Confirmation négative

Le problème dans les dossiers que nous voyons

Commençons par ce qui ne fonctionne pas, parce que la théorie de la confirmation négative est plus simple que sa mauvaise application.

Le scénario revient toujours sous la même forme. Un cabinet hérite d'un client de taille moyenne avec une population de créances clients hétérogène. Quelques dizaines de gros comptes représentent 70 % du solde. Quelques milliers de petits comptes représentent les 30 % restants. Le budget temps ne permet pas la confirmation positive sur l'ensemble. Le chef de mission décide d'envoyer des confirmations positives sur les gros comptes et des confirmations négatives sur tout le reste.

Jusqu'ici, l'approche est défendable. Elle dérape à l'étape suivante.

L'auditeur n'évalue pas séparément le risque d'anomalie significative sur la population à confirmation négative. Il considère que « le risque global du poste est faible », parce que le contrôle interne sur la facturation est bon. Cette conclusion est ensuite reportée par défaut sur la décision de confirmation négative. Aucune analyse spécifique. Aucun lien documenté entre le risque évalué et le choix de la procédure. C'est une décision au doigt mouillé maquillée en jugement professionnel.

Ce que dit l'ISA 505.15 est plus exigeant. Pour utiliser la confirmation négative comme procédure substantive unique, l'auditeur doit vérifier quatre conditions :

(a) un risque d'anomalie significative évalué comme faible et un fonctionnement efficace des contrôles pertinents testés ; (b) une population composée d'un grand nombre de soldes, transactions ou conditions homogènes et de petite taille ; (c) un taux d'exception attendu très faible ; (d) l'absence de circonstances ou de conditions susceptibles d'amener les destinataires à ne pas tenir compte de la demande.

En théorie, ces conditions filtrent les populations à risque. En pratique, dans les dossiers que nous voyons, la condition (d) est presque toujours absente du programme de travail. Personne ne se demande si le destinataire va lire la lettre. Personne ne vérifie si l'adresse est à jour. La présomption d'accord repose sur une présomption de réception qui n'est jamais testée.

La contre-thèse : « non-réponse = confirmation »

L'objection naturelle, et celle que j'entends en revue de dossier, va comme suit : si le tiers n'a pas répondu, c'est qu'il n'a rien à redire. Le silence vaut acceptation. C'est ainsi que fonctionne le droit civil dans certains contextes commerciaux. Pourquoi pas en audit.

Cette analogie ne tient pas, parce que le droit civil suppose la réception effective de la communication, et l'audit ne la suppose pas. Quand le code de commerce traite le silence comme acceptation, c'est dans des cadres où la réception est démontrable (relations contractuelles continues, lettres recommandées, accusés de réception). La confirmation négative envoyée par courrier simple à 800 destinataires n'a aucune de ces garanties.

L'ISA 505.A23 le dit en termes mesurés : la confirmation négative fournit une preuve moins probante que la confirmation positive, parce que l'auditeur ne peut pas exclure que la non-réponse résulte de la non-réception, du désintérêt, ou de l'incapacité du destinataire à détecter une anomalie le concernant.

Le verdict est simple. Le silence vaut élément probant uniquement quand les quatre conditions de l'ISA 505.15 sont réunies. Sinon, il vaut zéro.

Fonctionnement et conditions d'emploi

La confirmation négative repose sur une inversion de la charge de la preuve. Au lieu de demander au tiers d'affirmer que le solde est correct, on lui demande de signaler s'il est incorrect. La procédure est moins coûteuse en honoraires (pas de relance systématique, pas de procédures alternatives sur chaque non-réponse) et accepte par construction des taux de réponse très bas.

L'auditeur envoie une lettre indiquant le solde, la nature de la transaction, et la fenêtre de réponse. Il documente ensuite quelles demandes ont reçu une réponse de désaccord. Les non-réponses ne déclenchent pas, en soi, de procédure alternative. C'est précisément ce qui distingue la confirmation négative de la confirmation positive.

Mais cette absence de relance systématique est conditionnée. L'ISA 505.15 ne dit pas « la confirmation négative dispense de toute procédure alternative ». Il dit qu'elle dispense de procédure alternative si et seulement si les conditions (a) à (d) sont vérifiées et documentées. Le test n'est pas le taux de réponse. Le test est la conformité de la population aux conditions.

Ce qui se passe en pratique est différent. Dans la plupart des dossiers, le programme de travail saute directement à l'envoi des lettres. La justification du choix de la procédure tient en une phrase : « risque faible, population dispersée, confirmation négative appropriée ». Trois adjectifs, aucune analyse. C'est le genre de note que l'inspecteur du H3C ouvre en premier.

Exemple pratique : Transports Leclerc SARL

Client : entreprise de logistique française, exercice 2024, chiffre d'affaires 8,5 M EUR, rapportage IFRS.

Étape 1 : Identifier la population et la complication réelle Transports Leclerc dispose de 240 comptes fournisseurs. La distribution est inégale. 8 fournisseurs représentent chacun plus de 50 000 EUR (collectivement 41 % du poste). 232 fournisseurs ont des soldes individuels entre 200 EUR et 8 500 EUR (collectivement 59 %). Le risque d'anomalie significative au niveau de l'assertion de complétude des dettes est évalué comme faible à modéré, sur la base d'un test de procédure satisfaisant sur la capture des factures.

La complication, dans les dossiers que nous voyons, est la suivante : l'auditeur applique souvent la confirmation négative à la totalité des 240 fournisseurs « pour gagner du temps ». C'est une erreur. Les 8 gros fournisseurs ne sont pas une population à risque faible au sens de l'ISA 505.15(a). Ils ne sont pas non plus homogènes ni de petite taille au sens de (b). La confirmation positive est requise sur ces 8 lignes. La confirmation négative reste défendable sur les 232 autres, sous réserve de la condition (d).

Note de documentation : feuille de stratification, justification écrite de la séparation positive/négative, évaluation du risque par strate.

Étape 2 : Concevoir et envoyer les demandes L'auditeur prépare 60 lettres de confirmation négative tirées par échantillonnage statistique sur la population des 232 petits fournisseurs. Chaque lettre reproduit le solde au 31 décembre 2024 et invite le destinataire à signaler tout désaccord sous 14 jours. Envoi par courrier simple, registre des codes postaux conservé pour traçabilité.

Note de documentation : copie type, liste des envois, registre de suivi.

Étape 3 : Suivre les non-réponses (ce que dit la norme, ce que fait l'auditeur) Deux semaines après l'envoi, 4 désaccords sont signalés et documentés. 56 fournisseurs n'ont pas répondu. Ce taux de non-réponse de 93 % est attendu pour une confirmation négative. Il n'est pas, en soi, le problème.

Le problème est ailleurs. L'ISA 505.A23 indique que l'absence de désaccord ne prouve pas que les destinataires ont reçu et examiné la lettre. Pour traiter le silence comme un élément probant, il faut démontrer la condition (d) : aucune circonstance n'a empêché les destinataires de tenir compte de la demande.

L'auditeur effectue alors un contrôle de retour postal. 7 lettres sont revenues « N'habite pas à l'adresse indiquée ». Ces 7 fournisseurs sont retirés du périmètre de confirmation négative et soumis à des procédures alternatives (examen des factures ultérieures, paiements bancaires post-clôture).

Note de documentation : registre des retours postaux, retrait du périmètre, procédures alternatives par solde.

Étape 4 : Évaluer les 4 désaccords Les 4 désaccords portent sur des écarts mineurs (avoirs non comptabilisés, factures en doublon). Tous sont documentés et traités. Aucun n'est significatif individuellement, mais l'auditeur calcule l'extrapolation : 4 erreurs sur 60 réponses examinables (les 7 retours postaux étant exclus du dénominateur), pour un taux d'exception observé de 6,7 %, supérieur au taux attendu de 1 % qui justifiait le choix de la confirmation négative.

Ce dépassement remet en cause la condition (c) de l'ISA 505.15. L'auditeur doit alors étendre les procédures, soit par confirmation positive sur un sous-échantillon supplémentaire, soit par procédures analytiques substantives renforcées.

Note de documentation : calcul d'extrapolation, conclusion sur la fiabilité de la procédure, extension décidée.

Étape 5 : Conclure La confirmation négative seule n'a pas suffi. L'auditeur conclut que l'assertion d'existence et d'exactitude des dettes fournisseurs est appuyée par la combinaison de la confirmation négative, des procédures alternatives sur les retours postaux, et de l'extension de procédures déclenchée par le taux d'exception. Sans cette combinaison, le dossier n'aurait pas tenu en inspection.

Confirmation négative vs confirmation positive

La distinction se cristallise dans le jugement, et le jugement doit être documenté. Une confirmation négative suppose que le silence est interprétable. Une confirmation positive suppose qu'il ne l'est pas. La première suppose que les conditions de l'ISA 505.15 tiennent. La seconde n'a pas besoin de cette béquille.

Le désaccord légitime : ISA 505.15(a) en créances retail et utilities

Il existe une zone de désaccord raisonnable entre praticiens sur la rigueur de la condition (a). Deux positions cohabitent, et aucune n'est manifestement fausse.

Première position : pour les créances clients d'un opérateur retail ou d'une société d'utilities (factures émises mensuellement à des dizaines de milliers de clients pour des montants individuels faibles), le risque d'anomalie significative au niveau de l'assertion d'existence est structurellement faible, parce que les contrôles applicatifs sur la facturation et l'encaissement sont denses. La confirmation négative est donc appropriée par défaut, et la condition (a) est satisfaite par le simple fait de la nature de l'activité.

Seconde position : la condition (a) exige un test de procédure positif et documenté sur les contrôles pertinents. La densité présumée du contrôle ne suffit pas. Sans test de procédure documenté avec un échantillon adéquat et une conclusion explicite, l'auditeur ne peut pas affirmer que les contrôles fonctionnent. La confirmation négative reste alors hors normes, même dans un secteur où elle paraît naturelle.

Les deux positions s'appuient sur l'ISA. La première sur l'esprit du standard (efficacité, jugement professionnel). La seconde sur la lettre de l'ISA 330 et de l'ISA 505.15(a) lue ensemble. Pour moi, la seconde est plus défendable en inspection. La première est plus défendable en honoraires.

Ce qui se voit en inspection

Selon les rapports d'inspection publiés (H3C, IAASB, et les comparaisons internationales avec l'AFM aux Pays-Bas et le PCAOB aux États-Unis), la confirmation négative concentre trois types de constats :

- Le choix de la confirmation négative sur des populations dont le risque d'anomalie significative n'est manifestement pas faible. Constat le plus fréquent. L'AFM aux Pays-Bas a documenté ce point dans plusieurs cycles d'inspection sur des dossiers de mid-tier. - L'absence de vérification de la condition (d) : aucune trace dans le dossier d'un contrôle de retour postal, d'une vérification d'adresse, ou d'une analyse de la capacité du destinataire à détecter l'anomalie qui le concernerait. - L'absence de réévaluation du choix de procédure quand le taux d'exception observé dépasse le taux attendu. Le programme de travail prévoit une procédure, le terrain produit un signal contraire, et la procédure n'est pas révisée.

Le fil commun à ces trois constats est le même : la confirmation négative est traitée comme une décision de coût, pas comme un raisonnement de preuve. Quand c'est le cas, elle ne tient pas en inspection.

Une réflexion à second niveau

Voici la formulation qu'un confrère renverrait : la non-réponse ne devient un élément probant qu'au moment où les quatre conditions de l'ISA 505.15 inversent légitimement la charge de la preuve. Hors de ces conditions, le silence n'est pas une preuve faible. C'est une absence de preuve.

Cette distinction compte parce qu'elle change la nature de la conclusion d'audit. Une preuve faible peut être complétée par d'autres éléments. Une absence de preuve ne se complète pas. Elle se remplace.

Termes liés

- ISA 505 (Confirmations externes) : norme qui gouverne l'utilisation de la confirmation, négative et positive, et qui fixe les quatre conditions de la confirmation négative au paragraphe 15. - Confirmation positive : demande à laquelle le tiers doit toujours répondre, qu'il y ait accord ou désaccord. - Élément probant : information recueillie par l'auditeur pour fonder sa conclusion, au sens de l'ISA 500. - Risque d'anomalie significative : évaluation au niveau de l'assertion qui conditionne l'admissibilité de la confirmation négative (ISA 315 révisée). - Tiers confirmant : entités externes (banques, fournisseurs, clients) sollicitées pour confirmation. - Procédures analytiques substantives : alternative ou complément à la confirmation, basée sur l'analyse de tendances et de ratios, au sens de l'ISA 520.