Comment la méthodologie d’audit informatique révolutionne l’audit financier en Tunisie ?

La méthodologie d’audit informatique est essentielle pour naviguer dans l’évolution rapide des technologies de l’information. Cette recherche révèle comment son intégration transforme les pratiques d’audit financier en Tunisie, offrant des solutions face aux nouveaux risques technologiques critiques pour les entreprises modernes.

Chapitre 2 : Présentation de la Démarche de l’Audit Informatique En support à l’Audit Financier

Introduction :

Le présent chapitre se propose d’apporter une contribution à la recherche d’une méthodologie d’audit informatique comme support à l’audit financier. Cette méthodologie est à développer et à adapter à chaque contexte technique rencontré. Elle peut être aussi utilisée dans une mission spéciale d’audit informatique avec, généralement, un champ d’action plus élargi.

Notons, tout d’abord, qu’en raison de la complexité croissante des systèmes, la majorité des cabinets internationaux ont développé des équipes internes spécialisées dans l’audit informatique. Dans leurs travaux, ces derniers entreprennent leur audit en réelle collaboration avec l’équipe d’audit financier mais d’une façon indépendante de point de vue formalisme⁶⁴. La démarche présentée ci-après tient compte de ce fait.

Section 1 :

La planification de la mission d’audit informatique

Sous section 1 : Le lancement de la mission d’audit informatique :

Le lancement de la mission d’audit informatique s’intègre dans celui de la mission principale d’audit financier. Son rôle de départ se limite à la collecte d’informations sur les systèmes et l’environnement informatique.

Le lancement de la mission consiste, essentiellement, à organiser une réunion de mobilisation comprenant les membres clefs de l’équipe afin d’aborder, principalement, les aspects suivants :

• Revoir les points soulevés lors de la réunion de clôture de la dernière intervention sur l’entreprise,
• Evaluer la connaissance et l’expérience d’audit accumulées sur l’entreprise et la consolider avec les connaissances acquises par l’intermédiaire des contacts réguliers avec la direction et des autres missions éventuelles menées pour l’entreprise,
• Déterminer le processus de collecte d’informations le plus optimal pour mettre à jour les informations sur le système informatique de l’entreprise. Ceci suppose au préalable une parfaite coordination avec l’équipe d’audit financier et avec les différents responsables concernés de l’entreprise,
• Envisager la coordination avec l’équipe d’audit interne,
• Examiner les problèmes de coordination en cas d’audit sur plusieurs sites.

⁶⁴ Cette séparation est, essentiellement, pour des raisons techniques et de suivi administratif du dossier.

Sous section 2 : L’information sur les systèmes et l’environnement informatique

Cette phase se compose, essentiellement, de deux principales étapes à savoir :

• L’établissement de la cartographie des fonctions et systèmes informatiques et identification des cycles
• Collecte d’informations sur les systèmes et l’environnement informatique

1. L’établissement de la cartographie des fonctions et systèmes informatiques et identification des cycles :

L’auditeur doit identifier les principaux cycles et établir la cartographie des fonctions et systèmes informatiques applicables aux sections d’audit liées à chacun de ces cycles. Ces travaux permettront de :

• déterminer la relation entre les états financiers et les fonctions et systèmes qui les génèrent
• déterminer les environnements et les applications informatiques à aborder au cours de la revue générale des contrôles généraux informatiques
• déterminer quelles fonctions et quels systèmes informatiques doivent être revus pour chaque cycle.

Ces travaux sont, généralement, menés d’une façon conjointe entre l’auditeur « généraliste » et l’auditeur « spécialiste des systèmes ».

La collecte de l’information se fait en discutant avec les responsables opérationnels, les responsables financiers et les responsables informatiques ainsi qu’en examinant la documentation correspondante existante.

La cartographie doit permettre de répondre aux questions suivantes :

• Quels sont les principaux cycles ?
• Quelles sont les sections d’audit clés ?
• Quelles sont, parmi ces sections d’audit, celles dont les données sont principalement issues de traitements informatiques ?
• Comment les sections d’audit sont-elles reliées avec les cycles ?
• Quelles sont les principales activités au sein de chacun des cycles ?
• Comment ces activités sont-elles initiées ?
• Quels sont les documents comptables et autres documents significatifs relatifs à ces cycles ?
• Quel est le processus comptable et le processus de reporting financier de l’initiation des transactions significatives jusqu’à l’inclusion dans les états financiers ?
• Quels sont les systèmes sous-jacents de chacune des activités au sein des cycles ?
• Sur quels environnements informatiques les systèmes fonctionnent-ils ?
• Quels sont les autres systèmes à prendre en compte dans la planification de l’audit ?

Elle se présente le plus souvent sous la forme d’un diagramme ou, dans le cas de systèmes moins complexes, sous la forme d’un tableau. Toute information utile à la planification devrait y être portée, tels que les volumes, les montants et la fréquence des transactions.

Dans ce qui suit, nous présentons un exemple simple de cartographie afférent au cycle « revenu »⁶⁵ :

⁶⁵ Cartographie extraite de l’ouvrage du cabinet international PricewaterhouseCoopers, « The PwC audit », 1999.

Cycle Revenu :

Revenue cycle (Direct Sales)

[28_methodologie-audit-informatique-strategies-pratiques_33]

Sales (P&L)

Accrued income (B/S)

Sales tax/VAT (B/S)

Accounts receivable (B/S)

Cash (B/S)

Expenses – write-offs (P&L)

CR

DR

CR CR DR

CR DR

DR CR DR

Inventory cycle – cost of goods sold

Tetra SOP (Unix)

Order processing

Tetra Sales Ledger (Unix)

Tetra Sales Ledger (Unix)

Tetra SOP (Unix)

Tetra SOP (Unix)

Credits & adjustments

Cash receipting

Invoicing

Delivery and distribution

Tetra General Ledger (Unix)

Financial statements

Audit Areas

Activities

Linked Cycles

Tetra customer & product files (Unix)

Standing data maintenance

1. La collecte d’informations sur les systèmes et l’environnement informatique :

Nous distinguons, essentiellement, les axes suivants⁶⁶ :

• 1. Appréhender l’organisation de la fonction informatique :

L’auditeur doit documenter sa compréhension de l’organisation de la fonction informatique. Il doit répondre aux questions suivantes :

• Quelle est l’organisation de la fonction informatique ?
• Les rôles et les responsabilités au sein de la fonction informatique sont-ils clairement définis ?
• Des changements majeurs sont-ils intervenus au cours de l’exercice ?
• Qui assume la responsabilité opérationnelle de la fonction informatique (Directeur Général, Directeur Financier, etc.) ? A qui est rattachée la fonction informatique ?
• Y a-t-il un Comité de Pilotage Informatique ? Comment les priorités sont-elles définies ?
• Quels sont nos principaux interlocuteurs au sein de la fonction informatique ?
• Y a-t-il d’autres départements qui assument des responsabilités en matière informatique ?
  1. Appréhender les contrôles de la direction sur la fonction informatique :

L’auditeur doit documenter sa compréhension des contrôles effectués par la direction sur la fonction informatique. Il doit répondre aux questions suivantes :

• Quels sont les indicateurs clés de performance utilisés par le service informatique dans son reporting ? Ces indicateurs sont-ils revus par des membres appropriés de la direction ?
• Les développements informatiques sont-ils réalisés sur la base d’une méthodologie formalisée ?

⁶⁶ NB : La collecte d’informations particulières en cas d’externalisation figure au niveau de la partie I, chapitre 2, section 1, Sous section 1, paragraphe 1.4.

• La direction a-t-elle défini une procédure formelle pour piloter les interventions courantes de maintenance ?
• Une politique en matière de sécurité informatique a-t-elle été définie et communiquée au sein de la société ?
• La société a-t-elle évalué les impacts qui pourraient résulter d’une indisponibilité du système informatique ? Un plan de secours a-t-il été défini ?
  1. Evaluer dans quelle mesure l’activité repose sur les systèmes informatiques :

L’auditeur doit documenter sa compréhension de l’importance du support informatique dans l’activité. Il doit répondre aux questions suivantes :

• Quel rôle le management attribue-t-il au département informatique dans la réalisation des objectifs de la société ?
• Quelle est l’évolution probable du département informatique dans l’organisation ? (i.e. quelle est la stratégie informatique) ?
• Comment le management évalue-t-il la qualité de sa fonction informatique par rapport à celle d’organisations similaires ?
• Quelles sont les fonctions – clés de la société qui ont une forte prédominance informatique ?
• Comment les utilisateurs perçoivent-ils le service informatique ? Comment la direction informatique mesure-t-elle cette perception ?
• Les informations issues des systèmes répondent-elles aux besoins de la direction ?
• Dans quelle mesure la société utilise-t-elle des technologies nouvelles ou émergentes, telles que le commerce électronique ?
  1. Identifier les caractéristiques principales des systèmes et environnements :

L’auditeur doit identifier et documenter les caractéristiques principales des systèmes et environnements. Il doit répondre aux questions suivantes :

• Quels sont les systèmes que l’entreprise considère comme les plus importants pour l’activité de la société ?
• Les systèmes sont-ils essentiellement des applicatifs maisons ou des progiciels ? Dans quelle mesure les progiciels ont-ils été adaptés ? Par qui sont effectuées les modifications sur ces applicatifs (internes ou externes) ?
• Quels sont les principaux sites de traitement informatique ? Quels sont les principaux environnements hardware ?
• Comment les environnements informatiques sont-ils interconnectés ? Quelles sont les principales connexions avec des réseaux externes (Exemple : EDI, Internet) ?
  1. Identifier les changements significatifs en termes de systèmes et d’environnement informatiques :

L’auditeur doit identifier tout changement significatif dans les systèmes et l’environnement informatiques. Il s’agit de répondre, essentiellement, aux questions suivantes :

• Quels nouveaux systèmes ont été mis en place ? Comment se sont déroulées ces opérations ?
• Quel est le volume d’interventions courantes de maintenance sur les systèmes existants ? Y a-t-il eu des interventions majeures ?
• Y a-t-il eu des migrations vers de nouveaux environnements ?
• Y a-t-il eu des mises à jour majeures du logiciel système ?
• Y a-t-il eu des changements majeurs au niveau du réseau ?
• Quelles sont les principales actions informatiques planifiées, à long terme et pour les douze prochains mois ?
  1. Comprendre les problèmes identifiés au niveau des systèmes :

L’auditeur doit documenter les problèmes identifiés au niveau des systèmes de l’entreprise auditée. Il s’agit d’observer, essentiellement, les points suivants :

• Y a-t-il des problèmes significatifs ou des déficiences fonctionnelles au niveau des systèmes ? Quelles sont, le cas échéant, les mesures palliatives ?
• Y a-t-il eu des incidents d’exploitation majeurs ou des problèmes d’intégrité des données ?

________________________

⁶⁴ Définition donnée par l’article 62 de la loi sur les nouvelles régulations économiques (NRE) du 15 mai 2001. ↑

⁶⁵ Auchan Les 4 Temps, La Défense. ↑

⁶⁶ NB : La collecte d’informations particulières en cas d’externalisation figure au niveau de la partie I, chapitre 2, section 1, Sous section 1, paragraphe 1.4. ↑

Questions Fréquemment Posées

Comment la méthodologie d’audit informatique soutient-elle l’audit financier ?

La méthodologie d’audit informatique est développée et adaptée à chaque contexte technique rencontré et peut être utilisée dans une mission spéciale d’audit informatique avec un champ d’action élargi.

Quelles sont les étapes de la planification d’une mission d’audit informatique ?

La planification d’une mission d’audit informatique comprend le lancement de la mission, qui s’intègre dans celle de l’audit financier, et l’information sur les systèmes et l’environnement informatique.

Pourquoi est-il important d’établir une cartographie des fonctions et systèmes informatiques ?

L’établissement de la cartographie permet de déterminer la relation entre les états financiers et les fonctions et systèmes qui les génèrent, ainsi que d’identifier les environnements et applications informatiques à aborder lors de la revue des contrôles généraux informatiques.