Les applications pratiques de l’audit révèlent des transformations majeures dans les structures organisationnelles des entreprises face à l’informatisation. Cette recherche met en lumière comment les nouvelles technologies redéfinissent les compétences des auditeurs et les contrôles internes, avec des implications cruciales pour l’avenir de l’audit financier en Tunisie.
Sous section 2 : La structure organisationnelle
L’informatisation croissante des entreprises a des impacts plus ou moins significatifs sur la structure organisationnelle de la société. Les principaux se résument dans ce qui suit :
- L’organisation générale de la société :
La mise en place des nouvelles technologies de l’information et de la communication engendre des changements importants rattachés au flux des informations et à l’accès aux données. On assiste, désormais, à des centres de décision moins centralisés, à des utilisateurs finaux plus concernés par les nouvelles évolutions, à une implication et à une appropriation des systèmes par le « senior management » et à une augmentation du nombre de personnes accédant à l’information.
Par ailleurs, l’informatisation peut engendrer une redéfinition des responsabilités des employés.
10 IIA : Institute of Internal Auditors
11 AAA : American Accounting Association
Toutefois, il y a lieu de préciser que vu la complexité de plus en plus importante des nouvelles technologies de l’information et de la communication, la maîtrise convenable de l’outil informatique dans son sens large, c’est à dire l’interdépendance entre la source des données, leur mode de traitement, leur sortie et leur utilisation, est limitée à un nombre de personnel très réduit. Ces personnes connaissent normalement un nombre suffisant de faiblesses de contrôle interne pour modifier les programmes, les données, leur traitement et leur conservation.
- L’organisation du service informatique :
La structure organisationnelle du service informatique couvre deux aspects : (a) la place de la fonction dans la structure globale de l’entreprise et (b) la structure interne du service informatique.
Ces deux volets dépendent de l’importance des traitements informatiques, du nombre de personnes employées dans le service et des techniques de contrôle utilisées.
Ci-après, un organigramme d’une direction informatique importante :
- L’externalisation du système d’information :
Equipe de salle (contrôle/pupitrage)
Téléphone et multimédia
Administration et modalisation de données
Performance
Surveillance du réseau
Bureautique
Groupe projet 2
Télétraitement
Planification ordonnancement
Ingénierie
Groupe projet 1
Système de base
Statistiques / Tableaux de bord
Recette
Architecture
Méthodes
Veille technologique
« Help Desk »
Support technique
Administrateur de sécurité
Responsable télécommunication
Responsable études et développement
Responsable système
assistance aux utilisateurs
responsable exploitation
Responsable sécurité
Directeur du système d’information
Certaines entreprises externalisent leur système d’information en le confiant à un tiers chargé d’assurer sa gestion et son exploitation. Il existe une multitude de formules possibles.
D’après les chiffres parus dans le journal « les Echos »12, l’externalisation des technologies de l’information représentait sur le plan mondial un marché de 100 milliards de dollars en 1998, et passerait à 120 milliards de dollars en 2002 et 150 milliards de dollars en 2004.
Par ailleurs, et toujours selon la même référence, une étude récente montre que le quart des entreprises qui externalisent leurs technologies de l’information et de la communication rencontrent des difficultés sérieuses. Les coûts cachés et la crédibilité du prestataire restent les principaux risques de l’externalisation.
Parmi les principaux avantages et inconvénients de l’externalisation, nous citons : Avantages :
- L’amélioration de la performance
- La réduction de la gestion du système d’information
- La mise en œuvre plus rapide de systèmes
- La limitation des dépenses
- Un meilleur contrôle sur l’activité principale
- Une plus grande expertise en système d’information
12 Leslie Willcocks et Chris Sauer, « Externaliser les technologies de l’information », Les Echos, jeudi 2 Novembre 2000.
Inconvénients :
- Des coûts dépassant les attentes
- La perte de l’expertise interne en système d’information
- La perte de contrôle sur le Système d’Information
- La faillite du prestataire
- L’accès limité au produit
- La difficulté de renverser ou de changer les dispositions externalisées.
- La séparation des tâches incompatibles :
La séparation des tâches incompatibles est parfois plus difficile dans un milieu informatisé en raison, essentiellement, des facteurs suivants :
- Réduction du nombre de personnes intervenantes, auparavant, dans le traitement manuel des opérations contre une augmentation du staff informatique centralisant, généralement, de nombreux aspects des systèmes.
- Les informations comptables et de gestion et les programmes d’application de l’entreprise sont stockés sur des mémoires électroniques et accessibles à beaucoup de personnes au moyen de terminaux. En l’absence de contrôle d’accès appropriés, les personnes ayant accès à des traitements informatiques ou à des fichiers peuvent être en mesure de réaliser des fonctions qui devraient leur être interdites ou de prendre connaissance de données sans y être autorisées et sans laisser de traces visibles.
- Quand le service informatique est important, il est en général plus facile de séparer les tâches incompatibles. Toutefois, dans les entreprises de taille moyenne, la formalisation des tâches à l’intérieur des différentes fonctions est beaucoup moins développée que dans un service d’une taille plus importante.
Ainsi, il convient de préciser que la séparation classique des tâches dans un environnement non informatisé, n’est pas totalement efficace dans un système informatisé, mais peut être renforcée par différents types de logiciels destinés à limiter l’accès aux applications et aux fichiers. Il est donc nécessaire d’apprécier les contrôles portant sur l’accès aux informations afin de savoir si la ségrégation des tâches incompatibles a été correctement renforcée.
Pour les petites entreprises, il est difficile de mettre en place une séparation convenable des tâches. Toutefois, l’implication plus importante de la direction peut compenser cette déficience.
Signalons qu’au regard du système informatique, il existe trois types d’utilisateurs :
- Les utilisateurs non autorisés : Il s’agit des intrus externes comme par exemple : les pirates des systèmes (hackers) et les anciens employés. Des contrôles préventifs, particulièrement des contrôles d’authentification des utilisateurs, répondent à ce type de risque. Des contrôles détectifs complémentaires permettent de révéler les éventuels accès réussis.
- Les utilisateurs enregistrés : L’accès de ces utilisateurs devrait être limité aux applications et aux données rattachées à leurs fonctions. Des contrôles préventifs pour ce type d’utilisateurs se présentent sous forme de contrôle d’authentification des utilisateurs et d’allocations de droits limités aux applications nécessaires à l’exécution de leurs tâches.
- Les utilisateurs privilégiés : Il s’agit de l’administrateur système, les développeurs, les responsables de l’exploitation. Ces utilisateurs nécessitent des privilèges de système ou de sécurité pour la réalisation de leurs travaux.
Bien que les organisations aient besoin de confier les clefs de leur royaume à quelqu’un, c’est tout de même important de rappeler que le privilège et le contrôle ne doivent pas être mutuellement exclusifs. Les privilèges doivent être assignés avec la mise en place de contrôles afin de s’assurer que ces privilèges ne sont pas abusés. Les contrôles détectifs, tels que l’examen des événements de la sécurité et des changements de statut, sont nécessaires pour répondre aux abus potentiels de privilèges spéciaux.
Par ailleurs, à l’intérieur du département informatique, si les fonctions incompatibles ne sont pas correctement séparées, des erreurs ou irrégularités peuvent se produire et ne pas être découvertes dans le cours normal de l’activité.
Des changements non autorisés dans des programmes d’application ou dans des fichiers peuvent être difficiles à détecter dans un environnement informatique. C’est pourquoi, des mesures préventives touchant en particulier le respect de la séparation des fonctions principales de programmation et d’exploitation deviennent indispensables pour assurer la fiabilité de l’information financière. A titre indicatif, les dispositions suivantes devraient être respectées :
- Interdiction aux analystes fonctionnels et programmeurs de mettre en marche le système et de l’exploiter
- Interdiction aux programmeurs d’accéder aux environnements de production
- Interdiction aux opérateurs d’effectuer des modifications de programmes ou de données
Dans les départements informatiques plus petits, là où la séparation des tâches n’est pas possible, la capacité à éviter toute opération non autorisée à l’intérieur du département informatique est diminuée. Dans ce cas, les contrôles de compensation deviennent particulièrement importants. Ces contrôles compensatoires peuvent être des contrôles puissants lors de la saisie des données, un traitement correct et complet exercé par les départements utilisateurs et une forte supervision de l’exploitation en cours.
Questions Fréquemment Posées
Quels sont les impacts de l’informatisation sur la structure organisationnelle des entreprises ?
L’informatisation croissante des entreprises engendre des changements importants rattachés au flux des informations et à l’accès aux données, avec des centres de décision moins centralisés et une implication accrue des utilisateurs finaux.
Quels sont les avantages de l’externalisation des systèmes d’information ?
Les avantages de l’externalisation incluent l’amélioration de la performance, la réduction de la gestion du système d’information, la mise en œuvre plus rapide de systèmes, et un meilleur contrôle sur l’activité principale.
Quels sont les inconvénients de l’externalisation des technologies de l’information ?
Les inconvénients incluent des coûts dépassant les attentes, la perte de l’expertise interne en système d’information, et la perte de contrôle sur le système d’information.