Sécuriser les logiciels comptables d’une fiduciaire suisse

Mis à jour le 5 novembre 2026 · Rédaction Pixel’IT

Les logiciels comptables concentrent des informations sensibles : écritures, salaires, coordonnées des clients et pièces justificatives. Pour une fiduciaire genevoise, la sécurité ne dépend pas uniquement du logiciel utilisé, mais aussi des postes de travail, des comptes, du réseau et des sauvegardes.

Ce guide aide les fiduciaires de Genève et de Suisse romande à définir les contrôles à réaliser avec leur prestataire IT et l’éditeur, selon l’offre et la version utilisées.

Les trois priorités :

• Maîtriser les accès : savoir qui peut consulter ou modifier chaque mandat et protéger aussi les comptes de récupération.
• Prouver la récupération : disposer d’un test montrant que les dossiers utiles peuvent être réutilisés.
• Attribuer les responsabilités : identifier qui intervient sur le poste, l’hébergement et le logiciel métier.

Abacus, Crésus, Winbiz et bexio : quels contrôles selon le logiciel ?

Avant de commencer, relevez l’offre, la version, les modules actifs et le prestataire qui héberge les données. Les contrôles ci-dessous complètent les procédures de l’éditeur.

Abacus et AbaWeb : vérifier les accès, AbaClient et les correctifs

AbaWeb est proposé sous forme de service SaaS. Pour votre environnement Abacus, faites préciser par le partenaire qui gère les comptes, les mises à jour, les sauvegardes et la restauration des mandants. Ne déduisez pas le périmètre du contrat à partir de la seule appellation « cloud ».

• Contrôlez les accès par collaborateur et par mandat, notamment après un départ ou un changement d’équipe.
• Authentification : faites vérifier le second facteur prévu par votre offre et la récupération d’accès après un changement de téléphone. Validez les droits sur les mandats avec un compte de test autorisé.
• AbaClient : comparez les versions installées sur les postes avec les versions et documents publiés par Abacus. Faites confirmer la compatibilité avec votre version serveur ; un poste fonctionnel peut conserver un ancien composant.
• Correctifs serveur : demandez à l’intégrateur le niveau de servicepack ou de hotfix et les corrections à planifier. Pour Abacus 2026, les notes officielles rappellent l’importance des correctifs et d’un AbaClient actuel sur chaque poste concerné.
• Restauration : faites confirmer les données, documents et composants couverts, puis demandez le résultat du dernier exercice réalisé sur le périmètre convenu.

Crésus : distinguer l’enregistrement du travail et la sauvegarde

Dans le manuel de Crésus Facturation, l’éditeur distingue l’enregistrement courant, la sauvegarde et la restitution. La commande Fichier > Sauvegarder couvre les fichiers associés à la facturation ; le contrôle doit suivre le manuel du module réellement utilisé.

• Vérifiez que les dernières modifications ont été enregistrées avant de créer la sauvegarde.
• Conservez une copie protégée séparément du poste ou du disque de travail.
• Testez la restitution sans écraser les données en production, en respectant les dépendances entre modules.

Pour Crésus Cloud, l’éditeur documente une connexion avec authentification à deux facteurs. Vérifiez le fonctionnement du second facteur et la procédure à suivre en cas de changement de téléphone.

Winbiz : respecter les limites de stockage et vérifier les dossiers sauvegardés

Pour Winbiz Local, la documentation officielle sur les compatibilités exclut le stockage des données sur des services comme Dropbox, Google Drive ou iCloud. Elle indique également que le fonctionnement sur NAS et la connexion à la base par Wi-Fi ne sont pas supportés. Faire apparaître un dossier dans un espace synchronisé ne valide donc pas son utilisation par Winbiz.

Pour Winbiz Cloud, l’éditeur décrit une procédure de sauvegarde vers un poste local, notamment dans son guide pour macOS. Vérifiez la sélection des dossiers comptables et des exercices, puis protégez le fichier obtenu et testez sa restauration selon les instructions de Winbiz. Adaptez la procédure au système utilisé.

bexio : protéger aussi la messagerie et prévoir les exports utiles

bexio indique avoir rendu la 2FA obligatoire avec un code envoyé par e-mail. La sécurité de la boîte qui reçoit ces codes fait donc partie des contrôles prioritaires : mot de passe distinct, MFA de la messagerie et suppression des accès devenus inutiles.

Le guide de sauvegarde de bexio décrit ses sauvegardes et les possibilités d’export par type de données. Listez les éléments nécessaires à la fiduciaire, les formats disponibles et les éventuelles demandes à adresser au support. Vérifiez les possibilités de réimportation : une collection de PDF ou de tableaux exportés ne permet pas nécessairement de recréer tout l’environnement.

1. Identifier où résident les données comptables

Déterminez si les données sont hébergées chez l’éditeur, sur un serveur local, chez un hébergeur ou dans un environnement hybride. Cette cartographie permet de savoir qui administre les mises à jour, qui sauvegarde les données et comment elles seront récupérées en cas d’incident.

Serveur local, hébergement ou SaaS : les responsabilités à clarifier

Dans les trois cas, les ordinateurs des collaborateurs, la connexion Internet et les échanges avec les mandants restent à prendre en compte.

2. Utiliser des comptes nominatifs et limiter les privilèges

Chaque collaborateur devrait disposer de son propre compte, avec des droits adaptés à ses dossiers et à ses fonctions. Évitez les identifiants partagés et révoquez rapidement les accès après un départ. Lorsque la plateforme le permet, activez l’authentification multifacteur, en particulier pour les comptes administrateurs et les accès distants.

3. Protéger les postes et les accès distants

Maintenez Windows et macOS à jour, chiffrez les ordinateurs portables, utilisez une protection des terminaux adaptée et contrôlez les droits administrateur. N’exposez pas directement un service Bureau à distance (RDP) à Internet : privilégiez une solution d’accès distant sécurisée et administrée.

4. Prévoir des sauvegardes réellement restaurables

Faites préciser les données et composants récupérables, la durée de conservation et les personnes autorisées à supprimer les copies. Pour une base de données, utilisez la méthode de sauvegarde validée par l’éditeur. Une copie isolée ou immuable, selon la solution retenue, doit être protégée des comptes utilisés au quotidien.

5. Organiser les mises à jour avec l’éditeur

Validez la compatibilité des composants, le point de retour disponible et le créneau d’intervention. Après la mise à jour, faites vérifier l’ouverture d’un dossier, les pièces liées et les échanges nécessaires à l’activité. L’éditeur ou l’intégrateur valide le fonctionnement métier ; le prestataire IT prend en charge l’infrastructure selon le contrat.

6. Sécuriser les échanges de documents avec les mandants

Privilégiez les espaces de partage contrôlés plutôt que les liens publics permanents ou les pièces jointes envoyées sans précaution. Dans Microsoft 365, les autorisations SharePoint et la durée des accès invités doivent être vérifiées régulièrement. Notre guide explique comment organiser un partage externe SharePoint.

7. Préparer la continuité lors des périodes critiques

Documentez les personnes à contacter, les systèmes prioritaires et le temps maximal acceptable avant reprise. Testez l’accès aux données avant les périodes de déclarations TVA, de paie et de bouclement. Un test de restauration est plus fiable qu’un simple voyant vert dans la console de sauvegarde.

Exemple : tester la reprise avant un bouclement

Scénario illustratif, sans référence à un client réel. Une fiduciaire genevoise utilise un logiciel comptable sur un serveur hébergé. Avant une période de bouclement, elle souhaite vérifier qu’un incident ne bloquera pas toute l’équipe.

1. Le responsable fixe la perte de saisie acceptable et le délai de reprise visé : par exemple, au maximum quatre heures de travail perdues et une reprise sous une journée ouvrée. Ces objectifs doivent être validés selon les besoins et les moyens disponibles.
2. Le prestataire et l’intégrateur restaurent une sauvegarde dans un environnement de test isolé, sans écraser la production ni déclencher d’envois, de paiements ou de synchronisations réels.
3. Un collaborateur habilité contrôle les mandats retenus pour le test, les dernières écritures attendues, les pièces jointes et les accès utiles.
4. L’équipe mesure le temps nécessaire et documente les étapes manquantes, les écarts et les actions à corriger.

Si les données sont présentes mais que les utilisateurs ne peuvent pas ouvrir leurs dossiers, la reprise de l’activité n’est pas encore validée.

nLPD et confidentialité : quelle responsabilité pour la fiduciaire ?

La protection des données personnelles doit être prise en compte dans le choix des prestataires, les accès, les contrats et les procédures. Les obligations exactes dépendent des traitements effectués et de leur contexte. Une analyse juridique peut être nécessaire pour les cas particuliers ; une configuration technique ne suffit pas à elle seule à démontrer la conformité.

Les vérifications à documenter avec les prestataires

Le PFPDT rappelle les responsabilités liées à la sous-traitance. Selon les traitements, la fiduciaire peut agir comme responsable du traitement ou comme sous-traitant de ses mandants. Clarifiez ce rôle et les engagements de chacun avant d’externaliser des données.

• Contrat et confidentialité : préciser les instructions de traitement, les personnes autorisées et les conditions de recours à d’autres prestataires.
• Lieux de traitement : identifier les pays concernés, y compris pour les sauvegardes et les accès de support, puis examiner les garanties nécessaires en cas de communication à l’étranger.
• Fin de contrat : définir la restitution, les formats, les délais et les conditions d’effacement, en tenant compte des obligations de conservation applicables.
• Incident : prévoir un contact, un signalement rapide et les informations nécessaires pour évaluer les mesures et obligations éventuelles.

Checklist de sécurité pour une fiduciaire

• Applications : une liste datée indique l’offre, la version et le responsable de chaque logiciel.
• Comptes : les utilisateurs actifs sont identifiés et les accès des anciens collaborateurs sont désactivés.
• Authentification : le second facteur et la récupération d’accès ont été vérifiés pour les comptes sensibles.
• Postes : l’état des mises à jour, du chiffrement et de la protection est contrôlé, avec les écarts à corriger.
• Sauvegardes : le périmètre, le dernier point récupérable et le résultat du dernier test sont documentés.
• Maintenance : un responsable et une procédure sont définis pour les correctifs et les mises à jour métier.
• Reprise : les contacts, les étapes, la perte de travail acceptable et le délai visé sont connus de l’équipe.

Faire vérifier les accès et sauvegardes de votre fiduciaire à Genève

Vous souhaitez savoir quels accès renforcer et si vos dossiers comptables seraient récupérables après un incident ? Présentez-nous vos logiciels, le nombre de collaborateurs et votre mode d’hébergement. Un premier échange permet de définir les vérifications utiles et le périmètre d’une intervention, avec votre éditeur ou intégrateur lorsque cela est nécessaire.

Faire le point sur mes accès et sauvegardes

Pixel’IT accompagne les cabinets fiduciaires à Genève pour la sécurité des postes, les accès Microsoft 365, le réseau, la supervision et les sauvegardes, en collaboration avec les éditeurs pour les sujets propres aux logiciels comptables. Consultez notre page support informatique pour fiduciaires à Genève ou demandez une évaluation de votre environnement.

Documentation officielle consultée le 5 novembre 2026 : les liens vers les éditeurs et le PFPDT figurent dans les sections concernées. Les fonctions et procédures peuvent évoluer selon les offres et les versions.

Image d’illustration : Ngital / Unsplash.