1. Pourquoi auditer la PA après les premiers flux réels
Depuis le 1er septembre 2026, la réforme française est entrée en vigueur. Selon Service-Public, toutes les entreprises concernées doivent pouvoir recevoir des factures électroniques depuis cette date ; les grandes entreprises et les ETI doivent également émettre leurs factures électroniques et transmettre les données d’e-reporting, tandis que ces obligations d’émission et d’e-reporting commenceront le 1er septembre 2027 pour les PME et micro-entreprises. Service-Public invite notamment les entreprises à cartographier leurs flux, à adapter leurs procédures et à choisir une plateforme agréée adaptée à leurs besoins. Au 6 septembre 2026, une entreprise dispose donc tout au plus de quelques jours de production : un bilan à J+7 peut fixer une base réaliste, mais il serait prématuré de présenter un résultat sur trente jours déjà observés. La DGFiP précise que les entreprises concernées passent par une plateforme agréée (PA) pour transmettre et recevoir les factures électroniques ainsi que pour envoyer les données requises de facture, de transaction et de paiement. Une PA peut convertir une facture fournisseur dans un format adapté au client à condition d’en maintenir l’intégrité, l’authenticité, la lisibilité et l’exhaustivité. Une solution dite compatible doit s’appuyer sur une PA pour les fonctions réglementées que seule une plateforme immatriculée peut assurer. Enfin, la liste officielle de la DGFiP est la référence à consulter pour vérifier la situation actuelle d’une PA. Cette immatriculation répond toutefois à une autre question que l’audit post-démarrage. Elle atteste l’accès au rôle réglementé ; elle ne prouve pas que le paramétrage du groupe, le connecteur ERP, l’organisation de l’assistance, les exports de preuve ou l’économie du service conviennent aux flux particuliers de l’acheteur. Une PA peut être régulièrement inscrite et néanmoins mal configurée pour une adresse de réception raisonnée, difficile à rapprocher avec l’ERP ou trop coûteuse à exploiter dans un environnement multi-entités. À l’inverse, un incident initial isolé ne démontre pas une faiblesse structurelle si sa cause est identifiée, corrigée et contrôlée. L’audit doit donc intervenir quand un échantillon réel existe : premier point zéro vers J+7, suivi glissant à mesure que les événements s’accumulent, puis revue de décision à trente jours d’observation effective. Il complète le pilotage d’incident et la clôture comptable sans les remplacer. Son objectif commercial est précis : déterminer si l’entreprise doit conserver la configuration et le service actuels, remédier à des défauts circonscrits, faire jouer formellement ses engagements contractuels ou préparer une comparaison de solutions et, éventuellement, une migration. Les seuils de décision restent des contrôles internes fondés sur le contrat et l’appétence au risque de l’entreprise, jamais des obligations légales inventées.