Spécialiste de la tenue de livres : accès aux comptes et fraude

Comment donner en toute sécurité à un spécialiste de la tenue de livres l'accès à mes données financières?

Donnez à chaque personne son propre identifiant, limitez-le à ce que le travail exige, et ne laissez jamais une même personne à la fois lancer et approuver un paiement. Ces trois règles viennent du guide de sécurité pour petites entreprises du NIST, l'institut américain des normes et de la technologie : un compte distinct pour chaque utilisateur, sous-traitants compris; un accès limité aux systèmes et aux renseignements dont la personne a besoin; et aucune personne qui à la fois lance et approuve une opération, dirigeants et cadres supérieurs compris.

Un spécialiste de la tenue de livres qui se limite à enregistrer les opérations n'a pas besoin de vos comptes personnels, des comptes des autres entités que vous possédez, des numéros de sécurité sociale (SSN) et des coordonnées bancaires de vos employés (sauf s'il gère la paie), ni de la possibilité d'ajouter un bénéficiaire ou d'en modifier un. Voilà la réponse à la question de ce qu'il faut tenir hors de sa vue : tout ce dont les livres n'ont pas besoin.

Le cas n'est pas simple lorsque :

• le spécialiste de la tenue de livres détient le seul identifiant d'administrateur du logiciel ou de la banque;
• la même personne enregistre les livres et envoie les paiements;
• le spécialiste de la tenue de livres paie aussi les fournisseurs ou gère la paie;
• un mot de passe est partagé par plusieurs personnes;
• une société de personnes ou une société compte plusieurs propriétaires, de sorte qu'on ne sait pas dont l'approbation compte;
• un changement des coordonnées bancaires d'un fournisseur ou un paiement que vous ne reconnaissez pas est déjà apparu.

Si le spécialiste de la tenue de livres détient le seul identifiant d'administrateur, envoie aussi des paiements, ou si quelque chose d'inhabituel est déjà apparu, lisez d'abord la dernière section, « Votre situation est différente? ».

À rassembler d'abord : la liste de tous les comptes bancaires, de carte, de paie et de logiciel, qui peut se connecter à chacun et avec quel rôle; les rôles offerts par chaque banque; et la liste des utilisateurs du fournisseur de services de paie.

Comment donner au spécialiste de la tenue de livres l'accès au logiciel de comptabilité sans partager mon identifiant?

Invitez le spécialiste de la tenue de livres comme utilisateur distinct, avec seulement les permissions que le travail exige, et gardez vous-même l'identifiant d'administrateur principal. La plupart des logiciels de comptabilité permettent au propriétaire de le faire; les noms et les étapes varient selon le produit, alors consultez la page d'aide du vôtre. Avant de choisir un rôle, demandez au fournisseur du logiciel s'il permet d'ajouter ou de modifier des bénéficiaires, d'autoriser des paiements, de changer les coordonnées des versements ou de donner accès à d'autres personnes. Laissez l'autorisation des paiements à une autre personne.

Le nom d'un rôle ne montre pas ce qu'il permet de faire; ne présumez donc pas qu'il est en lecture seule. Un identifiant distinct ne limite pas le rôle; il permet de relier les modifications à l'identifiant propre du spécialiste de la tenue de livres. Le NIST avertit que, sans comptes individuels, il est difficile d'enquêter sur une perte de données ou sur des modifications non autorisées. Si votre logiciel garde une trace de qui a modifié quoi, consultez-la.

Si le spécialiste de la tenue de livres a créé le fichier ou détient le seul identifiant d'administrateur, changez cela en premier. Voir remplacer votre spécialiste de la tenue de livres pour reprendre le contrôle de l'administration.

Un spécialiste de la tenue de livres peut-il avoir un accès en lecture seule à ma banque sans pouvoir déplacer d'argent?

Parfois, mais l'existence d'un rôle en lecture seule dépend de la banque. Aucune source gouvernementale ne décrit les rôles d'utilisateur des banques, qui varient selon la banque et le type de compte; demandez donc à la banque avant de vous fier à un rôle. Posez les questions par écrit :

1. Quels rôles existent, et en existe-t-il un qui permet de consulter les comptes et les relevés, mais pas de lancer, d'approuver ou d'autoriser un paiement, d'ajouter un bénéficiaire ou de modifier un plafond?
2. Le spécialiste de la tenue de livres peut-il avoir un identifiant distinct, pour que vous ne partagiez jamais le vôtre?
3. Un paiement peut-il exiger l'approbation d'un deuxième utilisateur?
4. Que peut faire une connexion entre la banque et le logiciel de comptabilité, et qui la configure?
5. La banque confirmera-t-elle les réponses par écrit?

Un flux bancaire est un lien entre la banque et le logiciel de comptabilité qui importe les opérations. Ce qu'un lien donné peut faire, c'est la réponse de la banque à la question 4, et non quelque chose que cette page peut promettre; de plus, un flux bancaire ne prouve pas que les livres concordent avec la banque (voir les flux bancaires ne remplacent pas le rapprochement).

Si la seule option est un accès complet, envoyez vous-même les relevés chaque mois au lieu de partager votre identifiant bancaire. Le NIST conseille que, dans la mesure du possible, aucun employé n'ait accès à tous les renseignements ou systèmes d'une entreprise.

Quels identifiants dois-je garder pour moi seul?

Gardez tout identifiant qui peut déplacer de l'argent, ajouter une personne ou changer qui est payé, ainsi que les comptes fiscaux dont l'entreprise est légalement responsable.

Pour les dossiers de l'IRS, le formulaire 8821 vous permet de désigner un particulier ou un cabinet pour consulter et recevoir vos renseignements fiscaux confidentiels, pour les types d'impôt et les périodes que vous indiquez. Il ne lui permet pas de parler en votre nom devant l'IRS. Le formulaire 2848 le permet, mais seulement pour une personne autorisée à exercer devant l'IRS.

Dans Business Tax Account, le compte en ligne de l'IRS pour les entreprises, un représentant désigné (Designated Official) ou un entrepreneur individuel peut ajouter un utilisateur désigné (Designated User). L'utilisateur se connecte avec sa propre identité, doit avoir un numéro de sécurité sociale (SSN) ou un numéro d'identification fiscale du contribuable individuel (ITIN), et n'a pas à être propriétaire ni dirigeant. Le représentant désigné ou l'entrepreneur individuel choisit les formulaires fiscaux, les périodes et les permissions, qui peuvent inclure l'exécution de paiements; un spécialiste de la tenue de livres qui n'a besoin que des registres n'a pas besoin de la permission de payer. Cette personne doit revalider l'utilisateur chaque année en janvier et en juin.

Tous les types d'entreprise ne peuvent pas avoir ce compte. L'IRS indique qu'il n'est pas encore offert à une société à responsabilité limitée (LLC) qui produit sa déclaration comme entreprise individuelle à l'annexe C ou à l'annexe F; ces propriétaires utilisent plutôt le formulaire 8821. Pour savoir quelle autorisation un nouveau comptable exige et comment mettre fin à une ancienne, voir changer de comptable.

L'IRS recommande fortement de ne pas remplacer votre adresse au dossier par celle d'un fournisseur de services de paie, parce que les avis de l'IRS sur votre compte seraient alors envoyés à quelqu'un d'autre.

Qui doit approuver les paiements, et pourquoi la personne qui enregistre ne doit-elle pas aussi payer?

Limiter qui peut autoriser les paiements est le principal moyen de séparer l'enregistrement du paiement; cela réduit le risque sans l'éliminer. La personne qui enregistre les paiements ne devrait pas aussi les envoyer, car alors personne d'autre ne voit l'écriture qui cache un mauvais paiement. Ce raisonnement est celui de cette page; la règle du NIST est plus étroite : aucune personne ne devrait à la fois lancer et approuver une opération, dirigeants et cadres supérieurs compris.

Un partage réalisable :

1. Le spécialiste de la tenue de livres saisit les factures et prépare la liste de ce qui est à payer.
2. Vous, un copropriétaire ou une autre personne désignée approuve la liste et autorise les paiements.
3. Le spécialiste de la tenue de livres enregistre ce qui a été payé, d'après le relevé de la banque.
4. Vous examinez vous-même l'activité bancaire, et non par l'intermédiaire des rapports du spécialiste de la tenue de livres.

Si vous êtes l'unique propriétaire, vous êtes la personne qui approuve et le spécialiste de la tenue de livres ne fait que préparer. Si vous lancez et autorisez à la fois les paiements, personne d'autre ne les approuve, et la règle du NIST n'est donc pas respectée. Lire l'activité bancaire chaque mois, ou faire voir les relevés à une personne de l'extérieur, permet de déceler un problème après coup; ce n'est pas une deuxième approbation.

Avec plusieurs propriétaires, décidez par écrit qui peut autoriser les paiements et qui peut approuver un nouveau bénéficiaire, et vérifiez que les personnes que la banque indique comme autorisées correspondent. Si les propriétaires ne s'entendent pas sur qui détient l'identifiant d'administrateur de la banque, réglez d'abord ce point.

Comment activer une deuxième étape de connexion et cesser de faire circuler les mots de passe?

Activez l'authentification multifacteur, aussi appelée connexion en deux étapes, sur chaque compte qui l'offre, et donnez à chaque personne son propre identifiant plutôt qu'un mot de passe partagé. La CISA, l'agence américaine de cybersécurité, explique que la deuxième étape protège un compte même lorsque quelqu'un vole le mot de passe.

• Où : dans les paramètres de chaque compte, sous Sécurité. Cette étape peut s'appeler authentification à deux facteurs ou en deux étapes. La CISA donne en exemple un code envoyé par texto ou par courriel, une application d'authentification et la reconnaissance d'empreinte digitale ou de visage. Commencez par la banque, le logiciel de comptabilité, le fournisseur de services de paie et votre courriel.
• Mots de passe : la CISA recommande au moins 16 caractères, aléatoires, différents pour chaque compte, conservés dans un gestionnaire de mots de passe plutôt que notés sur papier.
• Partage : l'Internet Crime Complaint Center (IC3) du FBI déconseille de communiquer des identifiants de connexion par courriel. Donnez au spécialiste de la tenue de livres un identifiant à lui, pas le vôtre.

Si mon spécialiste de la tenue de livres paie aussi les factures ou gère la paie, que dois-je encore vérifier moi-même?

Pour la paie, vérifiez toujours vous-même que les dépôts ont été faits, car l'employeur reste généralement responsable de ceux-ci, peu importe qui fait le travail. L'IRS indique que l'employeur est responsable en dernier ressort des dépôts fédéraux de charges sociales et peut devoir les impôts, les pénalités et les intérêts si un tiers ne paie pas.

Une personne peut aussi devoir personnellement les impôts retenus. Selon l'article 6672, une personne tenue de percevoir et de verser des impôts retenus qui omet volontairement de le faire est passible d'une pénalité de 100 % du montant impayé. L'IRS considère comme responsable toute personne qui a le devoir et le pouvoir de diriger ce paiement, et cite en exemple les dirigeants, les administrateurs, les actionnaires, les membres d'une société de personnes et les employés, ainsi que les fournisseurs de services de paie. Voir le guide sur la pénalité de recouvrement de l'impôt détenu en fiducie (Trust Fund Recovery Penalty) pour les critères et les délais de réponse.

Pour les factures, la vérification est votre propre examen de l'activité bancaire.

• Dépôts de paie : l'IRS demande de vous inscrire vous-même à l'EFTPS, d'obtenir votre propre NIP et de l'utiliser pour vérifier que les dépôts ont été faits sous votre numéro d'employeur. Il considère le premier paiement manqué ou en retard comme un signal d'alarme.
• Une organisation d'employeurs professionnels certifiée (CPEO) : elle est généralement l'unique employeur aux fins de l'impôt pour les salaires qu'elle verse aux employés du site de travail (26 USC 3511) et fait les dépôts sous son propre numéro; ses clients ne peuvent donc pas voir ces dépôts dans l'EFTPS. Demandez plutôt une preuve de paiement à la CPEO.
• Avis sur les charges sociales : ils sont envoyés à l'adresse au dossier de l'IRS; gardez donc la vôtre.
• Tout le reste : l'examen mensuel de l'activité bancaire et la règle du rappel ci-dessous s'appliquent aussi ici.

Si un fournisseur n'a pas fait les dépôts, voir que faire lorsqu'un fournisseur de services de paie n'a pas payé vos impôts.

Quels contrôles permettent de déceler tôt un vol ou des erreurs?

Quatre vérifications du propriétaire aident à déceler tôt un vol ou des erreurs : lire l'activité bancaire, passer en revue qui a accès, lire les rapports de rapprochement et approuver chaque changement des coordonnées d'un bénéficiaire. Aucune ne dépend du spécialiste de la tenue de livres.

L'IC3 conseille de surveiller régulièrement les comptes financiers pour y repérer des irrégularités, comme des dépôts manquants; lire chaque mois les relevés de l'entreprise applique la même idée.

Pour savoir ce que montre un vrai rapprochement, voir vérifier le travail de votre spécialiste de la tenue de livres et les flux bancaires ne remplacent pas le rapprochement.

Comment fonctionnent les fausses factures et les coordonnées bancaires modifiées, et qu'est-ce que la règle du rappel?

Dans la compromission de courriel d'affaires, des criminels utilisent un compte courriel piraté ou imitant un vrai compte pour demander un virement ou de nouvelles coordonnées bancaires; l'IC3 indique qu'elle vise les petites entreprises locales autant que les grandes sociétés. Son annonce totalise des pertes exposées déclarées de 55,5 milliards $ sur environ dix ans.

La règle du rappel consiste à vérifier tout changement de coordonnées de paiement par un deuxième canal avant d'agir. L'IC3 conseille d'utiliser des canaux secondaires pour vérifier les demandes de changement de renseignements de compte.

1. Traitez toute demande de payer un nouveau compte, ou de modifier les coordonnées bancaires d'un fournisseur, comme non vérifiée, même si elle semble venir d'un fournisseur ou du courriel du spécialiste de la tenue de livres lui-même.
2. Trouvez le numéro de téléphone du fournisseur à partir d'un document antérieur à la demande, comme une facture précédente ou le contrat. N'utilisez pas un numéro ni un lien figurant dans le message. La CISA donne le même conseil pour les messages suspects.
3. Demandez au fournisseur de confirmer les anciennes et les nouvelles coordonnées.
4. Notez qui a confirmé et quand, et faites approuver le changement par la personne qui approuve les paiements.

L'IC3 indique aussi de vérifier que l'adresse de l'expéditeur et les liens correspondent à la vraie entreprise, car un lien peut cacher une faute d'orthographe dans le vrai nom de domaine.

Que faire si de l'argent disparaît : que faire d'abord, et la perte est-elle déductible?

Agissez d'abord sur l'argent, puis sur l'accès, puis sur l'impôt. Si un virement était frauduleux, l'IC3 indique que le temps presse : communiquez sans délai avec votre banque pour demander le rappel des fonds, et déposez une plainte à ic3.gov, quel que soit le montant.

1. Argent : appelez la banque et demandez un rappel des fonds. Demandez quel délai la convention de compte fixe pour signaler un paiement non autorisé : la Regulation E vise les comptes détenus principalement à des fins personnelles, familiales ou domestiques; un compte d'entreprise est donc généralement exclu.
2. Accès : retirez les identifiants de la personne, changez chaque mot de passe qu'elle connaissait et activez une deuxième étape de connexion.
3. Registres : conservez les relevés, les courriels, les factures et la liste des modifications du logiciel avant que quoi que ce soit ne soit modifié.
4. Impôt : une déduction pour vol obéit à des règles de moment et de preuve, exposées plus bas.

La déductibilité de la perte dépend des faits et du droit de l'État. La Publication 547 de l'IRS assimile le détournement de fonds à un vol. Un vol est la prise illégale d'argent ou de biens avec une intention criminelle selon la loi de l'État, et aucune condamnation n'est nécessaire. L'IRS considère aussi comme vol la prise d'argent ou de biens par fraude ou fausse déclaration si cela est illégal selon la loi de l'État ou une loi locale; un paiement envoyé à un faux bénéficiaire peut donc être admissible. Une simple disparition d'argent, ou une erreur de tenue de livres sans intention criminelle, n'est pas un vol; pour les erreurs, voir qui paie les pénalités quand un spécialiste de la tenue de livres fait des erreurs.

Quand une perte peut être déduite :

• Une perte par vol non remboursable n'est déductible que pour l'année où vous découvrez le vol.
• S'il existe une demande de remboursement avec une perspective raisonnable de recouvrement, par exemple auprès de la banque, d'un assureur ou du voleur, cette partie n'est pas déduite avant que vous sachiez avec une certitude raisonnable qu'elle ne sera pas remboursée.
• La façon de calculer le montant dépend de ce qui a été pris, et le remboursement reçu ou attendu le réduit.
• La perte se calcule sur le formulaire 4684, section B. Une société de personnes ou une société de type S la déclare ensuite à son annexe K, de sorte qu'elle passe aux propriétaires. Un entrepreneur individuel la reporte à l'annexe 1 (formulaire 1040), et une société de type C suit les instructions de sa propre déclaration. Le formulaire 4797 peut être exigé à la place.

Un paiement envoyé à un fraudeur, comme un faux compte de fournisseur, a aussi ses propres conditions dans la Publication 547, sous les pertes liées aux fraudes financières : la perte doit résulter d'une conduite criminelle qualifiée de vol selon la loi de l'État, il ne doit y avoir aucune perspective raisonnable de recouvrer les fonds, et l'opération doit avoir été conclue en vue d'un profit.

Les livres ont peut-être enregistré l'argent disparu comme des dépenses ordinaires dans des années antérieures; la façon d'articuler la perte et ces années est donc une question pour un professionnel. Consultez les instructions de l'IRS avant de produire votre déclaration.

Comment retirer l'accès à la fin du travail?

Retirez chacun des identifiants de la personne à la fin du travail, en commençant par ceux qui touchent à l'argent. Si un nouveau spécialiste de la tenue de livres prend la relève, retirez l'accès à un compte une fois que le nouvel identifiant fonctionne, sauf si de l'argent manque : coupez alors d'abord l'accès à la banque, aux cartes et au financement de la paie. Le NIST indique que, lorsqu'une personne part, il faut s'assurer qu'elle n'a plus accès : supprimer son compte de tous les systèmes et changer tout mot de passe partagé qu'elle connaissait.

• Logiciel de comptabilité : un administrateur retire le spécialiste de la tenue de livres de la liste des utilisateurs dans les paramètres du logiciel, puis vérifie la liste pour confirmer que l'accès a pris fin. Suivez les instructions du fournisseur du logiciel.
• Banque : demandez à la banque de retirer l'utilisateur et toute connexion au logiciel.
• Fournisseur de services de paie, applications de paiement, portails de cartes et stockage partagé : retirez l'utilisateur dans chacun.
• Tout ce qui est partagé : changez le mot de passe et réinitialisez l'appareil de la deuxième étape s'il en détenait un.
• Autorisations fiscales : si vous avez signé un formulaire 8821 ou 2848, révoquez-le par écrit comme l'expliquent les instructions du formulaire 8821 ou du formulaire 2848. Si vous avez ajouté le spécialiste de la tenue de livres comme utilisateur désigné dans Business Tax Account, mettez fin à cet accès à cet endroit. Si le spécialiste de la tenue de livres ou une firme de paie est aussi votre agent déclarant sur le formulaire 8655, révoquez cette autorisation séparément : un nouveau formulaire 8655 ne met fin au pouvoir de l'ancien agent qu'à compter de la période qu'il indique, et l'ancien agent conserve le pouvoir de divulgation pour les périodes antérieures, à moins que vous ne le révoquiez. Voir changer de fournisseur de services de paie.

Pour le transfert complet, y compris le dossier, les mois clos et les dates de production, voir remplacer votre spécialiste de la tenue de livres.

Exemple

Ces exemples sont illustratifs; tous les chiffres sont en dollars américains.

Une spécialiste de la tenue de livres à distance pour une clinique dentaire

Une clinique dentaire dont les revenus sont de 900 000 $ US embauche une spécialiste de la tenue de livres à distance. Le propriétaire l'invite comme utilisatrice distincte dans le logiciel après avoir vérifié que ses permissions ne permettent ni d'autoriser des paiements ni de modifier des bénéficiaires, envoie les relevés bancaires chaque mois et garde l'identifiant d'administrateur de la banque. La spécialiste de la tenue de livres prépare chaque semaine la liste des factures; seul le propriétaire approuve et autorise les paiements. Le propriétaire active une deuxième étape de connexion à la banque et dans le logiciel.

Un mot de passe partagé dans une LLC à membre unique

Une LLC à membre unique dont les revenus sont de 150 000 $ US utilise le même mot de passe depuis des années, et un ancien assistant le connaît encore. La propriétaire crée un identifiant distinct pour elle-même et pour le spécialiste de la tenue de livres actuel, change chaque mot de passe que l'ancien assistant connaissait et active une deuxième étape de connexion. Elle lit l'activité bancaire des derniers mois pour y repérer des paiements qu'elle ne reconnaît pas et, lorsque le logiciel garde un journal des modifications, vérifie qui a fait les modifications récentes.

Le même courriel, deux configurations

Un courriel provenant d'une adresse qui imite celle du fournisseur demande de verser à un nouveau compte la prochaine facture de 18 000 $ US d'un entrepreneur. Lorsque le spécialiste de la tenue de livres ne fait que préparer la liste et que le propriétaire autorise les paiements, le propriétaire voit le nouveau compte, appelle le numéro du contrat signé, et le fournisseur répond qu'il n'a envoyé aucun changement. Lorsque le même spécialiste de la tenue de livres autorise aussi les paiements, l'argent part. Le propriétaire le découvre sur le relevé des semaines plus tard, demande un rappel des fonds à la banque et retire les identifiants du spécialiste de la tenue de livres. Les livres montrent le paiement comme une facture ordinaire de fournisseur; corriger les livres et régler toute perte est donc une question pour un professionnel.

Votre situation est différente?

• La même personne enregistre et paie, le spécialiste de la tenue de livres détient le seul identifiant d'administrateur, ou les propriétaires ne s'entendent pas sur qui approuve : cela supprime la deuxième personne qui, selon le NIST, devrait se tenir entre le lancement et l'approbation d'un paiement. Déterminez qui détient chaque accès, comment les paiements sont approuvés et ce que vous examinez chaque mois, avec l'aide en tenue de livres.
• Un changement de coordonnées bancaires ou un paiement inhabituel est déjà apparu, ou vous soupçonnez une perte : agissez d'abord sur l'argent. Le moment de la déduction pour vol et les livres des années antérieures dépendent des faits; faites donc examiner les mois touchés avec l'aide en tenue de livres avant qu'une déclaration s'en serve.
• Vous n'êtes pas certain que les livres sont exacts : voir vérifier le travail de votre spécialiste de la tenue de livres.
• Vous n'avez pas encore embauché : voir les questions à poser avant d'embaucher un spécialiste de la tenue de livres, ce dont le spécialiste de la tenue de livres a besoin de vous et spécialiste local ou en ligne.
• Le spécialiste de la tenue de livres est à l'étranger : voir embaucher un spécialiste de la tenue de livres à l'étranger.
• Votre fournisseur de services de paie n'a pas payé vos impôts : suivez le guide sur le fournisseur de services de paie.
• Vous voulez mettre fin à la relation : voir remplacer votre spécialiste de la tenue de livres.