SOGEXCO. La pratique de l audit des systèmes d information. Deuxièmes assises du Commissariat aux Comptes

Transcription

1 SOGEXCO Arezki MAHIOUT Expert-comptable diplômé Commissaire aux comptes Membre du Conseil Supérieur de l Ordre des Experts comptables Président du cabinet SOGEXCO 11, boulevard de Sébastopol PARIS expertise-comptable/ accueil.asp La pratique de l audit des systèmes d information Deuxièmes assises du Commissariat aux Comptes Hôtel LE MERIDIEN ORAN 4 mai

2 SOMMAIRE 2

3 Contrôle interne relatif à l élaboration et au traitement de l information comptable et financière Toutes entités Toutes entités Sociétés cotées Toutes entités Toutes entités Toutes entités NEP Approche d audit NEP 265 Communication des faiblesses de CI NEP 9505 Rapport du Président sur CI et GE NEP 9030 Attestations NEP 9040 Procédures convenues NEP 9080 Consultations en matière de CI Mission légale DDL 3

4 Informatique utilisée dans toutes les fonctions de l entreprise Outil devenu le système nerveux de l entreprise Traitement de masse Risques nouveaux et significatifs Investissements importants Enjeu stratégique Système informatique = Système significatif pour l audit 4

5 Politique informatique Rattachement de la fonction informatique Communication avec les utilisateurs Définition d une architecture informatique Structure de la fonction Responsable désigné Séparation de fonctions (développement, exploitation, contrôle) Matériel utilisé Nature du matériel Capacité Ancienneté Sécurité Matérielle Et/ou logique 5

6 Procédures de contrôle interne Développement Exploitation Traitement Liste des éléments informatiques Applications Fichiers Sorties 6

7 Procédures développement Étude de faisabilité Étude fonctionnelle Analyse organique Réalisation et tests Procédures utilisateurs Réception provisoire Mise en exploitation 7

8 Analyse de la conception et du fonctionnement d une application informatique Appréciation des éléments suivants : Outils Fiabilité des données entrées, des traitements et des informations produites Maîtrise de l outil par les utilisateurs et le management Possibilité d utiliser des restitutions / fichiers / bases de données à des fins d audit Manuel opérateur des applications Recours à des spécialistes 8

9 Objectifs de l utilisation des outils S assurer de l exhaustivité, de la réalité et de la fiabilité des données S assurer de la correcte comptabilisation des données Permettre un traitement automatisé des données lors de l audit Avantages procurés par ces outils Gain de temps par rapport aux contrôles sur pièces Contrôle de l exhaustivité des données 9

10 Quels logiciels pour l analyse de données? Excel (simple d utilisation adaptée pour les petits et moyens fichiers) Access (requêtes et tris sur les données de la base) ACL (capacité importante, contrôles plus complexes possibles, les données initiales et intermédiaires sont accessibles, utilisé par l Administration fiscale) Idea A choisir en fonction de différents critères à prendre en compte : Volume de données à traiter Type de fichiers obtenus Complexité des traitements à réaliser 10

11 Fonctionnalité ACL IDEA ACCESS EXCEL Sécurité de la reprise Intangibilité du fichier source Intangibilité du fichier source Non Programmation Possible Possible Possible Taille des fichiers Quasi illimitée Quasi illimitée 2Go par base de données Non Possible (macros) lignes (Excel < 2007) Conservation des modèles de requête ou de travail Automatique Automatique Oui Non Données de contrôle Oui Oui Non Non Indexation Oui Oui Oui Non Reporting Oui Oui Oui Oui Modèles d analyse Non Non Non Non 11

12 Les outils les plus adaptés pour l audit sont : ACL et IDEA Pourquoi? Traçabilité des actions Intangibilité des données Intégration simplifiée de fichiers simplifiée Nombre restreint de commandes pour exécuter tous les types de travaux Un traitement automatique de travaux récurrents au moyen de programmes 12

13 Récupérer les données clients à traiter Via le réseau internet ou à l aide de supports magnétiques : clé USB, CD-ROM Format de fichier utilisable :.dbf, ASCII, EBCDIC Intégrer les données dans le logiciel d analyse choisi Mettre en forme le fichier Définir les champs à partir de la structure du fichier Utiliser un assistant pour ces tâches basiques Délimitation de zones 13

14 Vérifier la qualité des données Contrôles de cohérence sur l exhaustivité des données Totalisation de champs, totalisation du nombre d enregistrement et comparaison avec l attendu (ex : rapprochement avec la comptabilité) Opérer les traitements souhaités Penser à conserver les données de bases Réaliser les tests (programmes, fonctions automatiques,.) Conserver une trace des traitements effectués sur les fichiers (log) 14

15 Des contrôles simples pouvant être réalisés avec un outil standard Totalisations de champs avec ou sans critère (Ex : totaliser toutes les factures dont le n commence par 01) Création de champs de calcul (Ex : valoriser les stocks en recalculant Prix*Quantité + totalisation) Tris pour tests sur les montants les plus importants (Ex : identifier les 5 mouvements de stocks les plus importants) Comparaison des valeurs de deux fichiers (Ex : comparaison des stocks de n et n-1 à l aide du code produit en utilisant la fonction «Recherchev») 15

16 Le système informatique utilisé aujourd hui dans toutes les fonctions de l entreprise constitue un système significatif pour l audit. Les informations à recenser sur le système informatique concernent la politique informatique, structure de la fonction, matériel utilisé et sécurité. Des contrôles simples peuvent être réalisés avec un outil standard. 16

17 Questionnaire informatique Sécurité physique des matériels? Sécurité logique des applications? Sauvegardes des données? Procédure de modification des programmes? Séparation des fonctions de développement et d exploitation? Contrôle de l initialisation des données? Contrôle et recyclage des anomalies? Documentation des traitements existants? Traçabilité des données (piste d audit)? 17

18 Il existe une typologie des contrôles informatiques aussi bien pour les contrôles applicatifs que les contrôles généraux informatiques. Pour comprendre les processus informatiques, il convient d établir une cartographie applicative et une cartographie réseau. Un processus est un «enchaînement de tâches» qu il convient de décomposer en plusieurs sous-processus décrits dans un diagramme de flux. Afin d évaluer les risques, il est utile d établir une cartographie des risques ou un questionnaire informatique. 18

19 Mais la sécurité, ce n est pas que des technologies 19