Audit logs PME Québec : pourquoi c'est essentiel

Une facture corrigée après coup, ça arrive à tout le monde. Le problème commence quand quelqu'un te demande qui l'a corrigée, quand, et ce qu'elle disait avant : ton comptable, ton assureur, ou un vérificateur de Revenu Québec ou de l'ARC. Sans audit log, tu n'as pas de réponse. Et « je m'en souviens plus » n'en est pas une.

Ce qu'un audit log doit capturer

Pas besoin d'inventer la liste : l'ARC l'a écrite. Sa circulaire IC05-1R1, Tenue de registres électroniques (juin 2010), paragraphe 40, demande que tout changement à une transaction déjà enregistrée soit documenté avec au moins cinq éléments. Les voici, avec ce que Forge Tech en fait :

Ce que l'ARC demande	Dans Forge Tech
La personne qui fait la modification	Le courriel de l'utilisateur connecté, inscrit automatiquement
La date du changement	L'heure exacte, notée en temps universel (UTC), automatiquement
Les détails d'avant	L'ancienne valeur de chaque champ modifié, automatiquement
Les détails d'après	La nouvelle valeur, automatiquement
La raison du changement ou de la suppression	À toi de l'écrire. Sur une facture, tape-la dans « Notes internes » (invisible sur le PDF du client) au moment du changement : elle est enregistrée dans la même entrée que le reste.

Chaque entrée dit aussi sur quoi porte le changement : le type de fiche (facture, fournisseur, employé…) et son identifiant. Quatre éléments sur cinq sans lever le petit doigt ; le cinquième, c'est une habitude de dix secondes.

Une précision qui compte : enregistré ne veut pas dire affiché. Tout ce qui précède est écrit dans chaque entrée, dans ta base de données. L'écran, lui, en montre moins pour l'instant ; je te dis exactement quoi plus bas, dans « Accéder à tes journaux ».

Trois scénarios où l'audit log sauve ta peau

Ce sont des mises en situation, pas des histoires de clients. Les chiffres sont des exemples ronds : remplace-les par les tiens.

Scénario 1 : un employé modifie sa propre paie avant de partir

Exemple : une personne qui a accès à la paie fait passer son taux de 25 $ à 30 $ de l'heure pour ses 10 dernières semaines, à 40 heures par semaine. 5 $ × 40 h × 10 semaines = 2 000 $ bruts versés en trop.

Sans journal : tu t'en rends compte des mois plus tard en comparant des bulletins, et tu ne peux pas dire qui a fait le changement. Avec le journal : la modification de la fiche de l'employé garde l'ancien taux, le nouveau, le courriel du compte qui l'a faite et l'heure exacte. En plus, chaque fichier de dépôts directs produit par la paie est inscrit au journal des événements, avec le nombre de dépôts et le total net de la période. Tu ne pars plus d'un soupçon : tu pars d'une date, d'un courriel et d'un montant.

Scénario 2 : Revenu Québec te demande pourquoi une facture a été annulée

En vérification, la question tombe : « Pourquoi la facture 2026-014 a-t-elle été annulée le 15 mars ? » Avec le journal : l'entrée de modification contient qui a changé le statut, à quelle heure, le statut d'avant et celui d'après. Si la raison a été tapée dans « Notes internes » au même moment, elle est dans la même entrée : les cinq éléments de l'ARC sont réunis au même endroit. Sans journal : tu réponds de mémoire, un an plus tard.

Le réflexe qui t'aide : annule, n'efface pas. Une facture annulée reste dans ta liste de factures, avec toutes ses lignes ; Forge Tech retire automatiquement son écriture comptable et la sort du calcul de ta déclaration TPS/TVQ. Une facture supprimée ne laisse qu'une trace courte : qui, quand et son numéro, sans son contenu.

Scénario 3 : le fournisseur fantôme

Exemple : quelqu'un crée un fournisseur « ABC Services » avec son propre numéro de compte bancaire, puis y enregistre 5 fausses factures de 800 $. 5 × 800 $ = 4 000 $ à payer à une entreprise qui n'existe pas.

Avec le journal : la création du fournisseur est enregistrée avec une copie complète de la fiche, numéro de compte compris, le courriel de la personne qui l'a créée et l'heure. Chaque fausse facture aussi. Et tu n'as pas à tomber dessus par hasard : la détection d'anomalies (forfait Pro) signale tout nouveau fournisseur sans historique qui cumule plus de 1 000 $ de factures sur les 90 derniers jours. À 4 000 $, « ABC Services » ressort. Tu sais par où commencer : quelle fiche, créée par quel compte, et quand.

Ce que Forge Tech enregistre, exactement

Deux journaux, qui ne font pas le même travail.

Le journal des modifications :

• Chaque création, modification ou suppression faite par un utilisateur connecté, sur toutes les fiches : factures, fournisseurs, employés, écritures, produits…
• Pour une modification : l'ancienne et la nouvelle valeur de chaque champ changé
• Pour une création : une copie complète de la fiche telle qu'elle a été saisie
• Les mots de passe ne sont jamais recopiés dans le journal

Le journal des événements sensibles :

• Double authentification : configuration commencée, activée, désactivée (la désactivation est marquée comme avertissement). Voir la 2FA pour un logiciel comptable.
• Paie : chaque calcul de période (nombre de bulletins, brut, net, retenues à remettre) et chaque fichier de dépôts directs généré
• TPS/TVQ : chaque déclaration générée, avec les montants nets, puis le moment où tu la marques comme produite, avec ton numéro de confirmation
• Détection d'anomalies : chaque analyse que tu lances, avec le nombre de nouvelles alertes, et chaque alerte que tu confirmes ou que tu ignores. Voir la détection d'anomalies et de fraude.
• Connexions et synchronisations bancaires, déclarations CCQ générées

Le journal ne sert pas seulement après coup : la détection d'anomalies le relit, et signale toute facture ou facture fournisseur modifiée 5 fois ou plus en 90 jours, avec le courriel du dernier utilisateur.

Combien de temps conserver ?

La règle de base est la même au fédéral et au provincial : 6 ans à compter de la fin de la dernière année à laquelle les documents se rapportent. Côté ARC, c'est le paragraphe 8 de la même circulaire IC05-1R1, qui précise qu'un registre tenu en format électronique doit être conservé sous une forme électronique intelligible pendant toute cette période, même si tu en gardes une copie papier. Côté Revenu Québec (page « Tenue de registres et conservation des pièces justificatives », section TPS/TVQ, consultée le 26 septembre 2026), un support électronique doit permettre de produire des copies accessibles et utilisables. Si tu t'opposes à un avis de cotisation, ou que tu contestes devant les tribunaux la décision rendue sur ton opposition, les documents nécessaires se gardent au-delà de six ans.

Exemple : ton exercice finit le 31 décembre. Une facture de mars 2026 appartient à l'année 2026, qui se termine le 31 décembre 2026. 2026 + 6 = 2032 : cette facture et la trace de ses modifications se gardent au moins jusqu'au 31 décembre 2032. Refais le calcul avec ta propre date de fin d'exercice.

Dans Forge Tech, les deux journaux n'ont aucune purge automatique : aucune entrée ne disparaît après un an, six ans ou sept ans. Et aucun écran, aucune fonction du logiciel ne permet de modifier ou d'effacer une entrée : un journal ne fait que s'allonger. Mon conseil : à chaque fin d'exercice, exporte le journal des événements en CSV et range le fichier avec tes pièces justificatives. C'est ta copie, lisible sans Forge Tech. Le journal des modifications, lui, n'a pas encore de bouton d'export : il reste dans ta base, avec le reste de ta comptabilité.

Accéder à tes journaux

Comptabilité → Journal d'audit : les 500 dernières créations, modifications et suppressions, avec la date et l'heure (en UTC), l'action, le type de fiche, le courriel de l'utilisateur et une description qui reprend le nom ou le numéro de la fiche quand elle en a un. Ce que cet écran n'affiche pas encore : le détail avant/après, et donc la note tapée dans « Notes internes ». Ils sont bien enregistrés dans chaque entrée, dans ta base de données, mais l'écran ne les montre pas. Il n'a pas non plus de filtre par date ni de bouton d'export.

Pilotage → Journal d'audit : les 100 derniers événements sensibles, à l'heure de ton ordinateur, chacun marqué « info » ou « warn » (avertissement). Filtres par utilisateur, par action et par niveau, et un bouton Exporter CSV qui sort les 10 000 entrées les plus récentes.

Un mot sur « SOC 2 », que tu verras sur d'autres sites. Un rapport SOC 2, c'est un cabinet d'auditeurs indépendant qui examine les contrôles d'une entreprise et qui signe ce qu'il a constaté. Forge Tech n'a pas ce rapport. À la place d'un badge, je te donne la liste de ce que tes journaux n'enregistrent pas : les ouvertures de session, réussies ou refusées ; les fiches consultées sans être modifiées ; les PDF téléchargés ; et, dans le journal des modifications, l'adresse IP. Je préfère que tu le lises ici plutôt que de le découvrir le jour où tu en aurais eu besoin.

Essaie Forge Tech 30 jours, sans carte de crédit. Le journal d'audit est inclus dès le forfait Pro (99 $/mois) ; sur un forfait inférieur, il s'active à la carte à 24,99 $/mois. Pendant l'essai, modifie une facture, puis ouvre Comptabilité → Journal d'audit : ta modification y est déjà, avec le numéro de la facture, ton courriel et l'heure en UTC (4 heures de plus qu'à Québec l'été, 5 l'hiver).

---

— Guillaume Régimbald, Fondateur, Forge Tech Inc.