4 Savoir définir et mettre en oeuvre une politique d'archivage

La confusion entre archivage et sauvegarde est une erreur fréquente. Le tableau ci-dessous explique les différences fondamentales entre ces deux procédures.

Ainsi, le maintien en ligne pour consultation d'une copie des bases de données des ERP pour les exercices clos est parfois présenté par les services informatiques internes comme une possible réponse aux exigences d'archivage. Or, un tel choix ne permet pas nécessairement de garantir l'intégrité et la valeur probante des données et traitements.

Ce choix peut de plus s'avérer coûteux, dans la mesure où il requiert le maintien de serveurs et de licences dédiés. Il rend l'entreprise dépendante du maintien des matériels et systèmes d'exploitation. Cela peut se révéler problématique en cas d'obsolescence de ces derniers ou d'arrêt des supports et des tierces maintenances. Enfin, il ne garantit pas la restitution des données en format non propriétaire.

Par ailleurs, le stockage en réseau ne garantit aucunement la pérennité du support, ni l'authentification des données (absence d'altération et date certaine).

Selon l'instruction de 2006, les documents, données et traitements soumis au droit de contrôle de l'administration et détenus par des tiers doivent être accessibles sur le territoire national, en cas de contrôle, quel que soit le lieu habituel de détention (à l'étranger notamment). Or, les contrats d'infogérance ne prennent pas toujours en compte cet aspect.

De surcroît, les assujettis à la TVA ne peuvent stocker les factures transmises par voie électronique dans un pays non lié à la France par une convention prévoyant, d'une part, une assistance mutuelle et, d'autre part, un droit d'accès en ligne, de téléchargement et d'utilisation des données.

Pour ces raisons, une grande prudence est donc conseillée à l'égard des offres d'ERP en mode SaaS. Il semble en effet difficile d'avoir la garantie absolue que le stockage des données respecte les règles décrites ci-dessus.

De nombreuses interrogations se posent aussi quant à la documentation et à l'archivage.

Les services informatiques ont su mettre en place des centres de compétences où les compétences informatiques sont complétées par des compétences métiers. Les directions informatiques disposent désormais de personnel connaissant dans le détail les systèmes comptables, le contrôle de gestion et les autres services opérationnels comme les ventes ou les achats. Par ailleurs, les directions informatiques font l'objet d'audits multiples, réguliers et divers.

La direction informatique et ses équipes sont donc avec raison confiantes dans leurs connaissances métiers, ce d'autant que les évolutions des systèmes d'information intègrent souvent des validations par les directions métiers, ainsi que dans la compliance, puisqu'elles consacrent une part importante de leur temps à répondre à des audits. Cette confiance peut cependant s'avérer dangereuse.

Par ailleurs, la plupart du temps, les seules compétences juridiques des directions informatiques concernent le droit des contrats avec les prestataires. Le fiscaliste, lorsqu'il existe, n'a souvent jamais été impliqué dans le projet de mise en place de l'ERP.

Les échanges entre fiscalistes, comptables et informaticiens sont indispensables afin de s'assurer d'une mutuelle compréhension des enjeux. Or, l'absence de communication entre ces acteurs est fréquente, même dans les plus prestigieuses sociétés du CAC 40.

Voici d'autres exemples de difficultés rencontrées :

Répondre aux questions suivantes aide à définir la politique d'archivage de l'entreprise :

Par ailleurs, la définition de la politique d'archivage ne peut être fondée sur des seuls critères fiscaux et comptables. Elle doit prendre en compte d'autres considérations, comme les délais de prescription civile et commerciale, les éventuels contentieux, les besoins de conservation liés à la préservation de la continuité d'activité, des considérations d'ordre patrimonial ou historique.

L'archivage peut être externalisé, totalement ou partiellement, auprès de tiers archiveurs dès lors que ces derniers satisfont aux critères listés ci-dessus.

Le choix entre archivage en interne ou archivage externalisé sera fonction notamment de la disponibilité de compétences internes, de la qualité de service, du coût global de l'archivage, du rôle de certification joué par le tiers, et de la possibilité d'accéder aux archives sur le territoire national (et pour les factures soumises à TVA, dans les locaux de l'entreprise ,selon l'article R* 102 -1 III du LPF).

-> L'archivage sur support informatique portera sur :

-> En parallèle, il faudra procéder à l'archivage papier des pièces justificatives et de la documentation établie sur ce support.

La politique et la définition du périmètre d'archivage sont fonction des spécificités de chaque entreprise, qui arbitre entre coûts et risques liés à l'archivage. Le périmètre d'investigation du vérificateur « relève, en tout état de cause, de l'appréciation d'une situation de fait, soumise par définition au contrôle ultérieur du juge de l'impôt »... lequel a le dernier mot.

Dans les groupes internationaux ayant centralisé leurs systèmes d'information, l'ERP utilisé gère plusieurs entités dans différents pays.

En théorie, la réglementation des contrôles fiscaux étant spécifique à chaque pays, une entreprise qui a défini un processus d'archivage sur l'un des pays où elle gère des personnes morales ou des établissements stables ne devra envisager de déployer un tel processus sur un autre pays qu'après s'être assurée que sa politique d'archivage correspond à la réglementation locale, mais aussi à la culture et aux habitudes des auditeurs du pays en question.

Or, cette logique est contraire aux habitudes des services informatiques des grandes entreprises qui tendent à vouloir déployer un « Core Model » (modèle de référence) de façon uniforme.

Par ailleurs, dans le cas des applications utilisées pour gérer plusieurs entités juridiques dans plusieurs pays, la modification des règles de gestion et des paramètres devra faire l'objet d'une procédure spécifique et d'une attention particulière.

Le contribuable doit en réalité procéder à deux types d'archivage :

Les livres comptables légaux, ainsi que les pièces justificatives, soumis à l'obligation de présentation, doivent être conservés dans un format lisible par les vérificateurs (de type PDF ou fichier Print), de façon à pouvoir répondre aux obligations de présentation de la comptabilité.

Toutefois, le contribuable peut satisfaire à cette obligation en présentant les écritures comptables sous forme dématérialisée (LPF art. L. 47 A).

Selon l'article 420-6 du PCG, l'entreprise doit mettre en oeuvre « une procédure de clôture destinée à figer la chronologie et à garantir l'intangibilité des enregistrements » comptables.

Par extension, l'instruction fiscale de 2006 (BOI 13 L-1-06) souligne que la mise en oeuvre de cette « procédure périodique de “ figement ” des données dans un fichier “ archives ” renforce le caractère incontestable de l'archivage effectué », et qu'elle est « de nature à garantir aux entreprises qu'elles se conforment à leurs obligations de conservation ». Elle donne date certaine aux documents et données de la période.

L'acte de figement consiste à extraire du système une copie des données, pour la période concernée, soit au moment de la clôture de période, soit lorsqu'une déclaration est déposée.

Outre le calendrier et le périmètre, le plan d'archivage doit aussi organiser :

Ce document, préparé par l'équipe projet, doit être validé par le comité de pilotage. Les fonctions suivantes doivent avoir été consultées : direction de systèmes d'information, fonction juridique, équipes métiers, responsable documentaire ou « records manager ».

En sus des aspects spécifiques au CFCI, le plan d'archivage abordera aussi la question de l'organisation des archives papier, de manière à assurer la cohérence globale de la politique d'archivage de l'entreprise.

La référence dans le système d'information d'une pièce justificative papier doit permettre de la retrouver aisément dans les archives physiques.

En ce qui concerne l'archivage des données et documents dématérialisés, la procédure d'archivage doit traiter les sujets suivants.

• Sélection des données et documents : respect du périmètre d'archivage.

• Qualité des archives :

• Organisation du système d'archivage :

• Pérennité des supports.

• Règles et procédures de destruction.

• Externalisation partielle ou complète : rôle joué par un tiers dans le dispositif.

• Procédure de rechargement des archives pour consultation.

Les entreprises sont fréquemment l'objet de réorganisations (restructuration, fusion, rachat, suppression d'entités). Dans ces circonstances, on veillera à :

De plus, la politique d'archivage doit faire dorénavant partie des thèmes explorés lors des audits d'acquisition.

Les systèmes d'information des entreprises sont de plus en plus complexes et intégrés, traduisant en cela la complexification croissante des processus d'entreprise.

En conséquence, il est fréquent que seules 10 % des données d'un système soient réellement opérationnelles, les 90 % restant étant par exemple des commandes reçues, livrées, facturées et réglées depuis de nombreuses années.

Cette volumétrie passive génère des coûts de gestion informatique importants et provoque un ralentissement parfois intolérable des temps de réponse. Les impératifs de gestion conduisent les services informatiques à réduire ces temps de réponse et ces coûts.

Les éditeurs et les informaticiens ont donc mis en oeuvre des processus permettant de décharger les systèmes informatiques de ces données non opérationnelles. Selon les cas, les techniciens les nomment « purge » ou « archivage » (ce qui prête à confusion). Ce processus d'« archivage » technique ne doit pas être confondu avec une sauvegarde informatique, ni avec la procédure de figement telle que la recommande l'administration.

Dans le cas de l'« archivage » technique, les données sont déplacées de l'application de gestion à un environnement de stockage, sous un format généralement propriétaire. La donnée n'est plus dans l'application, mais elle n'est pas définitivement perdue.

-> Selon que l'application de gestion est dite intégrée ou non, l'archivage va être réalisé de façon différente.

Si les applications de gestion ne sont pas intégrées directement avec la comptabilité (gestion commerciale par exemple), il sera possible d'enlever du module comptable le ou les exercices les plus anciens sans compromettre le chemin de révision.

Si l'application de gestion est intégrée, les données sont liées entre elles. Par exemple, une commande peut être passée le 30 décembre, livrée et facturée l'année suivante. Autre exemple, une commande peut concerner un projet géré dans l'ERP sur plusieurs exercices.

En clair, un progiciel intégré ne peut archiver par année ou par période, mais doit identifier, pour chaque objet métier, si le processus est terminé avant de procéder à l'archivage. Par exemple, une commande ne pourra être archivée que si elle a été livrée et payée.

-> Certains grands ERP disposent de plusieurs centaines d'objets d'archivage prédéfinis en standard. Or, le gain lié à l'archivage technique peut être conséquent : les coûts de possession sont réduits et les performances d'accès sont plus élevées. C'est pourquoi de très nombreuses sociétés mettent en place ce type d'archivage. Cependant, la difficulté est bien sûr de rendre compatibles de tels gains avec l'obligation de conservation des données.

-> Toute épuration doit être validée par le responsable du projet contrôle fiscal informatisé. Dans tous les cas, un archivage technique ne peut être entrepris par une DSI sans avoir pris en compte les contraintes fiscales et juridiques.

La purge, qui consiste à supprimer les données de l'application de gestion, qui sont alors perdues, constitue clairement une solution inappropriée pour toutes les données pouvant entrer dans le périmètre d'un contrôle fiscal, car elle entraîne la disparition de la piste d'audit.

Avant toute épuration significative, un plan d'archivage et un plan de sauvegarde du processus de reprise doivent être établis par la direction informatique et le responsable comptable et transmis au comité CFCI pour validation.

Il est nécessaire d'établir une documentation précisant :

De plus, il est indispensable de revoir l'ensemble des plans de sauvegarde et d'archivage du domaine afin de s'assurer de leur exhaustivité, au moment d'une opération d'épuration.

De même, il faut prendre en compte les règles CFCI dans une démarche de migration de système d'information. Les problématiques portent sur :

Avant toute migration significative, un plan d'archivage et un plan de sauvegarde du processus de reprise doivent être établis par la direction informatique et le responsable comptable et transmis au comité CFCI pour validation.

Une attention particulière est à apporter aux migrations réalisées dans l'urgence pour tenir les délais.

La documentation de l'ancien système est conservée dans le cadre des procédures déjà décrites. Il est nécessaire de compléter cette documentation par :

Dans le cadre des procédures d'archivage, il est nécessaire de conserver :

En cas de changement d'environnement informatique, trois options peuvent être envisagées :

-> conserver un contrat de maintenance a minima avec l'éditeur du logiciel et/ou le prestataire chargé du déploiement de l'application (clause prévue au départ ou avenant au contrat) jusqu'à sa date de prescription fiscale (qui peut être lointaine, parfois même au-delà de 10 ans, et dépasser par conséquent la durée de vie du matériel informatique en place) ;

-> en cas d'applicatifs développés en interne, conserver les machines, en tant que de besoin, la documentation, la cartographie ainsi que les connaissances transcrites formellement par les sachants ;

-> copier les fichiers de données sur supports et formats légaux définis par les arrêtés du 13 septembre 1991 et 31 décembre 1996 afin de les transmettre pour examen à l'administration lors du contrôle.

Attention ! Si l'environnement technique de l'ancien système n'est pas conservé, il conviendra de renforcer la qualité de la documentation et, dans l'hypothèse où il ne serait pas possible de refaire tourner les traitements, de conserver davantage de données intermédiaires.