Rôle du commissaire aux comptes en matière de cybersécurité : la fiche thématique de la CNCC

La Compagnie nationale des commissaires aux comptes (CNCC) a publié en avril 2026 une fiche thématique consacrée au rôle du commissaire aux comptes en matière de cybersécurité. Ce document structuré en cinq parties apporte aux professionnels de l'audit légal les outils nécessaires pour appréhender le risque cyber dans leurs missions. Un questionnaire de prise de connaissance et un diagnostic de maturité complètent cette publication.

Cybersécurité et information financière : un lien direct

Le risque cyber peut altérer la fiabilité des comptes

Une cyberattaque peut avoir des conséquences directes sur l'information financière d'une entreprise. Le chiffrement de données comptables par un rançongiciel, la manipulation de fichiers de virements, l'exfiltration de bases clients ou fournisseurs, l'indisponibilité prolongée du système d'information : autant de scénarios susceptibles d'affecter la régularité, la sincérité et l'image fidèle des comptes annuels.

La continuité d'exploitation elle-même peut être remise en cause par un incident majeur. Des PME ont dû cesser leur activité à la suite d'attaques par rançongiciel, faute d'avoir pu récupérer leurs données ou redémarrer leur système d'information dans des délais compatibles avec leurs obligations opérationnelles et commerciales. Le risque cyber n'est plus un risque informatique périphérique : il touche le cœur de l'activité économique.

Une menace qui concerne toutes les entreprises

Les cyberattaques ne visent pas uniquement les grandes entreprises ou les secteurs sensibles. Les PME et ETI constituent des cibles privilégiées pour les attaquants, qui exploitent leur moindre niveau de protection. Les statistiques publiées par l'ANSSI et les assureurs spécialisés montrent que la majorité des incidents déclarés concernent des structures de taille intermédiaire, parfois dépourvues de compétences internes en matière de sécurité informatique.

Cette réalité justifie que le commissaire aux comptes, dans le cadre de sa mission de certification, s'intéresse au dispositif de cybersécurité de l'entité auditée. La prise en compte du risque cyber fait partie intégrante de la compréhension de l'entité et de son environnement, telle que définie par les normes d'exercice professionnel.

Structure de la fiche thématique de la CNCC

Cinq parties pour appréhender le sujet

La fiche thématique publiée par la CNCC en avril 2026 se compose de cinq parties distinctes, conçues pour accompagner le commissaire aux comptes dans sa démarche. Chaque partie répond à un objectif précis et peut être utilisée de manière autonome selon les besoins du professionnel.

La première partie pose les définitions et les enjeux. Elle rappelle ce qu'est la cybersécurité, présente les principales menaces et expose les enjeux pour les entreprises, y compris les PME. Cette partie permet au commissaire aux comptes de disposer d'un socle de connaissances suffisant pour aborder le sujet avec ses interlocuteurs au sein de l'entité auditée.

La deuxième partie recense les idées reçues fréquemment rencontrées auprès des dirigeants d'entreprise. « Nous sommes trop petits pour être attaqués », « Nos données n'intéressent personne », « Notre informaticien gère tout cela » : la fiche déconstruit ces représentations erronées et fournit au commissaire aux comptes les arguments pour y répondre.

Partie	Contenu	Objectif
Partie 1	Définition et enjeux de la cybersécurité	Acquérir les connaissances de base
Partie 2	Idées reçues et arguments	Déconstruire les représentations erronées
Partie 3	Scénarios d'attaque et signaux d'alerte	Identifier les risques concrets
Partie 4	Arguments pour convaincre	Sensibiliser les dirigeants
Partie 5	Travaux du CAC	Mettre en œuvre les diligences

Scénarios d'attaque et signaux d'alerte

La troisième partie de la fiche présente les principaux scénarios d'attaque susceptibles d'affecter une entreprise. Rançongiciels, hameçonnage (phishing), compromission de messagerie professionnelle, fraude au président, attaque par déni de service : chaque type d'attaque est décrit avec ses caractéristiques, son mode opératoire et ses conséquences potentielles.

Cette partie identifie également les signaux d'alerte qui peuvent indiquer qu'une attaque est en cours ou qu'une vulnérabilité existe. Ralentissement inhabituel des systèmes, messages d'erreur répétés, comportements anormaux des utilisateurs, modifications inexpliquées de fichiers : autant d'indices que le commissaire aux comptes peut repérer lors de ses travaux ou qui peuvent lui être signalés par les équipes de l'entité.

Des mesures préventives sont proposées pour chaque type de risque identifié. La fiche rappelle que le commissaire aux comptes n'a pas vocation à auditer l'ensemble du dispositif de sécurité informatique, mais qu'il peut attirer l'attention du dirigeant sur les points de vigilance les plus critiques.

Arguments pour convaincre et travaux à mettre en œuvre

La quatrième partie fournit au commissaire aux comptes une batterie d'arguments pour sensibiliser un chef d'entreprise réticent ou peu conscient des enjeux. L'approche retenue est pragmatique : il s'agit de parler le langage du dirigeant, en évoquant les conséquences économiques, juridiques et réputationnelles d'une cyberattaque plutôt que les aspects techniques.

La cinquième partie détaille les travaux que le commissaire aux comptes peut mettre en œuvre dans le cadre de sa mission. Elle distingue plusieurs niveaux d'intervention, du plus simple (questions posées lors de la prise de connaissance) au plus approfondi (recours à un expert en cybersécurité). Cette graduation permet à chaque professionnel d'adapter sa démarche au contexte de l'entité auditée et à son propre niveau de compétence.

Le rôle du commissaire aux comptes

Identifier les facteurs de risque

Le commissaire aux comptes a pour mission première d'identifier les facteurs de risque susceptibles d'affecter l'information financière. À ce titre, il doit prendre en compte le risque cyber lorsque celui-ci est significatif pour l'entité auditée. Cette prise en compte s'inscrit dans le cadre général de la compréhension de l'entité et de son système d'information.

L'identification du risque cyber passe par une série de questions simples : l'entité est-elle dépendante de son système d'information pour son activité ? Les données comptables et financières sont-elles dématérialisées ? Des incidents de sécurité ont-ils été signalés dans le passé ? Le secteur d'activité est-il particulièrement exposé ? Les réponses à ces questions permettent d'évaluer le niveau de risque et de calibrer les travaux à réaliser.

Apprécier le niveau de maîtrise

Une fois le risque identifié, le commissaire aux comptes apprécie le niveau de maîtrise internalisé par l'entité. Cette appréciation porte sur l'existence et l'effectivité des mesures de protection mises en place : politique de sauvegardes, gestion des accès et des mots de passe, sensibilisation des utilisateurs, mise à jour des systèmes, existence d'un plan de continuité ou de reprise d'activité.

Le commissaire aux comptes ne réalise pas un audit technique du système d'information. Il s'assure que les dirigeants ont conscience du risque et ont pris des mesures proportionnées à l'exposition de l'entité. L'existence d'un contrat avec un prestataire informatique ne suffit pas à garantir un niveau de protection adapté : le commissaire aux comptes peut s'interroger sur le périmètre de ce contrat et sur les engagements du prestataire en matière de sécurité.

Sensibiliser le dirigeant

Le commissaire aux comptes joue un rôle de sensibilisation auprès du dirigeant. Il attire son attention sur les risques identifiés et sur les mesures qui pourraient être mises en œuvre pour les réduire. Ce rôle de conseil, exercé dans le respect de l'indépendance du commissaire aux comptes, s'inscrit dans la relation de confiance établie avec l'entité auditée.

La sensibilisation peut prendre différentes formes : échanges lors des entretiens avec le dirigeant, mention dans la lettre de recommandations, présentation au comité d'audit le cas échéant. L'objectif n'est pas de se substituer à un consultant en cybersécurité, mais d'alerter sur les points qui méritent une attention particulière et de recommander, si nécessaire, le recours à un spécialiste.

Faire appel à un spécialiste

Lorsque le risque cyber est significatif et que le commissaire aux comptes ne dispose pas des compétences nécessaires pour l'évaluer de manière approfondie, il peut faire appel à un expert en cybersécurité. Cette intervention s'inscrit dans le cadre de la NEP 620 sur l'utilisation des travaux d'un expert.

L'expert peut être sollicité pour réaliser un diagnostic de maturité cyber, un test d'intrusion, ou pour évaluer la pertinence des mesures de protection mises en place. Le commissaire aux comptes conserve la responsabilité de ses conclusions et doit être en mesure d'utiliser les travaux de l'expert dans le cadre de sa mission.

Les outils fournis par la fiche thématique

Le questionnaire de prise de connaissance

La fiche thématique de la CNCC comprend un questionnaire de prise de connaissance du risque cyber. Cet outil permet au commissaire aux comptes d'intégrer systématiquement les questions relatives à la cybersécurité dans sa démarche de prise de connaissance de l'entité auditée.

Le questionnaire couvre les principales thématiques : gouvernance de la sécurité informatique, gestion des accès, protection des données sensibles, sauvegardes, gestion des incidents, formation des utilisateurs. Il peut être administré au dirigeant, au responsable informatique ou au prestataire externe, selon l'organisation de l'entité.

Les réponses au questionnaire permettent d'établir une première cartographie du niveau de maturité de l'entité en matière de cybersécurité. Elles alimentent l'analyse des risques et orientent les travaux complémentaires à réaliser, le cas échéant.

Le diagnostic de maturité cyber

Le diagnostic de maturité cyber constitue le second outil proposé par la fiche thématique. Plus approfondi que le questionnaire de prise de connaissance, il permet d'évaluer le niveau de préparation de l'entité face aux risques cyber selon plusieurs dimensions.

Le diagnostic porte sur la gouvernance (existence d'une politique de sécurité, implication de la direction), la protection (mesures techniques et organisationnelles), la détection (capacité à identifier un incident), la réponse (plan de gestion de crise) et la reprise (plan de continuité ou de reprise d'activité). Chaque dimension fait l'objet d'une évaluation permettant de situer l'entité sur une échelle de maturité.

Dimension	Questions clés	Indicateurs
Gouvernance	Politique de sécurité ? Responsable identifié ?	Documents, organigramme
Protection	Antivirus, pare-feu, gestion des accès ?	Outils déployés, procédures
Détection	Surveillance, journalisation, alertes ?	Outils de supervision
Réponse	Plan de gestion de crise ? Contacts ?	Procédures, annuaire de crise
Reprise	Sauvegardes testées ? PCA/PRA ?	Tests de restauration

Le CAC ne devient pas un expert cyber

Une mission d'identification et d'alerte

La fiche thématique de la CNCC le rappelle clairement : le commissaire aux comptes ne devient pas un expert en cybersécurité. Son rôle est d'identifier les risques, d'apprécier le niveau de maîtrise et d'alerter le dirigeant. Il n'a pas vocation à réaliser des audits techniques, des tests d'intrusion ou des analyses de vulnérabilités.

Cette délimitation du périmètre d'intervention est importante. Elle permet au commissaire aux comptes de prendre en compte le risque cyber sans pour autant étendre démesurément sa mission. Elle préserve également la frontière avec les métiers de la cybersécurité, qui requièrent des compétences techniques spécifiques.

Un outil, pas une obligation normative

La fiche thématique de la CNCC est un outil mis à la disposition des commissaires aux comptes. Elle ne crée pas d'obligation normative nouvelle. Le risque cyber entre dans la compréhension de l'entité lorsqu'il peut affecter les comptes, conformément aux normes d'exercice professionnel existantes.

Le commissaire aux comptes apprécie, dans chaque mission, si le risque cyber est significatif et s'il nécessite des diligences spécifiques. Cette appréciation relève de son jugement professionnel, compte tenu de la nature de l'activité, de la taille de l'entité, de sa dépendance au système d'information et de son exposition aux menaces.

Documentation et suivi

Intégration au dossier de travail

Les constats relatifs à la cybersécurité doivent être documentés dans le dossier de travail du commissaire aux comptes. Cette documentation comprend les réponses au questionnaire de prise de connaissance, les échanges avec le dirigeant ou le responsable informatique, l'appréciation du niveau de risque et les conclusions tirées.

La documentation permet de justifier les diligences réalisées et de tracer le raisonnement du commissaire aux comptes. Elle facilite également le suivi d'un exercice à l'autre, en permettant de comparer l'évolution du niveau de maturité de l'entité et de vérifier la mise en œuvre des recommandations formulées.

Communication avec les dirigeants

Les constats significatifs relatifs à la cybersécurité peuvent faire l'objet d'une communication aux dirigeants. La lettre de recommandations (ou lettre de contrôle interne) constitue un support adapté pour attirer l'attention sur les faiblesses identifiées et formuler des suggestions d'amélioration.

Dans les entités dotées d'un comité d'audit, le commissaire aux comptes peut présenter ses constats sur la cybersécurité lors de ses interventions devant ce comité. Cette communication permet d'associer les organes de gouvernance à la réflexion sur les risques et sur les mesures de protection à mettre en œuvre.

Un contexte de menace croissante

L'actualité récente

La publication de cette fiche thématique intervient dans un contexte de menace cyber croissante. L'incident de cybersécurité survenu sur les services d'Infogreffe le 12 octobre 2026 a rappelé que les infrastructures critiques pour les entreprises peuvent être affectées. Même si les services ont été rapidement rétablis et qu'aucune donnée n'a été compromise selon les informations communiquées, cet événement illustre la réalité du risque.

Les rançongiciels continuent de toucher des entreprises de toutes tailles. Les campagnes de phishing se sophistiquent. Les fraudes au président exploitent les nouvelles technologies, y compris l'intelligence artificielle, pour tromper les collaborateurs. Face à cette menace protéiforme, la sensibilisation des dirigeants et la prise en compte du risque cyber dans l'audit légal constituent des réponses appropriées.

L'évolution réglementaire

Le contexte réglementaire évolue également. La directive NIS 2, transposée en droit français, étend les obligations de cybersécurité à un nombre croissant d'entreprises. Les entités soumises à cette directive doivent mettre en œuvre des mesures de sécurité proportionnées et notifier les incidents significatifs aux autorités compétentes.

Le règlement DORA (Digital Operational Resilience Act), applicable au secteur financier, impose des exigences renforcées en matière de résilience opérationnelle numérique. Les commissaires aux comptes intervenant dans les établissements financiers doivent intégrer ces nouvelles exigences dans leur approche du risque cyber.

Recommandations pratiques

Pour les commissaires aux comptes

Les commissaires aux comptes sont invités à prendre connaissance de la fiche thématique publiée par la CNCC et à intégrer les outils proposés dans leur pratique professionnelle. Le questionnaire de prise de connaissance peut être systématiquement utilisé pour les entités présentant une dépendance significative au système d'information.

La formation continue sur les enjeux de la cybersécurité permet de maintenir un niveau de compétence adapté. Les organismes de formation professionnelle proposent des modules dédiés à la prise en compte du risque cyber dans l'audit légal.

Pour les entreprises auditées

Les entreprises soumises à certification légale des comptes peuvent anticiper les questions du commissaire aux comptes en préparant les éléments relatifs à leur dispositif de cybersécurité. L'existence d'une politique de sécurité formalisée, de procédures de sauvegarde documentées et d'un plan de réponse aux incidents facilite les échanges avec l'auditeur.

La prise en compte du risque cyber par le commissaire aux comptes peut être l'occasion pour l'entreprise de faire le point sur son niveau de maturité et d'engager, si nécessaire, une démarche de renforcement de sa protection. Les recommandations formulées par le commissaire aux comptes constituent une base de travail pour progresser.

Pour toute question relative au rôle du commissaire aux comptes en matière de cybersécurité, le cabinet Barry Louison Audit accompagne les entités auditées et les confrères dans leurs démarches.