Cabinet comptable : douze questions de sécurité à poser à l’éditeur

Définir les preuves avant de noter l’éditeur

Consigner réponse, interlocuteur, pièce et date pour chaque question. Distinguer fonction montrée aujourd’hui, engagement contractuel et amélioration prévue. Le test doit comprendre une opération refusée autant qu’une opération autorisée. Sinon la démonstration ne montre que le parcours favorable.

La Publication 4557 de l’IRS traite de la protection des informations fiscales. Le guide FTC Safeguards Rule cite les cabinets de préparation fiscale parmi les institutions potentiellement concernées et décrit un programme de sécurité écrit pour les organismes couverts. Le cabinet détermine ses obligations ; le questionnaire contribue à ce travail sans constituer une déclaration de conformité.

1. Qui peut créer, inviter et récupérer un compte ?

Identifier qui autorise le compte, comment l’invitation atteint la bonne personne et ce qui se passe après un changement d’adresse. Inclure administrateurs, intérimaires et support. Une récupération sans vérification adaptée peut contourner une authentification solide.

• À demander : procédure d’invitation, contrôle d’identité et récupération montrée sur utilisateur fictif.
• Alerte : compte partagé ou réinitialisation fondée seulement sur un nom de client.

2. Comment fonctionne le MFA, y compris après perte d’appareil ?

Préciser méthode, utilisateurs concernés, possibilité de désactivation et récupération. CISA recommande le MFA partout où possible et l’option la plus forte disponible, en privilégiant les méthodes résistantes au phishing. Une application d’authentification et une clé de sécurité ne constituent pas la même garantie.

• À demander : enrôlement, récupération, paramètres administratifs et exceptions.
• Alerte : « MFA disponible » sans préciser les possibilités de contournement pour les accès sensibles.

3. Quels dossiers et opérations chaque rôle contrôle-t-il ?

Séparer visibilité d’une page et droit de lire ou modifier sa donnée. Demander matrice par opération et mécanisme d’application. Un bouton masqué ne prouve pas le refus de la requête correspondante. Inclure imports, exports, réaffectations et approbations.

• À demander : documentation des rôles et tests d’actions autorisées et refusées sur dossiers fictifs.
• Alerte : droits décrits uniquement par menus ou couleurs d’écran.

4. Que deviennent les droits sensibles au départ d’un collaborateur ?

Identifier qui approuve, indique dépôt ou paiement, délègue et modifie les droits. Tester ensuite le départ : compte, sessions actives et services connectés peuvent avoir des durées différentes. Demander quand chaque accès cesse et qui le confirme, sans supposer qu’un champ désactivé révoque tout.

• À demander : checklist de départ et effet réel d’une désactivation sur compte fictif.
• Alerte : révocation immédiate promise sans essai des sessions ou délégations existantes.

5. Quel est le périmètre réel de l’historique ?

Lister objets et événements enregistrés, auteur, horodatage et valeurs avant/après pertinentes. Examiner conservation, consultation et possibilité d’altération. L’historique des dossiers ne prouve pas automatiquement la journalisation de chaque connexion, téléchargement ou action administrative.

• À demander : exemples d’événements, périmètre et durée de conservation.
• Alerte : « tout est tracé » sans liste définie d’événements.

6. Les données restent-elles réutilisables à la sortie ?

Définir dossiers, pièces, relations et historique exportés, formats et délai. Ouvrir le résultat et reconstruire une petite mission fictive hors du service. Un tableur lisible peut omettre justificatifs ou identifiants nécessaires à la compréhension des lignes.

• À demander : exemple de dossier de sortie et procédure d’export documentée.
• Alerte : export appelé sauvegarde sans restauration prise en charge.

7. Comment imports, sauvegardes et restaurations sont-ils contrôlés ?

Pour les imports, examiner aperçu, doublons, écrasement et erreurs. Pour la reprise, demander données sauvegardées, test de restauration et objectifs contractuels de perte ou de récupération. Un import terminé ne prouve pas sa complétude ; une sauvegarde programmée ne prouve pas la reprise.

• À demander : erreurs fictives d’import et preuve datée de test de reprise adaptée au service.
• Alerte : « sauvegardes quotidiennes » comme seule réponse sur la restauration.

8. Où application et sous-traitants traitent-ils les données ?

Cartographier séparément vitrine, hébergement applicatif, support, stockage et traitement IA. Pour chaque prestataire, demander rôle, région et modalités de transfert applicables. La région d’un service ne décrit pas les autres. Inclure mise à jour de la liste et information du client.

• À demander : inventaire par service et conditions de traitement applicables.
• Alerte : « aucun tiers ne reçoit les données » malgré des services hébergés ou un fournisseur IA.

9. Qu’est-ce qui est chiffré et qui maîtrise les clés ?

Distinguer protection des échanges, stockage et chiffrement applicatif des secrets. Demander catégories couvertes, gestion des clés et accès aux données déchiffrées. Des jetons d’intégration protégés ne démontrent pas un chiffrement de bout en bout de toutes les pièces.

• À demander : explication d’architecture identifiant données protégées et gestion des secrets.
• Alerte : « tout est chiffré » sans périmètre ni détail d’accès aux clés.

10. Que peut lire ou modifier une intégration ?

Comparer autorisations demandées au service connecté et opérations réellement exécutées. Le scope autorisé et le comportement implémenté sont deux questions. Examiner qui connecte le compte, protège les jetons et révoque la liaison des deux côtés.

• À demander : connexion fictive, inventaire des opérations et procédure de déconnexion.
• Alerte : large autorisation présentée comme garantie de lecture seule.

11. Quelles informations parviennent au fournisseur IA ?

Inventorier contexte automatique, questions libres et pièces éventuelles. Demander fournisseur, région et engagements écrits de conservation et d’entraînement. Un utilisateur peut identifier un client dans sa question malgré un extrait limité. Vérifier le circuit d’approbation professionnelle.

• À demander : champs transmis représentatifs et engagement applicable au service.
• Alerte : anonymat annoncé sans examiner les champs libres.

12. Que couvrent assurance externe et engagements d’incident ?

Si un rapport SOC 2 ou une certification ISO 27001 est présenté, examiner périmètre, entité, période, réserves et responsabilités du client. Le logo ne remplace pas le document. Clarifier séparément contacts d’incident, notification contractuelle, support et engagements de service effectivement proposés.

• À demander : document d’assurance applicable et conditions signées d’incident et de service.
• Alerte : logo d’un sous-traitant présenté comme certification de toute l’application.

Partir des informations de sécurité TAXFINAI

La page de sécurité publiée décrit rôles et permissions, authentification à deux facteurs, catégories définies de modifications historisées et protection des jetons QuickBooks. Elle décrit aussi un traitement IA uniquement aux États-Unis selon l’engagement écrit du fournisseur de rétention nulle et d’absence d’entraînement. Chaque affirmation garde son périmètre.

Utilisez le questionnaire pour consigner les exigences du cabinet, puis demandez une démonstration fictive et les contrats applicables. Attribuez responsable et date de suivi à l’évaluation. Un changement de logiciel, d’intégration ou de mission peut justifier une nouvelle revue.

Questions fréquentes