Comment auditer les comptes d'une entreprise utilisant la blockchain pour certaines transactions ?

L'utilisation de la blockchain dans la comptabilité et la gestion d'entreprise est en plein essor en France. Certaines sociétés, notamment dans les secteurs financiers, logistiques ou technologiques, intègrent déjà cette technologie pour enregistrer et tracer leurs opérations.
Mais cette innovation pose un nouveau défi : comment auditer des comptes appuyés sur un registre décentralisé et immuable ?

L'audit doit s'adapter à un environnement où les preuves d'opérations ne se trouvent plus dans des livres comptables internes, mais dans un réseau distribué et cryptographiquement sécurisé.

1. Comprendre le fonctionnement et le périmètre de la blockchain utilisée

Avant toute vérification, l'auditeur doit identifier le type de blockchain mis en oeuvre et son rôle dans le système d'information comptable.

Les principales questions à se poser sont :

La blockchain est-elle publique (ex. Ethereum, Bitcoin) ou privée / permissionnée (ex. Hyperledger, Corda) ?
Quelles transactions y sont enregistrées (paiements, contrats, factures, titres financiers, etc.) ?
Quelle est la liaison entre la blockchain et les comptes comptables (via API, ERP, logiciel comptable, etc.) ?

Cette phase de compréhension est cruciale pour déterminer la portée de l'audit et les points de contrôle pertinents.
En France, la CNCC (Compagnie Nationale des Commissaires aux Comptes) recommande aux auditeurs d'effectuer cette cartographie technologique avant toute mission impliquant la blockchain.

2. Vérifier l'intégrité et la fiabilité des données enregistrées sur la blockchain

L'auditeur doit s'assurer que les transactions inscrites sur la blockchain sont intègres, exactes et exhaustives.
Grâce à la nature immuable du registre, il est possible de vérifier la cohérence cryptographique des blocs : chaque transaction validée est horodatée et liée aux précédentes par un hash unique.

Les vérifications clés incluent :

Le contrôle des clés publiques et privées associées à l'entreprise (propriété et sécurité) ;
La vérification de l'intégrité des blocs à l'aide des outils d'audit blockchain (par ex. Chainalysis, BlockSci, Elliptic) ;
La validation des enregistrements avec les justificatifs hors chaîne (factures, contrats, preuves de livraison).
Exemple : si une entreprise enregistre des paiements fournisseurs via smart contract, l'auditeur doit s'assurer que les montants inscrits sur la blockchain correspondent bien aux factures et qu'ils ont été intégrés dans la comptabilité.

3. Contrôler le lien entre la blockchain et la comptabilité

La blockchain ne remplace pas la comptabilité, mais elle devient une source de preuve.
L'auditeur doit donc examiner comment les informations issues de la blockchain sont intégrées dans le système comptable :

Synchronisation entre blockchain et ERP ou logiciel comptable ;
Cohérence entre les soldes blockchain (ex. actifs numériques, tokens) et les écritures comptables correspondantes ;
Validation des mécanismes d'importation automatique (API, scripts, oracles) pour éviter toute manipulation.

Le contrôle de ces interfaces est essentiel, car une erreur de transfert de données pourrait fausser les états financiers, même si la blockchain elle-même est fiable.

4. Auditer les smart contracts

Les smart contracts sont des programmes informatiques exécutés automatiquement sur la blockchain lorsqu'une condition est remplie (par exemple, le paiement d'un fournisseur après livraison).
L'auditeur doit vérifier :

Le code source du smart contract (pour comprendre la logique comptable ou financière qu'il applique) ;
Les conditions d'exécution et les événements déclencheurs ;
Les tests de fonctionnement réalisés avant la mise en production.

En France, les cabinets d'audit commencent à s'équiper de spécialistes en audit technologique capables d'analyser le code des smart contracts.
Des outils comme MythX ou Slither permettent de détecter les failles de sécurité ou les anomalies logiques.

5. Évaluer les risques spécifiques liés à la blockchain

L'audit d'une entreprise utilisant la blockchain implique de prendre en compte des risques nouveaux :

Risque	Description	Réponse de l'auditeur
Cyber-risque	Vol de clés privées ou piratage de portefeuilles	Vérification des procédures de sécurité et de sauvegarde
Risque de conformité	Non-respect des normes comptables sur les actifs numériques	Vérification de la comptabilisation selon le règlement ANC 2020-01
Risque d'opacité	Difficulté d'interprétation des transactions anonymes	Analyse des adresses connues et traçabilité des flux
Risque de dépendance technologique	Externalisation du registre sur une plateforme tierce	Évaluation de la gouvernance du réseau et des prestataires

L'auditeur doit adapter son approche par les risques et sa planification d'audit en fonction de ces éléments.

6. Exploiter les outils d'audit blockchain (Blockchain Auditing Tools)

L'audit blockchain repose de plus en plus sur des outils spécialisés, capables d'extraire et d'analyser les données inscrites dans les blocs.
Ces solutions permettent de :

Reconstituer les transactions liées à une entreprise ;
Vérifier les soldes d'actifs numériques ;
Détecter les anomalies ou les flux inhabituels.

Exemples d'outils utilisés :

BlockAudit : vérification des transactions comptables sur blockchain privée ;
Elliptic & Chainalysis : traçabilité des flux crypto pour les entreprises régulées ;
Big Four Tools : PwC Halo ou EY Blockchain Analyzer, conçus pour l'audit blockchain à grande échelle.

7. Conformité et réglementation française

En France, le cadre réglementaire encadrant la blockchain s'appuie notamment sur :

Le règlement ANC no2020-01 concernant la comptabilisation des jetons et actifs numériques ;
Les directives de l'AMF sur les prestataires de services sur actifs numériques (PSAN) ;
Les recommandations du CSOEC et de la CNCC sur l'audit des entreprises blockchainisées.

L'auditeur doit s'assurer que les traitements respectent la réglementation comptable, fiscale et financière française, et que les données sont conservées dans le respect du RGPD.