Piste d'audit CSRD

Comment ça fonctionne

Pratique d'abord, norme ensuite. Sur les premiers exercices CSRD, la donnée publiée est calculée dans un Excel maître que personne ne sait reconstituer six mois plus tard. La donnée Scope 1 vit dans un système ; la donnée RH dans un autre ; les indicateurs Scope 3 dans une enquête fournisseurs partielle. Le classeur de consolidation est tenu par une personne qui n'a pas documenté ses jugements, et qui (quand on la rappelle en mai pour la signature) n'est plus dans l'entreprise.

Chez nos clients PME entrant dans le périmètre 2026, le diagnostic est presque toujours le même. Pas de cartographie des données, pas de propriétaire désigné par indicateur, pas de procédures de revue documentées, et un dossier trop léger pour une revue ISAE 3000.

ESRS 1 exige ensuite deux choses qui doivent être documentées au papier de travail. D'abord, la traçabilité de la donnée elle-même : système source horodaté, méthode d'extraction, ajustements appliqués. Ensuite, la documentation des contrôles internes qui valident la donnée avant publication : qui revoit, sur quelle base, avec quel seuil de tolérance. ISAE 3000 (révisée) cadre l'effort attendu en assurance limitée et en assurance raisonnable, et l'écart d'effort entre les deux niveaux porte précisément sur cette documentation. ISSA 5000, l'expectation EFRAG la plus proche d'un standard d'assurance dédié à la durabilité, durcit cette exigence.

La zone grise se concentre sur trois zones bien identifiées par EFRAG et par l'AMF dans ses premières revues : Scope 3 catégorie 1 (achats), narratifs qualitatifs (politique RH, gouvernance climat) et données tierces (notations ESG, plateformes carbone). Pour le Scope 3, le fournisseur ne répond pas, ou répond avec un facteur d'émission générique sectoriel. Pour les narratifs, la donnée n'est pas chiffrée et la traçabilité passe par les comptes rendus de comité et les politiques signées. Pour la donnée tierce, l'enjeu est la fiabilité de la source : un score MSCI utilisé comme KPI publié dans le rapport doit être justifié, et la méthodologie MSCI n'est pas auditable au sens ISAE.

À six semaines de la signature, sur un dossier que nous avons repris en novembre 2025, la moitié des indicateurs Scope 3 reposait sur un fournisseur qui n'avait jamais répondu à un courriel. Notre forfait CSRD ne couvrait pas le travail de chasse aux preuves, et personne au cabinet ne l'avait anticipé. Voilà l'usine à gaz que la CSRD traîne déjà chez nos confrères, et c'est aussi le moment où l'on comprend pourquoi le dossier doit raconter une histoire : sans ce fil, l'attestation se construit phrase par phrase au lieu d'un seul mouvement.

Exemple : groupe industriel quatre sites, indicateur GHG Scope 1

Groupe industriel européen, quatre sites de production (France, Belgique, Italie, Pologne), 220 M EUR de chiffre d'affaires, premier exercice d'assurance ESRS limitée sur l'année civile 2025.

Indicateur testé : émissions GHG Scope 1, ESRS E1-6.

Source primaire. Compteurs gaz et électricité par site, relevés mensuels par le responsable HSE local, consolidés dans un fichier Excel partagé. Recoupement avec les factures fournisseurs énergie pour les douze mois.

Agrégation. Consolidateur Excel central, tenu par la direction RSE groupe, avec facteurs de conversion par type de combustible et par pays. Source des facteurs : ADEME pour la France, AIB pour les autres juridictions, dernière version disponible à la date de clôture.

Validation. Recoupement des MWh par site avec les factures fournisseurs, puis recoupement du total consolidé avec le compte de charge énergie en comptabilité analytique.

Complication au site polonais. Changement de fournisseur d'électricité en juillet 2025, contrat avec une part renouvelable garantie supérieure. Personne n'a ajusté le facteur d'émission dans le consolidateur : le contributeur local a continué d'utiliser le facteur du fournisseur précédent jusqu'en décembre. L'écart représente 4 % de l'émission Scope 1 totale du groupe, soit en dessous du seuil de matérialité quantitatif retenu en planification (5 %).

Le jugement professionnel commence ici. Quantitativement, ça passe. Qualitativement, l'écart révèle une faille de contrôle : aucun process pour mettre à jour les facteurs en cours d'année, aucun propriétaire désigné pour le faire. Notre position : nous documentons l'écart, nous signons sans réserve sur l'indicateur, et nous émettons une lettre de recommandation avec une déficience de contrôle interne classée significative. La direction RSE corrigera pour 2026 ou nous renforcerons les tests. Pourquoi cette posture plutôt qu'une réserve ? Parce qu'une réserve quantitativement non matérielle envoie un signal de marché disproportionné en année 1, et la lettre de recommandation oblige tout autant la direction à corriger sans contaminer l'opinion sur des indicateurs voisins.

Ce que les confrères trouvent mal documenté

Quatre constats reviennent dans les dossiers que nous avons revus en 2025.

Données non datées et non versionnées. Le fichier Excel arrive sans horodatage, propriétaire ni numéro de version. ESRS 1.15 exige une traçabilité qui permette à un confrère de rejouer le calcul. Sans date d'extraction, ce n'est pas possible.

Facteurs d'émission non justifiés. Une entité utilise un facteur personnalisé (0,085 kg CO2e/kWh pour l'électricité) sans citer la source, ni la date, ni la base de référence comparée. Une note d'une ligne suffit : « Facteur obtenu auprès du fournisseur le 10 novembre 2025, mix spécifique au contrat, comparé à ADEME 2024 ». Sans cette ligne, l'indicateur n'est pas auditable au sens ISAE 3000. Je l'avoue, c'est le constat que nous générons le plus souvent en revue, et il est aussi le plus rapide à corriger côté client.

Écarts entre la source et le publié, sans explication. L'ERP indique 180 salariés au 31 décembre. Mais le rapport publie une moyenne annuelle de 178. Aucun calcul de moyenne ni traitement des entrées/sorties dans le dossier. ESRS 2 demande des définitions et des ajustements explicites.

Décisions d'exclusion non documentées. Les déplacements domicile-travail ne sont pas inclus dans le Scope 3. La piste ne dit pas pourquoi : seuil de matérialité, données indisponibles, choix méthodologique. Lors de la revue de l'évaluation de matérialité l'année suivante, l'absence devient un point dur.

Le plaidoyer : la piste est la condition de l'opinion

Une objection raisonnable nous est opposée régulièrement par des directions financières. Les indicateurs CSRD sont déjà publiés dans le rapport intégré et dans la déclaration de performance extra-financière depuis plusieurs années, donc traçables par construction.

L'objection ne tient pas. Un indicateur publié n'est pas un indicateur auditable. Le rapport intégré et la DPEF reposaient sur un cadre déclaratif, sans exigence d'attestation par un tiers indépendant au niveau ESRS. Quand le commissaire aux comptes (CAC) ou le prestataire indépendant signe une attestation ISAE 3000 sur la déclaration CSRD, il engage sa responsabilité civile et professionnelle sur la fidélité de la donnée. Sans piste reconstituable, il ne peut pas exprimer cette opinion sans réserve.

Verdict : la piste d'audit CSRD n'est pas un livrable annexe à l'attestation. C'est la condition de l'attestation.

Désaccord légitime entre confrères

Sur la position à tenir en première année quand la piste est manifestement incomplète, deux postures défendables circulent en réunion technique de cabinet.

Partner A : on documente une limitation d'étendue claire (Scope 3, fournisseurs non-répondants, narratifs qualitatifs sans piste reconstituable) et on signe avec une réserve délimitée. Argument : l'année 1 est par nature transitoire en assurance limitée, EFRAG et l'AMF ont été clairs sur la tolérance attendue, et un refus de signer revient à pénaliser l'entité pour un défaut systémique du marché.

Partner B : on refuse la signature tant que la piste n'est pas reconstituée sur les indicateurs matériels, et on traite le passage 2028 à l'assurance raisonnable comme la vraie échéance dès aujourd'hui. Argument : une réserve sur la première année devient structurelle, le cabinet la portera sur trois exercices au minimum, et le marché des assureurs ESG ne se professionnalisera que si les confrères tiennent la ligne maintenant, pas en 2028 quand la H2A aura les outils d'inspection.

Les deux positions sont défendables. Notre cabinet penche pour A en assurance limitée année 1 et pour B en assurance raisonnable, mais la décision dépend du dossier, de la matérialité des indicateurs concernés et de la qualité du dialogue avec la direction RSE. Nous ne nous illusionnons pas : la posture A devient intenable dès que la H2A publie sa première synthèse de revues, et c'est probablement la fenêtre 2026-2027.

Pourquoi ça vaut le coût du retrofit, à notre avis

Le vrai livrable d'une mission CSRD n'est pas l'attestation. À notre avis, c'est la cartographie des données et la documentation des contrôles internes qui rendent l'attestation rentable la deuxième année. Pourquoi : sans ce travail de fond, chaque exercice repart à zéro, le forfait ne tient plus, et le cabinet absorbe la dérive ou facture du temps additionnel que le client refusera.

L'absence de piste d'audit ne reflète pas un défaut de discipline chez nos clients. Elle reflète le fait que les outils ESG ont été achetés pour produire un rapport de communication, pas une donnée auditable. Le coût de retrofit (cartographie, propriétaires d'indicateurs, contrôles documentés, basculement du consolidateur Excel vers un outil avec piste système) dépasse souvent le coût d'avoir bâti dès le départ.

Voilà l'insight de second ordre : un cabinet qui pousse le retrofit en année 1 transfère silencieusement le coût de mise en conformité du forfait d'audit vers le budget projet du client, là où il appartient. Un cabinet qui l'absorbe parce qu'il n'ose pas négocier découvre en année 3 qu'il finance la transition CSRD de son client sur ses propres marges. C'est la même mécanique perverse que l'on observe sur les premiers déploiements ISAE 3402 il y a quinze ans.

Termes connexes

- Matérialité double : le seuil au-delà duquel une donnée de durabilité est significative à la fois pour les utilisateurs financiers et pour les parties prenantes affectées par les impacts. - ESRS 1 : le cadre transverse qui pose les principes de la piste d'audit et de la traçabilité. - Assurance ESRS limitée : niveau d'assurance ISAE 3000 attendu sur les premiers exercices CSRD, avant la bascule vers l'assurance raisonnable. - Facteur d'émission : coefficient de conversion qui transforme une donnée physique (MWh, litres, kg) en équivalent CO2. - Scope 1, 2, 3 (GHG) : classification des émissions selon leur source (directes, indirectes énergie, indirectes chaîne de valeur amont et aval).

---