Comment les contrôles d’application révolutionnent l’audit financier ?

Les contrôles d’application en audit sont cruciaux pour garantir l’intégrité des informations financières. Cette recherche révèle comment l’évolution des technologies de l’information transforme ces pratiques, soulevant des enjeux majeurs pour les auditeurs en Tunisie, avec des implications significatives pour l’avenir de l’audit.

Sous section 2 : Les tests sur les contrôles d’application

Les contrôles d’application garantissent l’intégrité de l’information. Ils peuvent être définis comme étant des contrôles assurant que seulement les données complètes, exactes et valides sont saisies et mises à jour dans le système informatique, que le traitement a été correctement accompli, que les résultats du traitement satisfont les attentes et que l’intégrité de données est maintenue.

Nous rappelons que les principales caractéristiques des contrôles d’application sont les suivantes :

• Ils s’exercent au niveau d’un cycle ou d’une transaction
• Ils visent directement et spécifiquement les objectifs de contrôle (ils peuvent également viser d’autres objectifs d’audit tel que la séparation des exercices).
• Ils peuvent être manuels ou automatisés

Les contrôles d’application qui sont couverts par l’audit informatique sont ceux portant sur les outputs des systèmes et sur les procédures de contrôles programmés et les contrôles manuels s’y rattachant.

L’assurance que les contrôles programmés sont correctement conçus peut être obtenue directement à travers la répétition ou indirectement à travers les résultats des tests sur les contrôles généraux informatiques portant sur les procédures de développement et de mise en place de nouveaux systèmes.

L’étendue des tests varie selon qu’il s’agit de la première année d’audit (ou l’année du changement) ou d’une année suivante sans changements significatifs.

1. La première année ou l’année du changement :

La première année ou l’année du changement se définit comme suit :

• nouveau mandat,
• mandat récurrent mais au cours duquel un changement s’est produit affectant le cycle de façon significative, dont par exemple :
  • changements significatifs au niveau de l’activité ou des risques de l’entreprise susceptibles d’avoir un impact sur la capacité des systèmes à traiter et à assurer la fiabilité des transactions et des soldes,
  • changement au niveau opérationnel ou au niveau des hommes,
  • installation d’un nouveau système ou logiciel,
  • modifications significatives d’un logiciel existant,
  • changements significatifs au niveau de la structure organisationnelle ou au niveau des politiques ou des procédures,
• la première année pour laquelle le niveau de confiance accordée aux contrôles est réévalué alors qu’il avait préalablement été estimé comme « Aucun » ou comme « Moyen ».

Dans ces cas, il s’agit de sélectionner et tester tous les contrôles d’application clés qui permettent d’atteindre les objectifs de contrôle. Cette sélection doit être effectuée en liaison avec la sélection des contrôles de direction clés. La combinaison de ces deux types de contrôles (pilotage et applications) constitue l’ensemble des contrôles clés pour le cycle.

Généralement, l’attention est focalisée plus sur les contrôles d’application que sur les contrôles de direction et ce, en raison du fait que les contrôles d’application fournissent une assurance plus importante quant à la satisfaction des objectifs de contrôle et que la réalisation de tests sur ces contrôles constitue une base d’appui pour les années subséquentes.

2. Les années suivantes sans changements significatifs :

Les contrôles clefs identifiés durant la première année demeurent valables. Toutefois, l’étendue des tests des contrôles d’application clés peut être réduite sur la base de :

• la connaissance et l’expérience d’audit accumulées sur l’entreprise auditée,
• la capacité des contrôles de pilotage à détecter une défaillance au niveau des contrôles généraux informatiques ou au niveau des contrôles d’application, ou des problèmes existants au niveau des systèmes comptables sous-jacents.

Ainsi, dans ce cas, il y a lieu de :

• sélectionner et tester tous les contrôles de pilotage clés qui permettent d’atteindre les objectifs de contrôle
• Sélectionner et tester les contrôles d’application qui permettent d’atteindre les objectifs de contrôle pour lesquels les seuls tests sur les contrôles de pilotage ne fournissent pas une assurance suffisante (en tenant compte de la connaissance et l’expérience d’audit accumulées).

L’assurance que les contrôles programmés fonctionnent correctement et d’une façon permanente tout au long de la période auditée peut être obtenue indirectement à travers les résultats des tests sur les contrôles généraux informatiques portant sur les procédures de maintenance et ceux portant sur la sécurité des systèmes et sur la sécurité de l’exploitation.

En effet, l’auditeur aura toujours besoin de tester les contrôles généraux informatiques pour s’assurer qu’ils demeurent les mêmes et pour s’assurer qu’il n’existe pas de nouvelles faiblesses de nature à réduire l’efficacité et la fiabilité des contrôles directs.

Sous section 3 : Exemple des rôles dévolus à l’audit informatique dans un milieu d’ERP :

Dans un milieu d’ERP, l’audit informatique couvre, généralement, les volets suivants :

Contrôles

Application/ Business Process

Securité ERP

Infrastructure Technique (OS, réseau)

• Contrôles de l’infrastructure technique
• Sécurité ERP
• Contrôles d’application

A/ Contrôle des infrastructures techniques des systèmes d’information :

Les faiblesses éventuelles de l’infrastructure technique de l’ERP peuvent remettre en cause l’environnement de contrôle constitué au sein de l’application. Il est donc essentiel que ce domaine fasse l’objet d’une revue afin de vérifier que de tels risques sont maîtrisés et limités.

Les domaines spécifiques de cette revue comprennent notamment :

• Le système d’exploitation afin de s’assurer que l’accès aux objets, commandes et utilitaires sont convenablement protégés ;
• Les sécurités réseau afin de s’assurer que les accès à l’ERP sont protégés ;
• Les procédures de sauvegarde et de reprise afin de s’assurer que les données essentielles peuvent être récupérées en cas d’incident.

B/ Sécurité ERP :

L’auditeur doit, notamment :

• valider l’existence et la mise en place d’une politique et de procédures adéquates de sécurité des données
• vérifier que la séparation des tâches a été correctement définie dans chacun des modules de l’ERP
• vérifier que des procédures et des directives ont été définies afin d’assurer une séparation des tâches efficace et une maintenance permanente des profils.

C/ Contrôles d’application :

L’auditeur doit couvrir quatre risques liés à l’ERP. Il doit documenter les flux des processus clés de l’entreprise et doit évaluer la pertinence des contrôles exercés sur :

• la saisie des données et les interfaces avec les systèmes amont
• l’identification et la correction des erreurs
• les traitements et les états de sortie
• les procédures concernant les données permanentes

Par ailleurs, pour la première année de mise en exploitation de l’ERP, l’auditeur doit revoir les procédures et les contrôles appliqués au cours du processus de conversion, afin de confirmer que tous les soldes et les données permanentes migrés des systèmes existants vers l’ERP ont été correctement rapprochés des systèmes sources et autorisés.

Conclusion :

Nous pouvons conclure que, dans un environnement de nouvelles technologies de l’information et de la communication, l’audit informatique fait partie intégrante de l’audit financier.

Certains auteurs affirment que l’informatique doit être intégrée à la démarche professionnelle de l’auditeur et que désormais, il n’y a plus d’audit financier sans audit informatique.⁶³

Une démarche de l’audit informatique en support à l’audit financier est présentée dans le chapitre suivant.

________________________

⁶³ Michel LEGER, Didier KING, Pierre COLL et Patrick DE CAMBOURG, « Audit financier : Faire face aux risques informatiques »; 15^ème congrès de l’AFAI ; Revue « Audit et conseil informatique » N°54 ; Janvier – Mars 1998. ↑

Questions Fréquemment Posées

Quels sont les objectifs des contrôles d’application en audit financier ?

Les contrôles d’application visent directement et spécifiquement les objectifs de contrôle, assurant que seules des données complètes, exactes et valides sont saisies et mises à jour dans le système informatique.

Comment les tests sur les contrôles d’application sont-ils réalisés lors de la première année d’audit ?

Lors de la première année d’audit, il s’agit de sélectionner et tester tous les contrôles d’application clés qui permettent d’atteindre les objectifs de contrôle, en liaison avec la sélection des contrôles de direction clés.

Quelle est l’importance des contrôles d’application par rapport aux contrôles de direction ?

L’attention est généralement plus focalisée sur les contrôles d’application car ils fournissent une assurance plus importante quant à la satisfaction des objectifs de contrôle.