Attestation vs audit de stablecoin : ce que prouvent vraiment les rapports de réserves

Pourquoi les rapports de réserves des stablecoins prêtent presque toujours à confusion

Si vous avez déjà comparé USDC, USDT, BUSD ou TUSD en essayant de déterminer lequel est le plus sûr, vous vous êtes probablement heurté à un mur. Chaque émetteur affirme être adossé à des réserves. Chaque émetteur publie un rapport. Et chaque émetteur qualifie ce rapport, dans sa communication, d'audit. Or, il ne s'agit pas de la même chose, et l'écart entre les deux est suffisamment important pour modifier votre perception du risque lié à la détention d'un stablecoin.

Cette confusion n'est pas fortuite. Les termes audité, vérifié, attesté et examiné sont employés de manière interchangeable dans les supports marketing, alors qu'ils désignent des prestations comportant des degrés d'examen très différents. Un audit avec assurance raisonnable, le type d'audit que la plupart des lecteurs imaginent en entendant ce mot, exige qu'un cabinet comptable réunisse des éléments probants, teste les contrôles internes, procède à des sondages sur les transactions et délivre une opinion formelle. Une attestation, en revanche, peut être une mission beaucoup plus restreinte, dans laquelle le cabinet n'exprime qu'un niveau de confiance limité, souvent sur une seule date, à l'aide d'un ensemble restreint de procédures.

Comprendre cette différence est important, car les stablecoins détiennent au total des milliers de milliards de dollars de fonds utilisateurs et ont déjà connu des défaillances. L'effondrement de TerraUSD en 2022 a montré que les affirmations algorithmiques de respaldo n'avaient aucune valeur dès que la confiance se rompait. L'épisode du BUSD émis par Paxos a révélé un autre problème : un émetteur dont les réserves étaient attestées plutôt qu'auditées, et dont le régime d'attestation a tout simplement pris fin lorsque les régulateurs sont intervenus. Si vous détenez des stablecoins, vous vous fiez à la déclaration de l'émetteur concernant sa propre solvabilité. Le niveau de vérification indépendante qui sous-tend cette affirmation fait toute la différence entre la simple confiance et une véritable vérification.

Les vrais risques de confondre une attestation avec un audit

Le premier risque est la fausse impression de sécurité. Lorsque Circle publie un rapport et que la presse parle d'un audit, le lecteur suppose raisonnablement qu'un cabinet comptable a examiné chaque transaction, testé chaque contrôle et conclu à la solvabilité de l'USDC. Or, dans de nombreux cas, le cabinet s'est simplement assuré qu'à une date précise, les actifs déclarés par Circle correspondaient globalement aux passifs déclarés par Circle. C'est un élément significatif, mais l'affirmation est bien plus faible.

Le deuxième risque est la dépendance à la date. Un rapport de réserves à une date donnée, ce que sont la plupart des attestations de stablecoins, ne dit rien sur ce qui s'est passé la veille ou le lendemain. Si l'émetteur retire des fonds des réserves le 31 mars à 23 h 59 et les replace le 1er avril à 0 h 01, une opinion ponctuelle peut malgré tout être émise. Il ne s'agit pas d'une inquiétude théorique. Plusieurs émetteurs de stablecoins ont été critiqués pour avoir calé leurs fenêtres de reporting sur des soldes favorables.

Le troisième risque est celui du lien financier entre l'émetteur et le cabinet. Le cabinet comptable qui signe l'opinion est rémunéré par l'émetteur du stablecoin. C'est également le cas pour les audits de sociétés cotées, mais dans ce monde, un comité d'audit composé d'administrateurs indépendants choisit le cabinet, et l'auditeur s'expose à une responsabilité sévère s'il laisse passer une anomalie significative. Dans le cas des attestations de stablecoins, la mission est souvent plus étroite, la responsabilité est souvent plafonnée par contrat, et la réticence du cabinet à se montrer trop exigeant face à un gros client peut être bien réelle.

Le quatrième risque est le précédent de l'effondrement. Le BUSD a été, pendant la majeure partie de son existence, attesté plutôt qu'audité. Lorsque les régulateurs new-yorkais ont contraint Paxos à cesser d'émettre du BUSD, le régime d'attestation s'est tout simplement arrêté, et les détenteurs sont restés sans savoir à quoi ressemblaient les réserves au moment de la liquidation. La leçon n'était pas que le BUSD était une fraude. La leçon est que les régimes d'attestation peuvent disparaître du jour au lendemain sans avertissement, alors que les opinions d'audit ont une valeur juridique et une continuité.

Ce qu'est réellement une attestation, en termes simples

Une attestation est un service réalisé par un expert-comptable certifié indépendant selon les normes professionnelles établies par l'AICPA, l'American Institute of Certified Public Accountants. Les normes pertinentes figurent dans les sections AT-C de la codification de l'AICPA. Ces sections couvrent plusieurs formes d'attestation, qui diffèrent par l'ampleur du travail effectué par l'expert-comptable et par le niveau de confiance exprimé dans l'opinion.

Le niveau le plus courant est une mission d'assurance limitée, parfois appelée attestation de niveau revue. L'expert-comptable procède à des demandes d'informations et à des procédures analytiques, vérifie si les chiffres concordent avec les documents sources, et émet une opinion indiquant si un élément a attiré son attention suggérant que les chiffres sont matériellement erronés. La formulation de l'opinion est soigneusement atténuée : rien n'a attiré notre attention, plutôt que ces chiffres sont corrects.

Il existe également une attestation d'assurance raisonnable, qui se rapproche d'un audit en profondeur, mais qui ne constitue pas pour autant un audit complet des états financiers. L'expert-comptable recueille davantage d'éléments probants, réalise davantage de tests de substance, et exprime une assurance positive : à son avis, les chiffres sont fidèlement présentés. De nombreux rapports sur les réserves de stablecoins émis par des cabinets plus modestes relèvent de cette catégorie, et ils sont plus solides que les rapports de niveau revue, tout en restant plus restreints qu'un audit complet.

Le point essentiel est qu'une attestation se définit par la mission et la norme, et non par le mot inscrit sur la page de couverture. Si un expert-comptable signe un rapport et indique qu'il s'agit d'une attestation au titre des sections 205 ou 210 de la norme AT-C, c'est ce qu'elle est, indépendamment de la manière dont l'émetteur la présente. Si le rapport prétend être un audit sans respecter les normes d'audit des sections AU-C de l'AICPA, alors il ne s'agit pas d'un audit, quelle que soit la formulation du titre.

Ce qu'est réellement un audit, en termes simples

Un audit est régi par un autre ensemble de normes, également rédigées par l'AICPA, mais figurant dans les sections AU-C plutôt que dans les sections AT-C. Ce sont les normes utilisées pour auditer les sociétés cotées aux États-Unis, et elles exigent un niveau de travail nettement plus approfondi que toute attestation.

Concrètement, un audit exige de l'expert-comptable qu'il comprenne les contrôles internes de l'entité, évalue le risque d'anomalies significatives, conçoive des procédures d'audit en réponse à ce risque, réalise des tests de substance par sondage, évalue la continuité d'exploitation, et émette une opinion formelle sur la fidélité de la présentation des états financiers conformément au référentiel comptable applicable. L'opinion porte sur les états financiers dans leur ensemble, et non sur une seule date ou un seul chiffre.

Pour les stablecoins, un audit complet signifierait que le cabinet a vérifié si les réserves existaient réellement à la date du rapport, si elles étaient correctement contrôlées par l'émetteur, si les passifs correspondaient à ce qui avait été émis et racheté, et si les contrôles entourant l'émission et la destruction de jetons fonctionnaient. Le cabinet confirme également que les actifs sont bien ceux que l'émetteur déclare, ce qui est important pour les stablecoins qui détiennent du papier commercial, des bons du Trésor, des certificats de dépôt et d'autres instruments dont la liquidité et la qualité de crédit varient.

Seul un petit nombre d'émetteurs de stablecoins ont jamais fait l'objet d'un audit complet au niveau d'assurance raisonnable. Circle, l'émetteur de l'USDC, a historiquement obtenu des attestations plutôt que des audits complets, bien qu'il ait renforcé la rigueur de ses rapports au fil du temps. Tether, l'émetteur de l'USDT, a systématiquement publié des attestations et a explicitement refusé de se soumettre à un audit complet, invoquant le coût et la complexité. TUSD et BUSD ont historiquement publié des attestations de cabinets plus modestes. La tendance est cohérente : les attestations dominent, les audits restent rares.

Pourquoi les audits Big-4 ne sont pas synonymes de « entièrement adossé »

Il existe une deuxième source de confusion liée au fait que les cabinets Big-4 (Deloitte, PwC, EY et KPMG) sont souvent impliqués. Lorsqu'un cabinet Big-4 signe un rapport sur un stablecoin, les lecteurs supposent souvent que le niveau de contrôle le plus élevé a été appliqué. Ce n'est généralement pas le cas, car la mission Big-4 est elle-même typiquement une attestation plutôt qu'un audit.

Une attestation Big-4 reste néanmoins supérieure à une attestation d'un petit cabinet à plusieurs égards. Le cabinet dispose de davantage de ressources, d'une expertise plus spécialisée dans les instruments financiers, et sa réputation professionnelle est davantage en jeu. Il est également plus difficile pour un émetteur de changer discrètement de cabinet s'il n'aime pas les conclusions, car les cabinets Big-4 sont peu nombreux et la relation est plus visible. Mais la norme sous-jacente, s'il s'agit de la norme AT-C plutôt que de la norme AU-C, reste la norme d'attestation, et l'opinion dit ce que la norme d'attestation lui permet de dire.

C'est pourquoi la distinction entre Big-4 et petit cabinet est importante sans être décisive. Une attestation Big-4 est plus solide qu'une attestation d'un petit cabinet. Un audit d'assurance raisonnable réalisé par un Big-4 est plus solide qu'une attestation Big-4. Et aucun rapport, quel qu'il soit, ne prouve que l'émetteur est resté solvable chaque jour de l'année : il atteste uniquement que les éléments probants examinés par le cabinet justifient l'opinion émise à la date à laquelle elle a été émise.

Pour un détenteur de stablecoin, la leçon pratique est de lire le paragraphe d'opinion effectif de tout rapport sur les réserves, et pas seulement le titre. Il faut rechercher la norme de la mission (section 205, 210, 305 de la norme AT-C, ou section AU-C dans son ensemble), le niveau d'assurance (limitée ou raisonnable), la date ou la période couverte, et l'objet précis de l'opinion. Si ces quatre éléments ne correspondent pas à ce que la communication marketing affirme, cette communication est exagérée.

Le précédent BUSD : à quoi ressemble un régime d'attestation non réglementé

BUSD est l'étude de cas la plus parlante pour illustrer pourquoi les régimes d'attestation ne sont pas équivalents à des audits. BUSD était émis par Paxos Trust Company, un trust régulé par l'État de New York, et pendant la majeure partie de son existence, ses réserves ont été attestées par un cabinet comptable de taille modeste. Les rapports étaient formulés de manière à suggérer une vérification indépendante rigoureuse, et ils étaient généralement acceptés comme tels.

Lorsque le New York Department of Financial Services a ordonné à Paxos de cesser d'émettre du BUSD en février 2023, le régime d'attestation n'a pas permis une liquidation en douceur. Les détenteurs ne disposaient pas d'états financiers audités sur lesquels s'appuyer, pas d'opinion sur la continuité d'exploitation, et pas d'assurance formelle que les réserves au moment de la liquidation correspondaient aux passifs en circulation. Paxos a honoré les rachats et le stablecoin a été liquidé sans pertes pour les détenteurs, mais ce résultat résultait de l'intervention du régulateur et de la capacité opérationnelle propre de Paxos, et non du régime d'attestation lui-même.

La leçon tirée de BUSD est qu'un régime d'attestation n'est aussi solide que le cadre réglementaire qui l'entoure. Lorsqu'un régulateur intervient, une attestation cesse d'être utile, car l'émetteur ne peut plus fonctionner de la manière que l'attestation supposait. Un audit, en revanche, produit un historique ayant une valeur juridique, et les états financiers restent utiles même si l'activité de l'émetteur bascule du jour au lendemain.

C'est également pourquoi la position de Tether mérite d'être comprise. Tether a, pendant des années, refusé de se soumettre à un audit complet et a publié à la place des attestations de cabinets plus modestes, le plus récemment BDO. Ce choix a été délibéré et Tether l'a justifié par le coût, la complexité, et le fait que les réserves de Tether comprennent des instruments plus difficiles à auditer au niveau d'assurance raisonnable. Que cette explication soit satisfaisante ou non, l'effet pratique est que les détenteurs d'USDT ont toujours dépendu d'une forme de vérification plus faible que celle des détenteurs d'USDC, quelle que soit la manière dont les rapports sont présentés dans les titres.

Comment lire un rapport de réserves de stablecoin sans se laisser berner

L'habitude la plus utile consiste à repérer le paragraphe contenant l'opinion proprement dite. Il se trouve généralement vers la fin du rapport, dans une section intitulée quelque chose comme Rapport des experts-comptables indépendants ou Opinion. L'opinion précisera ce qui a été examiné, quelle norme a été suivie et quel niveau d'assurance est exprimé. Si le rapport ne contient pas ce paragraphe, ou s'il le relègue au second plan, c'est déjà un signal en soi.

Vérifiez ensuite la date. Un rapport daté du 31 mars vous indique les réserves au 31 mars, et à aucune autre date. Si l'émetteur prétend être pleinement adossé en continu, le rapport ne confirme pas cette affirmation. Il ne valide qu'un instantané.

Examinez ensuite la nature réelle des réserves. Les bons du Trésor ne sont pas la même chose que le papier commercial, qui n'est pas la même chose que les certificats de dépôt, qui ne sont pas la même chose que le bitcoin, qui n'est pas la même chose que les créances. Un rapport indiquant que les réserves totalisent X milliards de dollars est moins informatif qu'un rapport qui ventile la composition par catégorie d'actifs, par échéance et par qualité de crédit. Les attestations incluent souvent cette ventilation, mais le niveau de détail varie considérablement.

Enfin, vérifiez qui a signé le rapport. Un cabinet Big-4 n'est pas équivalent à un petit cabinet, et une longue relation de mission avec le même cabinet n'est pas la même chose qu'une mission toute nouvelle. Les émetteurs de stablecoins qui entretiennent des relations stables et durables avec leurs cabinets comptables ont tendance à fournir des rapports plus cohérents que ceux qui changent fréquemment de cabinet. C'est un signal subjectif, mais il mérite d'être pris en compte.

Que faire concrètement de ces informations

Si vous détenez des stablecoins, la conséquence pratique est que vous ne devriez pas présumer qu'un stablecoin est audité avant de l'avoir vous-même vérifié. L'hypothèse par défaut devrait être que le rapport de réserves de l'émetteur est une attestation, qu'il couvre une seule date, et que le cabinet qui le signe est rémunéré par l'émetteur. Aucun de ces éléments ne rend le stablecoin dangereux en soi, mais ils doivent vous permettre de fixer vos attentes.

Pour des avoirs plus importants, l'enjeu est plus sensible. Quelques centaines de dollars en USDC représentent un profil de risque différent de quelques centaines de milliers de dollars dans un même stablecoin, car les conséquences d'une fin brutale du régime d'attestation augmentent avec la taille de la position. Diversifier à travers plusieurs émetteurs est la couverture la plus simple contre la défaillance d'un régime d'attestation unique.

Rien de tout cela ne constitue un conseil financier, et rien de tout cela ne change la réalité fondamentale : les stablecoins comportent des risques qu'aucun rapport ne peut totalement éliminer. Les rapports sont utiles, et ils valent bien mieux que rien, mais ils ne sont pas assimilables à un dépôt bancaire garanti par un régulateur et ils ne doivent pas être traités comme tels.

Anticipez les évolutions des rapports sur les stablecoins

La publication de rapports de réserves sur les stablecoins évolue, avec de nouvelles réglementations aux États-Unis, en Europe et ailleurs qui poussent les émetteurs vers des normes plus rigoureuses. La forme et le fond des rapports publiés par les émetteurs vont se transformer au cours des prochaines années, et les noms des cabinets qui les signeront vont tourner. Suivre ces changements à la main n'est pas réaliste pour la plupart des utilisateurs. Zippfeed fait remonter les titres liés aux stablecoins avec une notation de sentiment et un score d'importance, afin que vous puissiez distinguer les rapports de réserves qui comptent vraiment de ceux qui relèvent de la simple routine.