OTI accrédité COFRAC ou prestataire mandaté : deux régimes de responsabilité à ne pas confondre

Le marché de l'audit de durabilité regroupe des intervenants aux statuts très différents, que le vocabulaire courant tend à confondre sous l'étiquette « auditeur CSRD ». Or, derrière ce terme, coexistent deux familles dont la responsabilité ne repose pas sur les mêmes fondements.

D'un côté, l'organisme tiers indépendant (OTI) accrédité : il est l'acteur que la directive autorise à délivrer l'assurance réglementaire sur le rapport de durabilité. Son intervention est encadrée, son accréditation contrôlée, son opinion attendue par les utilisateurs du rapport — actionnaires, investisseurs, créanciers.

De l'autre, le prestataire mandaté : consultant, cabinet spécialisé ou expert qui accompagne l'entreprise en amont, prépare la collecte des données, réalise un pré-audit, structure l'analyse de matérialité ou conseille sur la conformité aux normes ESRS, sans délivrer l'assurance réglementaire finale.

Les deux travaillent sur le même objet — le rapport de durabilité — mais leur position dans la chaîne et la nature de leur engagement diffèrent. Et cette différence emporte des conséquences directes sur leur responsabilité et sur l'assurance qu'ils doivent souscrire.

L'OTI accrédité occupe une position singulière : son opinion ne sert pas seulement son client, elle sert l'ensemble des utilisateurs du rapport. C'est ce qui fait toute la gravité de sa responsabilité.

Lorsqu'un investisseur décide d'allouer des capitaux sur la foi d'un rapport de durabilité certifié, il s'appuie sur l'assurance délivrée par l'OTI. Si cette assurance s'avère trompeuse — un indicateur faux non détecté, une anomalie significative passée sous silence — le préjudice peut être considérable et l'action peut venir d'un tiers avec lequel l'OTI n'a aucun lien contractuel.

Cette exposition aux tiers est la marque du régime de l'OTI :

• L'accréditation impose des exigences de compétence, d'indépendance et de couverture assurantielle adaptée.
• La défense contre les actions de tiers (investisseurs, créanciers) devient un poste central de la couverture, car ces procédures sont coûteuses.
• Le plafond de garantie doit refléter l'enjeu financier des entités auditées, souvent des sociétés cotées ou de grandes ETI.

Pour l'OTI accrédité, une RC Pro aux garanties financières adaptées n'est pas une option de confort : c'est une condition de l'exercice, exigée par les standards d'accréditation eux-mêmes.

Le prestataire mandaté n'engage pas sa responsabilité de la même façon. Son intervention, en amont de l'assurance réglementaire, le place dans une relation principalement contractuelle avec l'entreprise qui le mandate.

Sa faute typique n'est pas l'opinion d'assurance erronée, mais le conseil défaillant : une analyse de matérialité mal structurée qui sera retoquée par l'OTI, un retard qui fait manquer une échéance de publication, une méthodologie de collecte de données qui rend le rapport non conforme. Le préjudice est alors subi par son client direct, qui se retournera contre lui sur le terrain contractuel.

Cela ne signifie pas que son exposition est négligeable :

• Un rapport refusé ou retardé peut entraîner pour l'entreprise un coût de remédiation et un risque réputationnel qu'elle cherchera à lui imputer.
• Le prestataire manipule lui aussi des données extra-financières confidentielles dont la fuite engage sa responsabilité.
• Sa mission de conseil peut, selon sa formulation, être requalifiée et alourdir son engagement.

Pour ce profil, une RC Pro couvrant la faute, l'erreur et l'omission dans le conseil reste indispensable, même sans l'exigence d'accréditation propre à l'OTI.

L'erreur la plus coûteuse n'est pas l'absence d'assurance : c'est la souscription d'une garantie taillée pour un statut qui n'est pas le vôtre. Deux scénarios reviennent régulièrement.

Un prestataire mandaté assuré comme un simple consultant découvre, en cas d'action d'un tiers, que sa garantie ne couvre que les réclamations de son client direct.

Et inversement :

Un OTI accrédité dont la couverture n'intègre pas la défense contre les actions des investisseurs se retrouve à financer seul des procédures pour lesquelles son statut l'exposait spécifiquement.

La parade tient en une question simple à poser avant de signer : ma garantie répond-elle à la nature exacte des réclamations auxquelles mon rôle m'expose ?

• Si vous délivrez l'assurance réglementaire, votre couverture doit traiter en priorité les actions des tiers et respecter les exigences d'accréditation.
• Si vous intervenez en conseil et préparation, elle doit couvrir largement la faute professionnelle, l'erreur et l'omission dans le cadre contractuel.
• Dans les deux cas, la protection des données de mission et une assurance cyber complètent un dispositif cohérent.

Avant de choisir votre couverture, prenez le temps de cartographier précisément votre exposition. Quelques questions structurantes :

1. Quel est mon rôle exact dans la chaîne ? Délivrance de l'assurance réglementaire, pré-audit, conseil méthodologique, collecte de données : chaque maillon engage différemment.
2. Quelle est la taille des entités que j'accompagne ? Société cotée, grande ETI, entreprise familiale : l'enjeu financier conditionne le plafond pertinent.
3. Quelles juridictions sont concernées ? France, autres États de l'Union : votre couverture géographique doit suivre vos clients.
4. Quelles données sensibles ai-je en main ? Stratégie climat, risques, informations financières prospectives : leur protection relève autant de la confidentialité que de la cybersécurité.

Cette cartographie est la base d'une couverture efficace. Insurio accompagne les auditeurs et prestataires de durabilité dans cette démarche, en calibrant la garantie sur le statut et l'exposition réels. Retrouvez les spécificités de votre activité sur la page dédiée à l'auditeur CSRD.