L’audit assisté par ordinateur Nous avons vu : Les missions,les normes, les normes d’audit L’impact sur la nature des risques et l’impact sur la méthode d’audit d’un système comptable dans un environnement informatisé . L’importance de l’étude des processus métier informatisés qui ont un impact sur l’élaboration des comptes Nous allons voir : L’impact des outils informatiques sur la réalisation (étapes et savoir faire) des contrôles substantifs pour l’obtention d’éléments probants pour auditer dans un environnement informatisé : Les techniques et les outils informatiques d’audit du SI : Les outils d’aides à l’audit et à la révision des comptes 1 1

Etapes d’audit d’un système informatisé Résumé L'audit informatique, l'audit des systèmes d'information évalue les risques d'un environnement informatique ou d'une application, par exemple, les salaires ou la facturation. Ces missions se font en choisissant avec le client les processus métiers à évaluer, de même que les processus CobiT à évaluer parmi les 34 proposés. L'audit d'un environnement informatique peut concerner : l'évaluation des risques informatiques de la sécurité physique, de la sécurité logique, de la gestion des changements, du plan de secours, etc. l’évaluation d’un ensemble de processus informatiques - ce qui est généralement le cas - pour répondre à une demande précise du client. Par exemple, apprécier la disponibilité des informations et des systèmes. Le CobiT permet justement de rechercher quels processus informatiques répondent le plus efficacement à une telle demande. Dans le cas de la disponibilité : par exemple la gestion des performances et des capacités et le plan de continuité. l’évaluation d’un ensemble de processus fonctionnels (comptables, logistiques…) 2 2

Etapes d’audit d’un système informatisé Résumé Approche générale Un audit informatique, audit des systèmes d'information, se fait selon un schéma en plusieurs phases : 1. Définition précise du plan de travail, récolte d'information, recherche et schématisation des processus métiers et/ou informatiques à apprécier, définition des rôles et responsabilités, analyse des forces - faiblesses. 2. Analyse des processus importants, définition des risques, évaluation préliminaire des risques, de l'efficacité des contrôles. 3. Tests des contrôles. 4. Tests de matérialité. Un audit informatique, audit des systèmes d'information ne concerne pas nécessairement la sécurité. En effet, il peut servir à évaluer des aspects stratégiques ou de qualité des systèmes d'information. Par exemple, répondre à la question suivante : Est-ce que les systèmes d'information de l'entreprise répondent efficacement aux besoins des services métiers ? La démarche est très similaire, en choisissant et évaluant les processus informatiques proposés par le CobiT qui répondent le mieux à la demande et aux objectifs du client. 3 3

Etapes d’audit d’un système informatisé Résumé Audit de l'infrastructure informatique Mission Evaluer les risques des systèmes d'information nécessaires au fonctionnement des applications. Par exemple : Sécurité physique, sécurité logique, sécurité des réseaux, plan de secours. Livrable Rapport contenant les faiblesses relevées, leur niveau de risque et les mesures correctives proposées. 4 4

Etapes d’audit d’un système informatisé Audit d'un système - d'une application informatique en cours de réalisation Mission Assister l'audit interne à apprécier le projet en cours de réalisation dans les phases suivantes: · Initialisation - Analyse, · Conception - Réalisation, · Tests - Installation, · ainsi que le processus de Gestion de projet. Les interventions de l'audit interne durant le projet peuvent concerner: · Méthodes et standards,Gestion de projet,Suivi des budgets et des délais,Livrables, · Initialisation - Analyse,Conception - Réalisation,Tests - Installation,Migration des données,Revue post-installation. Approche Appréciation des processus et/ou enquêtes à l'aide de questionnaires. Livrables Mesures proposées de réduction et de contrôle des risques importants relevés; tableaux de bord et autres documents de contrôle pour la DIrection. 5 5

Etapes d’audit d’un système informatisé Audit d'une application informatique Mission Apprécier une application informatique en production, par exemple une application une application comptable ou financière, etc. Très souvent plusieurs domaines font partie d'un audit d'une application, en particulier: · les données opérationnelles, · les données de base, · les paramètres, · les interfaces entre l'application et d'autres applications, · la gestion des droits d'accès à l'application. Bien entendu, tout audit d'une application doit également apprécier la sécurité de l'infrastructure informatique nécessaire au fonctionnement de l'application (cf. ci-dessus). Livrable Rapport contenant les faiblesses relevées, leur niveau de risque et les mesures correctives proposées. 6 6

Cas 1 audit Balance ERP Cas : Exemple d’audit comptable solde de comptes et balance : (XXL) - Le projet vient de se terminer (première clôture) - Contrôle ERP toute les écritures sont équilibrées il faut contrôler le paramétrage classe 9 Tous les évènements de gestion n’ont pas été centralisés (revoir la procédure de clôture) On part de la balance (équilibre et présomption d’exactitude) Outil Calculette Environnement Objectif Risque

Etapes d’audit assisté par ordinateur 5.1.1 Étape 1 - Récupération des fichiers informatiques Après la prise de connaissance de l'entité et de son environnement et la revue générale du système d'information, la conduite de la revue d'application permet d'évaluer: · la conformité du paramétrage et des traitements applicatifs avec les règles de gestion arrêtées par l'entité et les règles légales en vigueur ; · l'intégration ou l'interfaçage des applications; · l'efficacité des contrôles programmés par l'entité auditée permettant d'avoir une assurance satisfaisante sur l'exhaustivité, la réalité, l'intégrité, la confidentialité et la disponibilité des données traitées. Après ces activités, le CAC: · identifie les risques; · définit les données à exploiter (contenues dans des fichiers ou des bases de données) ; · récupère les fichiers et les bases de données nécessaires à la réalisation des tests informatiques utiles à l'audit, dans un format et sur un support adaptés pour la récupération dans l'environnement informatique de l'auditeur. Compte tenu de la diversité des technologies et des formats existants ainsi que du volume des données, la récupération n'est pas aisée. On part de la balance (équilibre et présomption d’exactitude) Outil Calculette Environnement Objectif Risque

Etapes d’audit assisté par ordinateur 5.1.2 Étape 2 - Validation des fichiers La validation des fichiers importés par l'auditeur nécessite de rapprocher ces fichiers avec la comptabilité de l'entité afin de s'assurer que les données récupérées n'ont subi aucune modification lors de l'extraction et de l'intégration dans l'environnement informatique de l'auditeur. 5.1.3 Étape 3 - Réalisation des tests Une fois le contrôle des fichiers réalisé, les tests peuvent être lancés. Ils permettent à l'auditeur, d'une part, de confirmer, sur la base d'éléments tangibles, exhaustifs et incontestables, ses évaluations et, d'autre part, d'accéder à l'audit de systèmes complexes de traitement, non contrôlables sans le recours à des outils informatiques. En raison de leur importance, il est essentiel que les tests réalisés puissent être reproduits ultérieurement et que toutes les étapes intermédiaires soient sauvegardées. Il est recommandé que le logiciel de traitement des données génère un journal des tests effectués. Cette étape aboutit à la constitution d'un dossier contenant les résultats des tests. Ils peuvent prendre des formes variables en fonction des objectifs, de l'étendue des tests réalisés et de l'exploitation qui en sera faite. 5.1.4 Étape 4 - Analyse et synthèse Cette dernière étape consiste à analyser et à interpréter les résultats des tests. Un rapport de synthèse est alors rédigé, décrivant notamment les tests réalisés et les recommandations qui en découlent. On part de la balance (équilibre et présomption d’exactitude) Outil Calculette Environnement Objectif Risque

Cas 2 Contrôle substantif SQL Cas : Exemple audit calculs et extractions (SAV PMP) Coût standard et PUMP périodique Approche parle SQl et le modèle de données Pourquoi recalculer le PUMP Pourquoi ne pas faire des contrôles substantifs par comparaison et par sondage On part de la balance (équilibre et présomption d’exactitude) Outil Calculette Environnement Objectif Risque