Sauvegarde cloud pour experts-comptables : durées de conservation et sécurité

En tant qu'expert-comptable ou comptable, vous manipulez les données les plus sensibles de vos clients : comptes annuels, bulletins de paie, déclarations fiscales, dossiers d'audit et vérifications d'identité au titre de la Wwft (la loi néerlandaise contre le blanchiment de capitaux et le financement du terrorisme). Un serveur en panne ou un incident de ransomware ne se traduit pas seulement par une perte de productivité, mais aussi par un risque de conformité immédiat. Dans cet article, découvrez comment mettre en place une sauvegarde dans le cloud pour un cabinet d'expertise comptable ou de comptabilité, quelles durées de conservation s'appliquent réellement et où de nombreux cabinets se trompent sans le savoir.

Pourquoi la sauvegarde est différente dans l'expertise comptable

Dans les autres secteurs de PME, une perte de données coûte surtout du chiffre d'affaires. Un cabinet comptable, lui, y perd avant tout la confiance de ses clients et se heurte en plus directement à ses obligations légales. Vous devez être en mesure de produire la comptabilité de vos clients, plusieurs années en arrière, aussi bien pour l'administration fiscale néerlandaise (Belastingdienst) que pour le BFT (Bureau Financieel Toezicht, l'autorité néerlandaise de surveillance financière) ou l'AFM (l'autorité néerlandaise des marchés financiers). Si vous ne pouvez pas reproduire ces données, vous vous retrouvez les mains vides.

À cela s'ajoute que votre système mélange trois types de données. Le premier est la comptabilité de vos clients : les dossiers tenus dans Twinfield, Exact Online, AFAS, SnelStart ou Visma AccountView. Le deuxième est la gestion administrative de votre propre cabinet et vos vérifications clients au titre de la Wwft. Le troisième est votre dossier d'audit, régi par la Wta et le Bta (la loi et le décret néerlandais sur la surveillance des cabinets d'audit). Chacun de ces trois types a ses propres durées de conservation et ses propres exigences de sécurité.

Les durées de conservation en un coup d'œil

Dans l'expertise comptable, trois régimes coexistent. Si vous ne les distinguez pas, soit vous supprimez des données trop tôt, soit vous constituez des archives inutilement volumineuses.

• Obligation de conservation fiscale : 7 ans. C'est la règle de base pour toute la comptabilité d'entreprise : 7 ans de conservation, à compter du moment où le document perd son caractère courant. Un contrat de leasing de 4 ans se conserve donc pendant 4 ans, puis encore 7 ans. À partir du 1er janvier 2026, la plupart des documents comptables de 2018 peuvent en principe être détruits.
• Obligation de conservation fiscale pour les biens immobiliers : 10 ans. Pour les biens immobiliers (et la TVA qui s'y rapporte), la durée est de 10 ans au lieu de 7.
• Obligation de conservation Wwft : 5 ans. Les vérifications clients et les transactions inhabituelles déclarées se conservent 5 ans après la transaction ou après la fin de la relation d'affaires. Il s'agit d'une obligation distincte pour les experts-comptables et les conseillers fiscaux, qui s'ajoute à l'obligation fiscale.
• Obligation de conservation Wta/Bta pour le dossier d'audit : 7 ans. Un cabinet d'audit conserve un dossier d'audit clôturé pendant au moins 7 ans. Ce dossier contient notamment la lettre de mission, la correspondance, le plan d'audit et la documentation de la nature et de l'étendue des travaux réalisés.

Ces régimes se ressemblent, mais ils ne sont pas identiques. Le RB (Register Belastingadviseurs, l'association professionnelle néerlandaise des conseillers fiscaux) a déjà souligné que l'écart entre 5 et 7 ans prête à confusion dans la pratique. Le conseil pratique : appliquez en interne la durée la plus longue comme référence et ne confiez les données à la destruction qu'une fois que tous les régimes ont levé l'obligation de conservation. La rétention de vos sauvegardes s'aligne sur ce principe.

Ce que comprend une bonne sauvegarde cloud pour un cabinet

Une sauvegarde dans le cloud pour un cabinet comptable, c'est bien plus qu'une simple copie externe du serveur. Vous devez couvrir quatre niveaux :

1. Serveurs sur site et NAS. Si vous disposez encore d'un serveur de fichiers local ou d'un NAS contenant des fichiers de travail, des plans annuels ou des archives PDF, ils doivent faire l'objet d'une sauvegarde automatisée vers un second site.
2. Logiciels de comptabilité SaaS. Les données de Twinfield, Exact Online et AFAS sont hébergées sur les serveurs de l'éditeur. Celui-ci réalise ses propres sauvegardes pour sa reprise après sinistre, mais il ne s'agit pas d'une sauvegarde client : si un collaborateur supprime par erreur des écritures comptables ou si un client vide lui-même ses données, l'éditeur n'est pas tenu de les restaurer à un instant précis. Lisez attentivement les conditions de votre logiciel et envisagez une sauvegarde par export.
3. Microsoft 365 et Google Workspace. Les e-mails, l'agenda, OneDrive/SharePoint ou Google Drive et les conversations Teams sont dans le cloud, mais Microsoft et Google renvoient explicitement au modèle de responsabilité partagée : c'est vous qui êtes responsable de vos propres données. Une couche de sauvegarde distincte (Barracuda Cloud-to-Cloud, Druva, Keepit, Veeam Data Cloud, NinjaOne, MSP360) est désormais une exigence de base pour les cabinets comptables.
4. Postes de travail et ordinateurs portables. Les fichiers Excel isolés, les notes Word et les PDF téléchargés qui ne se trouvent que sur un ordinateur portable sont irrécupérables après un vol ou une panne matérielle sans sauvegarde des postes de travail.

Pour aller plus loin sur la conception d'une architecture de sauvegarde moderne, consultez notre stratégie de sauvegarde complète pour les PME et notre article sur le Backup as a Service pour les PME.

La règle 3-2-1 appliquée à un cabinet comptable

La règle classique du 3-2-1 reste la base : 3 copies de vos données, sur 2 types de supports différents, dont 1 copie hors site. Pour l'expertise comptable, sa version étendue 3-2-1-1-0 est plus pertinente : le « 1 » supplémentaire désigne une copie immuable ou hors ligne, et le « 0 » signifie zéro erreur après vérification.

Concrètement, pour votre cabinet :

• Copie 1 : les données de production (serveur, SaaS, poste de travail dans le cloud).
• Copie 2 : une sauvegarde locale sur un NAS ou un disque séparé, pour des restaurations rapides.
• Copie 3 : une sauvegarde cloud hors site dans un datacenter situé dans l'UE.
• Copie 4 (immuable) : une copie à écriture unique, par exemple via S3 Object Lock, qui ne peut être ni modifiée ni supprimée pendant la durée de rétention définie. Pas même par une personne disposant de droits d'administrateur.

Cette quatrième copie n'est pas un luxe. Les groupes de ransomware ciblent précisément les systèmes de sauvegarde : s'ils parviennent à les chiffrer ou à les supprimer, ils se retrouvent en position de force pour négocier. Une copie immuable met fin à ce jeu.

Les durées de conservation dans votre sauvegarde : rétention ou archivage

Une erreur classique consiste à couvrir l'obligation de conservation uniquement par la rétention des sauvegardes. C'est possible, mais coûteux et peu pratique. Une sauvegarde sert à reconstituer ce qui a été perdu hier ou la semaine dernière. Pour des durées de conservation de 7 ou 10 ans, un archivage est plus adapté : des dossiers annuels exportés dans une arborescence structurée, avec des noms de fichiers lisibles et des informations de version, sur un stockage à écriture unique.

Combinez donc deux approches :

• Rétention des sauvegardes pour les restaurations opérationnelles : par exemple 4 semaines de sauvegardes quotidiennes et 12 mois de sauvegardes mensuelles. Cela couvre les situations du type « oups, mauvaise écriture comptable » ou « le client a vidé son propre exercice ».
• Rétention des archives pour les durées légales : export annuel de chaque dossier d'audit ou de compilation clôturé vers l'archive, avec une rétention de 7 ans (Wta/Bta, fiscal) ou de 10 ans (biens immobiliers). Cela couvre le cas où « l'inspecteur des impôts appelle au sujet de la déclaration 2020 ».

Ainsi, vous ne payez pas chaque année pour conserver des instantanés quotidiens que vous ne consulterez jamais.

RGPD, localisation des données et CLOUD Act

Les données clients d'un cabinet comptable sont par définition des données personnelles, ou du moins des données confidentielles. Le RGPD impose des exigences en la matière, et le CLOUD Act américain rend le sujet encore plus délicat. En vertu du CLOUD Act, les autorités américaines peuvent exiger l'accès à des données stockées par une entreprise américaine, même lorsque ces données se trouvent physiquement en Europe.

Concrètement, pour un cabinet comptable, cela signifie : privilégiez un fournisseur de sauvegarde disposant de datacenters dans l'UE et d'une maison mère européenne, ou faites inscrire dans le contrat que vos données ne quittent pas l'UE. Le chiffrement avec des clés que vous gérez vous-même (BYOK, bring your own key) est également utile. Un bon fournisseur signe en outre un accord de sous-traitance compatible avec votre obligation de secret professionnel d'expert-comptable.

Le contexte plus large de la mise en conformité RGPD pratique dans les PME vous aide à aligner votre contrat de sauvegarde sur les accords de sous-traitance déjà en place.

Combien coûte une sauvegarde cloud pour un cabinet comptable ?

Les prix varient fortement selon le fournisseur et le périmètre ; les chiffres ci-dessous sont une indication pour les PME néerlandaises, pas un devis.

• Sauvegarde SaaS pour Microsoft 365 ou Google Workspace : souvent entre 3 et 6 € par utilisateur et par mois pour la messagerie, le stockage, l'agenda et les conversations Teams, avec des rétentions plus longues moyennant un supplément.
• Sauvegarde de serveurs vers le cloud : environ 0,01 à 0,03 € par Go et par mois pour le stockage seul, plus des frais d'agent ou de licence par serveur.
• Niveau hors site immuable : un budget supplémentaire de 5 à 20 € par mois pour de petits volumes ; le coût évolue linéairement avec le volume.
• Service de sauvegarde infogéré par un MSP : souvent inclus dans une offre d'infogérance, ou proposé comme service distinct pour 100 à 300 € par mois pour un petit cabinet, supervision, contrôle quotidien et tests de restauration compris.

Ce que vous économisez en cas de problème dépasse largement le prix mensuel. Selon diverses sources, les incidents de ransomware dans les PME néerlandaises coûtent des centaines de milliers d'euros par cas, sans compter l'atteinte à la réputation auprès des clients dont les données confidentielles ont fuité.

Le vrai test, c'est la restauration, pas la sauvegarde

Une sauvegarde que vous ne restaurez jamais est une hypothèse, pas une certitude. Planifiez au minimum un test de restauration par trimestre. Choisissez à chaque fois un scénario différent : aujourd'hui un fichier isolé, la fois suivante une boîte aux lettres complète, dans trois mois un serveur entier sur du matériel neuf. Notez le temps nécessaire, qui s'en est chargé et ce qui peut être amélioré. Vous construisez ainsi un plan de continuité d'activité qui va au-delà d'une promesse sur papier.

Un SLA pour les services informatiques ne doit donc pas seulement mentionner un pourcentage de disponibilité, mais aussi un RTO concret (en combien de temps êtes-vous de nouveau en ligne) et un RPO (quelle quantité de données peut être perdue au maximum). Pour un cabinet comptable en période de pointe, comme la saison des déclarations ou la clôture annuelle, un RTO de 4 heures et un RPO de 1 heure constituent un plancher réaliste.

Questions fréquentes sur la sauvegarde cloud pour les experts-comptables

Combien de temps un expert-comptable doit-il conserver un dossier ? Pour la plupart des documents comptables, la durée est de 7 ans (obligation fiscale). Pour les biens immobiliers, 10 ans. Pour les vérifications clients au titre de la Wwft (loi néerlandaise anti-blanchiment), 5 ans après la fin de la relation. Pour les dossiers d'audit, 7 ans après leur clôture (Wta/Bta). Appliquez en interne la plus longue des durées applicables.

Twinfield, Exact ou AFAS s'occupent-ils déjà de ma sauvegarde ? L'éditeur réalise des sauvegardes pour assurer sa propre continuité d'activité, mais pas pour vous permettre une restauration à un instant précis au niveau d'un client donné. Si un collaborateur supprime par erreur des écritures comptables ou si un client perd ses données, vous risquez de vous retrouver les mains vides sans export distinct. Une couche de sauvegarde séparée ou un export périodique est un complément judicieux.

Une sauvegarde de Microsoft 365 est-elle vraiment nécessaire ? Microsoft applique un modèle de responsabilité partagée : l'infrastructure relève de Microsoft, vos données restent sous votre responsabilité. La corbeille et les stratégies de rétention couvrent de courtes périodes. Compte tenu des durées de conservation applicables dans l'expertise comptable et des scénarios de ransomware, un prestataire tiers qui réalise chaque jour une copie distincte est en pratique une exigence de base.

Que signifie concrètement une sauvegarde immuable ? Immuable signifie qu'un fichier de sauvegarde ne peut être ni modifié ni supprimé pendant une durée définie, même avec des droits d'administrateur. Techniquement, cela repose souvent sur S3 Object Lock ou sur des fonctionnalités équivalentes de stockage objet. Face à un ransomware, c'est la seule couche dont la survie est garantie.

Où mes données de sauvegarde doivent-elles être stockées selon le RGPD ? Le RGPD n'impose pas de stockage aux Pays-Bas ou dans l'UE, mais si vos données sont hébergées hors de l'UE, vous devez prendre des garanties supplémentaires. Pour des données personnelles et des données comptables, la voie la plus simple consiste à choisir un fournisseur disposant de datacenters dans l'UE, d'une maison mère européenne et d'un accord de sous-traitance solide. Cela écarte du même coup les risques liés au CLOUD Act chez les fournisseurs américains.

Puis-je combiner la sauvegarde avec mon infogérance actuelle ? Oui, et c'est généralement recommandé. Un partenaire d'infogérance qui gère à la fois vos postes de travail, votre messagerie et vos sauvegardes peut réagir plus vite en cas d'incident que trois prestataires distincts qui se renvoient la balle.

Conclusion

La sauvegarde dans le cloud pour un cabinet d'expertise comptable ou de comptabilité repose sur trois piliers : comprendre quelles durées de conservation coexistent (7 ans pour l'obligation fiscale, 10 ans pour les biens immobiliers, 5 ans pour la Wwft, 7 ans pour le dossier d'audit Wta/Bta), mettre en place une architecture 3-2-1-1-0 avec une copie hors site immuable, et choisir un fournisseur européen avec un accord de sous-traitance solide. N'oubliez pas non plus le SaaS : Microsoft 365, Google Workspace et votre logiciel de comptabilité ne se sauvegardent pas d'eux-mêmes. Et testez systématiquement les restaurations, car une sauvegarde qui n'a jamais été restaurée n'est qu'une hypothèse.

TRON Group met en place la sauvegarde cloud et la continuité d'activité pour les cabinets d'expertise comptable et de comptabilité partout aux Pays-Bas : de la sauvegarde SaaS pour Microsoft 365 au stockage hors site immuable dans des datacenters européens, avec des accords de sous-traitance adaptés à votre obligation de secret professionnel. Vous voulez savoir si votre solution actuelle résisterait à un véritable incident et à un contrôle du BFT ? Appelez-nous au +31 85 303 5869 ou demandez un diagnostic de sauvegarde sans engagement. Nous serons ravis de réfléchir avec vous, sans discours commercial.