Documentation d'audit — PCAOB AS 1215 (audits d'émetteurs) et AICPA AU-C 230 (audits de non-émetteurs)
Cette page est générée à partir de la table d'exigences que le moteur AiSSAY livre pour ce référentiel. Quand le moteur produit un dossier de preuves, chaque ligne ci-dessous reçoit un statut calculé à partir des propres enregistrements de l'opérateur à ce moment-là. Cette page montre la table, pas les résultats de qui que ce soit.
Mise en correspondance à titre informatif, établie par les propres outils de l'opérateur. Ce n'est ni un avis juridique, ni une certification, ni un substitut au conseil d'un avocat. Elle organise les enregistrements de l'opérateur au regard des exigences citées ; la question de savoir si ces enregistrements satisfont aux exigences relève de l'appréciation de l'opérateur, de son conseil juridique et du contrôleur.
AS 1215 tel que modifié par AS 1000 : la date d'achèvement de la documentation est fixée à 14 jours après la date de publication du rapport, avec une entrée en vigueur progressive pour les exercices ouverts à compter du 15 décembre 2024 ou 2025 selon la taille du cabinet (elle était de 45 jours). QC 1000 entre en vigueur le 15 décembre 2026 ; des modifications adoptées le 9 septembre 2026 attendent l'approbation de la SEC. Les modifications d'AS 1105 et d'AS 2301 relatives aux analyses assistées par la technologie s'appliquent aux exercices ouverts à compter du 15 décembre 2025.
La table d'exigences
8 lignes : 6 mécanismes, 1 organisationnelle, 1 lacune nommée
| Exigence | Mécanisme, obligation ou lacune | Type |
|---|---|---|
| AS 1215.06 — la documentation montre qui a réalisé le travail et qui l'a revu, et quand | chaque exécution enregistre ses étapes avec des horodatages ; la contre-signature d'un réviseur nommément désigné est scellée à côté, avec sa propre heure ; les lectures sont signées lorsque le lecteur fournit une clé d'identité | mécanisme |
| AS 1215.14 — conserver la documentation d'audit pendant sept ans à compter de la date de publication du rapport | dates de conservation par enregistrement, fixées lors du scellement (sept ans par défaut) ; la suppression avant cette date est refusée sans dérogation consignée ; une mesure de conservation à des fins juridiques (legal hold) bloque purement et simplement la suppression | mécanisme |
| AS 1215.15 — constituer le dossier complet au plus tard à la date d'achèvement de la documentation | chaque enregistrement est daté dans la chaîne au moment de son scellement, et une exportation complète fournit à tout moment l'ensemble complet pour une période. Le respect du délai appartient au cabinet. | mécanisme |
| AS 1215.16 — après l'achèvement, rien n'est supprimé ni écarté ; tout ajout consigne quand, par qui et pourquoi | chaîne de hachage en ajout seul : une correction est un nouvel enregistrement qui renvoie à l'original, chaque ajout porte son heure et son acteur, et une suppression laisse un marqueur de suppression ; une suppression anticipée consigne sa dérogation et sa raison | mécanisme |
| AS 1105 et AS 2301 — évaluer la fiabilité des informations électroniques et assurer le suivi des éléments signalés par l'analyse | les chiffres de chaque exécution sont recalculés exactement et rapprochés des sources qu'ils citent ; les écarts sont soulevés comme constats et signalés pour revue. Le suivi appartient à l'auditeur. | mécanisme |
| AU-C 230 — conserver la documentation au moins cinq ans, et consigner qui a modifié quoi après la constitution du dossier, quand et pourquoi | les mêmes mécanismes de conservation et d'ajout seul ; la durée par défaut de sept ans dépasse le plancher de cinq ans | mécanisme |
| QC 1000 — le système de contrôle qualité du cabinet, et sa documentation | organisationnel : le système de contrôle qualité appartient au cabinet. Les enregistrements sont des preuves qu'il peut invoquer, pas le système lui-même. | organisationnel |
| Recours aux enregistrements de cet outil comme preuves d'audit — évaluation indépendante de ses contrôles | NON IMPLÉMENTÉ. Il n'existe encore ni test d'intrusion, ni revue de la cryptographie par un tiers, ni rapport indépendant sur les contrôles de ce logiciel. Quiconque s'appuie sur ces enregistrements comme preuves doit évaluer l'outil lui-même, et cette ligne le dit en premier. | lacune nommée |
Comment un statut s'obtient
- Étayé
- une vérification déterministe a été exécutée sur vos enregistrements et les décomptes étayent la ligne. Un stockage ne contenant aucun enregistrement pertinent apparaît comme non étayé — une affirmation vraie, pas une validation. Vide ne compte jamais comme conforme.
- Délégué
- le mécanisme est appliqué par un système auquel vous faites déjà confiance — un stockage scellé par votre propre gestionnaire de clés lui délègue le contrôle d'accès, et le dossier indique que le journal qui fait foi est celui de votre gestionnaire de clés, pas le nôtre. Le dossier nomme le point de terminaison par lequel le gestionnaire de clés a été joint. Un point de terminaison AWS autre que celui qu'AWS utilise par défaut pour la région apparaît comme délégué à ce point de terminaison, avec une demande de confirmation qu'il s'agit bien de votre service de gestion des clés. Un seul backend — AWS KMS — a été exécuté sur le service AWS KMS réel ; aucun autre backend ne l'a été.
- Point d'intégration de test
- scellé par un backend de test interne au processus — un bouchon (stub), ou un substitut du client AWS — et le statut précise lequel. Aucun gestionnaire de clés n'applique le contrôle d'accès. Le point d'intégration est construit et testé, et le dossier refuse d'appeler cela une délégation.
- Partiellement étayé
- le mécanisme est construit et certaines de vos exécutions en portent la preuve, mais pas toutes — généralement parce qu'elles ont été scellées avant que le mécanisme n'existe. Le dossier indique combien d'exécutions se trouvent dans chaque groupe, et ne compte jamais celles qui manquent comme validées.
- Organisationnel
- l'exigence est une procédure que seules des personnes peuvent accomplir. Le dossier la désigne comme la vôtre au lieu de déguiser une politique en mécanisme.
- Lacune nommée
- le dossier ne peut pas l'étayer — soit le mécanisme n'est pas construit, soit aucun logiciel ne peut le fournir — et il précise lequel des deux. La lacune est imprimée, parce qu'un examinateur doit la lire ici plutôt que la découvrir.
Aucun statut n'est saisi à la main : chaque statut est recalculé à partir du stockage chaque fois qu'un dossier est produit, le texte des exigences et des mécanismes est rédigé et relu dans le cadre du moteur, et les preuves relatives aux dépendances proviennent de notre analyse de version. Un mécanisme en échec ne peut jamais être lu comme la preuve que le contrôle fonctionne.