L’analyse comparative des contrôles internes révèle que l’intégration des technologies de l’information transforme radicalement les pratiques d’audit financier. Face à des systèmes de plus en plus complexes, découvrez comment ces évolutions redéfinissent les compétences requises des auditeurs et les défis à surmonter.
Sous section 5 : Les aspects des contrôles
Comme les organisations s’orientent de plus en plus vers un modèle de contrôle interne basé sur les risques, conforme à l’approche du COSO (Committee of Sponsoring Organizations), la mise en œuvre du contrôle interne dans les environnements informatisés continue à évoluer. Comme les systèmes informatiques deviennent de plus en plus complexes et intégrés, souvent par Internet, les difficultés de fournir des contrôles appropriés deviennent de plus en plus ressenties.
Les activités de contrôles englobent généralement une combinaison des procédures de contrôles programmés qui permettent la génération de rapports (exemple : les rapports d’exception) et des procédures manuelles de suivi et d’investigation des éléments figurants sur ces rapports. Ces deux opérations sont nécessaires pour aboutir aux objectifs de contrôle. En effet, s’il n’existe aucune personne qui fait le suivi des rapports prévus par le système, on peut dire qu’il n’y a pas de contrôle.
Le mix de ces contrôles dépend de la nature et de la complexité de la technologie utilisée. La croissance de la vitesse et de la capacité en mémoire a permis de mettre en place plus de procédures de contrôle intégrées dans le hardware et/ou dans le software que par le passé.
Outre les contrôles directs, les contrôles généraux informatiques sont nécessaires pour assurer l’intégrité des ressources d’information et pour garantir que les procédures de contrôles programmés (ainsi que les procédures comptables programmées) sont correctement mises en place et sont opérationnelles et qu’uniquement les changements autorisés sont opérés sur les programmes et sur les données. Par exemple, à défaut de contrôles généraux informatiques appropriés, il n’y a aucune assurance que les rapports d’exception soient exacts et exhaustifs.
- Les contrôles généraux informatiques :
Les contrôles généraux informatiques se rattachent à la fonction informatique et ont pour objectif «d’établir un cadre de contrôle global sur les activités informatiques et de fournir un niveau d’assurance raisonnable que les objectifs de contrôle interne sont atteints »13.
Les qualités attendues d’un bon contrôle interne de la fonction informatique sont : la fiabilité des informations produites, la protection du patrimoine et la sécurité et la continuité des travaux.
Par ailleurs, les contrôles généraux informatiques portent sur plus d’une application et leur mise en œuvre est essentielle pour assurer l’efficacité des contrôles directs.
Ils touchent, essentiellement, les domaines suivants :
- L’organisation et la gestion
- La maintenance des programmes
- L’exploitation
- Le développement et la modification des programmes
- La sécurité (sauvegarde, plan de secours, etc.)
Ces contrôles peuvent être divisés en quatre catégories :
- La sécurité des systèmes : Il s’agit des procédures et des mécanismes en place destinés à s’assurer que l’accès à l’environnement informatique et aux programmes et données (physiques et logiques) est convenablement contrôlé.
- La sécurité de l’exploitation : Ce sont des contrôles permettant de s’assurer que les données sont traitées dans les bons fichiers, que les éléments rejetés sont convenablement identifiés et corrigés et que les programmes sont correctement mis en place et exécutés.
- La maintenance des applications informatiques : Ce sont les contrôles permettant de s’assurer que les changements dans les programmes informatiques sont autorisés, correctement conçus et effectivement mis en place.
- Le développement et la modification des applications : Ce sont les contrôles sur les nouvelles applications ou sur les modifications significatives des applications existantes permettant de s’assurer que les procédures programmées sont convenablement conçues et correctement mises en place.
- Les contrôles directs :
Les contrôles directs sont des contrôles conçus pour prévenir ou détecter les erreurs et les irrégularités pouvant avoir un impact sur les états financiers.
On distingue trois catégories de contrôles directs :
- Les contrôles d’application :
Les contrôles d’application sont des contrôles permettant de s’assurer que toutes les opérations sont autorisées, enregistrées, et traitées de façon exhaustive, correcte et dans les délais. Ces contrôles peuvent être défalqués en :
- Contrôles portant sur les données d’entrée : Ces contrôles visent à fournir une assurance raisonnable que toutes les transactions sont dûment autorisées avant d’être traitées et qu’elles ne sont pas perdues, ajoutées, dupliquées ou indûment modifiées. Ils visent aussi à assurer que les transactions incorrectes sont rejetées, corrigées et, si nécessaire, soumises en temps voulu à un nouveau traitement.
- Contrôles sur les traitements et les fichiers de données informatisés : Ces contrôles visent à fournir une assurance raisonnable que les transactions, y compris celles générées par le système, sont correctement traitées par l’ordinateur et qu’elles ne sont pas perdues, ajoutées, dupliquées ou indûment modifiées. Ils visent, aussi, à assurer que les erreurs de traitement sont détectées et corrigées en temps opportun.
13 IAPS 1008 : « Evaluation du risque et contrôle interne : caractéristiques et considérations sur l’informatique », IFAC.
- Contrôles sur la production des résultats : Ces contrôles visent à fournir une assurance raisonnable que les résultats des traitements sont exacts, que l’accès aux informations produites est limité aux personnes autorisées et que ces informations sont communiquées aux personnes autorisées en temps voulu.
Avec les nouvelles technologies, beaucoup de contrôles, auparavant manuels assurés par le personnel informatique, par les utilisateurs du système ou par un groupe de contrôle indépendant, sont dés lors réalisés par ordinateur.
Exemple 1 : Les logiciels de l’E-Business incluent, généralement, des contrôles pour prévenir la répudiation ou la modification des enregistrements qui initient les transactions. Ces contrôles peuvent être une signature électronique et des certificats du serveur qui authentifient les parties de la transaction.
Exemple 2 : L’autorisation de l’entrée peut être assurée par des contrôles programmés d’autorisation (par exemple : approbation d’une commande qui ne dépasse pas le plafond de crédit consenti pour un client donné).
Une fonction de traitement informatisée peut constituer un contrôle clef si elle effectue un aspect essentiel du traitement des opérations de la société et des informations s’y rapportant.
Toutefois, il est à noter qu’il n’est pas toujours facile d’établir une distinction claire entre les contrôles et les fonctions intégrées. Certains traitements, comme l’édition, la validation ou la comparaison participent, en effet, au contrôle interne puisqu’ils servent à prévenir ou à détecter les erreurs ou irrégularités. D’autres comme l’enregistrement, le calcul et l’addition ne sont pas des contrôles à proprement parler, puisqu’ils n’ont pas pour but la prévention ni la détection des erreurs et irrégularités, mais sont des fonctions de base pour le système d’information pouvant affecter directement les états financiers.
Par ailleurs, dans un milieu informatisé, les contrôles se basent, de plus en plus, sur des rapports informatiques (intitulés : rapports d’exception ou logs d’audit) qui sont, généralement, suffisamment détaillés pour faire ressortir les opérations inhabituelles ou anormalement importantes ainsi que d’autres problèmes éventuels. Ils sont établis en temps voulu selon une présentation qui souligne les points importants et facilite leur compréhension.
Ces opérations, mises en valeur dans les rapports d’exception, peuvent être soient acceptées par le système, enregistrées dans un fichier d’attente ou rejetées par le système.
Mais pour l’efficacité de ce contrôle, encore faut-il que ces rapports soient convenablement conçus, paramètrés et contrôlés manuellement. Exemple : La chaîne fournisseurs peut éditer une liste des bons de réception manquants, que l’on examinera afin de savoir pourquoi ces bons n’existent pas. En outre, ce contrôle n’est efficace que si la liste sortie de l’ordinateur est exhaustive et fiable.
- Les contrôles de direction :
Ces contrôles, qui portent sur des informations finales, sont réalisés à posteriori par des personnes indépendantes du processus de traitement. Leur but est de détecter des erreurs ou irrégularités susceptibles de s’être produites en amont.
Le système informatique peut offrir à la direction plusieurs informations utiles au pilotage de l’entité et une palette d’outils analytiques permettant d’examiner et de superviser ses activités.
Les contrôles de direction peuvent consister en la revue et le suivi des rapports d’exception sur les opérations et les soldes anormaux et des résumés des opérations traitées, en la vérification de la séquence des opérations traitées, etc.
- Les contrôles visant à protéger les actifs :
Ces contrôles consistent en des mesures de contrôle et de sécurité assurant un accès limité aux personnes expressément autorisées et dans la limite de leurs responsabilités. Ils doivent aussi apporter la garantie que les actifs de la société sont à l’abri de toute création de documents qui en autoriseraient l’utilisation ou la cession.
Sous le terme « actifs », nous entendons aussi bien les actifs inscrits dans les comptes que les informations confidentielles ou non contenues dans les fichiers informatiques.
Il est évident que les contrôles visant à protéger les actifs sont encore plus nécessaires si ces actifs sont confidentiels, aisément transportables, convoités et/ou de valeur importante.
Questions Fréquemment Posées
Quels sont les aspects des contrôles internes dans l’audit financier?
Les aspects des contrôles internes englobent une combinaison des procédures de contrôles programmés et des procédures manuelles de suivi et d’investigation des éléments figurants sur les rapports.
Qu’est-ce que les contrôles généraux informatiques?
Les contrôles généraux informatiques se rattachent à la fonction informatique et ont pour objectif d’établir un cadre de contrôle global sur les activités informatiques et de fournir un niveau d’assurance raisonnable que les objectifs de contrôle interne sont atteints.
Comment les contrôles directs contribuent-ils à l’audit financier?
Les contrôles directs sont conçus pour prévenir ou détecter les erreurs et les irrégularités pouvant avoir un impact sur les états financiers.
Pourquoi est-il important d’intégrer l’audit informatique dans l’audit financier?
L’intégration de l’audit informatique est nécessaire pour faire face aux nouveaux risques technologiques et assurer l’efficacité des contrôles internes dans un environnement informatisé.