Master File, CbCR, DAC6 : le consultant transfer pricing face au risque de fuite de données

Un consultant transfer pricing ne manipule pas des données comme les autres. Sur votre disque, dans votre messagerie, sur vos espaces de partage, se concentre ce qu'un groupe possède de plus stratégique :

• Le Master File : la cartographie complète de la chaîne de valeur, des incorporels et de la politique de prix de transfert du groupe au niveau mondial.
• Les Local Files : le détail des transactions intra-groupe entité par entité, avec marges et bases imposables.
• Le reporting pays par pays (CbCR) : le chiffre d'affaires, le bénéfice et l'impôt acquitté juridiction par juridiction.
• Les benchmarks et analyses fonctionnelles, qui révèlent où le groupe loge sa rentabilité.

Réunies, ces données dessinent l'architecture fiscale et stratégique d'une multinationale. Entre de mauvaises mains — concurrent, administration étrangère, attaquant cherchant à monnayer — leur valeur est considérable. C'est ce qui fait du consultant transfer pricing une cible et un point de fragilité du dispositif de sécurité du groupe.

Cette concentration crée un paradoxe de sécurité rarement anticipé. Le groupe lui-même protège ces données derrière une infrastructure lourde : segmentation réseau, contrôle d'accès, surveillance. Mais dès que les fichiers sortent pour atterrir sur le poste d'un consultant indépendant ou d'un petit cabinet, ils quittent ce périmètre blindé pour un environnement souvent bien moins fortifié. Le maillon faible de la sécurité d'une multinationale, ce n'est presque jamais la multinationale — c'est son prestataire. Et en matière de transfer pricing, ce prestataire, c'est vous.

La confidentialité n'est pas une politesse, c'est le socle de votre mission. Elle se décline sur plusieurs plans :

• Contractuel : les lettres de mission et accords de non-divulgation (NDA) signés avec les groupes prévoient des engagements stricts, souvent assortis de clauses pénales en cas de manquement.
• Réglementaire : dès lors que les fichiers contiennent des données personnelles (dirigeants, salariés transférés, bénéficiaires effectifs), le RGPD s'applique, avec obligation de sécurité et de notification en cas de violation.
• Concurrentiel : une fuite de marges par pays peut constituer une divulgation de secret des affaires, dont la responsabilité peut remonter jusqu'à vous.

La divulgation involontaire de données financières sensibles à un tiers ou à une administration figure d'ailleurs explicitement parmi les risques majeurs identifiés du métier. Ce n'est pas un risque théorique : c'est un sinistre déjà cartographié.

Et la fuite ne suppose pas toujours une cyberattaque sophistiquée. Les violations les plus fréquentes sont d'une banalité déconcertante : un Local File envoyé au mauvais destinataire par autocomplétion de l'adresse e-mail, un fichier déposé sur un espace de partage mal configuré et indexé par un moteur de recherche, un ordinateur portable contenant des Master Files non chiffrés oublié dans un train. Chacun de ces incidents engage votre responsabilité avec la même force qu'une intrusion, parce que c'est l'obligation de sécurité qui est en jeu, pas la nature de la défaillance.

La clause pénale prévue dans les NDA aggrave encore l'enjeu : contrairement à la responsabilité de droit commun où le client doit prouver son préjudice, la clause pénale fixe à l'avance une somme due en cas de manquement, parfois indépendamment du dommage réellement subi. Vous pouvez ainsi devoir indemniser une fuite même lorsque la donnée divulguée n'a finalement causé aucun préjudice démontrable.

La directive DAC6 impose la déclaration des dispositifs transfrontaliers présentant certains marqueurs d'optimisation fiscale. Pour le consultant transfer pricing, elle crée une double exposition :

1. Le risque de manquement déclaratif : si vous êtes qualifié d'intermédiaire au sens de la directive, l'absence de déclaration d'un dispositif éligible vous expose à des sanctions et engage votre responsabilité vis-à-vis du client.
2. Le risque de fuite par la transmission elle-même : ces déclarations transitent par des canaux qui doivent être sécurisés. Une transmission mal protégée multiplie les surfaces d'exposition des données du groupe.

Autrement dit, la réglementation vous oblige à faire circuler de l'information sensible — et c'est précisément dans cette circulation que naît une part du risque de fuite.

La menace a changé de nature. Le rançongiciel classique se contentait de chiffrer vos fichiers pour exiger une rançon contre la clé de déchiffrement — un problème de disponibilité, grave mais circonscrit. Les attaques actuelles pratiquent la double extorsion : avant de chiffrer, l'attaquant exfiltre vos données, puis menace de les publier ou de les revendre si vous ne payez pas.

Pour un consultant transfer pricing, ce scénario est dévastateur. L'attaquant ne détient pas seulement vos fichiers : il détient la cartographie fiscale de plusieurs groupes, qu'il peut monnayer auprès de concurrents, de courtiers en données ou d'administrations étrangères. Payer la rançon ne garantit rien — les données ont déjà été copiées. Ne pas payer expose vos clients à une divulgation aux conséquences incalculables.

Dans les deux cas, votre responsabilité est engagée vis-à-vis de chaque groupe dont les données ont fuité par votre intermédiaire, en plus de vos obligations de notification RGPD si des données personnelles sont concernées. Un seul incident peut ainsi générer autant de mises en cause que vous avez de clients dans la base compromise. C'est cette démultiplication qui rend le risque cyber, pour ce métier, potentiellement plus lourd encore que le risque de faute de conseil.

C'est un point que beaucoup de consultants confondent. La RC Pro couvre les conséquences de votre faute professionnelle : un conseil erroné, une documentation défaillante, une méthode contestée. Elle répond très bien au scénario du redressement.

Mais le risque de fuite de données relève d'une logique différente :

• Une intrusion informatique ou un rançongiciel qui exfiltre vos fichiers clients ;
• Le coût de notification aux personnes et autorités en cas de violation RGPD ;
• Les frais de gestion de crise, d'expertise forensique et de restauration des systèmes ;
• La responsabilité envers le client dont les données stratégiques ont fuité par votre intermédiaire.

Une faute de conseil et une cyberattaque ne mobilisent pas les mêmes garanties. Le consultant transfer pricing a besoin des deux, articulées entre elles.

C'est tout l'objet d'une assurance cyber : elle prend le relais là où la RC Pro s'arrête, sur le terrain de l'intégrité et de la confidentialité de vos données.

Au-delà de l'assurance, votre niveau de diligence en matière de sécurité fait partie de ce qu'on attend de vous. Quelques pratiques structurantes :

• Chiffrement des fichiers Master File et Local Files au repos et en transit.
• Canaux de transmission sécurisés pour les échanges avec le groupe et l'administration, jamais en pièce jointe non protégée.
• Cloisonnement par client et purge des données en fin de mission, conformément aux NDA.
• Sauvegardes isolées pour résister à un rançongiciel sans payer.
• Plan de réponse à incident testé, pour réagir vite en cas de violation et limiter le préjudice.

Ces mesures réduisent la probabilité du sinistre et, en cas de fuite, démontrent votre diligence — un élément décisif quand votre responsabilité est en jeu. Pour situer ces enjeux dans le cadre global de votre activité, consultez la page consultant transfer pricing.