Définir les données des événements d'achat pour une piste de décision auditable

Que comprend un parcours de décision d'achat auditable ?

La commande publique fédérale américaine constitue une référence utile pour le périmètre. Les règles du FAR relatives aux dossiers de contrat obligent les services de passation des marchés publics à conserver une documentation suffisante pour constituer un historique complet de la transaction, et elles énumèrent les dossiers allant de la demande d'achat et des justifications jusqu'aux appels d'offres, aux offres, à la sélection des fournisseurs, aux approbations d'attribution et aux modifications. Ces règles régissent les dossiers propres aux services fédéraux plutôt que les achats d'une entreprise, vous pouvez donc considérer cette liste comme un contrôle de couverture pour votre propre conception.

Considérez ce parcours comme l'ensemble des événements qui modifient l'état d'un achat, ainsi que les preuves sur lesquelles chacun s'est appuyé : une demande approuvée, une liste de fournisseurs fixée, des offres reçues, une évaluation signée, une attribution approuvée, un contrat modifié, des marchandises reçues et une facture payée. Chaque moment implique un acteur, une heure et un document, et un réviseur doit pouvoir passer de l'un à l'autre sans avoir à demander à trois équipes de fouiller dans leurs boîtes de réception.

Quels champs chaque enregistrement d'événement d'achat doit-il comporter ?

Un article consacré à une méthode de process mining propose un minimum compact. Chiu, Brown-Liburd et Vasarhelyi décrivent un journal des événements qui contient l'instance de processus, l'activité, la ressource qui l'a exécutée et un horodatage. Leurs parcours achat-à-paiement illustratifs, tels que le bon de commande, la signature, la réception des marchandises, la réception de la facture, la libération et le paiement, séparent les séquences standard des séquences non standard, ce qui dépend du fait que chaque événement comporte son instance de processus, son activité et son horodatage, tandis que le champ des ressources prend en charge d'autres tests tels que la séparation des tâches.

Les événements d'achat nécessitent quelques champs de plus qu'un journal système générique, car un réviseur des achats s'interroge également sur l'habilitation et le fondement. Ajoutez le système d'enregistrement et son numéro d'enregistrement natif, la règle d'approbation applicable, le montant et la devise lorsque l'événement modifie un engagement, ainsi qu'un lien vers la version enregistrée du document justificatif. Enregistrez l'acteur en tant que personne nommée ou compte de service, ainsi que le rôle et la délégation en vigueur ce jour-là, afin que les tests de séparation des tâches puissent détecter un demandeur approuvant sa propre demande.

Si les données doivent alimenter des outils de process-mining ou d'analyse d'audit, un format d'échange publié peut vous épargner un projet de traduction ultérieur. La norme XES IEEE 1849-2023 définit un format XML pour l'échange de journaux d'événements entre les systèmes qui les génèrent et les outils qui les analysent, et son champ d'application cite les systèmes d'achats parmi ces sources. Mapper votre schéma sur ce format permet de préserver la clarté du sens de chaque champ lors des transferts de données, bien que l'exhaustivité dépende toujours de ce que chaque système enregistre.

Comment les enregistrements doivent-ils être reliés entre les systèmes d'admission, de sourcing, de contrat et d'ERP ?

Une piste d'audit peut traverser plusieurs systèmes : la demande dans un outil de saisie, les offres dans une plateforme d'e-sourcing, l'accord dans la gestion des contrats, ainsi que l'engagement et le paiement dans l'ERP. L'introduction aux standards de données de passation des marchés ouverts (Open Contracting Data Standard) traite un problème similaire pour les marchés publics avec un identifiant par processus de passation de marché. Chaque modification est publiée sous forme de version (release) qui ne peut plus être modifiée une fois publiée, et un registre indexe ces versions et peut inclure une version compilée contenant la dernière valeur de chaque champ.

Le même schéma s'applique au sein d'une entreprise. Attribuez un identifiant de dossier dès la réception, reportez-le dans l'événement d'achat, le contrat, le bon de commande et la facture, et conservez un renvoi chaque fois qu'un système génère son propre numéro ; pour les accords-cadres, faites du contrat le point d'ancrage vers lequel convergent les commandes sur appel, les réceptions et les factures. Conservez l'historique en mode ajout seul et générez la vue actuelle à partir de celui-ci, de sorte qu'un nom de fournisseur ou un prix corrigé apparaisse comme un nouvel événement avec son motif, tandis que la valeur précédente reste lisible.

Quels événements d'achat nécessitent les contrôles les plus stricts ?

Les dérogations nécessitent les contrôles les plus stricts, car le parcours standard intègre ses propres documents, tandis qu'une dérogation doit générer son propre dossier. Un audit de 2016 du comté de Cook portant sur les achats de gré à gré et d'urgence illustre la lacune : il a révélé que les départements d'origine ne fournissaient pas toujours une justification suffisante pour les achats de source unique. Il a également constaté que le formulaire d'achat d'urgence ne comportait aucune exigence de justification pour l'absence de trois devis.

Enregistrez chaque exception comme son propre type d'événement : une justification de fournisseur unique ou d'offre unique, une mise en concurrence ou une exigence de devis abandonnée, une autre étape de politique écartée, ou une modification manuelle du prix ou de la quantité après l'attribution. Chacune doit comporter la règle à laquelle elle déroge, le motif écrit, l'approbateur et son autorité, ainsi que le moment où l'approbation a eu lieu par rapport à l'engagement. Traitez les limites de délégation de pouvoir comme ne pouvant faire l'objet d'aucune dérogation dans le registre, de sorte qu'une approbation dépassant la limite d'une personne soit enregistrée soit comme une escalade, soit comme un engagement non autorisé avec sa régularisation et un enregistrement de manquement.

Les dossiers d'évaluation méritent le même traitement. Lors d'un audit interne de l'approvisionnement local au Sud-Soudan réalisé en 2024, des auditeurs de l'ONU ont constaté que les évaluations techniques et financières ont respecté les critères de l'appel d'offres dans 16 des 30 cas échantillonnés, tandis que les 14 restants manquaient de documentation adéquate pour permettre une évaluation. Le même audit a constaté que le comité d'ouverture des plis a ensuite consigné l'heure de réception de chaque soumission, ce qui constitue le type d'événement horodaté à partir duquel une piste d'évaluation peut démarrer.

Combien de temps les dossiers relatifs aux événements d'achat doivent-ils être conservés ?

La conservation dépend de la juridiction et du type de dossier. Définissez-la donc avec les services juridiques et financiers plutôt que de choisir un chiffre unique pour tout. Pour les contrats fédéraux américains, le tableau de conservation du FAR présente les contrats et les documents associés, y compris les propositions retenues et rejetées, conservés pendant 6 ans après le paiement final. La même sous-partie impose des procédures de transfert, de stockage et de récupération des données qui protègent les données d'origine contre toute altération.

Les règles fiscales appréhendent les mêmes enregistrements sous un autre angle. La procédure de revenu (Revenue Procedure) 98-25 de l'Internal Revenue Service exige des contribuables relevant de son champ d'application qu'ils conservent des dossiers lisibles par machine tant que leur contenu peut s'avérer pertinent pour l'administration fiscale. Elle leur impose également de documenter les processus commerciaux qui créent et modifient ces dossiers et d'établir des pistes d'audit entre les dossiers conservés, les livres comptables et la déclaration fiscale ; conservez donc votre schéma d'événement ainsi que son historique des modifications avec les données.

Pour les journaux eux-mêmes, le projet de révision de la norme NIST SP 800-92 définit la gestion des journaux comme la génération, la transmission, le stockage, l'accès et l'élimination des données de journal, et répertorie la conservation des registres pendant la période requise parmi les objectifs. Il est rédigé pour les journaux de cybersécurité, utilisez-le donc pour la discipline de stockage, d'accès et d'élimination plutôt que pour décider quels événements d'achat comptent.

Comment les équipes peuvent-elles tester la piste d'audit avant un contrôle ?

Exécutez les tests qu'un auditeur effectuerait. Ordonnez les événements pour chaque cas et recherchez les parcours qui enfreignent vos règles, tels qu'une signature enregistrée après la réception des marchandises. Dans l'exemple de Chiu et ses collègues, ce parcours est considéré comme non standard, et les mêmes auteurs préviennent qu'un journal des événements incomplet produit des informations inexploitables par les auditeurs. Recherchez ensuite les exceptions non déclarées, telles que des commandes dépassant le seuil de mise en concurrence sans procédure d'achat ou des factures antérieures à leurs bons de commande, et vérifiez que chaque exception déclarée dispose de sa justification et de son approbateur.

La qualité des champs de données nécessite son propre contrôle, même dans les systèmes obligatoires. Dans son examen de 2025 des données d'achats fédéraux, le GAO a constaté que 36 des 70 agences communiquant leurs données au Federal Procurement Data System pour l'exercice fiscal 2023 ont confirmé avoir établi un rapport sur la qualité des données, tandis que les autres représentaient environ 0.26 pour cent des obligations contractuelles. Il a également constaté que deux agences n'avaient pas documenté de plans d'action corrective pour les éléments de données présentant des taux d'erreur récurrents et élevés. Échantillonnez des champs clés à chaque période et confiez à un responsable la tâche d'identifier la cause des erreurs répétées.

Que doit contenir un registre des événements d'achats ?

Utilisez le registre ci-dessous pour convenir, système par système, des événements qui existent, de ce que chacun doit comporter et du responsable d'un champ manquant. Commencez par une catégorie et un événement d'achats récent, retracez-le de la demande au paiement, et marquez chaque endroit où vous avez dû interroger une personne au lieu de lire un enregistrement. Si vos événements d'achats suivent déjà un flux de travail RFQ structuré, ses étapes correspondent aux lignes d'achat.

Les dossiers fournisseurs nécessitent deux pistes distinctes. Lorsqu'un nouveau fournisseur réussit une évaluation hiérarchisée des risques fournisseurs, enregistrez la version de l'évaluation, le résultat et le réviseur en tant qu'événements sur ce fournisseur. Traitez chaque modification de coordonnées bancaires comme un événement de données maîtres à haut risque pour tous les fournisseurs, quel que soit leur niveau, en consignant qui l'a demandée, comment elle a été confirmée par le biais d'un contact déjà enregistré, qui l'a vérifiée et approuvée, et à quel moment, afin qu'un examen des paiements puisse vérifier ce qui a été contrôlé avant tout transfert de fonds.

Comment les agents AI modifient-ils le parcours de décision des achats ?