Chapitre 23 : Audit en environnement informatisé
L'organisation du Si est, dans toute entité, une composante importante qui doit
être prise en compte dans le cadre de la démarche générale d'audit. Même si le
Si n'est pas spécifiquement l'objet de l'audit, il conditionne la maîtrise que les
dirigeants ont sur l'entité et la qualité des informations fournies aux parties
prenantes.
1- Démarche
A. Objectifs
La démarche d'audit a pour objet d'apprécier la conformité des processus et, le
cas échéant, de détecter des anomalies ou des risques dans une entité. Elle
permet de mettre en évidence :
- La pertinence et l'efficacité du contrôle interne ou ses limites ;
- Les qualités et défauts dans les processus de traitement de l'information ;
- La conformité ou les écarts par rapport aux normes en vigueur pour l'entité
concernée.
Les auditeurs doivent être indépendants de l'entité auditée. Leur indépendance
garantit la qualité de l'audit et assure leur crédibilité. La démarche doit s'appuyer
sur une méthodologie et être documentée pour garantir son objectivité. Les
critères d'audit sont définis comme un « ensemble d'exigences utilisées comme
référence ». Ces exigences peuvent être statutaires ou réglementaires. Elles
« peuvent comprendre des politiques, des procédures, des instructions de travail,
des exigences légales, des obligations contractuelles, etc. ».
L'audit de première partie ou audit interne est réalisé par l'organisme lui-
même ou par un auditeur externe dans un cadre contractuel. Il remplit un objectif
défini en termes d'amélioration des processus ou d'évaluation des risques. Il
produit des recommandations.
L'audit de seconde partie est réalisé pour le compte de partenaires, client ou
fournisseur, dans le but de vérifier la fiabilité de l'organisme. II vise à conforter la
démarche qualité, renforcer la traçabilité…
L'audit de tierce partie est réalisé par un organisme indépendant dans le cadre
d'une démarche de certification. L'audit légal effectué par un commissaire aux
comptes s'inscrit dans cette catégorie. L'objectif est de fournir un avis de
conformité. La mission du commissaire aux comptes est de vérifier et d'exprimer
une opinion sur les comptes d'une organisation.
La majorité des missions d'audit se déroule aujourd'hui dans un environnement
informatique. Pour le commissaire aux comptes, il est indispensable de
prendre en compte le système d'information dans sa mission de
certification des états financiers. Dans le cadre de sa mission, le CAC doit
évaluer le risque d'audit.
Le risque d'audit est le risque que le commissaire aux comptes exprime une
opinion incorrecte du fait d'anomalies significatives contenues dans les comptes
et non détectées. Il se subdivise en trois composants : le risque inhérent, le
risque lié au contrôle et le risque de non-détection.
B. Prise en compte de l'environnement Informatique
La nature des risques dans un environnement informatique est liée aux
spécificités suivantes :
- La complexité des procédures, l'enchaînement automatisé d'opérations
rendent plus difficile la connaissance et la compréhension du système
audité.
- La dématérialisation entraîne un risque plus important de non-détection
des erreurs.
- L'automatisation du traitement des opérations permet d'éliminer
quasiment toutes les erreurs humaines. Mais les erreurs de programmation
peuvent entraîner un traitement incorrect qui se répétera sur toute une
série d'opérations.
- Une mauvaise définition des rôles de chacun avec une attribution des
droits trop large ou au contraire trop restrictive.
Les risques en milieu informatisé peuvent aussi résulter de défaillances dans les
activités informatiques générales, telles que :
- Le développement et la maintenance des programmes ;
- L’exploitation du système ;
- Le fonctionnement du réseau ;
Pour atteindre l'objectif de l'audit, une attention particulière doit être portée sur :
- Les compétences du commissaire aux comptes et de son équipe
- La planification des aspects de l'audit
Il appartient au commissaire aux comptes de déterminer si des compétences
informatiques particulières sont nécessaires pour réaliser la mission. Si tel est le
cas, Il se fait assister par un professionnel possédant ces compétences qui peut
être un collaborateur ou un spécialiste externe.
2- Mise en œuvre
A. Normes et référentiels
1. Vue d'ensemble
De nombreuses normes s'appliquent aux systèmes d'information et plusieurs
référentiels peuvent être mis en œuvre aussi bien pour l'audit du Si que pour
toute démarche d'audit en environnement informatisé. Le référentiel le plus
utilisé en matière d'audit est Cobit.
2. Normes ISA
Le Conseil des normes internationales d'audit et d'assurance (IAASB :
International Auditing and Assurance Standards Board) est un organisme
international indépendant qui élabore et publie des normes internationales
d'audit (ISA : International Standards on Auditing) permettant, selon l'OEC,
l'expression d'une assurance raisonnable sur la conformité des états financiers au
référentiel comptable applicable ».
Ainsi, le système d'information occupe une place importante dans la démarche
d’audit. L'étendue et la nature des risques liés au contrôle interne varient selon la
nature et les caractéristiques du système d'information de l'entité. Le système
d'information, y compris les processus opérationnels y afférents, relatif à
l'élaboration de l'information financière et à sa communication est l'une des
composantes du contrôle interne que l'auditeur doit prendre en compte pour
déterminer la façon dont les différents aspects du contrôle interne d'une entité
peuvent avoir une incidence sur l'audit.
La connaissance du système d'information est donc une composante
importante de la démarche de l'auditeur.
3. Normes d'Exercice Professionnel
Concernant l'audit légal, en absence d'adoption des ISA par la Commission
européenne, ce sont les NEP (Normes d'exercice professionnel) françaises qui
s'appliquent en France. Elles émanent par du Haut conseil du commissariat aux
comptes (H3C) et sont homologuées par arrêté du garde des Sceaux. Les NEP
prévoient la prise en compte de l'environnement informatique lors de l'audit légal
des comptes. Le CAC doit évaluer les risques. Il est important d'identifier le degré
d'informatisation de l'entreprise auditée et son degré de dépendance à
l'informatique et à Internet. La politique informatique de l'entreprise peut être
source de risques liés aux applications, à l'externalisation, à la protection des
installations, à la pertinence des traitements, à la sécurité des données, etc...
B. L'audit assisté par ordinateur
1. Avantages
Les logiciels d'audit assisté par ordinateur ou d'analyse de données permettent
d'améliorer considérablement la démarche d'audit. Il est possible :
- D’extraire, lire, manipuler les données sous différents formats ;
- De faciliter le traitement des données ;
- D'automatiser l'application de critères de vraisemblance et d'identifier des
anomalies ;
- D’effectuer des simulations pour comparer plusieurs méthodes ;
- De suivre la piste d'audit pour valider la traçabilité.
Quel que soit le volume des données, il est possible de dépasser le stade du
sondage et d'effectuer des analyses exhaustives. De plus, la traçabilité et la
documentation des tâches d'audit sont assurées. Le fichier des écritures
comptables (FEC) facilite la mise en œuvre de cette démarche. Le commissaire
aux comptes doit vérifier l'existence du FEC et son contenu. Il doit contrôler la
conformité de la procédure d'émission et d'archivage avec date certaine du FEC.
2. Les étapes de l'audit et/ou du conseil assisté par ordinateur
Les étapes d'un audit assisté par ordinateur sont celles de tout audit légal. Il
s'agit de mettre en œuvre les diligences appropriées après l'analyse des risques.
L'auditeur doit apprécier comment l'entité a pris en compte les risques liés à son
système d'information. Les éléments collectés doivent permettre au commissaire
aux comptes de valider plusieurs assertions :
- Réalité
- Exhaustivité
- Mesure
- Séparation des exercices
- Classification
