La piste d’audit fiable : le guide pratique

Mis à jour le 5 novembre 2026.

H2 En bref

• La piste d’audit fiable (PAF) est un ensemble de contrôles documentés et permanents qui relie chaque facture à la livraison ou à la prestation correspondante.
• Elle garantit trois choses : l’authenticité de l’origine, l’intégrité du contenu et la lisibilité de la facture (article 289 VII du CGI).
• Elle ne disparaît pas avec la facturation électronique : la Plateforme Agréée trace le circuit de la facture, mais ne prouve pas à votre place que la livraison a eu lieu.
• Pas d’amende « absence de PAF » : le vrai risque est le refus de déduction de la TVA si vous ne prouvez pas la réalité de l’opération.
• Calendrier : réception des factures électroniques obligatoire pour toutes les entreprises depuis le 1er septembre 2026 ; émission obligatoire pour les PME, TPE et micro-entreprises au 1er septembre 2027.

Sommaire

• Qu’est-ce que la Piste d’Audit Fiable (PAF) ?
• Les 3 garanties que la PAF doit apporter
• PAF, EDI fiscal, signature qualifiée, Plateforme Agréée : que choisir ?
• Qui doit mettre en place une Piste d’Audit Fiable ?
• Mettre en place une PAF en 5 étapes
  • Etape 1 : cartographier vos flux de facturation
  • Etape 2 : associer les obligations à chaque flux
  • Etape 3 : recenser et documenter vos contrôles
  • Etape 4 : tester par des walkthroughs
  • Etape 5 : archiver et réviser chaque année
• Le principe de base : chaque contrôle laisse une trace
• Comment l’administration vérifie votre PAF
• Quels risques en cas de PAF absente ou défaillante ?
• PAF et facturation électronique 2026 : ce qui change vraiment
  • Le calendrier
  • Choisir sa Plateforme, une décision de conformité
• Deux exemple pour structurer une PAF en PME
• Checklist PAF : 8 point à vérifier dès aujourd’hui
• Questions fréquentes
• Sources officielles

Qu’est-ce que la Piste d’Audit Fiable (PAF) ?

La piste d’audit fiable est l’ensemble des contrôles internes, documentés et permanents, qu’une entreprise met en place pour établir un lien entre une facture et la livraison de biens ou la prestation de services qu’elle représente. Elle permet de reconstituer le cheminement complet d’une opération : contrat ou devis, commande, livraison, facture, paiement.

Son cadre légal est l’article 289 VII du Code général des impôts et la doctrine administrative du BOFiP (BOI-TVA-DECLA-30-20-30).

Une précision importante : la PAF n’est ni un logiciel, ni un simple classeur de procédures. Elle doit refléter des contrôles réellement exécutés. Une procédure parfaitement rédigée mais sans aucune trace d’exécution ne prouve rien lors d’un contrôle.

Les 3 garanties que la PAF doit apporter

L’article 289 VII impose que toute facture, papier ou électronique, offre trois garanties.

1. L’authenticité de l’origine : l’émetteur est bien celui qui a livré le bien ou rendu le service. Le rapprochement entre bon de commande, bon de livraison et facture en est le socle minimal.
2. L’intégrité du contenu : les mentions de la facture (montants HT et TVA, identité des parties, date, numéro) n’ont pas été modifiées entre l’émission et la réception. Toute correction passe par un avoir ou une facture rectificative, et reste traçable.
3. La lisibilité : la facture reste lisible, sans logiciel spécifique, pendant toute la durée de conservation. Pour un format structuré (Factur-X, UBL, CII), un rendu lisible par un humain doit rester accessible.
4. La PAF est l’une des trois façons de démontrer ces garanties. Les deux autres sont la signature électronique qualifiée (ou le cachet qualifié) et l’EDI fiscal.

PAF, EDI fiscal, signature qualifiée, Plateforme Agréée : que choisir ?

On lit souvent qu’il existerait « 4 types de PAF ». Juridiquement, il s’agit plutôt de dispositifs de sécurisation des factures, non de quatre PAF équivalentes.

Dispositif	Principe	Pour qui ?	Point d’attention
PAF documentaire (art. 289 VII-1°)	Contrôles internes documentés	Tous flux : papier, PDF, e-mail. Voie par défaut des PME	Dépend de la rigueur d’exécution et de la preuve conservée
Signature ou cachet qualifié (art. 289 VII-2°)	Garantie technique d’origine et d’intégrité	Flux électroniques ciblés	Coût du certificat, vérification côté destinataire
EDI fiscal (art. 289 VII-3°)	Échange structuré entre systèmes	Plutôt grands volumes et grands groupes	Infrastructure lourde, conservation des fichiers d’origine
Facture structurée via une Plateforme Agréée (art. 289 bis)	Circuit réglementé avec statuts datés	Factures B2B domestiques concernées	Ne couvre pas la preuve de la réalité de l’opération

En pratique, la quasi-totalité des entreprises conserve une PAF, car très peu peuvent garantir que 100 % de leurs factures passent par l’EDI ou une signature qualifiée.

Qui doit mettre en place une piste d’audit fiable ?

Toute entreprise assujettie à la TVA qui sécurise ses factures par des contrôles documentés. La taille ne crée aucune exemption : une TPE peut retenir des contrôles plus simples qu’un groupe, mais elle doit pouvoir les démontrer. Les micro-entreprises assujetties à la TVA, les associations et les SCI qui réalisent des opérations taxables sont concernées selon les mêmes principes.

La PAF concerne en particulier les factures papier, PDF, envoyées par e-mail ou déposées sur un espace partagé, car ces formats peuvent être modifiés ou contestés.

Mettre en place une PAF en 5 étapes

Cette méthode vaut quel que soit votre outil : elle documente vos contrôles, pas votre logiciel. Chaque étape produit une pièce que vous pourrez présenter en cas de contrôle.

Etape 1 : cartographier vos flux de facturation

Recensez les factures émises et reçues, les avoirs et les notes de frais. Pour chaque circuit, identifiez les outils (ERP, logiciel de gestion, messagerie), les intervenants (achats, comptabilité, direction) et les documents échangés. Cette étape révèle aussi les points de fragilité et de fraude possible.

Etape 2 : associer les obligations à chaque flux

Pour chaque type de flux (papier, PDF, structuré, import, export), notez les obligations applicables : mentions obligatoires, durée et lieu de conservation, droits d’accès. Une simple matrice « flux × obligations » suffit.

Etape 3 : recenser et documenter vos contrôles

Listez les contrôles déjà en place : validation de commande, rapprochement commande / livraison / facture, vérification du SIREN et du numéro de TVA du fournisseur, contrôle des montants, validation du paiement. Pour chacun, précisez qui le fait, quand, avec quel outil et que faire en cas d’anomalie.

Etape 4 : tester par des walkthroughs

Prélevez un échantillon (par exemple 10 à 20 factures par circuit) et retracez le parcours de bout en bout, de la commande au relevé bancaire. Vérifiez que chaque pièce existe, que les montants concordent et que l’identité des parties est cohérente. Conservez le résultat du test : c’est votre meilleure preuve que les contrôles fonctionnent.

Etape 5 : archiver et réviser chaque année

Conservez les factures et les pièces associées dans des conditions garantissant lisibilité et intégrité. Pour l’électronique, un système d’archivage à valeur probante (norme NF Z42-013) est la référence. Prévoyez une revue annuelle et une mise à jour à chaque changement significatif (nouvel ERP, nouveau circuit de validation, nouveau fournisseur majeur).

Durée de conservation : les pièces comptables se conservent 10 ans (Code de commerce), et la durée fiscale de conservation est de 6 ans (Livre de procédures fiscales). Conservez 10 ans par prudence et alignez-vous sur votre politique d’archivage.

Le principe de base : chaque contrôle laisse une trace

La règle d’or tient en une phrase : un contrôle non prouvé est un contrôle qui n’existe pas. Un visa de validation, un statut dans l’ERP, une ligne de journal ou un e-mail de validation suffisent, à condition qu’ils soient datés, nominatifs, conservés et exportables.

Comment l’administration vérifie votre PAF

Le sigle « CEPAF » reprend l’intitulé du BOFiP : les contrôles établissant une piste d’audit fiable. Ce n’est pas une procédure fiscale autonome : l’examen intervient dans le cadre d’une vérification de comptabilité ou d’un contrôle de TVA. En général :

1. Demande de la documentation : description des flux, des contrôles, des responsables.
2. Échantillonnage : quelques dizaines de factures, choisies selon le risque (montants élevés, fournisseurs récents, avoirs).
3. Test de cheminement : le vérificateur refait votre parcours, de la commande au paiement.
4. Restitution : les écarts sont discutés avant toute rectification. Produire une pièce manquante à ce stade peut rester décisif.

Point vérifié	Pièce attendue	Signal d’alerte
Réalité de l’opération	Bon de commande, bon de livraison, procès-verbal de réception	Facture sans trace de commande ni de réception
Identité du fournisseur	Contrat ou devis, SIREN, numéro de TVA	IBAN modifié sans validation tracée
Concordance des montants	Devis accepté, facture, avoir	Écart de prix ou de quantité non justifié
Paiement effectif	Relevé bancaire, lettrage	TVA déduite sur une facture jamais payée
Application réelle des contrôles	Trace datée, nom du valideur	Procédure écrite sans preuve d’exécution

Quels risques en cas de PAF absente ou défaillante ?

Il n’existe pas d’amende forfaitaire « absence de PAF ». Le risque dépend des irrégularités constatées :

• Remise en cause de la déduction de TVA : si vous ne prouvez pas la réalité de l’opération, l’administration peut rappeler la TVA déduite, avec un intérêt de retard de 0,20 % par mois (article 1727 du CGI).
• Mentions omises ou inexactes sur une facture : 15 € par omission ou inexactitude, dans la limite du quart du montant de la facture.
• Défaut de facturation (article 1737 du CGI) : amende de 50 % du montant de la transaction si elle n’est ni facturée ni comptabilisée, ramenée à 5 % si elle est comptabilisée, avec des plafonds par exercice. Elle ne s’applique pas automatiquement à une documentation PAF incomplète.
• Non-respect de l’émission électronique (factures émises à compter du 1er septembre 2026 pour les entreprises concernées) : amende de 50 € par facture, plafonnée à 15 000 € par an, avec une exonération possible pour une première infraction régularisée spontanément ou sous 30 jours.

Des majorations de 40 % ou 80 % supposent un manquement délibéré ou des manœuvres frauduleuses : elles ne résultent pas d’un simple défaut de formalisation.

PAF et facturation électronique 2026 : ce qui change vraiment

Le calendrier

Date	Obligation
1er septembre 2026	Réception pour toutes les entreprises assujetties à la TVA ; émission pour les grandes entreprises et les ETI
1er septembre 2027	Émission pour les PME, TPE et micro-entreprises

Des tolérances pour les entreprises de bonne foi ont été annoncées par le gouvernement lors du démarrage de la réforme, mais elles ne remplacent pas l’obligation.

Ce que la Plateforme Agréée trace. Les statuts du cycle de vie (déposée, rejetée, refusée, encaissée) sont datés et alimentent directement votre piste d’audit. La plateforme assure aussi le transport, le contrôle des données et la lisibilité des factures structurées.

Ce qu’elle ne trace pas. Elle ne sait pas qu’un bon de livraison a été signé sur un chantier, qu’un écart de quantité a été négocié au téléphone ou qu’un devis a été accepté par e-mail. Ces pièces restent à votre charge.

Les flux hors circuit obligatoire (ventes aux particuliers, opérations avec l’étranger, certaines opérations exonérées) ne transitent pas par la plateforme. Ils relèvent de l’e-reporting, mais leur PAF reste entièrement documentaire. Beaucoup d’entreprises concentrent leurs efforts sur le B2B domestique et oublient ces flux.

Choisir sa Plateforme Agréée, une décision de conformité

Avant de signer, vérifiez :

• que la plateforme figure sur la liste officielle des Plateformes Agréées publiée par la DGFiP, et pas seulement sur la déclaration de l’éditeur ;
• que vous pouvez obtenir un export complet des statuts et des pièces ;
• que la conservation reste lisible sur toute la durée légale ;
• que l’historique est repris si vous changez d’opérateur.

Deux exemple pour structurer une PAF en PME

Ces situations sont des illustrations pédagogiques, pas des contrôles réels.

Un cabinet d’architectes aux preuves dispersées. Commandes, validations et preuves de livraison se répartissent entre un tableur et des dossiers partagés. Le cabinet sépare ses flux (sous-traitance, matériel, frais généraux), désigne un responsable par flux et définit les pièces attendues : par exemple, une facture de sous-traitant doit être reliée au contrat, au livrable validé et à l’autorisation de paiement. Il teste ensuite quelques opérations de bout en bout et bloque la validation quand une pièce manque.

Une entreprise de BTP équipée d’un ERP. Les factures sont approuvées dans l’ERP sans que le bon de livraison signé soit toujours joint. L’entreprise formalise l’enchaînement commande, réception, facture et validation du responsable de chantier, en distinguant achats stockés, locations et sous-traitance, dont les preuves diffèrent. Un échantillon périodique rapproche ensuite l’ERP, les pièces de chantier et les paiements bancaires.

Checklist PAF : 8 points à vérifier dès aujourd’hui

• Vos flux de facturation (émis, reçus, avoirs, notes de frais) sont cartographiés.
• Chaque flux a un responsable de contrôle identifié.
• Le rapprochement commande / livraison / facture est documenté et tracé.
• Les données fournisseur (SIREN, TVA, IBAN) sont vérifiées avant enregistrement.
• Les modifications de coordonnées bancaires sont validées et tracées.
• Les flux hors plateforme (B2C, export, exonérés) ont leur propre procédure.
• Les factures et pièces sont archivées de façon lisible et intègre.
• Un test de cheminement est réalisé au moins une fois par an.

Questions fréquentes

Sources officielle

• Article 289 VII et 289 bis du CGI (Légifrance)
• BOFiP : BOI-TVA-DECLA-30-20-30 et BOI-TVA-DECLA-30-20-30-20
• Articles 1727 et 1737 du CGI
• Liste des Plateformes Agréées : impots.gouv.fr
• Lire aussi l’archivage et la Réforme de la Facturation Electronique

Contenu rédigé à titre informatif, ne constituant pas un conseil juridique ou fiscal.