Les nouveaux enjeux pour l'auditeur concernant la cybersécurité et la fraude numérique en France

1. Un contexte en profonde mutation numérique

La transformation digitale des entreprises françaises - facturation électronique, automatisation comptable, dématérialisation des flux financiers - a profondément modifié le périmètre du risque d'audit.
Les cyberattaques, les fuites de données et la fraude numérique (via l'usurpation d'identité, les faux ordres de virement, ou la manipulation de données comptables) représentent désormais des menaces directes pour la fiabilité de l'information financière.

Selon l'Agence nationale de la sécurité des systèmes d'information (ANSSI), le nombre d'incidents de cybersécurité déclarés par les entreprises françaises a triplé entre 2020 et 2024.
Les commissaires aux comptes sont donc appelés à adapter leurs diligences et à renforcer leurs compétences dans ce domaine.

2. L'obligation de compréhension du système d'information (NEP 315)

Conformément à la NEP 315, l'auditeur doit acquérir une compréhension suffisante du système d'information de l'entité, notamment :

• les mécanismes de sécurité informatique (pare-feu, gestion des accès, sauvegardes, chiffrement) ;

• les protocoles de continuité d'activité et de reprise après incident ;

• la protection des données comptables et financières contre les intrusions ou manipulations.

 L'objectif : identifier les risques de défaillance ou d'altération des données qui pourraient compromettre la sincérité des comptes.

3. Nouveaux risques liés à la fraude numérique

 Types de fraudes les plus rencontrées :

• FOVI (Fraude au Faux Ordre de Virement International) : usurpation d'identité d'un dirigeant pour ordonner un virement frauduleux.

• Ransomware : blocage des systèmes comptables avec demande de rançon.

• Manipulation des journaux comptables via un accès non autorisé au logiciel comptable.

• Fraudes sur la facturation électronique (usurpation d'identité, interception de factures, création de fausses entités).

• Phishing et vols d'identifiants bancaires liés aux outils de trésorerie ou ERP.

Ces risques ont un impact financier, mais aussi comptable et juridique, car ils peuvent fausser les états financiers ou retarder la clôture des comptes.

4. Les diligences spécifiques de l'auditeur face à la cybersécurité

Le commissaire aux comptes doit désormais inclure dans sa démarche :

• une évaluation des risques informatiques pertinents pour l'audit des comptes ;

• la vérification des contrôles internes liés à la sécurité des systèmes (authentification, sauvegardes, segmentation réseau) ;

• l'analyse des logs informatiques ou rapports de sécurité, lorsqu'ils ont un impact sur les écritures comptables ;

• l'examen des plans de continuité et de reprise d'activité (PCA/PRA).

En cas d'incident avéré, il doit évaluer les conséquences sur :

• la continuité d'exploitation (NEP 570),

• la valorisation des actifs informatiques,

• la présentation des pertes liées à une cyberattaque.

5. La coopération entre auditeurs et experts en cybersécurité

La NEP 620 prévoit que l'auditeur peut recourir à des experts indépendants lorsqu'il n'a pas la compétence technique nécessaire.
Ainsi, face à un système complexe (ERP international, cloud, IA comptable), le commissaire aux comptes peut s'appuyer sur :

• un expert en sécurité informatique pour évaluer la robustesse du SI ;

• un spécialiste en data analytics pour analyser les journaux d'accès et déceler les anomalies.

Cette collaboration est essentielle pour détecter les signes précurseurs d'une fraude numérique ou d'une manipulation de données.

6. L'impact du RGPD et du futur règlement NIS 2

En France, les auditeurs doivent aussi tenir compte du cadre réglementaire européen :

• Le RGPD (Règlement Général sur la Protection des Données) : impose des obligations de sécurité et de traçabilité des données personnelles, y compris dans les systèmes comptables.

• Le règlement NIS 2 (Network and Information Security Directive 2), applicable dès 2025, renforce les obligations de cybersécurité pour un grand nombre d'entreprises (PME comprises dans certains secteurs sensibles).

Ces textes augmentent les responsabilités légales des dirigeants... et donc le devoir de vigilance des auditeurs.

7. La communication des faiblesses de cybersécurité

Si l'auditeur identifie une faiblesse significative du dispositif de sécurité informatique pouvant entraîner une anomalie dans les comptes, il doit :

• la communiquer à la direction (NEP 265) ;

• éventuellement en faire mention dans sa lettre de recommandations ou son rapport général ;

• alerter le Comité d'audit ou le Conseil d'administration si le risque est critique.

En cas de cyberattaque majeure non révélée au public, le commissaire aux comptes peut être tenu de signaler le fait au procureur de la République (article L.823-12 du Code de commerce), s'il estime que l'infraction est caractérisée.

8. L'utilisation de la data et des outils d'audit numérique

Les auditeurs utilisent de plus en plus des outils d'analyse de données massives (Data Analytics) pour :

• détecter les transactions inhabituelles ou les modifications suspectes d'écritures ;

• croiser les logs de connexion, les journaux comptables et les factures ;

• évaluer la cohérence des flux financiers par des algorithmes de détection d'anomalies.

Ces outils permettent une détection plus rapide des fraudes numériques et renforcent la qualité de l'audit.

9. Les enjeux futurs pour la profession

D'ici 2026, plusieurs tendances devraient s'imposer :

• La formation obligatoire des commissaires aux comptes à la cybersécurité (CNCC, H3C) ;

• L'intégration d'un module "risques numériques" dans la planification d'audit ;

• L'utilisation d'IA de supervision des risques dans les audits financiers ;

• Une coopération accrue entre auditeurs, DSI, RSSI et autorités de contrôle (ANSSI, ACPR, AMF).

L'auditeur devient ainsi un acteur clé de la confiance numérique, garantissant non seulement la régularité des comptes, mais aussi la résilience du système d'information de l'entreprise.