L’analyse de cas en audit informatique révèle des enjeux cruciaux pour les entreprises tunisiennes face à l’évolution rapide des technologies. Comment ces innovations redéfinissent-elles les compétences des auditeurs et les pratiques d’audit financier ? Découvrez des réponses essentielles avec des implications significatives pour l’avenir de l’audit.
Sous section 3 : L’organisation et la planification de la mission d’audit informatique
A l’issue des différentes étapes de la planification, la stratégie d’audit par cycle est fixée. Si le besoin éventuel de recours aux services de l’audit informatique est exprimé, le responsable de la mission d’audit informatique établira un plan stratégique et un programme de travail qui feront l’objet d’une approbation par le responsable de la mission d’audit financier pour tenir lieu de lettre de mission interne.
Le plan stratégique indique, essentiellement, les éléments suivants :
- Un résumé des principaux éléments recueillis sur le système d’information se rapportant à la structure générale de l’organisation informatique, à la configuration du système informatique, à la nature et à l’étendue du traitement informatisé de l’information, à la complexité des systèmes et des traitements, etc.
- Un plan de rotation entre les unités opérationnelles et un plan de rotation entre les composants : Dans le cas où le système de traitement des données serait décentralisé, chaque unité a sa propre organisation de la fonction informatique, ses programmes et ses applications. L’auditeur peut avoir besoin de visiter chaque emplacement potentiellement significatif pour l’audit. Même si la politique de l’entreprise dicte l’usage de procédures identiques à chaque emplacement, l’auditeur aura besoin de considérer si les procédures sont réellement appliquées.
- L’organisation générale de la mission : Ceci consiste, essentiellement, à :
- Préparer un calendrier d’intervention qui doit contenir au minimum les dates concernant :
- le démarrage et la finalisation de l’audit et les étapes clés de la mission,
- la préparation par les responsables de l’entreprise des informations et documents importants nécessaires à l’audit et,
- les réunions périodiques avec l’équipe d’audit et avec les responsables de l’entreprise.
- Préparer un calendrier d’intervention qui doit contenir au minimum les dates concernant :
Ce calendrier détaillé doit être discuté et accepté par le responsable de la mission d’audit financier et par les responsables de l’entreprise.
- Prévoir des réunions d’avancement régulières avec l’équipe d’audit informatique afin de s’assurer du bon déroulement de la mission et des réunions d’avancement régulières avec l’équipe d’audit financier et, éventuellement, avec les différents responsables de l’entreprise.
- Préparer la répartition des tâches avec un niveau de détail suffisant en prenant les dispositions nécessaires pour permettre une réalisation efficace des travaux d’audit informatique et une parfaite coordination avec l’équipe d’audit et les différents responsables de l’entreprise.
- Préparer le budget global et par intervenant.
- Se mettre d’accord avec l’équipe d’audit financier des procédures à suivre en cas de modifications apportées au plan d’audit informatique.
- L’évaluation des risques liés à l’environnement informatique : Il s’agit de dégager les risques liés à la fonction informatique pouvant affecter la stratégie. Exemples : des modifications ont été ou seront apportées aux systèmes informatiques durant l’exercice ; De nouveaux systèmes ou des améliorations majeures ont été ou seront mis en place pendant l’exercice.
- La démarche à suivre en cas d’externalisation : Au cas où l’entreprise externalise un ou plusieurs aspects de son système informatique, l’auditeur devrait considérer les contrôles généraux informatiques et les contrôles d’application relatifs à la fonction du prestataire de services, que ces contrôles soient effectués par l’entreprise auditée ou par son prestataire de services. En effet,
- Si le prestataire de services procède à des contrôles généraux informatiques et à des contrôles d’applications pertinents pour l’évaluation des risques, il convient de déterminer si l’auditeur du prestataire a formalisé, dans son rapport, ses conclusions sur les tests réalisés sur ces contrôles et si ce rapport est exploitable ;
- Si c’est l’entreprise qui effectue des contrôles généraux informatiques et des contrôles d’applications liés à la fonction du prestataire de services, l’auditeur doit tester ces contrôles ;
- Si le rapport de l’auditeur du prestataire de services n’est pas disponible et si les contrôles effectués par l’entreprise ne sont pas suffisants, l’auditeur doit s’interroger sur la nécessité de tester les contrôles existants chez le prestataire de services.
Sous section 4 : Le dossier permanent informatique
Le dossier permanent informatique comprend les informations permanentes se rapportant au système d’information de l’entreprise. Il peut être structuré comme suit :
- Renseignements généraux :
- Présentation générale de l’entreprise : (Raison sociale, adresse, activité, adresse du service informatique si différente, personnes à contacter, etc.)
- Renseignements internes (Associé responsable, équipe, clôture comptable, code mission, etc.)
- Organigramme de la société
- La fonction informatique :
- Place de l’informatique dans l’organisation générale de l’entreprise :
- Rattachement de l’informatique dans l’organigramme général, rôles et limites de la responsabilité du département ou du service informatique
- Evolution du budget informatique sur les cinq dernières années (en valeur et en pourcentage du chiffre d’affaires)
- Principaux axes du plan informatique.
- Structure du service ou de la direction informatique
- Schéma directeur informatique
- les comptes rendus du comité directeur informatique
- Place de l’informatique dans l’organisation générale de l’entreprise :
- Le (ou les) centres de traitement :
- Configuration générale
- Configuration de chaque centre de traitement : matériel, etc.
- Les applications :
Pour chaque application en place, il y a lieu d’indiquer :
- La version
- La description : fonction, interface, etc.
- Le fournisseur
- La date d’installation de la première version
- La date de la dernière mise à jour
- Le coût de la maintenance
- Etc.
- Historique des interventions :
- Objets de l’intervention
- Budgets
- Intervenants2
- Cartographie et description des procédures
- Autres informations
________________________
2 Définition donnée par l’article 62 de la loi sur les nouvelles régulations économiques (NRE) du 15 mai 2001. ↑
Questions Fréquemment Posées
Comment se déroule la planification d’une mission d’audit informatique ?
La planification d’une mission d’audit informatique inclut l’établissement d’un plan stratégique et d’un programme de travail, qui doivent être approuvés par le responsable de la mission d’audit financier.
Quels éléments sont inclus dans le plan stratégique d’audit informatique ?
Le plan stratégique inclut un résumé des éléments sur le système d’information, un plan de rotation entre les unités opérationnelles, et l’organisation générale de la mission.
Quelles sont les étapes clés à prévoir dans le calendrier d’intervention pour l’audit informatique ?
Le calendrier d’intervention doit contenir les dates de démarrage et de finalisation de l’audit, la préparation des informations nécessaires, et des réunions périodiques avec l’équipe d’audit et les responsables de l’entreprise.