« Qui voudra encore être auditeur d’ici quelques années ? En France, nous avons de plus en plus de mal à trouver des auditeurs dans nos cabinets. Sans avoir la capacité d’attirer les talents qui seront répondre à la complexité de nos économies modernes, nous ne pourrons pas améliorer la qualité d’audit. Il faut que ce métier, qui a été extraordinaire par le passé, donne de nouveau envie autant à ceux qui le pratiquent qu’à ceux qui l’achètent ». Avant-hier, Jean-Luc Flabeau a pointé du doigt l’un des sujets majeurs du commissariat aux comptes, celui de son manque d’attractivité. Un sujet qui ne touche pas seulement la France. « Aux Etats-Unis, le sujet de la grande démission est la problématique numéro 1 dans les cabinets d’audit », a-t-il avancé lors du forum Cac d’ECF, la fédération qu’il a présidée.
Les normes accusées de nourrir le manque d’attractivité
« Aujourd’hui, les bigs sont prêts à payer une fortune pour trouver des associés qui sont prêts à signer des dossiers côtés. On parle de rémunérations en millions d’euros. Malgré cela, ils n’y arrivent pas, a avancé une professionnelle présente à ce forum. Il y a des discussions aujourd’hui dans des réseaux français qui se posent la question de la balance risques valeur ajoutée de l’audit et de sortir du métier de l’audit en disant que la signature de l’expert-comptable est moins risquée, que les taux horaires sont plus élevés et que la marge est plus élevée », a-t-elle ajouté.
Pour Jean-Luc Flabeau, le manque d’attractivité des cabinets d’audit tient à une forte particularité du commissariat aux comptes, celle de la prééminence des normes sur le jugement professionnel. « Comment allons nous attirer la jeune génération sur des métiers où tout est normé, où la démarche intellectuelle de l’approche d’audit devient la portion congrue ? », s’est-il demandé. « L’excès de normes altèrera à terme et dangereusement la qualité des travaux d’audit, a-t-il ajouté estimant au passage que « la Compagnie nationale, les grands réseaux ou encore le régulateur encouragent un audit de plus en plus normé ». Bref, pour Jean-Luc Flabeau, « il faut que le jugement professionnel soit réhabilité ».
Débat sur le périmètre du commissariat aux comptes
Un point de vue pas vraiment partagé par Bruno Bonnell, le secrétaire général pour l’investissement chargé de France 2030, également présent lors de cet évènement ECF. « Trop de normes tue la norme mais la norme est faite pour être dans un élément de comparaison. On vit dans un monde de comparaison », a-t-il répondu. Pour lui, le défi du commissaire aux comptes se trouve ailleurs, dans son périmètre d’intervention qu’il préconise d’étendre. « L’idée de mettre risques soit dans vos baselines soit dans votre nom permettrait probablement de mieux comprendre. Un commissaire aux risques moi je sais ce que ça veut dire », a-t-il glissé. Quels risques — extra-comptables — a-t-il évoqué ? Il a bien évidemment fait allusion à la dimension RSE. Rappelons à ce sujet que l’Union européenne est en train d’élaborer des normes d’information de durabilité qui aboutiraient à un reporting sur lequel le contrôleur légal des comptes apporterait une assurance limitée.
Le sujet du risque cyber…
Connaisseur du monde informatique — il a cofondé la célèbre société de jeux vidéos Infogrames —, Bruno Bonnell a largement développé le sujet du risque cyber. « Le commissaire aux comptes doit absolument s’en emparer. J’ai récemment aidé des boîtes à lever des fonds. Pour la 1ère fois — c’est arrivé à deux reprises — , la question a été posée par les investisseurs potentiels du risque cyber. Ils ont demandé qu’un audit soit fait par une société extérieure sans norme. Cette société a validé la stratégie cyber », a-t-il illustré.
… déjà abordée en 2018
L’idée de confier explicitement au commissaire aux comptes une mission de cybersécurité avait déjà été évoquée fin 2018… quelques mois après le fameux rapport de l’IGF sur la présence obligatoire — à l’époque — du Cac dans les petites sociétés. Le H3C et la CNCC avaient formulé, chacun de leur côté, une proposition en ce sens. L’institut Montaigne avait proposé qu’une telle mission soit confiée soit au commissaire aux comptes soit à l’expert-comptable. 3 ans et quelques mois plus tard, le sujet reste donc en débat. On peut également se poser la question de savoir si la vérification de la cybersécurité d’une entité auditée ne fait pas partie implicitement de la mission d’audit légal des comptes. En effet, comment assurer que la continuité d’exploitation de l’entité auditée n’est pas susceptible d’être compromise sans se pencher sur la sécurité de son système d’information.
Pour Jean-François Mallen, le débat sur le périmètre d’intervention du Cac va plus loin que la sécurité informatique. « Il faut réfléchir sur les risques qui pèsent sur les entreprises. On parle de cyber moi je parle aussi défaillance des clients de nos clients », a-t-il ajouté lors de cet évènement ECF.
Alors, jusqu’où peut et doit aller le commissaire aux comptes ? Assurance sur le risque comptable, sur le risque cyber, sur le risque sur les informations de durabilité, sur le risque de défaillance des clients de l’entité auditée, etc. Pour Sylvain Boccon-Gibod, président de la CRCC de Lyon-Riom, les Cac sont face à un dilemne : « d’un côté on a tendance à dire, si on veut être protégé en termes d’assurance et de risques à titre professionnel, il faut limiter notre intervention. Mais de l’autre côté, si on veut amener de la valeur, il faut l’élargir. Et là on est pris entre deux ».