Demandez sans qui une entreprise européenne ne peut pas publier son rapport de durabilité, et la plupart des réponses commencent par une marque : un grand réseau d'audit, une plateforme de données, un éditeur de logiciel de reporting. Posez la même question à la loi et elle répond autrement. Elle ne nomme aucune entreprise. Elle nomme des rôles. En France, selon le rapport annuel du régulateur de l'audit daté du 27 mai 2026, le seul rôle d'assurance, à la fin de 2025, était ouvert à 3 961 commissaires aux comptes, 38 auditeurs de durabilité et 19 organismes tiers indépendants. Une norme dit à l'entreprise ce qu'elle doit publier. Un conseiller façonne cette norme. Un prestataire d'assurance donne un avis sur ce qui a été publié. Un superviseur examine ensuite la déclaration déposée. Chacun de ces rôles peut être tenu par plusieurs organisations, et les textes qui les créent ont été écrits pour qu'il en soit ainsi.
Voici le deuxième volet du chapitre durabilité de l'Atlas des industries de CareerOn. Le premier demandait où est l'argent, et constatait que chaque montant en euros du dossier public est une prévision. Celui-ci demande de qui la chaîne est faite. La question compte pour un candidat, parce qu'un rôle écrit dans la loi est un métier qui existera quel que soit le cabinet qui remporte le contrat, alors qu'une marque ne l'est pas. Nous ne nommons un organisme qu'à côté de la phrase qui dit ce qu'il fait. Nous séparons les niveaux européen, français et mondial. Et là où un document se tait, nous le disons au lieu de combler ce silence.
La loi ne nomme aucune entreprise sans laquelle un rapport de durabilité ne pourrait être déposé : elle nomme quatre rôles, et la seule liste publique que nous ayons trouvée de qui en tient un est française, où le rôle d'assurance était déjà partagé, à la fin de 2025, entre 3 961 commissaires aux comptes, 38 auditeurs de durabilité et 19 organismes tiers indépendants.
Huit documents, lus pour savoir qui fait quoi
Nous avons lu huit documents datés, tous ouverts en direct en octobre 2026, et retenu de chacun un passage qui attribue un rôle. Trois sont du droit européen adopté : la CSRD, directive (UE) 2022/2464 du 14 décembre 2022 ; les normes européennes de reporting, règlement délégué (UE) 2023/2772 du 31 juillet 2023, dites ESRS ; et la directive Omnibus I (UE) 2026/470 du 24 février 2026, qui a resserré le régime. Trois viennent de superviseurs : le rapport de contrôle de l'Autorité européenne des marchés financiers du 7 mai 2026, son étude sur la matérialité du 14 octobre 2025, et l'étude de l'AMF sur les premières déclarations françaises, publiée en octobre 2025. Deux viennent de la Haute autorité de l'audit, la H2A, régulateur français de l'audit : son rapport annuel 2025, daté du 27 mai 2026, et la synthèse de son programme de contrôle 2025, datée du 18 septembre 2026.
Nous avons aussi écarté trois documents, et ces refus font partie de la méthode. Une décision de la H2A sur ses orientations de contrôle est une image scannée sans couche de texte : aucune citation ne peut être prouvée contre elle. Les pages web de la H2A sur l'inscription d'un organisme tiers sont des pages non datées qui décrivent une procédure, et une page qui parle d'un document n'est pas le document. L'ordonnance française qui a ouvert l'assurance de durabilité au-delà des commissaires aux comptes est servie derrière un écran anti-robots qui a refusé notre sonde comme un vrai navigateur. Nous n'avons pas pu la lire, donc nous ne la citons pas. Ce que nous disons de la France repose sur les rapports datés du régulateur lui-même.
Quatre rôles, et les textes qui les attribuent
Commençons par la norme, parce qu'elle décide de ce que tous les autres maillons vérifient. Les ESRS ne demandent à aucune entreprise d'acheter quoi que ce soit. Elles lui demandent de regarder vers l'extérieur : les relations d'affaires comprennent, selon le texte, celles de la chaîne de valeur amont et aval de l'entreprise, et ne se limitent pas aux relations contractuelles directes. Cette seule phrase explique pourquoi le reporting de durabilité est plus difficile que le reporting financier. Les comptes d'une entreprise s'arrêtent à son propre grand livre. Sa déclaration de durabilité, non.
La norme s'écrit avec un conseil. La CSRD confie ce rôle de conseil à l'EFRAG et le décrit avec précision : une association à but non lucratif de droit belge, au service de l'intérêt général. L'EFRAG est le seul organisme de la chaîne que la loi nomme. Il est nommé comme conseiller, non comme auteur exclusif du texte : les normes elles-mêmes sont adoptées par la Commission sous forme de règlement délégué.
Vient ensuite l'avis. Ici, la CSRD a fait un choix délibéré, et l'a écrit. Elle juge souhaitable d'offrir aux entreprises un choix plus large de prestataires de services d'assurance indépendants. Le rôle d'assurance n'a pas été réservé aux commissaires aux comptes. La loi l'a ouvert à une seconde catégorie, et a laissé chaque État membre décider comment. Quand l'ESMA a ensuite lu un échantillon de déclarations réelles, elle a employé exactement le vocabulaire de la loi : pour presque tous les émetteurs retenus, l'auditeur ou le prestataire de services d'assurance indépendant a rendu une conclusion d'assurance limitée sans réserve sur des rapports établis selon les ESRS. Le superviseur nomme le rôle, deux fois, et aucun prestataire.
Reste l'examen. La CSRD charge l'ESMA de publier des orientations sur la supervision du reporting de durabilité par les autorités nationales compétentes. Le superviseur de marché de chaque pays examine les déclarations ; l'ESMA les coordonne et compte. Son rapport de 2026 décrit ce décompte dans ses propres termes : chaque année, elle recueille le nombre d'examens réalisés et le nombre de mesures prises par les autorités.
Quatre rôles, aucune entreprise : par qui la loi fait passer un rapport
| Rôle | Qui le tient, tel qu’écrit | Attribué par | État juridique |
|---|---|---|---|
| Norme | Des informations sur la chaîne de valeur amont et aval | ESRS, règlement délégué (UE) 2023/2772 | Acte adopté |
| Avis sur la norme | L’EFRAG, association à but non lucratif de droit belge | CSRD, directive (UE) 2022/2464 | Acte adopté |
| Assurance | L’auditeur ou un prestataire de services d’assurance indépendant | Étude de l’ESMA, octobre 2025 | Constat de supervision |
| Examen | Les autorités nationales, coordonnées et comptées par l’ESMA | Rapport de l’ESMA, mai 2026 | Constat de supervision |
Sources 2 European Commission · 1 EUR-Lex (Publications Office of the European Union) · 5 ESMA · 4 ESMA
Lisez le tableau pour ce qui y manque. Chaque rôle a un document, un état juridique et une description de qui le tient. Aucune ligne ne porte un nom d'entreprise. Ce n'est pas un oubli de notre part. Dans les huit documents retenus, c'est ainsi que la chaîne est écrite.
La France partage déjà l'avis
Un rôle écrit dans le droit européen ne devient un marché que lorsqu'un pays dit qui peut le tenir. La France l'a fait, et son régulateur de l'audit en compte le résultat. Le rapport annuel 2025 de la H2A donne ce décompte en une phrase : « À la fin de l’exercice 2025, 3 961 commissaires aux comptes, 38 auditeurs de durabilité et 19 organismes tiers indépendants étaient habilités à certifier des informations de durabilité. »
La proportion est le sujet. Fin 2025, les commissaires aux comptes forment l'écrasante majorité. Mais cinquante-sept habilitations se trouvent hors de leurs rangs, dans deux catégories qui ne tenaient pas ce rôle avant la CSRD : les auditeurs de durabilité, et les organismes tiers indépendants du type qui vérifiaient déjà les déclarations extra-financières sous les règles françaises antérieures. Voilà à quoi ressemble « un choix plus large » une fois chiffré. C'est un petit nombre. Ce n'est pas zéro.
Le second document de la H2A montre que ce choix est contrôlé comme une seule profession, non comme deux. Sa synthèse du programme de contrôle 2025 indique que les contrôles de la mission de certification des commissaires aux comptes, des organismes tiers indépendants et des auditeurs de durabilité qui leur sont rattachés « sont effectués exclusivement par des contrôleurs de la H2A ». Le même régulateur, avec ses propres contrôleurs, inspecte les trois groupes. Un candidat qui hésite entre un cabinet d'audit et un organisme tiers choisit un employeur, non un niveau d'exigence.
En France, l’assurance est déjà partagée : 3 961, 38 et 19
| Groupe habilité à certifier les informations de durabilité | Nombre fin 2025 | Contrôlé par |
|---|---|---|
| Commissaires aux comptes | 3 961 | Contrôleurs de la H2A seulement |
| Auditeurs de durabilité | 38 | Contrôleurs de la H2A seulement |
| Organismes tiers indépendants | 19 | Contrôleurs de la H2A seulement |
Sources 7 Haute autorité de l’audit (H2A) · 8 Haute autorité de l’audit (H2A)
Deux limites accompagnent ce tableau. Le décompte porte sur des habilitations, non sur des mandats : il dit qui peut signer, non combien de rapports chaque groupe a signés, et le rapport annuel ne répartit pas le travail entre eux. Et la synthèse prévient que sa sélection de dossiers n'est pas statistique, si bien que ses constats ne peuvent être étendus à toute la profession. Nous publions le décompte et laissons la part de marché inconnue, parce qu'elle l'est.
Là où la loi demande des données et ne nomme aucun fournisseur
Le troisième maillon est celui dont parle l'essentiel des écrits commerciaux sur la CSRD : les données et le logiciel. C'est là que les documents sont les plus intéressants, parce qu'ils créent une demande et se taisent sur l'offre. La phrase des ESRS sur la chaîne de valeur exige des informations que l'entreprise ne détient pas dans ses propres systèmes ; quelqu'un doit les recueillir auprès des fournisseurs et des clients. Le rapport de l'ESMA rappelle le format qu'une société cotée doit utiliser pour le rapport annuel qu'elle dépose : tous les émetteurs soumis à la directive Transparence publient leurs rapports financiers annuels au format XHTML. Quelqu'un doit produire ce fichier.
Aucun des deux documents ne dit qui. La norme demande des informations sur la chaîne de valeur et ne mentionne aucun fournisseur de données. Le superviseur nomme le format électronique et ne mentionne ni outil ni éditeur. Une entreprise peut très bien juger impossible de publier sans données achetées ou sans logiciel de reporting. C'est un jugement d'affaires, peut-être juste. Ce n'est pas une obligation légale, et aucun de nos huit documents n'en fait une.
La loi demande des informations et un format, et ne nomme aucun fournisseur
| Document | Ce qu’il exige | Ce qu’il ne nomme pas |
|---|---|---|
| ESRS, règlement délégué (UE) 2023/2772 | Des informations au-delà des relations contractuelles directes, sur la chaîne de valeur | Un fournisseur de données |
| Rapport de l’ESMA, mai 2026 | Rapports financiers annuels publiés au format XHTML | L’outil ou l’éditeur qui produit ce format |
Sources 2 European Commission · 4 ESMA
Cela change la manière de lire le marché. Quand un éditeur présente son produit comme ce que la CSRD exige, il décrit les informations ou le format que la loi demande, et affirme que son produit est la façon de les fournir. L'affirmation est peut-être vraie. C'est celle de l'éditeur, et elle doit être lue comme telle.
Le contre-argument, gardé dans le texte
L'objection la plus forte à ce volet est qu'il confond la grammaire de la loi avec la réalité du marché. En pratique, dit-elle, une poignée de grands réseaux d'audit signent la plupart des avis des sociétés cotées, et une poignée de plateformes portent l'essentiel des données. Écrire des rôles au lieu de noms masquerait qui tient vraiment la chaîne.
Nous prenons l'objection au sérieux, et elle a en partie raison. Que huit documents ne nomment aucune entreprise ne prouve pas qu'aucun document public ne le fait ; c'est ce que disent les documents retenus. Le décompte français montre que les commissaires aux comptes détiennent la grande majorité des habilitations, ce qui est compatible avec une concentration, sans pouvoir la mesurer. Et le régime vient d'être resserré : la directive Omnibus I supprime l'obligation d'adopter des normes d'assurance raisonnable, pour éviter une hausse des coûts d'assurance des entreprises. Une exigence d'assurance plus légère change ce que vaut chaque avis, et peut-être qui se porte candidat pour le rendre.
Ce que l'objection ne peut pas faire, c'est transformer une position de marché en nécessité légale. Un rapport peut être déposé sans aucune entreprise nommée, parce que la loi demande qu'un rôle soit tenu, et qu'en France elle dit qui peut le tenir. Les superviseurs ont remarqué comment ce rôle est tenu. L'AMF, en lisant les premières déclarations, a relevé que très peu d'auditeurs signalent expressément des limites dans le processus d'analyse de double matérialité des émetteurs, cœur de la norme. C'est un constat sur la qualité de l'avis, non sur son auteur. C'est la bonne question pour un superviseur, et celle à laquelle un candidat doit se préparer.
Ce que cela change pour votre carrière
Si vous regardez la chaîne de la durabilité comme une carrière, les éléments indiquent une direction claire. La profession comptée, réglementée et contrôlée est l'assurance. Elle existe en droit dans chaque État membre, elle a un registre public en France, et en France elle est ouverte à des personnes qui ne sont pas commissaires aux comptes. Ce dernier point est récent et modeste, et c'est le fait le plus utile de ce volet pour qui ne s'est pas formé à l'audit.
La compétence que testent les superviseurs est tout aussi claire. Un avis qui accepte l'analyse de matérialité d'une entreprise sans la discuter, c'est ce que l'autorité française a relevé. Un professionnel de l'assurance capable de lire une analyse de double matérialité, de trouver où elle est faible et de l'écrire fait exactement le travail que le dossier montre rare.
Sur l'étagère de CareerOn, deux simulations d'entraînement accompagnent ce chapitre : Analyste ESG : reporting extra-financier CSRD, et Analyste ESG : reporting CSRD et double matérialité. Pour ce volet, les deux simulations sont donc non placées. Aucun des huit documents ne nomme la collecte de données ou l'analyse d'écarts avant l'assurance comme un travail de l'entreprise qui publie, et le constat sur la matérialité décrit ce que font les auditeurs, non les analystes. Nous ne prétendons pas que les éléments placent une carte qu'ils ne placent pas. Les deux restent un bon entraînement au régime, et le prochain volet, consacré au travail lui-même, vérifiera si le dossier les place.
Deux profils que ces éléments nomment ne sont pas encore sur notre étagère, et nous les consignons comme des manques au lieu de les cacher : le profil de commissaire aux comptes ou d'organisme tiers indépendant qui signe l'avis, et celui d'examinateur de supervision qui lit ensuite la déclaration déposée.
Ce que nous n'avons pas pu prouver
Nous n'avons pas pu lire l'ordonnance française qui a ouvert le rôle d'assurance ; sa date et sa rédaction ne figurent donc pas ici. Nous n'avons trouvé, dans aucun document retenu, combien de rapports de durabilité chaque groupe de prestataires français a certifiés. Nous n'avons trouvé aucun document public qui nomme un cabinet d'assurance privé à côté des rapports qu'il a vérifiés, ni aucun document qui rende légalement nécessaire un fournisseur de données ou de logiciel. Chacun de ces points porte sur les documents que nous avons lus, non sur le monde. Si un document public daté tranche l'un d'eux, nous l'ajouterons et dirons ce qui a changé.