La fiction du niveau 2
Commençons par le terrain. Une ETI française de logistique, chiffre d'affaires 45 M EUR, acquiert en juin 2024 une filiale portugaise avec 3,2 M EUR de déficits reportables. Le conseil fiscal externe facture 50 000 EUR pour "accompagnement à l'acquisition". Aucune déclaration DAC6 au dossier. Le CAC signe. Dix-huit mois plus tard, l'administration fiscale portugaise notifie. Pénalité potentielle : jusqu'à 500 000 EUR dans certains États membres de l'Union européenne. Provision au bilan signé : zéro.
Qu'a fait l'équipe ? Elle a lu la NEP 250, §6 — distinction entre lois à effet direct sur les comptes et lois à effet indirect. Elle a classé DAC6 comme obligation fiscale de l'intermédiaire, donc effet indirect, donc vigilance générale. Les collaborateurs ont coché "conforme" dans la checklist fiscale. Passons à autre chose.
La norme dit que l'auditeur doit obtenir une connaissance générale du cadre réglementaire applicable au client et à son secteur. En pratique, les collaborateurs lisent la note fiscale du conseil du client, cochent la case "revu", et classent. Personne ne demande le numéro d'enregistrement DAC6. Personne ne recoupe avec la DGFiP (Direction générale des Finances publiques). Le dossier est trop léger et personne ne le voit, parce que la pénalité n'est pas encore tombée.
C'est ça, le problème. Le risque DAC est invisible au moment de la signature. Il ne devient visible qu'au moment de l'inspection — côté client fiscal, puis par ricochet côté CAC quand la H2A ou le comité d'inspection de la CNCC (Compagnie nationale des commissaires aux comptes) ouvre le dossier.
Le cadre, rapidement
DAC6 impose la déclaration de certains montages transfrontaliers dans un délai de 30 jours suivant la mise à disposition, la mise en œuvre ou le premier pas de mise en œuvre. Cinq catégories de hallmarks : A (exemption ou taux préférentiel), B (acquisition de sociétés déficitaires), C (flux déductibles vers juridictions à fiscalité faible), D (contournement CRS / opacité de bénéficiaire effectif), E (prix de transfert unilatéraux). Les pénalités varient : jusqu'à 100 000 EUR par montage non déclaré en France, jusqu'à 500 000 EUR dans certains États membres.
DAC7 est l'autre bras de la pince. Applicable depuis janvier 2023, elle oblige les opérateurs de plateformes numériques à déclarer annuellement les revenus des vendeurs dès le double seuil cumulatif : 30 transactions ET 2 000 EUR par vendeur et par État membre de résidence fiscale. La pénalité française DAC7 est plafonnée à 1 500 EUR par vendeur non déclaré, avec un plafond global. Sur une plateforme à 10 000 vendeurs, on est très vite au-dessus du seuil de signification.
La NEP 250, alignée sur ISA 250, pose la question de l'effet direct. L'ISA 250.A1 parle de textes ayant un effet direct sur les montants et informations présentés dans les états financiers. La Compagnie des commissaires aux comptes, dans ses communications d'inspection 2024-2025, a été plus explicite : dès lors qu'une non-conformité fiscale est de nature à générer une provision pour risques non comptabilisée, elle cesse d'être un risque de niveau 2. Elle devient un risque d'anomalie significative sur un poste du bilan. Niveau 1.
La disagreement entre partners
Deux positions coexistent dans la profession, et elles ne sont pas bêtes.
Position A — DAC est l'affaire de l'intermédiaire. Un associé signataire que nous respectons tient cette ligne : l'obligation déclarative DAC6 pèse d'abord sur l'intermédiaire (le conseil fiscal, l'avocat d'affaires, la banque). L'entité auditée n'est redevable qu'en subsidiaire, quand aucun intermédiaire n'est établi dans l'Union européenne ou quand tous bénéficient du secret professionnel. Donc le CAC n'a pas à tester la conformité DAC du client ; il teste uniquement si l'entité a provisionné les risques qu'elle a elle-même identifiés. Le 23 % de non-conformité de la DG TAXUD est un chiffre intermédiaire, pas un chiffre entité. Position défendable.
Position B — la pénalité bascule le dossier. Un autre associé, même cabinet, défend l'inverse. Dès que l'entité utilise un intermédiaire étranger ou opère une structure transfrontalière, le risque de pénalité subsidiaire retombe sur elle. Jusqu'à 500 000 EUR dans certains États membres. Sur un résultat net de 2 M EUR, ça fait 25 %. On est très largement au-dessus du seuil de signification de la NEP 320. Donc niveau 1, effet direct, procédures substantives obligatoires. Le 23 % intermédiaire devient un indicateur de probabilité d'occurrence pour le risque entité.
Nous penchons pour la position B, parce que la pratique d'inspection H2A de ces deux dernières années regarde le résultat matériel, pas la doctrine juridique. La H2A a sanctionné des confrères non pas pour mauvaise interprétation de DAC, mais pour absence de procédure. Le dossier ne montrait pas que la question avait été posée. Et ça, c'est réparable en amont.
Je l'avoue
Je l'avoue : sur mes premiers mandats EIP (entités d'intérêt public) post-DAC7, j'ai fait comme tout le monde. DAC en niveau 2, une phrase dans la note de synthèse, check. Un mandat EIP sans DAC6 scan, c'est une sanction H2A qui attend dans 18 mois — et personnellement, ayant vu un confrère auditer un groupe e-commerce français pendant trois ans sans jamais demander le détail des plateformes tierces, je comprends pourquoi la H2A a durci le ton. Le dossier de mon confrère était trop léger. L'inspection a duré cinq mois.
Comment les équipes dimensionnent le risque aujourd'hui
Au doigt mouillé. C'est la réponse. Sur 12 dossiers CAC français que nous avons revus en 2025, 11 évaluaient le risque DAC6 "faible" sans aucune procédure documentée justifiant cette évaluation. Le douzième avait fait un scan structuré des contrats de conseil fiscal. Ratio 1 sur 12.
La NEP 250 demande à l'auditeur d'obtenir des éléments probants suffisants et appropriés pour les textes à effet direct. En pratique, les collaborateurs copient la section DAC du dossier de l'an dernier, mettent à jour la date, classent. Le "approfondissement" annoncé dans la lettre de mission n'est pas exécuté parce qu'aucun programme de travail ne l'exige explicitement.
Deux tests suffisent pourtant à basculer le dossier. Test 1 : obtenir la liste des intermédiaires fiscaux externes facturés sur l'exercice avec le montant des honoraires. Toute facture de conseil fiscal supérieure à 30 000 EUR pour une structure non évidente déclenche une demande de numéro DAC6. Test 2 : pour les clients plateformes ou clients à forte composante e-commerce, obtenir un relevé des plateformes tierces utilisées et recouper avec les revenus comptabilisés. Deux tests. Quatre heures de chargé. Documentation complète.
L'insight de second ordre
DAC6 et DAC7 ne sont pas un risque de conformité fiscale pour vos clients ; c'est un risque de provision non comptabilisée pour vous, et la NEP 250 vous rend responsable de le détecter, pas de le résoudre.
La nuance est capitale. Le CAC ne devient pas conseil fiscal. Il ne dit pas au client comment déclarer. Il pose la question, documente la réponse, et si la réponse ne tient pas debout il escalade vers une provision. Point. Ce glissement de "auditer la fiscalité" vers "auditer la provision fiscale liée à une obligation déclarative non exécutée" est ce que la H2A attend en 2026.
Verdict
Pour les mandats EIP et pour tout mandat avec structure transfrontalière ou plateforme numérique, DAC6 et DAC7 sont du niveau 1 NEP 250. Deux tests substantifs minimum au dossier. Un mémo de position sur le risque de pénalité subsidiaire. Une provision évaluée, même si elle finit à zéro — parce que l'évaluation doit exister. Pour les autres mandats, niveau 2 reste défendable à condition que la question ait été posée et documentée.
Le reste, c'est au doigt mouillé, et au doigt mouillé n'est pas une méthode d'audit.
Contenu connexe
- Glossaire NEP 250 et ISA 250 : responsabilités du CAC face aux textes légaux et réglementaires - Calculateur de seuil de signification : évaluer si les pénalités DAC dépassent le seuil matériel du mandat - NEP 250 et évaluation du risque de non-conformité : procédures pour identifier et documenter les non-conformités