Les agences qui vendent la création de société à Dubaï aux consultants en cybersécurité parisiens tiennent toutes le même discours : facturez vos audits, vos tests d’intrusion et vos missions de réponse à incident depuis une free zone des Émirats, payez l’impôt sur les sociétés au taux émirati, et continuez à travailler depuis Paris, à vous déplacer chez vos clients en Île-de-France et à piloter vos outils depuis votre domicile. Le montage paraît simple sur le papier, avec une licence émiratie, un compte bancaire à Dubaï et des distributions régulières vers un compte personnel. En pratique, ce montage cumule des risques que les publicités n’évoquent jamais : l’article 155 A du code général des impôts permet d’imposer en France, au nom du consultant lui-même, les sommes encaissées par la société émiratie en rémunération d’audits et de pentests réalisés depuis Paris ; la société reste elle-même imposable en France dès lors que son siège de direction effective s’y trouve, en application de l’article 209 du code général des impôts ; et les prestations fournies à des clients français déclenchent des obligations françaises de TVA, tandis que la détention de la société émiratie expose le consultant à l’article 123 bis du code général des impôts. Cet article décrit chacun de ces risques avec les textes en vigueur et la jurisprudence applicable, puis la méthode pour contester un redressement notifié à Paris ou en Île-de-France. La présentation générale de ces montages transfrontaliers est détaillée dans notre analyse d’ensemble de la facturation depuis une société étrangère en restant en France.
I. Pourquoi vos audits et pentests parisiens restent imposables en France malgré la société de Dubaï
A. Comment l’article 155 A taxe-t-il à Paris les missions cyber facturées depuis Dubaï ?
L’article 155 A du code général des impôts dispose que les sommes perçues par une personne domiciliée ou établie hors de France en rémunération de services rendus par une ou plusieurs personnes domiciliées ou établies en France sont imposables au nom de ces dernières, soit lorsque celles-ci contrôlent directement ou indirectement la personne qui perçoit la rémunération, soit lorsqu’elles ne démontrent pas que cette personne exerce, de manière prépondérante, une activité industrielle ou commerciale autre que la prestation donnant lieu au paiement, soit, en tout état de cause, lorsque la personne qui perçoit la rémunération est établie dans un État où elle est soumise à un régime fiscal privilégié au sens de l’article 238 A du code général des impôts. Pour le consultant en cybersécurité qui réside à Paris, détient seul ou presque seul la société de Dubaï et réalise lui-même les audits, les tests d’intrusion, les revues de code, les missions de réponse à incident et les accompagnements à la certification, les trois branches du texte trouvent à s’appliquer de façon cumulative : le contrôle capitalistique de la société émiratie résulte de sa qualité d’associé unique ou majoritaire ; la société émiratie n’exerce aucune activité prépondérante distincte des missions du consultant, puisqu’elle n’a ni équipe technique propre à Dubaï, ni plateforme d’audit autonome, ni clientèle locale qui absorberait l’essentiel de son chiffre d’affaires ; et les Émirats arabes unis ont longtemps figuré parmi les territoires dont le régime fiscal est regardé avec attention au regard des critères de l’article 238 A, même si l’appréciation concrète du caractère privilégié du régime dépend de chaque exercice et du niveau réel d’imposition supporté là-bas.
Le Conseil d’État donne à l’article 155 A une portée redoutable pour les prestataires individuels. Dans sa décision du 12 octobre 2018, rendue à propos de prestations d’assistance technique facturées par une société suisse à une société française dirigée par le même homme, le Conseil d’État juge que les prestations dont la rémunération est susceptible d’être imposée entre les mains de la personne qui les a effectuées «correspondent à un service rendu pour l’essentiel par elle et pour lequel la facturation par une autre personne domiciliée ou établie hors de France» et «ne trouve aucune contrepartie réelle dans une intervention propre de cette dernière permettant de regarder ce service comme ayant été rendu pour son compte» (Conseil d’État, 8e-3e chambres réunies, 12 octobre 2018, n° 414383). Transposée au consultant cyber, cette formule signifie que l’administration n’a pas à démontrer une fraude ou un montage artificiel : il lui suffit d’établir que l’audit du système d’information d’une banque de La Défense, le test d’intrusion du réseau d’un hôpital parisien ou l’investigation après une compromission ont été accomplis, pour l’essentiel, par le consultant lui-même, depuis son domicile parisien, les locaux de ses clients ou une plateforme cloud qu’il administre, et que la société de Dubaï n’a apporté aucune intervention propre — mise à disposition d’une équipe, fourniture d’outils lui appartenant, supervision technique réelle — qui permettrait de regarder la mission comme rendue pour le compte de cette société. Les factures émises depuis Dubaï, le contrat signé avec l’en-tête émirati et les virements reçus sur le compte de la free zone ne changent rien à cette analyse, car le texte impose entre les mains de celui qui a rendu le service, et non entre les mains de celui qui a encaissé le prix.
La jurisprudence postérieure a confirmé cette lecture à l’égard de dirigeants facturant leurs propres prestations par l’intermédiaire d’une société étrangère qu’ils contrôlent. Le 22 mars 2023, le Conseil d’État a rejeté le pourvoi d’un dirigeant domicilié en France, salarié et administrateur d’un holding français, imposé sur le fondement de l’article 155 A à raison de la rémunération versée par ce holding à une société de droit britannique qu’il détenait et présidait (Conseil d’État, 9e-10e chambres réunies, 22 mars 2023, n° 455084). Le 4 novembre 2020, il a pareillement rejeté le pourvoi relatif à un pilote d’hélicoptères rémunéré par une société établie à Jersey, prestataire elle-même d’une société française, en validant la réintégration des sommes dans ses revenus imposables en France (Conseil d’État, 8e-3e chambres réunies, 4 novembre 2020, n° 436367). Pour le consultant en cybersécurité, ces deux arrêts ferment les deux échappatoires les plus souvent invoquées : ni la qualité de dirigeant de la société étrangère, ni l’interposition d’un client français distinct de la société émiratie ne font obstacle à l’imposition au nom du prestataire, dès lors que la mission a été rendue par lui et pour l’essentiel par lui. L’administration parisienne manie ces références avec aisance, et le vérificateur qui constate qu’un consultant domicilié dans le 11e arrondissement a passé deux cent jours par an sur les sites de ses clients franciliens, que ses rapports d’audit portent sa signature et que la société de Dubaï ne compte aucun salarié technique sur place, tient les éléments suffisants pour proposer l’imposition des honoraires entre ses mains, dans la catégorie des bénéfices non commerciaux, avec les majorations pour manquement délibéré et, lorsque les conditions en sont réunies, pour activité occulte.
La charge de la preuve mérite une attention particulière, car elle piège la plupart des consultants redressés. Le Conseil d’État juge que lorsque l’administration apporte des éléments suffisants permettant de penser que la prestation a été rendue, en tout ou partie, en France, il appartient au contribuable d’apporter toutes justifications utiles sur le lieu d’exercice de ses activités professionnelles (Conseil d’État, 12 octobre 2018, n° 414383). Concrètement, le service de vérification de la direction régionale des finances publiques d’Île-de-France commence par rassembler des indices simples : adresse du domicile parisien, badge d’accès chez les clients, journaux de connexion aux outils de supervision, adresses IP françaises, billets de train et notes de frais, correspondances horodatées, témoignages des donneurs d’ordre qui décrivent le consultant comme leur interlocuteur unique. Une fois ce faisceau réuni, la charge bascule, et le consultant doit prouver, pièce par pièce, que telle mission aurait été exécutée depuis Dubaï : billets d’avion et tampons de passeport, baux d’habitation aux Émirats, relevés de présence, journaux de bord des plateformes, attestations des clients décrivant une intervention réalisée à distance depuis les Émirats. Les affirmations générales sur le télétravail international ne suffisent pas, et les factures de coworking à Dubaï sans présence physique démontrée sont écartées. La réserve d’interprétation émise par le Conseil constitutionnel dans sa décision du 26 novembre 2010 n’offre qu’un secours étroit : elle interdit la double imposition française d’une même somme au titre d’un même impôt lorsque la société étrangère reverse au prestataire les sommes déjà imposées, mais elle ne concerne que les impositions françaises et n’efface ni l’impôt émirati déjà payé ni les pénalités (Conseil d’État, 12 octobre 2018, n° 414383). Le consultant qui a payé un impôt sur les sociétés de 9 % à Dubaï ne peut donc pas l’imputer sur l’impôt français réclamé sur le fondement de l’article 155 A, et le coût global du montage dépasse alors celui d’une activité exercée en direct depuis Paris.
B. Quand la société de Dubaï est-elle jugée dirigée depuis Paris et donc résidente fiscale française ?
Parallèlement à l’imposition du consultant sur le fondement de l’article 155 A, l’administration peut soutenir que la société émiratie elle-même est passible de l’impôt sur les sociétés en France, parce qu’elle y est exploitée ou qu’elle y a son siège de direction effective. L’article 209 du code général des impôts prévoit que les bénéfices passibles de l’impôt sur les sociétés sont déterminés en tenant compte uniquement des bénéfices réalisés dans les entreprises exploitées en France, et la jurisprudence analyse comme exploitée en France toute entreprise dont la direction effective s’y trouve, même lorsque le siège statutaire est fixé à l’étranger. Le critère du siège de direction effective repose sur des indices concrets : lieu où se prennent les décisions stratégiques, lieu où réside le dirigeant qui signe les contrats et les devis, lieu où sont tenues la comptabilité et les assemblées, lieu d’où partent les instructions données aux éventuels sous-traitants, adresse mentionnée sur les propositions commerciales et les rapports d’audit. Pour le consultant en cybersécurité resté à Paris, chaque indice pointe vers la France : les offres de mission sont rédigées depuis son appartement parisien, les contrats-cadres avec les directions des systèmes d’information sont négociés autour d’un café à Paris, les rapports de vulnérabilités sont finalisés sur son poste de travail parisien, les décisions de recrutement d’un freelance d’appui ou d’achat d’une licence d’outil de scan sont prises par lui, à Paris, sans réunion d’un conseil d’administration à Dubaï. L’agent de domiciliation émirati qui reçoit le courrier, le comptable local qui enregistre les écritures sur instructions et l’associé prête-nom qui signe sans pouvoir réel ne déplacent pas la direction effective, car l’administration recherche le lieu du pouvoir réel, et non celui des apparences statutaires.
La décision rendue par le Conseil d’État le 15 mars 2023 à propos d’une société holding qui avait transféré son siège social au Luxembourg illustre la méthode du juge : malgré le transfert statutaire régulièrement enregistré en 2005, l’administration avait estimé que l’entreprise avait conservé son siège de direction effective en France à l’issue d’une vérification portant sur les exercices 2006 à 2011, et le litige a porté sur l’imposition en France des dividendes et tantièmes versés par cette société (Conseil d’État, 10e-9e chambres réunies, 15 mars 2023, n° 449723). Si un transfert formel vers un État membre de l’Union européenne, doté d’une convention fiscale ancienne et d’une substance locale au moins apparente, n’a pas suffi à écarter l’analyse française, le dossier d’une société de free zone émiratie sans bureau réel, sans salarié technique et dirigée depuis Paris présente une fragilité supérieure. Le vérificateur parisien demande la production des procès-verbaux de conseil, des billets d’avion du dirigeant, des relevés téléphoniques, des métadonnées des documents contractuels et des journaux d’accès aux locaux émiratis ; l’absence de ces pièces, ou leur caractère manifestement formel, fonde la thèse d’une direction conservée en France. La conséquence est lourde : la société devient redevable de l’impôt sur les sociétés en France sur l’intégralité des bénéfices rattachables à l’exploitation française, avec intérêts de retard et majorations, et le consultant s’expose en outre à une imposition des distributions présumées, car les sommes appréhendées depuis le compte émirati sans décision régulière de distribution sont regardées comme des revenus distribués.
L’établissement stable constitue la seconde voie d’imposition de la société, souvent cumulée avec la première dans les propositions de rectification. Au sens des conventions fiscales comme du droit interne, l’établissement stable désigne une installation fixe d’affaires où l’entreprise exerce tout ou partie de son activité, et le Conseil d’État a admis qu’une activité exercée à partir d’une installation fixe caractérise un tel établissement, y compris lorsque la société étrangère n’a pas immatriculé d’établissement en France (Conseil d’État, 12 octobre 2018, n° 414383). Pour le consultant cyber, le domicile parisien aménagé en bureau, avec double écran, serveurs de test et liaisons sécurisées vers les clients, le poste de travail permanent mis à sa disposition dans les locaux d’un client francilien dans le cadre d’une mission longue, ou l’espace de coworking parisien loué au mois pour recevoir les équipes des clients, peuvent chacun caractériser une installation fixe d’affaires dès lors que l’activité de la société émiratie s’y exerce de façon régulière. La décision du 27 mars 2020 relative à une société suisse de vente en ligne dont l’administration avait démontré l’exercice occulte en France d’une activité, avec perquisitions fiscales et rehaussements d’impôt sur les sociétés et de TVA, rappelle que l’absence d’immatriculation française n’immunise pas la société étrangère et aggrave au contraire le dossier par la caractérisation d’une activité occulte (Conseil d’État, 8e-3e chambres réunies, 27 mars 2020, n° 421627). Le parallèle mérite d’être médité par le consultant qui facture depuis Dubaï sans établissement français déclaré : le jour où l’administration réunit les preuves de l’activité exercée depuis Paris — contrats, rapports, journaux de connexion, présence physique —, elle notifie à la société des suppléments d’impôt sur les sociétés et de TVA au titre d’une activité occulte, avec la majoration de 80 % prévue pour ce cas, et le consultant, dirigeant de fait en France de la société émiratie, peut être recherché en paiement comme solidairement responsable.
La question du domicile fiscal personnel du consultant verrouille le dispositif. L’article 4 B du code général des impôts regarde comme domiciliées en France les personnes qui y ont leur foyer ou leur lieu de séjour principal, celles qui y exercent leur activité professionnelle à titre principal, et celles qui y ont le centre de leurs intérêts économiques. Le consultant qui loge sa famille à Paris, scolarise ses enfants en Île-de-France, conserve ses comptes bancaires français, exerce ses missions auprès de clients français et ne séjourne aux Émirats que quelques semaines par an pour renouveler son visa reste domicilié fiscalement en France au sens de chacun de ces trois critères. Ce domicile français commande l’application de l’article 155 A, prive le montage de tout effet sur l’impôt sur le revenu, et limite l’utilité des stipulations conventionnelles : la convention fiscale franco-émiratie ne fait pas obstacle à l’imposition par la France des prestations rendues sur son territoire, ni à l’imposition des bénéfices d’une entreprise dont la direction effective est située en France. Les agences qui promettent une résidence fiscale émiratie contre un visa et un bail de quelques mois omettent de préciser que la résidence migratoire émiratie et le domicile fiscal français coexistent sans difficulté, et que seule la rupture effective des attaches françaises — départ réel de la famille, transfert du centre des intérêts économiques, exercice effectif et durable de l’activité depuis les Émirats — permettrait de sortir du champ de l’impôt français, au prix d’un départ que le consultant resté à Paris n’a précisément pas accompli.
II. Quelles taxes s’ajoutent et comment contester le redressement à Paris ?
A. Quel risque de TVA, d’article 123 bis et de fiscalité des dividendes pour le consultant cyber ?
La TVA constitue le premier rappel chiffré après l’impôt sur le revenu, et les consultants la sous-estiment parce que leurs factures émiraties ne mentionnent aucune taxe. L’article 256 du code général des impôts soumet à la taxe les prestations de services effectuées à titre onéreux par un assujetti agissant en tant que tel, et l’article 259 du code général des impôts localise en France les prestations fournies à un preneur assujetti établi en France, ainsi que, selon des règles propres, les prestations fournies à des preneurs non assujettis. Pour les audits, pentests et missions de réponse à incident fournis à des sociétés françaises — banques, hôpitaux, éditeurs de logiciels, administrations —, le lieu d’imposition se situe en France, et la taxe est due en France, par le prestataire lorsque celui-ci y est établi ou réputé y disposer d’un établissement stable, ou par le mécanisme de l’autoliquidation par le client dans les cas où le prestataire est regardé comme établi hors de France. Lorsque l’administration retient, comme elle le fait presque systématiquement dans ces dossiers, que la société émiratie est dirigée depuis Paris ou y dispose d’un établissement stable, elle réclame la TVA française sur l’intégralité des honoraires facturés aux clients français, avec intérêts et majorations, et elle écarte l’argument tiré de l’autoliquidation spontanée par quelques clients diligents, car cette autoliquidation partielle ne couvre ni les clients qui ne l’ont pas pratiquée ni les périodes où la société aurait dû être immatriculée en France. Le consultant qui a facturé 250 000 euros hors taxe de missions cyber sans TVA française s’expose ainsi à un rappel de 50 000 euros de TVA par an, avant pénalités, outre la remise en cause de son droit à déduction sur les achats professionnels — licences d’outils de scan, infrastructures cloud, formations certifiantes — qu’une société régulièrement établie en France aurait pu exercer.
L’article 123 bis du code général des impôts ajoute un second étage d’imposition que les agences taisent avec constance. Lorsque le consultant détient directement ou indirectement 10 % au moins des droits d’une entité établie hors de France et soumise à un régime fiscal privilégié, les bénéfices de cette entité sont réputés constituer un revenu de capitaux mobiliers imposable en France entre ses mains, à proportion de ses droits, même en l’absence de distribution. Le consultant parisien associé unique de sa société de free zone, dont les bénéfices faiblement imposés aux Émirats sont conservés sur le compte émirati pour préparer un achat immobilier ou financer des placements, entre dans le champ de ce texte : l’administration peut imposer chaque année, au barème de l’impôt sur le revenu complété des prélèvements sociaux, la quote-part des bénéfices émiratis non distribués, sans attendre leur rapatriement. L’argument selon lequel la société émiratie supporterait un impôt local de 9 % ne suffit pas à écarter le texte dès lors que le régime reste regardé comme privilégié au regard des critères français, et la démonstration contraire suppose une analyse précise, exercice par exercice, du taux effectif et de la base imposable émiratie, pièces comptables certifiées à l’appui. L’articulation avec l’article 155 A doit être surveillée de près : les sommes déjà imposées au nom du consultant sur le fondement de l’article 155 A ne peuvent pas être imposées une seconde fois sur le fondement de l’article 123 bis au titre du même impôt et de la même période, en application de la réserve constitutionnelle rappelée par le Conseil d’État, mais cette protection ne joue que pour les impositions françaises et suppose une comptabilité rigoureuse des redressements successifs, faute de quoi le contribuable paie deux fois avant de devoir réclamer.
La fiscalité des distributions et l’article 209 B du code général des impôts complètent le tableau pour les consultants qui ont interposé une holding ou qui envisagent de faire remonter les bénéfices émiratis vers une société française. Les dividendes versés par la société de Dubaï au consultant personne physique domicilié en France sont imposables en France au prélèvement forfaitaire unique ou, sur option, au barème de l’impôt sur le revenu, avec les prélèvements sociaux, sans crédit d’impôt pour l’impôt émirati acquitté, et les virements réguliers du compte émirati vers le compte personnel français, même qualifiés d’avances ou de remboursements de frais, sont présumés distribués dès lors qu’ils ne s’appuient sur aucune décision sociale régulière ni sur une contrepartie démontrée. Lorsque le consultant détient la société émiratie par l’intermédiaire d’une société française passible de l’impôt sur les sociétés, l’article 209 B permet d’imposer en France les bénéfices de l’entité étrangère faiblement imposée, avec des conditions d’exonération — notamment au regard de l’activité réelle et de la clause de sauvegarde — dont la démonstration incombe à l’entreprise et qui suppose une substance locale que la free zone sans salarié ne procure pas. Enfin, le consultant qui, après quelques années de montage, décide de quitter réellement la France pour s’installer à Dubaï doit anticiper l’exit tax de l’article 167 bis du code général des impôts : le transfert du domicile fiscal hors de France après six années de domiciliation française sur les dix dernières entraîne l’imposition immédiate des plus-values latentes sur les titres détenus, y compris ceux de la société émiratie dont la valeur reflète les bénéfices accumulés, avec un sursis de paiement subordonné à des garanties et à des déclarations annuelles dont l’omission rend l’impôt exigible. Le montage vendu comme une économie d’impôt se révèle alors une machine à créer de la matière imposable à chaque étape : imposition des honoraires sur le fondement de l’article 155 A, imposition des bénéfices conservés sur le fondement de l’article 123 bis, TVA française sur les missions, imposition des distributions, puis exit tax au jour du départ réel.
B. Comment contester le redressement devant le tribunal administratif de Paris : preuves, délais et pièces du dossier cyber ?
La contestation commence dès la proposition de rectification, et les consultants en cybersécurité disposent d’atouts probatoires que les autres prestataires n’ont pas, à condition de les mobiliser dans les délais. Le vérificateur notifie une proposition qui détaille, année par année, les honoraires réintégrés sur le fondement de l’article 155 A, l’impôt sur les sociétés réclamé à la société au titre de la direction effective ou de l’établissement stable, les rappels de TVA et les majorations envisagées ; le contribuable dispose de trente jours pour répondre, délai porté à soixante jours sur demande, et cette réponse conditionne toute la suite, car les arguments et pièces produits à ce stade figurent au dossier que le juge relira. La réponse doit contester point par point la réunion des conditions de l’article 155 A — absence de contrôle effectif, activité prépondérante propre de la société émiratie, régime fiscal local non privilégié — en joignant les pièces qui démontrent une intervention propre de la société : contrats de travail des ingénieurs employés à Dubaï, bulletins de paie émiratis, factures des outils détenus en propre par la société, journaux d’activité des plateformes d’audit hébergées aux Émirats, attestations de clients décrivant des livrables produits par l’équipe émiratie. Pour le consultant qui travaille seul depuis Paris, la voie la plus honnête consiste souvent à reconnaître que l’article 155 A s’applique aux missions qu’il a personnellement accomplies, et à concentrer la défense sur les points chiffrables : lieu exact de réalisation de chaque mission pour écarter les prestations réellement accomplies depuis Dubaï, déduction des charges professionnelles afférentes, exclusion des sommes reversées et déjà imposées en France au titre de la réserve constitutionnelle, calcul exact du taux effectif d’imposition émirati pour discuter le caractère privilégié du régime, et substitution de la majoration pour manquement délibéré par les intérêts de retard lorsque la bonne foi est démontrable.
Les traces techniques propres aux métiers cyber forment un dossier probatoire d’une richesse inhabituelle, dans un sens comme dans l’autre, et le consultant avisé les exploite avant que l’administration ne les retourne contre lui. Les rapports d’audit et de test d’intrusion comportent des horodatages, des adresses IP sources, des identifiants d’outils et des journaux de scan qui établissent avec précision le lieu et les conditions de chaque intervention ; les tickets des plateformes de gestion d’incidents, les journaux de connexion aux consoles de supervision des clients, les enregistrements des sessions d’accès distant et les métadonnées des livrables permettent de reconstituer, mission par mission, la part accomplie depuis Paris, depuis les locaux des clients franciliens et, le cas échéant, depuis Dubaï. Le consultant qui a réellement passé trois semaines aux Émirats pour auditer à distance un client français prouve ce séjour par les billets, les relevés de géolocalisation des connexions et les attestations du client, et il peut obtenir la décharge partielle correspondant aux prestations rendues hors de France, car l’article 155 A dans sa branche applicable aux prestations rendues en France n’atteint que les services rendus sur le territoire national. À l’inverse, le consultant qui affirme une présence émiratie que les journaux techniques démentent — connexions quotidiennes depuis une adresse parisienne pendant les semaines prétendument passées à Dubaï — perd toute crédibilité pour l’ensemble du dossier, et le juge retient alors l’intégralité des réintégrations. La qualification de prestataire d’audit de la sécurité des systèmes d’information délivrée par l’Agence nationale de la sécurité des systèmes d’information, l’assurance de responsabilité civile professionnelle couvrant les activités d’audit et de test d’intrusion, les certifications personnelles du consultant et les autorisations formelles d’intervention signées par chaque client avant tout test complètent utilement le dossier : elles démontrent une activité régulière et assurée en France, ce qui conforte la régularité professionnelle du consultant tout en assumant que cette activité relève de l’impôt français, position cohérente qui permet de discuter les pénalités plutôt que le principe.
La procédure de recours obéit à un calendrier strict que le ressort parisien rend prévisible. Après la réponse à la proposition de rectification, le contribuable peut saisir le supérieur hiérarchique du vérificateur puis l’interlocuteur départemental, recours gracieux qui suspend rarement le recouvrement mais permet parfois d’obtenir l’abandon des majorations les plus lourdes lorsque la défense est étayée par des pièces précises. L’avis de mise en recouvrement ouvre le délai de réclamation préalable auprès de la direction régionale des finances publiques d’Île-de-France, réclamation qui doit être présentée avant le 31 décembre de la deuxième année suivant la mise en recouvrement, et qui doit exposer l’ensemble des moyens de droit et de fait, car le juge administratif ne retiendra ensuite que les moyens déjà soulevés ou leurs suites directes. La demande de sursis de paiement, présentée avec la réclamation en offrant des garanties — caution bancaire, hypothèque, consignation —, suspend l’exigibilité des sommes contestées jusqu’à la décision du tribunal, point capital lorsque le redressement cumulé dépasse la trésorerie du consultant. Le tribunal compétent dépend du lieu d’imposition : le tribunal administratif de Paris pour les impositions établies à Paris, le tribunal administratif de Montreuil pour la Seine-Saint-Denis et la Seine-et-Marne, le tribunal administratif de Cergy-Pontoise pour les Hauts-de-Seine et le Val-d’Oise, chacun statuant dans un délai moyen d’un à deux ans, avec appel devant la cour administrative d’appel de Paris ou de Versailles selon le ressort. Devant le juge, les moyens les mieux reçus sont ceux qui s’appuient sur les textes et la jurisprudence cités dans le présent article : erreur sur la réunion des trois branches alternatives de l’article 155 A, absence de démonstration du siège de direction effective en France, défaut de caractérisation d’une installation fixe au sens de la convention applicable, remise en cause du calcul du taux effectif d’imposition pour l’article 123 bis, et contestation motivée des majorations pour manquement délibéré ou activité occulte lorsque le consultant a déposé des déclarations, même imparfaites, et n’a dissimulé ni son identité ni l’existence de la société émiratie. Les dossiers des consultants cyber se gagnent rarement sur le principe — la jurisprudence du Conseil d’État sur l’article 155 A est stabilisée — et se gagnent souvent sur la mesure : décharges partielles mission par mission, abandon de la majoration de 80 %, dégrèvement de la TVA autoliquidée par les clients, imputation des sommes déjà imposées entre les mains de la société, étalement du paiement par le sursis et les plans de règlement.
Conclusion
Le consultant en cybersécurité qui réside à Paris et facture ses audits, ses tests d’intrusion et ses missions de réponse à incident depuis une société de Dubaï cumule les qualifications d’imposition françaises : l’article 155 A du code général des impôts impose entre ses mains les honoraires des missions qu’il a rendues pour l’essentiel, la société émiratie reste imposable en France dès lors que son siège de direction effective s’y trouve ou qu’elle y dispose d’une installation fixe caractérisant un établissement stable, la TVA française s’applique aux prestations fournies aux clients établis en France, l’article 123 bis du code général des impôts atteint les bénéfices conservés à Dubaï, et les distributions comme un départ réel ultérieur déclenchent leurs propres impositions. La jurisprudence du Conseil d’État — prestations d’assistance technique facturées depuis la Suisse (12 octobre 2018, n° 414383), dirigeant facturant par une société britannique (22 mars 2023, n° 455084), pilote rémunéré depuis Jersey (4 novembre 2020, n° 436367), siège de direction effective maintenu en France malgré un transfert au Luxembourg (15 mars 2023, n° 449723), activité occulte en France d’une société suisse (27 mars 2020, n° 421627) — dessine un cadre dont aucun montage sans substance locale réelle ne s’écarte. Pour le consultant parisien, la voie sûre reste l’exercice en direct depuis la France, avec une comptabilité rigoureuse, une assurance de responsabilité civile professionnelle adaptée aux missions d’audit et d’intrusion, des autorisations d’intervention écrites pour chaque test et une facturation assortie de la TVA française ; et lorsque le redressement est déjà notifié, la défense utile consiste à répondre dans les délais, à documenter mission par mission le lieu réel des interventions grâce aux traces techniques, et à porter devant le tribunal administratif compétent d’Île-de-France une contestation chiffrée des bases et des pénalités.