Votre comptable détient les clés de toute votre vie financière : votre numéro d'identification d'employeur, vos identifiants bancaires, vos registres de paie contenant le numéro de sécurité sociale de chaque employé et vos déclarations fiscales. Posez-vous maintenant une question inconfortable : avez-vous la moindre idée de la manière dont ce cabinet protège tout cela ? La plupart des propriétaires de petites entreprises vérifient les références, les tarifs et la réactivité de leur comptable, puis lui confient un accès financier complet sans poser une seule question sur la cybersécurité. C'est précisément sur ce déficit de confiance que comptent les attaquants.
Les enjeux ne sont pas abstraits. Les services financiers sont restés le secteur le plus ciblé par les violations de données en 2025, avec 739 compromissions signalées, selon le rapport annuel du Identity Theft Resource Center. Le coût moyen d'une violation pour une petite entreprise atteint désormais environ 149 000 $, et on estime que 60 % des petites entreprises ferment dans les six mois suivant une cyberattaque majeure. Lorsque le système compromis appartient à votre comptable plutôt qu'à vous, les dégâts retombent tout de même sur vos comptes, l'identité de vos employés et vos déclarations fiscales.
Ce guide explique pourquoi les cabinets comptables sont des cibles si attrayantes, ce que la loi fédérale leur impose déjà, comment distinguer un cabinet qui applique une sécurité sérieuse d'un autre qui fonctionne à base de mots de passe partagés et d'espoir, et quelles protections inscrire dans votre lettre de mission.
Pourquoi les comptables sont des cibles de premier choix
Les attaquants suivent les données, et un cabinet comptable concentre plus de données sensibles par employé que presque toute autre petite entreprise. Un seul poste de travail de comptable compromis peut livrer les identifiants bancaires, les identifiants fiscaux, les fichiers de paie et les déclarations des années précédentes de dizaines de clients — tout ce qu'il faut pour l'usurpation d'identité d'entreprise, les déclarations fiscales frauduleuses et la fraude par virement. Compromettre un seul cabinet peut être plus rentable que de s'attaquer directement à l'un de ses clients.
L'IRS met en garde contre cela depuis des années. Ses alertes du Security Summit préviennent les professionnels de la fiscalité de campagnes d'hameçonnage soutenues conçues spécifiquement pour voler leurs identifiants, en notant que les voleurs ciblent les préparateurs précisément parce qu'une seule intrusion donne accès à de nombreux contribuables à la fois. Votre comptable peut réaliser d'excellents rapprochements et pourtant n'être qu'à un seul courriel d'hameçonnage convaincant de transmettre aux attaquants votre identifiant QuickBooks, votre session de portail bancaire et votre fichier de paie en un seul après-midi.
Il existe un second risque, plus discret : la dispersion des accès au sein même du cabinet. De nombreux cabinets comptables partagent les mots de passe des portails clients entre employés dans des tableurs ou des messages de discussion, maintiennent les identifiants d'anciens prestataires actifs pendant des mois et laissent leur personnel travailler depuis des appareils personnels sans chiffrement ni capacité d'effacement à distance. Chacun de ces raccourcis multiplie le nombre de personnes et de machines qui se dressent entre votre compte bancaire et quiconque veut y accéder.
La loi exige déjà que votre comptable soit sécurisé
Voici la partie que la plupart des clients n'entendent jamais : un cabinet comptable doté d'une informatique négligée n'est pas seulement imprudent, il enfreint probablement la loi fédérale. En vertu de la règle de sauvegarde de la FTC, qui met en œuvre la loi Gramm-Leach-Bliley, les comptables, les teneurs de livres et les préparateurs fiscaux sont considérés comme des « institutions financières » et doivent maintenir un programme écrit de sécurité de l'information protégeant les données des clients. Cette règle est applicable depuis juin 2023 et s'applique quelle que soit la taille du cabinet.
La règle exige neuf éléments précis, notamment la désignation d'une Personne qualifiée responsable du programme, une évaluation écrite des risques, le chiffrement des données clients, l'authentification multifacteur (MFA) sur les systèmes accédant à ces données, la formation du personnel à la sécurité, la surveillance des propres fournisseurs du cabinet et un plan écrit de réponse aux incidents. Depuis mai 2024, les cabinets doivent également notifier la FTC dans les 30 jours suivant la découverte d'une violation touchant 500 consommateurs ou plus. Les cabinets conservant des dossiers sur moins de 5 000 consommateurs bénéficient d'une exemption partielle de certains éléments procéduraux — mais l'obligation fondamentale de protéger les données des clients s'applique à tous.
À cela s'ajoute la couche IRS. Chaque préparateur rémunéré doit maintenir un plan écrit de sécurité de l'information (WISP) — l'IRS publie un modèle gratuit dans la Publication 5708 — et mettre en œuvre les contrôles de base « Security Six » : antivirus ou protection des points de terminaison, pare-feu, MFA, sauvegardes chiffrées, chiffrement des disques et VPN pour l'accès à distance. L'IRS lie cela au processus de renouvellement du PTIN, ce qui signifie qu'un préparateur incapable de présenter un plan de sécurité des données risque de perdre l'habilitation qui lui permet de déposer pour ses clients.
Pourquoi cela vous importe-t-il en tant que client ? Parce que cela transforme vos questions de vérification d'un interrogatoire gênant en une simple vérification de conformité. Vous ne demandez pas de faveurs à votre comptable. Vous lui demandez s'il respecte les mêmes règles fédérales qui régissent chaque cabinet de sa profession.
Informatique maison vs sécurité sur mesure : ce qui a changé en 2026
Pendant des années, le cabinet comptable de petite taille typique se protégeait comme la plupart des petites entreprises : un abonnement antivirus grand public, des mots de passe dans un tableur partagé, des documents clients arrivant en pièces jointes de courriel non protégées, et la personne ayant installé le Wi-Fi faisant office de service informatique. Ce modèle s'effondre sous le poids de l'hameçonnage d'identifiants, des prestataires offshore et d'une douzaine d'applications cloud par client.
La réponse de l'industrie est la plateforme de sécurité sur mesure : un environnement géré unique qui remplace l'assemblage bricolé d'outils maison par un contrôle d'accès centralisé, le masquage des identifiants (le personnel se connecte au portail de votre banque sans jamais voir le mot de passe réel), l'intégration et la désactivation en un clic sur tous les systèmes, et une piste d'audit montrant exactement qui a touché vos données et quand. À la mi-2026, le fournisseur cloud comptable Rightworks a rejoint ce mouvement en lançant une édition de sa plateforme dédiée aux comptables lors de la conférence Scaling New Heights, destinée aux cabinets qui gèrent des données clients sensibles, travaillent avec des prestataires ou du personnel offshore et jonglent avec plusieurs applications comptables cloud. L'argument : une sécurité de niveau entreprise sans service informatique interne — entièrement géré, sans assemblage maison.
Peu importe quel fournisseur votre comptable utilise. Ce qui compte, c'est le changement architectural que ces plateformes représentent : des mots de passe individuels remplacés par un accès géré de manière centralisée, des connexions invisibles remplacées par des pistes d'audit, et le « faites-nous confiance » remplacé par des contrôles que vous pouvez vérifier. Lorsque vous vérifiez un cabinet en 2026, vous demandez en réalité de quel côté de ce changement il se situe.
Dix questions à poser avant de confier l'accès
Utilisez ces questions lorsque vous engagez un cabinet comptable — ou lors de votre prochaine revue avec celui que vous avez déjà. Un cabinet sécurisé répondra rapidement et par écrit. L'évitement est en soi une réponse.
1. Avez-vous un plan écrit de sécurité de l'information, et qui est votre Personne qualifiée ? C'est le socle fédéral. Le cabinet doit pouvoir confirmer qu'il maintient un WISP et nommer la personne responsable. Si le propriétaire n'a jamais entendu ce terme, rien d'autre dans cette liste n'a d'importance.
2. L'authentification multifacteur est-elle imposée sur tout ce qui touche à mes données ? Pas « disponible » — imposée. Cela inclut le logiciel comptable, le courriel, le stockage cloud, l'accès à distance et le compte e-Services de l'IRS utilisé pour vos déclarations. La MFA est à la fois une exigence de la FTC et un élément du Security Six de l'IRS, et son absence est la constatation la plus courante dans les violations de petits cabinets.
3. Comment mes identifiants bancaires et de portail sont-ils stockés ? Réponses acceptables : un gestionnaire de mots de passe professionnel avec identifiants masqués, ou une authentification unique via une plateforme gérée où le personnel ne voit jamais le mot de passe sous-jacent. Réponses inacceptables : un tableur, un document partagé, un fil de discussion, ou « chacun garde sa propre copie ».
4. Qui exactement peut voir mes données — y compris les prestataires et le personnel offshore ? De nombreux cabinets externalisent la saisie de données ou le traitement nocturne. C'est légitime, mais chaque personne ayant accès doit être authentifiée individuellement, couverte par les mêmes politiques de sécurité et révocable en une seule action à la fin de la mission. « Un prestataire aide parfois » sans comptes nommés est un signal d'alarme.
5. À quelle vitesse pouvez-vous révoquer l'accès de quelqu'un ? Lorsqu'un employé démissionne ou qu'une mission de prestataire se termine, son accès à chaque système client devrait disparaître le jour même — idéalement via une désactivation en un clic. Demandez quel est le processus réel du cabinet et combien de temps il prend. Les identifiants persistants d'anciens employés sont un vecteur de violation classique.
6. Mes données sont-elles chiffrées au repos et en transit, et comment les sauvegardes sont-elles gérées ? Recherchez le chiffrement des disques sur tous les postes de travail, des connexions chiffrées (pas de travail sur Wi-Fi ouvert sans VPN) et des sauvegardes chiffrées stockées séparément des systèmes actifs. Posez ensuite la question de suivi que la plupart des cabinets redoutent : quand avez-vous testé pour la dernière fois la restauration à partir de ces sauvegardes ?
7. Pouvez-vous me montrer une piste d'audit de qui a accédé à mes comptes ? Les plateformes centralisées enregistrent chaque connexion et chaque action. Si le cabinet ne peut pas vous dire qui a ouvert votre dossier mardi dernier, il ne peut pas non plus détecter les usages abusifs — et après un incident, ni l'un ni l'autre ne saura ce que l'attaquant a vu.
8. Quel est votre plan de réponse aux incidents, et à quelle vitesse m'informerez-vous d'une violation ? Le cabinet a besoin d'un plan écrit, pas d'une intention d'improviser. Fixez un engagement de notification : vous voulez être informé d'une violation suspectée touchant vos données en quelques jours, pas après la conclusion de l'enquête du cabinet des semaines plus tard. Votre État peut également vous imposer, en tant que propriétaire des données, ses propres délais de notification de violation.
9. Formez-vous votre personnel contre l'hameçonnage, et le testez-vous ? L'hameçonnage reste la voie la plus courante vers une violation, et les cabinets fiscaux et comptables sont délibérément ciblés. Une formation annuelle est le minimum ; des tests d'hameçonnage simulés sont le signe d'un cabinet qui prend la menace au sérieux.
10. Disposez-vous d'une assurance responsabilité cyber ? L'assurance ne prévient pas les violations, mais en être titulaire indique que le cabinet a été soumis au questionnaire de sécurité d'un assureur — qui pose bon nombre de ces mêmes questions — et qu'il existe un plan de réponse financé en cas de problème.
Les signaux d'alarme qui doivent vous empêcher de signer
Certains signes avant-coureurs sont visibles avant même de poser une seule question formelle. Si votre comptable potentiel vous demande d'envoyer des documents sensibles en pièces jointes non protégées plutôt que de les téléverser vers un portail sécurisé, cela vous indique comment circulent aussi les documents de tous les autres clients. Si l'intégration implique d'envoyer des mots de passe par SMS ou de partager un seul identifiant « pour l'équipe », les contrôles d'accès du cabinet sont purement décoratifs. Si la lettre de mission ne dit rien sur la confidentialité, la gestion des données ou la notification de violation, la sécurité n'était pas un oubli — elle n'a jamais été au programme.
D'autres signaux d'alarme émergent en conversation : des réponses vagues sur qui fait le travail réel, une réticence à mettre les engagements de sécurité par écrit, l'absence de processus pour restituer ou supprimer vos données si vous partez, et l'utilisation d'appareils personnels pour le travail client sans aucune mention de chiffrement ou de gestion des appareils mobiles. Chacun de ces éléments pris isolément est réparable. Leur présence combinée est le signe d'un cabinet qu'il faut fuir.
Inscrivez-le dans la lettre de mission
Les assurances verbales s'évaporent le jour où quelque chose tourne mal. Quoi que le cabinet promette en matière de sécurité, consignez l'essentiel dans votre lettre de mission ou un avenant de traitement des données :
- Un engagement à maintenir un plan écrit de sécurité de l'information et à respecter la règle de sauvegarde de la FTC ainsi que les exigences applicables de l'IRS.
- Une clause de notification de violation avec un délai précis (par exemple, un préavis dans les 72 heures suivant la découverte d'un incident suspecté touchant vos données).
- Des limites à la sous-traitance : aucun accès offshore ou de tiers à vos données sans votre consentement écrit préalable.
- Une clause de restitution et de suppression des données : à la fin de la mission, le cabinet vous restitue vos dossiers dans un format exploitable et certifie la suppression de ses copies dans un délai défini.
- Des clauses de confidentialité qui survivent à la résiliation.
Vous ne rédigez pas des contrats de fournisseur d'entreprise — quelques phrases simples ajoutées à une lettre de mission standard suffiront. Le but n'est pas de plaider plus tard ; il est de s'assurer que les deux parties ont discuté de la sécurité avant que l'accès ne change de mains.
Gardez votre gestion financière sécurisée dès le premier jour
Vérifier l'informatique de votre comptable relève de la même discipline que tenir des comptes propres : savoir exactement où vivent vos données financières, qui peut y toucher et ce qui se passe en cas de problème. À mesure que vous resserrez cette surveillance, tenir vos propres registres financiers clairs est essentiel. Beancount.io propose une comptabilité en texte brut qui vous offre une transparence et un contrôle complets sur vos données financières — pas de boîtes noires, pas de dépendance à un fournisseur. Commencez gratuitement et découvrez pourquoi les développeurs et les professionnels de la finance passent à la comptabilité en texte brut.
