Audit CSRD : comment se passe la certification du rapport de durabilité

Pour une ETI, l'audit CSRD est souvent le moment où le reporting de durabilité cesse d'être un exercice de communication pour devenir une information vérifiée, au même titre que les comptes. Un professionnel indépendant examine la méthode, les chiffres et la présentation du rapport de durabilité, puis signe un rapport destiné à l'assemblée. La mission obéit à une logique d'audit, avec ses exigences de preuve, son calendrier et ses conséquences si les données ne tiennent pas.

Le cadre a beaucoup bougé : report de la deuxième vague en 2025, puis directive Omnibus adoptée le 24 février 2026, qui recentre l'obligation sur les plus grandes entreprises. Dans ce guide, vous trouverez qui reste concerné, qui peut certifier, sur quoi porte précisément l'avis, comment se déroule la mission étape par étape, un cas pratique chiffré et la checklist pour aborder sereinement votre première certification.

Chez FINAUDEC, cabinet d'expertise comptable et de commissariat aux comptes, nous accompagnons des PME et des ETI, notamment dans l'hôtellerie, la restauration et la formation, sur la préparation et la fiabilisation de leurs informations de durabilité. Les points qui suivent reflètent ce que les certificateurs attendent réellement sur le terrain.

Qu'est-ce que l'audit CSRD ?

L'expression « audit CSRD » est un raccourci. Le terme juridique est la mission de certification des informations en matière de durabilité, créée en droit français par l'ordonnance n° 2023-1142 du 6 décembre 2023 qui a transposé la directive CSRD. L'article L. 232-6-3 du code de commerce impose aux grandes entreprises concernées de publier ces informations dans une section distincte du rapport de gestion, et précise qu'elles sont certifiées par un commissaire aux comptes ou par un organisme tiers indépendant.

La mission ressemble à un audit financier par sa méthode : planification, évaluation des risques, tests, collecte d'éléments probants, rapport. Elle s'en distingue par son objet. Le certificateur ne se prononce pas sur l'image fidèle des comptes, mais sur la conformité d'un reporting qui mêle données chiffrées (émissions, consommations, effectifs, accidents), informations qualitatives (politiques, plans d'action, cibles) et choix méthodologiques, à commencer par l'analyse de double matérialité.

Quelles ETI sont concernées par l'audit CSRD après l'Omnibus ?

La réponse dépend de deux textes qu'il faut lire ensemble. Côté français, la loi n° 2025-391 du 30 avril 2025 a décalé de deux ans l'entrée en application pour les entreprises de la deuxième vague : les grandes entreprises non cotées et les sociétés consolidantes de grands groupes ne sont concernées qu'à partir des exercices ouverts à compter du 1^er janvier 2027, et les PME cotées à partir de 2028. Côté européen, la directive (UE) 2026/470 du 24 février 2026, dite Omnibus, réduit fortement le champ d'application.

Selon cette directive, l'obligation de publier un rapport de durabilité est limitée aux entreprises dont le chiffre d'affaires net excède 450 M€ et qui dépassent un nombre moyen de 1 000 salariés au cours de l'exercice, les deux critères s'appréciant au niveau du groupe le cas échéant. Une ETI de 600 salariés, même avec 500 M€ de chiffre d'affaires, sortirait du champ ; une ETI de 1 200 salariés et 300 M€ également. Pour le détail des critères, consultez notre analyse des seuils CSRD après l'Omnibus.

Les entreprises de la première vague

Les sociétés qui publient déjà depuis l'exercice 2024 et qui ne franchissent pas les nouveaux seuils sortiront du champ pour les exercices commençant à compter du 1^er janvier 2027. La directive permet en outre aux États membres de les exempter pour les exercices commençant entre le 1^er janvier 2025 et le 31 décembre 2026. Tant que cette faculté n'a pas été retenue par la loi française, la prudence commande de poursuivre le processus de certification en cours.

Les ETI sous les seuils restent sollicitées

Sortir du champ n'éteint pas toute demande. Vos clients assujettis, vos banques et vos investisseurs continueront à demander des données. L'Omnibus crée une protection pour les entreprises de la chaîne de valeur qui n'excèdent pas 1 000 salariés : les demandes qui leur sont adressées sont encadrées par la norme d'application volontaire. Pour ces ETI, la norme VSME de reporting volontaire, assortie le cas échéant d'une vérification contractuelle, est souvent la réponse la plus proportionnée.

Qui peut réaliser la certification : commissaire aux comptes ou OTI ?

Le droit français ouvre la mission à deux catégories de professionnels, que les groupes internationaux appellent parfois indistinctement leur CSRD auditor. Le premier est le commissaire aux comptes inscrit sur la liste spécifique prévue au II de l'article L. 821-13 du code de commerce. Le second est l'organisme tiers indépendant (OTI), personne morale accréditée par le Comité français d'accréditation (Cofrac) et inscrite sur la liste tenue par la Haute autorité de l'audit (H2A), qui a succédé au Haut conseil du commissariat aux comptes.

Le certificateur de la durabilité n'est pas nécessairement le commissaire aux comptes qui certifie vos comptes annuels. Vous pouvez confier les deux missions au même professionnel, ce qui facilite la cohérence entre états financiers et rapport de durabilité, ou les dissocier. Dans tous les cas, la désignation suit les règles du titre II du livre VIII du code de commerce.

Durée du mandat et indépendance

Pour les nominations à cette mission, l'article 38 de l'ordonnance, modifié par la loi du 30 avril 2025, laisse le choix entre la durée restant à courir du mandat de certification des comptes et un mandat de trois exercices. Côté indépendance, le décret n° 2026-176 du 11 mars 2026 a adapté le code de déontologie : un commissaire aux comptes ne peut pas fournir les services interdits par l'article L. 821-28, un OTI ceux visés à l'article L. 822-13. Le prestataire qui a construit votre analyse de matérialité ou votre outil de collecte ne peut donc pas, en principe, certifier le rapport qui en résulte.

Comment choisir votre certificateur

Trois critères comptent en pratique. D'abord, la connaissance de votre secteur : les indicateurs d'un groupe hôtelier (énergie par chambre, eau, déchets alimentaires, turnover des saisonniers) n'ont rien à voir avec ceux d'un industriel. Ensuite, la capacité à intervenir sur plusieurs sites dans le calendrier serré de la clôture. Enfin, la qualité du dialogue en amont : un bon certificateur vous dit tôt ce qui pose problème. Notre article sur la mission et les rapports du commissaire aux comptes détaille ce cadre général.

Sur quoi porte l'avis du certificateur ?

L'article L. 821-54 du code de commerce fixe le contenu de l'avis. Le certificateur se prononce sur quatre points, que la directive Omnibus confirme en précisant qu'il s'agit d'un avis émis sur la base d'une mission d'assurance limitée.

1. La conformité des informations aux exigences de la CSRD, y compris aux normes ESRS du reporting CSRD : les points de données requis par vos enjeux matériels sont-ils présents, correctement définis et calculés ?
2. Le processus mis en œuvre pour déterminer les informations publiées : c'est l'analyse de double matérialité, sa méthode, sa documentation et sa cohérence avec le contenu du rapport.
3. Le respect des obligations de l'article 8 du règlement (UE) 2020/852, dit règlement taxonomie : part du chiffre d'affaires, des dépenses d'investissement et des dépenses d'exploitation associée à des activités durables.
4. Le balisage numérique des informations, selon le format électronique européen.

Le deuxième point surprend souvent les directions financières. Le certificateur ne valide pas seulement des chiffres : il vérifie que la sélection des sujets traités résulte d'une démarche structurée et traçable. Une matrice de double matérialité construite en un atelier, sans documentation des parties prenantes consultées ni des seuils de cotation, est la première source de difficulté lors d'un premier audit CSRD.

Le rapport de certification

L'avis fait l'objet d'un rapport de certification destiné à l'organe appelé à statuer sur les comptes, c'est-à-dire en pratique l'assemblée générale. Il est présenté avec le rapport de gestion. Si certains éléments n'ont pas pu être validés, le rapport peut comporter des réserves ou des observations, visibles de tous les lecteurs. L'article L. 232-6-3 ajoute un droit spécifique : des actionnaires représentant au moins 5 % du capital ou des droits de vote peuvent demander l'inscription d'une résolution exigeant un rapport complémentaire sur certaines informations, établi par une personne accréditée indépendante du certificateur.

Assurance limitée : quel niveau de vérification attendre ?

La CSRD prévoyait à l'origine une montée en puissance : assurance limitée d'abord, puis éventuellement assurance raisonnable, la Commission devant adopter des normes en ce sens au plus tard le 1^er octobre 2028. La directive Omnibus supprime cette obligation, afin d'éviter une hausse des coûts pour les entreprises. L'audit CSRD reste donc durablement une mission d'assurance limitée.

Concrètement, l'assurance limitée repose sur des procédures moins étendues qu'un audit des comptes : entretiens, analyses de cohérence et de tendances, revue des processus, tests ciblés sur un échantillon de données et de sites. Le certificateur conclut qu'il n'a pas relevé d'élément le conduisant à penser que les informations ne sont pas conformes. Cette formulation négative ne signifie pas que le contrôle est superficiel : un indicateur incohérent avec la comptabilité ou un processus non documenté sera relevé.

Des normes européennes encore attendues

La Commission devait adopter des normes d'assurance limitée harmonisées au plus tard le 1^er octobre 2026 ; l'Omnibus repousse cette échéance au 1^er juillet 2027. En attendant, les certificateurs appliquent le cadre normatif national prévu par l'article L. 821-59 du code de commerce. Parallèlement, la Commission a adopté le 3 juillet 2026 des actes délégués simplifiant les ESRS, selon la page de la Commission européenne consacrée au reporting de durabilité. Le référentiel sur lequel porte l'audit va donc évoluer : votre préparation doit rester agile.

Comment se déroule une mission d'audit CSRD, étape par étape ?

Une mission de certification s'étale sur l'ensemble de l'exercice, et non sur quelques semaines après la clôture. Le schéma ci-dessous décrit le déroulé que l'on observe le plus souvent dans une ETI ou un groupe de taille intermédiaire.

Les phases qui demandent le plus de travail à l'entreprise

L'intérim est le moment le plus utile pour l'entreprise. Le certificateur teste les processus sur des données partielles, ce qui laisse le temps de corriger une méthode de calcul ou une source de données avant la clôture. Les ETI qui sautent cette étape découvrent les problèmes en février ou en mars, quand il est trop tard pour les traiter proprement.

Cas pratique : une ETI hôtelière face à sa première certification

Prenons un groupe hôtelier fictif, détenu par une holding française : 14 hôtels, un siège, 1 250 salariés en moyenne et 480 M€ de chiffre d'affaires net consolidé. Les chiffres sont des hypothèses d'illustration ; les seuils et le calendrier sont ceux des textes cités plus haut.

Étape 1 : vérifier l'assujettissement

Le groupe dépasse les deux critères de la directive Omnibus : 1 250 salariés > 1 000, et 480 M€ > 450 M€. Il relève de la deuxième vague, celle des sociétés consolidantes de grands groupes. Son premier rapport de durabilité porte sur l'exercice ouvert le 1^er janvier 2027 et sera certifié en 2028, avec les comptes 2027. Attention : une baisse d'effectif à 980 salariés ou un chiffre d'affaires ramené à 440 M€ suffirait à le faire sortir du champ, d'où l'intérêt de suivre ces deux agrégats à chaque clôture.

Étape 2 : rétroplanning

Si l'exercice audité commence le 1^er janvier 2027, les processus de collecte doivent être opérationnels dès cette date. Le groupe fixe donc la fin de son analyse de double matérialité au 30 septembre 2026, la rédaction des fiches indicateurs au 30 novembre 2026, et une revue à blanc des données du premier semestre 2027 en septembre 2027. L'intérim du certificateur est programmé en novembre 2027, les travaux finaux en février 2028.

Étape 3 : mesurer l'effet d'une erreur sur un indicateur

Lors des travaux finaux, le certificateur teste l'indicateur de consommation d'énergie. Il relève deux anomalies : les factures de décembre de deux hôtels n'ont pas été intégrées, et un compteur partagé entre le siège et un hôtel a été compté deux fois. La cascade ci-dessous montre comment ces écarts sont évalués.

Erreur nette : 610 − 180 = 430 MWh, soit 430 ÷ 38 830 = 1,1 % de la valeur corrigée. Erreurs brutes cumulées : 610 + 180 = 790 MWh, soit 2,0 %. Avec un seuil de signification fixé par hypothèse à 5 % pour cet indicateur, l'écart n'est pas significatif isolément ; le certificateur demande toutefois la correction et va étendre ses tests, car l'absence de factures révèle une faille du processus de collecte. Si la même faille touchait aussi l'eau et les émissions de scope 2, calculées à partir des mêmes factures, le cumul pourrait conduire à une réserve.

Comment préparer votre entreprise à l'audit CSRD ?

La préparation repose sur une idée simple : traiter les données de durabilité avec la même discipline que les données comptables. Cela suppose une gouvernance, une documentation et des contrôles. Voici la méthode que nous recommandons, en cinq chantiers.

1. Confirmer le périmètre et le calendrier. Vérifiez les seuils au niveau du groupe, identifiez l'exercice de première application et la date de l'assemblée d'approbation des comptes, puis bâtissez le rétroplanning.
2. Sécuriser la double matérialité. Formalisez la méthode, les sources, les parties prenantes consultées, les échelles de cotation et les arbitrages. Datez et faites valider le résultat par la direction.
3. Documenter chaque indicateur. Une fiche par donnée publiée : définition ESRS de référence, périmètre, source, formule, responsable, contrôles. C'est le premier document demandé par le certificateur.
4. Installer un contrôle interne extra-financier. Revue à deux niveaux, contrôles de complétude, rapprochements avec la comptabilité et la paie, piste d'audit dans l'outil de collecte.
5. Faire un exercice à blanc. Un an avant la première certification, produisez un rapport complet sur des données réelles et faites-le relire par un professionnel indépendant de votre futur certificateur.

Impliquer le comité d'audit et la direction financière

La direction financière est la mieux placée pour piloter le chantier : elle maîtrise la clôture, le contrôle interne, la relation avec les auditeurs et les données de la taxonomie, qui reposent sur le chiffre d'affaires et les investissements. Le comité d'audit, lorsqu'il existe, doit suivre le processus de reporting de durabilité comme il suit l'élaboration de l'information financière. Rattacher le reporting à la seule fonction RSE, sans lien avec la finance, est l'une des causes les plus fréquentes de retard.

Quelles erreurs fragilisent un audit CSRD ?

Les difficultés rencontrées lors des premières missions se ressemblent d'une entreprise à l'autre. Les connaître permet de les éviter.

• Une double matérialité non traçable : résultats sans méthode écrite, cotations non justifiées, absence de lien entre les enjeux retenus et le contenu du rapport.
• Des définitions d'indicateurs instables : un taux de rotation calculé différemment selon les filiales, un périmètre de consolidation qui diffère de celui des comptes sans explication.
• Des estimations non documentées : facteurs d'émission, extrapolations pour des sites manquants ou données fournisseurs reprises sans contrôle.
• Un calendrier trop tardif : collecte lancée après la clôture, sans intérim, ce qui laisse le certificateur sans marge pour étendre ses tests.
• Une incohérence avec les comptes : chiffre d'affaires de la taxonomie qui ne se rapproche pas du compte de résultat, effectifs différents de ceux de l'annexe.
• Une confusion des rôles : demander au futur certificateur de construire le reporting, ce que les règles d'indépendance interdisent.

En résumé : réussir votre audit CSRD

L'audit CSRD est une mission de certification menée par un commissaire aux comptes ou un OTI, en assurance limitée, sur quatre objets : conformité aux ESRS, processus de double matérialité, taxonomie et balisage. Après l'Omnibus, il vise les entreprises et groupes de plus de 1 000 salariés et 450 M€ de chiffre d'affaires, sous réserve de la transposition française attendue au plus tard le 19 mars 2027. Pour les ETI de la deuxième vague, le premier exercice concerné est 2027 : la préparation se joue donc dès maintenant.

Les clés sont connues : une matérialité documentée, des indicateurs définis et contrôlés, un calendrier aligné sur la clôture et un dialogue précoce avec le certificateur. Pour vérifier votre assujettissement, fiabiliser vos données ou préparer un exercice à blanc, découvrez notre accompagnement en reporting de durabilité et échangez avec l'équipe FINAUDEC.

À lire aussi

• Audit légal et audit contractuel : différences et intérêt pour une PME
• Loi sur le devoir de vigilance : obligations et impacts de la CS3D