La généralisation de la facture électronique devait, pensait-on, enterrer la piste d’audit fiable. C’est l’inverse qui se produit. L’article 289 VII du Code général des impôts n’a pas bougé d’une ligne, et la piste d’audit fiable (PAF) reste le mode de sécurisation par défaut des factures françaises depuis le 1ᵉʳ janvier 2014. Pourtant, selon l’Ordre des experts-comptables, plus de 60 % des PME ne disposent d’aucune documentation structurée sur le sujet.
Concrètement, la PAF désigne l’ensemble des contrôles documentés et permanents qui relient chaque facture à une opération commerciale réelle et à son paiement. Parmi les dispositifs détaillés dans notre guide des formats et normes de la facture électronique, c’est le seul qui repose sur l’organisation interne plutôt que sur une technologie.
L’enjeu n’a rien de théorique. En contrôle fiscal, une piste d’audit absente ou bancale expose au rejet de la déduction de TVA sur les factures reçues, avec des rappels sur trois ans. La construire demande quelques jours de méthode, pas un projet informatique.
Ce que la piste d’audit fiable désigne réellement
Derrière le sigle se cache une exigence simple : prouver qu’une facture correspond à une réalité économique. La réglementation ne prescrit ni format, ni logiciel, ni modèle de document. Elle fixe trois garanties de résultat et laisse chaque entreprise libre des moyens, ce qui explique à la fois sa souplesse et les flottements constatés dans sa mise en œuvre.
Trois garanties imposées par l’article 289 VII du CGI
Le texte exige de garantir l’authenticité de l’origine (l’émetteur est bien celui qu’il prétend être), l’intégrité du contenu (la facture n’a pas été modifiée après émission) et la lisibilité (le document reste exploitable pendant toute la durée de conservation). Ces trois critères fondent la valeur probante de la facture électronique comme du papier.
Le dispositif vient de la directive européenne 2010/45/UE du 13 juillet 2010, transposée en droit français avec effet au 1ᵉʳ janvier 2014. La doctrine de référence reste le BOI-TVA-DECLA-30-20-30-20, dans sa version de 2018 : sa mise à jour intégrant la réforme de 2026 n’est toujours pas publiée. Autrement dit, le socle juridique d’avant-réforme continue de s’appliquer tel quel.
La PAF ne vise pas que le numérique. Une facture papier classée dans un dossier y est soumise au même titre qu’un PDF : le format n’exonère jamais des trois garanties.
Le triangle facture, opération, paiement
La piste d’audit fiable matérialise un lien documenté entre trois pôles : la facture, l’opération qui la justifie et le règlement qui la solde. En pratique, le vérificateur veut pouvoir remonter du paiement bancaire à la facture, puis de la facture au bon de livraison, au bon de commande ou au contrat. Chaque maillon manquant fragilise l’ensemble.
Les contrôles doivent par ailleurs être permanents, pas reconstitués la veille d’une vérification. Un rapprochement systématique entre commande, livraison et facture, même manuel, suffit souvent dans une petite structure. En revanche, un simple PDF reçu par mail reste un format non sécurisé : tant qu’il n’est pas remplacé, par exemple en choisissant de convertir un PDF en facture électronique structurée, ce flux relève intégralement de la PAF.
Qui doit la mettre en place, et qui en est dispensé
Toute entreprise assujettie à la TVA qui émet ou reçoit des factures doit garantir les trois critères de l’article 289 VII. La seule vraie question est celle du dispositif retenu. Or, dans les faits, près de 95 % des entreprises françaises s’appuient sur la piste d’audit fiable, faute d’utiliser les alternatives techniques.
Quatre voies de sécurisation, une seule par défaut
Historiquement, le CGI reconnaît trois dispositifs. L’échange de données informatisé (EDI) fiscal sécurise les flux par la structure même des messages, mais reste réservé aux organisations équipées. La signature électronique qualifiée scelle chaque document, au prix d’une infrastructure de certificats. La PAF couvre tout le reste, c’est-à-dire l’immense majorité des situations. Depuis la réforme, la transmission via plateforme agréée constitue une quatrième voie.
| Dispositif | Base légale | Principe | Profil type |
|---|---|---|---|
| EDI fiscal | Art. 289 VII-3° CGI | Échanges structurés normalisés | Grands comptes, distribution |
| Signature qualifiée | Art. 289 VII-2° CGI | Scellement cryptographique | Secteurs réglementés |
| Piste d’audit fiable | Art. 289 VII-1° CGI | Contrôles documentés permanents | ≈ 95 % des entreprises |
| Plateforme agréée | Réforme 2026 | Sécurisation native du flux | Factures B2B domestiques |
Ce tableau dit l’essentiel : la PAF n’est pas une option parmi d’autres, c’est le filet qui s’applique dès qu’aucun dispositif technique ne couvre le flux. Une même entreprise combine d’ailleurs souvent plusieurs voies selon ses canaux de facturation.
Les factures transmises par plateforme agréée depuis 2026
Depuis le 1ᵉʳ septembre 2026, toutes les entreprises doivent pouvoir recevoir des factures électroniques, et les grandes entreprises comme les ETI doivent en émettre. Les PME et microentreprises suivront à l’émission le 1ᵉʳ septembre 2027. Une facture qui transite par une plateforme immatriculée bénéficie d’une sécurisation native : horodatage, scellement et traçabilité sont intégrés au flux.
Ce niveau de garantie repose sur un cadre normatif précis : la norme AFNOR XP Z12-012 pour les formats et profils, XP Z12-013 pour l’API entre plateformes et entreprises, et XP Z12-014 pour les cas d’usage. Les factures y circulent dans des formats conformes au socle européen EN 16931, le plus souvent via le profil EXTENDED-CTC-FR, et les systèmes d’information s’y raccordent par une API de facture électronique normalisée.
Pour autant, la PAF conserve un périmètre résiduel conséquent : ventes aux particuliers, opérations internationales, factures échangées hors plateforme pendant la transition, sans oublier les pièces justificatives elles-mêmes. La lecture « tout passe par une plateforme, donc la PAF disparaît » est fausse, et elle coûte cher à qui s’y fie.
La plateforme agréée sécurise la facture, pas le dossier qui l’entoure. Bons de commande, contrats et preuves de livraison restent sous votre responsabilité documentaire, donc dans le champ de la PAF.
Construire sa piste d’audit fiable en cinq étapes
L’administration ne fournit aucun gabarit officiel, et c’est voulu : la documentation doit refléter votre organisation réelle. Les fiscalistes convergent toutefois sur une démarche en cinq temps, applicable de l’indépendant au groupe.
Cartographier les flux
Recenser chaque circuit d’émission et de réception de factures, du devis au règlement.
Vérifier la conformité
Mentions obligatoires, taux de TVA et numérotation continue contrôlés sur chaque flux.
Définir les contrôles
Rapprochements commande, livraison, facture, paiement, manuels ou automatisés.
Rédiger la documentation
Décrire processus, contrôles et responsables, dans un format libre mais daté.
Tester et auditer
Prouver l’exécution réelle des contrôles sur échantillons, au moins une fois par an.
Cartographier les flux et choisir ses contrôles
La cartographie couvre les deux cycles : ventes (du devis à l’encaissement) et achats (de la commande au décaissement). Pour chaque flux, notez le canal d’entrée ou de sortie : mail, papier, portail fournisseur, ou protocoles d’échange type EDI, AS2 ou SFTP. C’est ce recensement qui révèle les angles morts, comme ce portail client dont personne n’archive les factures.
Inutile de tout traiter d’un bloc. Appliquez la loi de Pareto : commencez par les achats, qui portent le risque de TVA déductible, et par les 20 % de fournisseurs concentrant 80 % des montants. Côté contrôles, l’automatisation rapporte vite : des données XML structurées rendent les rapprochements machine triviaux, et les plateformes valident déjà les fichiers via des règles Schematron. Un contrôle d’écart de montant, de SIREN ou de RIB fournisseur se paramètre en quelques heures.
Documenter à la mesure de sa taille
La doctrine module l’exigence selon la structure. Une TPE peut se contenter d’une présentation orale de ses processus, assortie d’une démonstration concrète. Une PME doit produire une documentation écrite synthétique. Une grande entreprise doit détailler chaque point de contrôle. Cette tolérance pour l’oral est toutefois un piège : face à un vérificateur, il faut répondre précisément, sans hésitation ni contradiction.
C’est pourquoi un écrit minimal, même de cinq pages, reste recommandé quelle que soit la taille. Le document décrit les flux, les contrôles et leurs responsables, et se conserve dix ans, comme les pièces comptables. La pièce qui manque le plus souvent en contrôle n’est d’ailleurs pas la description : c’est la preuve d’exécution des contrôles décrits.
Archivez chaque trimestre un échantillon de rapprochements datés (facture, commande, preuve de paiement). C’est cette trace d’exécution que le vérificateur demande en premier, avant même la documentation.
L’archivage, maillon final de la piste
La piste d’audit fiable ne s’arrête pas au paiement. Elle court jusqu’à la fin de la période de conservation, et un lien rompu à l’archivage invalide tout le travail amont. Deux questions se posent : quoi garder, et comment.
Conserver les factures et tout ce qui les justifie
Le délai fiscal est de 6 ans (article L102 B du Livre des procédures fiscales), le délai commercial de 10 ans (article L123-22 du Code de commerce). En pratique, alignez tout sur dix ans. Surtout, ne conservez pas que les factures : devis, bons de commande, bons de livraison, contrats et relevés bancaires constituent les maillons du lien documentaire que la PAF doit démontrer.
Le mode de conservation compte autant que la durée. Un dossier partagé sans contrôle d’accès ne prouve rien, puisque n’importe qui peut y modifier un fichier. C’est précisément ce que résout l’archivage à valeur probante, dont les exigences techniques sont encadrées par la norme NF Z42-013 : intégrité garantie, journalisation des accès, traçabilité des versements.
Garantir l’intégrité et la lisibilité dans le temps
Pour les flux sensibles, un coffre-fort numérique ajoute l’horodatage et le calcul d’empreintes : toute altération devient détectable, ce qui répond directement au critère d’intégrité. Les factures papier peuvent quant à elles être numérisées à valeur probante, sous les conditions de l’article A102 B-2 du LPF, puis détruites.
La lisibilité, enfin, se joue sur le choix des formats. Un export propriétaire d’un logiciel disparu en 2031 ne vaudra rien en 2034. Les formats structurés normalisés comme Factur-X, UBL ou CII offrent au contraire une pérennité documentée : leur spécification est publique, leur lecture restera possible. Ainsi, le format choisi à l’émission conditionne la solidité de la piste dix ans plus tard.