Traçabilité : prouver que le prestataire a ouvert le lien et déposé

Traçabilité : prouver que le prestataire a ouvert le lien et déposé

Les quatre événements à enregistrer

1. Envoi du lien Date et heure d'envoi du mail de sollicitation. Destinataire(s) : adresses exactes. Identifiant unique de la sollicitation (numéro de campagne ou de ligne).

2. Ouverture du lien Date et heure de la première ouverture de l'URL par le prestataire. Utile pour démontrer qu'il a eu accès aux consignes, même s'il n'a pas déposé immédiatement.

3. Dépôt du fichier Date et heure de réception du PDF. Identité du déposant si renseignée (nom, fonction). Hash ou référence interne du fichier pour intégrité.

4. Validation interne Date et heure de contrôle par le propriétaire registre. Résultat : conforme / non conforme / en attente. Nom du validateur.

En contrôle URSSAF, la question revient souvent sous cette forme : « Comment avez-vous sollicité ce prestataire, et comment savez-vous qu'il avait connaissance de votre demande ? » Une attestation valide dans un tiroir ne répond pas à la seconde partie. Vous devez pouvoir reconstituer une chronologie factuelle : envoi, ouverture, dépôt, vérification, relances.

La traçabilité n'est pas une option technique réservée aux grands groupes. C'est le filet qui transforme votre portail de dépôt en preuve de diligence exploitable.

Chaque événement doit être exportable en une ligne par prestataire et par période.

Pourquoi l'ouverture du lien compte autant que le dépôt

Un prestataire qui ouvre le lien le 5 mars, ne dépose rien, et prétend n'avoir « jamais été informé » le 20 mars est en contradiction avec vos logs. Vous pouvez enchaîner une relance ciblée : « Notre système indique une ouverture le 5 mars à 14h32. Merci de finaliser le dépôt ou de nous signaler un blocage technique. »

À l'inverse, aucune ouverture après trois relances renforce votre dossier de diligence côté donneur d'ordre : vous avez sollicité, relancé, et le prestataire n'a pas engagé le processus. Cela ne vous exonère pas totalement en cas de fraude du prestataire, mais cela limite l'argument de négligence de votre part.

Horodatage : exigences minimales

• Fuseau horaire explicite (Europe/Paris) ou horodatage UTC avec conversion documentée
• Horloge serveur synchronisée (NTP)
• Pas de modification manuelle des dates dans le registre sans journal d'audit
• Conservation des logs alignée sur la durée d'archivage des attestations (souvent 5 à 10 ans selon politique interne)

Les horodatages mail (en-têtes SMTP) peuvent compléter mais ne remplacent pas les logs portail : ils prouvent l'envoi, pas l'ouverture ni le dépôt.

Contenu d'un export registre pour audit

Préparez un export type incluant pour chaque ligne prestataire :

Format recommandé : CSV ou PDF signé pour remise à l'inspecteur ou au client auditeur.

Relances : chaque envoi est un événement

Une relance automatique J+7 n'est probante que si elle est tracée comme l'envoi initial. Votre registre doit montrer :

• Objet et canal de la relance
• Destinataire
• Horodatage
• Éventuelle ouverture du lien après relance

Les relances manuelles (appel téléphonique) font l'objet d'une note datée dans le registre : « 15/03/2025 10h30 : appel M. Dupont (gérant), promesse dépôt sous 48 h. »

Intégrité des fichiers déposés

Pour renforcer la chaîne de preuve :

• Stockage du PDF avec horodatage de réception
• Conservation des versions successives si dépôt multiple
• Contrôle du code de sécurité URSSAF et de la date de validité consigné dans le registre
• Lien stable entre le fichier et la ligne SIREN (pas de renommage manuel hors système)

En litige, l'inspecteur peut demander le document tel que reçu. Évitez les retraitements qui altèrent le fichier source.

Accès aux logs et séparation des rôles

Définissez qui peut consulter et exporter les logs :

• Propriétaire registre : export quotidien et préparation dossier contrôle
• DAF : lecture et validation des exports avant remise externe
• Achats / conducteurs : pas d'accès modification des horodatages
• IT / admin outil : maintenance technique, pas de suppression de logs sans procédure

Toute suppression ou correction exceptionnelle doit laisser une trace (qui, quand, motif).

Préparer un dossier avant contrôle URSSAF

Quinze jours avant une visite annoncée (ou en permanence si vous pilotez sereinement) :

1. Export consolidé de toutes les lignes actives
2. Tri des lignes rouges avec chronologie complète envoi / ouverture / relances
3. Vérification que chaque vert a une date de validation renseignée
4. Archivage PDF de l'export dans le dossier permanent conformité

Le portail dédié vs mail n'a de valeur que si cet export est prêt en moins d'une heure.

Erreurs qui invalident la traçabilité

• Modifier manuellement une date de réception dans Excel sans trace
• Mélanger attestations reçues par mail et par portail sans mention de la source
• Supprimer les logs de relance « pour alléger »
• Utiliser l'horloge locale d'un poste utilisateur non synchronisée

• Ne pas exporter après départ du propriétaire registre

Livrable à emporter

Checklist preuves traçabilité (audit URSSAF / client tier-1)

Par prestataire actif (ligne registre)

• [ ] Date/heure envoi initial lien (preuve mail ou log système)
• [ ] Adresse(s) destinataire(s) exacte(s)
• [ ] Date/heure première ouverture lien (si disponible)
• [ ] Date/heure dépôt PDF
• [ ] Identité déposant (si renseignée)
• [ ] Date/heure validation interne + nom validateur
• [ ] Statut feu actuel cohérent avec dates validité attestation
• [ ] Historique relances horodatées (J+7, J+14, escalades)
• [ ] Fichier PDF archivé lié à la ligne SIREN
• [ ] Notes d'appels ou échanges exceptionnels datées

Niveau registre global

• [ ] Export CSV/PDF testé et lisible
• [ ] Politique conservation logs documentée (durée, responsable)
• [ ] Procédure correction exceptionnelle avec journal d'audit
• [ ] Séparation des rôles accès validée
• [ ] Dernier export archivé dans dossier permanent (< 30 jours)

Scénario test trimestriel

Tirer au sort 5 prestataires. Reconstituer la chronologie complète en moins de 15 minutes par ligne sans chercher dans des mails personnels.

Responsable traçabilité : _________________ Dernier test : _________

Résultat test : [ ] OK [ ] Écarts corrigés le _________

Sur le même sujet

• Portail dépôt prestataire sans compte : mise en place en PME
• Portail dédié vs Drive ou WeTransfer : risques pour la collecte URSSAF
• Parcours prestataire : déposer une attestation en 5 étapes

---

Proceda centralise le registre de vigilance prestataires : attestations URSSAF, relances tracées, feux tricolores. Essai 14 jours, sans carte bancaire. Démarrer