1. Du contrôle interne financier au contrôle interne du reporting de durabilité
Le contrôle interne du reporting de durabilité doit être pensé comme un jumeau exigeant du contrôle interne financier, pas comme un simple habillage RSE. Pour un directeur ou une directrice RSE, l’enjeu est clair : sans dispositif robuste de contrôle interne sur le reporting de durabilité, l’audit CSRD d’assurance limitée sera subi, et non piloté, avec un risque direct sur la crédibilité des rapports et la conformité européenne. Le lien entre contrôle interne, durabilité et performance n’est plus théorique ; il conditionne l’accès au capital, la confiance des parties prenantes et la solidité des comptes consolidés.
Les entreprises qui ont déjà structuré leur contrôle interne autour de référentiels comme COSO ou, pour certaines filiales cotées aux États Unis, SOX, disposent d’un avantage compétitif pour le contrôle interne du reporting de durabilité. Elles savent cartographier les processus, identifier les points de contrôle, documenter les tests et dialoguer efficacement avec les commissaires aux comptes et tout tiers indépendant ou organisme tiers chargé d’une mission d’assurance limitée. L’enjeu est désormais de transposer ces réflexes au champ RSE et ESG, en intégrant les normes ESRS, la taxonomie européenne et les exigences spécifiques de la CSRD audit sur les informations de durabilité.
Concrètement, le contrôle interne du reporting de durabilité doit couvrir l’ensemble de la chaîne de valeur des données, depuis la collecte jusqu’au rapport de durabilité et au rapport CSRD. Chaque entreprise doit définir des lignes directrices internes qui précisent les rôles, les responsabilités et les contrôles attendus pour chaque indicateur de matière de durabilité, qu’il soit environnemental, social ou de gouvernance. Sans cette structuration, le rapport de durabilité et le rapport CSRD resteront fragiles face à un audit CSRD mené par un auditeur de durabilité expérimenté, qu’il s’agisse des commissaires aux comptes historiques ou d’un nouvel auditeur externe spécialisé.
Les directions financières ESG qui pilotent déjà le reporting financier peuvent capitaliser sur leurs pratiques pour sécuriser le reporting de durabilité. Chez Danone ou Decathlon, la convergence progressive entre reporting financier et reporting de durabilité se traduit par des processus communs de validation des données et par une gouvernance intégrée des enjeux ESG. Ce mouvement permet de traiter les enjeux ESG et les risques et opportunités de durabilité avec le même niveau de rigueur que les risques financiers, en alignant les informations de durabilité sur les comptes et en préparant le terrain pour un audit rapport combinant audit financier et audit CSRD.
Le contrôle interne du reporting de durabilité ne se limite pas à cocher les cases de la conformité européenne ou des normes ESRS. Il doit aussi permettre de fiabiliser les analyses de matérialité et d’orienter les arbitrages stratégiques sur les investissements verts, les plans de transition climatique ou les politiques sociales. Sans un tel contrôle, les données de durabilité restent contestables, les analyses de matérialité perdent en crédibilité et les rapports de durabilité deviennent vulnérables aux critiques de greenwashing, y compris lors d’un CSRD audit mené par un auditeur de durabilité mandaté pour une assurance limitée.
2. Processus, traçabilité et documentation : le cœur du dispositif de contrôle interne
La première brique du contrôle interne du reporting de durabilité, avant tout audit CSRD, est la cartographie détaillée des processus de données ESG. Chaque entreprise doit décrire, pour chaque indicateur ESRS, qui collecte les données, qui les consolide, qui les valide et qui les reporte dans le rapport de durabilité et le rapport CSRD. Sans cette séparation claire des tâches, le contrôle interne reste théorique et l’auditeur de durabilité, qu’il soit commissaire aux comptes ou tiers indépendant, pointera immédiatement un risque de fiabilité.
La traçabilité des données de durabilité est le deuxième pilier, souvent sous estimé par les directions RSE et les directions financières ESG. Pour chaque donnée clé, il faut pouvoir remonter de la note de bas de page du rapport CSRD jusqu’au système source, en documentant les hypothèses, les retraitements, les contrôles et les validations successives. Ce niveau de traçabilité, déjà familier aux équipes de reporting financier, doit être étendu aux données ESG, qu’il s’agisse d’émissions de gaz à effet de serre, d’indicateurs sociaux ou de gouvernance, afin de sécuriser l’audit rapport et de préparer l’évolution vers une assurance raisonnable.
La documentation des méthodologies de calcul pour chaque data point ESRS constitue le troisième pilier du contrôle interne du reporting de durabilité. Il ne suffit plus d’indiquer une méthode de calcul générique ; il faut décrire précisément les sources de données, les règles de consolidation, les extrapolations, les estimations et les limites, en cohérence avec les normes ESRS et la taxonomie européenne. Ce travail de documentation, souvent perçu comme fastidieux, devient un atout stratégique lors d’un audit CSRD, car il permet à l’auditeur de durabilité de comprendre rapidement les choix méthodologiques et de concentrer ses tests sur les zones de risque réel.
Les entreprises pionnières structurent déjà des « fiches méthodologiques » par indicateur de matière de durabilité, intégrant les exigences ESRS, les liens avec la taxonomie européenne et les impacts sur les comptes. Ces fiches servent de référence commune aux équipes RSE, finance, contrôle interne et audit interne, et elles facilitent le dialogue avec les commissaires aux comptes ou tout organisme tiers chargé d’une mission d’assurance limitée. Elles permettent aussi de sécuriser les analyses de matérialité, en rendant explicites les critères de priorisation des enjeux ESG et des risques et opportunités associés.
La gouvernance des données de durabilité doit enfin intégrer les enjeux de biodiversité, souvent moins matures que le climat dans les dispositifs de contrôle interne. Un comité ESG ou un comité de durabilité rattaché au comité d’audit peut, par exemple, suivre spécifiquement la qualité des données liées à la biodiversité, en s’appuyant sur des travaux dédiés comme ceux décrits dans cette analyse sur la nécessité de doter le COMEX d’un pilotage spécifique de la biodiversité. Ce type de gouvernance renforce la crédibilité du rapport de durabilité et du rapport CSRD, en montrant que la matière de durabilité biodiversité est traitée avec le même sérieux que le climat ou les enjeux sociaux.
3. La deuxième ligne de défense : audit interne, risk management et montée en compétence ESG
La deuxième ligne de défense du contrôle interne du reporting de durabilité repose sur l’audit interne et le risk management, qui doivent sortir d’une posture d’observateurs pour devenir des architectes de la fiabilité ESG. Les directions RSE ont tout intérêt à embarquer très tôt ces fonctions dans la construction du dispositif de contrôle interne, avant même l’arrivée de l’assurance limitée imposée par la CSRD. Sans cette implication, l’audit CSRD sera vécu comme une contrainte supplémentaire, alors qu’il peut devenir un levier de structuration des processus et de clarification des responsabilités.
Les équipes d’audit interne doivent adapter leurs plans d’audit pour intégrer le contrôle interne du reporting de durabilité, en s’appuyant sur les référentiels ESRS, la taxonomie européenne et les lignes directrices internes de l’entreprise. Il ne s’agit pas de transformer immédiatement chaque auditeur interne en auditeur de durabilité, mais de développer des compétences minimales sur les enjeux ESG, les analyses de matérialité et les méthodologies de calcul des indicateurs de matière de durabilité. Cette montée en compétence permet de tester la robustesse des processus, d’identifier les faiblesses de contrôle et de préparer le terrain pour l’intervention des commissaires aux comptes ou d’un tiers indépendant chargé d’une mission d’assurance limitée.
Le risk management doit, de son côté, intégrer les risques et opportunités de durabilité dans la cartographie globale des risques de l’entreprise. Les risques ESG liés à la qualité des données, à la non conformité européenne ou à la mauvaise interprétation des normes ESRS doivent être traités avec le même sérieux que les risques financiers ou opérationnels. Les directions RSE peuvent s’appuyer sur des cas concrets, comme les contentieux climatiques ou les décisions de justice liées au devoir de vigilance, pour convaincre les comités d’audit et les conseils d’administration de renforcer la gouvernance des informations de durabilité, à l’image des enseignements tirés de l’analyse sur le devoir de vigilance climatique et les obligations des grandes entreprises.
La coordination entre audit interne, contrôle interne, RSE et finance est déterminante pour éviter les angles morts dans le reporting de durabilité. Certaines entreprises structurent déjà des comités transverses qui suivent l’avancement du contrôle interne du reporting de durabilité, les résultats des audits internes, les recommandations des commissaires aux comptes et les attentes des régulateurs européens. Cette gouvernance intégrée permet de traiter les enjeux ESG et les risques et opportunités de durabilité comme des sujets de pilotage, et non comme des annexes au rapport financier.
La perspective d’une évolution de l’assurance limitée vers une assurance raisonnable sur le rapport CSRD doit être anticipée dès maintenant par les directions RSE et les directions financières ESG. Les entreprises qui auront utilisé la phase d’assurance limitée pour tester et renforcer leur contrôle interne, avec l’appui de l’audit interne et du risk management, aborderont cette montée en exigence avec sérénité. Les autres devront rattraper en urgence des années de retard, sous la pression d’un auditeur de durabilité de plus en plus exigeant et d’un cadre de conformité européenne qui se durcit.
4. Préparer l’assurance raisonnable : articuler contrôle interne, tiers indépendants et chaîne de valeur
La CSRD impose une assurance limitée sur le rapport de durabilité, avec une trajectoire probable vers une assurance raisonnable, ce qui change profondément le rapport entre entreprises et auditeurs. Pour un directeur ou une directrice RSE, l’enjeu n’est pas seulement de passer l’audit CSRD, mais de construire un dispositif de contrôle interne qui rende l’entreprise maîtresse de son reporting de durabilité. Pas du greenwashing, du pilotage.
Le choix entre commissaires aux comptes historiques, auditeurs de durabilité spécialisés ou autres organismes tiers pour l’assurance limitée doit être pensé comme un partenariat de long terme. Un tiers indépendant qui comprend les enjeux ESG sectoriels, les analyses de matérialité et les contraintes opérationnelles de la chaîne de valeur apportera une valeur ajoutée bien supérieure à un simple contrôle de conformité européenne. Les directions RSE peuvent structurer ce dialogue en partageant leurs lignes directrices internes, leurs cartographies de risques et leurs plans de renforcement du contrôle interne, afin de transformer l’audit rapport en levier d’amélioration continue.
La fiabilisation des données de durabilité ne peut pas se limiter au périmètre corporate ; elle doit intégrer les fournisseurs, les sous traitants et, plus largement, l’écosystème de la chaîne de valeur. Les entreprises qui ont déjà structuré un vendor management responsable, avec des exigences claires en matière de données ESG et de conformité, disposent d’un avantage pour sécuriser leur reporting de durabilité, comme l’illustre l’approche détaillée dans cette ressource sur la structuration d’un vendor management responsable. Ce travail amont réduit les risques d’erreurs, de données manquantes ou de non conformité européenne dans le rapport CSRD.
La convergence entre reporting financier et reporting de durabilité constitue enfin un axe stratégique pour préparer l’assurance raisonnable. En rapprochant les processus, les contrôles et les calendriers, les entreprises peuvent aligner les informations de durabilité sur les comptes, sécuriser les liens avec la taxonomie européenne et renforcer la cohérence globale de leur communication. Cette convergence facilite aussi le travail de l’auditeur de durabilité, qui peut s’appuyer sur des dispositifs de contrôle interne déjà éprouvés dans le champ financier.
Les directions RSE et les directions financières ESG doivent assumer une position claire : la durabilité CSRD n’est pas un centre de coût, mais un levier de performance, de gestion des risques et d’accès au capital. En investissant dès maintenant dans un contrôle interne structuré du reporting de durabilité, en mobilisant la deuxième ligne de défense et en préparant le dialogue avec les auditeurs, les entreprises transforment une obligation réglementaire en avantage compétitif durable. C’est ce changement de posture qui fera la différence entre des rapports de durabilité subis et un rapport CSRD réellement stratégique pour l’entreprise et ses parties prenantes.
Chiffres clés sur le contrôle interne et le reporting de durabilité
- Selon l’Autorité des marchés financiers, une majorité d’émetteurs du SBF 120 ont déjà rapproché leurs processus de reporting financier et extra financier, mais seule une fraction dispose d’un dispositif de contrôle interne formalisé sur l’ensemble des indicateurs ESG, ce qui crée un risque de non conformité lors des premiers audits CSRD.
- La Commission européenne estime que l’extension du champ de la CSRD concernera plusieurs dizaines de milliers d’entreprises en Europe, ce qui va mécaniquement augmenter la demande en auditeurs de durabilité qualifiés et en organismes tiers capables de délivrer une assurance limitée, puis raisonnable, sur les rapports de durabilité.
- Les analyses de place montrent que les entreprises qui intègrent les risques et opportunités de durabilité dans leur cartographie globale des risques améliorent leur résilience financière, avec une réduction mesurable des incidents de conformité et des litiges liés aux enjeux ESG sur plusieurs exercices consécutifs.
- Les premiers retours d’expérience publiés par des groupes comme Danone ou Decathlon indiquent qu’une gouvernance intégrée du reporting de durabilité, associant RSE, finance, contrôle interne et audit interne, permet de réduire significativement les écarts de données détectés lors des revues préalables à l’audit CSRD.