Conformité SOX : le guide complet 2026

En mars 2026, la SEC a constitué un « SOX Group » au sein de sa division Enforcement. Contrairement à ce que son nom laisse penser, ce groupe ne vise pas les émetteurs. Son mandat est d'enquêter sur les cabinets d'audit qui manquent aux normes professionnelles et aux dispositions de la loi Sarbanes-Oxley.

Le signal compte pour les directions financières : la pression sur la qualité des preuves d'audit se répercute sur ce que les auditeurs exigent de leurs clients. Ce guide couvre le périmètre de SOX, les cinq sections qui structurent la conformité, les entreprises françaises concernées, les coûts constatés, les évolutions de 2026 et la façon de passer de la documentation à la preuve.

Qu'est-ce que la loi SOX ?

Le Public Company Accounting Reform and Investor Protection Act, signé le 30 juillet 2002 et universellement appelé loi Sarbanes-Oxley, est la réponse du Congrès américain aux faillites d'Enron et de WorldCom.

Son principe tient en une phrase. Les dirigeants engagent personnellement leur responsabilité sur la fiabilité des comptes publiés, et cette fiabilité doit reposer sur un contrôle interne documenté, testé et auditable.

Le texte a créé le PCAOB (Public Company Accounting Oversight Board). Ce régulateur enregistre les cabinets qui auditent des sociétés cotées, les inspecte, fixe leurs normes et les sanctionne, sous la tutelle de la SEC. L'audit légal des sociétés cotées aux États-Unis a cessé d'être autorégulé à cette date.

Le concept central de SOX est l'ICFR, pour internal control over financial reporting. Il désigne les procédures qui donnent une assurance raisonnable sur la fiabilité de l'information financière. La quasi-totalité des émetteurs s'appuie pour cela sur le référentiel COSO Internal Control – Integrated Framework de 2013.

Deux limites méritent d'être posées d'emblée :

• SOX ne couvre que l'information financière. Un dispositif jugé efficace ne dit rien du risque de taux, du risque de liquidité ou de la gestion des risques opérationnels.
• SOX ne s'applique qu'aux émetteurs enregistrés auprès de la SEC. Cela exclut un grand nombre de sociétés que l'on croit parfois concernées.

Pour une vue d'ensemble des dispositifs applicables en France, voir le guide de la conformité et la page dédiée à la conformité réglementaire.

Quelles entreprises françaises sont concernées ?

La réponse ne tient pas à la nationalité de la société, mais à son statut auprès de la SEC. Trois situations existent.

Les émetteurs français enregistrés auprès de la SEC. Ils déposent un rapport annuel de forme 20-F, au titre du régime des foreign private issuers, ou de forme 10-K lorsqu'ils ont opté pour le régime domestique.

Au titre de l'exercice 2025, on trouve Sanofi, TotalEnergies, Valneva, Cellectis, Abivax, Nanobiotix, Innate Pharma, Inventiva et Sequans pour le 20-F, ainsi que Criteo, DBV Technologies et EDAP TMS pour le 10-K. La liste se resserre : Orange s'est désenregistrée en octobre 2024 et Genfit en novembre 2025.

Les filiales françaises de groupes cotés aux États-Unis. C'est de loin la population la plus nombreuse, et celle qui est le plus souvent prise au dépourvu.

L'obligation du §404 porte sur l'ICFR de l'émetteur relatif à ses états financiers consolidés. Toute entité consolidée entre donc a priori dans le champ, l'inclusion effective dépendant d'une analyse de matérialité et de risque. Une filiale française significative se verra imposer un référentiel de contrôles, des campagnes de tests et une documentation probante, sans que SOX ne lui soit juridiquement applicable en propre.

Les sociétés en cours d'introduction en bourse aux États-Unis. Elles bénéficient d'un sursis. Aucune attestation d'auditeur n'est due au titre du premier rapport annuel, et le statut d'emerging growth company issu du JOBS Act prolonge cette exemption jusqu'à cinq exercices.

Une précision pour les équipes françaises. La Loi de sécurité financière du 1er août 2003, souvent présentée comme la SOX française, n'a jamais produit d'équivalent du §404.

Le rapport du président sur le contrôle interne qu'elle avait créé a été supprimé par l'ordonnance n° 2017-1162 du 12 juillet 2017. L'information figure désormais au 7° de l'article L.22-10-10 du Code de commerce, dans le rapport sur le gouvernement d'entreprise, sans attestation d'auditeur sur son efficacité ni certification pénale des dirigeants.

Les 5 sections qui structurent la conformité

La loi compte onze titres et une soixantaine de sections, mais cinq d'entre elles concentrent l'essentiel de la charge opérationnelle.

La confusion la plus fréquente oppose les sections 302 et 404. La 302 est une certification personnelle, trimestrielle et annuelle, dont la sanction relève du contentieux civil ou administratif. La 404 est une évaluation annuelle de l'ICFR, complétée par une attestation de l'auditeur au-delà des seuils.

Formulé autrement : la première engage des signatures, la seconde engage un dispositif.

Seconde confusion, entre les sections 302 et 906. La première est une certification réglementaire au contenu détaillé, poursuivie par la SEC. La seconde est une certification pénale beaucoup plus courte, poursuivie par le département de la Justice, dont les peines figurent parmi les plus lourdes du droit financier américain.

Une certification simplement erronée ne tombe pas sous le coup du §1350 : l'infraction suppose la connaissance de l'inexactitude.

La section 806 mérite une attention particulière pour les filiales, puisque la protection couvre les salariés des sous-traitants et des filiales d'émetteurs. Elle a connu une inflexion notable avec l'arrêt Murray v. UBS Securities, rendu à l'unanimité par la Cour suprême des États-Unis le 8 février 2024. Le lanceur d'alerte doit démontrer que son signalement a été un facteur contributif de la mesure subie, sans avoir à prouver une intention de représailles.

La charge bascule ensuite sur l'entreprise, qui doit établir par des preuves claires et convaincantes qu'elle aurait pris la même décision en l'absence de signalement. La barre s'est abaissée pour le salarié et relevée pour l'employeur.

Faiblesse significative et déficience significative

La graduation des défaillances est normée, et les mots ont un sens précis.

Une déficience de contrôle existe lorsque la conception ou le fonctionnement d'un contrôle ne permet pas, dans le cours normal des opérations, de prévenir ou de détecter une anomalie en temps voulu.

Une déficience significative est moins grave qu'une faiblesse significative, mais suffisamment importante pour mériter l'attention des organes chargés de superviser l'information financière. Elle se traite en interne, au niveau du comité d'audit.

Une faiblesse significative est une déficience, ou une combinaison de déficiences, telle qu'il existe une possibilité raisonnable qu'une anomalie significative des états financiers ne soit ni prévenue ni détectée en temps voulu. Elle doit être publiée.

Sa divulgation entraîne une opinion défavorable de l'auditeur sur l'ICFR et déclenche un plan de remédiation suivi par le comité d'audit.

Le point de bascule n'est donc pas la survenance d'une erreur, mais la possibilité raisonnable qu'une erreur significative passe à travers le dispositif. Un contrôle jamais exécuté peut suffire à constituer une faiblesse significative, même si aucune anomalie n'a été constatée sur la période.

Côté volumétrie, le rapport Ideagen Audit Analytics de mai 2026 recense 391 retraitements de comptes aux États-Unis en 2025, contre 477 en 2024. Les erreurs de classement entre dettes et capitaux propres arrivent en tête chaque année, dans 27 % des cas. Fait notable pour les groupes étrangers cotés aux États-Unis, les retraitements de foreign private issuers atteignent 52, leur plus haut niveau depuis 2007.

Ce que coûte la conformité SOX

L'enquête SOX 2025 de KPMG, menée auprès d'environ 150 responsables de programmes sur les données de l'exercice 2024, donne les ordres de grandeur les plus récents disponibles en source primaire.

L'inflation s'explique moins par un durcissement réglementaire que par l'expansion mécanique du périmètre. Le nombre de systèmes concernés a plus que doublé en deux exercices, et chaque système ajouté apporte ses contrôles d'accès, ses interfaces et ses tests.

La ligne la plus révélatrice est la dernière. La part de contrôles automatisés recule, ce qui signifie que les organisations répondent à l'extension du périmètre en ajoutant des contrôles manuels. La charge de test croît alors linéairement avec le nombre de systèmes.

Deux conséquences pratiques. D'abord, 90 % des organisations interrogées sont incapables de chiffrer les économies d'honoraires d'audit générées par la confiance que l'auditeur accorde à leurs propres travaux, ce qui prive les directions financières de leur meilleur argument d'investissement.

Ensuite, l'outillage existe mais reste périphérique : l'enquête Protiviti de 2023 relevait déjà 38 % d'utilisateurs de plateformes d'analytique et 36 % de surveillance continue, sans que la charge de test baisse pour autant.

Ce qui change en 2026

L'année est atypique. Trois mouvements se produisent simultanément : un durcissement de l'action répressive côté auditeurs, un allègement proposé côté émetteurs, et une recomposition du régulateur de l'audit.

Le SOX Group de la SEC. Les postes de Supervisory General Attorney (SOX Group) ont été publiés le 16 mars 2026, et Ryan Wolfe, chef comptable de la division Enforcement, en a confirmé l'existence lors de la conférence SEC Speaks des 19 et 20 mars 2026.

Le groupe enquête et plaide sur les manquements aux normes d'audit. La SEC n'a publié aucun communiqué officiel sur cette création. Le contexte est celui d'un repli de l'action répressive en matière comptable : selon Cornerstone Research, la SEC n'a engagé que 10 actions en matière comptable et d'audit en 2025, contre 31 en 2024.

Deux propositions de la SEC, non adoptées à ce jour. Le 19 mai 2026, la SEC a proposé de ramener à deux le nombre de catégories de déposants et de porter le seuil de large accelerated filer de 700 millions à 2 milliards de dollars de flottant, en réservant l'attestation du §404(b) à cette seule catégorie.

D'après la fiche de présentation de la SEC, la part des émetteurs concernés passerait de 35,4 % à 19,2 %. Le 5 mai 2026, une seconde proposition ouvrait la voie à un reporting semestriel optionnel, les certifications des dirigeants étant maintenues.

Ces deux textes restent au stade de projet. Les périodes de commentaires sont closes, aucune règle définitive n'a été publiée.

Un PCAOB recomposé. Erica Williams a été écartée de la présidence en juillet 2025. La SEC a nommé Demetrios Logothetis président le 30 janvier 2026, avec trois nouveaux membres, l'ensemble ayant prêté serment le 10 février 2026.

Le budget du régulateur a été réduit et la redevance acquittée par les émetteurs a baissé de 18,4 %. Les règles sur la publication d'indicateurs par les cabinets d'audit (firm metrics) ont été retirées en février 2025.

Deux échéances normatives à suivre. La norme AS 1000 s'applique aux exercices ouverts depuis le 15 décembre 2024. Elle réduit de 45 à 14 jours le délai d'archivage du dossier d'audit, ce qui avance d'autant les demandes de pièces adressées aux équipes financières.

Les amendements aux normes AS 1105 et AS 2301 sur l'analyse assistée par la technologie s'appliquent aux exercices ouverts depuis le 15 décembre 2025, donc aux audits en cours. La norme de qualité QC 1000 a été reportée au 15 décembre 2026.

Ce qui se passe en cas d'échec

Deux dossiers souvent cités côte à côte illustrent en réalité deux enseignements opposés.

Wirecard : ce qui se produit hors du périmètre SOX

Le cas Wirecard est régulièrement présenté comme un échec de SOX. Il n'en est pas un, et c'est ce qui le rend instructif.

La société allemande ne disposait que d'un programme d'ADR de niveau I, enregistré en 2013 et négocié hors cote. Ce véhicule ne crée aucune obligation de reporting auprès de la SEC : ni rapport 20-F, ni certification 302, ni évaluation 404, ni certification pénale 906.

En juin 2020, EY a refusé de certifier les comptes 2019. La société a reconnu que 1,9 milliard d'euros, censés figurer sur des comptes séquestres de deux banques philippines, n'existaient probablement pas. L'insolvabilité a été ouverte le 25 juin 2020.

Le procès pénal devant le tribunal de Munich, ouvert en décembre 2022, n'a toujours pas donné lieu à un jugement. Côté auditeur, l'APAS a interdit à EY Allemagne d'accepter de nouveaux mandats d'entités d'intérêt public pendant deux ans et prononcé une amende de 500 000 euros, décision publiée en avril 2023.

L'enseignement tient à ce qui manquait : aucun dispositif n'imposait à Wirecard de prouver chaque année l'existence de sa trésorerie par un contrôle testé par un auditeur indépendant.

Silicon Valley Bank : ce qu'un ICFR efficace ne couvre pas

SVB Financial Group présente le cas inverse. Pleinement soumise à SOX en tant que large accelerated filer, la société a déposé son rapport annuel le 24 février 2023.

La direction y conclut que l'ICFR était efficace au 31 décembre 2022, et KPMG a émis une opinion sans réserve sur cette efficacité. Aucune faiblesse significative n'a été déclarée. Quatorze jours plus tard, la banque était placée sous administration de la FDIC.

La revue publiée par la Réserve fédérale le 28 avril 2023 établit que le conseil d'administration et la direction n'ont pas géré leurs risques, et que la banque a modifié ses hypothèses de mesure du risque plutôt que de traiter les risques sous-jacents. Dès l'été 2022, la gouvernance et les contrôles étaient notés « deficient-1 » par le superviseur.

Il n'y a pas de contradiction entre ces deux faits. L'ICFR porte sur la fiabilité de l'information financière publiée, pas sur la gestion du risque de taux ou de liquidité. Une attestation 404(b) sans réserve ne constitue pas un satisfecit sur la solidité d'un bilan.

De la documentation à la preuve

L'écart le plus coûteux dans un programme SOX sépare l'existence documentée d'un contrôle de la preuve de son fonctionnement effectif sur l'ensemble de la période.

La norme AS 2201 distingue l'efficacité de conception, testée par des walkthroughs, de l'efficacité opérationnelle, qui suppose des tests sur une période suffisante. Une procédure écrite ou une matrice de séparation des tâches établissent la conception. Elles ne démontrent rien du fonctionnement.

Pour cette démonstration, trois modalités de sélection coexistent dans les normes du PCAOB :

• tester tous les éléments d'une population ;
• tester des éléments spécifiques ;
• recourir à l'échantillonnage, encadré par la norme AS 2315.

Le test exhaustif n'est donc pas une tolérance, c'est une modalité normative à part entière. Les amendements à la norme AS 1105 adoptés en juin 2024, applicables aux exercices ouverts depuis le 15 décembre 2025, précisent comment évaluer la fiabilité d'une information électronique et imposent d'investiguer les éléments que l'outil d'analyse signale. Le PCAOB y mentionne explicitement la possibilité de mettre en œuvre des procédures substantives sur l'ensemble des éléments d'une population.

La conséquence pratique est directe. Tant que les tests reposent sur des échantillons de 25 ou 40 pièces reconstitués manuellement, la charge croît avec le nombre de systèmes, ce que confirment les 546 contrôles clés et les 40 systèmes moyens relevés par KPMG.

Quand les contrôles s'exécutent sur 100 % des transactions à chaque extraction, la question du dimensionnement de l'échantillon disparaît. La conversation avec l'auditeur porte alors sur la fiabilité de la donnée source.

C'est le principe de fonctionnement de Supervizor, qui se connecte aux ERP, standardise les données dans un modèle unique et exécute en continu plus de 350 contrôles prêts à l'emploi sur les cycles achats-fournisseurs, ventes-clients, comptabilité générale, trésorerie, notes de frais et droits d'accès. Chaque exécution produit une trace horodatée des anomalies et des investigations, utilisable comme élément probant.

Pour une comparaison des approches outillées, voir le comparatif des logiciels d'audit interne et la page consacrée au contrôle interne.

Checklist de conformité SOX

1. Cadrage du périmètre

• Déterminer le filer status et l'applicabilité du §404(b)
• Arrêter la liste des entités consolidées retenues, selon des critères de matérialité documentés
• Identifier les processus significatifs et les comptes associés
• Recenser les systèmes support, y compris les applications locales des filiales étrangères

2. Conception du dispositif

• Formaliser les matrices risques-contrôles par processus
• Distinguer les contrôles manuels, semi-automatisés et automatisés
• Documenter les contrôles généraux informatiques, en particulier les accès et les changements
• Vérifier la séparation des tâches sur les cycles sensibles

3. Tests et preuve

• Définir la stratégie de test par contrôle, en justifiant le choix entre exhaustivité, éléments spécifiques et échantillonnage
• Documenter la fiabilité des données extraites des systèmes, exigence renforcée par les amendements à AS 1105
• Conserver une trace horodatée et non modifiable de chaque exécution
• Anticiper le délai d'archivage de 14 jours imposé aux auditeurs par AS 1000

4. Gouvernance et remédiation

• Qualifier chaque déficience selon la graduation normée
• Suivre les plans de remédiation avec un responsable et une échéance
• Documenter les diligences de chaque signataire pour les certifications 302 et 906
• Fixer à l'avance la cadence de reporting au comité d'audit

Conclusion

La trajectoire 2026 est double. La SEC propose d'alléger l'attestation 404(b) pour une majorité d'émetteurs, tout en renforçant la poursuite des auditeurs.

Pour les groupes français concernés, directement ou via leur maison mère américaine, l'enjeu se déplace vers la qualité de la preuve. Avec 17 % de contrôles automatisés et des périmètres qui doublent, la marge de progression se trouve désormais dans la capacité à démontrer qu'un contrôle a réellement fonctionné sur l'ensemble de la population.

Pour aller plus loin : conformité financière en entreprise et Sapin 2 et FCPA, la double conformité.