Maîtrise Universitaire en Comptabilité, Contrôle et Finance

Transcription

1 Maîtrise Universitaire en Comptabilité, Contrôle et Finance Audit des systèmes d information de gestion Partie 2: Evaluation des risques dans le domaine IT 10 mars 2015

2 Agenda! Rappel des enseignements de la partie 1! Présentation " Denial of service! Types de risques " Risque d erreurs # Contrôles généraux IT # Contrôles applicatifs " Synthèse de l évaluation des risques! Exercices " Risques IT dans une agence de voyage HEC MCCF 2015 E. Campos partie 2-10 mars

3 Les présentations personnelles Un sujet est traité pendant 15 minutes par un groupe de 4 personnes Si la note de l oral final est moins bonne, la présentation comptera pour 1/2 de la note finale 10 mars 2015 Risques inhérents et risques de contrôle dans le domaine IT Expliquer les circonstances, les risques et l impact d un Denial of Service (DoS) pour les entreprises suivantes: 1. la grande surface du quartier 2. une banque 3. une societe de ventes par correspondance (et on-line) 4. le gouvernement cantonal en periode d election 5. le kiosque du coin HEC MCCF 2015 E. Campos partie 2-10 mars

4 Approche d audit selon le MSA 2009 HEC MCCF 2015 E. Campos partie 2-10 mars

5 Types de risques Systématique des risques importants pour le contrôle Risque d audit Risque d erreurs Risque de non-détection Risque inhérent Risque lié au contrôle Risque d entreprise HEC MCCF 2015 E. Campos partie 2-10 mars

6 Types de risques HEC MCCF 2015 E. Campos partie 2-10 mars

7 Types de risques Systématique des risques importants pour le contrôle Risque d audit Risque d erreurs Risque de non-détection Risque inhérent Risque lié au contrôle Risque d entreprise HEC MCCF 2015 E. Campos partie 2-10 mars

8 ! Impact de l environnement IT sur le risque inhérent " Gestion du développement informatique " Gestion des changements (de l existant) " Gestion de la sécurité (logique et physique) " Gestion des opérations/exploitation HEC MCCF 2015 E. Campos partie 2-10 mars

9 Gestion du développement Gestion du changement (IT) Gestion de la sécurité Gestion des opérations HEC MCCF 2015 E. Campos partie 2-10 mars

10 Gestion du développement Gestion du changement (IT) Gestion de la sécurité Gestion des opérations HEC MCCF 2015 E. Campos partie 2-10 mars

11 Contrôles généraux IT Points de réflexion " Absence de savoir-faire en matière d applications IT " Dépendance aux fournisseurs Gestion du développement Gestion du changement (IT) Gestion de la sécurité Gestion des opérations " Savoir-faire au niveau de quelques personnes dépendance élevée vis-à-vis de ces personnes clés " Applicatifs Excel ou Access installées par certains utilisateurs sur leur. Leur évaluation, leur fonctionnement et, souvent, leur utilisation (en particulier concernant les chiffres clés et le MIS) dépendent entièrement de cette seule personne; HEC MCCF 2015 E. Campos partie 2-10 mars

12 Contrôles généraux IT Points de réflexion " Absence de savoir-faire en matière d applications IT " Dépendance aux fournisseurs " Savoir-faire au niveau de quelques personnes dépendance élevée vis-à-vis de ces personnes clé " Indisponibilité des systèmes fréquentes Gestion du développement Gestion du changement (IT) Gestion de la sécurité Gestion des opérations " Modification des programmes sur un simple coup de téléphone HEC MCCF 2015 E. Campos partie 2-10 mars

13 Contrôles généraux IT Points de réflexion " Sécurité logique: Pas de séparation des fonctions entre la comptabilité et l informatique Gestion du développement Gestion du changement (IT) Gestion de la sécurité Gestion des opérations " protection appropriée des accès au niveau du réseau et du système d exploitation, cependant au sein des applications les droits d accès sont peu différenciés " Faiblesses en termes de sécurité physique (accès, détection de la fumée et des incendies, climatisation et alimentation électrique) dans le centre de calcul ou la salle des serveurs HEC MCCF 2015 E. Campos partie 2-10 mars

14 Contrôles généraux IT Points de réflexion " Démarrage tardif de l informatique le matin (indisponibilité des systèmes) " Réalisation régulière de sauvegardes des données, mais faiblesses fréquentes au niveau de leur " Absence de tests de restauration (pour restaurer les données après un incident grave) Gestion du développement Gestion du changement (IT) Gestion de la sécurité Gestion des opérations HEC MCCF 2015 E. Campos partie 2-10 mars

15 Contrôles applicatifs A- les différents types de contrôles! Définition des 2-3 types de contrôles " Les contrôles programmés " Les contrôles manuels " Les contrôle hybrides! Ces types de contrôles peuvent être " Préventifs: à priori " Détectifs: à posteriori! Les contrôles peuvent encore être " Bloquant " Signalant HEC MCCF 2015 E. Campos partie 2-10 mars

16 Contrôles applicatifs B- les contrôles programmés! 4 types de contrôles programmés " Les contrôles d accès à l application " Les contrôles de saisie des données " Les contrôles de traitement " Les contrôles de sortie Gestion du développement Gestion du changement (IT) Gestion de la sécurité Gestion des opérations Processus TRAITEMENT SORTIE INFORMATION Application BILAN P&P SAISIE ACCES LOGIQUES HEC MCCF 2015 E. Campos partie 2-10 mars

17 Contrôles applicatifs B- les contrôles programmés Processus! 4 types de contrôles programmés " Les contrôles d accès à l application INFORMATION " Les contrôles de saisie des données " Les contrôles de traitement " Les contrôles de sortie SAISIE! Objectif: protection et confidentialité " Le but est de: # Interdire l application à un user non autorisé # Accorder certaines fonctions à certains users # Limiter la consultation de données confidentielles Application TRAITEMENT SORTIE Bilan & PP ACCES LOGIQUES HEC MCCF 2015 E. Campos partie 2-10 mars

18 Contrôles applicatifs B- les contrôles programmés Processus! 4 types de contrôles programmés " Les contrôles d accès à l application " Les contrôles de saisie des données INFORMATION " Les contrôles de traitement " Les contrôles de sortie SAISIE! 2 types de contrôles de saisie des données " Les contrôles de champs # Nature de champ (pas de numérique dans un champs alpaha.) # Structure (ordre de la date MM/DD/YY) # Saisie obligatoire # Intervalle ou plage # Clé de contrôle # Appartenance à un ensemble de valeurs prédéfinies # Double saisie # " Les contrôles des ensembles de champ # Lots d opérations (ex: nombre de chèque d un lot saisi) # Enregistrement d un fichier (ex: débit = crédit avant d enregistrer) # Fichier (contrôle de la taille du fichier et de sa version) Application TRAITEMENT SORTIE Bilan & PP ACCES LOGIQUES HEC MCCF 2015 E. Campos partie 2-10 mars

19 Contrôles applicatifs Processus B- les contrôles programmés! 4 types de contrôles programmés " Les contrôles d accès à l application INFORMATION " Les contrôles de saisie des données " Les contrôles de traitement SAISIE " Les contrôles de sortie! Objectifs " Toutes les données sont traitées " Aucune donnée ne disparaît ou n est créée " Les bonnes versions de fichier sont utilisées " Les calculs effectués par les traitements sont exacts Application TRAITEMENT SORTIE Bilan & PP ACCES LOGIQUES HEC MCCF 2015 E. Campos partie 2-10 mars

20 Contrôles applicatifs B- les contrôles programmés Processus! 4 types de contrôles programmés " Les contrôles d accès à l application INFORMATION " Les contrôles de saisie des données " Les contrôles de traitement SAISIE " Les contrôles de sortie! Objectif de vérifier que " Les système a imprimés ce qui était prévu " Les imprimés sont complets et exacts " Les états sont correctement transmis aux destinataires Application TRAITEMENT SORTIE Bilan & PP ACCES LOGIQUES HEC MCCF 2015 E. Campos partie 2-10 mars

21 Appréciation du risque lié aux contrôles applicatifs RAPPEL! Un audit informatique peut analyser l exposition d une entreprise aux risques en suivant différents modèles de valeurs, par exemple: 7 critères de CobiT Intégralité Exactitude Validité Droits d accès Existence Estimation Droits et devoirs Présentation et transparence Modèle PWC PME 2006 Sincérité Intégralité Journalisation Principe de justificatif Droits d accès Comptabilisation correcte Exactitude Droits et devoirs Période correcte Estimation Modèle Ernst & Young Archivage Trace d audit Manuel suisse d audit HEC MCCF 2015 E. Campos partie 2-10 mars

22 Appréciation du risque lié aux contrôles applicatifs INFORMATION Intégralité Exactitude Droits d accès Saisie Sytème central Traitement Excel Transfert Bilan & PP Sortie HEC MCCF 2015 E. Campos partie 2-10 mars

23 Appréciation du risque lié aux contrôles applicatifs INFORMATION Intégralité Exactitude Droits d accès Sytème central Saisie Traitement Les commandes validées sont saisies avec un numéro séquentiel. Ce numéro suit toute la transaction. Chaque transaction est tracée avec un numéro séquentiel Des contrôles sur les adresses sont présaisis par le formulaire de commande Des totaux ne sont pas corrects lorsqu une commande comporte une note de crédit. Détectés par les clients Seul les personnes attachées au secteur commercial ventes peuvent accéder aux commandes. Tous les informaticiens ont des accès sur le module commerciale vente afin de pouvoir intervenir rapidement. Excel Bilan & PP Transfert Sortie Avant le transfert dans Excel un total du nombre de transaction est effectué. Ce total est plausibilisé en continu avec le total dans Excel. n/a L import dans Excel se fait par copiercoller et aucun chiffre n est revalidé avec le système source Des ajustements sont effectués directement sur les états financiers avant impression Une seule personne a accès au tableau qui possède tous les états financiers Une seule personne a accès au tableau qui possède tous les états financiers HEC MCCF 2015 E. Campos partie 2-10 mars

24 Appréciation du risque lié aux contrôles applicatifs Paramètres d applications Taux de cotisation Salaires horaires 1. Erreur systématique Données de flux Inputs, par exemple: Nombre d heures Frais 3. Erreur unique Application HR Outputs, par exemple: Écritures comptables Payements salaires Payements cotisations Données de base, par exemple: Personne Adresse bancaire 2. Erreur répétitive HEC MCCF 2015 E. Campos partie 2-10 mars

25 Types de risques Systématique des risques importants pour le contrôle Risque d audit Risque d erreurs Risque de non-détection Risque inhérent Risque lié au contrôle Risque d entreprise HEC MCCF 2015 E. Campos partie 2-10 mars

26 Synthèse de l évaluation des risques! Objectif " Réduire le risque de non-détection de l auditeur! Plus le niveau grisé est faible plus les contrôles de l auditeur doivent être importants! Evaluation par l auditeur du risque inhérent Evaluation par l auditeur du risque lié au contrôle Elevé Moyen Faible Elevé Minimum de maîtrise des risques par l entreprise Faible Moyen Moyen Faible Moyen Elevé Faible Moyen Elevé Maximum de maîtrise des risques par l entreprise HEC MCCF 2015 E. Campos partie 2-10 mars

27 Résumé sur une autre vue HEC MCCF 2015 E. Campos partie 2-10 mars

28 Cas pratique HEC MCCF 2015 E. Campos partie 2-10 mars

29 Esquissez les flux de données de et vers la centrale de Europe Voyages SA succursales Banques, Postfinance, instituts de crédit, etc. clients Europe Voyages centrale Divers (fisc, assurances sociales, etc.) filiales Fournisseurs (prestataires de services) HEC MCCF 2015 E. Campos partie 2-10 mars

30 Identifiez les risques inhérents informatiques auxquels est exposé Europe Voyages SA! Indisponibilité du système de réservation en ligne (pour les clients et pour les collaborateurs)! Perte de confidentialité sur les données des clients (cartes de crédit, etc..)! Mauvaise ergonomie du système de réservation en ligne (temps de réponse, navigation, etc.)! Erreurs dans les programmes du système de réservation en ligne! Perte de la trace d audit suite à la dématérialisation des pièces comptables! Mauvaise qualité des données saisies! Mauvaise qualité des données reçues des prestataires de service (horaires et disponibilités reçues des compagnies aériennes par exemple)! Erreurs dans l interface entre le système de réservation et le système comptable! Europe Voyages SA est par ailleurs exposée à des risques inhérents «business», par exemple insolvabilité des clients ou terrorisme HEC MCCF 2015 E. Campos partie 2-10 mars

31 Pour chaque risque inhérent identifié, énumérez les contrôles informatiques imaginables pour maîtriser ces risques Indisponibilité du système de réservation en ligne (pour les clients et pour les collaborateurs)! Monitoring et système d alerte permanents et automatiques! Redondance des systèmes / Plan de secours et back-up Perte de confidentialité sur les données des clients (cartes de crédit, etc..)! Protection de la transmission des données! Contrôle des droits d accès sur les données traitées et archivées Mauvaise ergonomie du système de réservation en ligne (temps de réponse, navigation, etc.)! Tests et validation avant passage en production HEC MCCF 2015 E. Campos partie 2-10 mars

32 Erreurs dans les programmes du système de réservation en ligne! Validation des spécifications de détail, tests avant passage en production! Maîtrise de la maintenance des programmes Perte de la trace d audit suite à la dématérialisation des pièces comptables! Mise en place d un système de gestion de documents répondant aux exigences légales (Olico et TVA) Mauvaise qualité des données saisies! Contrôles de validation à la saisie Mauvaise qualité des données reçues des prestataires de service! Tests avant passage en production! Contrôles de validation et plausibilisation des données! Monitoring permanent et proactif sur la base de la gestion des incidents HEC MCCF 2015 E. Campos partie 2-10 mars

33 Erreurs dans l interface entre le système de réservation et le système comptable! Tests avant passage en production! Maîtrise de la maintenance des deux applications et des interfaces! Procédures de réconciliation automatiques La plupart de ces risques peuvent être maîtrisés ou réduits grâce à des contrôles reposant sur l informatique (par exemple vérification des soldes ouverts avant acceptation de la commande). Ces contrôles ne sont cependant efficaces que si les processus informatiques sont eux-mêmes fiables (Programme Change Management par exemple). HEC MCCF 2015 E. Campos partie 2-10 mars

34 Selon la situation décrite, quels sont en définitive les risques de contrôle les plus importants?! Les premiers contacts ont montré des lacunes dans les procédures de tests et la gestion des programmes (tests en environnement de production, pas de tests complets par les utilisateurs, etc ). Tant que ces contrôles généraux IT ne sont pas fiables, l ensemble des contrôles applicatifs sera peu crédible.! La protection de l accès aux données (sensibilisation des utilisateurs), ainsi que les interfaces présentent également des lacunes.! Attention: dans le contexte décrit, la dématérialisation des pièces (commande via Internet et payement via carte de crédit) sera également un thème à approfondir dans le cadre de l audit. Les transactions laissent-elles des traces authentiques, inaltérables et archivées selon les règles de l Olico? Quelles procédures et mesures techniques assurent-elles que ces exigences sont remplies durant l ensemble de la période sous revue? HEC MCCF 2015 E. Campos partie 2-10 mars

35 Annexes HEC MCCF 2015 E. Campos partie 2-10 mars

36 Appréciation du risque lié aux contrôles applicatifs A - Analyse des interfaces! Objectif " Les applications «interfacées» doivent garantir la disponibilité et l intégrité des données de la saisie initiale à la production des états comptables.! Vérifications " Fiabilité des interfaces à vérifier " Revue de la couverture des contrôles " Mode de traitement des anomalies (qui traite et comment, responsabilité?) Qualité des interfaces par rapport au risque lié au contrôle: Faible Modérée Elevée HEC MCCF 2015 E. Campos partie 2-10 mars

37 Appréciation du risque lié aux contrôles applicatifs B - Analyse des référentiels Données permanentes utilisées par les applications.! Objectif " Les modifications doivent être autorisées et correctement enregistrées et répertoriées (impact important)! 2 domaines de vérification " Vérifier qu il n y a pas de duplication des données " Vérifier la mise à jour des référentiels: # Droits d accès (personnes autorisées et procédures adaptées) # Tests pour vérifier que les modifications sont réalisées sur l ensemble du système d information Faible Modérée Elevée HEC MCCF 2015 E. Campos partie 2-10 mars

38 Appréciation du risque lié aux contrôles applicatifs C - Analyse des «droits d accès»! Objectif " Les droits d accès et profils doivent être adaptées à la criticités des applications.! 3 éléments à considérer " Le nombre d utilisateurs de l application (1 à 5; à 50; >50) " La nature de l application (criticité du processus supporté par l application) " La complexité du système d information (en terme de nombre de ressources utilisées - matériel, logiciel, données)! Vérifier: " La gestion des mots de passe " Les procédures et la documentation " Les profils et les comptes utilisateurs " L historisation et le suivi Faible Modérée Elevée HEC MCCF 2015 E. Campos partie 2-10 mars

39 Appréciation du risque lié aux contrôles applicatifs D - Analyse des traitements et paramètres! Objectif " Vérifier que les données entrées dans une application sont correctement traitées et que les résultats obtenus sont ceux qui sont attendus.! 2 distinctions à considérer " Les progiciels (paramétrage critique!) " Les développements spécifiques! Vérifier: " Identification des contrôles programmés et manuels " Gestion des anomalies " Procédures de tests " Formation des utilisateurs Faible Modérée Elevée HEC MCCF 2015 E. Campos partie 2-10 mars