La loi Sarbanes-Oxley, plus connue sous le nom de SOX, fête ses 24 ans en 2026. Adoptée en 2002 après les scandales Enron et WorldCom, elle demeure une référence incontournable pour les entreprises cotées aux États-Unis.
Nous savons que son objectif est clair : garantir la fiabilité des informations financières et protéger les actionnaires. Pourtant, le paysage a bien changé en deux décennies. L’arrivée de l’intelligence artificielle et les évolutions réglementaires récentes imposent une nouvelle lecture de cette loi emblématique.
En bref :
- Évolutions réglementaires : La SEC réforme les seuils de reporting et les fréquences de déclaration, tandis qu’un nouveau « SOX Group » dédié renforce la surveillance interne au détriment du PCAOB.
- Défis de l’intelligence artificielle : L’usage croissant de l’IA dans les processus financiers impose une documentation rigoureuse et une gouvernance stricte pour pallier les erreurs et les risques de dérive.
- Automatisation et coûts : Face à l’inflation des budgets et du temps de travail, les entreprises adoptent désormais une surveillance continue des données via le process mining pour garantir leur conformité.
La responsabilité directe des dirigeants
La loi SOX a instauré un principe fondateur : la responsabilité personnelle. Nous ne parlons pas d’une simple formalité administrative.
La section 302 oblige le directeur général (CEO) et le directeur financier (CFO) à certifier l’exactitude des états financiers et l’efficacité des contrôles internes.
La section 404 exige une attestation annuelle de ces mêmes contrôles par un auditeur externe. Mais la sanction la plus lourde se trouve ailleurs.
La section 906 prévoit jusqu’à 20 ans de prison et 5 millions de dollars d’amende en cas de certification frauduleuse. Cette épée de Damoclès structure la gouvernance de toutes les entreprises cotées.
Un environnement réglementaire en pleine évolution
Le cadre américain se transforme rapidement. Le 19 mai 2026, la SEC a proposé une refonte majeure des catégories de déclarants.
Le seuil du statut de large accelerated filer passerait de 700 millions à 2 milliards de dollars de flottant. Environ 80 % des entreprises cotées deviendraient ainsi des non-accelerated filers, exemptées de l’attestation d’auditeur prévue par la section 404(b).
Quelques jours plus tôt, le 5 mai 2026, la SEC a publié une proposition autorisant le reporting semestriel optionnel via le nouveau formulaire 10-S, en remplacement des trois rapports trimestriels.
En parallèle, l’Institute of Internal Auditors (IIA) a publié le 17 mars 2026 des recommandations pour intégrer officiellement la fonction d’audit interne dans le cadre SOX.
L’intelligence artificielle, nouveau défi des contrôles internes
L’IA n’est plus un sujet théorique. Les agents d’IA produisent des écritures comptables, modifient des flux dans les ERP et analysent des données financières.
Ces outils apprennent en continu et s’adaptent seuls, ce qui fragilise la séparation des tâches et la traçabilité.
Une étude KPMG de 2025 révèle des chiffres préoccupants côté États-Unis :
- 44 % des employés utilisent l’IA en violation des politiques de leur entreprise.
- 57 % ont commis des erreurs dues à l’IA.
- 58 % se fient à l’IA sans en évaluer l’exactitude.
Les régulateurs attendent désormais une documentation détaillée sur ces systèmes. Le comité d’audit doit pouvoir expliquer comment l’IA est gouvernée et démontrer que les risques de dérive sont maîtrisés.
Le contrôle continu, nouveau standard de conformité
Les temps ont changé. Les audits trimestriels ou annuels ne suffisent plus.
Nous voyons émerger des plateformes de surveillance en temps réel. L’alliance entre Celonis et Deloitte, annoncée le 6 mai 2026, illustre cette tendance avec le lancement du « Celonis SOX and Internal Controls Manager by Deloitte ».
Leur solution associe le process mining et l’IA pour automatiser la détection des violations de contrôles internes, en remplaçant les tests d’échantillonnage manuels par une surveillance continue des données transactionnelles.
Cette approche réduit la charge de travail manuel et sécurise la conformité au fil de l’eau.
Calendrier et chiffres clés de la conformité SOX
Les échéances SOX rythment l’année fiscale. Les grandes entreprises remettent leur rapport annuel 60 à 90 jours après la clôture.
Selon l’enquête KPMG 2025 (données de l’exercice fiscal 2024) :
- Le coût moyen d’un programme SOX atteint désormais 2,3 millions de dollars, contre 1,6 million en 2022 (+44 %).
- Il mobilise environ 15 580 heures de travail par an, contre 11 800 heures en 2022 (+32 %).
- Le principal moteur de cette inflation est l’élargissement du périmètre : le nombre moyen de systèmes couverts a plus que doublé en deux ans.
Cette inflation explique pourquoi les directions financières cherchent à automatiser toujours plus.
La SEC crée un groupe répressif dédié à SOX
Dès le 16 mars 2026, la SEC a publié ses premières offres d’emploi pour un nouveau groupe répressif entièrement dédié à la conformité SOX, officiellement présenté lors de la conférence SEC Speaks des 19 et 20 mars 2026.
Baptisé SOX Group, il est rattaché à la Division of Enforcement. Sa mission : traquer les violations des normes d’audit et des dispositions de la loi Sarbanes-Oxley.
Ryan Wolfe, chef comptable de la Division Enforcement qui supervise le nouveau groupe, a confirmé lors de cette conférence que celui-ci recrute activement des comptables et avocats spécialisés.
Cette initiative signale une surveillance renforcée. Elle intervient alors que :
- le budget global du PCAOB a été réduit de 9,4 % pour 2026 (approuvé par la SEC le 22 janvier 2026), avec une baisse de 18,4 % de sa accounting support fee ;
- les effectifs de la SEC elle-même ont diminué d’environ 15 % depuis début 2025, avec des baisses atteignant jusqu’à 40 % dans certaines divisions.
Le message est clair : la SEC reprend la main sur la qualité de l’audit, y compris en interne.
SOX va-t-elle disparaître ? Le sort mouvant du PCAOB
Cette montée en puissance du SOX Group ne sort pas de nulle part. Elle s’inscrit dans un bras de fer plus large sur l’avenir du PCAOB, l’organisme créé par SOX pour superviser les auditeurs.
- En 2025, une disposition du One Big Beautiful Bill Act proposait de supprimer purement et simplement le PCAOB et de transférer toutes ses fonctions à la SEC, sous une nouvelle entité baptisée Office of Public Accounting Oversight.
- Le texte a été adopté par la Chambre des représentants le 22 mai 2025, mais la disposition sur le PCAOB a été jugée irrecevable par le Parlementaire du Sénat le 19 juin 2025 (règle dite « Byrd Rule »), car elle relevait d’un changement de politique et non d’un simple ajustement budgétaire.
- Le PCAOB a donc survécu, mais dans un format affaibli : budget réduit de 9,4 % en 2026, rémunération de ses dirigeants amputée de 42 à 52 %, et une partie croissante de la surveillance des auditeurs qui bascule de facto vers le nouveau SOX Group de la SEC.
En clair : la loi SOX elle-même n’est pas remise en cause, mais l’architecture institutionnelle qui la fait appliquer est en pleine recomposition.
Les entreprises cotées doivent donc suivre de près non seulement les textes de loi. Mais aussi le rapport de force entre PCAOB et SEC, qui influence directement la nature et l’intensité des contrôles à venir.
FAQ : les questions que vous vous posez sur SOX en 2026
Toutes les entreprises cotées sur un marché américain, y compris les filiales de groupes étrangers, ainsi que les cabinets d’audit qui les certifient. Les sociétés européennes inscrites à la SEC sont directement visées.
Elle impose à la direction de documenter et tester chaque année ses contrôles internes. Pour les large accelerated filers (flottant supérieur à 700 millions de dollars, bientôt peut-être 2 milliards), un auditeur externe doit attester de leur efficacité. Cette double validation suscite des débats en raison de son coût élevé.
Selon l’enquête KPMG 2025 (données FY2024), le budget annuel moyen atteint 2,3 millions de dollars et mobilise 15 580 heures de travail, soit une hausse de 44 % et 32 % par rapport à 2022.
Trois chantiers majeurs. La SEC a proposé le 19 mai 2026 de relever le seuil large accelerated filer à 2 milliards de dollars, exemptant ainsi 80 % des entreprises de l’attestation 404(b). Le 5 mai 2026, elle a proposé un reporting semestriel optionnel via le formulaire 10-S. Enfin, l’IIA a publié le 17 mars 2026 des recommandations pour intégrer l’audit interne dans SOX.
L’IA automatise les écritures et les rapprochements. Mais 44 % des employés utilisent l’IA en violation des politiques internes. 57 % ont commis des erreurs dues à l’IA. Et 58 % se fient à l’IA sans en évaluer l’exactitude, selon KPMG. Les régulateurs exigent une documentation détaillée sur les algorithmes utilisés.
Oui. La loi SOX protège les lanceurs d’alerte contre toute forme de représailles, y compris le licenciement. Les entreprises doivent proposer un canal de signalement confidentiel.
