Papiers de travail du CAC : combien de temps les conserver, comment résister à une saisie

La norme d'exercice professionnel NEP 230, homologuée par arrêté ministériel, définit le dossier de travail comme l'ensemble des documents qui consignent les diligences accomplies, les éléments collectés et les conclusions formées par le commissaire aux comptes. Il comprend deux volets distincts :

• Le dossier permanent, qui regroupe les informations à caractère durable : statuts, organigramme, conventions réglementées, principes comptables retenus, cartographie des systèmes.
• Le dossier de l'exercice, qui matérialise les travaux conduits sur une période donnée : plan de mission, programme de travail, feuilles de contrôle, notes de synthèse, rapports.

Ce dossier n'est pas un livrable client. C'est un outil de preuve, conçu pour qu'un confrère tiers puisse, en le consultant, comprendre les diligences accomplies et les conclusions retenues. Sa qualité conditionne directement votre capacité à vous défendre en cas de mise en cause.

La NEP 230 fixe la durée minimale de conservation à 10 ans à compter de la date de signature du rapport. Ce délai s'aligne sur le délai de prescription de l'action en responsabilité civile professionnelle du CAC, posé par l'article L. 822-18 du Code de commerce.

Trois situations imposent une conservation plus longue :

1. Mission ALPE en cours ou diligences directement liées à des actes (apports, fusions, scissions) : la prescription peut courir à compter de la cessation de leurs effets, ce qui peut dépasser 10 ans.
2. Procédure judiciaire ou disciplinaire en cours : la conservation doit être maintenue jusqu'à l'épuisement de toutes les voies de recours.
3. Mission auprès d'une entité d'intérêt public (EIP) : la doctrine professionnelle recommande une conservation prolongée jusqu'à 15 ans.

À l'inverse, conserver indéfiniment des dossiers anciens n'est pas neutre : cela accroît la surface d'exposition en cas de fuite et peut générer un risque RGPD si des données personnelles ne sont plus nécessaires.

Le support numérique est admis, sous réserve que l'intégrité du dossier soit garantie pendant toute la durée de conservation. La CNCC a publié plusieurs notes techniques sur ce point. Quatre exigences pratiques en découlent :

Si votre cabinet utilise une solution SaaS d'audit, la convention avec l'éditeur doit prévoir une clause de réversibilité et un engagement de restitution au format exploitable en cas de défaillance ou de fin de contrat. Sans cela, vous risquez de perdre l'accès à votre propre dossier en quelques jours.

Le commissaire aux comptes n'est pas à l'abri d'une perquisition, dans le cadre d'une enquête visant un client, un dirigeant, ou — plus rarement — le cabinet lui-même. La saisie de dossiers de travail est légalement possible et a été pratiquée à plusieurs reprises ces dernières années dans des affaires médiatisées.

Cinq réflexes à connaître :

1. Vérifier la qualité de l'officier et la régularité du mandat. Un OPJ doit présenter sa carte et un magistrat doit avoir signé la commission rogatoire.
2. Appeler immédiatement votre avocat, ainsi qu'un représentant de votre Compagnie régionale, qui peut se déplacer pour assister à la mesure.
3. Identifier les pièces couvertes par le secret professionnel et les déclarer comme telles. L'officier doit alors les placer sous scellés sans en prendre connaissance, en attendant l'arbitrage du juge des libertés.
4. Demander un inventaire contradictoire précis de tous les documents saisis, sur support papier comme numérique. Conserver une copie signée.
5. Documenter immédiatement le déroulement par une note interne datée, qui servira en cas de contestation ultérieure.

L'improvisation pendant une perquisition est la première cause de pièces saisies à tort. Préparer un protocole interne d'une page, accessible à tous, est l'investissement le plus rentable d'un cabinet d'audit.

Perdre un dossier de travail expose à un double risque : juridique (impossibilité de justifier des diligences en cas de mise en cause) et financier (coût de reconstitution, perte d'exploitation pendant l'interruption d'activité).

Une multirisque professionnelle calibrée pour un cabinet d'audit doit prévoir plusieurs garanties distinctes :

• Reconstitution de fichiers et d'archives : prise en charge des frais de récupération auprès des clients, d'un prestataire spécialisé ou d'un éditeur SaaS.
• Perte d'exploitation : indemnisation de la marge brute pendant la période d'indisponibilité du système d'information.
• Bris informatique : couverture des serveurs, postes et équipements réseau.
• Frais supplémentaires d'exploitation : location de matériel de remplacement, recours à un cabinet partenaire pour honorer les délais.

La garantie reconstitution doit être chiffrée en cohérence avec votre volume d'activité. Pour un cabinet d'audit de taille intermédiaire, un plafond de 100 000 euros est souvent un minimum, et 250 000 euros un objectif raisonnable.

Au-delà de l'assurance, un plan de continuité formalisé fait la différence en cas d'incident majeur. Les éléments essentiels :

1. Une sauvegarde 3-2-1 : trois copies des dossiers, sur deux supports différents, dont une hors site et déconnectée.
2. Un test de restauration semestriel, documenté, qui prouve que les sauvegardes sont réellement exploitables.
3. Une liste à jour des clients prioritaires dont les rapports doivent être émis dans des délais légaux contraints (AG annuelle, opérations en cours).
4. Un accord de partenariat avec un cabinet confrère susceptible de prendre en relais les missions les plus urgentes en cas d'indisponibilité prolongée.

Ces dispositifs ne sont pas obligatoires au sens strict, mais leur absence est systématiquement relevée par l'H2A en cas de contrôle qualité et peut peser dans l'appréciation de votre diligence en cas de litige.