Facturation électronique : quels points de vigilance pour les comités d’audit ?

Lisa Fécard, Associée PwC Société d'Avocats, expert en facturation électronique et « e-reporting », nous a consacré une entrevue sur le rôle du comité d’audit dans la mise en œuvre de la facturation électronique.

À l’occasion de la publication par la CNCC d’une foire aux questions (FAQ) consacrée à la facturation électronique et notamment à ses impacts sur la mission du commissaire aux comptes, elle revient sur certains messages adressés aux commissaires aux comptes et qu’elle porte à l’attention des comités d’audit.

Pourquoi la facturation électronique est-elle un sujet de vigilance pour les comités d’audit ?

Lisa Fécard : La généralisation de la facturation électronique constitue plus qu’un simple changement de format ou un projet exclusivement informatique. Elle entraîne une véritable transformation des processus Finances et Fiscalité de ventes, d’achats, de comptabilisation et de déclaration de TVA. Elle modifie les échanges de données entre l’entreprise, son système d’information, ses plateformes agréées, ses clients, ses fournisseurs et l’administration fiscale. Cette transformation touche ainsi directement au dispositif de contrôle interne et à la fiabilité de l’information comptable et financière.

À ce titre, elle doit être considérée comme un sujet de gouvernance, de contrôle interne et de maîtrise des risques relevant de la vigilance du comité d’audit. La CNCC soulignant notamment les conséquences de la généralisation de la facturation électronique sur le contrôle interne de l’entité et sur les procédures d’audit mises en œuvre par le commissaire aux comptes.

Les messages portés par la FAQ de la CNCC et qui s’adressent aux commissaires aux comptes font écho aux préoccupations des comités d’audit et s’articulent autour de sujets communs : la gouvernance des données, la qualité des référentiels tiers, la robustesse des contrôles automatisés, la sécurité des interfaces, la continuité d'activité, la conformité fiscale ou encore la fiabilité de l'information financière.

Un point d’attention particulier réside dans le passage d’un processus largement maîtrisé au sein de l’entreprise à un écosystème de plus en plus interconnecté. Les données de facturation sont appelées à circuler entre plusieurs acteurs et systèmes, ce qui renforce l’enjeu d’une maîtrise de la chaîne de bout en bout. La CNCC consacre d’ailleurs plusieurs développements de sa FAQ au rôle des plateformes agréées, à la sécurité des données qui transitent par ces plateformes ainsi qu’aux risques d’interruption de service ou de paiement en cas de changement de plateforme.

Pour les comités d’audit, l’enjeu consiste donc à ne pas limiter le suivi du projet au respect du calendrier de mise en œuvre. Il s’agit également de s’assurer que l’entreprise a correctement identifié les processus et les flux concernés, adapté son dispositif de contrôle interne aux nouveaux échanges de données et pris en compte les conséquences de cette transformation sur la production de l’information comptable et fiscale.

La préparation à la facturation électronique peut, à cet égard, agir comme un révélateur de fragilités préexistantes : qualité insuffisante des données de référence, multiplicité des interfaces, maintien de contrôles manuels, responsabilités insuffisamment formalisées ou difficultés de rapprochement entre données opérationnelles, comptables et fiscales. Elle constitue donc également une opportunité de réinterroger la robustesse des processus de ventes et d’achats et, plus largement, la qualité de la chaîne de production de l’information financière.

En définitive, le véritable enjeu pour le comité d’audit n’est pas seulement de savoir si l’entreprise sera prête à émettre et recevoir des factures électroniques, mais de s’assurer que cette nouvelle chaîne de données est gouvernée, contrôlée et suffisamment robuste pour préserver à la fois la conformité fiscale et la fiabilité de l’information financière.

La rédaction : La CNCC indique aux commissaires aux comptes que la qualité des référentiels et des données de facturation devient un point d’attention particulier (FAQ CNCC, question 42).

Pourquoi la qualité des données devient-elle un enjeu majeur avec la facturation électronique ?

Lisa Fécard : Les processus situés en amont de l’établissement de la facture, tels que la conclusion du contrat, la prise de commande, la livraison ou la réalisation de la prestation, ne sont pas directement modifiés par la réforme. Mais la qualité des données devient déterminante dès l’établissement et la transmission de la facture. L’identification des tiers, les adresses électroniques de facturation, les numéros Siren ou Siret, les numéros de TVA intracommunautaire, les codes TVA, les mentions obligatoires, les règles de routage et les données nécessaires au « e-reporting » doivent être fiables, exhaustifs et correctement paramétrés. Des données incomplètes, obsolètes ou incohérentes peuvent en effet entraîner des rejets, des erreurs de transmission, une mauvaise qualification fiscale des opérations, voire des écarts entre les flux opérationnels, fiscaux et comptables.

La rédaction : Selon la CNCC, le commissaire aux comptes doit porter son attention sur le rôle de la direction de l’entité et son niveau d’implication dans la mise en place de la facturation électronique au sein de l’entité (FAQ CNCC, question 46).

Quel rôle le comité d’audit doit-il jouer dans le déploiement de la facturation électronique ?

Lisa Fécard : Le comité d’audit n’a pas vocation à piloter directement le projet de facturation électronique. Il doit néanmoins s’assurer que la direction a défini une gouvernance appropriée, identifié les responsabilités, renforcé la coordination entre les équipes et mis en place un dispositif de contrôle interne permettant de maîtriser les risques liés à la transformation. Son rôle est ainsi moins de suivre le projet dans sa dimension opérationnelle que d’en challenger la gouvernance, la maîtrise des risques et le niveau de préparation de l’entreprise.

Son premier point d’attention doit porter sur l’implication effective de la direction et sur l’existence d’un pilotage transversal associant, selon l’organisation de l’entreprise, les directions financière, fiscale, comptable, informatique, juridique, achats, ventes et trésorerie. La réforme concerne en effet plusieurs chaînes de traitement et ne peut être sécurisée par une seule fonction. Cette transversalité est d’autant plus importante que la facturation électronique conduit à imbriquer davantage les processus opérationnels, comptables, fiscaux et les systèmes d’information : une défaillance en amont, par exemple dans la qualité d’une donnée ou le paramétrage d’une règle de gestion, peut ainsi avoir des conséquences sur l’ensemble de la chaîne de traitement.

La FAQ de la CNCC souligne également l’importance d’associer et de former les collaborateurs participant aux processus de ventes et d’achats, notamment à l’utilisation des nouveaux outils. Au-delà de la formation, le comité d’audit peut ainsi porter son attention sur la bonne appropriation des nouveaux processus et contrôles par les différentes fonctions concernées.

Le comité d’audit devrait ainsi obtenir périodiquement une vision claire de l’état d’avancement du projet, des décisions structurantes, des difficultés rencontrées, des anomalies recensées et des plans de remédiation. Cette information gagnerait à ne pas se limiter à un indicateur général d’avancement : elle devrait permettre d’identifier les principaux risques résiduels, les éventuels points de blocage ainsi que les mesures prévues pour les traiter.

Il lui appartient également de vérifier que l’entreprise a procédé à un diagnostic de ses processus existants, recensé ses cas d’usage et évalué la conformité de son organisation au nouveau dispositif.

Une attention particulière peut notamment être portée à la couverture des différents flux de facturation, à la qualité des données et référentiels, à la fiabilité des interfaces, à l’adaptation des contrôles internes ainsi qu’aux procédures prévues pour détecter et traiter les anomalies.

À l’approche du déploiement effectif (lorsque les doubles canaux ne seront plus autorisés en fin d’année), la question centrale pour le comité d’audit devient donc celle du niveau réel de préparation de l’entreprise : les principaux scénarios ont-ils été identifiés et testés ? Les anomalies constatées ont-elles été analysées et corrigées ? Les responsabilités en cas d’incident sont-elles clairement définies ? Les dispositifs permettant d’assurer la continuité des opérations et la fiabilité de l’information comptable et fiscale sont-ils suffisamment robustes ?

Le comité d’audit joue ainsi un rôle essentiel de « challenge » : il ne se substitue ni à la direction ni aux équipes projet, mais doit disposer d’une information suffisante pour apprécier si les principaux risques associés à la réforme ont été identifiés, suivis et maîtrisés et si les éventuelles zones de fragilité font l’objet de plans de remédiation appropriés.

La rédaction : Lorsque le commissaire aux comptes va prendre connaissance des changements sur le contrôle interne induits par la généralisation de la facturation électronique, il mettra à jour, le cas échéant, son identification et son évaluation des risques (FAQ CNCC, question 9).

Quels sont les principaux risques que le comité d’audit doit surveiller ?

Le risque de non-conformité réglementaire et fiscale

Lisa Fécard : En dehors des risques juridiques et financiers si la réforme n’est pas mise en place, le premier risque résulte d’une application incorrecte du périmètre de la réforme. L’entreprise doit distinguer les opérations relevant du « e-invoicing » de celles soumises au « e-reporting », en tenant compte de la qualité du vendeur, de celle de l’acheteur, de la nature de l’opération et de sa localisation. Une erreur de classification peut conduire à l’absence de transmission d’une facture ou de données obligatoires, à une transmission selon un circuit inadapté ou à une déclaration fiscale erronée.

Le comité d’audit doit également être attentif à la conformité des factures, notamment à la présence des mentions obligatoires, au respect des formats attendus et à la correcte détermination des données de transaction et de paiement. Les données de paiement sont notamment requises pour certaines prestations de services lorsque la TVA est exigible à l’encaissement.

Le dispositif de contrôle interne devrait donc prévoir une documentation formalisée des règles applicables, une cartographie des flux et des cas d’usage ainsi qu’une validation des règles fiscales et des paramétrages de TVA. Toute évolution réglementaire ou modification de l’activité devrait entraîner une mise à jour de cette documentation.

Le risque affectant la qualité des référentiels

Lisa Fécard : La fiabilité du dispositif dépend fortement des données de référence utilisées dans les cycles ventes et achats. Une adresse électronique de facturation incorrecte, un Siren erroné, un statut de TVA mal renseigné ou une fiche client obsolète peut empêcher l’acheminement de la facture ou conduire à un traitement fiscal inapproprié.

Le comité d’audit devrait s’assurer que la direction a identifié les données critiques et défini, pour chacune d’elles, un responsable, une source de référence, une procédure de création ou de modification et une fréquence de revue. Les droits de modification des référentiels devraient être limités aux personnes autorisées. Les changements significatifs devraient être tracés et, lorsque le risque le justifie, faire l’objet d’une validation indépendante.

Des contrôles réguliers de cohérence pourraient notamment porter sur les numéros Siren et Siret, les numéros de TVA intracommunautaire, les adresses de facturation électronique, les régimes de TVA, les coordonnées bancaires et les correspondances entre clients, fournisseurs, établissements et entités juridiques.

Le risque d’incomplétude ou de perte des flux

Lisa Fécard : La coexistence de plusieurs circuits constitue un risque important. Certaines opérations relèvent du « e-invoicing », d’autres du « e-reporting », tandis que certains flux peuvent rester en dehors du champ de la réforme. L’utilisation de plusieurs plateformes, applications métiers ou canaux de traitement augmente également le risque qu’une facture soit omise, traitée deux fois ou affectée au mauvais circuit.

La FAQ attire spécialement l’attention sur le risque de perte de données lors de l’implémentation des applicatifs, le risque de rejet des factures et le risque concernant l’exhaustivité des flux lorsque deux systèmes coexistent.

Pour maîtriser ce risque, l’entreprise devrait mettre en place des rapprochements entre les données issues des applications métiers, les factures déposées ou reçues sur la plateforme agréée, les écritures comptables et les données transmises à l’administration. Ces rapprochements devraient faire apparaître les écarts, doublons, ruptures de séquence, rejets, flux en attente et transmissions non abouties. Les anomalies devraient être attribuées à un responsable et suivies jusqu’à leur résolution.

Les risques liés aux interfaces et aux traitements automatisés

Lisa Fécard : Les interfaces entre le système d’information de l’entreprise et la plateforme agréée constituent des points de passage sensibles. Une anomalie de paramétrage, un rejet non traité ou une absence de réconciliation peut créer un écart entre les factures comptabilisées, celles effectivement déposées sur la plateforme et les statuts enregistrés au cours de leur cycle de vie.

Le comité d’audit devrait vérifier que les interfaces ont été testées avant leur mise en production et qu’un dispositif de surveillance permanente existe. Les contrôles devraient couvrir l’intégrité des fichiers, la complétude des transferts, l’absence de doublons, la correcte affectation des factures et la réintégration des statuts.

Lorsqu’une comptabilisation automatique est prévue, les règles de génération des écritures doivent être approuvées, documentées et régulièrement contrôlées. Les écritures générées automatiquement devraient faire l’objet de contrôles post-comptabilisation, notamment sur les comptes utilisés, les montants, les dates, les taux de TVA et les périodes de rattachement.

Le risque lié au traitement des rejets et des statuts

Lisa Fécard : La plateforme attribue différents statuts aux factures, tels que « déposée », « émise », « rejetée », « reçue », « refusée », « en litige » ou « encaissée ». Certains statuts doivent obligatoirement être transmis à l’administration fiscale. Ils constituent ainsi de véritables données de pilotage du cycle de vie de la facture et ne peuvent être appréhendés sous le seul angle technique.

Ces statuts ne doivent pas être considérés comme de simples informations techniques. Un rejet peut empêcher la transmission d’une facture, retarder son paiement ou révéler une erreur de données. Une facture refusée ou en litige peut affecter le recouvrement et l’évaluation d’une créance. Au-delà du seul traitement de l’incident, l’enjeu réside donc dans la capacité de l’entreprise à identifier rapidement les factures concernées, à analyser la cause du rejet ou du blocage et à assurer leur correction et leur suivi jusqu’à leur résolution effective.

Une accumulation de factures rejetées ou bloquées pourrait ainsi avoir des conséquences opérationnelles et financières : dégradation du délai de facturation ou de recouvrement, perturbation du processus de clôture ou difficultés dans le traitement comptable et fiscal des opérations concernées.

Le comité d’audit devrait donc demander des indicateurs sur le nombre et l’ancienneté des factures rejetées, refusées, bloquées ou non transmises, les causes principales des incidents et les délais de résolution. Ces indicateurs peuvent utilement être complétés par un suivi des incidents récurrents, des montants concernés et de l’avancement des actions correctrices, afin de distinguer les anomalies ponctuelles des éventuelles défaillances plus structurelles des processus ou des systèmes.

Un contrôle spécifique doit également s’assurer que les statuts sont correctement rapprochés des factures correspondantes et pris en compte dans les processus comptables, fiscaux et de recouvrement. L’objectif est notamment d’éviter qu’une facture apparaisse comme correctement traitée dans le système comptable alors que son traitement dans la chaîne de facturation électronique demeure en anomalie, ou inversement.

Pour le comité d’audit, l’enjeu est donc de s’assurer que l’entreprise ne dispose pas seulement d’un dispositif permettant de détecter les rejets et changements de statut, mais également d’un processus de gestion des exceptions de bout en bout, reposant sur des contrôles, des responsabilités clairement définies, des délais de traitement suivis et une traçabilité suffisante de la résolution des anomalies.

Pourquoi les contrôles opérationnels demeurent-ils indispensables malgré le recours à une plateforme agréée ?

Lisa Fécard : Le recours à une plateforme agréée ne se substitue pas aux contrôles opérationnels de l’entreprise. La plateforme assure des contrôles techniques, applicatifs et fonctionnels, mais elle ne garantit pas à elle seule l’exhaustivité des produits, charges, actifs et passifs comptabilisés par l’entreprise. Celle-ci doit conserver ses procédures de rapprochement des factures avec les contrats, commandes, livraisons et prestations réalisées.

Cette distinction est essentielle pour les opérations de clôture. L’absence de facture sur la plateforme ne signifie pas qu’aucune charge ou aucun produit ne doit être comptabilisé. Une prestation reçue mais non encore facturée peut nécessiter la constatation d’une facture non parvenue. De même, une vente réalisée mais non encore facturée peut justifier l’enregistrement d’une facture à établir. L’entreprise ne doit donc pas fonder ses écritures de « cut-off » exclusivement sur les données ou statuts de la plateforme.

Le comité d’audit devra veiller au maintien des contrôles de séparation des exercices, au rapprochement entre flux physiques et flux financiers ainsi qu’à la conservation d’une piste d’audit permettant de relier la transaction d’origine, la facture électronique, son traitement sur la plateforme et l’écriture comptable.

L’agrément de la plateforme constitue-t-il une garantie suffisante pour l’entreprise ?

Lisa Fécard : Le choix de la plateforme agréée constitue une décision structurante. L’analyse doit porter sur les services fournis, la sécurité et la confidentialité, l’interopérabilité, les conditions de réversibilité, l’archivage, la conservation des données et la couverture des cas d’usage de l’entreprise. Toutes les plateformes agréées ne sont pas tenues de traiter l’ensemble des cas d’usage à l’émission.

Le comité d’audit devrait demander une présentation de la procédure de sélection, de l’analyse des risques du prestataire et de la répartition contractuelle des responsabilités. Il devrait également s’assurer qu’un plan de continuité couvre les indisponibilités, les incidents de transmission, les changements de plateforme et les modalités de récupération des données.

Le rapport d’audit de conformité de la plateforme peut constituer une information utile, mais la FAQ de la CNCC précise qu’il ne démontre pas, à lui seul, le fonctionnement effectif de la plateforme pour les besoins de la certification des comptes. La même prudence doit guider le comité d’audit : l’agrément et les certifications du prestataire ne dispensent pas l’entreprise de contrôler ses propres flux et interfaces.

Quel reporting le comité d’audit devrait-il recevoir pour assurer une surveillance efficace du dispositif ?

Lisa Fécard : Pour exercer sa mission de surveillance, le comité d’audit devrait recevoir un tableau de bord synthétique comportant notamment : le taux de référentiels contrôlés, les rejets et refus, les flux non rapprochés, les doublons détectés, les transmissions hors délai, les anomalies de TVA, les incidents d’interface, les corrections manuelles, les factures bloquées et l’avancement des plans d’action.

Enfin, le comité devrait organiser un échange régulier avec la direction financière, la direction des systèmes d’information, l’audit interne et les commissaires aux comptes. Cet échange permettra d’apprécier si les dysfonctionnements opérationnels sont susceptibles d’avoir une incidence sur les comptes, la trésorerie, les obligations fiscales ou la continuité d’exploitation. Une incapacité significative à émettre ou à recevoir des factures pourrait en effet bloquer l’activité commerciale ou perturber les flux de trésorerie.

Quel message essentiel les comités d’audit doivent-ils retenir ?

Lisa Fécard : La facturation électronique doit être envisagée par le comité d’audit comme une transformation de la chaîne de production de l’information financière. Elle ne modifie pas uniquement le mode d’émission et de réception des factures : elle transforme la manière dont les données sont produites, échangées, contrôlées et exploitées tout au long des processus comptables et fiscaux. Son rôle consiste à s’assurer que la gouvernance, les référentiels, les interfaces, les rapprochements, les contrôles fiscaux, le suivi des anomalies et les mécanismes de continuité permettent de produire une donnée complète, exacte, traçable et disponible.

L’enjeu est donc de conserver une maîtrise de bout en bout de cette nouvelle chaîne de données, alors même qu’elle repose désormais sur un écosystème plus interconnecté faisant intervenir les systèmes de l’entreprise, les plateformes agréées et les systèmes de ses partenaires commerciaux. Une défaillance située à un seul maillon de cette chaîne peut avoir des répercussions sur les processus opérationnels, comptables ou fiscaux.

Le comité doit également veiller à ce que l’entreprise ne développe pas une confiance excessive dans les contrôles ou les statuts fournis par la plateforme agréée. Le recours à une plateforme agréée et l’automatisation croissante des échanges ne dispensent pas l’entreprise de maintenir son propre dispositif de maîtrise des risques. La fiabilité des comptes reste fondée sur un ensemble cohérent de contrôles internes couvrant la réalité des opérations, la qualité des données, leur transmission, leur traitement comptable et leur correcte déclaration fiscale.

Le sujet central devient dès lors celui de la capacité de l’entreprise à démontrer qu’elle conserve la maîtrise de ses flux et de ses données : sait-elle identifier les factures qui n’ont pas suivi le traitement attendu, détecter les ruptures dans la chaîne, rapprocher les différentes sources d’information et traiter les anomalies dans des délais appropriés ?

En définitive, pour le comité d’audit, être prêt à la facturation électronique ne signifie pas seulement être techniquement capable d’émettre et de recevoir des factures au format attendu. Cela signifie être en mesure de démontrer que la nouvelle chaîne de production de l’information financière est gouvernée, contrôlée et suffisamment résiliente pour préserver la qualité des données, la conformité fiscale et la fiabilité des comptes.