Sommes-nous concernés par SOX si nous sommes exemptés de la section 404(b) ?

Oui. Les certifications SOX 302 commencent avec votre premier rapport, et l’évaluation 404(a) de la direction suit. L’auditeur de vos états financiers examinera aussi les contrôles informatiques. Seule l’attestation distincte de l’auditeur au titre de la section 404(b) est reportée.

Quels systèmes informatiques entrent dans le périmètre SOX ?

Seulement les systèmes qui créent, stockent ou traitent des données financières : comptabilité et ERP, paie, outils bancaires et de notes de frais, la plateforme d’identité qui en contrôle l’accès, et l’endroit où se trouvent les fichiers financiers. Les outils marketing et la plupart des systèmes de développement sont généralement hors périmètre.

Notre prestataire de services managés peut-il aussi tester les contrôles ?

Il ne devrait pas être le testeur officiel des contrôles qu’il exécute lui-même. Le prestataire peut faire une répétition à blanc, mais les tests qui fondent l’évaluation de la direction doivent venir d’une personne indépendante, comme votre contrôleur financier ou un cabinet d’audit interne.

De quelles licences avons-nous besoin dans Microsoft 365 ?

Business Premium couvre la MFA, l’accès conditionnel et la gestion des appareils. Privileged Identity Management et les revues d’accès nécessitent Entra ID P2, inclus dans Microsoft 365 E5 ou disponible en module complémentaire. Prévoyez des journaux d’audit couvrant une année complète.

GuidesGuides · SOX et conformité

Contrôles informatiques SOX avant l’introduction en bourse : une check-list de préparation

Ce que les auditeurs testent côté informatique, quand chaque volet de SOX s’applique, et la check-list que nous utilisons pour faire fonctionner les contrôles d’accès, de changements, de sauvegarde et de journalisation avant le premier audit.

9 minutes de lectureMise à jour 24 octobre 2026

En bref

Si vous prévoyez une introduction en bourse dans les 12 à 18 prochains mois, commencez dès maintenant à travailler sur vos contrôles généraux informatiques. Les auditeurs veulent voir des contrôles d’accès, de changements, de sauvegarde et de journalisation qui fonctionnent depuis plusieurs trimestres, et non des contrôles mis en place le mois précédant leur arrivée. La plupart des entreprises de 5 à 150 personnes peuvent y parvenir avec le Microsoft 365 ou le Google Workspace qu’elles utilisent déjà, quelques mises à niveau de licences et une poignée de procédures écrites que les équipes appliquent réellement.

Ce que SOX exige de l’informatique, en termes simples

La loi Sarbanes-Oxley (SOX) a un seul objectif : des rapports financiers auxquels les investisseurs peuvent se fier. L’informatique n’est concernée que là où des systèmes créent, stockent ou modifient les chiffres. Le volet informatique est donc plus restreint que ce que la plupart des gens redoutent.

Section	Ce que cela signifie	Quand elle s’applique à une société nouvellement cotée
SOX 302	Le directeur général et le directeur financier certifient personnellement chaque rapport trimestriel et annuel, ainsi que les contrôles de communication de l’information qui les sous-tendent.	Dès le premier rapport trimestriel ou annuel après la cotation.
SOX 404(a)	La direction évalue chaque année le contrôle interne de l’information financière (ICFR), généralement selon le référentiel COSO 2013.	En général à partir du deuxième rapport annuel après la cotation.
SOX 404(b)	L’auditeur externe teste ces contrôles et émet une attestation à leur sujet.	Uniquement pour les émetteurs les plus importants (« larger filers »). Les « emerging growth companies » en sont exemptées pendant cinq ans au plus, et les « non-accelerated filers » en sont dispensés.

Même si votre société est exemptée de la section 404(b) pendant un temps, l’auditeur de vos états financiers examine quand même les contrôles informatiques, et les faiblesses relevées pendant la préparation de l’introduction en bourse peuvent devoir être mentionnées dans le document d’enregistrement (registration statement). Les preuves doivent donc répondre aux exigences d’un audit dès le départ.

Quand commencer

Délai avant la cotation	Ce qui doit se passer côté informatique
De 18 à 12 mois	Confirmez votre calendrier de cotation et votre statut de déclarant (filer status) avec vos avocats et votre cabinet d’audit. Dressez la liste de tous les systèmes qui touchent aux chiffres et de leurs responsables. Faites le ménage dans les identités : comptes nominatifs, authentification multifactorielle (MFA) partout, moins d’administrateurs.
De 12 à 6 mois	Rédigez les politiques et les procédures. Commencez à exécuter les contrôles : revues d’accès, registres des changements, tests de restauration des sauvegardes. Collectez les preuves au fil de l’eau.
De 6 mois à la cotation	Faites une revue à blanc de chaque contrôle, comme le ferait un auditeur. Corrigez les écarts. Continuez à exécuter les contrôles chaque trimestre.
Après la cotation	Les certifications SOX 302 commencent dès le premier rapport. Continuez à suivre le calendrier des preuves pour que la première évaluation 404(a) de la direction consiste à rassembler des fichiers, et non à les reconstituer.

Quels systèmes sont concernés

Pas tous. Le périmètre couvre les systèmes qui créent, stockent ou traitent des données financières :

Comptabilité ou ERP : QuickBooks Online, NetSuite, Sage Intacct, Xero et équivalents
Paie et RH : ADP, Gusto, Paylocity, Rippling et équivalents
Outils bancaires, de paiement et de notes de frais
La plateforme d’identité qui contrôle l’accès à tout ce qui précède : Microsoft Entra ID ou Google Workspace, avec MFA et authentification unique (SSO)
L’endroit où se trouvent les fichiers et tableurs financiers : SharePoint, OneDrive, Teams ou Google Drive
Les ordinateurs utilisés par votre équipe financière

Pour les services cloud que vous n’exploitez pas vous-même, les auditeurs s’appuient sur le rapport SOC 1 Type II du fournisseur. Récupérez-le chaque année et vérifiez la section « complementary user entity controls » (contrôles complémentaires attendus de l’entité utilisatrice). Elle indique ce que le fournisseur attend de vous de votre côté, en général des revues d’accès et la MFA.

La check-list de préparation

Voici les contrôles généraux informatiques (ITGC) que testent les auditeurs, regroupés comme ils les testent.

Gestion des accès

Une procédure écrite d’arrivée, de mobilité et de départ, avec des accès approuvés avant d’être accordés
Comptes des personnes qui quittent l’entreprise désactivés rapidement, avec des dates RH que vous pouvez comparer aux dates de désactivation
Revues trimestrielles des accès utilisateurs à chaque système financier, validées par le responsable du système
Des comptes administrateurs distincts et nominatifs. Aucun identifiant partagé et aucun droit d’administrateur sur les comptes du quotidien
Rôles d’administrateur limités à quelques personnes, avec une activité d’administration journalisée et revue chaque trimestre

Sécurité logique

MFA sur tous les comptes, avec des méthodes résistantes au phishing comme les clés d’accès (passkeys) pour les administrateurs
Méthodes de connexion héritées bloquées
Règles d’accès conditionnel ou politiques de connexion équivalentes, documentées
Ordinateurs de l’entreprise inscrits dans la gestion des appareils (Intune pour Windows, Mosyle ou une autre solution MDM pour Mac)

Gestion des changements

Changements apportés aux systèmes financiers et aux paramètres de sécurité demandés, approuvés, testés et journalisés
La personne qui demande un changement n’est jamais celle qui l’approuve
Historique des changements de configuration conservé pour votre système comptable

Exploitation informatique et sauvegarde

Sauvegardes de Microsoft 365 ou de Google Workspace et de vos données financières, avec suivi des échecs
Un test de restauration chaque trimestre, avec un compte rendu écrit
Incidents enregistrés, analysés et clôturés

Journalisation et preuves

Journaux de connexion, d’administration et d’accès aux fichiers conservés au moins pendant toute l’année d’audit
Preuves collectées selon un calendrier (mensuel, trimestriel, annuel), et non rassemblées pendant la semaine d’audit
Politiques signées, datées et révisées une fois par an

Séparation des tâches, côté informatique

Les administrateurs informatiques n’ont aucun rôle transactionnel dans les systèmes financiers
Votre prestataire informatique ne peut pas approuver ses propres accès ni ses propres changements
Un membre de la direction désigné revoit et valide l’activité d’administration du prestataire

Si vous utilisez Microsoft 365 ou Google Workspace

Dans Microsoft 365, les deux fonctionnalités les plus utiles sont Privileged Identity Management (PIM), qui rend les droits d’administrateur temporaires et journalisés, et les revues d’accès. Toutes deux nécessitent Microsoft Entra ID P2, inclus dans Microsoft 365 E5 ou disponible en complément de Business Premium. Les journaux d’audit standard sont conservés 180 jours, soit moins qu’une année d’audit : prenez donc une licence pour une conservation plus longue, ou exportez les journaux chaque mois vers un emplacement accessible à votre auditeur.

Dans Google Workspace, utilisez des comptes super-administrateur distincts, imposez la validation en deux étapes et vérifiez combien de temps votre édition conserve les journaux d’administration et de connexion. Si c’est moins d’un an, exportez-les selon un calendrier défini.

Cinq erreurs fréquentes

Commencer pendant l’année d’audit. Les contrôles doivent fonctionner un certain temps avant que quiconque puisse les tester.
Un compte administrateur partagé. Si personne ne peut dire qui a fait un changement, le contrôle des changements échoue.
Des revues d’accès sans preuve. Pour l’auditeur, une revue qui a eu lieu mais n’a été ni signée ni datée n’a pas eu lieu.
Un prestataire informatique qui approuve son propre travail. Quelqu’un dans l’entreprise doit approuver et revoir ce que fait le prestataire.
Oublier les fournisseurs. L’absence de rapport SOC 1 pour votre prestataire de paie est un constat d’audit, même si vos propres contrôles sont parfaits.

Qui fait quoi

SOX est un travail d’équipe, et la répartition des rôles compte :

Votre équipe financière est responsable des contrôles des processus métier : chiffre d’affaires, clôture des comptes, écritures comptables, et qui peut créer des fournisseurs et débloquer des paiements.
Votre prestataire informatique met en place et exécute les contrôles généraux informatiques, et produit les preuves.
Une personne indépendante de celle qui exécute un contrôle réalise les tests sur lesquels s’appuie l’évaluation de la direction : votre contrôleur financier, un cabinet d’audit interne externalisé ou un consultant SOX.

Séparer ces rôles est en soi un point que les auditeurs vérifient.

FAQ

Questions fréquentes

De courtes réponses aux questions que les fondateurs et les responsables financiers nous posent le plus souvent.

Posez-nous une autre question

Douze à dix-huit mois avant la cotation, c’est confortable. Les contrôles doivent fonctionner pendant plusieurs trimestres avant de pouvoir être testés, et le seul nettoyage des identités peut prendre quelques mois dans une entreprise qui a grandi vite.

Comment SF3 Technologies vous aide

Nous mettons en place et gérons le volet informatique de SOX pour les sociétés cotées et celles qui préparent leur introduction en bourse : une évaluation des écarts par rapport aux contrôles que votre auditeur testera, la remédiation dans Microsoft 365, Google Workspace et sur vos appareils, l’exécution des contrôles chaque trimestre avec les preuves, et un accompagnement pendant les travaux d’audit sur le terrain. Nous travaillons au sein de votre propre locataire (tenant) via des comptes d’administrateur dédiés au nom de votre entreprise, protégés par MFA et journalisés, ce qui constitue en soi un contrôle que vous pouvez présenter à votre auditeur.

Commencez par une évaluation des écarts SOX et préparation à la conformité

Ce guide fournit des informations générales et ne constitue pas un conseil juridique ou d’audit. Confirmez votre statut de déclarant (filer status), votre calendrier et votre périmètre avec votre avocat en droit boursier et votre cabinet d’audit.