Audit crypto

L'auditeur commence par lire la chaîne. À partir d'une adresse publique, un explorateur de blocs montre le solde à la date de clôture, et c'est un élément probant que l'actif existe. Le solde affiché n'est pas un élément probant que le client le détient.

La propriété se teste en demandant au client de faire quelque chose que seul le détenteur de la clé peut faire. Les procédures habituelles sont un message cryptographique signé avec la clé, que l'auditeur vérifie ensuite par rapport à l'adresse publique, ou un petit transfert vers une adresse désignée par l'auditeur, observé sur la chaîne. L'ISACA présente ces procédures par assertion d'audit, dont un message signé comme élément probant de l'assertion relative aux droits. Les deux tests ont une limite à connaître: ils prouvent qu'une personne ayant accès a signé à ce moment, et non que le client est la seule partie à avoir accès, et c'est pourquoi l'auditeur examine aussi qui détient le matériel de clé et comment un transfert est autorisé.

Établir l'exhaustivité est plus difficile, car des wallets non déclarés peuvent manquer dans les registres du client. Avec une banque, l'auditeur peut demander à l'établissement tous les comptes au nom du client. Sur une chaîne publique, il n'existe pas de tel registre: une adresse est un nombre, et un wallet non déclaré du client ressemble exactement à celui d'un inconnu.

Les procédures partent donc du côté du client. L'auditeur obtient la liste de chaque relation avec une plateforme, un dépositaire ou un protocole pendant la période, confirme chacune et trace les adresses issues de ces relations. L'analyse des transactions teste ensuite si l'ensemble déclaré est plausible: des fonds qui quittent un wallet connu vers une adresse qui n'apparaît jamais dans les registres constituent le signal d'alerte. CBIZ relève la même exigence, y compris pour les wallets au solde nul en fin de période qui ont été actifs pendant l'année, qu'une approche fondée sur les seuls soldes manquerait entièrement.

Lorsque le client recourt à un dépositaire réglementé, l'audit paraît plus familier, et la confirmation n'est qu'un début. Le dépositaire confirme l'avoir, et cette confirmation répond à l'existence et aux droits, et l'auditeur doit ensuite décider s'il peut s'appuyer sur les contrôles propres du dépositaire.

Cette décision repose sur un rapport d'organisation de services, un SOC 1 ou un rapport d'assurance équivalent sur l'environnement de contrôle du dépositaire, qui couvre la génération des clés, la ségrégation des actifs des clients et l'autorisation des transferts. L'auditeur lit le rapport, vérifie que sa période couvre l'exercice du client et que les contrôles testés sont ceux dont le client dépend, et identifie les contrôles que le rapport attend du client de son côté. Un dispositif de conservation change aussi la question comptable, puisqu'une créance sur un dépositaire est un actif différent d'un coin que le client contrôle, et la conservation crypto présente ces dispositifs.

L'auditeur ne valorise pas la position; il teste la politique qui l'a valorisée. Cela veut dire la politique de valorisation écrite, la source et l'horodatage qu'elle désigne, les preuves conservées des prix effectivement utilisés, et le journal des exceptions où la politique a basculé vers une source de repli.

Pour une position évaluée sur la base du jugement, les tests vont plus loin dans le modèle et ses paramètres. La valorisation des actifs numériques présente la politique du point de vue de celui qui établit les comptes, et la comptabilité des actifs numériques la base d'évaluation que la politique doit servir.

Il n'existe pas de norme d'audit propre aux cryptos. L'audit se déroule selon les normes habituelles, le travail spécifique aux cryptos relevant de l'ISA 500 sur les éléments probants et de l'ISA 540 sur les estimations, où se teste une valorisation fondée sur le jugement. Pour un audit légal allemand, l'IDW publie la doctrine pratique que suit la profession, et l'audit lui-même s'inscrit dans le cadre décrit sous audit financier en Allemagne.

Concrètement, cela signifie que personne ne peut invoquer une règle qui valide une procédure particulière. L'auditeur doit juger si un message signé constitue un élément probant suffisant et approprié dans les circonstances, documenter ce jugement et le défendre lors d'une inspection.

Deux choses différentes partagent le mot audit, et les confondre a coûté de l'argent à des gens. Un audit de sécurité de smart contract est une revue de code: des spécialistes lisent un contrat à la recherche de failles exploitables et publient un rapport sur le code. L'audit de sécurité du smart contract ne dit rien des états financiers de qui que ce soit, et il n'est pas réalisé par un commissaire aux comptes.

Un audit des états financiers donne une opinion sur l'absence d'anomalies significatives dans un jeu de comptes. Les deux se rejoignent en un point: lorsque les actifs d'un client se trouvent dans un protocole, l'auditeur financier peut prendre en compte la revue de code pour comprendre le risque, et cela reste le jugement propre de l'auditeur. Un communiqué annonçant qu'un protocole est audité est une déclaration sur le code, et le lire comme une assurance sur les réserves ou la solvabilité est l'erreur qu'examine la preuve de réserves.

Les détenteurs devraient préparer cinq éléments avant l'audit, car les rassembler plus tard augmente le coût. Préparez la liste complète des wallets, comptes de plateforme, dépositaires et protocoles utilisés pendant l'année, y compris ceux fermés ou vidés. Documentez qui détient le matériel de clé et qui peut autoriser chaque transfert. Fournissez la politique de valorisation datée d'avant la période et l'historique complet des transactions rapproché du grand livre. Joignez le rapport d'organisation de services du dépositaire lorsque l'audit s'appuie sur ce rapport.

Un auditeur qui ne peut obtenir d'éléments probants suffisants sur l'existence ou l'exhaustivité doit modifier son opinion, et une opinion avec réserve sur un avoir crypto pose problème auprès des investisseurs d'un fonds et de son superviseur bien avant de poser problème dans les comptes.