Audit CSRD : préparer les preuves et la certification

Pour préparer un audit CSRD, constituez un dossier permettant de passer de chaque information publiée à sa définition, ses sources, son calcul et ses validations. La certification porte sur les informations et leur processus d’établissement ; elle ne transforme pas un dossier bien classé en garantie de conformité générale. Le premier travail consiste à fixer l’exercice, le périmètre et le référentiel examinés, puis à organiser les réponses aux demandes de preuves.

Vérifier la mission et le professionnel habilité

L’article L.232-6-3(III) du Code de commerce prévoit la certification des informations de durabilité par un commissaire aux comptes ou un organisme tiers indépendant inscrit sur les listes requises. La seule qualité de consultant ESG, ou une accréditation évoquée sans contrôle de l’inscription pertinente, ne suffit pas à établir l’habilitation.

Vérifiez d’abord l’obligation pour l’entité et l’exercice dans notre guide des entreprises concernées. Demandez ensuite au professionnel l’identité de la structure et du responsable de mission, les inscriptions applicables, le périmètre proposé et l’examen d’indépendance.

La lettre de mission doit rendre explicites le calendrier, les sites ou entités couverts, les interfaces avec l’audit des comptes, les demandes de preuves et le traitement des désaccords. Une prestation d’accompagnement à la préparation et une mission de certification doivent être distinguées.

L’assurance limitée n’est pas une garantie absolue

Les lignes directrices H2A de janvier 2026 décrivent une assurance limitée, avec des vérifications moins étendues qu’en assurance raisonnable. La conclusion est généralement formulée négativement : aucun élément relevé ne remet en cause la conformité dans les conditions examinées. Ce n’est ni une absence de travaux ni une vérification exhaustive.

La directive (UE) 2026/470 maintient l’assurance limitée et prévoit l’adoption des normes européennes correspondantes au plus tard le 1er juillet 2027. Elle retire l’ancien mécanisme imposant de préparer des normes d’assurance raisonnable : il ne faut plus annoncer un passage automatique en 2028.

La norme internationale ISSA 5000 a été publiée par l’IAASB en novembre 2024. Elle n’est plus un simple projet en consultation ; son existence ne la transforme toutefois pas, à elle seule, en norme européenne obligatoire pour la mission française.

Savoir sur quoi porte l’avis

L’Art. L.821-54(II) du Code de commerce distingue notamment les informations de durabilité, le processus ayant servi à les déterminer et les exigences de publication liées à la taxonomie. Il inclut, lorsque l’entité y est soumise, la consultation du CSE dans le contrôle du processus. Une preuve correcte pour un chiffre ne répond pas à toutes ces composantes.

Pour un commissaire aux comptes, l’Art. L.821-55 précise que la mission ne garantit ni la viabilité ni la qualité de la gestion. Ne transformez donc pas une conclusion favorable en affirmation « notre stratégie est certifiée durable ». Le rapport de certification et le rapport de durabilité doivent être lus ensemble, avec leurs périmètres respectifs.

Constituer un dossier qui suit le raisonnement

Préparez des dossiers reliés au rapport, avec une version figée pour chaque livraison au certificateur.

Une facture d’énergie peut justifier un volume acheté, sans prouver à elle seule toutes les hypothèses d’un calcul d’émissions. Une liste de salariés peut justifier un effectif à une date, sans correspondre à une moyenne annuelle. Le responsable métier doit expliquer le passage de la pièce au chiffre publié.

L’analyse de double matérialité et les choix d’allègements doivent être accessibles dans le même dossier de décision, avec les consultations françaises requises lorsqu’elles s’appliquent. Une conclusion non matérielle exige un raisonnement, pas seulement une case vide.

Exemple commenté : justifier une moyenne annuelle

Considérons le dossier S-12 d’un groupe fictif, dont l’obligation de publier et de faire certifier les informations est supposée établie. Il prépare un effectif moyen annuel selon une méthode de moyenne des douze fins de mois, retenue pour cet indicateur et expliquée dans le rapport. Ce choix ne prétend pas remplacer les définitions de la norme applicable à chaque information sociale.

Le chiffre préparé est de 1 210 personnes, alors que l’effectif au 31 décembre atteint 1 260. Le certificateur demande comment ces deux données s’articulent. Envoyer uniquement le fichier de décembre laisserait sa question sans réponse : il justifierait une photographie, pas la moyenne annoncée.

La fiche de preuve S-12 est renseignée ainsi :

Les nombres sont des hypothèses pédagogiques, pas des résultats constatés chez un client. L’intérêt du dossier est de rendre visibles les décisions qui conditionnent le calcul. Il faut encore expliquer qui entre dans la population, comment sont traitées les entrées et sorties et si les personnes employées simultanément par les deux sociétés sont comptées correctement.

Dans cette organisation proposée, les RH produisent les extractions ; le responsable du reporting effectue le rapprochement et la direction approuve l’information destinée au rapport. Le certificateur conserve son appréciation indépendante. Le contrôle interne de S-12 ne permet pas d’annoncer d’avance son avis.

Le bordereau remis comporte la référence S-12, la version de la méthode, le tableau des douze résultats et l’emplacement des justificatifs accessibles selon les modalités convenues. Les dossiers individuels ne sont pas joints par réflexe. Si une vérification nécessite une pièce nominative, elle est organisée de façon ciblée, sans supprimer les éléments réellement nécessaires au contrôle.

Traiter une demande de complément sans réécrire l’histoire

Supposons que la question porte sur une société entrée dans le groupe en cours d’année. Une réponse utile identifie la date, la règle de périmètre appliquée, les mois retenus et l’incidence sur le chiffre. « Validé par les RH » est insuffisant si la question concerne la consolidation.

L’équipe consigne la demande exacte, son responsable, la réponse et les pièces transmises. Si elle modifie le calcul, elle conserve la différence entre versions, sa cause et les passages du rapport affectés. Elle ne remplace pas silencieusement le fichier déjà remis. Une correction d’effectif peut aussi affecter un ratio utilisant ce dénominateur : ces dépendances doivent être recensées.

Lorsqu’une source manque, annoncez la lacune et son étendue. Une estimation n’est envisageable que si les règles applicables le permettent et si sa méthode est défendable ; recopier le mois précédent ne constitue pas une preuve retrouvée. Le certificateur apprécie les conséquences sur ses travaux et son avis. La direction reste responsable de l’information publiée et de la décision de la corriger.

Organiser la transition ESRS avec le certificateur

Le règlement 2026/1563, publié le 21 septembre 2026, entre en vigueur le 10 novembre 2026. Il prévoit des options pour les exercices commençant en 2026 et une application générale des normes révisées à ceux commençant à compter du 1er janvier 2027. Au 27 septembre, la préparation de cette transition doit donc rester distincte d’une entrée en vigueur déjà acquise.

Consignez la version retenue, les conséquences sur les calculs et les informations transitoires à présenter. Pour 2026, l’Art. 2 permet les anciennes normes, les normes révisées ou les anciennes assorties des seuls allègements énumérés. Ce choix ne permet pas de composer librement un référentiel avec les passages les plus favorables des deux versions.

Distinguez également le format du document et le balisage des informations. Ne commandez pas une vérification d’un balisage supposé déjà exigible sans identifier les règles effectivement applicables.

Maîtriser l’accès aux pièces personnelles

Pour les pièces RH ou les signalements, discutez la nécessité de l’accès demandé, l’échantillon et une éventuelle consultation encadrée. Un espace restreint et une extraction limitée peuvent éviter de déposer tous les dossiers nominatifs dans l’outil ESG.

La mission légale ne dispense pas de vérifier les conditions RGPD, notamment pour les données relevant de l’Art. 9. Le certificateur n’est pas automatiquement un sous-traitant pour toutes ses opérations : sa mission et son autonomie doivent être analysées. Le guide CSRD et données personnelles détaille ces points.

Tenez un tableau des questions, réponses, preuves communiquées et corrections acceptées. Attribuez chaque demande au bon responsable et prévoyez un arbitrage pour les désaccords. Cette organisation peut être soutenue par un logiciel de reporting ESG, mais reste nécessaire quel que soit l’outil.

Lire le rapport au-delà du mot « certification »

Les lignes directrices H2A distinguent, par axe, conformité, conformité avec réserves, non-conformité et impossibilité d’émettre un avis. Une réserve peut notamment résulter d’une anomalie non corrigée ou d’une limitation des travaux dont les effets restent circonscrits. L’observation attire l’attention sur une information du rapport ; elle n’est pas une réserve déguisée. Une impossibilité de conclure ne signifie pas que les informations sont validées. Source : H2A, section 17.

Pour préparer la réunion de direction, relevez l’axe concerné, le passage visé et la conséquence indiquée par le professionnel. Distinguez ensuite les actions de l’entreprise : corriger une donnée, améliorer sa méthode ou compléter une preuve. Il n’existe pas de promesse sérieuse selon laquelle un nombre déterminé de justificatifs ou un taux de cases remplies garantirait une conclusion sans réserve.

Conservez enfin le rapport signé avec la version des informations auxquelles il se rapporte. Une nouvelle version du rapport de durabilité ne doit pas être présentée comme couverte par l’ancien avis sans examiner cette modification avec le certificateur. Cette correspondance est aussi importante que le classement des factures et des tableaux.

Ce qu’il faut retenir

• Vérifiez l’habilitation et l’indépendance du certificateur.
• L’assurance limitée exige des preuves sans garantir l’absence de toute erreur.
• Le passage automatique à l’assurance raisonnable ne doit plus être annoncé.
• Préparez les méthodes et les accès aux justificatifs avant la mission.

FAQ

Le commissaire aux comptes habituel peut-il assurer la mission ?

Oui, sous réserve des habilitations et règles applicables. L’entreprise peut aussi retenir un autre professionnel autorisé ; la nomination et l’indépendance doivent être vérifiées.

Faut-il transmettre tous les fichiers RH ?

Pas par principe. Examinez le besoin de preuve et les modalités adaptées avec le certificateur. La certification n’autorise pas une diffusion indifférenciée de données sensibles.

Le logiciel garantit-il une certification sans réserve ?

Non. Il peut organiser les preuves, les calculs et les versions. La conclusion dépend des informations, des méthodes et des travaux du certificateur.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.