Le rôle de la DSI avec l audit Interne pour la maîtrise des risques IT Governance Symposium du 16 Juin 2009 Henri Guiheux Responsable Governance & Securité des SI CISA, CISM, CGEIT
Sommaire Enjeux ERM pour une maitrise des risques de l entreprise P.3 Collaboration DSI et Audit Interne à l ERM P.8 Typologies de contrôles P.11 Cartographie Processus /Risques P.13 Intégration des contrôles métiers dans les processus IT P.15 2
Enjeux ERM pour l entreprise Real world decision-makers frequently appear not to evaluate uncertain events according to the laws of probability. Nobel Prize, Information for the Public, 2002 Les Organisations font face à une accélération des changements, des demandes et sont soumises à des exigences de plus en plus fortes de transparence. Tous les acteurs veulent des informations pertinentes, dans les délais avec de moins en moins de tolérance pour le manque d exactitude ou d exhaustivité. L environnement économique difficile actuel exige que les prises de décisions des dirigeants s accompagnent d une prise en compte rigoureuse des risques. La pression exercée par les organismes de régulation et d évaluation sur le management renforce le besoin de mise en place d un ERM (e.g., S&P s May 2008). 3
Enjeux ERM pour la DSI Le système d information est devenu la colonne vertébrale d une entreprise ou d une administration moderne, dont il irrigue toutes les fonctions pour contribuer à la fois à leur efficacité opérationnelle et à leur transformation stratégique. Les exigences d agilité, d efficacité, de sécurité et de qualité des systèmes et des données sont devenues absolument vitales pour soutenir l activité de l entreprise et le bon fonctionnement d un programme ERM. Les DSI doivent répondre à des exigences : d accélération des cycles de transformation et d exécution. de conformité qui s intensifient (quantitatifs/qualitatifs, internes/externes) et de prise en compte des recommandations. de Reporting démontrant leur capacité à maîtriser les risques opérationnels. La mise en place d une gouvernance IT intégrant contrôle interne et gestion des risques devient critique. Cette gouvernance doit être formalisée, communiquée, comprise et acceptée par toutes les parties prenantes de la DSI. 4
Enjeux ERM pour l audit interne L audit interne s intègre au dispositif ERM pour contrôler sa bonne mise en place. Son rôle: Evaluation et conseil visant à l amélioration des opérations de la société Donner à la société une grande sécurité sur la qualité de ses procédures et la maîtrise de ses risques Informer des dysfonctionnements grâce à l exécution d un plan d audit annuel. Conseiller les responsables sur leurs plans d autocontrôle et participer à la mise en place des procédures et outils nécessaires pour contrôler les risques. Veiller à la pertinence et à l observation par les entités opérationnelles des procédures de contrôle sous leur responsabilité. Etre une force de proposition en matière d organisation lorsque celle-ci présente des risques de dysfonctionnement ou de coûts non maîtrisés. Participer au renforcement et la diffusion d une culture de contrôle interne afin d assurer l efficacité de la maîtrise des risques. Le système d information étant de plus en plus au cœur de tous les métiers, embarquant les éléments de standardisation, les besoins de spécificité et, les contrôles de sécurité et de performance, l Audit Interne est tout naturellement systématiquement amené à l auditer. 5
Enjeux ERM Référentiel commun Exemple SCOR Maîtrise des risques par une approche processus (COSO II) 6
Enjeux ERM Culture de Contrôle interne Il est essentiel de mettre en place une structure capable de diffuser une culture de contrôle interne au sein de l entreprise pour une meilleure maîtrise des risques. Les correspondants Risques rattachés aux divisions font la promotion auprès des responsables métier de: l identification, l évaluation et le traitement des risques la modélisation et la formalisation des processus la conception et la mise en place des contrôles Les responsables métier (BPO) sont responsable de la mise en place effective des contrôles. La DSI intègre ces contrôles dans les applications s ils sont automatisés. L Audit Interne doit s assurer de la bonne mise en place des contrôles. Manage Strategy Group Level Controls (GLC) Group Level Controls embedded in the business environment Manage Underwriting ERM Framework Manage Assets Manage Operations IT Services OS/Data/Telecom/Networks/Continuity Etc. IT General Controls (ITGC) Controls embedded in IT services form general controls. Controls Controls embedded in the business process either performed manually or automatically. Pour être efficace, cette «Family» doit étroitement collaborer. 7
Collaboration DSI et Audit avec un Référentiel commun - COBIT Disposer du même référentiel pour développer, maintenir les systèmes et contrôler la conformité attendue. 8
Collaboration DSI et Audit Interne Cigref / IFACI /AFAI Publication AFAI sur le contrôle interne et Système d Information Guide opérationnel d application du cadre de référence AMF, résultat d une collaboration Audit Interne et DSI (IFACI/CIGREF) Cadre de Référence AMF Guide AFAI Guide opérationnel Cigref/Ifaci 2007 2007 Janvier Janvier 2008 2008 Juillet Juillet 2009 2009 Mars Mars 9
Collaboration DSI et Audit Interne Exemple SCOR La DSI L Audit Interne communique sa stratégie et ses projets Intègre la stratégie et projets informatiques dans son plan d au dit pour une meilleure pertinence Participe aux projets d envergure (Intégration Omega, des annuaires d entreprises) La DSI, l Audit Interne et le contrôle ont également participé au groupe de travail IFACI/CIGREF pour l élaboration du guide opérationnel d application du cadre AMF En intégrant l Audit Interne en amont des projets, la DSI se met en position de développer des contrôles pertinents et efficaces. 10
Activités de contrôles : deux typologies (1/2) 11
Activités de contrôles : deux typologies (1/2) 12
Cartographie des Processus et Risques IT Exemple SCOR Business Strategy & Business Goals AI: Acquire & Implement Projects Maintenance Acceptance PO: Plan & Organize Strategy Organisation Financial Communication s ME: Monitor & Evaluate Compliance Performance DS: Deliver & Support Operations Security Continuity V A L U E IT Benefit (value) Enablement Wrong strategic choices² IT Solution (Project) Delivery Project failure IT Service Delivery Disruption of services Loss of critical data Inadequate access and privilege authorisations Damages in computer or technical rooms Malicious attacks from inside / outside Application failure Group inconsistency Failure of a technology partner Withdrawal of a selected solution Contract inadequacy Control Objectives and Activities Processes s Initiate, assess and authorize the request Implementa tion Plan Design Prepare Test Plan & Envir. Build / Configure Test & Accept Train Users Prepare Rollout & Promote to production Bug resolved & news features according to Business requirements Controls control control control 13
Cartographie des Processus et Risques Métiers Exemple SCOR Manage the Company Manage Enterprise s Manage Legal Compliance Governing Manage based Capital Manage Asset Liability Manage Cash Underwrite Business Re-(new) Business Manage active Portfolio Protect Balance Sheet Manage Retro Manage Reserves Commute Pay Claims Manage Claims Pay valid Claims V A L U E Supporting Manage Technical Accounts Manage Investments Manage Financials Manage Workforce Manage Infrastructure Processes s Controls Process Submission control Price Submission Negotiate Contract control Finalize Contract control Legal Contract System Contract 14
Intégration des contrôles métier dans les process IT Business Goal and Objective Step 1 Step 2 Step 3 Step 4 Step 5 Value Integrating Application Controls into Software Development/ Acquisition Business Process Control Control Application control Application A Control Application control Application B Control Application control AI1 Identify Relevant Control Objectives Computer Environment Computer Environment AI2 Design Application Control Plan and Organize AI3 Acquire and Implement Acquire and Implement AI4 Document Controls and Train Users Deliver and Support Deliver and Support AI7 Test and approve application controls Monitor and Evaluate Source: CobiT and Application Controls 15