Interfaces dans les PME : réguler les transmissions entre ventes et administration

Où les ventes et l’administration travaillent en décalage

À l’interface entre les ventes et l’administration, les mêmes documents et jeux de données transitent chaque jour : offres incluant leurs versions, confirmations de commande, données maîtres clients avec adresses et interlocuteurs, dossiers contractuels, engagements de prix et de remises, puis plus tard les bases de facturation et les copies d’archive.

Les ventes visent la conclusion des affaires et ont besoin de rapidité et de marge de manœuvre. L’administration doit disposer de pièces complètes, vérifiables et archivables afin de pouvoir facturer, relancer et archiver.

Là où ces priorités se heurtent, des frictions typiques apparaissent : des promesses sont faites oralement sans jamais être consignées par écrit, les documents contractuels restent chez le client au lieu d’être dans le système, les données maîtres sont modifiées par les ventes sans mise à jour correspondante dans l’administration.

La pression sur ce point de transmission augmente. Selon SwissLegal, les personnes chargées de la direction d’entreprise doivent se conformer à des prescriptions toujours plus détaillées et à une réglementation administrative toujours plus nombreuse. La plupart des entreprises perçoivent cela comme une charge et un désavantage concurrentiel ; la pression administrative pèse davantage sur les PME que sur les grandes entreprises.

Le niveau de réglementation est particulièrement élevé pour les entreprises actives au-delà des frontières nationales, qui se retrouvent ainsi soumises à d’autres ordres juridiques. Selon une étude du Credit Suisse de juin 2014, cela concerne 69 pour cent des PME.

Ce sont précisément ces charges qui aboutissent au point de transmission : les obligations de documentation, le système de contrôle interne, la protection des données ainsi que les dossiers contractuels et ceux du registre du commerce exigent des données produites par les ventes et conservées par l’administration.

Une interface consciemment régulée soulage immédiatement : chaque point de transmission reçoit un destinataire défini, un contenu minimal défini et un moment défini. Il devient alors possible de répondre sans recherche fastidieuse à la question de savoir qui a validé une offre, quelle version du contrat fait foi et où se trouve le document signé. Il est également possible de clarifier qui était responsable d’une saisie erronée.

C’est la base permettant d’éviter que des demandes de renseignements, des audits ou un processus de vente ne doivent être reconstitués a posteriori à partir d’e-mails éparpillés.

La chaîne de transmission comprend cinq points : offre avec version, confirmation de commande, dossier contractuel, base de facturation et copie d’archive. Chaque point constitue une transmission distincte et dispose de son propre destinataire, de son propre contenu minimal et de son propre calendrier.

Pour chaque point, il est consigné nommément qui transmet et qui reprend. Une personne suppléante est également désignée afin que la transmission ne reste pas en suspens en cas d’absence.

Toutes les informations ne peuvent pas être transmises de la même manière

Des types de données très différents circulent à l’interface, chacun soumis à ses propres règles : données clients et de contact (nom, adresse, fonction, historique des communications), données contractuelles et d’offre (étendue des prestations, prix, durées, remises), données relatives au personnel (fonction, responsabilités, suppléances) ainsi que les données personnelles particulièrement sensibles.

Un exemple de cette dernière catégorie est un cabinet de recrutement qui collecte des curricula vitae, les prétentions salariales et le déroulement des candidatures. La licéité d’une transmission dépend du type de données et de la finalité du traitement – et non du chemin emprunté par les données en interne.

Une première ligne de démarcation est le champ d’application personnel : les personnes morales ne relèvent pas de la loi sur la protection des données (art. 2 al. 1 nLPD). La dénomination sociale, le siège et les données du registre du commerce d’une SA ou d’une Sàrl n’entraînent donc pas, en soi, d’obligations en matière de protection des données.

Mais si s’y ajoutent des indications concernant une personne physique – l’interlocuteur avec son nom et son adresse e-mail, la candidature, l’indication de salaire –, il s’agit d’une donnée personnelle soumise aux règles.

Cette distinction doit figurer dans toute réglementation interne. Elle détermine quels champs peuvent effectivement être transmis et lesquels ne le peuvent qu’avec une base supplémentaire.

Avant de formuler des règles, il faut connaître les données et les flux de données. Où et comment les données personnelles sont-elles traitées dans l’entreprise ? Dans quel système l’offre est-elle créée, où la version du contrat est-elle enregistrée ?

Quelles copies sont envoyées par e-mail à des tiers ? Qui, dans les ventes, est autorisé à modifier quels champs de la fiche client ?

Un répertoire des types de données le long des points de transmission – offre, confirmation de commande, dossier contractuel, base de facturation, archive – est l’outil pratique à cet effet. Il constitue également la base de toute demande de renseignement ultérieure.

Un CRM centralise les données clients, les offres et les opportunités de vente. C’est donc l’endroit évident pour les points de transmission que sont l’offre, la confirmation de commande et le dossier contractuel.

Si le CRM indique qui est autorisé à modifier quels champs, il sera possible par la suite de prouver l’origine d’une indication et la personne qui l’a modifiée.

Une base de données clients, deux exigences

Les ventes et l’administration utilisent généralement la même base de données clients, mais avec des perspectives différentes. Les ventes veulent voir rapidement qui a obtenu quoi et quand. L’administration a besoin d’indications complètes pour la facturation, les relances et l’archivage.

Une base de données bien entretenue satisfait les deux parties : elle permet une communication client rapide et efficace, des analyses clients et un contrôle qualité facilité pour l’amélioration des produits et services. Elle réduit également les délais de réaction face à l’évolution des besoins des consommateurs. Ces avantages n’apparaissent que si la base de données est actualisée et bien segmentée.

Les données clients proviennent de plateformes de médias sociaux, de sites web, d’enquêtes et d’entretiens avec la clientèle. Là où les données sont collectées et utilisées, le consentement des clients doit être obtenu et les données doivent être stockées de manière sécurisée et protégées contre tout accès non autorisé.

Pour l’interface, cela signifie : lors de chaque saisie, il faut déterminer si un consentement pour l’utilisation prévue existe et où il est documenté. S’il fait défaut, la donnée ne peut pas être utilisée à cette fin.

Sur le plan organisationnel, une répartition claire des compétences est nécessaire. Les ventes signalent continuellement les modifications – nouvel interlocuteur, nouvelle adresse, étendue des prestations modifiée –, l’administration vérifie l’exhaustivité des indications pour la facturation et l’archivage et fusionne les doublons.

Sans cette discipline, les données vieillissent silencieusement : les analyses s’appuient sur d’anciens segments, le contrôle qualité sur des retours obsolètes, et les factures partent vers des adresses qui ne sont plus correctes depuis des mois.

Un rythme fixe pour l’actualisation et une personne nommée responsable de la qualité de la base de données maintiennent l’effort à un niveau faible. Répartis sur deux domaines, les deux en profitent.

Concrètement, la réglementation définit quels champs les ventes peuvent modifier elles-mêmes et quelles modifications l’administration vérifie avant la comptabilisation. Chaque modification reçoit la date et le nom de la personne qui l’a saisie.

L’administration confirme la reprise de la modification. La mise à jour est ainsi achevée et pas seulement signalée.

Lieu de stockage et accès : une décision aux conséquences importantes

L’emplacement physique des données clients, d’offre et de vente n’est pas une note technique accessoire, mais une décision ayant des conséquences juridiques, économiques et liées à la confiance. Il convient de clarifier dans quel centre de calcul les données se trouvent, sous quel ordre juridique elles sont traitées et qui, en cas de doute, peut exiger l’accès.

Si les données d’un bureau fiduciaire à Zurich sont hébergées sur des serveurs en Suisse, la loi suisse révisée sur la protection des données s’applique clairement. Si ces mêmes données se trouvent chez un prestataire dont le siège est hors d’Europe, des lois étrangères peuvent entrer en jeu, autorisant un accès administratif sans que l’entreprise concernée n’en soit informée.

Le stockage des données en Suisse présente quatre avantages concrets. Premièrement, il simplifie la preuve de conformité à la loi révisée sur la protection des données, qui doit de toute façon être respectée. Deuxièmement, la problématique des pays tiers est évitée – un transfert de données vers l’étranger devrait être justifié et sécurisé.

Troisièmement, l’accès administratif reste réglementé et suit le droit suisse plutôt que les pouvoirs des autorités étrangères. Quatrièmement, la phrase « Vos données restent en Suisse » convainc souvent davantage un nouveau client que n’importe quelle spécification technique. En cas de lieux de stockage dispersés, chaque demande de renseignement doit à l’inverse être reconstituée pièce par pièce.

L’impact au quotidien est illustré par l’exemple d’un petit cabinet de recrutement : il traite des données personnelles particulièrement sensibles telles que les curricula vitae, les prétentions salariales et le déroulement des candidatures. Lors d’une demande relative à la protection des données, il doit être en mesure de prouver où se trouvent ces données et qui y a accès.

Si le prestataire stocke exclusivement en Suisse, la réponse est claire et vérifiable en deux phrases. La même logique s’applique à un bureau fiduciaire avec les données de ses mandants : le lieu de stockage contribue à déterminer la crédibilité de l’entreprise vis-à-vis de ses clients.

Pour la chaîne de transmission, cela signifie : pour chaque document enregistré, on sait sous quel ordre juridique il se trouve et qui y a accès. Celui qui gère les offres et les versions de contrats dans un CRM décide, par le lieu de stockage, également de cette traçabilité.

Avantages du stockage des données en Suisse pour les PME

Règles pour l’échange continu

La transmission entre les ventes et l’administration est soumise aux dispositions générales de la loi sur la protection des données. Il convient de clarifier quelles données personnelles sont traitées dans l’entreprise, à quelle fin et qui y a accès.

La décision de la conférence allemande des responsables de la protection des données du 11 septembre 2024 concerne la transmission de données personnelles à un acquéreur dans le cadre d’un asset deal et s’appuie sur le RGPD. Elle ne constitue pas une base pour l’échange purement interne entre départements. Les règles internes doivent donc être déduites de la finalité propre du traitement et du type de données concerné.

Pour l’échange interne, une question simple suffit : quelle finalité justifie que précisément ces données soient transmises à précisément cet endroit ? Celui qui consigne la réponse dans le système – type de données, finalité, base et droit d’accès – pourra la prouver ultérieurement. Celui qui s’en remet à l’habitude (« nous avons toujours fait comme ça ») ne pourra citer aucune base en cas de litige.

L’application doit être prise au sérieux. La loi sur la protection des données contient des mécanismes de renforcement développés : le Préposé fédéral à la protection des données et à la transparence (PFPDT) peut mener des enquêtes d’office et émettre des décisions contraignantes (art. 49 ss. nLPD).

Des amendes allant jusqu’à 250'000 francs ainsi qu’une inscription au casier judiciaire sont prévues en cas de violation de certaines règles. La sanction ne vise pas principalement l’entreprise, mais la personne physique responsable (art. 60 ss. nLPD).

Pour de nombreuses entreprises, le risque de titres négatifs dans les médias (sociaux) avec la perte de réputation correspondante sera au premier plan. L’objectif est donc une pratique vérifiable et documentée : bases consignées par type de données et finalité de traitement, consentements compréhensibles, droits d’accès clairs.

Pour chaque point de transmission, quatre indications sont donc consignées : type de données, finalité, base et droit d’accès. Elles s’appliquent par point et non pas seulement pour l’ensemble de la base de données clients.

Là où circulent des données personnelles particulièrement sensibles – par exemple les curricula vitae, les prétentions salariales et le déroulement des candidatures –, la base doit être vérifiée avant la transmission. Si elle fait défaut, la transmission n’a pas lieu.

Cas particulier de la transmission : vente d’entreprise, succession, management buy-out

Lors de la vente d’une entreprise, les données de vente et de mandants quittent l’entreprise – l’interface interne devient une interface externe. Deux formes de transaction sont à distinguer : dans le share deal, des parts sont transférées ; le transfert de données est alors peu problématique, sous réserve de la due diligence.

Dans l’asset deal, des actifs individuels sont cédés, parmi lesquels peuvent figurer des données sur les clients, les fournisseurs ou les employés. Pour ce cas, la décision de la conférence allemande des responsables de la protection des données du 11 septembre 2024 précise que la transmission de données personnelles au moment des négociations contractuelles est fondamentalement interdite – sauf consentement valable et notamment volontaire, ainsi qu’intérêt légitime dans un cas concret.

Lors de l’examen de l’intérêt légitime, il faut différencier selon les groupes de personnes. Un tel intérêt est notamment envisageable pour les principaux partenaires contractuels ou les collaborateurs occupant des fonctions de direction. Pour les données clients, c’est le stade qui décide – approche concrète de contrat, relation contractuelle en cours ou relation terminée avec obligation légale d’archivage.

En pratique, cela signifie : avant l’ouverture d’une data room, il faut définir quels types de données doivent y figurer. Pour les autres, il faut opter pour la voie du consentement ou d’une pondération des intérêts documentée.

L’importance des questions de données dans la transmission dépend de la variante de succession. La succession familiale reste, selon le portail PME du SECO en Suisse, la forme la plus fréquente de reprise d’entreprise, mais elle est nettement en recul.

Dans le management buy-out (MBO), la direction existante reprend l’entreprise. Comme les asymétries d’information sont moindres, la transaction est juridiquement plus simple. Les conflits de rôles potentiels ne sont pas à sous-estimer lorsque d’anciens collaborateurs apparaissent soudainement comme acheteurs.

Dans le management buy-in (MBI), contrairement au MBO, potentiellement plus de frictions avec les collaborateurs, les fournisseurs ou les clients peuvent survenir. La familiarité dans le premier cas et les conflits de rôles ou d’intérêts dans le second déterminent, entre autres, qui peut consulter quelles données clients et quand.

Les questions de données font partie intégrante de la planification de la succession, et non de la phase chaude des négociations. Une planification détaillée de la succession est dans tous les cas requise. Une succession réussie est le résultat de longues réflexions, dans lesquelles autant d’options différentes que possible ont été incluses.

Celui qui définit tôt quelles données sont montrées dans la data room, quels clients sont informés au préalable et quels accès sont journalisés, empêche que la transmission échoue à l’interface entre les chiffres et les données personnelles.

Avant chaque data room se trouve la chaîne de transmission interne. Le protocole de transmission doit indiquer qui a consulté et transmis quelles données clients et quand.

Protocole de transmission et responsabilités comme instrument de direction

Une interface régulée repose sur quelques éléments concrets. Parmi eux figurent des responsabilités consignées par écrit pour chaque point de transmission : qui transmet, qui reprend, jusqu’à quand.

S’y ajoute un contenu minimal défini par transmission : quels champs et documents doivent être présents avant de poursuivre le travail.

Le contenu minimal d’un point de transmission résulte des types de données qui y circulent : données clients et de contact, données d’offre et contractuelles, prix, durées et remises. Pour les données personnelles, la base du traitement en fait partie.

S’y ajoute une documentation de ces processus dans le cadre du système de contrôle interne. S’y ajoute également une responsabilité nommée pour les questions juridiques et pour l’entretien de la base de données clients.

Les deux derniers points sont des tâches autonomes. La gestion interne et externe des questions juridiques et le système de contrôle interne sont considérés dans la littérature sur les PME comme des thèmes de direction propres. Tous deux aboutissent à la même exigence : des enregistrements compréhensibles.

Afin que la réglementation ne s’effondre pas dès le premier changement de personnel, elle doit être vérifiable. Le protocole de transmission consigne quels champs ont été transmis, qui a signé et quand le contrôle a eu lieu. En cas de nouveau pourvoi, il permet de montrer comment le processus fonctionne, au lieu de devoir le réinventer.

Le protocole de transmission consigne pour chaque point quatre indications : type de données, destinataire, moment et personne contrôlante. La date et la signature clôturent la procédure.

Chaque moment constitue un délai. Il est fixé de telle sorte que la facturation, le service des relances et l’archivage puissent se poursuivre sans demande complémentaire.

Une personne responsable ainsi qu’un suppléant sont nommés pour chaque point de transmission. En cas de changement d’affectation, la responsabilité est transférée par écrit et mentionnée dans le protocole.

Les preuves agissent également vers l’extérieur. Le droit d’information de la personne concernée (art. 25 nLPD) exige que l’entreprise puisse fournir des renseignements ; le protocole de transmission en fournit la base.

Un intervalle de contrôle fixe maintient la réglementation à jour. Il vérifie si les bases enregistrées correspondent encore au stade réel des relations clients et si de nouveaux types de données sont apparus.