Note d’analyse, 11 juillet 2026

Résumé analytique

Pendant près d’un siècle, l’audit a eu un objet unique et stable : l’information financière. Le commissaire aux comptes certifiait que les états financiers donnaient une image fidèle du patrimoine, de la situation et du résultat d’une entreprise. Cet objet est en train de changer de nature. Sous l’effet conjugué de la directive européenne sur le reporting de durabilité (CSRD) et de l’irruption des données non financières dans le pilotage des organisations, l’audit glisse de l’assurance sur l’information financière vers une assurance élargie — durabilité, ESG, cybersécurité, résilience des chaînes de valeur, engagements climatiques.

Ce déplacement n’est pas cosmétique. Il touche le périmètre de la mission, les compétences requises, les technologies mobilisées, le régime de responsabilité et, in fine, la définition même du métier. Trois forces convergent. D’abord, un nouveau corpus normatif — CSRD, normes ESRS, norme internationale d’assurance ISSA 5000 — qui fait entrer l’information de durabilité dans le champ de l’assurance et trace une trajectoire de l’assurance limitée vers l’assurance raisonnable. Ensuite, une révolution instrumentale — l’intelligence artificielle et l’analyse de données déplacent l’audit de l’échantillon vers la population entière et du contrôle ponctuel vers le contrôle continu. Enfin, l’apparition d’objets d’assurance inédits — cyber, chaînes d’approvisionnement, plans de transition — qui n’ont ni la maturité ni la traçabilité de la donnée comptable. La thèse de cette note est simple : l’audit ne disparaît pas, il change d’objet ; et cette mutation redessine simultanément les tensions professionnelles autour de l’indépendance, de la montée en compétence et de la responsabilité.

1. De l’information financière à l’information de durabilité

Le premier moteur du changement est réglementaire. La directive (UE) 2022/2464 sur le reporting de durabilité des entreprises, adoptée fin 2022 et entrée en vigueur début 2023, remplace l’ancienne directive sur le reporting extra-financier (NFRD, 2014) — en France, la déclaration de performance extra-financière (DPEF). Elle en change l’ampleur : le nombre d’entreprises concernées passe de quelques milliers à plusieurs dizaines de milliers à l’échelle de l’Union, et surtout, l’information de durabilité cesse d’être un exercice déclaratif pour devenir une information auditée.

Le contenu de cette information est défini par les normes européennes de reporting de durabilité (ESRS), élaborées par l’EFRAG et adoptées par la Commission européenne sous forme d’acte délégué en juillet 2023. Douze normes couvrent l’environnement, le social et la gouvernance, autour d’un principe structurant : la double matérialité. L’entreprise doit rendre compte à la fois de la manière dont les enjeux de durabilité affectent sa performance financière (matérialité financière) et de la manière dont son activité affecte l’environnement et la société (matérialité d’impact). Ce principe, absent de la logique comptable classique, oblige l’auditeur à apprécier des données dont la frontière déborde le bilan.

La bascule décisive tient au niveau d’assurance exigé. La CSRD impose, dans un premier temps, une assurance limitée (ou modérée) sur les informations de durabilité — un niveau où l’auditeur conclut qu’il n’a rien relevé qui laisse penser que l’information est erronée, formulation négative moins exigeante que la certification comptable. Mais la directive trace une trajectoire : la Commission doit adopter des normes d’assurance limitée d’ici octobre 2026, puis évaluer d’ici octobre 2028 la faisabilité d’un passage à l’assurance raisonnable — le même niveau, positif et élevé, que celui de l’audit financier. Le sens de la marche est explicite : rapprocher progressivement l’exigence portant sur l’information de durabilité de celle qui pèse sur l’information financière.

Cette trajectoire n’est toutefois pas linéaire. Le paquet de simplification « Omnibus », présenté par la Commission européenne le 26 février 2025, a rebattu les cartes : report de deux ans de l’entrée en vigueur pour les entreprises des vagues suivantes (directive dite « stop-the-clock » adoptée au printemps 2025), relèvement envisagé des seuils d’assujettissement, et — point crucial pour la profession — remise en cause de la trajectoire vers l’assurance raisonnable au profit d’un maintien durable de l’assurance limitée. Le signal est double : le champ d’application se rétracte politiquement, mais l’objet nouveau, lui, est installé. L’assurance sur la durabilité ne relève plus du débat sur son existence, seulement de son calibrage.

Au niveau mondial, cet objet a désormais une grammaire commune. L’International Auditing and Assurance Standards Board (IAASB) a approuvé en septembre 2024, et publié en novembre 2024, la norme ISSA 5000 — première norme internationale globale d’assurance de durabilité. Neutre à l’égard du référentiel de reporting (ESRS, normes ISSB, autres) et ouverte aux différents profils de prestataires, elle couvre à la fois l’assurance limitée et l’assurance raisonnable, et devient la référence sur laquelle s’aligneront les cadres nationaux. Là où l’audit financier s’était doté au fil des décennies d’un corpus international mature (normes ISA), l’assurance de durabilité vient, en quelques années, de se doter du sien.

2. L’intelligence artificielle dans l’audit : ce qu’elle déplace

Le deuxième moteur est instrumental. L’audit financier reposait historiquement sur une contrainte de coût : incapable de contrôler chaque transaction, l’auditeur échantillonnait, puis extrapolait. L’analyse de données et l’apprentissage automatique lèvent cette contrainte. Trois déplacements sont à l’œuvre.

De l’échantillon à la population entière. Les outils d’analyse de données d’audit permettent désormais de tester non plus un échantillon de quelques dizaines d’écritures, mais l’intégralité du grand livre — cent pour cent des transactions. L’échantillonnage statistique, longtemps au cœur de la méthode, devient un pis-aller là où la donnée est disponible et structurée. La norme internationale sur les éléments probants, révisée par l’IAASB et applicable aux exercices ouverts à compter de décembre 2025, a d’ailleurs été rendue neutre sur le plan technologique précisément pour accueillir ces outils automatisés et les sources d’information externes.

De la vérification à la détection d’anomalies. L’apprentissage automatique excelle à repérer, dans des volumes massifs, les écritures atypiques — combinaisons inhabituelles de comptes, séquences temporelles suspectes, ruptures de régularité. L’auditeur ne cherche plus une aiguille dans une botte de foin : l’algorithme lui désigne les aiguilles candidates, qu’il lui revient d’instruire. Le travail se déplace de la collecte vers l’interprétation.

Du contrôle ponctuel au contrôle continu. L’audit était une photographie annuelle ; il tend vers un flux. Le continuous auditing — contrôle en quasi-temps réel des flux transactionnels — devient techniquement accessible et rapproche la fonction d’audit de la surveillance permanente qu’exercent déjà certains dispositifs de contrôle interne.

Reste la question décisive : que déplace exactement cette automatisation ? Elle déplace d’abord la pyramide des effectifs. Les tâches répétitives de rapprochement, de vérification arithmétique et de test de détail — historiquement confiées aux profils juniors — sont les premières absorbées par la machine, et le modèle économique de l’audit, bâti sur une large base de collaborateurs débutants supervisés, s’en trouve interrogé. Elle ne déplace pas, en revanche, ce qui fait le cœur de la mission : le jugement professionnel, l’appréciation de la matérialité, le scepticisme, la capacité à répondre à la question « et alors ? ». Une anomalie détectée n’est pas une fraude établie ; un test à cent pour cent ne dit rien du caractère significatif de ce qu’il révèle. L’automatisation produit du signal en abondance ; elle ne produit ni le sens ni la responsabilité.

Une frontière nouvelle apparaît d’ailleurs en creux : auditer des données produites par des systèmes d’intelligence artificielle, et auditer les outils d’IA que l’auditeur lui-même emploie. L’explicabilité des modèles et le risque de « boîte noire » deviennent des objets d’audit à part entière — la technologie n’est plus seulement un moyen du contrôle, elle en devient une cible.

3. Les nouveaux objets de l’assurance : cyber, chaînes de valeur, engagements climatiques

Le troisième moteur est l’apparition d’objets d’assurance qui n’existaient pas, ou que nul ne songeait à faire certifier. Trois sont en train de s’imposer.

Les chaînes de valeur. La CSRD, via les normes ESRS, impose de rendre compte non seulement de sa propre activité mais de sa chaîne de valeur amont et aval — émissions dites de scope 3, conditions de travail chez les fournisseurs, impacts en cascade. La directive (UE) 2024/1760 sur le devoir de vigilance des entreprises en matière de durabilité (CSDDD), adoptée en 2024, prolonge cette logique en imposant l’identification et la prévention des atteintes aux droits humains et à l’environnement le long de la chaîne d’approvisionnement. Or l’assurance sur une chaîne de valeur pose un problème inédit : l’auditeur doit se prononcer sur des données qui ne sont ni dans les livres de son client, ni sous son contrôle, souvent situées dans des juridictions à faible traçabilité. La donnée de durabilité de la chaîne de valeur est, par nature, moins vérifiable que la donnée comptable interne.

La cyber-résilience. La sécurité des systèmes d’information et la résilience opérationnelle deviennent des objets d’attestation. La demande émane des clients, des assureurs et des régulateurs, et les cyber-incidents figurent année après année aux tout premiers rangs des baromètres de risque d’entreprise — l’Allianz Risk Barometer place ainsi de façon récurrente les cyber-risques en tête des préoccupations des dirigeants. Attester la robustesse d’un dispositif de cybersécurité, la continuité d’activité, la maîtrise d’un tiers infogéreur : ces missions relèvent d’une assurance qui n’est ni financière ni, à proprement parler, de durabilité, mais qui participe du même mouvement d’élargissement.

Les engagements climatiques. La norme ESRS consacrée au climat (E1) impose de publier un plan de transition compatible avec la limitation du réchauffement — trajectoire de réduction des émissions, jalons, moyens engagés. Faire assurer un tel plan, c’est faire porter l’assurance sur une promesse autant que sur un état : non plus « les comptes sont-ils fidèles ? » mais « l’engagement de neutralité est-il crédible, étayé, cohérent avec les moyens ? ». C’est le rempart le plus tangible contre l’écoblanchiment (greenwashing), et l’un des terrains les plus exigeants pour l’auditeur, car il mêle données historiques, projections et hypothèses.

Ces trois objets ont un point commun : ils sont moins mûrs, moins normalisés et moins traçables que l’information financière. L’assurance élargie s’exerce sur un terrain où la donnée est encore en construction — ce qui accroît la valeur de l’attestation autant que le risque qu’elle fait courir à celui qui la délivre.

4. Les tensions : indépendance, montée en compétence, responsabilité

L’élargissement de l’objet ne va pas sans frictions. Trois tensions structurent le débat professionnel et détermineront la forme que prendra le métier.

L’indépendance et le partage du marché. Qui doit délivrer l’assurance de durabilité ? La CSRD laisse aux États membres une latitude : le commissaire aux comptes de l’entreprise, un autre auditeur, ou — option ouverte par la directive — un prestataire de services d’assurance indépendant (les organismes tiers indépendants, ou OTI, déjà mobilisés en France pour vérifier l’ancienne déclaration de performance extra-financière). La France, qui a transposé la CSRD par l’ordonnance du 6 décembre 2023, a confié la certification des informations de durabilité aux commissaires aux comptes, tout en ménageant une place aux OTI accrédités. Le débat n’est pas seulement corporatiste : confier l’assurance financière et l’assurance de durabilité au même acteur crée des synergies de connaissance du client, mais réactive la question de l’indépendance qui avait présidé, après les scandales du début des années 2000, à la séparation stricte de l’audit et du conseil. À l’échelle mondiale, l’IESBA a d’ailleurs adopté des normes d’éthique et d’indépendance spécifiques à l’assurance de durabilité, signe que la question est jugée systémique. Selon les données publiées par l’IFAC, une large majorité des grandes entreprises obtenant une assurance sur leurs informations de durabilité se contentent aujourd’hui d’une assurance limitée, et la part réalisée par les cabinets d’audit varie fortement d’un marché à l’autre — le partage du marché est un enjeu ouvert, non une donnée acquise.

La montée en compétence. Auditer un plan de transition climatique, une empreinte carbone de scope 3 ou une politique de droits humains suppose des compétences que la formation comptable ne délivre pas. L’assurance élargie est intrinsèquement pluridisciplinaire : elle mobilise des climatologues, des ingénieurs, des juristes spécialisés, aux côtés des auditeurs. Cette exigence redéfinit la formation même du métier. Le référentiel de compétences du commissaire aux comptes et de l’expert-comptable — jusqu’aux diplômes qui y préparent, du DSCG au diplôme d’expertise comptable — intègre désormais la durabilité, l’analyse de données et l’audit des systèmes d’information. La profession qui certifiait des chiffres apprend à certifier des trajectoires, des impacts et des dispositifs. Accountancy Europe, fédération européenne de la profession, plaide de longue date pour cette montée en compétence coordonnée, condition d’une assurance crédible.

La responsabilité. Élargir le périmètre, c’est élargir l’exposition. L’assurance limitée offre à l’auditeur une protection relative — sa conclusion, formulée négativement, engage moins que la certification positive de l’audit financier. Le passage envisagé à l’assurance raisonnable rebattrait ce partage des risques. Surtout, l’assurance de durabilité s’exerce sur des données prospectives et des engagements, terrain propice à l’écart d’attente (expectation gap) : le public — investisseurs, ONG, régulateurs — pourrait croire qu’une information « assurée » est garantie exacte, là où l’auditeur n’a délivré qu’une assurance limitée sur une donnée par nature incertaine. Cet écart entre ce que l’assurance dit et ce que le public croit qu’elle dit est le principal foyer de risque juridique et réputationnel de la décennie à venir pour la profession.

5. Ce que cela change

Pour l’entreprise et pour la profession, la mutation se lit sur des points concrets, pas dans l’abstrait.

Le rapport de gestion devient un objet audité de bout en bout. L’information de durabilité, longtemps reléguée à un chapitre déclaratif, entre dans le périmètre certifié. La conséquence directe : les directions générales et financières doivent produire une donnée de durabilité traçable, documentée et auditable — avec la même discipline de piste d’audit que la donnée comptable. Le reporting extra-financier cesse d’être un exercice de communication pour devenir un exercice de preuve.

La fonction d’audit interne et le contrôle interne s’étendent au non-financier. Fournir une information de durabilité assurable suppose, en amont, des dispositifs de collecte, de contrôle et de gouvernance de la donnée ESG comparables à ceux qui encadrent la donnée financière. Le contrôle interne, la cartographie des risques et le comité d’audit voient leur champ s’élargir mécaniquement.

Le métier d’auditeur se recompose. La valeur se déplace de l’exécution vers le jugement. Les tâches automatisables — tests de détail, rapprochements — se contractent ; les compétences rares — appréciation d’un plan de transition, audit d’un système d’IA, lecture d’une chaîne de valeur — se valorisent. La pyramide des effectifs s’aplatit par le bas et s’enrichit par le haut, en profils pluridisciplinaires.

La donnée non financière acquiert une valeur de marché. Une information de durabilité assurée est mieux valorisée par les investisseurs et les prêteurs qu’une information déclarative. L’assurance devient un facteur de coût du capital, au même titre, hier, que la certification des comptes. C’est là que se joue, économiquement, la justification de l’effort réglementaire.

Trois convictions

De ce qui précède, trois convictions se dégagent, chacune adossée à un fait vérifiable.

Première conviction — l’audit ne rétrécit pas, il change d’objet. Le discours sur la « fin de l’audit » sous l’effet de l’automatisation confond l’outil et la mission. L’intelligence artificielle absorbe la part exécutante du contrôle ; elle libère, et rend plus exigeante, la part de jugement. Dans le même mouvement, la CSRD et la norme ISSA 5000 ajoutent à l’objet historique — l’information financière — un objet nouveau et vaste : la durabilité. L’audit qui certifie moins de tâches à la main certifie davantage de réalité.

Deuxième conviction — le calibrage prime désormais sur le principe. Le débat n’est plus de savoir si l’information de durabilité doit être assurée : la directive, les normes ESRS et la norme internationale d’assurance l’ont tranché. Il porte sur le niveau (limitée ou raisonnable), le périmètre (quelles entreprises, quelles chaînes de valeur) et l’acteur (commissaire aux comptes, tiers indépendant). Le paquet Omnibus de 2025 montre que ce calibrage restera politiquement disputé — mais qu’il se joue à l’intérieur d’un cadre acquis, non à l’extérieur.

Troisième conviction — la compétence est la vraie contrainte. La limite de l’assurance élargie n’est ni technologique ni réglementaire : elle est humaine. Auditer un plan de transition, une empreinte de chaîne de valeur ou un dispositif de cyber-résilience suppose des savoirs que la seule formation comptable ne fournit pas. La profession qui saura recomposer ses compétences — pluridisciplinarité, données, durabilité — captera la valeur de l’assurance élargie ; celle qui s’y refusera verra cet objet nouveau lui échapper au profit d’autres prestataires. La montée en compétence n’est pas un supplément d’âme : c’est la condition de survie du métier tel qu’il se redéfinit.

L’audit entre dans l’ère de la durabilité. Son objet s’élargit plus vite que ses méthodes et que ses effectifs ne se transforment. Combler cet écart — entre un périmètre qui explose et une compétence qui doit suivre — est le véritable enjeu stratégique de la profession pour la décennie qui vient.

Eric Gabin Kilama