Les risques cachés des fichiers Excel partagés

Un logiciel qui plante prévient. Un tableur erroné, non : il affiche un nombre, bien aligné, correctement formaté, et personne ne remarque qu'il est faux. C'est ce qui rend le risque difficile à prendre au sérieux tant qu'un incident n'est pas survenu.

Le risque d'erreur silencieuse

La recherche universitaire sur les tableurs d'entreprise converge depuis les années 1990 : une très large majorité des feuilles de calcul complexes auditées contiennent au moins une erreur matérielle. Les cas devenus célèbres — erreurs de consolidation chiffrées en centaines de millions, études économiques invalidées par une plage de cellules mal étendue — concernaient des organisations dotées de contrôles sérieux.

Les mécanismes sont toujours les mêmes :

• une formule recopiée sur une plage qui ne suit pas l'ajout de lignes ;
• un tri appliqué à une colonne sans entraîner les colonnes voisines ;
• un copier-coller qui écrase une formule par une valeur figée ;
• des nombres stockés en texte, ignorés silencieusement par les sommes ;
• des arrondis successifs qui creusent un écart invisible ligne à ligne.

Aucun de ces cas ne déclenche d'alerte. Une application métier, elle, refuse une saisie incohérente au moment où elle se produit.

L'absence de traçabilité exploitable

Les outils collaboratifs modernes conservent un historique, mais il est conçu pour restaurer une version, pas pour répondre à la question utile : « qui a changé ce montant, quand, et pourquoi ? »

Sur un processus qui engage l'entreprise — facturation, commissions, remises, contrats — cette absence devient un problème dès le premier désaccord. Vous ne pouvez ni démontrer ni infirmer quoi que ce soit.

Des droits d'accès grossiers

Un fichier se partage en lecture ou en écriture. Il ne sait pas dire « ce commercial ne voit que son secteur », ni « seul le directeur peut modifier la colonne des marges ».

Résultat : soit l'accès est trop large — chacun voit les salaires, les marges, les conditions de tous les clients — soit il est trop restreint, et le fichier est dupliqué, ce qui ramène le problème de versions.

Données personnelles et RGPD

Dès qu'un tableur contient des noms, coordonnées, données RH ou informations clients, il entre dans le champ du RGPD. Les obligations sont alors difficiles à tenir avec un fichier :

• Minimisation et durée de conservation. Un tableur ne purge rien. Les données de 2019 sont toujours là.
• Droit d'accès et d'effacement. Retrouver toutes les occurrences d'une personne dans douze fichiers relève de l'archéologie.
• Traçabilité des accès. Vous ne savez pas qui a ouvert le fichier, ni qui en a fait une copie locale.
• Transferts non maîtrisés. Un fichier envoyé par email ou déposé sur un espace personnel échappe complètement à votre politique.

Ces éléments sont des repères généraux et ne constituent pas un conseil juridique. Pour un traitement sensible, faites valider votre dispositif par un juriste ou un délégué à la protection des données.

Sauvegarde et continuité

Le fichier est-il sauvegardé ailleurs que sur le poste qui le porte ? Depuis combien de temps la restauration n'a-t-elle pas été testée ? Une sauvegarde jamais restaurée n'est pas une sauvegarde, c'est une hypothèse.

S'y ajoute la dépendance à une personne : quand un seul collaborateur maîtrise le fichier, son absence suffit à interrompre le processus. Voir 7 signaux que votre tableur a atteint ses limites.

Réduire le risque sans tout changer

Si une bascule n'est pas à l'ordre du jour, ces mesures diminuent réellement l'exposition :

• un fichier unique hébergé sur un espace d'entreprise, jamais en pièce jointe ;
• une feuille de saisie séparée des feuilles de calcul, et les formules protégées ;
• des validations de données sur les colonnes critiques : listes fermées, plages autorisées, formats imposés ;
• une relecture croisée des totaux par une seconde personne, à échéance fixe ;
• une purge documentée des données personnelles anciennes ;
• un test de restauration de la sauvegarde, au moins une fois par an.

Ces mesures coûtent une demi-journée. Elles ne remplacent pas une application quand le processus est devenu critique, mais elles réduisent immédiatement les risques les plus probables.