Audit des Systèmes d’Information

Présentation de la mission

L’audit des systèmes d’information (SI) est une mission spécialisée visant à évaluer la fiabilité, la sécurité et la performance des systèmes informatiques d’une entité, en particulier ceux qui soutiennent la production et le traitement des informations financières et comptables. Chez Expérial Auditors, nous réalisons cette mission avec une approche rigoureuse et conforme aux normes professionnelles, notamment celles de la Compagnie Nationale des Commissaires aux Comptes (CNCC) lorsque l’audit SI est intégré dans une mission légale de commissariat aux comptes.

Cette mission consiste à analyser les processus informatiques, les infrastructures technologiques, les mesures de sécurité et les contrôles internes liés aux systèmes d’information pour s’assurer qu’ils garantissent l’intégrité, la confidentialité et la disponibilité des données. Dans un contexte où les systèmes d’information jouent un rôle central dans la gestion des entreprises, l’audit SI est essentiel pour identifier les risques technologiques, cybernétiques et opérationnels susceptibles d’affecter la fiabilité des informations financières ou la conformité réglementaire.

Chez Expérial Auditors, nos équipes combinent expertise comptable et compétences techniques en informatique pour offrir une analyse approfondie et adaptée aux spécificités de chaque entité. Nous travaillons en étroite collaboration avec nos clients pour comprendre leur environnement technologique et leurs enjeux, afin de fournir des recommandations concrètes et à forte valeur ajoutée, renforçant ainsi la sécurité et l’efficacité de leurs systèmes.

Points clés de la mission d’audit des systèmes d’information

• Évaluation de la fiabilité : Vérification que les systèmes d’information produisent des données financières et comptables fiables, conformes aux normes comptables (PCG, IFRS).

• Analyse de la sécurité : Examen des mesures de protection contre les cyberattaques, les accès non autorisés et les pertes de données (pare-feu, chiffrement, gestion des accès, etc.).

• Contrôle des processus : Analyse des procédures informatiques (sauvegardes, gestion des incidents, continuité d’activité) pour garantir leur robustesse et leur conformité.

• Conformité réglementaire : Vérification du respect des réglementations applicables, notamment le Règlement Général sur la Protection des Données (RGPD) et les Normes d’Exercice Professionnel (NEP) de la CNCC.

• Rapport détaillé : Production d’un rapport clair et structuré, destiné aux organes de gouvernance, détaillant les constats, les risques identifiés et les recommandations.

• Accompagnement personnalisé : Approche adaptée aux spécificités de l’entité (taille, secteur, complexité des systèmes) pour optimiser les processus et réduire les risques.

• Prévention des risques : Identification des vulnérabilités informatiques et des faiblesses des contrôles internes pour prévenir les impacts financiers ou opérationnels.

Seuils et obligations pour faire appel à un commissaire aux comptes

L’audit des systèmes d’information peut être réalisé dans un cadre légal, notamment lorsque les systèmes informatiques soutiennent la production des informations financières auditées par un commissaire aux comptes. Cependant, cette mission n’est pas toujours soumise à une obligation légale spécifique, sauf lorsqu’elle s’inscrit dans une mission de commissariat aux comptes ou dans un cadre réglementaire particulier. Voici les cas où l’intervention d’un commissaire aux comptes peut être requise :

Cas où un commissaire aux comptes est requis :

• Dans le cadre de l’audit légal des comptes : Si l’entité est soumise à l’obligation de nommer un commissaire aux comptes (par exemple, SA, SAS, SARL dépassant certains seuils), l’audit des systèmes d’information peut être intégré à la mission de certification des comptes, conformément aux Normes d’Exercice Professionnel (NEP 315 et suivantes). L’objectif est de s’assurer que les systèmes informatiques garantissent la fiabilité des données financières.

• Seuils pour la nomination d’un commissaire aux comptes (conformément à la loi PACTE, 2019) :

  • Pour les sociétés anonymes (SA) et sociétés en commandite par actions (SCA) : Obligatoire, sauf si la société ne dépasse pas deux des trois seuils suivants à la clôture de l’exercice :

    • Total du bilan : 4 000 000 €

    • Chiffre d’affaires hors taxes : 8 000 000 €

    • Nombre moyen de salariés : 50

  • Pour les sociétés par actions simplifiées (SAS) et sociétés à responsabilité limitée (SARL) : Obligatoire si la société dépasse deux des trois seuils ci-dessus, ou si elle contrôle ou est contrôlée par une autre entité (article L.233-3 du Code de commerce).

  • Pour les groupes de sociétés : Obligatoire si l’ensemble formé par la société mère et ses filiales dépasse deux des trois seuils suivants :

    • Total du bilan consolidé : 2 000 000 €

    • Chiffre d’affaires hors taxes consolidé : 4 000 000 €

    • Nombre moyen de salariés : 25

• Dans le cadre d’obligations spécifiques : Certaines entités, comme les établissements financiers, les sociétés cotées ou les organisations soumises à des réglementations sectorielles (par exemple, RGPD, normes ISO 27001), peuvent requérir un audit SI réalisé par un commissaire aux comptes pour répondre à des exigences légales ou contractuelles.

Cas où l’intervention est facultative :

• L’audit des systèmes d’information peut être réalisé à la demande des parties prenantes (direction, actionnaires, investisseurs) dans un cadre contractuel, sans obligation légale. Dans ce cas, un commissaire aux comptes peut intervenir pour apporter son expertise et son indépendance, mais d’autres professionnels (consultants en cybersécurité, auditeurs informatiques) peuvent également être sollicités.

• Les entreprises non soumises à l’audit légal peuvent faire appel à un commissaire aux comptes pour un audit SI volontaire, afin de renforcer la sécurité de leurs systèmes ou de répondre à des exigences de partenaires commerciaux.

Obligations légales :

• Lorsqu’un commissaire aux comptes intervient dans un audit SI dans le cadre d’une mission légale (par exemple, certification des comptes), il doit respecter les règles déontologiques de la CNCC, notamment en matière d’indépendance et d’objectivité.

• Le rapport d’audit SI, lorsqu’il est intégré à une mission de commissariat aux comptes, est inclus dans le rapport général soumis aux organes de gouvernance (assemblée générale, conseil d’administration). Dans un cadre contractuel, le rapport est destiné aux parties prenantes et n’est pas soumis à un dépôt obligatoire, sauf disposition contraire.

• L’audit SI doit également respecter les réglementations applicables, telles que le RGPD pour la protection des données personnelles, et les normes techniques (ISO 27001, COBIT, etc.) lorsque pertinentes.

Durée de la mission :
La mission d’audit des systèmes d’information est généralement ponctuelle, mais peut être récurrente dans le cadre d’un mandat de commissariat aux comptes (six exercices pour les missions légales). La durée dépend de la complexité des systèmes audités et des objectifs de la mission.

Chez Expérial Auditors, nous vous accompagnons dans l’audit de vos systèmes d’information, qu’il s’agisse d’une mission légale ou contractuelle. Notre expertise garantit une analyse rigoureuse, sécurisée et conforme aux exigences réglementaires. Pour toute question sur vos besoins ou pour une mission adaptée à votre environnement technologique, contactez-nous.