Ce rapport présente la réponse conjointe des Autorités de Surveillance Européennes concernant l'évaluation de l'inclusion des auditeurs légaux et des cabinets d'audit dans le cadre de DORA. Il examine les implications de cette inclusion sur le marché, les audités, la supervision, la mise en œuvre et la coopération entre autorités. Les Autorités concluent que les implications de l'application de DORA à ces entités…
Ce rapport conjoint des Autorités Européennes de Supervision (EBA, EIOPA, ESMA) répond à la consultation de la Commission Européenne en vertu de l'article 58(3) du Règlement (UE) 2022/2554 (DORA). Daté de décembre 2025, il évalue la pertinence d'inclure les commissaires aux comptes et cabinets d'audit dans le champ d'application de DORA ou d'amender la Directive 2006/43/CE pour renforcer leurs exigences en matière de résilience opérationnelle numérique. Le périmètre couvre les auditeurs statutaires, les cabinets d'audit, leur rôle dans le secteur financier et économique, ainsi que les implications réglementaires et de supervision liées à une éventuelle extension de DORA.
Le rapport analyse la possibilité d'appliquer DORA aux commissaires aux comptes et cabinets d'audit, qui jouent un rôle clé dans la transparence financière et la stabilité des marchés en certifiant l'exactitude des états financiers, notamment des entités d'intérêt public. Bien que la confidentialité, l'intégrité et la disponibilité des données d'audit soient critiques, les activités d'audit ne font pas partie de la chaîne opérationnelle directe des entités auditées et n'affectent pas directement la continuité des services financiers. L'inclusion dans DORA soulèverait plusieurs enjeux : une concentration accrue du marché des audits en raison des coûts fixes plus élevés, une hausse probable des honoraires d'audit impactant surtout les PME, un besoin important de requalification des autorités de supervision nationales, des ajustements complexes des mécanismes de gouvernance et de coopération entre autorités, ainsi qu'une incohérence réglementaire par rapport aux autres prestataires de services essentiels non régulés. Les auditeurs disposent déjà d'un cadre réglementaire et contractuel multi-couches garantissant la protection des données. En conclusion, les ESAs estiment que les inconvénients liés à l'extension de DORA aux auditeurs surpassent les bénéfices potentiels et ne recommandent pas cette inclusion à ce stade (p. 1-8).
Le rapport a été rédigé en réponse à la demande de la Commission Européenne, formulée le 29 octobre 2025, dans le cadre de l'article 58(3) du Règlement DORA. L'objectif est d'évaluer si les auditeurs statutaires et cabinets d'audit doivent être soumis à des exigences renforcées de résilience opérationnelle numérique, soit par leur inclusion dans DORA, soit par modification de la Directive 2006/43/CE. Cette évaluation intervient dans un contexte où la supervision des auditeurs est principalement nationale, avec un rôle limité des ESAs, et où la protection des données d'audit est essentielle pour la confiance des marchés et la stabilité financière. Le rapport vise à fournir une analyse détaillée des implications réglementaires, économiques, de supervision et de gouvernance liées à cette extension potentielle, tout en soulignant les limites actuelles du cadre applicable (p. 1-3).
Cadre réglementaire et rôle des ESAs : Les auditeurs statutaires sont régis par la Directive 2006/43/CE et le Règlement 537/2014, avec une supervision assurée par les autorités nationales et une coopération au niveau européen via le CEAOB. Les ESAs (EBA, EIOPA, ESMA) n'ont pas de pouvoirs directs de supervision sur ces entités, bien qu'ESMA joue un rôle plus actif dans la convergence des pratiques liées à la transparence financière (p. 3-5).
Importance des auditeurs dans l'écosystème financier : Les auditeurs fournissent une assurance indépendante sur les états financiers, essentielle à la confiance des investisseurs et à la stabilité des marchés. La confidentialité, l'intégrité et la disponibilité des données d'audit sont critiques, mais les activités d'audit ne sont pas intégrées à la chaîne opérationnelle des entités auditées et n'affectent pas directement la continuité des services financiers. Le cadre actuel impose des exigences organisationnelles générales sur la continuité et la gestion des incidents, ainsi que des obligations de conservation des documents (p. 5-6).
Mesures opérationnelles et protections existantes : Les échanges de données entre auditeurs et audités sont sécurisés via des moyens contractuels et techniques (portails cryptés, clauses de confidentialité). Les auditeurs doivent également respecter le RGPD et d'autres réglementations transversales, renforçant la protection des données. Les entités financières clientes appliquent déjà DORA, ce qui impacte indirectement les auditeurs lorsqu'ils accèdent aux systèmes clients (p. 6-7).
Implications d'une extension de DORA :
- Marché : L'application complète de DORA augmenterait les coûts fixes, renforçant la concentration du marché dominé par les Big Four, réduisant la concurrence et le choix des audités.
- Audités : Les coûts accrus de conformité se répercuteraient sur les honoraires, affectant particulièrement les PME et microentreprises, sans garantie d'un bénéfice proportionnel en termes de résilience.
- Supervision : Les autorités nationales devraient requalifier leurs équipes pour gérer les exigences DORA (gestion des incidents, registres des risques, tests TLPT, supervision générale).
- Gouvernance : L'intégration des auditeurs dans les mécanismes DORA nécessiterait des ajustements complexes des flux de reporting, de la désignation des autorités TLPT, de la participation aux forums de supervision et des responsabilités de suivi.
- Coopération : L'inclusion soulèverait des questions sur l'intégration des autorités de supervision des auditeurs dans les processus décisionnels des ESAs et des groupes de coopération existants.
- Cohérence réglementaire : Contrairement à d'autres prestataires essentiels non régulés, les auditeurs seraient soumis à DORA, ce qui pose un problème de cohérence dans le traitement des fournisseurs critiques (p. 6-8).
Faits établis : Le marché européen de l'audit est fortement concentré, avec les Big Four dominant la certification des entités d'intérêt public. Les auditeurs jouent un rôle clé dans la confiance des marchés financiers, mais leurs activités ne sont pas critiques pour la continuité opérationnelle des entités auditées. Le cadre réglementaire actuel impose des exigences générales de continuité et de gestion des incidents, ainsi que des protections contractuelles et légales sur les données (p. 1-7).
Hypothèses : L'application des exigences DORA aux auditeurs augmenterait significativement les coûts de conformité, renforçant la concentration du marché et augmentant les honoraires d'audit, notamment pour les PME. La supervision nécessiterait une montée en compétences des autorités nationales, avec des impacts organisationnels et de gouvernance importants.
Interprétations : Les ESAs considèrent que les coûts et complexités liés à l'extension de DORA aux auditeurs surpassent les bénéfices attendus en termes de résilience opérationnelle. Elles soulignent également des incohérences dans le traitement réglementaire des prestataires essentiels.
Incertitudes : Le rapport ne s'appuie pas sur des données empiriques spécifiques collectées mais sur des informations publiques et analyses existantes, ce qui limite la précision de certaines évaluations d'impact (p. 1-8).
Les ESAs reconnaissent l'importance publique des auditeurs statutaires dans la certification des états financiers des entités d'intérêt public. Elles constatent que, bien que le cadre actuel contienne des références générales à la résilience opérationnelle numérique, l'application de DORA aux auditeurs impliquerait des coûts, des complexités de supervision et des incohérences réglementaires qui dépassent les bénéfices potentiels. En conséquence, elles ne recommandent pas d'inclure les commissaires aux comptes et cabinets d'audit dans le champ d'application de DORA à ce stade. Le rapport souligne l'importance des mesures conjointes entre auditeurs et audités pour protéger les données d'audit, dans le cadre des réglementations existantes (p. 1-8).
Note de synthèse rédigée à partir du document intégral par l’Académie DataSAI. Cette note vient de la bibliothèque scientifique de l’Académie DataSAI, en accès libre.