Les contrôles de maintenance informatique sont cruciaux pour garantir l’intégrité des systèmes modifiés. Cette recherche révèle comment des procédures rigoureuses peuvent prévenir les manipulations non autorisées, transformant ainsi les pratiques d’audit financier en Tunisie et assurant la pérennité des contrôles automatisés.
Sous section 3 : Les contrôles portant sur les procédures de maintenance des applications informatiques
Les procédures de maintenance en place doivent permettre, essentiellement, d’assurer le contrôle que les programmes modifiés opèrent comme prévu et qu’ils ne peuvent être manipulés pour des raisons non autorisées durant le processus de maintenance.
En terme d’audit, ces procédures sont importantes pour assurer la pérennité des contrôles automatisés. Ainsi, l’auditeur doit documenter et évaluer les activités de maintenance des systèmes et sélectionner et tester les contrôles clés correspondants en considérant, à titre indicatif, les éléments suivants :
- La gestion de la maintenance :
La direction doit établir une procédure dès lors que des modifications de système sont envisagées et s’assurer du respect de cette procédure. Dans ce cadre, l’auditeur peut examiner les indicateurs suivants :
- La direction a-t-elle mis en place une procédure afin de contrôler les modifications apportées aux systèmes informatiques ?
- La direction est-elle impliquée dans la revue et l’approbation des changements relatifs aux systèmes informatiques ?
- La direction effectue-t-elle une revue régulière de ces changements ?
- Lorsque la maintenance de la nouvelle application est assurée directement par le fournisseur, quelles précautions sont prises dans le cas où celui-ci ne serait plus en mesure de fournir ce service ?
- Les qualités fonctionnelles et opérationnelles des systèmes sont-elles mesurées et suivies par la direction informatique ?
- Le management opérationnel dispose-t-il de rapports et de statistiques pour apprécier les qualités opérationnelles des systèmes ?
- Le management opérationnel est-il directement impliqué dans le test des modifications apportées au système ?
- La direction dispose-t-elle de rapports sur les résultats de ces tests ?
- La définition, l’autorisation et la gestion des demandes de modifications
Les demandes de modifications de programmes informatiques doivent être correctement examinées et traitées. Ainsi, l’auditeur doit examiner, par exemple, les indicateurs suivants :
- Les équipes de développement sont-elles en liaison étroite avec les utilisateurs ?
- Comment les demandes de modifications sont-elles transmises aux équipes de développement ?
- Quelles procédures permettent d’assurer que les équipes de développement ont bien compris les besoins des utilisateurs avant d’entamer toute modification des systèmes ?
- Existe-t-il une procédure adéquate permettant de répertorier et de suivre les demandes de modifications ?
- Qui approuve et hiérarchise les demandes de modifications ? Dans quelle mesure l’ordre de réalisation des modifications est-il conforme à l’ordre des priorités qui leur a été affecté ?
- Quelles sont les procédures permettant, d’une part d’assurer que les modifications approuvées sont mises en œuvre dans les délais impartis et d’autre part de suivre l’avancement des projets ?
- Le nombre de programmeurs est-il suffisant pour assurer la maintenance des systèmes ?
- Les programmeurs ont-ils les compétences nécessaires pour assurer la maintenance des systèmes ?
- Les programmeurs ont-ils une compréhension suffisante des enjeux liés aux systèmes d’information de l’entreprise ? Depuis combien de temps les programmeurs assurent-ils la maintenance des systèmes ?
- Les tests unitaires, les tests d’intégration et les tests utilisateurs :
Les modifications apportées aux programmes doivent être testées pour s’assurer qu’elles répondent aux attentes des utilisateurs et qu’elles n’ont pas d’incidences négatives sur les traitements existants. A titre indicatif, les indicateurs suivants devraient être considérés par l’auditeur :
- La séparation des environnements informatiques de développement, de test et d’exploitation est-elle respectée ?
- Quelle est la nature et l’étendue des tests réalisés par l’équipe de développement préalablement aux tests d’intégration dans le système et aux tests utilisateurs ?
- Quelle est la nature des tests d’intégration et des tests utilisateurs réalisés sur les changements applicatifs mineurs et sur les changements applicatifs majeurs ?
- Les utilisateurs sont-ils en nombre suffisant pour assurer un contrôle adéquat sur les systèmes ?
- Quelles procédures permettent de s’assurer qu’aucune modification non autorisée ne peut être effectuée entre la phase des tests et la mise en production des programmes ?
- Quels contrôles permettent de s’assurer que la version de code source utilisée est la plus récente et que les modifications faites par plusieurs programmeurs sont coordonnées ?
- L’autorisation de mise en production :
Seuls les changements dûment autorisés et testés doivent être transférés dans l’environnement d’exploitation. A titre d’exemple, l’auditeur doit examiner les indicateurs suivants :
- Qui réalise les migrations courantes (pour les modifications routinières) ?
- Dans quelle mesure les développeurs peuvent-ils avoir accès à l’environnement d’exploitation ?
- Une procédure d’autorisation pour les corrections urgentes de programmes ou de données est-elle définie ?
- Garde-t-on la trace des accès à l’environnement d’exploitation par les programmeurs dans le cadre de corrections urgentes ?
- Comment s’assure-t-on que les mises à jour sont réalisées sur les bonnes bibliothèques de programmes et avec la dernière version des programmes développés ?
- Lorsque les applications sont installées sur plusieurs sites, quelles procédures permettent d’assurer la correcte mise à jour des programmes sur l’ensemble des sites concernés ?
- La formation et la mise à jour de la documentation technique et de la documentation destinée aux utilisateurs :
La documentation technique doit être mise à jour en fonction des modifications effectuées. Quand les modifications affectent les procédures utilisateurs, la documentation qui leur est destinée doit également être mise à jour et, si nécessaire, une formation devait leur être assurée ainsi qu’au personnel informatique.
L’auditeur doit considérer, par exemple, les indicateurs suivants :
- La documentation utilisateur et le manuel de procédures sont-ils facilement accessibles et exploitables ? Couvrent-ils tous les aspects du système ?
- Existe-t-il des procédures de mise à jour de la documentation utilisateur lorsque des modifications sont effectuées ?
- La documentation technique relative au système est-elle facilement accessible et exploitable ?
- Quelle est l’étendue du domaine couvert par la documentation technique ?
- Existe-t-il des procédures de mise à jour de la documentation technique lorsque des modifications sont effectuées ?
- Les utilisateurs ont-ils reçu une formation appropriée pour exploiter les systèmes ?
- La gestion des bases de données (si applicable) :
Les bases de données alimentant les systèmes doivent être gérées de façon à ce que l’intégrité des données soit assurée. L’auditeur doit examiner, par exemple, quelles sont les procédures mises en place pour assurer l’intégrité des données ?
Il y a lieu de rappeler que pour les auditeurs, les contrôles portant sur les procédures de maintenance des applications informatiques sont des contrôles importants. En effet, en l’absence de contrôles appropriés sur les changements des programmes, il peut être difficile, pour l’auditeur, de s’assurer par d’autres moyens que les contrôles programmés et les fonctions de traitement informatisées fonctionnent d’une façon efficace et permanente tout au long de la période examinée.
Par ailleurs, un facteur important à considérer lors de l’évaluation des risques et des contrôles est que, dans la majorité des cas associés aux nouvelles technologies, le personnel de l’entreprise n’a aucune participation directe dans le développement ou la maintenance du logiciel (ou uniquement une participation limitée) de source extérieure.
En effet, souvent, il est stipulé dans les contrats d’achat que la maintenance est fournie par le vendeur du logiciel. Dans cette situation, l’entreprise ne peut pas apporter des changements au logiciel (l’accès au code source est non fourni). En conséquence, le risque que des changements non autorisés soient apportés aux programmes peut être jugé faible. Toutefois, l’auditeur doit obtenir l’assurance que les changements réalisés par le vendeur sont testés par l’entreprise d’une façon appropriée.
Enfin, il est à noter que l’auditeur est souvent confronté à des environnements qui ne satisfont pas, ou qui ne satisfont que partiellement, les éléments étudiés ci-dessus. Dans ce cas, l’auditeur peut faire recours à des tests alternatifs destinés à dégager les éventuelles modifications apportées. Nous citons, à titre d’exemple, le rapprochement, par des outils informatiques d’aide à l’audit, la version utilisée et une copie de contrôle et l’identification des modifications qui feront l’objet d’une investigation par l’équipe d’audit.
Questions Fréquemment Posées
Comment la direction doit-elle gérer les modifications des systèmes informatiques?
La direction doit établir une procédure dès que des modifications de système sont envisagées et s’assurer du respect de cette procédure.
Quelles sont les étapes pour traiter les demandes de modifications de programmes informatiques?
Les demandes de modifications doivent être correctement examinées et traitées, avec des procédures pour assurer que les équipes de développement ont bien compris les besoins des utilisateurs.
Pourquoi est-il important de tester les modifications apportées aux programmes?
Les modifications doivent être testées pour s’assurer qu’elles répondent aux attentes des utilisateurs et qu’elles n’ont pas d’incidences négatives sur les traitements existants.