L’approche méthodologique en audit révèle que 70 % des fraudes proviennent de failles dans les contrôles internes. Cette recherche met en lumière l’impact des technologies de l’information sur l’audit financier en Tunisie, transformant ainsi les pratiques et compétences nécessaires pour faire face aux nouveaux défis technologiques.
Sous section 2 : Les effets sur les objectifs de contrôle
L’évaluation des contrôles par l’auditeur se fait par référence aux objectifs de contrôle. Ces derniers se détaillent comme suit :
- La validité des transactions :
Il est essentiel que seulement les transactions valides et autorisées par la direction soient saisies dans le système. Les contrôles sur la validité et l’autorisation sont importants pour la prévention contre les fraudes qui peuvent survenir suite à la saisie et au traitement de transactions non autorisées.
Dans la plupart des cas, les procédures d’autorisation sont similaires à celles d’un système non informatisé. Toutefois, les procédures dans le cadre informatisé peuvent présenter les différences suivantes :
- L’autorisation des données se fait, souvent, lors de la saisie dans le système (ou aussi, dans certains cas, après avoir effectué les contrôles d’exhaustivité et d’exactitude des inputs et des mises à jour) et non lors de l’utilisation des outputs correspondants. Dans ce cas, il est important de s’assurer que l’autorisation demeure valable et que des changements ne peuvent pas être apportés durant les traitements subséquents.
- L’autorisation des données peut être gérée par exception. En effet, c’est l’ordinateur qui identifie et rapporte les éléments identifiés et nécessitant une autorisation manuelle. Dans ce cas, l’attention est focalisée sur les éléments importants susceptibles d’être incorrectes améliorant ainsi l’efficacité et l’efficience des contrôles manuels (exemple : nombre d’heures saisies pour un employé dépasse de 50% les heures normales de travail).
- Dans certains cas, la capacité du programme à tester la validité des éléments est si précise que le recours aux autorisations manuelles n’est plus requis. Exemple : une réception de marchandise peut être rejetée par le système si un bon de commande autorisé correspondant ne figure pas dans ledit système ou figure pour des quantités différentes.
- L’exhaustivité des inputs :
Le contrôle de l’exhaustivité, qui est l’un des contrôles les plus fondamentaux, est nécessaire afin de s’assurer que chaque transaction a été introduite dans le système pour traitement.
En outre, les contrôles de l’exhaustivité consistent à s’assurer que :
- toutes les transactions rejetées sont rapportées et suivies
- chaque transaction est saisie une seule fois
- les transactions doublement saisies sont identifiées et rapportées.
Il existe plusieurs techniques disponibles pour contrôler l’exhaustivité des inputs. Nous citons, à titre indicatif, les contrôles suivants :
- Le contrôle automatisé du respect de la séquence numérique des différents documents : L’ordinateur rapporte les numéros manquants des pièces justificatives ou ceux existants doublement afin d’être suivis d’une façon manuelle. La réalisation effective de ce contrôle suppose l’existence de procédures adéquates dont par exemple les procédures de gestion des ruptures de la séquence, les procédures à suivre en cas d’utilisation concomitante de plusieurs séquences à la fois (cas d’une entreprise à plusieurs agences, exemple : banques). En outre, le fichier des numéros manquants ou doubles devrait être protégé contre toute modification non autorisée.
- Le rapprochement automatique avec des données déjà saisies et traitées : Exemple : rapprochement des factures avec les bons de livraison. Dans ce cas, l’ordinateur doit permettre la génération d’un rapport des éléments non rapprochés pour s’assurer que toutes les livraisons clients ont été facturées.
- L’exactitude des inputs :
L’exactitude des inputs consiste à s’assurer que chaque transaction, y compris celle générée automatiquement par les systèmes, est enregistrée pour son montant correct, dans le compte approprié et à temps.
Le contrôle de l’exactitude se rattache aux données de la transaction traitée par contre le contrôle de l’exhaustivité se limite à savoir, uniquement, si la transaction a été traitée ou pas.
Le contrôle de l’exactitude devrait englober toutes les données importantes que ce soit des données financières (exemple : quantité, prix, taux de remise, etc.) ou des données de référence (exemple : numéro du compte, date de l’opération, les indicateurs du type de la transaction, etc.). L’appréciation des contrôles de l’exactitude se fait par référence aux éléments de données jugés importants.
Il existe plusieurs techniques qui peuvent être utilisées pour contrôler l’exactitude des inputs. Nous en citons, à titre d’exemple, les suivantes :
- Le rapprochement automatique avec les données déjà saisies et traitées : Il s’agit de la même technique détaillée ci-dessus. Toutefois, l’action devrait être focalisée sur les données composant la transaction et non uniquement sur l’existence de la transaction.
- Le contrôle de la vraisemblance : Il s’agit, par exemple, de tester si les données saisies figurent dans une limite prédéfinie. Les données n’obéissant pas à cette limite ne sont pas nécessairement des données erronées mais sont douteuses et nécessitent des investigations supplémentaires.
Ce type de contrôle est mis en place pour les éléments de données qu’il est souvent difficile ou non pratique de contrôler autrement. Exemple : dans une application de paie, contrôler si le nombre d’heures travaillées par semaine ne dépasse pas 60 heures.
- L’intégrité des données :
Il s’agit des contrôles permettant d’assurer que les changements apportés aux données sont autorisés, exhaustifs et exacts.
Les contrôles d’intégrité sont requis aussi bien pour les données des transactions que pour les fichiers de données permanentes et semi-permanentes. Ils sont désignés pour assurer que :
- les données sont à jour et que les éléments inhabituels nécessitant une action sont identifiés
- les données conservées dans les fichiers ne peuvent être changées autrement que par les cycles de traitements normaux et contrôlés.
Les techniques les plus utilisées pour contrôler et maintenir l’intégrité des données sont les suivantes :
- La réconciliation des totaux des fichiers : Cette réconciliation peut se faire d’une façon manuelle ou par le système.
- Les rapports d’exception : Cette technique implique que le système informatique examine les données du fichier et rapporte sur les éléments qui semblent incorrects ou hors date. Exemple : cette technique peut être utilisée pour contrôler l’exactitude des fichiers des prix de valorisation des stocks en produisant périodiquement les rapports d’exception suivants :
- Les prix n’ayant pas été modifiés pour une certaine période
- Les prix ayant des relations anormales avec les prix de vente
- Les prix ayant eu des fluctuations anormales.
- Vérification détaillée des données des fichiers : Cette vérification se fait par sondage. Sa fréquence dépend largement de l’importance des données et de l’existence et de la force des autres contrôles en place.
- L’exhaustivité des mises à jour :
Le contrôle de l’exhaustivité des mises à jour est désigné pour s’assurer que toutes les données saisies et acceptées par l’ordinateur ont mis à jour les fichiers correspondants.
Les contrôles sur l’exhaustivité des inputs peuvent être applicables pour contrôler l’exhaustivité des mises à jour. Toutefois, d’autres techniques propres existent dont, notamment, la réconciliation manuelle ou automatisée du total des éléments acceptés.
- L’exactitude des mises à jour :
Lorsque les fichiers informatiques sont mis à jour, des contrôles sont nécessaires afin de s’assurer que la nouvelle entrée est correctement traitée et a correctement mis à jour les bons fichiers.
Parmi les techniques utilisées pour s’assurer de l’exactitude des mises à jour, nous citons : Le rapprochement avec des données antérieures. Cette méthode est communément utilisée pour s’assurer de l’exactitude des modifications du fichier des données permanentes. Exemple : La modification du prix d’un article est saisie avec son ancienne valeur. L’ordinateur rapproche la référence et l’ancien prix saisi avec le fichier des données permanentes correspondant. La modification n’est acceptée que si le rapprochement aboutisse.
- Limitation d’accès aux actifs et aux enregistrements :
Ces contrôles visent la protection des actifs et des enregistrements contre les pertes dues aux erreurs et aux fraudes. Nous distinguons : la limitation d’accès et la séparation des tâches.
- La limitation d’accès : Ce contrôle est destiné à éviter que des personnes non autorisées puissent accéder aux fonctions de traitement ou aux enregistrements, leur permettant de lire, modifier, ajouter ou effacer des informations figurant dans les fichiers de données ou de saisir des transactions non autorisées pour traitement.
Les contrôles d’accès visent, ainsi, à :
- Protéger contre les changements non autorisés de données
- Assurer la confidentialité des données.
- Protéger les actifs physiques tels que la trésorerie et les stocks.
- La séparation des tâches : Le principe de la séparation des fonctions incompatibles est le même quel que soit le moyen de traitement (manuel ou informatisé). Toutefois, dans un milieu informatisé, la séparation des tâches peut être renforcée par différents types de logiciels destinés à limiter l’accès aux applications et aux fichiers. Il est donc nécessaire d’apprécier les contrôles portant sur l’accès aux informations afin de savoir si la ségrégation des tâches incompatibles a été correctement renforcée.
Enfin, il convient de préciser que ces objectifs de contrôle peuvent être regroupés selon les objectifs de contrôle classiques d’exhaustivité, d’exactitude, de validité et d’accès limité comme précisé dans le tableau suivant :
| Tableau des objectifs de contrôle | |
|---|---|
| Paramètre/Critère | Description/Valeur |
| Validité des transactions | Transactions valides et autorisées par la direction. |
| Exhaustivité des inputs | Chaque transaction a été introduite dans le système pour traitement. |
| Exactitude des inputs | Chaque transaction est enregistrée pour son montant correct. |
| Intégrité des données | Les changements apportés aux données sont autorisés, exhaustifs et exacts. |
| Exhaustivité des mises à jour | Toutes les données saisies et acceptées ont mis à jour les fichiers correspondants. |
| Exactitude des mises à jour | La nouvelle entrée est correctement traitée et a mis à jour les bons fichiers. |
| Limitation d’accès | Protection des actifs et des enregistrements contre les pertes. |
Questions Fréquemment Posées
Quels sont les objectifs de contrôle dans l’audit financier ?
Les objectifs de contrôle dans l’audit financier incluent la validité des transactions, l’exhaustivité des inputs et l’exactitude des inputs.
Comment l’autorisation des données est-elle gérée dans un système informatisé ?
L’autorisation des données peut se faire lors de la saisie dans le système ou par exception, où l’ordinateur identifie les éléments nécessitant une autorisation manuelle.
Quelles techniques sont utilisées pour contrôler l’exhaustivité des inputs ?
Les techniques pour contrôler l’exhaustivité des inputs incluent le contrôle automatisé de la séquence numérique des documents et le rapprochement automatique avec des données déjà saisies.