ISSA 5000

Points clés à retenir

> - ISSA 5000 s'applique à toute mission d'assurance sur des informations non-financières : rapports de développement durable, certifications de processus, déclarations de conformité réglementaire, missions de performance. > - La norme utilise une approche modulaire : un cadre commun suivi de modules thématiques spécifiques au sujet. > - Il faut différencier entre assurance raisonnable et assurance limitée dès la planification. ISSA 5000 exige une documentation explicite de ce choix. > - C'est souvent du tampon si l'équipe se contente de cocher « assurance limitée » sans justifier pourquoi dans le papier de planification.

---

Fonctionnement

ISSA 5000 fournit un cadre unifié où chaque mission suit une architecture en trois couches. La première couche établit les exigences communes applicables à toutes les missions d'assurance : acceptation du mandat, évaluation des risques, planification de la réponse aux risques et communication des résultats. ISSA 5000.16 à ISSA 5000.45 définissent ces exigences fondamentales. La deuxième couche se compose des modules thématiques (durabilité, conformité, performance, autres sujets définis) où chaque module ajoute des exigences spécifiques au sujet testé. La troisième couche comprend les procédures détaillées d'audit adaptées au sujet et aux risques identifiés.

Contrairement à ISAE 3000 (Révisée), qui était construite autour de la distinction entre assurance raisonnable et assurance limitée, ISSA 5000 intègre cette distinction dans le cadre modulaire lui-même. Vous commencez par accepter le mandat et classer le niveau d'assurance requis (ISSA 5000.35), puis vous consultez le module correspondant. Un module durabilité avec assurance limitée, par exemple, diffère significativement du même module avec assurance raisonnable en termes d'étendue et de calendrier des procédures.

Dans les dossiers que nous voyons, des équipes traitent ISSA 5000 comme un simple renommage de ISAE 3000 (Révisée). C'est une erreur. La documentation exigée par ISSA 5000.50 à ISSA 5000.65 est plus granulaire : chaque papier de travail doit identifier clairement le module appliqué et le niveau d'assurance visé, y compris la justification du niveau choisi si le client en a demandé un autre initialement. Quand l'inspecteur ouvre un dossier et que la justification du module manque, le verdict est prévisible : le dossier est trop léger. Nous l'avons vu provoquer des recommandations formelles sur des mandats qui, sur le fond, étaient correctement exécutés. C'est frustrant, parce que le travail technique était fait, mais la trace écrite ne le démontrait pas.

---

Exemple pratique: Adviso Consultants SAS (audit de durabilité, assurance limitée)

Client: Cabinet français de conseil en développement durable, FY2024, rapport ESG volontaire couvrant émissions scope 1 et 2, données environnementales et sociales, environ 50 M EUR de chiffre d'affaires, 180 salariés.

Mandat: Assurance limitée sur la déclaration ESG établie selon la norme GRI Standards. Pas de certification de conformité statutaire, mais engagement commercial d'améliorer la crédibilité auprès des investisseurs.

Étape 1: Acceptation et classification du module

Vous acceptez le mandat sous ISSA 5000 Durabilité, assurance limitée. La distinction est documentée dans le PM (papier de planification) : vous indiquez explicitement pourquoi l'assurance limitée plutôt que raisonnable (coût-bénéfice du client, pas de demande réglementaire d'assurance raisonnable). ISSA 5000.35 exige cette justification écrite.

Note de documentation: Lettre de mission, point 2.1: "Niveau d'assurance: limité. Justification: À la demande du client; aucune exigence réglementaire d'assurance raisonnable n'existe pour ce sujet dans la juridiction française."

Étape 2: Évaluation des risques (cadre commun + module durabilité)

Vous évaluez les risques à trois niveaux. D'abord, les risques que la déclaration ESG soit matériellement inexacte (risque au niveau de la mission, ISSA 5000.38). Ensuite, les risques au niveau des assertions : exhaustivité des données, exactitude des calculs d'émissions, classification scope 1 et scope 2, et fiabilité des sources de données sous-jacentes. ISSA 5000 Durabilité, paragraphe D15 ajoute des risques spécifiques au sujet. Il s'agit de la non-intégrité du facteur d'émission utilisé pour le scope 2 (électricité achetée), la complétude des sites d'émission inclus (le client a-t-il inclus un petit site de transformation ?), la cohérence des périmètres organisationnels retenus d'un exercice à l'autre, et la continuité du calcul d'une année sur l'autre.

Pour chacun, vous documentez la nature du risque et sa sévérité (élevée, moyenne ou faible), puis vous précisez comment ce risque diffère selon que vous fournissez une assurance limitée ou raisonnable. L'assurance limitée signifie que vous acceptez un niveau de confiance plus bas et donc un détail de procédure moins poussé.

Note de documentation: Matrice d'évaluation des risques (PT 02): trois lignes pour Adviso: (1) Exhaustivité des émissions déclarées, risque élevé, assurance limitée = procédures analytiques + échantillonnage restreint; (2) Exactitude des facteurs d'émission utilisés, risque moyen, assurance limitée = revue des sources des facteurs sans testing détaillé de chaque formule; (3) Classification scope 1/2, risque faible, assurance limitée = revue des instructions internes du client sur la classification.

Étape 3: Conception des procédures (module durabilité + niveau d'assurance)

En assurance limitée sur la durabilité, ISSA 5000 Durabilité D25-D35 exige de concevoir des procédures qui donnent un niveau de confiance modéré (pas un haut niveau de confiance comme en assurance raisonnable). Pour chaque risque identifié, vous sélectionnez une procédure appropriée au niveau d'assurance.

Pour Adviso : - Émissions scope 2 : En assurance limitée, une procédure analytique suffit (variation interannuelle des kWh multipliée par le facteur d'émission et comparaison aux années précédentes, avec enquête sur les variations significatives). En assurance raisonnable, vous testeriez les factures d'électricité directement et recalculeriez le scope 2. - Facteurs d'émission : En assurance limitée, vous vérifiez que le client utilise une source reconnue (ADEME pour la France, facteurs réglementaires de l'UE). Vous vérifiez que la source sélectionnée n'a pas changé depuis l'année précédente. En assurance raisonnable, vous testeriez l'applicabilité de chaque facteur au sous-secteur ou à la géographie du client.

Note de documentation: Programme d'audit (PT 05): colonnes du type: (Assertion testée / Procédure / Taille d'échantillon / Nature de la conclusion / Niveau d'assurance justifié). Exemple: (Exhaustivité des émissions / Examen des registres d'installations émettant du client vs déclaration ESG / 100% / Confirmé: aucun site additionnel identifié / Limité: aucun détail complémentaire exigé).

Étape 4: Documentation des conclusions

En assurance limitée, ISSA 5000 Durabilité D40 exige d'émettre un rapport concluant avec un niveau de confiance plus faible. Le rapport mentionne explicitement « assurance limitée » et note que les procédures étaient moins étendues qu'en assurance raisonnable. Adviso a confirmé que 48,2 tonnes d'équivalent CO2 (scope 1) et 28,7 tonnes (scope 2) ont été déclarées, fondées sur une source documentaire vérifiable. Aucune anomalie significative n'a été trouvée.

Note de documentation: Rapport d'audit (PT 30): résumé exécutif clarifiant le niveau d'assurance limité et listant les limites des procédures effectuées (procédures analytiques plutôt que testing détaillé, échantillonnage plutôt que couverture complète).

Conclusion: Adviso a choisi l'assurance limitée pour équilibrer les coûts et la crédibilité. ISSA 5000 exige que cette classification soit justifiée et documentée dès l'acceptation du mandat, non décidée en cours d'exécution. C'est une différence structurelle par rapport à ISAE 3000 (Révisée), où le niveau d'assurance était plus souvent un choix opérationnel du cabinet qu'une décision formalisée de la mission.

---

Où les examinateurs et praticiens se trompent

- Erreur Tier 1 : confusion entre ISSA 5000 et ISAE 3000 (Révisée) au moment de l'acceptation du mandat. Des cabinets européens acceptent des mandats de durabilité sous ISSA 5000 sans documenter si ISSA 5000 était effectivement le cadre prévu par le client. ISSA 5000.12 exige que le mandat inclue un accord explicite sur la norme applicable. Les dossiers que nous voyons montrent que les collaborateurs continuent à utiliser ISAE 3000 (Révisée) par habitude. C'est techniquement acceptable jusqu'à la date de transition finale, mais cela limite l'alignement avec les futures exigences réglementaires.

- Erreur Tier 2 : classification inadéquate du niveau d'assurance et absence de justification documentée. ISSA 5000.35 exige que le choix entre assurance raisonnable et assurance limitée soit documenté avec justification. Chez nos clients, nous constatons que les équipes commencent à exécuter la mission sans clarifier ce choix ou en le gardant implicite (« le client n'a pas demandé l'assurance raisonnable, donc ce doit être limité »). Cette absence de clarification crée des problèmes lors des revues internes et des inspections du H2A. Les inspecteurs attendent une déclaration explicite dans le papier de planification.

- Erreur Tier 3 : défaut de consulter le module thématique approprié pendant la planification. ISSA 5000 fournit un cadre commun suivi de modules (durabilité, conformité, performance, autres sujets). Certains cabinets appliquent uniquement le cadre commun, oubliant que le module thématique ajoute des exigences. Pour la durabilité, ISSA 5000 Durabilité D15-D20 ajoute des exigences de compréhension du contexte de durabilité et des risques de matérialité de durabilité double. Ignorer le module mène à des papiers de travail insuffisants lors des inspections.

---

ISSA 5000 vs ISAE 3000 (Révisée)

ISSA 5000 et ISAE 3000 (Révisée) coexistent actuellement. Le choix entre les deux dépend du sujet, de la juridiction, du calendrier de la mission et des attentes du client.

Si votre client demande une assurance sur un rapport ESG volontaire, ISSA 5000 devient la norme par défaut. Si le client demande une certification légale de conformité avec une directive nationale (la directive CSRD avant 2025, par exemple), ISAE 3000 (Révisée) peut s'appliquer. Il est impossible de mixer les deux normes sur le même sujet dans le même rapport.

---

Termes connexes

Assurance raisonnable: Niveau d'assurance élevé utilisé pour les missions critiques. Il repose sur des procédures étendues et détaillées couvrant la majorité des transactions et contrôles clés.

Assurance limitée: Niveau d'assurance modéré où les procédures sont moins étendues qu'en assurance raisonnable. Approprié pour les missions de durabilité et certaines certifications de conformité.

ISAE 3000 (Révisée): Norme précédente pour les missions d'assurance sur sujets non-financiers. Elle coexiste avec ISSA 5000 jusqu'à une date de transition.

Conformité réglementaire: Examen des systèmes et processus d'une entité pour vérifier le respect des lois et réglementations applicables.

Matérialité de durabilité: Seuil d'importance pour les sujets de durabilité. Il est déterminé en fonction de la pertinence pour les parties prenantes et de l'impact financier potentiel.

Module de durabilité ISSA 5000: Extension thématique de ISSA 5000 établissant les exigences spécifiques pour l'assurance sur les rapports ESG et déclarations de durabilité.

---

Outils connexes

Notre Calculateur d'approche d'assurance ISSA 5000 vous aide à classifier rapidement le niveau d'assurance (raisonnable vs limité) en fonction des caractéristiques de votre mission. Répondez à cinq questions sur le sujet et la réglementation applicable. L'outil fournit une recommandation avec la liste des modules ISSA 5000 applicables et un lien direct aux exigences de documentation pertinentes pour votre classification.

---