Audit SOX : déroulement, acteurs et préparation pour les groupes français

546 contrôles clés, 15 580 heures de travail et 2,3 millions de dollars de budget annuel : c'est la moyenne d'un programme SOX selon l'enquête KPMG 2025, menée auprès d'environ 150 professionnels de la conformité SOX sur l'exercice 2024. Pour les groupes français concernés, le coût s'accompagne d'une difficulté propre. Il faut satisfaire les exigences américaines de la SEC et du PCAOB tout en respectant des obligations françaises qui ne reposent ni sur les mêmes textes, ni sur la même logique de preuve. Cet article décrit le déroulement réel de l'audit, les acteurs impliqués et ce qu'il faut préparer.

Qu'est-ce qu'un audit SOX ?

Le Sarbanes-Oxley Act de 2002 impose deux obligations distinctes aux sociétés enregistrées auprès de la Securities and Exchange Commission. La section 302 oblige le directeur général et le directeur financier à certifier personnellement les états financiers et les procédures d'information. La section 404 porte sur le contrôle interne relatif à l'information financière, ou ICFR : le management évalue son dispositif et publie sa conclusion (404(a)), et l'auditeur externe émet une opinion sur l'efficacité de ce dispositif (404(b)).

Ce que les praticiens appellent « audit SOX » n'est pas une mission séparée. La norme PCAOB AS 2201 définit un audit intégré : l'auditeur mène de front l'audit des comptes et celui du contrôle interne. Le management teste ses propres contrôles et conclut, l'auditeur refait une partie de ces tests pour fonder son opinion, et la documentation du dispositif de contrôle interne sert de socle aux deux chantiers.

Quelles entreprises françaises sont concernées ?

Trois situations déclenchent une obligation SOX côté français.

Les sociétés françaises enregistrées auprès de la SEC d'abord, cotées via des American Depositary Receipts de niveau II ou III ou directement en actions ordinaires : Sanofi conserve un programme d'ADR de niveau II sur le Nasdaq, TotalEnergies a remplacé les siens par une cotation de ses actions ordinaires au NYSE le 8 décembre 2025. Ces émetteurs déposent un formulaire 20-F au titre de leur statut de foreign private issuer, défini par la Rule 405 du Securities Act.

Les filiales françaises de groupes américains cotés ensuite. Elles ne publient rien au titre de SOX, mais la maison mère intègre leurs comptes dans son périmètre consolidé et doit donc couvrir leurs contrôles. La filiale subit le calendrier, les formats de preuve et les tests du groupe sans en maîtriser la méthodologie.

Les sociétés en cours d'introduction aux États-Unis enfin, pour lesquelles l'obligation 404 arrive de façon échelonnée après le premier rapport annuel. L'étendue de l'obligation dépend ensuite du filer status, fixé par la Rule 12b-2 de la SEC dans sa version de mars 2020 : en dessous de 75 millions de dollars de flottant, l'émetteur échappe à l'attestation de l'auditeur ; entre 75 et 700 millions il est accelerated filer, au-delà large accelerated filer. Les emerging growth companies sont dispensées de 404(b) pendant cinq ans au titre du JOBS Act.

SOX et LSF : ce qui diffère

La Loi de Sécurité Financière du 1er août 2003 est souvent présentée comme le pendant français de SOX. Les deux textes répondent aux mêmes scandales, mais le dispositif français est resté déclaratif là où le dispositif américain est devenu probatoire.

Une précision s'impose, car l'erreur circule encore : le rapport du président sur les procédures de contrôle interne, créé par la LSF, n'existe plus depuis l'ordonnance n° 2017-1162 du 12 juillet 2017. Depuis le 1er janvier 2025, à la suite de l'ordonnance n° 2023-1142 du 6 décembre 2023 transposant la CSRD, l'information figure au 7° de l'article L.22-10-10 du Code de commerce, dans le rapport sur le gouvernement d'entreprise des sociétés cotées sur un marché réglementé.

L'AMF précise elle-même que son cadre de référence n'a pas vocation à être imposé. Une direction financière habituée à cette logique découvre avec SOX une exigence de preuve d'un autre ordre : chaque contrôle décrit, exécuté de façon traçable, testé sur un échantillon documenté.

Le processus d'audit externe : la norme PCAOB AS 2201

AS 2201 impose une approche descendante fondée sur les risques : l'auditeur part du niveau des états financiers et descend jusqu'aux contrôles qu'il testera. La norme précise au paragraphe 21 que cette séquence décrit un cheminement intellectuel, non l'ordre chronologique des travaux. Lue par un praticien, la démarche des paragraphes 21 à 41 se décompose ainsi :

1. Identifier les risques pesant sur l'information financière au niveau des états financiers pris dans leur ensemble.
2. Évaluer les contrôles au niveau de l'entité : environnement de contrôle, supervision par le comité d'audit, contrôles de clôture et de consolidation.
3. Identifier les comptes et informations significatifs et leurs assertions pertinentes, sur base consolidée.
4. Comprendre les sources probables d'anomalies, le plus souvent par des walkthroughs, en suivant une transaction de son initiation à son enregistrement.
5. Sélectionner les contrôles qui couvrent suffisamment le risque identifié pour chaque assertion.

Ce séquencement explique pourquoi un périmètre SOX ne se négocie pas entité par entité : il découle des comptes significatifs du groupe consolidé. Une filiale peut y entrer une année et en sortir la suivante.

Ce que testent les commissaires aux comptes

Premier point de vocabulaire, source fréquente de confusion : l'opinion 404(b) est émise par le cabinet enregistré auprès du PCAOB qui audite les comptes consolidés, pas par le commissaire aux comptes de la filiale au titre de son mandat local. Le CAC français intervient le plus souvent comme auditeur de composant, dans le réseau du cabinet signataire, et ses travaux relèvent alors des normes PCAOB.

Les tests portent sur deux dimensions. Le test de conception vérifie que le contrôle, exécuté correctement par une personne compétente, atteint son objectif ; le test d'efficacité opérationnelle vérifie qu'il a bien fonctionné sur la période. AS 2201 est explicite sur un point qui surprend souvent les équipes : l'entretien seul ne constitue jamais une preuve suffisante.

La norme ne fixe aucune taille d'échantillon. Les grilles couramment utilisées, de l'ordre de 25 tests pour un contrôle quotidien et de 2 pour un contrôle annuel, relèvent des méthodologies de cabinets et de la pratique de place. Ce qui est normatif, c'est la proportionnalité : plus le risque associé à un contrôle est élevé, plus la preuve attendue est étendue. Les contrôles généraux informatiques occupent à cet égard une place à part, puisqu'une défaillance d'habilitations ou de gestion des changements invalide d'un coup les contrôles applicatifs qui en dépendent.

C'est aussi sur ce terrain que l'analyse exhaustive change la conversation. Tester 25 écritures sur un journal qui en compte 400 000 renseigne sur la régularité du processus, pas sur les cas rares : les anomalies recherchées sont construites pour ressembler au reste et échappent par nature à un tirage de cette taille. Une analyse portant sur la totalité des transactions produit la liste des exceptions réelles plutôt qu'un échantillon extrapolé.

Le rôle de l'audit interne

AS 2201 autorise l'auditeur externe à utiliser les travaux d'autrui, dont ceux de l'audit interne. Deux critères conditionnent cette réutilisation : la compétence et l'objectivité. Plus ces qualités sont élevées, plus l'auditeur peut s'appuyer sur les travaux ; il ne doit pas utiliser ceux de personnes dont l'objectivité est faible, quel que soit leur niveau technique.

Il n'existe pas d'interdiction formelle de réutilisation sur les contrôles risqués, mais une règle graduée : à mesure que le risque augmente, l'auditeur doit réaliser davantage de travaux lui-même. L'enjeu est économique : des travaux internes solides réduisent l'étendue des tests externes. L'enquête KPMG 2025 nuance l'argument, puisque 90 % des organisations interrogées ne savent pas chiffrer les économies d'honoraires ainsi obtenues.

Reste l'indépendance. Une équipe qui conçoit les contrôles, les documente et les teste s'expose au risque d'auto-révision, incompatible avec le critère d'objectivité du PCAOB comme avec les normes internationales d'audit interne de l'IIA. La réponse la plus courante sépare une équipe conformité SOX rattachée à la direction financière d'un audit interne rattaché au comité d'audit.

Ce qui change en 2026

La norme PCAOB QC 1000 sur les systèmes de contrôle qualité des cabinets entre en application le 15 décembre 2026, après un report d'un an décidé en août 2025. Des amendements adoptés par le Board le 9 septembre 2026 attendent l'approbation de la SEC ; ils suppriment l'obligation de fonction de contrôle qualité externe et ramènent la conservation de la documentation de sept à cinq ans. Les paragraphes 09 et 99 d'AS 2201 sont amendés à la même date.

Une proposition de la SEC publiée le 19 mai 2026 réorganiserait par ailleurs les catégories d'émetteurs autour de deux statuts et relèverait le seuil de large accelerated filer de 700 millions à 2 milliards de dollars de flottant. Seuls ces émetteurs resteraient soumis à l'attestation 404(b), soit 19,2 % des sociétés déclarantes actuelles selon la fiche publiée par la SEC. La période de commentaires s'est achevée le 20 juillet 2026 et le texte n'est pas adopté : à suivre, pas à intégrer dans un plan de conformité.

La SEC a enfin ouvert en juin 2025 une réflexion sur la définition même du foreign private issuer, avec l'idée d'exiger un volume d'échanges significatif hors des États-Unis. Plus de 90 contributions ont été déposées, sans projet de règle à ce stade.

Comment préparer un audit SOX

La préparation commence par la matrice risques-contrôles, qui relie chaque compte significatif à ses assertions puis à un ou plusieurs contrôles clés. C'est le document que l'auditeur ouvre en premier. Trois chantiers conditionnent ensuite l'année :

• La documentation des contrôles. Chaque contrôle indique qui l'exécute, à quelle fréquence, sur quelle source de données et avec quelle preuve conservée. Un contrôle réel mais non documenté est traité comme inexistant.
• La piste d'audit. La preuve doit montrer que le contrôle a été exécuté à la date prévue ; les horodatages système sont plus solides qu'une signature apposée après coup.
• L'audit à blanc. Tester les contrôles sur un trimestre intermédiaire laisse le temps de corriger et de constituer un historique d'efficacité avant la clôture.

Le calendrier se tend toujours au même endroit, la clôture annuelle, où les contrôles de consolidation, les écritures manuelles et les estimations concentrent l'attention de l'auditeur. Avancer les tests sur les cycles achats et ventes libère de la capacité à ce moment-là.

L'automatisation pèse directement sur cette charge. L'enquête KPMG 2025 relève que 17 % seulement des contrôles sont automatisés, en recul par rapport à l'exercice 2022, alors que le nombre moyen de systèmes dans le périmètre est passé de 17 à 40. Une plateforme d'audit analytics connectée aux ERP exécute les contrôles à chaque extraction de données et produit la preuve au format attendu sans reconstitution manuelle. La plateforme Supervizor couvre de cette façon les cycles achats, ventes, trésorerie, comptabilité générale et notes de frais, ainsi que les habilitations utilisateurs côté ITGC.

Que se passe-t-il en cas d'échec ?

L'échec d'un audit SOX prend une forme précise : l'identification d'une faiblesse significative, ou material weakness. Une déficience atteint ce niveau lorsqu'il existe une possibilité raisonnable qu'une anomalie significative des comptes ne soit ni prévenue ni détectée en temps voulu. La gravité s'apprécie sur ce potentiel, pas sur la survenance effective d'une erreur.

Le contrôle interne ne peut alors pas être considéré comme efficace et l'auditeur émet une opinion défavorable sur l'ICFR. Un point est régulièrement mal compris : cette opinion n'emporte aucune conséquence automatique sur l'opinion relative aux comptes, puisqu'une faiblesse significative peut exister alors même que les états financiers ne comportent pas d'anomalie.

Suivent la publication de la faiblesse dans le rapport annuel, l'exposé du plan de remédiation, puis un retest l'année suivante. La radiation de la cote n'est pas une sanction prévue à ce titre : le risque vient des retards de dépôt. L'étude d'Audit Analytics sur dix-sept ans de publications 404 relevait 4,6 % d'attestations défavorables d'auditeur sur l'exercice 2020, dernier millésime publié de cette série.

La remédiation est le moment où la traçabilité compte le plus, puisqu'il faut démontrer l'efficacité sur une période continue. Un suivi structuré des anomalies et de leur résolution, comme celui du module investigation et reporting, évite de reconstituer cet historique dans un tableur au moment du retest.

Conclusion

L'écart entre SOX et le cadre français tient moins à l'ambition affichée qu'au niveau de preuve exigé : décrire son dispositif d'un côté, démontrer son fonctionnement contrôle par contrôle de l'autre. Pour une filiale française, la façon la plus efficace de réduire la charge consiste à produire cette preuve en continu plutôt qu'à la clôture, et à solidifier les travaux internes pour que l'auditeur s'y appuie. Voir comment Supervizor accompagne les programmes de conformité.