ne peut être ni modifié ni supprimé. Ce n'est pas seulement une bonne pratique, c'est une exigence fondamentale de la conformité en matière d'audit. Masraff garantit l'immuabilité de la piste d'audit grâce à un enregistrement en mode ajout uniquement (append-only), à une vérification cryptographique et à une architecture de stockage inviolable.

Chaque enregistrement de la piste d'audit de Masraff contient une empreinte cryptographique (hash) liée à l'enregistrement précédent, créant une chaîne d'enregistrements impossible à modifier sans être détecté. Cette approche est similaire à la technologie blockchain, mais optimisée pour les exigences de performance de la gestion des dépenses en entreprise.

Signatures numériques et intégrité des documents

Les signatures numériques jouent un rôle essentiel dans la préparation à l'audit des dépenses en garantissant la non-répudiation. Elles constituent la preuve irréfutable qu'une personne donnée a effectué une action donnée à un moment donné.

Comment fonctionnent les signatures numériques dans la gestion des dépenses ?

• Signatures de soumission : lorsqu'un employé soumet une dépense, son identité est liée cryptographiquement à la soumission, créant une preuve incontestable de l'auteur de la soumission.
• Signatures d'approbation : l'action de chaque approbateur est signée numériquement, fournissant une preuve vérifiable de la chaîne d'approbation.
• Vérification des reçus : les reçus téléversés reçoivent un horodatage numérique et une empreinte d'intégrité, prouvant qu'ils n'ont pas été modifiés depuis le téléversement.
• Signatures d'exception de politique : lorsqu'un responsable outrepasse une règle de politique, son autorisation est signée numériquement avec une étape d'authentification renforcée.

Conservation et intégrité des documents

La préparation à l'audit exige que toutes les pièces justificatives restent accessibles et inchangées pendant toute la durée légale de conservation. Masraff fournit :

• Des durées de conservation configurables conformes aux exigences réglementaires locales (généralement 7 à 10 ans)
• Une vérification automatique de l'intégrité avec des sommes de contrôle SHA-256 sur tous les documents stockés
• Un stockage redondant dans des centres de données géographiquement répartis
• Une fonctionnalité de conservation légale (legal hold) pour les documents liés à des enquêtes ou litiges en cours

Séparation des tâches (SoD)

La séparation des tâches est un principe fondamental de contrôle interne qui empêche toute personne de détenir une autorité sans contrôle sur un processus financier complet. Dans la gestion des dépenses, la séparation des tâches garantit que la personne qui engage une dépense ne l'approuve pas également, n'en traite pas le paiement et n'en effectue pas le rapprochement dans le grand livre. Ces contrôles comptent parmi les moyens les plus efficaces de prévenir la fraude aux notes de frais.

Contrôles SoD essentiels dans la gestion des dépenses

• Séparation soumissionnaire/approbateur : un employé ne peut pas approuver ses propres notes de frais. Le système doit acheminer automatiquement les approbations vers une autre personne — généralement le supérieur direct de l'employé ou un approbateur désigné.
• Séparation approbateur/exécutant : la personne qui approuve la dépense ne doit pas être celle qui traite le remboursement.
• Séparation configuration/exécution : la personne qui configure les règles de politique et les flux d'approbation ne doit pas être celle qui soumet ou approuve les dépenses au quotidien.
• Indépendance du rapprochement : la personne qui effectue le rapprochement des dépenses dans le grand livre doit être indépendante de celles qui soumettent et approuvent les dépenses.

Mise en œuvre de la séparation des tâches dans Masraff

Masraff applique la séparation des tâches via son système de contrôle d'accès basé sur les rôles (RBAC). La plateforme comprend des règles SoD préconfigurées qui préviennent les défaillances de contrôle courantes :

• Détection et blocage automatiques des tentatives d'auto-approbation
• Hiérarchies d'approbation configurables imposant la séparation organisationnelle
• Détection des conflits de rôles alertant les administrateurs lorsque la combinaison de rôles d'un utilisateur crée une violation de la SoD
• Contrôles compensatoires (comme des exigences de revue renforcées) pour les petites équipes où une séparation SoD complète n'est pas praticable

Contrôle d'accès basé sur les rôles (RBAC)

Le RBAC est le mécanisme par lequel les organisations contrôlent qui peut faire quoi dans le système de gestion des dépenses. Un modèle RBAC bien conçu est indispensable tant pour la sécurité que pour la préparation à l'audit.

Rôles standard de la gestion des dépenses

• Soumissionnaire : peut créer et soumettre des notes de frais, consulter son propre historique de dépenses et joindre des reçus. Ne peut pas approuver de dépenses ni accéder aux données des autres utilisateurs.
• Approbateur : peut examiner et approuver/rejeter les notes de frais de son équipe ou de son centre de coûts désigné. Peut consulter les dépenses soumises dans la file d'approbation mais ne peut pas les modifier.
• Responsable financier : peut configurer les politiques, gérer les flux d'approbation, traiter les paiements et générer des rapports. Ne peut pas soumettre de dépenses au nom d'autrui sans piste d'audit.
• Auditeur (lecture seule) : peut consulter toutes les données de dépenses, les pistes d'audit et les rapports, mais ne peut modifier aucune donnée. Ce rôle est généralement attribué aux équipes d'audit interne et externe.
• Administrateur système : peut gérer les comptes utilisateurs, configurer les paramètres système et gérer les intégrations. Ne peut pas approuver de dépenses ni traiter de paiements.

Bonnes pratiques RBAC pour la préparation à l'audit

1. Principe du moindre privilège : n'attribuez aux utilisateurs que les autorisations minimales requises pour leur rôle.
2. Revues d'accès régulières : effectuez des revues d'accès trimestrielles pour vous assurer que les rôles restent appropriés lorsque les personnes changent de poste.
3. Documentation de l'attribution des rôles : documentez la raison pour laquelle chaque utilisateur s'est vu attribuer un rôle spécifique, créant ainsi une trace pour les auditeurs.
4. Révocation automatique des accès : intégrez les systèmes RH pour révoquer automatiquement l'accès au système de dépenses lorsque les employés quittent l'organisation.
5. Procédures d'accès d'urgence : définissez et documentez les procédures d'octroi d'un accès élevé temporaire en cas d'urgence, y compris les délais obligatoires de revue et de révocation.

Suivi des exceptions de politique

Les exceptions de politique sont une composante nécessaire de tout système de gestion des dépenses. Des besoins métier légitimes exigent parfois des exceptions aux politiques standard. Cependant, les exceptions représentent l'un des domaines les plus à risque lors d'un contrôle d'audit et exigent un suivi exhaustif.

Ce qu'il faut suivre pour chaque exception

• Demandeur de l'exception : qui a demandé l'exception et pourquoi
• Violation d'origine : quelle règle de politique a été enfreinte et les détails spécifiques
• Justification métier : la raison documentée pour laquelle l'exception était nécessaire
• Approbateur autorisant : qui a approuvé l'exception et son niveau d'autorité
• Horodatage : quand l'exception a été demandée, approuvée et appliquée
• Analyse de fréquence : à quelle fréquence cet utilisateur ou ce service demande des exceptions pour cette règle spécifique

Gouvernance des exceptions

Une gouvernance efficace des exceptions comprend :

• Seuils d'escalade : les exceptions dépassant certains montants ou relevant de certaines catégories exigent une approbation de niveau supérieur.
• Limites de fréquence : signalement automatique lorsqu'une personne ou un service dépasse un nombre seuil d'exceptions sur une période donnée. Des schémas d'exceptions récurrents peuvent constituer un signal précoce de fraude interne.
• Revue régulière : revue mensuelle de toutes les exceptions par la direction financière afin d'identifier les tendances et les lacunes des politiques.
• Analyse des causes profondes : lorsque des schémas d'exceptions apparaissent, analysez s'il faut ajuster la politique sous-jacente plutôt que de continuer à accorder des exceptions.

Gestion des exceptions

La gestion des exceptions va au-delà des exceptions de politique individuelles et englobe le processus plus large de traitement des situations non standard dans la gestion des dépenses.

Types d'exceptions

• Reçus manquants : cas où le reçu original est perdu ou indisponible. Exige une déclaration signée de reçu manquant accompagnée des détails de la dépense.
• Soumissions tardives : dépenses transmises après la date limite de soumission standard. Exige l'approbation du responsable et une raison documentée du retard.
• Écarts de taux de change : lorsque le montant converti s'écarte sensiblement de la fourchette attendue en raison des fluctuations de change.
• Exceptions générées par le système : alertes automatiques du système de numérisation des reçus assisté par IA lorsque les données extraites ne correspondent pas aux données soumises.
• Exceptions de conformité : cas où la réglementation locale entre en conflit avec la politique globale, exigeant des exceptions propres à la juridiction. En Turquie, les dépenses non déductibles fiscalement en sont un exemple typique.

Construire un cadre de gestion des exceptions

1. Classez les exceptions par niveau de risque : Faible, Moyen, Élevé et Critique. Chaque niveau a des exigences de traitement et des autorités d'approbation différentes.
2. Définissez des flux de résolution : définissez les étapes, approbations et documents spécifiques requis pour chaque type d'exception et niveau de risque.
3. Fixez des SLA de résolution : définissez des délais de résolution maximaux pour éviter que les exceptions restent non résolues.
4. Suivez et rapportez : surveillez les volumes, types et délais de résolution des exceptions afin d'identifier les problèmes systémiques.

Conformité SOC 2 et ISO 27001

Pour les organisations visant une certification de sécurité formelle, les systèmes de gestion des dépenses doivent satisfaire à des exigences de contrôle spécifiques.

Le lien entre SOC 2 et la gestion des dépenses

La conformité SOC 2 s'organise autour de cinq critères de services de confiance (Trust Services Criteria) :

• Sécurité : contrôles d'accès, chiffrement et sécurité réseau protégeant les données de dépenses contre tout accès non autorisé.
• Disponibilité : disponibilité du système, reprise après sinistre et continuité d'activité pour les systèmes de traitement des dépenses.
• Intégrité du traitement : exactitude et exhaustivité des calculs de dépenses, des conversions de devises et des évaluations de politiques.
• Confidentialité : protection des données financières sensibles, y compris les informations bancaires personnelles utilisées pour les remboursements.
• Vie privée : traitement des informations personnelles identifiables (PII) figurant dans les enregistrements de dépenses conformément à la réglementation en vigueur.

Exigences ISO 27001

Contrôles clés liés à la gestion des dépenses :

• A.9 Contrôle d'accès : enregistrement des utilisateurs, attribution des accès, gestion des privilèges et exigences d'authentification.
• A.10 Cryptographie : chiffrement des données de dépenses au repos et en transit, procédures de gestion des clés.
• A.12 Sécurité opérationnelle : gestion des changements, gestion des capacités et protection contre les logiciels malveillants pour les systèmes de dépenses.
• A.16 Gestion des incidents : procédures de détection et de réponse aux incidents de sécurité affectant les données de dépenses.
• A.18 Conformité : identification des exigences légales et réglementaires applicables et preuves de conformité.

Se préparer aux audits internes

Liste de contrôle pré-audit

1. Passez en revue et mettez à jour les politiques de dépenses : assurez-vous que toutes les politiques sont à jour, clairement documentées et accessibles aux employés. Notre guide de la politique de dépenses peut vous aider à cette étape.
2. Vérifiez l'efficacité des contrôles : testez le bon fonctionnement de tous les contrôles automatisés.
3. Générez des rapports d'échantillon : extrayez des notes de frais types et vérifiez l'existence de pistes d'audit complètes.
4. Contrôlez les accès utilisateurs : passez en revue les rôles et autorisations actuels des utilisateurs.
5. Validez les journaux d'exceptions : examinez toutes les exceptions de politique pour la période auditée.
6. Testez la gestion des exceptions : vérifiez que les processus de gestion des exceptions sont appliqués de manière cohérente.
7. Préparez les analyses : générez des rapports de tendances, des synthèses d'exceptions et des indicateurs de conformité.

Constats fréquents des audits internes

• Reçus manquants ou incomplets pour les dépenses dépassant le seuil de justificatif
• Approbations effectuées par du personnel non autorisé
• Comptes d'anciens utilisateurs disposant d'un accès actif
• Règles de politique non mises à jour pour refléter les exigences métier actuelles
• Application incohérente des procédures d'exception entre les services

Se préparer aux audits externes

Exigences documentaires

• Documents de politique : politiques de dépenses complètes et versionnées, avec dates d'approbation et signatures.
• Documentation des processus : descriptions détaillées des processus de soumission, d'approbation, de paiement et de rapprochement des dépenses.
• Matrices de contrôle : cartographie des risques et des contrôles, avec preuves de l'efficacité des contrôles.
• Journaux d'accès au système : enregistrements indiquant qui a accédé au système de dépenses, quand et quelles actions ont été effectuées.
• Registres de gestion des changements : documentation des modifications apportées à la configuration du système, aux politiques ou aux flux de travail pendant la période auditée.

Accompagner vos auditeurs externes

1. Fournissez un accès en lecture seule : donnez aux auditeurs externes un accès dédié en lecture seule au système de dépenses.
2. Préparez les échantillons à l'avance : travaillez avec les auditeurs pour comprendre leur méthodologie d'échantillonnage et tenez les enregistrements pertinents à disposition.
3. Désignez un interlocuteur : nommez un membre de l'équipe compétent comme contact principal pour les demandes d'audit.
4. Créez un suivi des constats : documentez tous les constats, les réponses de la direction et les calendriers de remédiation.

Une préparation continue à l'audit avec Masraff

L'approche la plus efficace de la préparation à l'audit consiste à la rendre continue plutôt que périodique. Avec Masraff, les organisations peuvent maintenir une préparation permanente à l'audit grâce à :

• Tableaux de conformité en temps réel : surveillez en temps réel les taux de conformité aux politiques, les volumes d'exceptions et l'efficacité des contrôles.
• Rapports de conformité automatisés : planifiez des rapports de conformité réguliers, générés automatiquement et distribués aux parties prenantes.
• Surveillance continue des contrôles : le système teste automatiquement l'efficacité des contrôles et alerte les administrateurs en cas de défaillance ou d'affaiblissement.
• Exports prêts pour l'audit : générez des dossiers d'audit complets en un seul clic.
• Analyse des tendances historiques : suivez les tendances de conformité dans le temps pour démontrer une amélioration continue aux auditeurs.

Conclusion

La préparation à l'audit des dépenses n'est pas une destination mais une pratique continue. En mettant en place des pistes d'audit solides, des signatures numériques, la séparation des tâches, des contrôles d'accès basés sur les rôles et une gestion complète des exceptions, vous pouvez bâtir un processus de gestion des dépenses ouvert à l'audit à tout moment.

La clé est d'utiliser une technologie qui rend la préparation à l'audit automatique plutôt que manuelle. Lorsque votre système de gestion des dépenses enregistre chaque transaction, applique chaque contrôle et génère chaque rapport automatiquement, la préparation à l'audit devient un résultat naturel des opérations normales plutôt qu'une course périodique.

Prêt à atteindre une préparation continue à l'audit ? Demandez une démo Masraff pour découvrir comment notre piste d'audit complète, nos contrôles automatisés et nos rapports de conformité peuvent préparer votre organisation à tout audit.