DSI externalisé pour cabinet d'expertise comptable : missions, responsabilités et critères de choix

L'article 21 de l'ordonnance du 19 septembre 1945 tient l'expert-comptable au secret professionnel, dans les conditions et sous les peines de l'article 226-13 du code pénal. Ce secret couvre tout ce que vous connaissez d'un client dans votre mission : ses comptes, ses données fiscales, ses confidences. En décembre 2023, l'hébergeur Coaxis a été frappé par un rançongiciel, et des cabinets utilisant les solutions ACD et RCA ont perdu, plusieurs jours durant, l'accès à leurs données hébergées et à leur messagerie, avec des déclarations de TVA et des DSN retardées.

Ces deux faits, l'un juridique et l'autre technique, disent la même chose : les données et les processus dont dépend votre cabinet portent des noms très concrets, et leur disponibilité ne dépend pas que de vous. Les dossiers, la production comptable, la messagerie, le portail par lequel vos clients déposent leurs pièces, les accès aux téléprocédures : un DSI externalisé, c'est la personne dont le métier est de tenir cet ensemble debout, sans que vous ayez à recruter un informaticien. Voici ce que cela recouvre, où s'arrête mon rôle, et comment choisir.

Un cabinet d'expertise comptable a rarement le volume pour créer ce poste, ni l'envie de le porter : c'est précisément le rôle qu'un DSI externalisé tient en temps partagé.

Pourquoi la question se pose

Trois réalités du quotidien rendent le sujet concret, sans qu'il soit besoin de dramatiser.

D'abord, l'échéance. Une partie de votre activité passe par des dépôts soumis à des délais. Les liasses fiscales des exercices clos au 31 décembre 2025 sont à télétransmettre au plus tard le 20 mai 2026 en EDI-TDFC, et ce calendrier ne s'ajuste pas à votre disponibilité informatique. Une indisponibilité qui tombe en pleine campagne touche directement votre capacité à produire et à déposer.

Ensuite, la confidentialité. Le secret professionnel s'étend aux données numériques, et l'article 32 du RGPD ajoute une obligation de sécurité des traitements. Limiter les accès aux personnes habilitées, activer l'authentification à plusieurs facteurs, tenir des sauvegardes régulières et préparer la continuité : ce sont des moyens techniques, et c'est précisément là qu'un prestataire intervient.

Enfin, l'organisation. Un cabinet, ce sont des associés, des collaborateurs, des alternants, des stagiaires, du travail au bureau, chez le client et en télétravail. Chaque personne et chaque lieu est un accès à ouvrir, à encadrer, puis à refermer le moment venu. À cela s'ajoute une échéance de fond : à partir du 1er septembre 2026, toutes les entreprises devront pouvoir recevoir leurs factures électroniques, via une plateforme agréée, ce qui déplace une partie de vos flux vers de nouveaux outils à sécuriser.

Les risques concrets, nommés sans exagération

En pratique, quand l'informatique d'un cabinet n'est pilotée par personne, quatre risques reviennent :

• l'indisponibilité : ne plus pouvoir produire, déposer ou accéder à un dossier au mauvais moment ;
• la divulgation : une pièce couverte par le secret qui circule par un canal non maîtrisé ;
• l'altération : des écritures ou un dossier modifiés ou corrompus sans qu'on sache par qui ni quand ;
• la perte de preuve ou de traçabilité : ne pas pouvoir reconstituer qui a fait quoi, ni prouver une indisponibilité.

Ces quatre risques structurent tout le reste. Les missions ci-dessous s'y rattachent une à une.

Ce que fait, concrètement, un DSI externalisé

La continuité en période fiscale. Je regarde la chaîne dont dépend votre travail, du poste jusqu'à l'accès à la production comptable et aux téléprocédures, et je m'assure qu'un incident sur un maillon ne met pas tout à l'arrêt. L'objectif n'est pas de promettre qu'il n'arrivera jamais rien, mais que ce qui doit repartir vite reparte vite, y compris au plus fort de la campagne.

La gouvernance des accès. Qui a accès à quel dossier client, avec quel niveau ? L'authentification à plusieurs facteurs, la création d'un accès à l'arrivée d'un collaborateur, et surtout sa révocation au départ. D'expérience, c'est le point le plus souvent négligé dans les cabinets qui n'ont pas de prestataire dédié.

La sauvegarde testée et hors ligne. Une sauvegarde qui n'a jamais été restaurée est une supposition. Je mets en place des copies dont une hors ligne, et je teste la restauration, avec un résultat que je vous communique. Ce point n'est pas théorique : Cybermalveillance.gouv.fr indique que, durant une attaque, les cybercriminels cherchent souvent à détruire les sauvegardes de la victime et à exfiltrer ses données.

Le portail et les échanges sécurisés. Vos clients déposent leurs pièces, vous leur transmettez des documents sensibles. Que vous utilisiez le portail intégré à Cegid Loop, MyUnisoft, Pennylane, ou une autre solution, mon rôle est de faire en sorte que ces échanges passent par des canaux maîtrisés, et non par une boîte personnelle ou une clé qui traîne.

La préparation à l'incident. Un incident se gère mieux quand quatre questions ont une réponse écrite avant qu'il survienne : qui isole les systèmes, qui alerte, qui évalue ce qui a été touché, qui communique. Cybermalveillance recommande de couper les connexions Internet du réseau attaqué, de déconnecter les machines touchées et d'alerter immédiatement le prestataire informatique. Lorsqu'une violation présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les meilleurs délais et, en principe, au plus tard dans les 72 heures suivant sa découverte ; toutes les violations doivent par ailleurs être documentées en interne, et les personnes concernées ne sont informées qu'en cas de risque élevé.

Le pilotage et la feuille de route. C'est ce qui distingue une direction informatique d'un simple dépannage. Je rassemble les contrats, les coûts, les risques et les projets numériques du cabinet dans une feuille de route priorisée et budgétée, revue chaque année, avec un point de suivi remis aux associés. Elle vous permet d'arbitrer les investissements, de coordonner vos éditeurs et prestataires, d'anticiper les échéances comme la facturation électronique, et de savoir ce qui doit être traité cette année, plus tard, ou pas du tout. On ne se contente pas de régler les incidents un par un, on pilote.

Où s'arrête mon rôle

C'est une limite que je tiens à poser clairement, parce qu'elle vous protège. Je mets en place et j'exploite les moyens techniques. Je ne me substitue pas à vous sur le terrain du métier.

Apprécier ce que couvre le secret professionnel dans un dossier, qualifier une violation de données, décider s'il faut notifier la CNIL et informer les clients concernés, arbitrer une position comptable ou fiscale : cela reste votre responsabilité, avec votre délégué à la protection des données le cas échéant. Mon travail est de vous donner, vite et proprement, les éléments techniques dont vous avez besoin pour décider. Pas de décider à votre place.

Une grille pour évaluer votre situation, ou un prestataire

Ces questions n'exigent aucune compétence technique. Leurs réponses disent beaucoup.

• Un stagiaire ou un alternant peut-il, aujourd'hui, consulter l'ensemble des dossiers clients ?
• Le compte d'un collaborateur parti l'an dernier est-il désactivé ?
• Des pièces de clients transitent-elles par une messagerie personnelle ou une clé USB ?
• Des dossiers sont-ils copiés sur un ordinateur familial en télétravail ?
• Qui peut révoquer immédiatement un accès perdu ou compromis, et en combien de temps ?
• Une restauration de sauvegarde a-t-elle déjà été testée cette année, base de production comprise ?
• Si votre hébergeur ou votre logiciel de production était indisponible une journée en pleine campagne, sauriez-vous quoi faire ?
• Existe-t-il un document qui dit qui isole, qui alerte, qui évalue et qui communique en cas d'incident ?

Les critères pour choisir

D'expérience, ce qui compte davantage que le prix mensuel affiché :

• un interlocuteur identifié et joignable, pas un centre d'appel anonyme ;
• la connaissance des contraintes du métier : calendrier des échéances, EDI-TDFC, secret professionnel, portail client ;
• la réversibilité : pouvoir récupérer vos données si vous vous séparez du prestataire ;
• des sauvegardes réellement testées, dont le résultat vous est communiqué ;
• une frontière claire entre l'informatique et le métier, comme celle posée plus haut ;
• l'absence de promesse de résultat garanti : un prestataire sérieux parle de réduire des risques, pas de les supprimer.

Par où commencer

Le plus simple est de commencer par une revue informatique du cabinet : je fais le tour des accès, des sauvegardes et de la chaîne de continuité avant la prochaine campagne, et vous recevez un état écrit indiquant ce qui tient, ce qui expose le cabinet et les corrections prioritaires. C'est un point d'entrée mesuré, sans engagement de suite, dont vous tirez une décision et une première brique de feuille de route.

Sur l'hébergement, un mot en fin de parcours : une fois la continuité assurée, savoir où vivent vos données mérite un examen. Deux critères se vérifient séparément, et l'un n'implique pas l'autre : la localisation, car des données hébergées en France peuvent rester pilotées par un tiers, et le contrôle réel, qui dépend du contrat, des comptes d'administration, des clés de chiffrement, des sous-traitants, de la réversibilité, des possibilités d'export et de la journalisation. C'est une destination à préparer, pas un préalable.

Si vous voulez en discuter, écrivez-moi le point qui vous préoccupe le plus dans la grille ci-dessus, et je vous dis par quoi il serait raisonnable de commencer.