SOX 404 expliqué : 404(a), 404(b) et qui doit s'y conformer

Deux sociétés cotées aux États-Unis peuvent toutes deux se déclarer conformes à SOX 404 sans avoir produit le même travail. La première a publié une évaluation de son contrôle interne signée par sa direction. La seconde a fait auditer ce même dispositif par son auditeur externe, pour un coût sans commune mesure. L'écart vient d'une catégorie administrative, le filer status, calculée à partir du flottant public. Cet article détaille ce qu'exige la Section 404, qui relève de la seule 404(a), qui relève aussi de la 404(b), et ce que la proposition de la SEC de mai 2026 pourrait changer. Pour le cadre général de la loi, le guide complet de la loi SOX sert de point de départ.

Ce qu'exige la Section 404

La Section 404 du Sarbanes-Oxley Act, codifiée à 15 U.S.C. § 7262, porte sur le contrôle interne relatif à l'information financière (ICFR, internal control over financial reporting). Elle ne traite ni de la cybersécurité, ni de la conformité au sens large, ni des contrôles opérationnels sans incidence sur les comptes publiés.

Deux obligations distinctes en découlent. La 404(a) impose à la direction de déclarer sa responsabilité dans l'établissement d'un dispositif de contrôle interne adéquat, puis d'évaluer son efficacité à la clôture. La 404(b) impose à l'auditeur externe d'attester cette évaluation et d'émettre son propre rapport.

Les modalités pratiques figurent dans les règles de la SEC, pas dans la loi. L'Item 308 du Regulation S-K fixe le contenu du rapport de la direction : déclaration de responsabilité, référentiel de contrôle utilisé, conclusion sur l'efficacité, et mention du rapport de l'auditeur lorsqu'il existe. L'absence de cette dernière mention revient régulièrement dans les lettres de commentaires de la SEC.

Le référentiel retenu est presque toujours le COSO 2013. La SEC ne l'impose pas nommément mais en exige l'équivalent : un cadre reconnu, publié et soumis à commentaires. Ses cinq composantes structurent alors le périmètre de l'évaluation, du pilotage par la direction jusqu'aux contrôles d'application. Les principes de ce référentiel sont détaillés dans notre article sur le contrôle interne.

404(a) et 404(b) : qui signe quoi

La 404(a) est signée par la direction générale et la direction financière. Elle s'applique à tous les émetteurs assujettis au reporting périodique auprès de la SEC, sans exception de taille. Une société de 40 millions de dollars de flottant produit le même type de conclusion qu'un groupe du S&P 500 : son contrôle interne est efficace, ou il ne l'est pas.

La 404(b) est signée par le cabinet qui certifie les comptes. La loi précise que cette attestation ne peut pas faire l'objet d'une mission séparée, ce qui a donné naissance à l'audit intégré décrit par la norme AS 2201 du PCAOB.

L'auditeur y applique une approche descendante. Il part des états financiers et des contrôles au niveau de l'entité, identifie les comptes significatifs et leurs assertions, puis sélectionne les contrôles répondant aux risques d'anomalie significative. Il peut s'appuyer sur les travaux de l'audit interne selon leur compétence et leur objectivité, l'un des rares leviers de coût à la main de l'entreprise.

Deux textes retirent la 404(b) du champ. La Section 989G du Dodd-Frank Act, promulguée le 21 juillet 2010, exempte de façon permanente les sociétés qui ne sont ni large accelerated filers ni accelerated filers. Le JOBS Act de 2012 exempte les emerging growth companies (EGC) pendant cinq exercices au plus après l'introduction en bourse. Dans les deux cas, la 404(a) reste due.

Quels groupes français sont concernés ?

Trois situations seulement placent une entreprise française dans le champ direct de la Section 404 :

• une société de droit français enregistrée auprès de la SEC et déposant un formulaire 20-F, qui relève de la 404(a) et, selon son filer status, de la 404(b) ;
• un programme d'ADR de niveau I négocié de gré à gré, hors champ sous l'exemption de la Rule 12g3-2(b) ;
• une filiale française d'un groupe américain coté, non assujettie en propre mais intégrée au périmètre de l'évaluation de sa maison mère.

Le premier cas est le plus visible. L'Item 15 du formulaire 20-F reprend le rapport de la direction sur l'ICFR et, le cas échéant, l'attestation de l'auditeur. TotalEnergies y est soumis depuis la cotation de ses actions ordinaires au NYSE le 8 décembre 2025, Sanofi via ses ADS au Nasdaq, de même que des biotechs comme Nanobiotix, Innate Pharma ou Inventiva, dont les rapports annuels 2025 incluent une attestation d'auditeur sur le contrôle interne.

Le deuxième repose sur une exemption automatique depuis octobre 2008 : l'émetteur qui publie en anglais les informations diffusées sur son marché principal échappe à l'enregistrement auprès de la SEC. Sans enregistrement, pas de 20-F, et donc pas de Section 404. C'est la configuration retenue par Orange après son retrait du NYSE en octobre 2024.

Le troisième est le plus fréquent et le moins anticipé. L'annexe B de la norme AS 2201 encadre cet arbitrage sous le terme de multiple locations scoping : l'attention portée à chaque entité est proportionnée au risque d'anomalie significative qui lui est associé. Aucun texte de la SEC ou du PCAOB ne fixe de seuil chiffré. Les pourcentages de chiffre d'affaires ou d'actifs consolidés utilisés en pratique relèvent des méthodologies des cabinets, ce qui explique qu'une filiale puisse entrer dans le périmètre une année et en sortir la suivante.

Le droit français n'impose rien d'équivalent. Le comité d'audit suit l'efficacité des systèmes de contrôle interne au titre du Code de commerce, mais il s'agit d'un suivi, non d'une affirmation d'efficacité opposable. Le rapport du président sur le contrôle interne, et le rapport du commissaire aux comptes qui l'accompagnait, ont été supprimés par l'ordonnance du 12 juillet 2017. Le cadre de référence de l'AMF reste d'application volontaire.

Le filer status : qui doit quoi

Le statut se détermine à partir du flottant public mesuré au dernier jour ouvré du deuxième trimestre, complété depuis 2020 par un test de chiffre d'affaires. Les seuils d'entrée et de sortie diffèrent, pour éviter qu'une société change de catégorie à chaque variation de cours.

Les deux premières catégories supposent en outre douze mois d'assujettissement au reporting et au moins un rapport annuel déposé.

La modification la plus structurante date du 12 mars 2020. La SEC a ajouté une condition aux définitions d'accelerated filer et de large accelerated filer : la société ne doit pas être éligible au statut de smaller reporting company par le test de chiffre d'affaires, fixé à moins de 100 millions de dollars. Plus de 500 émetteurs sont ainsi sortis de l'obligation 404(b), pour une économie estimée par la SEC à environ 210 000 dollars par société et par an.

Un chevauchement subsiste et surprend régulièrement les équipes financières. Une société dont le flottant se situe entre 75 et 250 millions de dollars avec un chiffre d'affaires d'au moins 100 millions reste à la fois smaller reporting company et accelerated filer. Elle bénéficie des allègements de publication mais reste soumise à l'attestation de l'auditeur.

Le calendrier d'une société nouvellement cotée

Le premier rapport annuel suivant l'introduction en bourse est exempté de l'évaluation 404(a). Le 10-K doit alors comporter une mention explicite indiquant que ni le rapport de la direction ni celui de l'auditeur ne sont inclus, en raison de la période de transition prévue pour les sociétés nouvellement cotées. L'omission de cette mention figure parmi les motifs récurrents de commentaires de la SEC.

À partir du deuxième rapport annuel, la 404(a) devient due sans condition. La 404(b) suit la première mesure du flottant, à la clôture du deuxième trimestre de l'exercice suivant l'introduction. Une société non EGC dont le flottant dépasse 75 millions de dollars bascule donc dans l'audit intégré dès son deuxième 10-K, soit environ dix-huit mois après son entrée en bourse.

Une EGC dispose au maximum de cinq exercices. Le statut se perd aussi dès le franchissement de l'une de ces limites :

• 1,235 milliard de dollars de chiffre d'affaires annuel ;
• plus d'un milliard de dollars de dette non convertible émise sur trois ans ;
• l'accession au statut de large accelerated filer.

Ce décalage a une conséquence opérationnelle directe : le dispositif doit être en place bien avant que l'obligation ne s'applique, puisque l'auditeur teste des contrôles ayant fonctionné sur l'ensemble de l'exercice.

Faiblesse significative et déficience significative

La norme AS 2201 hiérarchise trois niveaux :

• déficience de contrôle : la conception ou le fonctionnement d'un contrôle ne permet pas de prévenir ou de détecter une anomalie en temps voulu ;
• déficience significative : moins grave qu'une faiblesse significative, mais assez importante pour mériter l'attention des organes chargés de la surveillance de l'information financière ;
• faiblesse significative : une déficience, seule ou combinée à d'autres, créant une possibilité raisonnable qu'une anomalie significative des comptes annuels ou intermédiaires ne soit pas prévenue ou détectée en temps voulu.

La distinction n'a rien de théorique. La gravité s'apprécie indépendamment de la survenance effective d'une anomalie : un contrôle qui aurait pu laisser passer une erreur significative est qualifié de faiblesse significative même si aucune erreur n'est intervenue.

Une seule faiblesse significative interdit à la direction de conclure que le contrôle interne est efficace, et conduit l'auditeur à une opinion défavorable. La déficience significative, elle, se communique au comité d'audit sans publication.

Attention à l'adjectif « significatif », qui porte en français les deux niveaux. Dans les échanges avec un auditeur américain, préciser significant deficiency ou material weakness évite des malentendus coûteux en comité d'audit.

L'écart de fréquence entre catégories de déclarants est marqué. L'analyse économique publiée par la SEC en mai 2026 indique que 41,8 % des non-accelerated filers déclarent un contrôle interne non efficace, contre 15,7 % des accelerated filers et 5,2 % des large accelerated filers.

Ce que coûte la conformité SOX 404 en 2026

L'enquête SOX de KPMG, menée auprès d'environ 150 professionnels, documente le mieux la dérive constatée entre les exercices 2022 et 2024.

La ligne la plus parlante est la dernière. Le nombre de contrôles clés progresse de 18 %, le nombre de systèmes dans le périmètre passe de 17 à 40, et la part de contrôles automatisés recule. L'effort supplémentaire est absorbé par du test manuel, par échantillonnage, sur un périmètre qui s'étend plus vite que la capacité à l'automatiser.

La réponse dominante consiste à acheter de la capacité plutôt qu'à réduire le volume de tests. Toujours selon KPMG, 58 % des sociétés externalisent désormais plus d'un cinquième de l'effort, et 90 % d'entre elles sont incapables de chiffrer les économies d'honoraires obtenues lorsque l'auditeur s'appuie sur leurs propres travaux.

Les enquêtes de Protiviti confirment la trajectoire des heures : 53 % des répondants déclaraient une hausse en 2022, 58 % en 2023, avec une part croissante du coût confiée à des prestataires externes. Du côté du régulateur, l'estimation de 210 000 dollars d'économie annuelle par société exemptée de 404(b) reste la seule référence publique sur le coût marginal de l'attestation.

L'exemption 404(b) va-t-elle évoluer ?

La SEC a publié le 19 mai 2026 une proposition de réforme du filer status (Release 33-11419). Elle n'est pas adoptée : la période de commentaires s'est close le 20 juillet 2026 et aucune règle définitive n'a été publiée. Trois changements en forment le cœur :

• le seuil du statut de large accelerated filer passerait de 700 millions à 2 milliards de dollars de flottant, calculé sur la moyenne des dix dernières séances du deuxième trimestre et apprécié sur deux exercices consécutifs ;
• les catégories d'accelerated filer et de smaller reporting company disparaîtraient, toute société non classée large accelerated filer devenant non-accelerated filer, donc exemptée de 404(b) ;
• soixante mois consécutifs de reporting seraient exigés avant tout accès au statut supérieur, ce qui exonérerait d'attestation toute société nouvellement cotée pendant cinq ans, quelle que soit sa taille.

L'effet est documenté par la SEC elle-même : 80,8 % des sociétés déposant sur formulaires domestiques deviendraient non-accelerated filers, contre 51,9 % aujourd'hui. Ce pourcentage porte sur un nombre de sociétés, pas sur la capitalisation. Ces 80,8 % représentent 6,5 % du flottant total.

L'opposition s'est concentrée sur ce point. Le Council of Institutional Investors, dans sa lettre du 16 juillet 2026, soutient la simplification du cadre mais rejette l'extension de l'exemption et la fenêtre de cinq ans sans condition de taille, en relevant qu'environ 1 596 sociétés aujourd'hui soumises à l'attestation en sortiraient. Le Center for Audit Quality a pris une position comparable. Pour un groupe français coté aux États-Unis, le calendrier d'une éventuelle entrée en vigueur reste inconnu.

Construire un programme 404 qui tient dans la durée

Les chiffres de KPMG décrivent un programme qui grossit plus vite qu'il ne gagne en efficacité. Quarante systèmes dans le périmètre, 546 contrôles clés, et une part de tests automatisés qui recule : chaque ERP intégré après une acquisition ajoute des contrôles manuels à tester par sondage.

Le levier le plus direct porte sur la nature de la preuve. Un test par échantillonnage sur 25 ou 40 pièces documente le fonctionnement d'un contrôle à un instant donné et laisse le reste de la population hors champ. Tester l'intégralité des transactions à chaque extraction inverse ce rapport : l'anomalie apparaît quand elle se produit, et le test cesse d'être un exercice ponctuel de fin d'exercice. C'est le principe sur lequel repose Supervizor, dont les 350 contrôles prêts à l'emploi couvrent les cycles achats, ventes, trésorerie, notes de frais et clôture, sur 100 % des écritures.

Deux effets intéressent directement un responsable de programme SOX. Une faiblesse significative détectée en novembre coûte moins cher à corriger qu'une faiblesse découverte pendant les travaux d'audit de février. Et l'appui de l'auditeur sur les travaux internes, prévu par AS 2201, suppose une documentation homogène et reproductible, condition rarement remplie par des fichiers de travail reconstitués chaque année.

La question de l'outillage se pose alors au même niveau que celle du périmètre, et rejoint le choix plus large d'un logiciel d'audit interne.

Conclusion

La première question à trancher porte sur le statut, pas sur les contrôles : le flottant mesuré au dernier jour ouvré du deuxième trimestre détermine l'essentiel du coût de l'année suivante. La proposition de la SEC de mai 2026 pourrait retirer l'attestation d'auditeur à une large part des émetteurs, sans calendrier arrêté. En attendant, l'écart entre un programme 404(a) et un programme 404(b) se mesure en millions de dollars et en centaines d'heures de test.