Séparation des tâches en finance : matrice achats, validation et paiement

La séparation des tâches en finance empêche une même personne de demander, approuver, payer et contrôler une dépense.

Sans cette organisation, une erreur de saisie ou une fraude peut traverser tout le processus sans être détectée. Une personne pourrait par exemple créer un fournisseur, modifier son IBAN, enregistrer une facture et valider le paiement correspondant.

Le risque existe même lorsqu’aucune fraude n’est commise volontairement. Dans une petite équipe, les mêmes personnes occupent souvent plusieurs fonctions. La question consiste alors à identifier les cumuls dangereux et à mettre en place des contrôles compensatoires.

Quelles fonctions faut-il séparer en finance ?

La séparation des tâches repose sur quatre fonctions : autoriser, enregistrer, détenir les actifs et contrôler.

L’autorisation permet d’engager l’entreprise auprès d’un fournisseur. Elle correspond par exemple à l’approbation d’une demande d’achat ou d’un bon de commande.

L’enregistrement consiste à traduire l’opération dans les systèmes comptables. Il comprend notamment la saisie de la facture, l’imputation comptable et l’export des écritures.

La détention des actifs concerne l’accès à la trésorerie, aux cartes, aux comptes bancaires et aux coordonnées des fournisseurs.

Le contrôle consiste à vérifier que la commande, la réception, la facture et le paiement concordent. Le rapprochement à trois voies constitue l’un des contrôles possibles.

Aucune personne ne devrait donc pouvoir engager, enregistrer, payer et contrôler seule une même dépense.

Le cadre de référence de l’AMF présente la séparation des fonctions comme un moyen de mettre en place un contrôle indépendant.

Pourquoi la séparation des tâches concerne-t-elle aussi les PME ?

La séparation des tâches est particulièrement importante dans les PME, car les équipes financières y sont souvent réduites.

Une même personne peut être chargée de :

• créer les fournisseurs ;

• saisir les factures ;

• préparer les virements ;

• rapprocher les relevés bancaires ;

• administrer l’outil comptable.

Ce cumul ne signifie pas que cette personne présente un risque particulier. Il signifie que l’organisation ne dispose d’aucun contrôle indépendant en cas d’erreur ou de fraude.

Selon le rapport 2024 de l’ACFE, l’absence de contrôles internes constitue la principale faiblesse dans 32 % des fraudes étudiées. Le contournement de contrôles existants représente 19 % des cas analysés.

Le rapport indique également une perte médiane de 145 000 dollars par cas de fraude. Ces chiffres ne constituent pas une estimation du risque pour chaque PME, mais ils montrent l’importance de formaliser les contrôles, y compris dans les petites structures.

Un simple changement d’IBAN illustre le problème. Si une personne peut modifier la fiche fournisseur et valider le paiement, un e-mail frauduleux peut détourner un règlement légitime sans qu’aucun contrôle indépendant ne l’arrête.

Comment construire une matrice de séparation des tâches ?

Pour construire une matrice, listez les tâches du cycle achats-paiement, attribuez un rôle à chacune et interdisez les cumuls présentant un risque.

La méthode se déroule en trois étapes :

1. Listez toutes les tâches, y compris l’administration des utilisateurs et des droits.

2. Attribuez à chaque tâche un rôle responsable, un rôle valideur et, lorsque c’est nécessaire, un rôle contrôleur.

3. Identifiez les cumuls incompatibles et inscrivez les exceptions dans un registre documenté.

La matrice ci-dessous peut servir de base à une entreprise de 40 à 250 salariés. Elle doit être adaptée à l’organisation réelle de l’entreprise.

Légende : R signifie « réalise », V « valide », C « contrôle » et ✕ signifie « interdit pour ce rôle ».

Lorsque le DAF valide les paiements et que le trésorier les exécute, séparez les deux fonctions. Dans une structure plus petite, le DAF peut cumuler ces rôles, mais ce cumul doit être enregistré comme une exception et faire l’objet d’un contrôle indépendant.

Comment appliquer la matrice à une dépense ?

La matrice doit être testée sur une dépense réelle pour vérifier que chaque rôle est compréhensible.

Prenons l’exemple d’un contrat de création de 4 800 € HT.

Le collaborateur marketing exprime le besoin. Son manager valide la demande au regard du budget disponible, conformément à la matrice d’approbation des dépenses. L’acheteur émet ensuite le bon de commande.

À réception de la facture, le comptable fournisseurs l’enregistre et la rapproche de la commande. Le DAF valide le paiement, puis la trésorerie exécute le virement. Le rapprochement bancaire est réalisé par une personne qui n’a pas préparé le paiement.

Chaque personne intervient sur une étape différente. Le demandeur conserve son autonomie, tandis que la finance garde la visibilité sur le budget, les pièces et les validations.

Comment intégrer la séparation des tâches dans les outils ?

Une matrice conservée dans un tableur décrit les responsabilités, mais elle n’empêche pas techniquement un utilisateur de sortir de son rôle.

Les outils doivent donc traduire la matrice dans leurs workflows et leurs permissions.

Dans un processus automatisé, la demande est soumise puis approuvée selon le circuit défini. Le bon de commande peut ensuite être créé à partir de la demande. La facture est rapprochée de la commande et les écarts sont signalés avant le paiement.

La règle No PO, No Pay reste une politique interne. L’entreprise doit décider si une facture sans bon de commande est bloquée, orientée vers une régularisation ou soumise à une approbation spécifique.

Les rôles de demandeur, d’approbateur, de contrôleur et d’administrateur doivent être comparés avec la matrice avant d’être attribués.

Un même utilisateur peut cumuler plusieurs rôles dans un outil. Ce cumul ne doit pas être automatique. Il doit être décidé, justifié et régulièrement revu.

Quels cumuls de rôles faut-il éviter ?

Les conflits les plus importants apparaissent lorsqu’une même personne peut agir et contrôler la même opération.

Les sept cumuls suivants doivent être interdits ou couverts par un contrôle compensatoire :

1. Demander une dépense et la valider soi-même.

2. Créer ou modifier un fournisseur et valider son paiement.

3. Modifier un IBAN et exécuter le virement correspondant.

4. Enregistrer une facture et déclencher son paiement.

5. Valider un paiement et rapprocher le relevé bancaire correspondant.

6. Attribuer une carte ou un plafond et être le seul porteur contrôlé.

7. Administrer l’outil de dépenses et approuver des dépenses.

Le cumul le plus sensible concerne la création ou la modification d’un fournisseur. Une personne qui peut modifier un IBAN et exécuter le paiement dispose de tous les droits nécessaires pour détourner un règlement.

Toute modification du RIB doit donc être confirmée par un rappel au numéro déjà connu du fournisseur. La validation du paiement doit ensuite être réalisée par une deuxième personne.

La même logique s’applique aux délégations. Le délégué d’un approbateur ne doit pas pouvoir valider sa propre demande ni une dépense dont il est le bénéficiaire.

Les dépenses du dirigeant doivent également être revues par une autre personne, généralement le DAF, l’expert-comptable ou un membre désigné de la direction.

Quels contrôles appliquer dans une petite équipe finance ?

Lorsque l’effectif ne permet pas une séparation complète, mettez en place un contrôle compensatoire.

Un contrôle compensatoire est une mesure alternative, documentée et indépendante, qui réduit le risque créé par un cumul de fonctions. Il peut être préventif ou détectif.

Un contrôle préventif bloque une opération avant son exécution. C’est le cas d’une double signature bancaire.

Un contrôle détectif identifie une anomalie après l’opération. C’est le cas d’une revue mensuelle des relevés bancaires ou des modifications de fournisseurs.

Dans une équipe de deux personnes, la comptable peut saisir les factures et préparer les virements tandis que le DAF les valide dans la banque. Si le DAF rapproche également les relevés, ce cumul doit être compensé par une revue mensuelle de l’expert-comptable.

Recruter une personne supplémentaire uniquement pour le contrôle n’est pas toujours réaliste. L’objectif est alors de choisir les contrôles les plus efficaces pour les risques les plus importants.

Une piste d’audit, une double signature bancaire, une revue des nouveaux fournisseurs et un contrôle indépendant des changements d’IBAN peuvent réduire fortement le risque sans alourdir chaque dépense.

Comment sécuriser les changements d’IBAN ?

Un changement d’IBAN doit toujours être confirmé par un canal indépendant.

Ne répondez pas au même e-mail pour confirmer la modification. Appelez le fournisseur à partir du numéro déjà enregistré dans votre base ou dans un contrat existant.

Le changement doit ensuite être validé par une personne qui ne réalise pas le paiement correspondant.

Cette procédure doit être appliquée même lorsque :

• le fournisseur est connu ;

• le message semble provenir d’un contact habituel ;

• le montant du paiement est faible ;

• le changement est demandé juste avant une échéance ;

• le fournisseur invoque une urgence.

Une modification de coordonnées bancaires doit laisser une trace : auteur, date, ancienne donnée, nouvelle donnée, méthode de vérification et personne ayant validé la modification.

Comment tester et mettre à jour la matrice ?

Une matrice perd sa valeur si les droits réels dans les outils ne correspondent plus aux rôles théoriques.

Testez votre dispositif au moins chaque trimestre et après chaque changement important :

• arrivée d’un collaborateur ;

• départ ;

• mobilité interne ;

• changement de poste ;

• réorganisation de l’équipe finance ;

• changement de banque ou d’ERP ;

• ajout d’un nouvel outil.

Lors de la revue, posez notamment ces questions :

1. Une même personne peut-elle créer un fournisseur et le payer ?

2. Un collaborateur peut-il approuver sa propre demande ?

3. Qui a modifié les IBAN le mois dernier ?

4. Qui a vérifié ces modifications ?

5. Un administrateur dispose-t-il également d’un rôle d’approbateur ?

6. Les droits d’un ancien collaborateur sont-ils toujours actifs ?

Chaque cumul accepté doit être inscrit dans un registre des exceptions. Ce registre doit préciser le responsable, la justification, le contrôle compensatoire et la date de prochaine revue.

Après le départ d’une comptable, ses accès à la banque, à l’ERP et aux outils de dépenses peuvent rester actifs plusieurs semaines si aucune procédure de sortie n’est prévue. L’ANSSI recommande de révoquer les droits lors d’un départ ou d’un changement de fonction.

Une revue trimestrielle des accès, croisée avec la liste des départs et des mobilités internes, permet de réduire ce risque. Conservez une trace datée de chaque revue afin de pouvoir démontrer que le contrôle a bien été effectué, notamment lors d’un audit comptable et financier.