FATCA et CRS : Considérations d'audit

Ce que vous apprendrez

> - Comment évaluer le risque FATCA/CRS au sens de l'ISA 250 et de l'ISA 315 > - Quelles procédures d'audit tester pour la conformité aux obligations de déclaration > - Comment documenter l'évaluation du risque de non-conformité dans vos papiers de travail > - Où trouver les contrôles réellement efficaces dans les systèmes bancaires et financiers

Table des matières

1. Le cadre réglementaire FATCA et CRS 2. Risques d'audit au sens de l'ISA 250 3. Procédures d'audit pour la conformité FATCA/CRS 4. Exemple pratique : Banque Dubois & Associés 5. Liste de vérification pour l'audit FATCA/CRS 6. Erreurs courantes 7. Contenu connexe

Le cadre réglementaire FATCA et CRS

Nous partons d'un constat pratique. Sur les mandats bancaires que nous voyons, la conformité FATCA/CRS n'est presque jamais défaillante sur le principe. Elle l'est sur la piste documentaire. Le moteur d'identification tourne, les déclarations partent, mais quand le CAC demande le rapprochement entre la population déclarable et la population déclarée, le dossier est trop léger.

FATCA (Foreign Account Tax Compliance Act) et CRS (Common Reporting Standard) imposent aux institutions financières de déclarer automatiquement les comptes détenus par des personnes étrangères à l'administration fiscale compétente, qui transmet ensuite ces informations à l'IRS (FATCA) ou aux juridictions partenaires (CRS). Ces obligations créent des risques juridiques et financiers directs sur les états financiers de l'entité auditée.

FATCA : obligations américaines

FATCA exige des institutions financières non américaines qu'elles déclarent les comptes américains à l'IRS via leur GIIN. Le non-respect entraîne une retenue de 30 % sur tous les revenus de source américaine. Pour une banque européenne avec des investissements américains substantiels, cette retenue peut représenter des millions d'euros annuels. Un seul défaut opérationnel (un IGA mal paramétré dans le core banking) suffit à déclencher l'exposition.

L'ISA 250.6 classe FATCA comme une loi ayant un effet direct sur les montants et informations des états financiers. L'auditeur doit obtenir une compréhension suffisante des obligations FATCA pour identifier les risques d'anomalies significatives.

CRS : obligations d'échange automatique

Le CRS, développé par l'OCDE, facilite l'échange automatique d'informations fiscales entre les autorités fiscales de plus de 100 juridictions participantes. Les institutions financières doivent identifier les comptes détenus par des résidents fiscaux étrangers et déclarer ces informations à leur autorité fiscale locale (en France, la DGFiP), qui les transmet ensuite aux juridictions partenaires.

Contrairement à FATCA, les sanctions CRS varient selon les juridictions nationales. En France, les amendes peuvent atteindre 1 500 EUR par déclaration manquée. En Allemagne, les sanctions peuvent représenter jusqu'à 5 % des actifs sous gestion concernés. Le régulateur français compétent pour la qualité de l'audit de ces travaux est la H2A, en coordination avec la CNCC.

Risques d'audit au sens de l'ISA 250

Commençons par l'échec type. Chez nos clients, la faiblesse récurrente n'est pas l'absence de procédure FATCA/CRS. La procédure existe, souvent dans un classeur de 200 pages. La faiblesse est ailleurs : personne au sein du cabinet audité n'a fait le rapprochement à froid entre le registre interne et ce qui a effectivement été transmis. Quand nous demandons ce rapprochement, on nous sort le listing du prestataire déclarant, pas le rapprochement. Les deux choses ne sont pas équivalentes.

L'ISA 250.A10 précise que l'auditeur doit évaluer si le non-respect des lois et règlements peut avoir un effet significatif sur les états financiers. Pour FATCA et CRS, cette évaluation couvre plusieurs domaines.

Risques d'inexactitude des provisions

Les amendes FATCA/CRS impayées doivent faire l'objet de provisions au sens de l'IAS 37. De nombreuses entités sous-estiment ces expositions ou omettent complètement de les évaluer. L'auditeur doit examiner les communications avec les autorités fiscales locales, les auto-évaluations de conformité effectuées par l'entité, les correspondances avec les conseillers juridiques spécialisés, et les courriers de rappel ou de mise en demeure reçus dans les 18 derniers mois.

En théorie, l'entité doit provisionner dès qu'une obligation probable existe et que le montant est estimable de manière fiable. Dans les dossiers que nous voyons, les directions financières attendent la notification formelle de l'administration fiscale avant de provisionner. Ce décalage peut couvrir plusieurs exercices.

Risques de continuité d'exploitation

Pour les petites institutions financières, les sanctions FATCA peuvent menacer la viabilité. Une banque régionale avec 200 M EUR d'actifs sous gestion pourrait faire face à des amendes représentant 15 à 20 % de ses fonds propres.

L'ISA 570.A3 exige d'évaluer si les sanctions potentielles créent une incertitude significative sur la continuité d'exploitation. Cette évaluation nécessite une compréhension précise des expositions maximales, y compris les intérêts de retard et les éventuelles pénalités de majoration pour fraude en cas d'omission qualifiée de délibérée.

Risques de fraude au sens de l'ISA 240

L'ISA 240.A29 identifie la pression réglementaire comme un facteur de risque de fraude. Les entités soumises à FATCA/CRS peuvent manipuler les données de déclaration ou dissimuler des comptes à risque.

Les signaux d'alarme incluent : modifications fréquentes des systèmes d'information client sans traçabilité, réticence à fournir l'accès aux bases de données de conformité, explications incohérentes sur les processus d'identification des comptes, et mouvements inhabituels de clôture-réouverture de comptes sur les six mois précédant la clôture annuelle.

Procédures d'audit pour la conformité FATCA/CRS

Nous voulons dire quelque chose que la norme ne dit pas. Sur FATCA/CRS, la vraie valeur ajoutée du CAC n'est pas de refaire l'identification des comptes américains. Nous ne sommes pas l'IRS. Notre travail consiste à vérifier que l'entité a un dispositif qui tient debout et que les écarts sont traçables. L'ISA 330.8 exige des procédures d'audit conçues pour répondre aux risques évalués. Pour FATCA/CRS, ces procédures combinent tests de contrôles et procédures de corroboration.

Tests des contrôles d'identification

Les contrôles d'identification des comptes représentent la première ligne de défense. L'auditeur doit tester les contrôles à l'ouverture de compte en examinant un échantillon d'ouvertures récentes pour vérifier que les procédures de due diligence client identifient correctement les indices américains (adresses, numéros de téléphone, lieux de naissance, mandataires US, procurations sur comptes) et les résidences fiscales multiples.

Les contrôles de surveillance continue testent les procédures de revue périodique des comptes existants. Les institutions doivent surveiller les changements d'adresse, les nouveaux mandataires et les modifications de structures juridiques. Ce qui se passe réellement : 80 % des contrôles d'identification se concentrent sur l'ouverture de compte et moins de 20 % sur la détection des changements de situation en vie du compte. C'est l'angle mort structurel du dispositif.

Les contrôles informatiques exigent une revue des paramètres des systèmes automatisés. Les algorithmes d'identification doivent détecter les combinaisons d'indices, pas seulement les marqueurs individuels. Pour moi, c'est le point de contrôle le plus rentable d'un audit FATCA : sur un core banking mal paramétré, il n'existe aucune procédure manuelle qui rattrape les indices non remontés.

Procédures de corroboration

L'ISA 500.A31 exige de corroborer les représentations de la direction par des éléments probants indépendants. Trois procédures produisent l'essentiel des éléments probants : le rapprochement des populations, les tests de classification, et la revue des communications externes. Nous ajoutons une quatrième quand l'entité est EIP : la revue des travaux du réviseur fiscal interne quand il existe.

Le rapprochement des populations compare les registres internes avec les déclarations effectivement transmises aux autorités. Les écarts nécessitent une investigation approfondie. Les tests de classification consistent à sélectionner un échantillon de comptes classés « non déclarables » et à re-tester les critères d'identification. Cette procédure détecte les erreurs de classification et les omissions. La revue des communications externes couvre la correspondance avec les autorités fiscales, les demandes de renseignements reçues et les réponses fournies.

Documentation au sens de l'ISA 230

Voici où les praticiens expérimentés divergent honnêtement. Un associé A considère qu'il faut documenter l'ensemble de la chaîne d'identification pour chaque compte testé, avec copie des pièces justificatives dans le dossier, parce que FATCA est un domaine où les inspecteurs de la H2A reviennent systématiquement en cas de contrôle qualité et parce qu'une déclaration inexacte peut être requalifiée en fraude. Un associé B considère que cette approche gonfle le dossier sans apport probant supplémentaire : un memo d'approche, un échantillon testé avec résultats, et une revue des contrôles suffisent, parce que l'objectif du CAC n'est pas de certifier la conformité FATCA mais d'évaluer son impact sur les états financiers. Les deux positions sont défendables. Je l'avoue, je suis plutôt associé A sur les banques privées (où les expositions unitaires sont fortes) et associé B sur les sociétés de gestion (où les expositions se diluent).

L'ISA 230.8 exige une documentation adéquate des procédures d'audit effectuées et des conclusions atteintes. Pour FATCA/CRS, documentez l'évaluation des risques et les contrôles identifiés, la nature et le calendrier et l'étendue des procédures effectuées, les exceptions notées et leur traitement, et les conclusions sur l'adéquation de la conformité.

Exemple pratique : Banque Dubois & Associés

Contexte : Banque Dubois & Associés S.A., banque privée française avec 1,2 milliard EUR d'actifs sous gestion et 3 400 comptes clients actifs. Clientèle internationale avec 25 % de résidents non français. Un mandat que nous connaissons bien, renouvelé trois fois.

Liste de vérification pour l'audit FATCA/CRS

1. Évaluer le risque au sens de l'ISA 250.6 : obtenez une compréhension des obligations FATCA/CRS applicables à l'entité. Identifiez les sanctions potentielles et leur impact sur les états financiers.

2. Tester les contrôles d'identification : sélectionnez un échantillon de nouveaux comptes et vérifiez l'application des procédures de due diligence. Testez les contrôles informatiques automatisés, pas seulement les procédures manuelles.

3. Effectuer un rapprochement des populations : comparez les registres internes avec les déclarations transmises aux autorités. Investiguez tous les écarts supérieurs à votre seuil de signalement.

4. Examiner les provisions pour pénalités : évaluez l'adéquation des provisions pour amendes connues ou probables. Obtenez une confirmation écrite de la direction sur l'exhaustivité des expositions.

5. Documenter au sens de l'ISA 230.8 : conservez une trace écrite de toutes les procédures effectuées, des exceptions notées et des conclusions atteintes sur la conformité globale.

6. Point clé : la surveillance continue est plus critique que l'identification initiale. Les comptes changent, les clients déménagent, les structures évoluent. Les contrôles doivent détecter ces modifications.

Erreurs courantes

Pourquoi ces erreurs reviennent-elles, dossier après dossier ? Parce que FATCA/CRS est mal aimé. C'est une usine à gaz réglementaire imposée à des établissements qui ne sont pas cotés aux États-Unis et qui subissent la norme sans l'avoir votée. Le forfait d'audit n'intègre presque jamais un volet FATCA/CRS dimensionné, donc les collaborateurs vont vite sur ces contrôles. L'incitation perverse est structurelle : plus l'auditeur creuse, plus le dossier déborde du budget, et plus le budget déborde, moins l'associé a envie de rouvrir le sujet l'année suivante. Voilà pourquoi les mêmes défaillances reviennent chez les mêmes clients pendant trois exercices consécutifs.

Contenu connexe

- Glossaire ISA 250 : définition complète des responsabilités de l'auditeur concernant les lois et règlements applicables - Kit d'évaluation du risque de fraude ISA 240 : outils pour identifier les pressions réglementaires comme facteurs de risque de fraude - Guide d'audit des provisions IAS 37 : comment auditer les provisions pour pénalités réglementaires