Audit CSRD : un cabinet financier peut-il l'auditer ?

Quand un commissaire aux comptes certifie un bilan financier, personne ne s'interroge sur sa légitimité. Il a passé des examens de comptabilité, il maîtrise les normes IFRS, il connaît les écritures de consolidation. Le mécanisme est rodé depuis des décennies. Mais que se passe-t-il lorsque ce même praticien doit se prononcer sur des émissions de gaz à effet de serre, sur la présence de PFAS dans une chaîne de production, ou sur l'impact d'un site industriel sur un corridor écologique ?

La question n'est pas théorique. Depuis l'adoption de la directive (UE) 2022/2464 du 14 décembre 2022, dite CSRD, les entreprises soumises doivent faire certifier leurs informations de durabilité par un auditeur habilité. En France, deux catégories de certificateurs coexistent : les commissaires aux comptes (CAC) inscrits sur la liste H2A, et les organismes tiers indépendants (OTI) accrédités par le COFRAC. Les premiers viennent du monde financier. Les seconds, souvent, du monde technique et environnemental.

La nuance est importante ici. Car la certification porte sur des normes ESRS qui couvrent le changement climatique (E1), la pollution (E2), l'eau et les ressources marines (E3), la biodiversité (E4) et l'économie circulaire (E5). Des domaines où la distance entre une formation en audit comptable et la réalité opérationnelle d'un bilan GHG ou d'un inventaire de substances dangereuses est, pour le dire sobrement, considérable.

Un dispositif réglementaire structurant#

Plusieurs points sont à retenir pour comprendre pourquoi le législateur a confié cette mission aux cabinets financiers.

D'abord, la H2A (créée par l'ordonnance 2023-1142 du 6 décembre 2023, succédant au H3C au 1er janvier 2024) a publié en octobre 2024 ses lignes directrices relatives à la mission de certification des informations en matière de durabilité. Ces lignes directrices encadrent la démarche, définissent les obligations de diligence, et prévoient explicitement que l'auditeur peut recourir à des experts si nécessaire. Le CEAOB (Committee of European Auditing Oversight Bodies) a lui aussi publié le 30 septembre 2024 des guidelines (non contraignantes) pour l'assurance limitée, dans lesquelles il précise que les praticiens doivent posséder "the necessary competence, capability and objectivity".

Concrètement, cela signifie que le cadre ne prétend pas que chaque auditeur doit être un spécialiste du climat ou de la biodiversité. Le cadre dit : l'auditeur pilote la mission, il en assume la responsabilité, et il s'entoure de compétences quand le sujet l'exige.

La formation obligatoire des CAC#

Pour les CAC inscrits avant le 1er janvier 2026, une formation de 90 heures approuvée par la H2A est obligatoire (clause du grand-père, arrêté du 28 décembre 2023). Parmi ces 90 heures, une séquence de 21,5 heures est consacrée aux enjeux environnementaux et sociaux. Après le 1er janvier 2026, les nouveaux entrants doivent réussir une épreuve spécifique portant sur la durabilité, complétée par un stage de 8 mois auprès d'un CAC habilité ou d'un OTI accrédité COFRAC.

Je l'ai constaté dans les programmes de formation que j'ai pu consulter : 21,5 heures sur les enjeux environnementaux, c'est à la fois beaucoup (comparé à ce qui existait avant, c'est-à-dire rien) et très peu quand on considère l'étendue des cinq normes E. Mais les partisans du système arguent que cette formation pose les bases, et que le recours aux experts comble le reste.

Le standard international ISSA 5000#

L'IAASB a adopté le 20 septembre 2024 la norme ISSA 5000, applicable aux exercices débutant le 15 décembre 2026. Ce standard est explicitement "profession agnostic" : il est conçu pour être utilisé tant par les comptables professionnels que par les praticiens non-comptables ("supports its use by both professional accountant and non-accountant assurance practitioners"). L'architecture normative internationale ne fait donc pas de l'appartenance à la profession comptable une condition de l'assurance durabilité.

Et puis il y a l'argument du paquet Omnibus, publié au Journal officiel de l'UE le 26 février 2026 (entrée en vigueur le 18 mars 2026). L'Omnibus a supprimé définitivement le passage à l'assurance raisonnable : seule l'assurance limitée demeure. La date limite pour le standard d'assurance limitée est fixée au 1er juillet 2027. L'assurance limitée repose sur une formulation négative ("le praticien déclare n'avoir constaté aucun élément..."), ce qui en réduit l'intensité par rapport à l'assurance raisonnable (formulation positive). Les partisans du système estiment que cette assurance limitée est parfaitement à la portée des cabinets financiers bien encadrés.

E1, le Scope 3 et ses angles morts#

Prenons un exemple parlant. L'ESRS E1 couvre le changement climatique : émissions GHG Scope 1, 2 et 3, scénarios d'adaptation, trajectoire net-zéro. Le Scope 3, en particulier, représente souvent plus de 80 % de l'empreinte carbone d'une entreprise (émissions indirectes de la chaîne de valeur). D'après une analyse KPMG de la première vague de reporting CSRD, les entreprises n'ont en moyenne couvert qu'environ la moitié des quinze catégories Scope 3 prévues par la norme, les données fournisseurs restant le principal goulet d'étranglement. Pour vérifier ces données, il faut comprendre les méthodologies d'allocation, les facteurs d'émission sectoriels, les périmètres organisationnels et opérationnels. Un auditeur financier formé en 21,5 heures sur l'ensemble des enjeux environnementaux et sociaux aura-t-il le recul nécessaire pour challenger un calcul Scope 3 ? J'ai des doutes sérieux.

E2 : la pollution et ses substances#

L'ESRS E2 (pollution) est peut-être le cas le plus révélateur. Selon ERM, "the number of potentially applicable chemicals listed under CSRD is well over 15,000". Le standard intègre des références au règlement REACH n° 1907/2006 et couvre les PFAS, les microplastiques, les émissions dans l'air (NOx, SOx, particules), l'eau et le sol. Or, toujours selon ERM, les méthodologies établies pour surveiller ou estimer certaines de ces émissions "have yet to evolve", et les processus de données actuels des entreprises "are simply not providing the data required".

Pour bien comprendre ce mécanisme : l'auditeur ne vérifie pas seulement un chiffre dans un tableur. Il doit évaluer si la méthodologie de collecte est adéquate, si les substances pertinentes ont été identifiées, si les seuils réglementaires applicables ont été correctement interprétés. C'est un travail de chimiste environnemental, pas de vérificateur de comptes.

E4 : la biodiversité, terra incognita de l'audit financier#

L'ESRS E4 couvre la biodiversité et les écosystèmes : impact sur les habitats, déforestation, suivi des écosystèmes. Comme le détaille ekodev dans son analyse des exigences ESRS E4, l'exercice de double matérialité appliqué à la biodiversité nécessite des outils spécifiques comme le Global Biodiversity Score, des analyses cartographiques approfondies des interactions avec la biodiversité et, fréquemment, le concours d'experts en écologie. L'audit biodiversité dans le cadre CSRD suppose de comprendre les protocoles d'inventaire faunistique et floristique, les notions de connectivité écologique, les indicateurs de pression sur les milieux naturels.

J'ai échangé avec des collègues qui travaillent sur ces sujets en recherche appliquée. Leur réaction unanime, quand on leur explique qu'un cabinet d'audit financier va "vérifier" leurs données biodiversité : un silence perplexe, suivi d'une question polie sur le niveau de formation des vérificateurs.

Ce que dit le texte#

Le cadre normatif encadrant les missions de certification CSRD prévoit explicitement le recours à des experts externes. Les guidelines du CEAOB (septembre 2024) et les lignes directrices H2A précisent que l'auditeur peut, et souvent doit, s'appuyer sur des spécialistes techniques dans des domaines comme les gaz à effet de serre, l'écologie ou la biodiversité. La H2A le confirme dans ses lignes directrices : l'auditeur peut utiliser des experts si nécessaire.

En pratique, cela signifie que le cabinet d'audit reste le signataire de la certification, mais qu'il peut (et souvent doit) s'appuyer sur des spécialistes techniques pour les volets environnementaux.

Le problème sous-jacent#

Ce recours aux experts soulève une question que peu de gens posent ouvertement : si l'auditeur a besoin d'un expert en GHG pour E1, d'un chimiste pour E2, d'un hydrologue pour E3, d'un écologue pour E4 et d'un spécialiste en analyse du cycle de vie pour E5, que reste-t-il de sa valeur ajoutée propre ? Il coordonne, certes. Il applique la méthodologie d'audit (planification, échantillonnage, documentation). Mais la substance technique, celle qui permet de détecter une erreur matérielle dans un bilan carbone ou une omission dans un inventaire de substances, vient d'ailleurs.

La domination des Big Four (et Mazars) dans l'audit du CAC 40 (98 % des mandats de durabilité selon AEF Info, novembre 2024) renforce cette dynamique : ces cabinets ont les moyens de recruter des spécialistes RSE (agronomes, ingénieurs environnement) et de constituer des équipes pluridisciplinaires. Mais les cabinets de taille intermédiaire, qui auditeront la majorité des entreprises nouvellement soumises, n'ont pas nécessairement ces ressources.

Le modèle COFRAC#

Les organismes tiers indépendants accrédités COFRAC constituent l'autre voie de certification. RSE France (filiale d'Apave), par exemple, est accréditée COFRAC sous le n° 3-1904 (ISO 17029) et figure parmi les premiers OTI habilités H2A pour la CSRD. Socotec Environnement est également accréditée COFRAC. Ces organismes viennent du contrôle technique et de l'inspection environnementale ; leur culture professionnelle est celle du terrain, pas celle du bilan consolidé.

La différence est structurelle. Un vérificateur EMAS accrédité COFRAC, un lead auditor ISO 14001 certifié IRCA, un ingénieur d'études en écotoxicologie : ces profils existent dans les OTI environnementaux. Ils ne sont pas la norme dans les cabinets financiers, même les plus grands.

Les limites des OTI#

Pour être honnête, les OTI ont aussi leurs faiblesses. Leur maîtrise des aspects financiers de la durabilité (taxonomie verte, alignement des investissements, reporting intégré) est souvent moins solide que celle des cabinets comptables. L'idéal serait une complémentarité, pas une compétition. Mais le marché, pour l'instant, fonctionne sur un modèle de mandat exclusif.

Après avoir pesé les arguments, voici ma position, et je l'assume sans réserve.

Le cadre réglementaire est techniquement suffisant, en ce sens qu'il autorise le recours aux experts et qu'il ne repose que sur l'assurance limitée (depuis l'Omnibus). Mais "techniquement suffisant" ne veut pas dire "opérationnellement satisfaisant".

Le paramètre déterminant, c'est la qualité effective du recours aux experts. Si un cabinet financier mandate systématiquement des spécialistes compétents pour chaque volet E1 à E5, supervise leur travail avec rigueur, et dispose en interne de profils capables de comprendre (sinon de produire) l'analyse technique, alors la certification a de la valeur. Si le recours aux experts est cosmétique, si la revue se limite à vérifier la cohérence arithmétique des tableaux sans questionner les méthodologies sous-jacentes, alors on certifie une forme, pas un fond.

Ma recommandation aux entreprises soumises : ne choisissez pas votre certificateur uniquement sur sa réputation financière. Demandez-lui la composition de l'équipe d'audit durabilité, les qualifications environnementales de ses experts, et son expérience concrète sur les normes E qui vous concernent. Si votre activité est exposée sur E2 (pollution, substances chimiques) ou E4 (biodiversité), un OTI accrédité COFRAC avec des compétences techniques environnementales sera probablement plus pertinent qu'un Big Four généraliste, à moins que celui-ci ne démontre qu'il a constitué une équipe dédiée.

Le vrai risque n'est pas réglementaire. Il est informationnel : une certification qui ne détecte pas les erreurs matérielles ne protège personne, ni l'entreprise, ni les parties prenantes, ni la crédibilité du système CSRD dans son ensemble.

1. EUR-Lex, directive CSRD (UE) 2022/2464 : https://eur-lex.europa.eu/eli/dir/2022/2464/oj?locale=fr
2. H2A, lignes directrices certification durabilité (octobre 2024) : https://h2a-france.org/publications/la-h2a-publie-les-lignes-directrices-relatives-a-la-mission-de-certification-des-informations-en-matiere-de-durabilite-et-des-informations-taxonomie/
3. ERM, défis ESRS E2 pollution : https://www.erm.com/insights/csrds-pollution-disclosure-requirements-are-catching-companies-off-guard/
4. CEAOB, guidelines assurance limitée (septembre 2024) : https://finance.ec.europa.eu/document/download/8ac2df18-2ae1-4bc7-9d87-a4a740e48f5e_en
5. Wecount.io, analyse paquet Omnibus : https://www.wecount.io/ressources-articles/csrd-omnibus
6. IAASB, norme ISSA 5000 : https://www.iaasb.org/publications/international-standard-sustainability-assurance-5000-general-requirements-sustainability-assurance