diff --git a/docs/specs/M1-clients/spec-back.md b/docs/specs/M1-clients/spec-back.md
index 3c6d5b7..c8f5a0d 100644
--- a/docs/specs/M1-clients/spec-back.md
+++ b/docs/specs/M1-clients/spec-back.md
@@ -722,7 +722,7 @@ class Client implements TimestampableInterface, BlamableInterface
 
 ### 3.5 Squelettes des autres entités
 
-**`ClientContact`**, **`ClientAddress`**, **`ClientRib`** : même pattern (`#[Auditable]`, `TimestampableBlamableTrait`, FK `client_id`). `ClientRib.iban` et `ClientRib.bic` portent `#[AuditIgnore]` (champs sensibles).
+**`ClientContact`**, **`ClientAddress`**, **`ClientRib`** : même pattern (`#[Auditable]`, `TimestampableBlamableTrait`, FK `client_id`). ⚠ **Aucun `#[AuditIgnore]`** sur `ClientRib.iban`/`bic` — tous les champs RIB sont audités (décision Matthieu en revue MR du 29/05/2026, cf. § 2.5 : audit admin-only → traçabilité comptable nécessaire). Source de vérité : § 2.5.
 
 **Référentiels (`TvaMode`, `PaymentDelay`, `PaymentType`, `Bank`)** : entités lecture seule via API Platform `GetCollection` + `Get` uniquement (security `commercial.clients.view`). Pas de POST/PATCH/DELETE au M1 (HP). Pas de Timestampable+Blamable (whitelistés dans `EntitiesAreTimestampableBlamableTest::EXCLUDED`).