Secret professionnel du CAC : ce que vous pouvez dire, ce qui vous expose pénalement
Le secret professionnel du commissaire aux comptes n'est pas absolu. Cartographie précise des exceptions légales, des partages autorisés et des pièges à éviter — fuites comprises.
- Le secret professionnel du CAC est posé par l'article L. 822-15 du Code de commerce et sanctionné pénalement par l'article 226-13 du Code pénal.
- Il n'est pas opposable à la justice, à TRACFIN, à l'H2A, au successeur du commissaire et, sous conditions, aux co-commissaires.
- Une fuite par cyberattaque peut constituer un manquement même sans faute intentionnelle, si les mesures de sécurité étaient insuffisantes.
- Une RC Pro et une garantie cyber bien calibrées couvrent les conséquences financières et la gestion d'incident.
Un secret d'ordre public, deux fondements distincts
Le commissaire aux comptes est soumis à un secret professionnel particulièrement étendu. Son fondement repose sur deux textes complémentaires.
D'une part, l'article L. 822-15 du Code de commerce dispose que le CAC et ses collaborateurs sont astreints au secret professionnel pour les faits, actes et renseignements dont ils ont pu avoir connaissance à raison de leurs fonctions. D'autre part, l'article 226-13 du Code pénal sanctionne par un an d'emprisonnement et 15 000 euros d'amende la révélation d'une information à caractère secret par une personne dépositaire de ce secret par état, profession ou mission.
L'articulation est claire : le Code de commerce définit le périmètre et les exceptions, le Code pénal fournit la sanction. Aucune circonstance d'opportunité commerciale ne permet de s'en affranchir. Pas même la pression d'un dirigeant qui vous demanderait de « rassurer » un futur acquéreur en lui transmettant des éléments du dossier.
Le périmètre concret : tout, sauf ce que la loi excepte expressément
Le secret couvre, sans exception de support ou de format :
- Les documents comptables et financiers communiqués par l'entité auditée.
- Les analyses, notes de travail, mémorandums internes du cabinet.
- Les échanges avec la direction, y compris les courriels et messages instantanés.
- Les conclusions provisoires, même non encore consignées dans un rapport.
- L'existence même d'une mission, lorsque sa révélation pourrait nuire à l'entité.
Le périmètre déborde le strict cadre de l'audit légal : il s'applique aussi aux missions de SACC, aux due diligences d'acquisition, aux attestations particulières. Toute information à laquelle vous avez accédé « à raison de » votre fonction est protégée.
Les exceptions légales : qui peut légitimement vous demander de parler
Le secret n'est pas opposable dans plusieurs hypothèses précisément énumérées. Hors de cette liste, le silence reste la règle.
L'autorité judiciaire et l'enquête pénale
L'article L. 820-7 impose la révélation au procureur de la République des faits délictueux dont vous avez connaissance. Le secret tombe également devant le juge d'instruction, qui peut auditionner et perquisitionner. En revanche, devant un juge civil, le secret reste opposable sauf textes spéciaux.
TRACFIN et la lutte anti-blanchiment
Le commissaire aux comptes est assujetti aux obligations LCB-FT du Code monétaire et financier (article L. 561-2). En cas de soupçon, la déclaration à TRACFIN est obligatoire, et le secret est expressément écarté. Le déclarant bénéficie d'une immunité civile, pénale et disciplinaire.
Les confrères et l'H2A
Le secret est partiellement levé entre co-commissaires intervenant sur la même entité (article L. 822-15 alinéa 2) et envers le commissaire successeur dans le cadre de la prise de connaissance du dossier. L'Haut Conseil du commissariat aux comptes peut également exiger la communication de tout document dans le cadre de ses contrôles ou enquêtes.
Le groupe : une exception à manier avec précaution
L'article L. 823-14 autorise la communication d'informations entre le CAC de la société mère et le CAC d'une filiale, dans la limite de ce qui est utile à la mission de la mère. Cette exception ne couvre pas les holdings de pure détention sans consolidation, ni les informations sensibles non liées aux comptes.
Le piège moderne : la fuite numérique
L'article 226-13 vise la révélation, intentionnelle ou non. Lorsqu'un cabinet est victime d'une cyberattaque et que des dossiers clients fuitent, la qualification de manquement au secret professionnel peut être retenue si les mesures de sécurité étaient manifestement insuffisantes.
Trois scénarios récents montrent la sensibilité du sujet :
- Rançongiciel avec exfiltration et publication partielle sur un site .onion. Les clients dont les comptes apparaissent peuvent invoquer un préjudice de réputation et un manquement au secret.
- Compromission d'un compte de messagerie et envoi de pièces à des tiers. La traçabilité de l'accès et l'absence de double authentification sont systématiquement reprochées.
- Perte d'un ordinateur portable non chiffré contenant le dossier de travail. L'absence de chiffrement transforme une perte matérielle en violation de données.
Au-delà du Code pénal, le RGPD impose une notification à la CNIL sous 72 heures et, le cas échéant, aux personnes concernées. Les sanctions cumulent rapidement.
Articuler RC Pro, garantie cyber et protection juridique
La RC Pro du commissaire aux comptes couvre les conséquences pécuniaires d'un manquement au secret commis par négligence : courrier mal adressé, pièce jointe oubliée, erreur de classement. Les frais de défense, y compris devant le juge pénal, sont pris en charge tant qu'aucune condamnation définitive pour faute intentionnelle n'est prononcée.
Une garantie cyber dédiée intervient lorsque l'origine du manquement est technique : intrusion, rançongiciel, fraude au président, compromission d'un fournisseur SaaS. Elle finance la gestion de crise (forensique, communication, notification CNIL), la reconstruction du système d'information et les pertes d'exploitation. Sans cette garantie, la facture moyenne d'un incident pour un cabinet d'audit dépasse couramment 80 000 euros, selon les retours du secteur en 2024-2025.
Une protection juridique professionnelle complète l'édifice en finançant les actions que vous engageriez à titre offensif — par exemple contre un prestataire informatique dont la défaillance aurait causé la fuite.
Cinq réflexes opérationnels à mettre en place dès demain
- Chiffrer tous les postes nomades et imposer la double authentification sur la messagerie professionnelle. La perte d'un appareil chiffré n'est pas une violation de données.
- Cloisonner les dossiers de travail par mission, avec accès strictement limité aux collaborateurs concernés. Le principe du moindre privilège est aussi un principe d'audit.
- Rédiger une charte interne sur le secret, signée par chaque nouveau collaborateur, rappelant les exceptions légales et les sanctions encourues.
- Documenter chaque levée de secret : qui a demandé quoi, sur quel fondement, qui a autorisé la communication. Ce registre est votre meilleure défense.
- Auditer annuellement vos contrats d'assurance pour vérifier l'articulation RC Pro / cyber / protection juridique. Une simulation de 5 minutes suffit pour identifier les trous.
Questions fréquentes
Non, jamais directement. Le rapport est destiné à l'assemblée des associés ou actionnaires. C'est à l'entité auditée de le transmettre. Toute communication directe par le CAC à un tiers expose à une violation du secret.
Oui, sans limitation de durée. Vous restez tenu au secret après votre démission, votre récusation, votre départ à la retraite ou la cessation de votre cabinet. Vos collaborateurs et anciens collaborateurs aussi.
Aucun commentaire, même pour confirmer ou infirmer l'existence d'une mission. La simple confirmation d'un mandat peut être qualifiée de révélation. Renvoyez systématiquement vers la direction de l'entité concernée.
Oui, dès que vous avez la certitude que leurs données ont pu être exfiltrées. Le RGPD impose une notification aux personnes concernées si le risque pour leurs droits est élevé. Votre garantie cyber finance et pilote cette communication.
Pénal : jusqu'à un an d'emprisonnement et 15 000 euros d'amende (rare en cas d'absence d'intention). Disciplinaire : avertissement à interdiction d'exercer selon la gravité. Civil : indemnisation du préjudice subi par le client, couverte par la RC Pro hors faute intentionnelle.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Commissaire aux comptes — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Commissaire aux comptes →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.