ANNEXE
CONVENTION DE DÉLÉGATION PAR LE HAUT CONSEIL DU COMMISSARIAT AUX COMPTES À LA COMPAGNIE NATIONALE DES COMMISSAIRES AUX COMPTES DE LA RÉALISATION DES CONTRÔLES DE L'ACTIVITÉ PROFESSIONNELLE DES COMMISSAIRES AUX COMPTES N'EXERÇANT PAS DE MISSIONS AUPRÈS D'ENTITÉS D'INTÉRÊT PUBLIC

Entre :
Le Haut Conseil du commissariat aux comptes (H3C), représenté par sa présidente, Mme Florence Peybernès
Ci-après désigné « le délégant »
Et :
La Compagnie nationale des commissaires aux comptes (CNCC), représentée par son président, M. Yannick Ollivier
Ci-après désignée « le délégataire »
Vu la directive 2006/43/CE du Parlement européen et du Conseil du 17 mai 2006 concernant les contrôles légaux des comptes annuels et des comptes consolidés, modifiée par la directive 2014/56/UE, puis par la directive 2022/2464 du Parlement européen et du Conseil du 14 décembre 2022 notamment ses articles 29, 32.4, 32.4 ter et 36 ;
Vu le code de commerce, notamment ses articles L. 820-1, L. 821-1, L. 821-9 à L. 821-12-1 et R. 821-26, R. 821-69 à R. 821-76 ;
Vu la convention du 12 avril 2017, homologuée par arrêté du garde des sceaux, ministre de la justice, du 25 avril 2017, déléguant à la CNCC la réalisation des contrôles de l'activité professionnelle des commissaires aux comptes n'exerçant pas de missions auprès d'entités d'intérêt public ;
Vu la décision du collège du H3C en date du 6 avril 2023 approuvant la présente convention et autorisant sa présidente à la signer ;
Vu la délibération du Conseil national de la CNCC en date du 6 avril 2023 approuvant la présente convention et autorisant son président à la signer ;
Il a été convenu ce qui suit :

Préambule

En application du 5° du I de l'article L. 821-1 du code de commerce, le H3C « définit le cadre et les orientations des contrôles prévus à l'article L. 821-9 [du même code] ; il en supervise la réalisation et peut émettre des recommandations dans le cadre de leur suivi ».
En application de l'article L. 821-9 du code précité, les contrôles de l'activité professionnelle des commissaires aux comptes sont effectués par les contrôleurs du H3C. Toutefois, en application du 3° du II de l'article L. 821-1 et du deuxième alinéa de l'article L. 821-9 de ce code, la réalisation des contrôles de l'activité professionnelle des commissaires aux comptes n'exerçant pas de missions auprès d'entités d'intérêt public peut être déléguée par le H3C à la CNCC.
Lors de la réunion de son collège le 21 juillet 2016, le H3C a décidé de déléguer à la CNCC la mission précitée.
Le 12 avril 2017, les présidents du H3C et de la CNCC ont signé une convention de délégation qui a été homologuée par arrêté du garde des sceaux, ministre de la justice le 25 avril 2017.
Cette convention d'une durée de trois années a été tacitement reconduite pour une nouvelle période de trois ans.
A l'issue de cette période de 6 années d'exercice de la délégation par la CNCC, le H3C a estimé opportun de procéder à l'actualisation de la convention au regard de sa mise en œuvre pratique et de l'évolution des textes.
Par décision en date du 6 avril 2023, le collège du H3C a approuvé la présente convention et a autorisé sa présidente à la signer.
Par délibération en date du 6 avril 2023, le Conseil national de la CNCC a approuvé la présente convention et a autorisé son président à la signer.

Article 1er
Cadre, orientations et modalités des contrôles

Le cadre et les modalités des contrôles sont définis par le délégant et publiés sur son site internet. Le délégant définit également chaque année les orientations des contrôles.
En application du cadre ainsi défini, le contrôle porte sur un « cabinet », également dénommé « unité de contrôle ». Il s'agit d'une structure d'exercice ou d'un ensemble de structures d'exercice de commissariat aux comptes, inscrites (personnes physiques et morales) et titulaires de mandats de commissariat aux comptes, partageant des procédures communes. Un cabinet est dit « cabinet non EIP » lorsqu'aucune de ses structures d'exercice n'exerce de missions auprès d'entités d'intérêt public. Ces dernières sont définies par l'article L. 820-1 III du code de commerce.
Les contrôles des cabinets ont pour finalité de s'assurer que la confiance accordée par les marchés, les utilisateurs des comptes et l'ensemble des parties prenantes aux interventions des commissaires aux comptes est justifiée. Ils sont adaptés en fonction d'une analyse des risques du cabinet, de son activité et de son organisation. A cette fin, les contrôles sont réalisés conformément aux dispositions des articles R. 821-71 et R. 821-75 du code de commerce. Les contrôles sont réalisés selon une palette de modalités au cours d'un cycle de contrôle.

Article 2
Etablissement de la liste annuelle des « cabinets non EIP » dont le contrôle est délégué

Le choix des cabinets à inscrire au contrôle est réalisé par le délégant, notamment à la suite d'une analyse des risques.
A cette fin, chaque année le délégataire adresse au délégant les données utiles, identifiées par ce dernier, contenues notamment dans les déclarations d'activité établies par les commissaires aux comptes conformément à l'article R. 821-26 du code de commerce, ainsi que toute information jugée pertinente.
La liste des cabinets inscrits au programme annuel de contrôle « non EIP » est soumise au délégataire aux fins de recueillir auprès de lui toute information utile dont il aurait connaissance dans le cadre de son concours à la surveillance de la profession visé à l'article L. 821-6 du code de commerce.
A la suite des résultats de cette consultation, le délégant arrête une liste de cabinets inscrits au programme annuel de contrôle « non EIP » dont la réalisation est, sous réserve de la précision apportée au paragraphe suivant, soit confiée au délégataire, soit effectuée par les contrôleurs du délégant. Cette liste est communiquée au délégataire.
Le délégant peut décider, à tout moment, d'ajouter à la liste ainsi arrêtée le nom d'un cabinet « non EIP » dont le contrôle devra être effectué par le délégataire ou de réaliser lui-même le contrôle d'un cabinet figurant sur la liste.
La présente convention de délégation s'applique uniquement aux contrôles des « cabinets non EIP » dont la réalisation est confiée au délégataire.

Article 3
Tâches déléguées

Le délégant confie au délégataire l'exécution de toutes les tâches relatives à la réalisation des contrôles des « cabinets non EIP » inscrits au programme annuel de contrôle « non EIP » établi conformément à l'article 2, dont il décide de ne pas assurer lui-même le contrôle.
Ces tâches, dont la description figure en annexe 1, comprennent :

- la réalisation des opérations de contrôles sur pièces ou sur place, que le délégataire confie à des contrôleurs, professionnels en exercice, désignés sur une liste conformément au 4.1 ;
- la gestion des contrôleurs délégués ;
- la préparation des opérations de contrôle ;
- la revue des opérations de contrôle effectuées par les contrôleurs ;
- la conservation des dossiers de contrôle ;
- le suivi de l'exécution du programme annuel et de l'exécution du budget ;
- les comptes rendus de la réalisation des contrôles exécutés.

Article 4
Mise en œuvre des tâches déléguées
4.1. Conditions

Le délégataire :

a. Réalise les contrôles dans le respect des conditions légales et réglementaires, du cadre, des orientations et des modalités définis par le délégant, et diffuse auprès des contrôleurs désignés les outils de contrôle et les modèles de rapport arrêtés par le délégant ;
b. Elabore un document décrivant les modalités d'exécution de chacune des tâches déléguées et la manière dont il entend garantir la qualité des opérations effectuées par les contrôleurs, qu'il soumet au délégant. Ce document pourra être révisé périodiquement ;
c. Transmet au délégant les informations dont il a connaissance qu'il juge pertinentes concernant les cabinets à contrôler et plus particulièrement, celles relatives :

- aux dernières déclarations d'activités annuelles ;
- aux structures d'exercice composant le cabinet et aux commissaires aux comptes y exerçant ;
- à la nature des mandats détenus par le cabinet ;

d. Adresse au délégant toutes informations que ce dernier juge pertinentes pour la bonne réalisation des contrôles ;
e. Analyse et traite toute difficulté relative à la réalisation du contrôle d'un cabinet inscrit au programme et soumet au délégant les cas nécessitant de modifier la programmation ;
f. Etablit une liste de contrôleurs présentant toute garantie de compétence, de professionnalisme et respectant les règles de déontologie professionnelle. Cette liste, révisée annuellement, est transmise au délégant au plus tard le 31 mars de chaque année afin d'arrêter une liste définitive en accord avec celui-ci au plus tard le 30 avril de chaque année ;
g. Désigne, parmi les membres du bureau de la commission nationale du contrôle d'activité du délégataire ou parmi ses propres collaborateurs, des formateurs disposant de compétences pour dispenser aux autres contrôleurs - sur la base de supports de formations élaborés en accord avec le délégant - une formation annuelle portant sur les méthodes de contrôle, à laquelle le délégant peut assister ;
h. Affecte chaque contrôleur au contrôle d'un ou plusieurs cabinets inscrits au programme, et informe le délégant régulièrement de ces affectations afin de permettre à ce dernier de solliciter d'éventuelles modifications de désignation dans les quinze jours suivant cette information ;
i. Veille en toute circonstance à éviter une affectation plaçant un contrôleur en situation de conflit d'intérêts avec le ou les cabinets qu'il est chargé de contrôler et exige de chaque contrôleur une déclaration d'indépendance vis-à-vis du ou des cabinets à contrôler ainsi que le respect des règles de déontologie. Cette exigence s'applique également aux personnes participant à la réalisation des tâches déléguées, dont une liste est communiquée au délégant. Lors de l'affectation, une vigilance particulière sera apportée pour éviter une proximité géographique entre le contrôleur et le contrôlé notamment dans des zones à faible densité de professionnels ou de forte concurrence ;
j. Rémunère les contrôleurs sur la base d'un taux horaire et d'un nombre d'heures fixés, conformément à l'article 8.1 ci-après ;
k. Tient compte des instructions données par le délégant en ce qui concerne les approches de contrôle et la rédaction des projets de pré-rapport. Ces derniers doivent être précis, argumentés et contenir tous les éléments au soutien de la démonstration. Les approches de contrôle et les projets de pré-rapports sont communiqués au délégant lors de la revue par le délégataire des opérations de contrôle effectuées par les contrôleurs, dans les cas décrits au 3 de l'annexe 1 ;
l. Transmet au délégant les rapports définitifs de contrôle dès leur notification au cabinet contrôlé ;
m. Transmet au délégant chaque année le rapport sur les contrôles réalisés, visé à l'article R. 821-26 du code de commerce, au plus tard le 28 février de chaque année pour la partie relative à l'activité et au plus tard le 15 mai de chaque année pour la partie concernant les résultats des contrôles, après définition des composantes de ce rapport en concertation avec le délégant.

4.2. Moyens

Le délégataire se dote de moyens et de ressources appropriés pour réaliser les tâches déléguées. Il informe le délégant de toute difficulté ne lui permettant pas de les réaliser.
Sans préjudice de l'alinéa 3 du 8.2, le délégataire peut recourir au personnel des compagnies régionales pour la gestion administrative des tâches déléguées.

Article 5
Secret professionnel - confidentialité - déontologie - protection des données à caractère personnel
5.1. Secret professionnel

En application de l'article L. 821-3-3 du code de commerce, le délégataire, son personnel, les contrôleurs ainsi que toutes les personnes qui participent, à quelque titre que ce soit, même occasionnellement, à la réalisation des contrôles et des tâches associées sont tenus au secret professionnel pour les faits, actes et renseignements dont ils ont pu avoir connaissance en raison de l'exécution de la présente convention. Le délégataire met en œuvre les moyens nécessaires au respect de ces obligations par les personnes participant à la réalisation des tâches déléguées. Ces dernières signent à cet effet une déclaration d'indépendance mentionnée au 4.1 i.

5.2. Confidentialité

Tous documents et informations non publics dont ont connaissance les personnes participant à la réalisation des tâches déléguées dans le cadre de la présente délégation sont confidentiels. Le délégataire met en œuvre les moyens nécessaires au respect de ces obligations par les personnes participant à la réalisation des tâches déléguées. Elles signent à cet effet une déclaration d'indépendance mentionnée au 4.1 i.

5.3. Déontologie

Les personnes participant à la réalisation des tâches déléguées s'engagent à respecter les règles déontologiques professionnelles figurant dans le règlement intérieur du H3C qui leur sont applicables et à déclarer au délégataire toute situation de nature à affecter leur indépendance ou leur objectivité. Le délégataire met en œuvre les moyens nécessaires au respect de ces obligations par les personnes participant à la réalisation des tâches déléguées. Elles signent à cet effet une déclaration d'indépendance mentionnée au 4.1 i.

5.4. Protection des données à caractère personnel

Les données à caractère personnel traitées dans le cadre de la présente délégation sont encadrées par la loi n° 78-17 du 6 janvier 1978 dite loi « Informatique et Libertés » et par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (dit « RGPD »).
Au sens du RGPD, le délégant est qualifié de responsable de traitement, le délégataire est qualifié de sous-traitant.
Le délégataire s'engage à traiter les données à caractère personnel dans le respect des dispositions de la loi Informatique et Libertés et du RGPD et en particulier des dispositions prévues par l'article 28 relatif à la sous-traitance. Le traitement est décrit en annexe 2 à la présente convention.
Conformément aux dispositions prévues par l'article 30 du RGPD, le délégataire tient un registre de toutes les catégories d'activités de traitement effectuées pour le compte du délégant.
Conformément à l'article 32 du RGPD, il met en œuvre les mesures et les moyens organisationnels et techniques propres à garantir la sécurité, l'intégrité et la confidentialité des données auxquelles il a accès. Ces mesures sont décrites en annexe 3 à la présente convention.
Les échanges de données entre le délégant, le délégataire, son personnel, les contrôleurs ainsi que toutes les personnes qui participent, à quelque titre que ce soit, même occasionnellement, à la réalisation des contrôles et des tâches associées sont sécurisés.
Le délégataire aide le délégant à s'acquitter des obligations prévues par les articles 12 à 23 et 32 à 36 du RGPD.
Sur demande du délégant, le délégataire justifie des mesures et moyens mis en œuvre.
Les coordonnées des délégués à la protection des données du H3C et de la CNCC sont les suivantes :
Pour le délégant :
Délégué à la protection des données,
Haut Conseil du commissariat aux comptes,
104, avenue du Président-Kennedy, 75016 Paris.
Adresse email : dpd@h3c.org.
Pour de délégataire :
Délégué à la protection des données,
200-216, rue Raymond-Losserand, CS 70044, 75680 Paris Cedex 14.
Adresse email : protection.donnees@cncc.fr.

Article 6
Durée de conservation des documents

Les informations et documents liés à l'exercice de la délégation, dont la liste est déterminée en commun accord entre le délégant et le délégataire, sont conservés par le délégataire, dans des conditions permettant d'assurer le maintien de leur intégrité et de leur confidentialité, pendant une durée de 10 ans à compter de l'achèvement complet d'un programme annuel de contrôle, intervenant à la date de notification du dernier rapport définitif de contrôle.
Ils sont remis au délégant à l'issue de la délégation en l'absence de renouvellement. La remise doit s'accompagner de la destruction des toutes les copies existantes dans les systèmes d'information du délégataire. Le délégataire doit justifier par écrit de cette destruction.
En application du R. 821-74 du code de commerce, le président de la CNCC conserve copie des pièces et documents retraçant les opérations de contrôle, recueillis par les contrôleurs praticiens, pendant une durée de six ans à compter de la date d'émission du rapport définitif de contrôle dans des conditions permettant d'assurer le maintien de leur confidentialité. A l'issue de ce délai, il est procédé à leur destruction. Les pièces et documents seront précisés dans le document prévu à l'article 4.1 b.

Article 7
Suivi et contrôle de l'exécution de la délégation par le délégant
7.1. Modalités de suivi et de contrôle

Afin de permettre au délégant d'assumer la responsabilité finale de la supervision des contrôles des contrôleurs légaux des comptes et des cabinets d'audit conformément à l'article 32.4 a de la directive 2006/43/CE du 17 mai 2006 modifiée, le délégataire rend compte régulièrement au délégant et à sa demande, de la délégation en lui adressant un état d'avancement relatif à l'exécution matérielle des contrôles et aux coûts directs supportés à raison des travaux déjà réalisés par les contrôleurs.
Le délégataire rend également compte chaque année au délégant des difficultés rencontrées lors de l'exécution de la délégation, et plus particulièrement, celles relatives :

- aux contrôleurs délégués n'ayant pas respecté le cadre, les orientations ou les modalités de contrôle ;
- aux contrôleurs délégués n'ayant pas mené à terme leur mission ;
- aux cabinets ayant présenté un obstacle à contrôle.

A cet effet, il adresse au délégant, à la date fixée par l'article 4.1 m, une synthèse détaillant ces difficultés et des préconisations pour l'exécution des programmes futurs.
Le délégataire met tout en œuvre pour permettre au délégant d'exercer les contrôles requis en vue d'évaluer la bonne exécution de la délégation.
Le délégataire permet au délégant de réaliser un contrôle sur pièces et sur place. A ce titre, le délégataire permet l'accès du délégant à ses locaux, à toute base documentaire et tient à sa disposition tous les documents afférents à la réalisation des tâches déléguées. En application de l'article R. 821-26 du code de commerce, les documents retraçant les opérations menées au titre de cette convention sont transmis au directeur général du Haut Conseil à sa demande.
En tant que de besoin, le délégant et le délégataire se concertent en vue de la bonne exécution des tâches déléguées.

7.2. Clause particulière

En application de l'article 32.4 ter alinéa 3 de la directive 2006/43/CE du 17 mai 2006 modifiée, le délégant peut mettre fin à la délégation consentie mission par mission et au cas par cas.
Le délégant peut décider, à tout moment, sur certains cabinets et/ou mandats sélectionnés, de suivre en continu les contrôles délégués et d'échanger avec le(s) contrôleur(s) praticien(s). Conformément à l'avant dernier paragraphe de l'article 2, le délégant peut également décider, à tout moment, de reprendre à son compte un ou plusieurs contrôles délégués. Il en informe le délégataire.

Article 8
Cadre financier de la délégation
8.1. Cadre général

Les contrôleurs sont rémunérés sur la base d'un taux horaire et d'un nombre d'heures fixé, par cabinet, par le délégant en accord avec le délégataire.
Le délégataire établit et communique au délégant avant le 31 octobre N-1 :

- le descriptif des moyens à mettre en œuvre pour assurer le respect de ses obligations au titre de l'année N ;
- le projet de budget détaillé traduisant les coûts prévisionnels apparaissant nécessaires au regard de ce descriptif.

Au plus tard le 1er décembre N-1, le budget initial de l'année N est arrêté en concertation entre les parties.
Lorsque la liste définitive des cabinets inscrits au programme annuel de contrôle « non EIP » a été arrêtée, le délégataire rectifie le budget initial dans un délai maximal de 15 jours et communique ce budget rectificatif au délégant. Ce budget rectificatif détermine le montant maximum facturable au titre de l'année N, désigné par l'expression « montant annuel facturable ».
Le délégataire facture au délégant, hors champ d'application de la TVA, aux 31 mai, 1er septembre et 15 décembre de l'année N, une somme correspondant à un tiers du montant annuel facturable.
Au plus tard le 15 décembre N, le délégataire adresse au délégant une estimation des coûts engagés au titre de l'année N.
Au plus tard le 15 mars N+1, le délégataire adresse au délégant un décompte détaillé des coûts réels supportés par lui dans le cadre de la délégation et restitue, le cas échéant, au délégant les sommes perçues excédant ce décompte.
Le délégataire met à disposition du délégant, lorsque celui-ci en fait la demande, les pièces justificatives des coûts réels.

8.2. Révision du cadre financier

La révision du montant annuel facturable peut intervenir à la demande de l'une ou l'autre des parties, dès lors que les coûts constatés ou réestimés, sur la base de justificatifs ou d'analyses précises, s'écartent du montant budgété.
Le délégant et le délégataire s'efforcent de trouver un accord dans un délai de deux (2) mois, à compter de la demande de révision.
Ils se rapprochent régulièrement pour rechercher les conditions économiques optimales d'exécution de la délégation qui permettent de maintenir un niveau de qualité équivalent. Ils peuvent, le cas échéant, faire appel à un expert pour les aider dans cette recherche.

Article 9
Substitution dans les droits et obligations en cours

Sous réserve des dispositions du 7-2 de la présente convention, le délégataire est substitué au délégant dans tous ses droits et obligations relatifs à l'objet de la délégation défini à l'article 3 pendant la durée de celle-ci.

Article 10
Durée

La présente convention est conclue pour une durée de trois (3) ans, renouvelable par période de trois (3) ans, par tacite reconduction sauf dénonciation par l'une ou l'autre des parties par écrit au moins trois mois avant la date d'échéance de la convention.

Article 11
Révision - Résiliation de la convention
11.1. Révision

Le délégant et le délégataire conviennent de réviser les conditions et modalités de la délégation en cas de survenance d'un évènement extérieur, imprévisible et bouleversant l'économie de la convention.
Ils s'efforcent de trouver un accord sur la révision de la convention qui continue à s'appliquer pendant la période de négociation.
Toute modification à la présente convention fait l'objet d'un avenant.

11.2. Résiliation

La présente convention peut être résiliée d'un commun accord des parties, notamment si elles le décident en cas d'échec de la renégociation de la convention prévue au 11.1. Un avenant règle les conditions de cette résiliation ainsi que sa date d'effet.
Le délégant peut résilier la convention dans les cas suivants :

- en cas de reprise de l'ensemble des tâches déléguées. La décision de résiliation ne peut prendre effet qu'après un délai minimum de six (6) mois à compter de la date de sa notification, adressée au délégataire par lettre recommandée avec avis de réception ;
- en cas de manquement du délégataire à ses obligations au titre de la présente convention ou en cas de désaccord sur le montant annuel facturable défini au 8.1.

Un manquement peut être caractérisé soit en cas de fait d'une particulière gravité, soit en cas de faits dont le caractère récurrent est de nature à compromettre la bonne exécution de la mission déléguée.
En cas de manquement justifiant la résiliation pour faute du délégataire, le délégant envoie au délégataire, par lettre recommandée avec avis de réception, une lettre de mise en demeure précisant le ou les manquement(s) constaté(s) et exigeant de celui-ci qu'il remédie à ce(s) manquement(s) dans un délai fixé par le délégant apprécié en fonction de l'urgence de la situation, de la nature du manquement et des mesures correctrices à mettre en place. A l'expiration de ce délai, si le délégataire ne s'est pas conformé à ses obligations, le délégant lui notifie la résiliation de la convention, ainsi que sa date de prise d'effet.

Article 12
Responsabilité - Assurances

Le délégataire est responsable de la bonne réalisation des tâches déléguées dans le cadre de la présente délégation, quelles que soient les modalités retenues pour leur exécution.
Il fait son affaire personnelle de tous les risques, réclamations, litiges pouvant survenir en raison de l'exécution de la présente délégation.
Dans l'ensemble de ces cas, le délégataire informe le délégant par tous moyens.
Le délégataire souscrit auprès d'une ou plusieurs compagnies d'assurances, les garanties qui couvrent ces différents risques.

Article 13
Entrée en vigueur et dispositions transitoires

La présente convention entre en vigueur le lendemain de son homologation par le garde des sceaux.
La convention en date du 12 avril 2017 continue de produire ses effets jusqu'à l'entrée en vigueur de la présente convention.

Président de la CNCC,
Y. Ollivier

Présidente du collège du H3C,
F. Peybernès

Description des tâches déléguées autres que les opérations de contrôle confiées par le délégataire aux contrôleurs

1. La réalisation des opérations de contrôles sur pièces ou sur place

Le délégataire réalise le recrutement des contrôleurs, professionnels en exercice : en faisant l'appel à candidature auprès des professionnels, en se chargeant de la gestion des candidatures et de la vérification des critères de sélection précisés dans le cadre des contrôles. Il établit une liste de contrôleurs en précisant leur expertise ou compétence spécifique et la communique au délégant. Cette liste est révisée annuellement.

2. La gestion des contrôleurs délégués.

Le délégataire réalise :
2.1. La formation des contrôleurs : en préparant et animant la formation annuelle spécifique aux méthodes de contrôle dispensée aux contrôleurs par des formateurs désignés en accord avec le délégant ;
2.2. L'affectation des contrôleurs : en affectant chaque contrôleur en fonction de l'expertise requise pour le contrôle du ou des cabinets et après vérification de l'absence de conflits d'intérêts vis-à-vis du ou des cabinets à contrôler, en assurant la gestion des déclarations d'indépendance qu'il aura sollicitées auprès des contrôleurs et leur conservation, et en réglant les difficultés éventuelles d'affectation en accord avec le délégant.

3. La préparation des opérations de contrôle

Le délégataire prépare les opérations de contrôle en assurant :
3.1. La mise au contrôle des cabinets inscrits au programme annuel de contrôle : préparation, gestion et transmission des courriers de mise au contrôle et des demandes d'information préalables nécessaires au contrôle (confirmation du périmètre du cabinet et envoi des Questionnaires d'Informations Préalables et de ses annexes), traitement administratif des informations recueillies auprès de chaque cabinet et remontée mensuelle au délégant de l'avancement de la mise au contrôle des cabinets et des informations utiles nécessitant une mise à jour de la programmation ;
3.2. La préparation des informations nécessaires au contrôle : par le recueil des documents nécessaires et leur transmission aux contrôleurs, l'allocation des heures de contrôle en fonction du barème attribué par le délégant, la gestion des lettres de mission adressées aux contrôleurs ;
3.3. La communication aux cabinets du contrôleur affecté et la centralisation de la planification des interventions sur place arrêtée par les contrôleurs : par la transmission aux cabinets de l'identité des contrôleurs désignés pour réaliser les vérifications sur place, la gestion des récusations éventuelles, le suivi des dates d'intervention et remontée mensuelle des informations de planification au délégant.

4. La revue des opérations de contrôle effectuées par les contrôleurs

Le délégataire réalise :
4.1. La revue de l'approche des contrôles préparée par les contrôleurs : en revoyant la préparation du contrôle préconisée par les contrôleurs et en communiquant au délégant les cas nécessitant un arbitrage, des instructions complémentaires, le cas échéant, et la validation du nombre d'heures à y consacrer. Il gère les difficultés rencontrées par le contrôleur au cours des opérations de contrôle ;
4.2. La revue des restitutions des résultats préparées par les contrôleurs et leur notification : en vérifiant la cohérence et la lisibilité des projets de pré-rapports de contrôle, en alertant le délégant et en lui communiquant les cas faisant état de faits susceptibles de constituer des manquements, en organisant la mise en œuvre de la procédure contradictoire avec les cabinets, son respect par les contrôleurs, ainsi que la notification des rapports de contrôle aux cabinets, le suivi des opérations de restitution, et l'envoi au délégant des restitutions définitives notifiées au cabinet.

5. La conservation des dossiers de contrôle

Après harmonisation du contenu des dossiers de contrôle, y compris de la documentation de tout élément justifiant les points mentionnés dans le rapport, le délégataire se fait remettre les dossiers par les contrôleurs en fin de contrôle et procède à leur archivage. Le contenu des dossiers de contrôle est précisé dans le document prévu à l'article 4.1 b.

6. Le suivi de l'exécution du programme annuel et de l'exécution du budget

Le délégataire assure le suivi du déroulement des contrôles, des délais de réalisation de ceux-ci, du temps passé par les contrôleurs, en identifiant les causes de dépassements du nombre d'heures initialement fixé. Il évalue la qualité des travaux des contrôleurs, suit l'indemnisation des contrôleurs, la facturation et les dépenses engagées pour la réalisation des contrôles et communique en tant que de besoin un état d'avancement de l'exécution du programme annuel.

7. Le compte rendu de la réalisation des contrôles effectués

Le délégataire exploite les restitutions de contrôle selon des indicateurs arrêtés en accord avec le délégant et établit un rapport sur les contrôles réalisés tel que prévu par l'article R. 821-26 du code commerce.

Description du traitement

Base juridique du traitement :
Le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le H3C [article 6 (1) e du RGPD].
Cette mission d'intérêt public est prévue par les textes qui suivent :

- directive 2006/43/CE du Parlement européen et du Conseil du 17 mai 2006 modifiée concernant les contrôles légaux des comptes annuels et des comptes consolidés, notamment son article 29 ;
- code de commerce, notamment ses articles L. 821-1, L. 821-9 et R. 821-69 à R. 821-76.

Catégories de personnes concernées dont les données à caractère personnel sont traitées :
Sont concernés :

- contrôleurs délégués ;
- associés et collaborateurs du cabinet contrôlé ;
- correspondants régionaux de la CNCA (commission nationale du contrôle qualité) et membres de la CNCA.

Catégories de données à caractère personnel traitées :

- commissaires aux comptes contrôlés : coordonnées, vie professionnelle, données figurant sur les documents ou supports d'information dont les contrôleurs peuvent prendre copie ou obtenir communication dans l'exercice de leurs missions (vie personnelle, vie professionnelle) ; éléments figurant dans la déclaration d'activité ;
- contrôleurs délégués : identité, coordonnées internes, dossiers traités, échanges relatifs aux dossiers instruits, historique des demandes traitées, statistiques ;
- interlocuteurs de la CNCC, membres de la CNCA et correspondants régionaux de la CNCA : nom, prénom, mail ;

Nature du traitement :
Les tâches déléguées à la CNCC consistent à exécuter toutes les tâches relatives à la réalisation des contrôles des « cabinets non EIP » inscrits au programme annuel de contrôle « non EIP ». Ces tâches sont décrites à l'article 3 de la présente convention.
Finalité(s) pour laquelle (lesquelles) les données à caractère personnel sont traitées pour le compte du H3C :
Le traitement a pour finalité la réalisation des contrôles de l'activité professionnelle des commissaires aux comptes n'exerçant pas de missions auprès d'entités d'intérêt public, mission déléguée par le H3C à la CNCC.
Durée du traitement :
La durée du traitement est limitée à la durée de la convention de délégation incluant celle de ses renouvellements.
Durée de conservation de données :
Cf. article 6 de la présente convention

Mesures techniques et organisationnelles, y compris celles visant à garantir la sécurité des données

Infrastructure de production :

- chiffrement de toutes les transmissions ;
- chiffrement des mots de passe des utilisateurs ;
- chiffrement des pièces justificatives avant stockage ;
- hébergement dans un data center aux normes SOC 1 Type II, SOC 2 Type II, ISO 27001, PCI DSS, HDA, ISO 45001, ISO 9001 : 2015, ISO 22301, ISO 14001, ISO 50001 ;
- redondance des infrastructures ;
- réplication des données en temps réel ;
- sauvegarde externe sécurisée ;
- utilisation d'automates de configuration sécurisés.

Application :

- gestion des authentifications et des habilitations par périmètre d'utilisateur dans l'application ;
- silotage des données dans Aglae permettant une réversibilité des données et une suppression du module ;
- chiffrement de tous les transferts de données.

Informatique interne :

- gestion des authentifications et habilitations ;
- chiffrement de tous les transferts de données ;
- chiffrement des disques des ordinateurs des acteurs en charge du traitement des données.