Qui a validé l'attestation ? Tracer la validation interne dans le registre

Qui a validé l'attestation ? Tracer la validation interne dans le registre

Ce que « valider » signifie concrètement

Valider une attestation de vigilance URSSAF, ce n'est pas cocher une case sans lecture. C'est confirmer que le document reçu est bien une attestation de vigilance (et non une attestation de régularité fiscale), que le SIREN correspond au prestataire de la ligne, que les dates d'émission et de fin de validité sont renseignées et cohérentes, que le code de sécurité a été vérifié sur le portail URSSAF, et que la période couvre l'intervention prévue.

La question que pose toujours l'URSSAF

En contrôle ou en contentieux, la question revient : vous aviez l'attestation, mais qui dans votre entreprise l'a vérifiée ? À quelle date ? Avez-vous contrôlé le code de sécurité ? Avez-vous relancé le prestataire avant expiration ? Dans un fichier Excel mis à jour anonymement ou un dossier SharePoint où tout le monde dépose, la réponse se reconstruit en semaines de mails. Parfois trop tard.

La traçabilité interne de la validation n'est pas une option qualité. C'est un élément de la preuve de vigilance raisonnable. Le DAF et le responsable Achats doivent pouvoir produire, pour un SIREN donné, la chronologie complète : dépôt, contrôle, validation, relances, renouvellement.

La personne qui valide doit être identifiée nominativement. « Le service Achats » ne suffit pas. En PME, ce sont souvent le référent conformité, un acheteur projets, un conducteur de travaux habilité ou le responsable QSE site. Le profil peut varier par site, mais la règle est unique : une validation = un nom + une date + un statut.

Limites du tableur et du dossier partagé

Excel enregistre parfois une colonne « valideur » saisie à la main, sans horodatage immuable. SharePoint conserve l'auteur du dépôt du fichier, pas l'auteur de la décision « ce PDF est conforme ». Deux personnes peuvent modifier la même ligne. La colonne « statut vert » change sans log.

Lors de la migration vers un registre dédié, profitez-en pour imposer un journal de validation automatique. Les outils sérieux horodatent chaque changement de statut, chaque passage orange vers vert, chaque relance envoyée.

Contenu minimal du journal de validation

Pour chaque événement sur une fiche prestataire, le journal doit contenir :

• Horodatage (date et heure, fuseau Europe/Paris)
• Identité du valideur (nom, fonction, compte utilisateur)
• Action (dépôt reçu, contrôle code sécurité OK/KO, validation conforme, refus document, relance J-30, expiration constatée, renouvellement reçu)
• Référence document (hash ou ID version PDF)
• Commentaire libre si anomalie (SIREN discordant, scan illisible)

Ce journal est exportable en un clic pour le juridique social. Il complète le PDF stocké ; il ne le remplace pas.

Répartition des rôles

Le DAF définit la politique et contrôle les KPI. Le référent conformité ou Achats valide les attestations des prestataires standards. Le conducteur de travaux peut valider les dépôts urgents chantier sous délai, avec revue du référent sous quarante-huit heures. Le juridique social intervient sur les cas litigieux (discordance SIREN, suspicion de faux PDF).

Documentez cette répartition dans une note de procédure d'une page. En audit interne, on vous demandera qui était habilité à valider le 15 mars dernier pour le SIREN litigieux.

Articulation avec le dédoublonnage et les données migrées

Lors de l'import historique, ne fabriquez pas de faux journaux. Les validations passées sur Excel ne sont pas reconstituables de façon fiable : indiquez « migration données, validation historique non tracée » et relancez une validation formelle sur les prestataires actifs. Les doublons SIREN nettoyés avant import évitent des entrées de journal contradictoires.

Pour les pièces reçues après bascule, zéro tolérance : pas de feu vert sans entrée de journal. C'est le critère de succès à J+90 de la migration.

Scénarios contentieux types

Attestation reçue la veille de l'intervention : le journal doit montrer l'heure de validation avant le premier jour de présence sur site.

Attestation périmée non détectée : le journal montre-t-il une expiration automatique et des relances datées ? Si non, la solidarité se durcit.

PDF modifié ou faux : le journal indique qui a validé sans contrôle code sécurité ? La responsabilité interne se discute, la solidarité URSSAF reste.

Sous-traitant rang 2 : journal séparé par SIREN, pas de validation du rang 1 seul.

Formation des valideurs terrain

Deux heures suffisent : lecture d'une attestation réelle, exercice code sécurité, cas orange (date illisible), cas rouge (refus et relance). Insistez sur l'interdiction de valider un document reçu par WhatsApp sans dépôt dans le registre. Les résistances métier au registre numérique disparaissent quand le conducteur comprend que le journal le protège autant que l'entreprise.

Indicateurs de pilotage

Suivez mensuellement : délai médian entre dépôt prestataire et validation interne (cible sous quarante-huit heures), nombre de validations sans contrôle code (cible zéro), part des validations effectuées par profil non habilité (cible zéro). Ces KPI alimentent le reporting COMEX avec le taux de couverture global.

Livrable à emporter

Journal de validation type (modèle de lignes)

Règles : une ligne par événement ; pas de modification a posteriori (correction = nouvelle ligne) ; export CSV mensuel archivé 10 ans ; habilitations valideurs listées en annexe procédure.

Champs obligatoires registre numérique : alignés sur la liste migration + journal natif activé avant bascule production.

Sur le même sujet

• Doublons SIREN et versions PDF dans le registre prestataires
• Données à reprendre lors de la migration vers un registre prestataires
• Migrer d'Excel ou SharePoint vers un registre prestataires

---

Proceda centralise le registre de vigilance prestataires : attestations URSSAF, relances tracées, feux tricolores. Essai 14 jours, sans carte bancaire. Démarrer