Le vérificateur arrive, ouvre votre bilan carbone et demande d'où vient la ligne « gaz naturel, site de Villeurbanne ». Si la réponse tient dans trois onglets de tableur, deux boîtes mail et la mémoire d'un collègue parti en septembre, la traçabilité des données carbone devient le sujet de la mission, pas le chiffre lui-même.

Cet article explique ce que l'assurance limitée du rapport de durabilité examine d'après les textes disponibles, ce qu'aucun texte n'exige malgré ce qu'on lit souvent sur la « piste d'audit » CSRD, et comment documenter une donnée carbone selon quatre éléments : source, facteur, calcul, validation. Il se termine par un exemple chiffré fictif de dossier de preuve pour une ligne du bilan.

Les faits réglementaires ont été vérifiés sur des sources institutionnelles au 10 novembre 2026. La méthode de documentation est une recommandation de pratique de Kabaun, pas une obligation légale.

Que regarde l'assurance limitée sur vos données carbone ?

L'assurance limitée est le niveau d'assurance retenu par la directive (UE) 2026/470, qui a supprimé la perspective d'une assurance raisonnable. Le vérificateur n'examine pas toutes les informations : il en sélectionne certaines, en fonction du risque important de non-conformité, y compris en raison de fraude ou d'écoblanchiment. Sa conclusion est en général formulée sous forme négative : il n'a pas relevé d'élément indiquant que le rapport n'est pas conforme.

En France, les lignes directrices de la H2A, la Haute Autorité de l'audit (ex-H3C), dans leur version de janvier 2026, encadrent la certification des données 2025, et la H2A prévoit de les actualiser. Elles demandent au vérificateur de comprendre l'entité, y compris les éléments de contrôle interne pertinents pour la préparation de l'information de durabilité : environnement de contrôle, procédures, et système d'information qui sert à élaborer cette information. Pour choisir ses travaux, il tient compte de la maturité du dispositif de contrôle interne et des systèmes qui collectent les données, des choix méthodologiques, de la part de jugement, de la disponibilité des données et du recours à des tiers.

Concrètement, une donnée carbone est d'autant plus facile à vérifier qu'on peut remonter de la tonne publiée à la pièce d'origine, en passant par le facteur et le calcul. Le vérificateur contrôle la méthode (périmètre, méthodes reconnues ou non, hypothèses) et corrobore par sondages.

Quelle norme d'assurance s'applique ?

Aucune norme européenne d'assurance limitée n'était adoptée au 10 novembre 2026. La directive 2026/470 fixe l'échéance d'adoption, par acte délégué, au 1er juillet 2027. Dans le registre « Have your say » de la Commission, l'initiative est planifiée pour le deuxième trimestre 2027, sans projet publié à ce jour. En France, les vérificateurs s'appuient donc sur les lignes directrices de la H2A de janvier 2026, établies pour les données 2025. La H2A précise que la publication du règlement Omnibus, sa transposition en droit national, puis la simplification des ESRS appelleront une nouvelle actualisation.

À l'international, l'IAASB a publié l'ISSA 5000, norme d'assurance en durabilité dont l'application est fixée par défaut aux périodes commençant à compter du 15 décembre 2026, avec application anticipée permise. Ce n'est pas la norme exigée par la directive : la norme européenne sera un acte délégué de la Commission, et la directive 2026/470 ne mentionne pas l'ISSA 5000.

Qu'est-ce qu'aucun texte n'exige ?

Aucun texte consulté n'exige une « piste d'audit inaltérable » ni un horodatage des données. Les versions anglaises de la directive 2026/470 et des ESRS révisées ne contiennent pas l'expression « audit trail », et les lignes directrices de la H2A de janvier 2026 ne contiennent pas « piste d'audit ». Écrire que « la CSRD exige une piste d'audit » est inexact.

Les références ESRS ci-dessous sont celles des ESRS révisées du règlement délégué (UE) 2026/1563, qui entre en vigueur le 10 novembre 2026 et s'applique aux exercices ouverts à compter du 1er janvier 2027. Pour l'exercice 2026, l'entreprise peut appliquer les ESRS de 2023 ou les nouvelles et l'indique dans son état de durabilité (article 2).

Ce que les textes écrivent est plus général, et c'est là que se construit l'attente du vérificateur :

  • Contrôle interne du reporting. L'exigence GOV-4 de l'ESRS 2 demande de publier la portée, les principales caractéristiques et composantes des processus de gestion des risques et de contrôle interne relatifs au reporting de durabilité, en considérant l'exhaustivité et l'intégrité des données et l'exactitude des estimations.
  • Vérifiabilité. L'appendice B des ESRS retient la vérifiabilité comme caractéristique de l'information : elle est vérifiable s'il est possible de corroborer l'information ou les données d'entrée qui l'ont produite.
  • Données spécifiques et vérifiées. Pour le Scope 3, l'AR 24 de l'ESRS E1 invite à privilégier les données spécifiques et vérifiées.

Une piste d'audit est donc une manière de répondre à ces principes, pas une obligation, et aucun des textes consultés ne prévoit qu'un vérificateur la « valide ». Les observations du contrôle H2A 2025 éclairent les points d'attention, sans en faire une règle : sur 16 mandats de durabilité de l'exercice 2024 examinés, 15 rapports comportaient des observations et un portait une réserve, sur le Scope 3. Parmi les sujets à l'origine des observations figurent le contexte de première année d'application (7 mandats), les sources d'incertitude sur les estimations (5) et l'évaluation des émissions de Scope 3 (5). Ces 16 mandats ont été choisis par la H2A selon des critères (diversité des secteurs, taille du mandat) et représentent 7 % des 405 mandats de durabilité déclarés pour l'exercice 2024.

Une confusion fréquente : le « dossier » dont parlent les lignes directrices (point 16) est celui du vérificateur. Il permet à une personne expérimentée n'ayant pas participé à la mission de comprendre son approche. C'est la traçabilité du travail de l'auditeur, pas celle de vos données.

Comment documenter une donnée carbone : source, facteur, calcul, validation

Pour chaque ligne significative du bilan, quatre éléments suffisent à reconstituer le chemin entre la pièce et la tonne publiée. Ce découpage est une recommandation de pratique.

1. La source : d'où vient l'activité ?

Conservez la pièce d'origine (facture, relevé, bon de livraison, déclaration fournisseur), son émetteur, sa période, son unité et son périmètre. Notez qui l'a collectée et quand. Pour une donnée estimée, la source est l'hypothèse elle-même : joignez la règle d'estimation et la raison de l'absence de donnée réelle. Pour le Scope 3, l'AR 24 de l'ESRS E1 demande de screener les 15 catégories et de publier les catégories significatives selon des critères que vous devez pouvoir expliquer.

2. Le facteur : quelle valeur, de quelle base, pourquoi ?

Consignez le nom du facteur, sa valeur, son unité, la base d'origine, sa version et son année, ainsi que le périmètre couvert (amont seul ou amont et combustion, par exemple). Vérifiez que l'unité de la donnée d'activité correspond à celle du facteur : une facture en kWh PCS rapprochée d'un facteur exprimé en kWh PCI est une erreur classique. Conservez la raison du choix, surtout quand plusieurs facteurs plausibles existent.

3. Le calcul : un résultat reproductible

Le calcul doit pouvoir être refait par un tiers à partir de la source et du facteur : formule, arrondis, conversions d'unités, répartition éventuelle entre sites ou entités. Un résultat qui change selon la personne qui l'ouvre n'est pas défendable. Précisez le périmètre de consolidation : l'AR 19 de l'ESRS E1 retient le contrôle financier par défaut, avec la part du capital ou le contrôle opérationnel en alternative.

4. La validation : qui a relu, avec quel contrôle ?

Une donnée validée est une donnée relue par une personne autre que celle qui l'a saisie, avec un contrôle documenté : comparaison avec l'exercice précédent, avec un relevé tiers, test de cohérence. Gardez la date, l'auteur de la validation et les écarts expliqués. Toute correction ultérieure se fait par une nouvelle version, pas en écrasant la valeur.

Exemple : le dossier de preuve d'une ligne du bilan

Cet exemple est fictif. Les valeurs, y compris le facteur, sont inventées pour illustrer la méthode et ne doivent pas être reprises dans un rapport.

Ligne : gaz naturel, site de Villeurbanne, exercice 2026, Scope 1.

Source. Douze factures mensuelles du fournisseur de gaz, de janvier à décembre 2026, en kWh. Consommations mensuelles : 28 400, 25 100, 21 300, 14 800, 9 600, 5 200, 4 100, 4 000, 6 700, 13 900, 22 600 et 29 300 kWh. Total recalculé : 185 000 kWh. Un relevé annuel du fournisseur indique 185 020 kWh. L'écart de 20 kWh représente 0,011 % et est expliqué par un arrondi de facturation. Collecte : responsable du site, saisie le 12 janvier 2027, factures jointes en PDF.

Facteur. Facteur fictif de 0,205 kgCO2e par kWh, base fictive « Base X, version 2026 », périmètre combustion seule. À remplacer dans un vrai dossier par le facteur de la base retenue, avec son nom exact, sa version et la vérification que l'unité (PCS ou PCI) correspond à celle des factures. Raison du choix consignée : base utilisée l'an passé, reconduite pour la comparabilité.

Calcul. 185 000 kWh × 0,205 kgCO2e/kWh = 37 925 kgCO2e, soit 37,9 tCO2e arrondi à une décimale. Le calcul est refait indépendamment par le contrôleur de gestion, avec le même résultat.

Validation. Comparaison avec l'exercice 2025 : 198 500 kWh, soit 40,7 tCO2e avec le même facteur. La baisse est de 6,8 % en activité et en émissions, expliquée par le remplacement d'une chaudière en mars (note jointe, avec la facture de travaux). Validé par la responsable RSE le 20 janvier 2027, version 1 figée.

Le dossier tient sur une page et répond aux quatre questions d'un vérificateur : d'où vient la pièce, quel facteur et pourquoi, le calcul est-il reproductible, qui a contrôlé.

Où un outil aide-t-il, et où commence l'argument produit ?

Une plateforme ne remplace ni le jugement du vérificateur ni la rigueur de la collecte, mais elle peut éviter de reconstituer ce dossier à la main. Le catalogue fonctionnel de Kabaun décrit :

  • Accès à la traçabilité d'une ligne : pour chaque ligne de données, les descriptions, les fichiers attachés et les facteurs d'émission associés (GDD-005).
  • Pièces justificatives : factures, attestations et relevés associés à chaque donnée saisie, pour faciliter les audits et les vérifications tierces (CERT-004).
  • Historisation par exercice : les données des années précédentes restent consultables en lecture seule (GDD-006).
  • Piste d'audit : conservation d'une piste d'audit des données, modifications, calculs et validations, avec horodatage et identification de l'auteur (CERT-003).
  • Méthodologie documentée : calcul conforme au GHG Protocol, documentation accessible aux auditeurs externes (CERT-001), et support des exigences de l'ISO 14064-1 (CERT-002).
  • Rapports : génération de rapports CSRD et ESRS, notamment ESRS E1 (REG-002).

La piste d'audit « complète et inaltérable » est un argument produit de Kabaun. Aucun texte ne l'exige, et nous n'affirmons ni qu'elle suffit à une conclusion favorable, ni qu'un auditeur l'a validée. Elle sert un objectif concret : retrouver vite et sans ambiguïté qui a saisi quoi, quand, avec quelle pièce. Sur la place de l'automatisation dans un dossier vérifiable, voir aussi notre article sur la fiabilité d'un bilan carbone assisté par IA.

Check-list avant la visite du vérificateur

  • Chaque ligne significative remonte à une pièce, un facteur versionné, un calcul reproductible et une validation datée.
  • Les catégories de Scope 3 significatives sont justifiées par un screening des 15 catégories, mis à jour chaque année pour les catégories significatives, et au moins tous les trois ans pour l'inventaire complet.
  • Les choix méthodologiques (périmètre, base de facteurs, estimations) sont écrits, avec leur date et leur auteur.
  • Les écarts avec l'exercice précédent sont expliqués par écrit.
  • Le processus d'identification des informations et le contrôle interne du reporting sont décrits, car l'avis du vérificateur porte aussi sur le processus d'identification de l'information.
  • Les allègements ou le référentiel appliqués pour 2026 sont indiqués dans l'état de durabilité, comme l'exigent les règles de transition du règlement délégué (UE) 2026/1563.

FAQ

La CSRD exige-t-elle une piste d'audit inaltérable ? Non. Aucun texte consulté (directive 2026/470, ESRS révisées, lignes directrices H2A de janvier 2026) ne l'exige. Les ESRS demandent un contrôle interne du reporting, des données exhaustives, intègres et vérifiables. Une piste d'audit est un moyen d'y répondre, pas une obligation.

Quel niveau d'assurance s'applique au rapport de durabilité ? L'assurance limitée. La directive 2026/470 a supprimé l'habilitation à adopter des normes d'assurance raisonnable. Le vérificateur concentre ses travaux sur les informations présentant un risque important de non-conformité et formule en général une conclusion sous forme négative.

Existe-t-il une norme européenne d'assurance limitée ? Pas encore. Au 10 novembre 2026, aucune n'était adoptée. La Commission doit l'adopter par acte délégué au plus tard le 1er juillet 2027, et l'initiative est planifiée pour le deuxième trimestre 2027. En attendant, les vérificateurs français s'appuient sur les lignes directrices de la H2A de janvier 2026.

L'ISSA 5000 s'applique-t-elle à mon rapport CSRD ? Pas en tant que norme exigée par la directive. L'ISSA 5000 est une norme internationale de l'IAASB, dont l'application est fixée par défaut aux périodes commençant à compter du 15 décembre 2026. La norme européenne sera un acte délégué de la Commission, et la directive 2026/470 ne mentionne pas l'ISSA 5000.

Que doit contenir le dossier de preuve d'une donnée carbone ? Quatre éléments : la source (pièce, émetteur, période, unité), le facteur (valeur, base, version, année, périmètre), le calcul reproductible, et la validation (relecteur, date, contrôle effectué). Ce découpage est une recommandation de pratique, pas une exigence légale.

Quelle différence entre piste d'audit et dossier du vérificateur ? Le dossier du vérificateur est le sien : il retrace son approche, ses sélections et ses constats. La traçabilité des données est celle de l'entreprise : elle permet au vérificateur de corroborer les chiffres. Ce sont deux documentations distinctes.

Conclusion

L'assurance limitée ne demande pas de piste d'audit sous ce nom, elle demande qu'une information soit vérifiable : exhaustive, intègre, corroborable jusqu'à sa donnée d'entrée. Pour chaque ligne significative de votre bilan, documentez la source, le facteur, le calcul et la validation. Commencez par vos cinq lignes les plus lourdes : si un tiers peut les refaire en suivant le dossier, le reste du travail suit.

Kabaun vous accompagne pour documenter vos données carbone ligne par ligne → [kabaun.com/contact](https://www.kabaun.com/contact)

Ressources officielles