Séparation des tâches et sécurité

La séparation des tâches (SoD) est le principe selon lequel aucune personne ne doit, à elle seule, contrôler une transaction financière du début à la fin. C’est l’un des contrôles internes les plus anciens et les plus importants de la comptabilité — et une attente fondamentale de tous les grands référentiels de conformité. Cet article explique pourquoi elle compte, et comment REDA Financials AI vous aide à la mettre en pratique et à garder des comptes auditables.

Pourquoi la séparation des tâches est essentielle

Lorsqu’une même personne peut enregistrer une transaction, l’approuver et la rapprocher, les erreurs passent inaperçues et la fraude devient facile à dissimuler. Séparer ces responsabilités garantit qu’une seconde paire de mains (et d’yeux) intervient sur chaque transaction — exactement ce qu’attendent les auditeurs, les régulateurs et vos propres parties prenantes.

Elle est inscrite dans les normes internationales qui encadrent l’information financière :

• La loi SOX (Sarbanes–Oxley), section 404 impose à la direction des sociétés cotées de maintenir et d’évaluer des contrôles internes sur l’information financière — la SoD en étant une pierre angulaire.
• Le référentiel intégré de contrôle interne du COSO, la norme que les auditeurs utilisent pour évaluer les contrôles, cite la séparation des tâches parmi les activités de contrôle clés.
• Les audits externes selon les IFRS et les US GAAP vérifient que les tâches incompatibles — enregistrement, autorisation, rapprochement et garde des actifs — sont bien séparées.
• Les référentiels d’audit interne et de gestion des risques (ainsi que la plupart des assureurs et des prêteurs) considèrent une SoD insuffisante comme une déficience significative du contrôle interne.

Comment REDA vous aide à faire respecter la SoD

REDA Financials livre un jeu d’ensembles d’autorisations fondés sur les rôles, construits autour de la séparation naturelle des tâches au sein d’une équipe comptable. Vous faites respecter la SoD en attribuant le bon ensemble aux bonnes personnes — et, surtout, en ne concentrant pas des rôles incompatibles sur une même personne. Voir Attribution des ensembles d’autorisations pour la liste complète et la procédure d’attribution.

Les séparations qui comptent le plus :

• Les comptes clients séparés des comptes fournisseurs. Attribuez Accounts Receivable et Accounts Payable à des personnes différentes, afin que personne ne facture les clients et ne paie les fournisseurs à la fois.
• L’enregistrement séparé du rapprochement. Distinguez la personne qui enregistre la trésorerie de celle qui rapproche la banque, afin qu’un mouvement de trésorerie ne puisse pas être mal enregistré, puis « rapproché » pour le dissimuler.
• La préparation séparée de la revue. Utilisez l’ensemble Read Only pour les réviseurs, les auditeurs, les dirigeants et le directeur financier — une visibilité complète, sans aucune possibilité de modification.
• L’administration séparée des opérations quotidiennes. Réservez Accounting Admin aux personnes qui configurent le système, et non à celles qui comptabilisent les transactions du quotidien.

Verrous d’approbation et principe des quatre yeux

Les ensembles d’autorisations séparent qui peut faire quoi ; les verrous d’approbation séparent l’enregistrement de l’autorisation sur les documents où cela compte le plus. Cinq types de documents — les bons de commande, les factures d’achat, les factures de vente, les budgets et les écritures budgétaires — portent un champ Statut d'approbation qui conditionne la comptabilisation : le statut du document doit être Approuvé (ou Non requise) avant qu’il puisse être comptabilisé au grand livre. Reliez ce champ aux processus d’approbation natifs de Salesforce qui reflètent votre politique de validation — par montant, par service, par entité — et la personne qui saisit une facture ne peut plus être celle qui l’autorise. REDA livre le verrou ; vous concevez la chaîne d’approbation. La procédure détaillée se trouve dans Approbations des documents comptables.

Deux contrôles connexes complètent le dispositif :

• Les écritures comptables sont contrôlées par le rôle, non par une approbation. Une écriture comptable n’a pas de champ d’approbation — le contrôle tient au fait que seuls les utilisateurs dont l’ensemble d’autorisations accorde les droits sur les écritures peuvent en créer et en comptabiliser une. Réservez ce droit aux personnes qui doivent le détenir.
• Le rapprochement bancaire comporte un contrôle à quatre yeux codé en dur. L’utilisateur qui approuve un rapprochement terminé doit être un utilisateur différent de celui qui l’a terminé — sinon, le système refuse : « L'approbateur ne peut pas être l'utilisateur qui a terminé le rapprochement. La séparation des tâches exige qu'un autre utilisateur approuve. » Une fois approuvé, un rapprochement est verrouillé définitivement.

Des contrôles intégrés qui protègent vos comptes

La séparation des tâches donne le meilleur d’elle-même sur une plateforme qui enregistre tout et ne laisse personne réécrire discrètement l’historique. REDA Financials intègre d’origine des contrôles de niveau entreprise :

• Un grand livre immuable. Les transactions comptables sont générées par le système à partir de leurs documents source et ne peuvent être modifiées directement par personne — aucun rôle n’accorde de droit d’écriture sur le grand livre. Chaque écriture reste traçable jusqu’à la transaction qui l’a créée.
• Une piste d’audit complète. Un journal d’audit centralisé enregistre les opérations financières et les événements système — qui a fait quoi, quand, depuis quelle adresse IP, y compris l’avant et l’après des champs modifiés.
• Le suivi de l’historique des champs. Les modifications des champs critiques sont suivies sur les enregistrements financiers, ce qui vous donne un historique permanent à des fins d’audit et de conformité SOX.
• Le respect des autorisations partout. L’application respecte les autorisations de chaque utilisateur à chaque lecture et à chaque écriture : chacun ne voit et ne touche que ce que son rôle permet.
• Le verrouillage des périodes. Une fois une période comptable clôturée, elle est protégée contre toute nouvelle comptabilisation — ce qui préserve l’intégrité des résultats publiés.

Une plateforme conforme, de niveau entreprise

REDA Financials AI est conçu pour les organisations qui prennent la conformité au sérieux. Au-delà des contrôles intégrés à l’application décrits ci-dessus, REDA applique un système formel de management de la sécurité de l’information et fonctionne entièrement sur l’infrastructure de confiance de Salesforce :

• ISO 27001 et SOC 2 Type II — le programme de sécurité de REDA est bâti sur ces normes pour gérer la confidentialité, l’intégrité et la disponibilité de vos données.
• Protection des données personnelles — des pratiques de traitement et de suppression des données alignées sur le RGPD et le CCPA.
• Vos données restent dans votre organisation. REDA Financials est natif Salesforce — vos données comptables résident dans votre environnement Salesforce, sous vos contrôles, et non dans un système tiers distinct.
• Une infrastructure de confiance. Il fonctionne sur la plateforme Salesforce, dont les centres de données détiennent les attestations SOC 1/2, ISO 27001 et FedRAMP.

Mettre la SoD en pratique

Pour aller plus loin

1. Attribution des ensembles d’autorisations — le mécanisme qui fait respecter la SoD.
2. Attribution des licences — qui est autorisé à comptabiliser, en premier lieu.
3. Conformité et normes — les normes que la SoD sert.
4. Journalisation d’audit — la trace probante derrière les contrôles.
5. Approbations des documents comptables — ajouter des étapes de revue aux transactions.

Questions fréquentes