Les meilleures pratiques d’audit révèlent des enjeux cruciaux pour les entreprises tunisiennes face à l’évolution rapide des technologies de l’information. Cette recherche met en lumière l’intégration indispensable de l’audit informatique, transformant ainsi les compétences requises des auditeurs pour naviguer dans un environnement à risque croissant.
Sous section 2 : La compréhension de l’activité de l’entreprise et de son secteur
Une connaissance approfondie de l’activité de l’entreprise est indispensable pour que la planification de l’audit soit efficace. L’objectif n’est pas de devenir des experts dans le domaine de l’entreprise auditée mais de connaître suffisamment l’entreprise pour pouvoir déterminer les orientations stratégiques de la planification.
Les étapes à suivre peuvent se résumer comme suit :
- Prendre en considération les spécificités du secteur et ce, notamment, en consultant des spécialistes du secteur d’activité et d’autres sources d’information concernant ledit secteur.
- Comprendre ou mettre à jour la compréhension de l’entreprise et de son secteur d’activité, de façon à pouvoir appréhender les événements, les transactions et les pratiques qui peuvent avoir un impact significatif sur les états financiers ou sur le rapport d’audit. L’attention de l’auditeur devrait être focalisée davantage, si l’entreprise :
- utilise l’Internet ou une autre technologie pour la conduite de son affaire. Exemples : l’entreprise achète ou vend des produits ou des services par Internet, l’entreprise procède à des actions de publicité sur son site Web, etc.
- opère dans une industrie où les opérations sont significativement traitées par Internet (Les agents immobiliers, les agences de voyage et les tours opérateurs, etc.).
- Si l’entreprise auditée externalise certaines fonctions, focaliser l’attention sur le caractère significatif de cette externalisation et sa pertinence pour l’audit et ce, en examinant dans quelle mesure cette externalisation des services affecte la comptabilité de l’entreprise et son système de contrôle interne et en y tenant compte dans la planification de l’audit et l’élaboration du programme de travail.
- Comprendre les politiques comptables les plus significatives utilisées et considérer si elles sont appropriées pour l’entreprise auditée et en relation avec les risques que court l’entreprise et la substance économique des transactions.
- Effectuer une revue analytique préliminaire : Il s’agit d’analyser l’information financière ou non financière récente. Les procédures analytiques préliminaires sont nécessaires afin de :
- comprendre les conditions actuelles de l’activité (cash flow, résultat d’exploitation, situation financière,…),
- évaluer les risques de continuité d’exploitation,
- identifier les principales activités et les comptes concernés, la nature et le volume des transactions, les soldes comptables et les éléments inhabituels ou inattendus pouvant traduire un risque de fraude ou d’erreur
- permettre une évaluation préliminaire du seuil de signification.
Sur la base de la compréhension de l’entreprise, de son activité, de son secteur, de ses risques et des contrôles liés, ainsi que des résultats des procédures analytiques préliminaires, l’auditeur doit
identifier et documenter les risques inhérents spécifiques à chaque section d’audit significative, et en tenir compte pour l’élaboration des programmes de travail.
Sous section 3 : La collecte d’informations sur les systèmes et l’environnement informatique
La compréhension des systèmes de l’entreprise et son environnement informatique est nécessaire pour une planification efficace et efficiente. Les informations collectées seront utilisées dans un objectif de détermination du degré d’appui à placer sur le contrôle interne de l’entreprise auditée et par suite de la stratégie d’audit à adopter.
Au cours de la phase de planification, la nécessité de faire appel à des experts en révision informatique doit être considérée en cas de système complexe. L’équipe intervenante sera dans ce cas mixte.
Cette phase de la planification doit apporter à toute l’équipe d’audit une identification et une compréhension suffisante :
- des principaux cycles ainsi que des applications informatiques qui les supportent,
- de l’organisation de la fonction informatique,
- des contrôles de la direction sur la fonction informatique,
- du degré de dépendance de l’activité quotidienne sur les systèmes informatiques,
- des caractéristiques principales des systèmes et environnements,
- des changements significatifs en termes de systèmes et d’environnement informatiques,
- des problèmes antérieurs survenus au niveau des systèmes.
Elle doit permettre à l’auditeur de dégager les facteurs de risques pouvant avoir un impact sur la stratégie d’audit. Nous citons :
- L’existence éventuelle de faiblesses de contrôle relatives à la fonction informatique qui empêchent d’accorder aux contrôles un niveau de confiance déterminé ;
- L’existence de problèmes fondamentaux, concernant la qualité de l’information de gestion, qui pourraient remettre en cause la fiabilité des contrôles de pilotage et par conséquent, empêcher d’accorder à ces contrôles un niveau de confiance déterminé ;
- Les incidences des changements de systèmes ou d’environnements informatiques sur notre connaissance antérieure de la mission et par suite sur la stratégie d’audit ;
- La nécessité de faire recours à des spécialistes au cours de l’audit.
Cette étape importante de la planification fait l’objet d’une étude plus détaillée dans le chapitre suivant.
Sous section 4 : L’évaluation préliminaire des contrôles de direction
Les contrôles de direction (ou aussi les contrôles de pilotage) peuvent être définis comme étant les moyens que la direction utilise pour piloter l’affaire et en contrôler les risques, soit de façon continue tout au long de l’année, soit de façon ponctuelle. Ils peuvent être réalisés par la direction elle-même ou par la fonction d’audit interne.
Les contrôles de direction sont de nature à déceler des erreurs potentielles et/ou des fraudes qui résulteraient des défaillances des systèmes de contrôle interne (y compris les contrôles généraux informatiques) ou des systèmes comptables.
Ils peuvent procurer une certaine confiance sur les contrôles informatiques généraux ou sur les contrôles d’application. A titre d’exemple :
- La revue d’un rapport de revenu avec une connaissance globale du volume livrée
- L’examen des dépenses d’investissement sur la base d’un rapport trimestriel analysant ces dépenses par département et les comparant par rapport aux budgets
Les contrôles de direction s’apprécient au niveau d’un cycle contrairement à l’environnement de contrôle qui s’apprécie au niveau de l’entreprise dans son ensemble. Ils sont détectifs plutôt que préventifs et s’apparentent à des contrôles de vraisemblance, de cohérence, à des revues par exception, à des procédures analytiques, etc.
Les objectifs des contrôles de la direction sont variés et ne visent pas nécessairement des objectifs financiers. En particulier, ils ne visent pas directement et spécifiquement les objectifs de contrôle, mais fournissent une assurance indirecte sur la réalisation de ces objectifs.
L’évaluation préliminaire des contrôles de direction, au niveau de chaque cycle, est effectuée afin de déterminer le niveau de confiance accordé aux contrôles. A ce stade, ces contrôles sont documentés sans pour autant être testés.
Etant donné que les contrôles de direction sont moins détaillés que les contrôles d’application, ils ne peuvent fournir un niveau de confiance aussi élevé. En fait, ils permettent d’identifier qu’il y a un problème mais pas de déterminer quel objectif particulier n’est pas atteint.
En outre, il y a lieu de préciser que le niveau de confiance que l’on peut obtenir des contrôles de direction est très variable. Il dépend notamment de la compétence de la personne chargée d’effectuer le contrôle, de la rapidité avec laquelle il est effectué, de la fiabilité de l’information utilisée, de la probabilité que ce contrôle permette effectivement de déceler des défaillances, etc.
Par ailleurs, et au cas où l’entreprise auditée externalise certaines fonctions, l’auditeur devrait considérer les contrôles de direction relatifs à la fonction du prestataire de services, que ces contrôles de pilotage soient effectués par l’entreprise auditée ou par son prestataire de services.
Questions Fréquemment Posées
Quelles sont les étapes pour comprendre l’activité d’une entreprise lors d’un audit financier?
Les étapes incluent la prise en considération des spécificités du secteur, la mise à jour de la compréhension de l’entreprise et de son secteur d’activité, et l’analyse des politiques comptables significatives utilisées.
Pourquoi est-il important de comprendre l’environnement informatique d’une entreprise lors d’un audit?
Comprendre les systèmes de l’entreprise et son environnement informatique est nécessaire pour une planification efficace et pour déterminer le degré d’appui à placer sur le contrôle interne de l’entreprise auditée.
Comment effectuer une revue analytique préliminaire dans le cadre d’un audit financier?
La revue analytique préliminaire consiste à analyser l’information financière ou non financière récente pour comprendre les conditions actuelles de l’activité, évaluer les risques de continuité d’exploitation, et identifier les principales activités et comptes concernés.