Quelles sont les meilleures pratiques d’audit financier en 2024 ?

Les meilleures pratiques en audit financier révèlent que l’intégration des technologies de l’information transforme radicalement les processus d’audit. Cette recherche met en lumière les défis et opportunités pour les auditeurs tunisiens, offrant des solutions essentielles face aux risques technologiques émergents.

Chapitre 2 : Les Principaux Impacts des Nouvelles Technologies sur l’Audit Financier

Introduction :

Selon la norme internationale d’audit N°401²¹ de l’IFAC, l’existence d’un environnement informatique ne modifie pas l’objectif et l’étendue de la mission d’audit financier.

Toutefois, il a été précisé dans le premier chapitre que la mise en place des nouvelles technologies de l’information et de la communication modifie la saisie et le processus de traitement, la conservation des données et la communication des informations financières et peut, par conséquent, avoir des incidences sur le système comptable et les contrôles internes de l’entité.

Aussi, ces nouvelles technologies redéfinissent un nouveau périmètre de risques de nature financière, opérationnelle et de conformité.

Ce nouveau cadre d’intervention :

• appelle un complément de normes de travail de l’auditeur aussi bien au niveau de la planification qu’au niveau de l’exécution ;
• exige, d’une façon continue, de nouvelles aptitudes et compétences pour faire face à la complexité, de plus en plus croissante, des environnements informatiques.

Ces deux volets font l’objet d’une étude détaillée dans les sections qui suivent.

Section 1 :

Les effets des nouvelles technologies sur la réalisation de l’audit financier

L’audit financier repose, généralement, sur l’examen du système de contrôle interne en place. La démarche de l’auditeur consiste alors à recenser les procédures utilisées et ce, en procédant au découpage de l’entreprise en fonctions, indépendantes ou non, mais facilement isolables.

Cette approche n’a pas connu de révolutions particulières avec la mise en place des applications informatiques traditionnelles. En effet, ces dernières étaient associées aux différentes fonctions de l’entreprise : achats, ventes, stocks, etc.

Toutefois, la mise en place des nouvelles technologies entraîne d’importants changements sur le plan de l’organisation, des processus et de la technologie. Avec les ERP, par exemple, une commande client peut générer une commande fournisseur, un lancement en production, un bon de livraison, une facture, son règlement, et l’enregistrement en comptabilité de ces événements. L’intervention humaine est limitée à la validation ou non de certains processus.

C’est ainsi qu’on parle actuellement de la mutation de l’approche de l’auditeur, de systémique et verticale, pour devenir événementielle et transversale²². Par conséquent, il faudra suivre le chemin parcouru par un événement et étudier son impact sur l’ensemble du système d’information.

Ce nouvel environnement appelle de la part de l’auditeur un complément de normes de travail, dont essentiellement :

• L’examen des nouveaux domaines se rattachant aux nouvelles technologies afin d’obtenir une compréhension suffisante du système comptable et des contrôles internes de l’entreprise,
• L’analyse des nouveaux risques inhérents et des nouveaux risques de non contrôle nécessaire pour l’appréciation du risque d’audit et la planification des travaux,
• La conception, l’exécution et le timing des tests sur les contrôles et des tests substantifs afin de réunir des éléments probants suffisants et adéquats nécessaires pour fonder l’opinion d’audit.

Sous section 1 : Les effets sur la planification de la mission d’audit financier

L’auditeur doit considérer l’importance et la complexité des systèmes et de l’environnement informatique. Il doit, aussi, considérer les nouveaux risques inhérents et les risques de non contrôle associés aux traitements informatisés.

1. La prise de connaissance des systèmes et de l’environnement informatique :

Les changements dans la manière avec laquelle les entreprises réalisent leurs affaires dans un environnement d’ERP et/ou d’Internet devraient être considérés par l’auditeur lors de la planification de la mission. En effet, étant donné les caractéristiques uniques de ces entreprises, une bonne compréhension de ces caractéristiques lors de la planification de la mission est essentielle.

Cette prise de connaissance est limitée aux systèmes ayant une incidence sur les assertions sous-tendant l’établissement des états financiers.

Elle englobe la collecte d’un complément d’informations spécifiques concernant par exemple les éléments suivants :

• • L’organisation de la fonction informatique et le degré de concentration et de décentralisation,
  • Les contrôles de la direction sur la fonction informatique,
  • Dans quelle mesure l’activité repose sur les systèmes informatiques et l’importance et la complexité des traitements informatisés (volume des opérations, calculs complexes, génération automatique des traitements et/ou des opérations, échanges de données, etc.),
  • Les caractéristiques principales des systèmes et des environnements et les contrôles qui y sont rattachés (conception, configuration du matériel informatique, sécurité, disponibilité des données, contrôles liés à l’environnement informatique, contrôles liés aux ERP, etc.),
  • Les changements significatifs en termes de systèmes et d’environnements informatiques,
  • Les problèmes antérieurs identifiés au niveau des systèmes.

La phase de collecte de l’information est plus importante la première année ou l’année du changement avant de pouvoir décider de la stratégie. En revanche, les années suivantes, compte tenu des connaissances d’audit accumulées, le processus doit être plus rapide puisque focalisé uniquement sur les changements de l’exercice.

1. La prise en compte des nouveaux risques inhérents :

Le risque inhérent est « la possibilité que le solde d’un compte ou qu’une catégorie de transactions comporte des erreurs significatives isolées ou cumulées à des erreurs dans d’autres soldes ou catégories de transactions, du fait de l’insuffisance de contrôle interne »²³.

Les risques inhérents associés à l’utilisation des nouvelles technologies de l’information et de la communication sont généralement élevés et ce, en raison de leur extrême flexibilité et complexité, de la multiplicité des systèmes en intégration et de la multiplicité des utilisateurs.

A titre d’exemple, l’absence de sécurité du système d’exploitation peut résulter en des changements de données ou de programmes altérant, par conséquent, la fiabilité des états financiers. En effet, en l’absence de contrôles appropriés, il existe un risque accru que des personnes situées à l’intérieur ou

à l’extérieur (par l’utilisation d’équipements informatiques à distance) de l’entité aient indûment accès aux données et aux programmes et les modifient.

Par ailleurs, « le risque d’erreurs humaines dans la conception, la maintenance et la mise en œuvre d’un système informatique est supérieur à celui d’un système manuel à cause du niveau de détail inhérent à ces systèmes »²⁴.

En outre, en raison de la diminution de l’intervention humaine dans le traitement informatisé d’opérations, les erreurs ou irrégularités se produisant lors de la conception ou de la modification des programmes risquent de passer longtemps inaperçues et entraînent, en général, un traitement incorrect de toutes les opérations.

L’auditeur peut considérer, par exemple, les éléments suivants :

• L’intégrité, l’expérience et les connaissances de la direction informatique
• Les changements dans la direction
• Les pressions exercées sur la direction informatique qui pourraient l’inciter à présenter des informations inexactes
• La nature de l’organisation de l’affaire et des systèmes (Exemples : le commerce électronique, la complexité des systèmes, le manque de systèmes intégrés)
• Les facteurs qui affectent l’organisation dans son ensemble (Exemple : changements technologiques)

Le niveau d’influence d’une partie externe sur le contrôle des systèmes (Exemples : l’externalisation des traitements informatiques, l’accès direct par les clients)

• La susceptibilité de perte ou de détournement des actifs contrôlés par le système

1. La prise en compte des risques liés au contrôle :

Le risque lié au contrôle est défini comme étant « le risque qu’une erreur significative dans un solde de compte ou dans une catégorie de transactions, isolée ou cumulée à des erreurs dans d’autres soldes ou catégories de transactions, ne soit ni prévenue ou détectée, et corrigée en temps voulu par les systèmes comptable et de contrôle interne »²⁵.

Au niveau de la planification, l’auditeur procède à une évaluation préliminaire du risque lié au contrôle. Cette évaluation doit être fixée à un niveau élevé sauf si l’auditeur :

• Parvient à identifier des contrôles internes appliqués à une assertion particulière et susceptibles de prévenir ou détecter et corriger une anomalie significative
• Envisage de réaliser des tests de procédures pour étayer son évaluation.

Les risques liés au contrôle ont été traités au niveau du chapitre précédent. Ils se composent des risques liés aux contrôles directs et des risques liés aux contrôles généraux informatiques.

1. Considérations particulières en cas d’externalisation :

Certaines entreprises font appel à des services bureaux pour tout ce qui se rattache à leur système d’information. Ceci est d’autant plus noté avec l’E-Business où beaucoup d’entreprises utilisent un fournisseur de service Internet (ISP : Internet Service Provider) pour abriter leurs sites Web, y compris les bases de données utilisées pour l’initiation des ventes et des encaissements par cartes de crédit.

Afin de planifier l’audit et concevoir une approche d’audit efficace, l’auditeur doit déterminer l’étendue des prestations rendues par le service bureau et leur incidence sur l’audit.

Les éléments à prendre en considération²⁶ sont, à titre indicatif :

• La nature des prestations du service bureau
• Les conditions contractuelles et relations entre l’entreprise et le service bureau

²⁴ Norme internationale d’audit (ISA) N°401 : « Audit réalisé dans un environnement informatisé », IFAC.

²⁵Norme internationale d’audit (ISA) N°400 : « Evaluation du risque et contrôle interne », IFAC.

²⁶ Norme internationale d’audit N° 402 : « Facteurs à considérer pour l’audit d’entités faisant appel aux services bureaux », IFAC.

• Les assertions significatives sous-tendant l’établissement des états financiers influencées par le recours au service bureau
• Les risques inhérents associés à ces assertions
• Les interactions entre les systèmes comptables et de contrôle interne de l’entreprise et ceux du service bureau
• Les contrôles internes de l’entreprise auxquels sont soumises les transactions traitées par le service bureau
• L’organisation interne et la surface financière du service bureau et l’incidence éventuelle d’une défaillance de ce dernier sur l’entreprise
• Les informations sur le service bureau telles que celles figurant dans les manuels utilisateurs et les manuels techniques
• Les informations disponibles sur les contrôles généraux et d’application de l’entreprise.

L’auditeur doit ensuite évaluer l’incidence des prestations du service bureau sur le système comptable et sur le système de contrôle interne de l’entreprise auditée.

Si l’auditeur conclut que l’incidence en question est significative, il doit rassembler des informations suffisantes pour comprendre les systèmes et évaluer le risque lié au contrôle.

1. La stratégie d’audit :

Les différentes étapes décrites ci-dessus, doivent permettre à l’auditeur de recueillir des indicateurs lui permettant de fixer la stratégie d’audit par cycle et ce afin d’atteindre les objectifs d’audit.

La stratégie d’audit vise à déterminer le mix des procédures à mettre en œuvre pour atteindre les objectifs d’audit, en conciliant au mieux l’efficacité, la gestion du risque et la rentabilité. Elle est définie par rapport au niveau de confiance accordé aux contrôles de direction, contrôles informatiques généraux et les contrôles d’applications.

Avec l’évolution des technologies de l’information et de la communication, l’approche basée sur les systèmes semble être, dans la plupart des cas, la plus adaptée et la plus efficace et ce, en raison notamment de :

• • la conscience de plus en plus ressentie des dirigeants des entreprises de la nécessité de mettre en place les sécurités nécessaires comme condition indispensable de la pérennité,
  • le volume de plus en plus important des transactions, leur complexité et leur étendue,
  • la dématérialisation des informations.

Par ailleurs, cette approche permet aux auditeurs d’apporter de la valeur à l’entreprise à travers des conseils touchant aussi bien les processus que la sécurité des traitements.

________________________

²¹ I.S.A 401 : « Audit réalisé dans un environnement informatisé », (Auditing in a computer information system environment), IFAC. ↑

²² Daniel JOLY, « Les progiciels intégrés et les nouveaux outils informatiques vont ils changer l’approche d’audit ? », Revue Française de Comptabilité, Novembre 1999. ↑

²³ Norme internationale d’audit (ISA) N°400 : « Evaluation du risque et contrôle interne », IFAC. ↑

²⁴ Norme internationale d’audit (ISA) N°401 : « Audit réalisé dans un environnement informatisé », IFAC. ↑

²⁵ Norme internationale d’audit (ISA) N°400 : « Evaluation du risque et contrôle interne », IFAC. ↑

²⁶ Norme internationale d’audit N° 402 : « Facteurs à considérer pour l’audit d’entités faisant appel aux services bureaux », IFAC. ↑

Questions Fréquemment Posées

Quels sont les impacts des nouvelles technologies sur l’audit financier ?

Les nouvelles technologies modifient la saisie et le traitement des données, la conservation des informations et la communication financière, ce qui a des incidences sur le système comptable et les contrôles internes.

Comment les nouvelles technologies redéfinissent-elles les risques en audit financier ?

Les nouvelles technologies redéfinissent un nouveau périmètre de risques de nature financière, opérationnelle et de conformité, nécessitant un complément de normes de travail pour l’auditeur.

Pourquoi l’auditeur doit-il adapter sa planification en fonction des systèmes informatiques ?

L’auditeur doit considérer l’importance et la complexité des systèmes informatiques, ainsi que les nouveaux risques inhérents et les risques de non contrôle associés aux traitements informatisés lors de la planification de la mission.