Le tableau trimestriel affiche 97 % de ponctualité et 4,7 sur 5 de satisfaction. Pourtant, trois voyageurs signalent des chauffeurs remplacés au dernier moment, la comptabilité trouve des suppléments inexpliqués et personne ne sait si les documents étaient valides à la date des courses. L'audit annuel doit relier ces signaux à des preuves, pas produire une moyenne de plus.
La méthode consiste à figer le périmètre, constituer un échantillon reproductible, rapprocher commande, exécution et facture, vérifier les documents à la bonne date, puis traiter tous les incidents graves. Elle doit aussi respecter les rôles contractuels et la protection des données : auditer ne signifie pas aspirer l'historique complet des voyageurs.
Définir qui audite qui
Le mot « fournisseur » peut désigner un exploitant VTC, une centrale de réservation, une plateforme de mise en relation ou une chaîne de sous-traitants. Commencez par cartographier :
- l'entité qui a signé le contrat avec l'acheteur ;
- celle qui confirme et facture les courses ;
- celle qui affecte le conducteur et le véhicule ;
- l'exploitant inscrit au REVTC ;
- les éventuels partenaires ou sous-traitants ;
- les acteurs qui décident des finalités et moyens de traitement des données.
Ces rôles déterminent les obligations. Une centrale de réservation est responsable de plein droit envers le client de la bonne exécution des obligations du contrat de transport, sous les exceptions prévues par le code. Un professionnel de mise en relation électronique doit, dans le champ du texte, s'assurer de la présence de documents précis concernant conducteur, véhicule et entreprise. Un acheteur final qui réserve directement n'endosse pas automatiquement toutes les obligations d'une plateforme : il contrôle d'abord ce que la loi et le contrat lui attribuent.
Figer quatre questions d'audit
- Service : la course commandée a-t-elle été exécutée selon les engagements ?
- Facturation : les quantités, prix, suppléments, annulations et avoirs sont-ils rapprochables ?
- Conformité : les entités, conducteurs, véhicules et assurances contrôlés satisfaisaient-ils les exigences applicables à la date utile ?
- Maîtrise : les incidents, données et sous-traitants ont-ils été gérés selon le contrat ?
Associez à chaque question un critère, une source, un seuil et un décideur. Le cahier des charges VTC doit fournir le référentiel ; l'audit ne doit pas inventer après coup une obligation qui n'existait pas.
Constituer une population complète avant l'échantillon
Demandez une extraction limitée aux champs nécessaires : identifiant de course, dates de commande et de prise en charge, zone ou catégorie de trajet, catégorie de véhicule, identifiant interne du conducteur, statut, prix contractuel, suppléments, incident et avoir. Les noms, numéros privés, adresses exactes et commentaires libres ne sont pas nécessaires au premier niveau.
Contrôlez la complétude de la population : nombre de lignes, période, fuseau horaire, annulations, doublons et total financier. Rapprochez les totaux de l'extraction avec les relevés contractuels et comptables. Un échantillon parfait tiré d'une population incomplète ne vaut rien.
Utiliser trois sous-échantillons
| Sous-échantillon | But | Méthode |
|---|---|---|
| Aléatoire | Observer le fonctionnement ordinaire | Tirage reproductible dans la population complète |
| Stratifié | Couvrir les segments significatifs | Répartition par site, horaire, type de course ou fournisseur |
| Ciblé | Examiner les signaux de risque | Incidents, suppléments, retards, annulations, sous-traitance |
Fixez la règle avant d'observer les pièces. Exemple pour 3 800 courses : 40 tirées avec une graine enregistrée, 24 réparties entre nuit, gares, aéroports et régions, puis toutes les courses associées aux incidents majeurs. Ce volume est un choix de pilotage, pas une garantie statistique universelle. Il dépend du risque, de l'hétérogénéité et des écarts antérieurs.
Ne diluez pas les incidents graves dans le taux d'échantillonnage : accident corporel, rupture de prise en charge, atteinte aux données ou doute sur l'autorisation doivent être examinés individuellement.
Rendre le tirage reproductible
Conservez la requête ou la règle d'extraction, la date, le nombre de lignes, les exclusions, la graine aléatoire et les identifiants sélectionnés. N'autorisez pas le fournisseur à choisir seul les dossiers qu'il montrera. Il peut contrôler la population et signaler une erreur avant le tirage.
Documentez séparément les dossiers ciblés : ils ne doivent pas être présentés comme représentatifs de toutes les courses. Le rapport distingue donc taux observé sur le tirage aléatoire, constats par strate et anomalies du lot ciblé.
Rapprocher commande, exécution et facture
| Étape | Preuve attendue | Écart recherché |
|---|---|---|
| Commande | Référence, horaire, service et prix ou règle de prix | Demande absente ou modifiée sans trace |
| Confirmation | Acceptation, conditions et information utile | Promesse différente du contrat |
| Affectation | Exploitant, conducteur et véhicule par identifiants | Substitution non encadrée |
| Exécution | Horodatages définis et statut final | Retard, absence ou temps incohérent |
| Facture | Prix, supplément, taxe, avoir | Montant sans fait générateur |
Appliquez la définition convenue du départ et de l'arrivée. Le guide sur le SLA de ponctualité VTC évite de comparer une heure GPS, une arrivée en zone et une présentation au voyageur comme s'il s'agissait du même événement.
Contrôler les documents à la date de la course
Une attestation valide le jour de l'audit ne prouve pas sa validité six mois plus tôt. Pour les dossiers contrôlés, constituez une matrice : document, titulaire, véhicule ou conducteur, début, fin, date de course, source et résultat.
Dans le champ de la mise en relation électronique, l'article L. 3141-2 vise le permis requis, l'assurance du véhicule, l'assurance de responsabilité civile nécessaire, la carte professionnelle le cas échéant, la responsabilité civile professionnelle de l'entreprise, l'inscription pertinente et les conditions techniques et de confort du véhicule VTC.
La recherche publique du REVTC permet de contrôler l'inscription d'un exploitant. Elle ne remplace pas tous les autres documents et ne démontre pas, seule, l'affectation réelle d'un conducteur ou d'un véhicule à une course.
Ne pas réduire la vigilance sociale à l'audit annuel
Pour un contrat de prestation ou de transport d'un montant global au moins égal à 5 000 euros hors taxes, la fiche officielle sur l'attestation de vigilance prévoit une demande à la conclusion, puis un renouvellement tous les six mois pendant l'exécution. Plusieurs factures inférieures au seuil ne permettent pas d'ignorer le montant global du contrat.
L'audit annuel vérifie que ce cycle a été tenu ; il ne remplace pas la périodicité semestrielle. Conservez le document et vérifiez son code d'authentification dans le service officiel. Traitez l'absence ou l'invalidité selon les obligations applicables et avec le service juridique.
Examiner la chaîne de sous-traitance
Pour chaque course de l'échantillon, comparez le titulaire contractuel, l'exploitant réel et l'entité qui facture. Demandez :
- si la sous-traitance était autorisée et signalée ;
- quels contrôles précédaient l'affectation ;
- qui conservait les preuves à la date de course ;
- qui répondait au voyageur et à l'acheteur ;
- comment un partenaire était suspendu après un écart ;
- quelles données lui étaient transmises.
Un tableau de partenaires ne suffit pas. Demandez la preuve d'un contrôle réel sur quelques affectations et reliez-la aux clauses. Pour un marché réparti entre plusieurs opérateurs, utilisez le cadre du marché VTC multi-attributaire.
Auditer les incidents sur une chronologie commune
Chaque incident doit être reconstitué avec les mêmes jalons : détection, qualification, alerte, prise en charge, information du voyageur, solution de continuité, clôture et action préventive. Mesurez le délai entre les jalons à partir d'horodatages comparables.
Vérifiez aussi les incidents absents du registre du fournisseur : réclamations reçues directement par l'acheteur, avoirs inhabituels, courses annulées après affectation et appels d'urgence. L'absence d'incident déclaré n'est pas une preuve d'absence d'incident.
Un incident grave n'est pas clôturé par « rappel fait au chauffeur ». Exigez une cause, une mesure, un responsable, une date et une vérification d'efficacité.
Limiter les données de voyageurs et de conducteurs
Utilisez d'abord des identifiants internes et des zones larges. Ne demandez les noms, coordonnées ou adresses exactes que lorsqu'un cas ne peut pas être établi autrement. Limitez les commentaires libres, qui contiennent souvent des informations non nécessaires.
Si le fournisseur traite des données pour le compte de l'acheteur, le contrat doit traduire les exigences de l'article 28 du RGPD. La CNIL recommande de connaître les mesures de sécurité, d'encadrer les sous-traitants ultérieurs, les incidents et la restitution ou suppression des données, et de prévoir les informations nécessaires à l'audit. La qualification dépend toutefois des faits : fournisseur et acheteur peuvent aussi déterminer séparément certaines finalités.
Le dossier d'audit précise les habilitations, le canal de transfert, la durée de conservation et la date de suppression des copies de travail. Un fichier envoyé par courriel à dix personnes n'est pas une méthode d'audit.
Organiser un contradictoire traçable
Adressez au fournisseur une fiche par écart : critère, fait, preuve, niveau provisoire et question. Donnez-lui une date de réponse et acceptez une pièce contradictoire. Puis consignez la conclusion : confirmé, corrigé, justifié ou non démontré.
Le fournisseur peut expliquer les faits ; il ne choisit pas le niveau final ni ne réécrit la conclusion. Inversement, l'acheteur ne transforme pas une impression en non-conformité sans la rattacher au contrat ou à une exigence applicable.
Classer les écarts avant de calculer un score
| Niveau | Exemple | Réponse |
|---|---|---|
| Critique | Course réalisée malgré une condition essentielle absente ou incident majeur non traité | Mesure conservatoire et décision immédiate |
| Majeur | Écart répété de facturation, de ponctualité ou de contrôle | Plan court et contre-vérification |
| Mineur | Trace incomplète sans effet démontré sur la prestation | Correction datée |
| Observation | Amélioration possible sans non-conformité | Arbitrage au comité fournisseur |
Une moyenne ne doit jamais masquer un écart critique. Définissez les règles de score avant l'audit et publiez à côté le nombre de dossiers non testables faute de preuve.
Transformer le rapport en décisions
Le rapport final tient sur quatre niveaux : synthèse, périmètre et méthode, fiches d'écart, annexes probantes. Chaque action contient un propriétaire, une échéance, une preuve attendue et une date de contre-vérification.
- J+5 : valider les mesures conservatoires et les erreurs de population ;
- J+15 : recevoir les corrections documentaires et financières ;
- J+30 : tester les actions opérationnelles sur un nouvel échantillon ;
- J+60 : décider maintien, plan renforcé, réduction de périmètre ou suite contractuelle.
La décision doit tenir compte de la gravité, de la fréquence, de la qualité des preuves et de la capacité de correction. Un bon score global ne neutralise pas une anomalie critique ; une anomalie isolée correctement maîtrisée ne justifie pas automatiquement une rupture.
Checklist avant clôture
- rôles contractuels et réglementaires cartographiés ;
- population rapprochée avec les totaux financiers ;
- tirage aléatoire reproductible et lots ciblés séparés ;
- commande, exécution et facture rapprochées ;
- documents vérifiés à la date des courses ;
- cycle semestriel de vigilance vérifié si applicable ;
- chaîne de sous-traitance testée sur des affectations réelles ;
- incidents graves examinés individuellement ;
- données minimisées, habilitations et suppression tracées ;
- contradictoire clos et actions assorties de preuves.
Sources officielles
- Légifrance : documents contrôlés par les professionnels de mise en relation
- Légifrance : responsabilité de la centrale de réservation envers le client
- Service Public Entreprendre : attestation de vigilance et périodicité
- REVTC : recherche publique d'un exploitant
- CNIL : encadrer la sécurité avec un sous-traitant
- CNIL : identifier responsable de traitement et sous-traitant
- Service Public Entreprendre : règles applicables à l'activité VTC
Sources consultées le 6 septembre 2026. Adaptez le plan de contrôle au contrat, au rôle réel de l'acheteur et au niveau de risque. Les obligations d'une centrale ou d'une plateforme ne doivent pas être attribuées automatiquement à tout client professionnel.