Comment le cadre théorique redéfinit-il l’audit financier en Tunisie ?

Le cadre théorique de l’audit révèle comment l’évolution des technologies de l’information transforme les pratiques d’audit financier. Cette recherche met en lumière des enjeux cruciaux pour les auditeurs, face à des risques technologiques croissants, redéfinissant ainsi les compétences et les méthodes nécessaires dans un contexte tunisien.

Sous section 4 : Les effets sur la nature et le calendrier des procédures d’audit

Selon la norme internationale d’audit N°401 de l’IFAC, un environnement informatique, et plus particulièrement de nouvelles technologies, peut avoir une incidence sur la conception et l’exécution des tests sur les contrôles et des tests substantifs nécessaires pour atteindre l’objectif d’audit.

En effet, certains objectifs de l’évolution des technologies de l’information et de la communication sont antinomiques des besoins de l’auditeur, dont par exemple :

Objectifs Impact sur les procédures d’audit

• Eviter le travail manuel par l’automatisation des tâches et des contrôles
• Dématérialiser l’information pour supprimer le papier

 Exclut l’analyse des procédures par l’observation et l’entretien

 Ceci rend difficiles les travaux de contrôle sur documents

• Unifier l’accès aux informations en favorisant 

le partage de données communes

• La sécurité d’accès est gérée par le système 

Ceci rend plus complexe l’approche des procédures d’habilitation et d’autorisation

L’auditeur doit répondre, essentiellement, aux questions suivantes :

• Comment vérifier l’existence et le fonctionnement des contrôles qui deviennent informatiques ?
• Comment vérifier la génération des informations, qui s’appuie sur des mécanismes préprogrammés ?
• Comment remonter aux documents d’origine, s’ils n’existent plus ?
• Comment s’assurer de la réalité de la séparation des fonctions ?

Nous présentons, dans ce qui suit, les principaux effets sur la nature et le calendrier des procédures d’audit.

1. Les tests sur les contrôles :

Dans un milieu informatisé, les types de tests sur les contrôles sont les mêmes que dans un milieu non informatisé. Normalement, l’auditeur applique une ou plusieurs des procédures suivantes (classées selon l’ordre croissant du niveau d’assurance et du temps d’exécution) :

• La demande et l’affirmation : Les demandes consistent à chercher les informations et affirmations appropriées auprès du personnel de l’entreprise. Ils peuvent avoir pour but de connaître et mettre à jour la connaissance de l’activité de l’entreprise et d’obtenir des preuves concernant la fiabilité des systèmes de l’entreprise.

En général, les preuves obtenues à partir des demandes et affirmations ne constituent pas en elles-mêmes des preuves d’audit suffisamment fiables et pertinentes. L’auditeur doit les confirmer par d’autres procédures d’audit.

• L’observation : En général, l’observation ne peut apporter des preuves très fiables du fonctionnement des contrôles qu’au moment de sa réalisation. De ce fait, l’auditeur doit réaliser d’autres procédures destinées à s’assurer que les contrôles ont été mis en œuvre de manière continue tout au long de la période auditée.
• L’examen d’une évidence tangible : La preuve que les procédures de contrôle interne ont été correctement appliquées peut être apportée par la recherche dans les documents de signes, tels que des initiales ou une signature, indiquant que le contrôle a été effectué.

Des preuves concernant le contrôle interne peuvent aussi être fournies par l’examen de la documentation des systèmes, des manuels d’utilisation, des organigrammes ou des descriptions des postes. Ces documents décrivent les systèmes préconisés par la direction générale mais n’apportent pas la preuve que, dans la pratique, les contrôles sont effectués de manière régulière.

• La répétition : Il s’agit de refaire les contrôles effectués par l’entreprise ou les fonctions de traitement afin de s’assurer de leur exactitude. Refaire un contrôle peut fournir deux sortes de preuves :
• Des preuves de l’exactitude arithmétique et de la fiabilité du traitement des transactions comptables. Cette démarche est généralement essentielle pour obtenir l’assurance que les documents comptables sont complets et exacts.
• La découverte dans une transaction d’erreurs non détectées par les systèmes de contrôle est le signe du non-fonctionnement d’un contrôle ou d’une faiblesse dans les systèmes de contrôle.

En cas d’erreurs dans la transaction, la répétition d’un contrôle prouve soit son efficacité, si les erreurs ont été détectées et résolues de manière satisfaisante, soit son inefficacité. En l’absence d’erreurs dans la transaction, la répétition du contrôle ne permet pas de déterminer son manque de fiabilité ou les cas dans lesquels il n’a pas été réalisé avec efficacité.

Il y a lieu d’indiquer que la répétition n’est normalement considérée que si les autres procédures ne permettent pas l’obtention d’une assurance suffisante que le contrôle fonctionne d’une façon effective. En outre, un contrôle peut être si significatif (ayant des conséquences significatives sur la fiabilité des états financiers) que l’auditeur doit obtenir d’autres éléments probants assurant son fonctionnement effectif.

Exemple : Le contrôle désigné pour assurer l’exhaustivité, l’exactitude et l’autorisation de la mise à jour du fichier des données permanentes afférent aux taux d’intérêt dans une banque peut être si significatif pour l’exactitude des intérêts comptabilisés que l’auditeur cherchera d’autres éléments probants assurant le fonctionnement effectif du contrôle.

Signalons qu’en cas d’exceptions relevées, l’auditeur doit apprécier leurs implications possibles sur l’audit. Ceci est d’autant plus important en cas d’exceptions qui mettent en cause des systèmes informatiques. En effet, si les contrôles automatisés (et les contrôles manuels s’y rattachant) ou les fonctions de traitement informatisées sont inefficaces à un moment donné, il est probable qu’un certain nombre de transactions soient affectées. Par exemple :

• Une erreur décelée dans la logique de la fonction de traitement informatisée qui calcule les factures de vente affectera tous les calculs effectués de la même façon,
• Une erreur dans les prix de vente unitaires utilisés dans la préparation des factures aura pour conséquence de fausser toutes les facturations effectuées depuis l’apparition de l’erreur.

Une fois l’auditeur a déterminé que le contrôle automatisé fonctionne comme prévu, il doit considérer la réalisation des tests pour s’assurer que les contrôles ont fonctionné d’une façon permanente.

En raison de l’uniformité des traitements informatiques, un contrôle programmé est censé fonctionner d’une façon permanente sauf en cas de changement d’application. Par conséquent, la permanence des procédures de contrôles programmés n’est pas mise en cause lorsque les contrôles généraux informatiques sont effectivement opérationnels.

Il en découle que si l’auditeur a testé les contrôles généraux informatiques et a conclu qu’ils sont réellement fonctionnels, ceci constitue une évidence que les procédures de contrôles programmés ont été opérationnelles tout au long de la période auditée.

Ces tests peuvent englober la détermination que des modifications n’ont pas été apportées aux programmes sans respecter les contrôles appropriés des changements de programmes, que la version autorisée du programme est utilisée et que les contrôles généraux informatiques sont effectifs.

1. Les tests substantifs :

L’élaboration d’une approche d’audit adaptée aux risques identifiés suppose que l’on choisisse des procédures apportant un niveau approprié de conviction globale pour chaque assertion. Ainsi, les tests substantifs servent à valider les assertions d’audit non couvertes par les contrôles.

Les principaux types de tests substantifs sont les suivants :

• Procédures analytiques
• Demande d’informations et de confirmations
• Examen des documents et des enregistrements.

Dans un environnement de nouvelles technologies, les procédures analytiques sont, généralement, plus efficaces et plus efficientes que les tests de détail.

Par ailleurs, il y a lieu de noter que dans certaines circonstances où les éléments probants sont sous forme électronique, il peut ne pas être pratique ou possible de réduire le risque d’audit à un niveau acceptable en réalisant uniquement des tests substantifs. Le recours aux tests sur les contrôles est indispensable pour s’assurer de l’exactitude et de l’exhaustivité de ces éléments probants.

1. Le recours aux techniques d’audit assistées par ordinateur (TAAO) :

Dans un environnement de nouvelles technologies et en raison de la nature des systèmes informatiques, il est rarement possible de réaliser tous les tests requis d’une façon manuelle.

L’auditeur peut être conduit à appliquer des techniques qui utilisent l’ordinateur comme aide à l’audit. Ces techniques sont appelées Techniques d’Audit Assistées par Ordinateur²⁸ (TAAO).

Le recours aux TAAO peut être nécessaire dans les cas suivants :

• L’absence de documents d’entrée ou la production informatisée de transactions comptables par des programmes informatiques (par exemple, le calcul automatique des escomptes) peuvent empêcher l’examen des pièces justificatives par l’auditeur ;
• L’absence de visualisation du chemin d’audit ne permet pas à l’auditeur de suivre matériellement les opérations ;
• L’absence d’un document de sortie matérialisé peut exiger l’accès à des données conservées dans des fichiers lisibles uniquement par l’ordinateur.
• Le temps imparti à la réalisation de l’audit est limité.

Par ailleurs, l’utilisation des TAAO peut, dans certains cas, améliorer l’efficacité et l’efficience des procédures d’audit. En effet, l’utilisation des techniques informatisées offre l’accès à une quantité plus importante de données conservées dans le système informatique. En outre, dans le cas de systèmes informatiques complexes et intégrés, l’utilisation des TAAO ne répond pas uniquement à un objectif d’efficience de l’audit mais représente aussi à un élément nécessaire à son efficacité.

Les deux techniques d’audit assistées par ordinateur les plus fréquemment utilisées sont les logiciels d’audit et les jeux d’essai.

En outre, certains systèmes prévoient des commandes qui peuvent être utilisées par l’auditeur. Nous en citons à titre d’exemple la commande qui renseigne sur la gestion des mots de passe.

1. Le cas particulier de l’externalisation :

Les éléments probants, se rattachant aux contrôles, sont obtenus par :

• La réalisation des tests sur les contrôles auxquels l’entreprise soumet les activités du service bureau
• La réalisation des tests sur les contrôles directement sur le service bureau
• L’obtention d’un rapport de l’auditeur du service bureau sur l’efficacité du fonctionnement du système comptable et des contrôles internes du service bureau relatifs aux applications considérées dans l’audit.

Pour ce dernier cas, nous devons signaler que les rapports sont de deux types :

• Rapport sur l’adéquation de la conception
• Rapport sur l’adéquation de la conception et sur l’efficacité de fonctionnement

Dans tous les cas, l’auditeur doit envisager de vérifier les compétences professionnelles de l’auditeur du service bureau pour la mission spécifique qui lui a été confiée.

Toutefois, et vu la nouveauté des nouvelles technologies de l’information et de la communication, il est improbable que l’auditeur puisse obtenir ce genre de rapports. Dans ce cas, et en absence des autres possibilités mentionnées ci-dessus, l’auditeur peut être amené à considérer une limitation d’étendue au niveau de son opinion.

1. Le calendrier des procédures d’audit :

Le calendrier des procédures d’audit est devenu un point critique de l’audit. Dans un environnement de nouvelles technologies, le calendrier traditionnel peut être, dans certains cas, inadéquat.

• 1. Limitation de la conservation des évidences électroniques :

Le déroulement des procédures d’audit peut être influencé par le fait que des documents source, certains fichiers informatiques et d’autres éléments nécessaires à l’auditeur ne sont disponibles que pendant une courte période.

²⁸ Traduction française de « Computer Assisted Audit Techniques » (CAAT’s).

En effet, les programmes informatiques peuvent résumer des transactions sur une base périodique et après purger, mettre à jour, changer, modifier, ou écrire sur les enregistrements originaux et détaillés des transactions. (Exemple : L’ERP Système 21 de JBA ne permet pas l’édition ou la consultation d’un état détaillé des stocks à une date antérieure donnée mais uniquement à la date de l’édition).

Par conséquent, l’auditeur devrait considérer, lors de l’élaboration de son calendrier d’intervention, la période au cours de laquelle l’information à tester existe ou est disponible.

• 1. Dispositions en cas de mise en place de nouvelles applications :

Lorsque le système est nouveau, l’auditeur peut décider de ne pas se fier aux contrôles de mise en place. Il pourra décider de tester les procédures de programmes au moment où le système devient opérationnel.

Toutefois, l’auditeur peut participer lors de la mise en place ou lors des modifications de tout système même s’il n’entend pas s’y fier et ce afin de fournir un service additionnel à la société en lui indiquant les déficiences au moment où l’on peut encore y remédier et afin de s’assurer que les modalités de contrôle nécessaires ont bien été prévues.

Cette possibilité correspond à une nécessité de la pratique dans la mesure où les demandes a posteriori de l’auditeur pour une amélioration des procédures programmées de contrôle sont souvent irréalistes pour l’entreprise en raison des coûts et des aspects techniques à résoudre. La mise en œuvre de cette possibilité suppose la compétence et le maintien de l’indépendance de l’auditeur²⁹.

________________________

²⁸ Traduction française de « Computer Assisted Audit Techniques » (CAAT’s). ↑

Questions Fréquemment Posées

Quels sont les impacts des nouvelles technologies sur les procédures d’audit?

Les nouvelles technologies peuvent exclure l’analyse des procédures par l’observation et l’entretien, rendant difficiles les travaux de contrôle sur documents.

Comment l’auditeur vérifie-t-il les contrôles informatiques?

L’auditeur doit répondre à des questions telles que comment vérifier l’existence et le fonctionnement des contrôles qui deviennent informatiques.

Quelles sont les procédures d’audit dans un environnement informatisé?

Les types de tests sur les contrôles sont les mêmes que dans un milieu non informatisé, incluant la demande et l’affirmation, l’observation, l’examen d’une évidence tangible et la répétition.

Pourquoi l’observation est-elle limitée dans l’audit financier?

L’observation ne peut apporter des preuves très fiables du fonctionnement des contrôles qu’au moment de sa réalisation, nécessitant d’autres procédures pour s’assurer de la mise en œuvre continue des contrôles.