La méthodologie d’audit repose sur une approche par les risques : le commissaire aux comptes n’examine pas toutes les écritures de l’entreprise, il concentre ses travaux là où le risque d’anomalies significatives dans les comptes est le plus élevé. Cette démarche est encadrée par les normes d’exercice professionnel (NEP) homologuées par arrêté ministériel. Elle se déroule en quatre temps : prise de connaissance de l’entité, identification et évaluation des risques, réponses aux risques évalués, puis synthèse et opinion.
En bref
- L’approche par les risques consiste à proportionner les contrôles au risque d’anomalies significatives, pas à tout vérifier.
- La démarche générale est fixée par les NEP, notamment les NEP 200, 315, 320, 330, 240, 500, 580 et 700.
- Le modèle du risque d’audit combine trois composantes : risque inhérent, risque lié au contrôle et risque de non-détection.
- Le seuil de signification (NEP 320) délimite ce qui est susceptible d’influencer le jugement d’un utilisateur des comptes.
- La NEP 315 révisée, homologuée par arrêté du 13 novembre 2024, s’applique aux exercices ouverts à compter du 19 novembre 2024.
- La possibilité de fraudes est prise en considération tout au long de la mission (NEP 240), avec un esprit critique maintenu jusqu’au rapport.
Qu’est-ce que l’approche par les risques en audit ?
L’approche par les risques est la logique qui structure toute mission de certification des comptes : le commissaire aux comptes identifie d’abord où les comptes risquent de comporter des anomalies significatives, puis il conçoit des procédures d’audit dont la nature, le calendrier et l’étendue répondent à cette évaluation. Un audit n’est donc jamais un contrôle exhaustif. C’est un contrôle sélectif, documenté et justifié par l’analyse des risques.
Cette logique découle des principes généraux posés par la NEP 200, qui définit le cadre de l’audit des comptes mis en œuvre pour la certification. L’objectif final ne change pas d’une entité à l’autre : obtenir l’assurance raisonnable, et non absolue, que les comptes pris dans leur ensemble ne comportent pas d’anomalies significatives. L’assurance raisonnable est un niveau d’assurance élevé, mais elle laisse subsister un risque irréductible : c’est précisément ce risque que la méthodologie cherche à ramener à un niveau acceptable.
Concrètement, l’auditeur raisonne par cycles (ventes et clients, achats et fournisseurs, stocks, immobilisations, trésorerie, capitaux propres, personnel) et par assertions d’audit : réalité, exhaustivité, mesure, séparation des exercices, existence, évaluation, droits et obligations. Chaque procédure de contrôle vise une ou plusieurs assertions sur un cycle donné. Pour comprendre qui conduit cette démarche et dans quel cadre légal, consultez notre guide sur le rôle et les missions du commissaire aux comptes.
Comment se déroule une mission d’audit légal, étape par étape ?
La démarche générale d’une mission de certification suit une chronologie logique, chaque étape alimentant la suivante. Voici les cinq phases types d’un exercice audité.
1. L’acceptation et le maintien de la mission
Avant toute diligence technique, le commissaire aux comptes vérifie qu’il peut accepter ou poursuivre le mandat : indépendance vis-à-vis de l’entité, absence d’incompatibilités, capacité du cabinet à réaliser la mission avec les compétences et les ressources nécessaires. Cette phase conditionne la validité de tout ce qui suit.
2. La prise de connaissance de l’entité (NEP 315)
Le cœur de l’approche par les risques se joue ici. La NEP 315 révisée, intitulée « Prise de connaissance de l’entité et de son environnement, identification et évaluation du risque d’anomalies significatives dans les comptes », a été homologuée par un arrêté du 13 novembre 2024 et s’applique aux exercices ouverts à compter du 19 novembre 2024. Elle est alignée sur la norme internationale ISA 315 révisée. L’auditeur analyse le secteur d’activité, le modèle économique, l’environnement réglementaire, le système d’information et le contrôle interne de l’entité, y compris son environnement informatique. Il en déduit une cartographie des risques d’anomalies significatives, au niveau des comptes pris dans leur ensemble et au niveau des assertions.
3. La planification et le seuil de signification (NEP 300 et NEP 320)
Le commissaire aux comptes formalise ensuite un plan de mission et un programme de travail (NEP 300) : allocation des équipes, calendrier d’intervention, zones de risque prioritaires. Il fixe en parallèle le seuil de signification (NEP 320), qui calibrera l’étendue des travaux et l’évaluation des anomalies relevées.
4. Les réponses aux risques évalués (NEP 330)
Pour chaque risque identifié, l’auditeur conçoit des procédures adaptées : tests de procédures sur les contrôles internes de l’entité, contrôles de substance sur les flux et les soldes, procédures analytiques. Les techniques mobilisées sont celles de la NEP 500 : inspection de documents, observation physique des inventaires, demandes de confirmation des tiers (circularisation), contrôles arithmétiques, réexécution de contrôles.
5. La synthèse, les déclarations de la direction et le rapport (NEP 580 et NEP 700)
En fin de mission, le commissaire aux comptes évalue les anomalies détectées au regard du seuil de signification, obtient les déclarations écrites de la direction (NEP 580), revoit les événements postérieurs à la clôture, puis formule son opinion dans le rapport sur les comptes (NEP 700) : certification sans réserve, certification avec réserves ou refus de certifier.
Quels sont les trois risques du modèle du risque d’audit ?
Le risque d’audit est le risque que le commissaire aux comptes exprime une opinion inappropriée sur des comptes comportant des anomalies significatives. Il se décompose en trois composantes que l’auditeur évalue et articule tout au long de la mission.
| Composante | Définition | Qui la maîtrise ? | Exemple |
|---|---|---|---|
| Risque inhérent | Possibilité qu’une anomalie significative se produise, avant toute prise en compte du contrôle interne, du fait de la nature de l’opération ou du compte | Personne : il tient à l’activité elle-même | Estimations complexes (provisions, dépréciations), opérations inhabituelles, secteur volatil |
| Risque lié au contrôle | Risque que le contrôle interne de l’entité ne prévienne pas ou ne détecte pas l’anomalie en temps voulu | L’entité auditée, via son contrôle interne | Absence de séparation des tâches entre facturation et encaissement |
| Risque de non-détection | Risque que les procédures mises en œuvre par l’auditeur ne détectent pas une anomalie significative existante | Le commissaire aux comptes, via l’étendue de ses travaux | Échantillon de test trop restreint sur un cycle risqué |
La combinaison du risque inhérent et du risque lié au contrôle forme le risque d’anomalies significatives, qui est une donnée pour l’auditeur : il l’évalue, mais ne peut pas le réduire. La seule variable d’ajustement dont il dispose est le risque de non-détection. Plus le risque d’anomalies significatives évalué est élevé, plus l’auditeur doit renforcer la nature, l’étendue ou le calendrier de ses procédures pour ramener le risque d’audit global à un niveau faible. C’est cette mécanique qui rend l’audit proportionné : une PME au contrôle interne robuste et à l’activité simple ne sera pas auditée avec la même intensité qu’un groupe portant des estimations sensibles.
Un exemple d’estimation sensible : les actifs incorporels et écarts d’acquisition soumis à un test de dépréciation. Le risque inhérent y est structurellement élevé, car la valeur recouvrable repose sur des prévisions de flux de trésorerie et un taux d’actualisation, souvent le WACC, dont de faibles variations changent la conclusion. Ce type de poste concentre logiquement l’attention de l’auditeur.
Qu’est-ce que le seuil de signification (NEP 320) ?
Le seuil de signification est le montant au-delà duquel une anomalie, seule ou cumulée avec d’autres, est susceptible d’influencer le jugement d’une personne raisonnable se fondant sur les comptes. Il est encadré par la NEP 320, « Application de la notion de caractère significatif lors de la planification et de la réalisation d’un audit », homologuée par arrêté du 19 juillet 2012.
La norme ne fixe aucun barème chiffré : la détermination du seuil relève du jugement professionnel. En pratique, l’auditeur applique un pourcentage à un agrégat pertinent pour l’entité (résultat, chiffre d’affaires, capitaux propres ou total du bilan selon le profil et les utilisateurs des comptes), puis il documente son choix. Le caractère significatif ne se réduit d’ailleurs pas au montant : la nature d’une anomalie et les circonstances de sa survenance peuvent la rendre significative même sous le seuil quantitatif, par exemple lorsqu’elle transforme un résultat déficitaire en bénéfice ou affecte le respect d’un covenant bancaire.
L’auditeur détermine aussi, pour piloter ses travaux, un ou plusieurs seuils de moindre montant : ils servent à planifier l’étendue des contrôles et à traiter les anomalies dont le cumul pourrait devenir significatif. En fin de mission, les anomalies non corrigées sont récapitulées et évaluées par rapport au seuil : c’est l’un des fondements directs de l’opinion.
Comment l’auditeur répond-il aux risques identifiés (NEP 330) ?
La NEP 330, « Procédures d’audit mises en œuvre à l’issue de l’évaluation des risques », organise le passage de la cartographie des risques au programme de travail. Elle a été révisée en 2023 puis mise en conformité avec la NEP 315 révisée par l’arrêté du 13 novembre 2024. La logique est simple : à chaque risque évalué doit correspondre une réponse d’audit documentée.
Ces réponses combinent deux familles de procédures :
- les tests de procédures, qui vérifient que les contrôles internes de l’entité fonctionnent efficacement sur la période. L’auditeur ne peut s’appuyer sur le contrôle interne pour alléger ses contrôles de substance que s’il en a testé l’efficacité ;
- les contrôles de substance, qui portent directement sur les flux, les soldes et les informations de l’annexe : contrôles de détail sur pièces, circularisations des tiers, assistance à l’inventaire physique, procédures analytiques de substance.
Le dosage entre les deux dépend de l’évaluation des risques et de l’environnement de contrôle. Chaque procédure vise une ou plusieurs assertions précises : circulariser les clients teste l’existence des créances, mais pas leur exhaustivité ; assister à l’inventaire teste l’existence des stocks, leur évaluation relevant d’autres travaux. C’est ce chaînage risque, assertion, procédure qui rend la démarche traçable et opposable.
Comment la fraude est-elle prise en compte dans l’audit (NEP 240) ?
La NEP 240, « Prise en considération de la possibilité de fraudes lors de l’audit des comptes », a été homologuée initialement par un arrêté du 10 avril 2007, puis révisée par l’arrêté du 27 juillet 2023. Elle impose au commissaire aux comptes d’intégrer le risque de fraude à chaque étape de sa démarche, et non comme un contrôle à part.
La fraude se distingue de l’erreur par son caractère intentionnel. Elle peut prendre deux formes principales du point de vue des comptes : des états financiers volontairement altérés (produits fictifs, charges dissimulées, écritures de fin de période injustifiées) ou un détournement d’actifs maquillé dans la comptabilité. Face à ce risque, la norme exige de l’auditeur un esprit critique constant : il ne présume ni l’honnêteté ni la malhonnêteté de la direction, et il ne se satisfait pas d’éléments probants insuffisants au motif que la direction lui inspire confiance.
En pratique, la prise en compte de la fraude passe par des entretiens avec la direction et, le cas échéant, avec les organes de gouvernance sur les dispositifs anti-fraude, par l’identification de facteurs de risque (pressions sur les résultats, opportunités liées aux faiblesses du contrôle interne, rationalisations), par une part d’imprévisibilité dans les contrôles et par une attention particulière aux écritures manuelles et aux estimations comptables, terrains privilégiés des manipulations. Enfin, le cadre légal français va plus loin que la simple détection : lorsqu’il relève des faits délictueux au cours de sa mission, le commissaire aux comptes est tenu de les révéler au procureur de la République, sans que sa responsabilité puisse être engagée par cette révélation.
À quoi servent les déclarations de la direction (NEP 580) ?
La NEP 580, « Déclarations de la direction », homologuée par arrêté du 21 juin 2011, encadre la lettre d’affirmation que la direction remet au commissaire aux comptes en fin de mission. Par ce document écrit, la direction confirme notamment qu’elle a établi les comptes conformément au référentiel applicable, qu’elle a donné accès à l’ensemble des informations pertinentes et qu’elle a communiqué les éléments dont elle a connaissance concernant d’éventuelles fraudes ou irrégularités.
Deux points doivent être bien compris par les dirigeants. D’abord, ces déclarations ne remplacent jamais les éléments probants que l’auditeur doit collecter par ses propres procédures : une affirmation écrite de la direction ne suffit pas, à elle seule, à justifier un poste des comptes. Ensuite, un refus de fournir les déclarations demandées n’est pas neutre : il constitue une limitation aux travaux de l’auditeur et peut peser sur la formulation de son opinion. La lettre d’affirmation est datée au plus près de la signature du rapport, car elle couvre aussi la période postérieure à la clôture.
Quelles sont les principales NEP de la démarche d’audit ?
Le tableau ci-dessous récapitule les normes d’exercice professionnel citées dans ce guide, avec leur arrêté d’homologation. Les NEP sont homologuées par arrêté du garde des sceaux et publiées au Journal officiel ; elles s’imposent au commissaire aux comptes dans l’exercice de sa mission.
| NEP | Intitulé | Homologation |
|---|---|---|
| NEP 200 | Principes applicables à l’audit des comptes mis en œuvre dans le cadre de la certification des comptes | Version révisée : arrêté du 27 juillet 2023 (JO du 4 août 2023) |
| NEP 240 | Prise en considération de la possibilité de fraudes lors de l’audit des comptes | Arrêté du 10 avril 2007 ; révisée par arrêté du 27 juillet 2023 |
| NEP 300 | Planification de l’audit | Version révisée : arrêté du 27 juillet 2023 |
| NEP 315 | Prise de connaissance de l’entité et de son environnement, identification et évaluation du risque d’anomalies significatives dans les comptes | Version révisée : arrêté du 13 novembre 2024 (JO du 19 novembre 2024), applicable aux exercices ouverts à compter du 19 novembre 2024 |
| NEP 320 | Application de la notion de caractère significatif lors de la planification et de la réalisation d’un audit | Arrêté du 19 juillet 2012 (JO du 26 juillet 2012) |
| NEP 330 | Procédures d’audit mises en œuvre à l’issue de l’évaluation des risques | Arrêté du 27 juillet 2023 ; mise en conformité par arrêté du 13 novembre 2024 |
| NEP 500 | Caractère probant des éléments collectés | Arrêté du 19 juillet 2006 |
| NEP 580 | Déclarations de la direction | Arrêté du 21 juin 2011 |
| NEP 700 | Rapports du commissaire aux comptes sur les comptes annuels et consolidés | Arrêté du 26 mai 2017 ; révisée par arrêté du 1er octobre 2018 |
Que change l’approche par les risques pour l’entreprise auditée ?
Pour un dirigeant ou un directeur financier, comprendre la méthodologie de l’auditeur permet d’anticiper la mission au lieu de la subir. Trois conséquences pratiques méritent d’être soulignées.
La qualité du contrôle interne pèse directement sur l’étendue de l’audit. Une entité dont les processus sont formalisés, avec une séparation des tâches réelle et des rapprochements réguliers, réduit le risque lié au contrôle : l’auditeur peut s’appuyer davantage sur les contrôles testés et alléger d’autant certains contrôles de substance. À l’inverse, un contrôle interne faible déplace tout le poids de l’audit vers des contrôles de détail plus étendus.
Les zones d’estimation concentrent les demandes. Provisions pour risques, dépréciations d’actifs, reconnaissance du revenu sur contrats longs : ce sont les postes où le risque inhérent est le plus fort. Préparer en amont des dossiers de justification documentés (hypothèses, calculs, sources) fluidifie considérablement la phase finale.
La transparence est la meilleure stratégie. Les demandes de l’auditeur (accès au système d’information, circularisations, lettre d’affirmation) découlent d’obligations normatives, pas d’une défiance particulière. Un refus ou un retard crée une limitation aux travaux qui peut se traduire dans l’opinion, avec des conséquences bien plus lourdes qu’une anomalie corrigée en cours de mission. Rappelons que la désignation d’un commissaire aux comptes est obligatoire dès que l’entreprise dépasse 2 des 3 seuils suivants : 5 M€ de total de bilan, 10 M€ de chiffre d’affaires hors taxes, 50 salariés.
Point de vigilance du cabinet : la NEP 315 révisée, applicable aux exercices ouverts depuis le 19 novembre 2024, renforce sensiblement l’analyse de l’environnement informatique de l’entité (applications, accès, interfaces, contrôles généraux informatiques). Les entreprises dont les processus comptables reposent sur des outils peu documentés ou des accès non tracés doivent s’attendre à des demandes nouvelles de leur auditeur sur ces sujets. Cartographier ses applications critiques et formaliser la gestion des droits d’accès avant l’intervention est un investissement rentable.
FAQ : méthodologie d’audit et approche par les risques
Un audit légal vérifie-t-il toutes les factures de l’entreprise ?
Non. L’audit repose sur une assurance raisonnable, pas absolue : le commissaire aux comptes contrôle par sondages et par procédures ciblées, dimensionnées selon son évaluation des risques et le seuil de signification. Un audit qui prétendrait tout vérifier serait matériellement irréalisable et n’est exigé par aucune norme.
Quelle est la différence entre risque inhérent et risque de non-détection ?
Le risque inhérent tient à la nature même d’un compte ou d’une opération, avant tout contrôle : il s’impose à l’auditeur. Le risque de non-détection dépend au contraire des travaux de l’auditeur lui-même : c’est la seule composante qu’il peut ajuster, en renforçant ou en allégeant ses procédures pour ramener le risque d’audit global à un niveau acceptable.
Le seuil de signification est-il communiqué à l’entreprise ?
La NEP 320 n’impose pas de communiquer le seuil à l’entité auditée, et la plupart des auditeurs ne le divulguent pas afin de préserver le caractère imprévisible de leurs contrôles. Le seuil retenu et sa justification figurent en revanche dans le dossier de travail du commissaire aux comptes, qui documente son jugement professionnel.
Sources officielles
- Arrêté du 27 juillet 2023 portant homologation de plusieurs normes d’exercice professionnel révisées (NEP 200, 240, 300, 330 notamment), JO du 4 août 2023, Légifrance.
- Arrêté du 13 novembre 2024 portant homologation de onze normes d’exercice professionnel révisées (dont NEP 315 et 330), JO du 19 novembre 2024, Légifrance.
- Arrêté du 19 juillet 2012 (NEP 320), arrêté du 21 juin 2011 (NEP 580), arrêté du 19 juillet 2006 (NEP 500), arrêté du 10 avril 2007 (NEP 240 initiale), arrêté du 26 mai 2017 révisé le 1er octobre 2018 (NEP 700), Légifrance.
- Documentation des normes d’exercice professionnel, portail documentaire de la CNCC (doc.cncc.fr).
Données vérifiées le 30 août 2026.
Vous êtes concerné par une première nomination de commissaire aux comptes ou vous préparez un audit ? Le cabinet Myne intervient comme commissaire aux comptes à Paris auprès des PME, groupes et associations : parlons de votre situation avant la clôture.
