Deux heures pour situer le risque cyber dans la mission de certification : prise de connaissance et évaluation des risques selon les NEP 315 et 330 révisées, incident survenu pendant ou après l’exercice, traduction comptable et continuité d’exploitation, référentiels publics de l’ANSSI, obligations issues du RGPD, de NIS 2 et de DORA, et ce que le commissaire communique — sans jamais se faire auditeur de sécurité.

Pourquoi le risque cyber est devenu une question de certification

Fraude au faux fournisseur, rançongiciel, exfiltration de données : les incidents cyber se découvrent souvent pendant la période d’arrêté et d’audit des comptes, et ils touchent la trésorerie, l’intégrité des données, les passifs et parfois la continuité d’exploitation. Dans le même temps, les NEP 315 et 330 révisées ont fait de l’environnement informatique une étape obligatoire de toute prise de connaissance, et trois textes européens — RGPD, NIS 2, DORA — ont changé l’environnement réglementaire des entités contrôlées.

Ce parcours reprend la question du point de vue du commissaire : ce qu’il apprécie, ce qu’il n’apprécie pas, et comment il le documente et le communique, avec quatre cas corrigés. Le thème relève des matières de la formation continue des commissaires aux comptes ; il appartient à chaque commissaire d’apprécier ce qu’il déclare à ce titre.

🎯 OBJECTIFS

À l’issue de ces 2 heures, vous serez capable de :

✅ Identifier l’exposition au risque cyber comme facteur de risque inhérent et la rattacher aux assertions concernées, selon les NEP 315 et 330 révisées.

✅ Concevoir des réponses proportionnées, notamment sur la trésorerie, les dettes fournisseurs, les écritures comptables et l’intégrité des données.

✅ Traiter un incident cyber survenu pendant ou après l’exercice : fait générateur, traduction comptable, événements postérieurs (NEP 560).

✅ Réapprécier la continuité d’exploitation après un incident majeur (NEP 570) et tenir compte des conditions de l’assurance cyber.

✅ Situer les obligations issues du RGPD, de la directive NIS 2 et du règlement DORA, et l’état de la transposition française en novembre 2026.

✅ Communiquer à la direction, aux organes de gouvernance et dans les rapports, sans jamais laisser croire à une évaluation de la sécurité.

📚 CONTENU DE LA FORMATION

Module 1 — Le risque cyber dans l’évaluation des risques (30 min)

Ce que le commissaire apprécie et n’apprécie pas, état des textes en novembre 2026, facteurs de risque inhérent, environnement informatique et réponses selon les NEP 315 et 330 révisées.

Module 2 — L’incident cyber et ses effets sur l’audit (30 min)

Typologie des incidents, premier entretien, intégrité des données, traduction comptable, événements postérieurs (NEP 560) et continuité d’exploitation (NEP 570).

Module 3 — Continuité, référentiels publics et assurance (30 min)

Continuité d’activité et d’exploitation, sauvegardes et prestataires, guides de l’ANSSI et ReCyF, assurance cyber et plainte sous 72 heures, grille d’entretien.

Module 4 — RGPD, NIS 2, DORA et communication du commissaire (30 min)

Notification des violations de données, directive NIS 2 et état de sa transposition, règlement DORA, communications et rapports, check-list du dossier.

📝 CE QUE VOUS RECEVEZ

📄 Quatre modules écrits, consultables à tout moment pendant douze mois.

📄 Quatre cas pratiques corrigés.

📄 Une grille d’entretien sur le risque cyber et une check-list récapitulative du dossier.

📄 Une évaluation finale de 20 questions, réussie à 80 %, repassable sans limite.

📄 Une attestation de suivi nominative mentionnant durée, dates et score.

Comment se déroule le parcours

Le parcours est entièrement écrit et se suit à votre rythme, sur douze mois d’accès. Chaque module se termine par un cas pratique et une série de questions ; l’évaluation finale se réussit à 80 %, et se repasse autant de fois que nécessaire. Le temps de connexion est mesuré : il figure sur l’attestation.

Un format écrit se rouvre à la page utile le jour où la question se pose — ce qu’une vidéo ne permet pas. C’est le choix retenu pour tous les parcours de Qualidemy.

ATTESTATION DE SUIVI DE FORMATION

À l’issue du parcours, Qualidemy délivre une attestation de suivi nominative mentionnant l’intitulé, les modules suivis, les dates, la durée et votre score. Elle ne constitue ni une certification, ni un titre, ni un justificatif au titre d’une obligation réglementaire de formation continue. Si votre profession vous impose une telle obligation, vérifiez ce qu’elle admet avant de vous inscrire.

Public visé et prérequis

Public : commissaires aux comptes ; collaborateurs de cabinet d’audit ; experts-comptables et directions financières confrontés au risque cyber dans la production et la présentation des comptes.

Prérequis : connaissance pratique de la démarche d’audit légal et des NEP. Aucune compétence technique en sécurité informatique n’est requise ; le parcours ne détaille pas les tests des contrôles généraux informatiques.

Modalité : formation à distance, asynchrone, accessible 24 h/24 pendant douze mois. Volume rédactionnel : environ 8 991 mots.