MISSION
Audit du système d’information
Les comptes d’une entreprise sont produits par ses systèmes. Auditer ces systèmes, c’est vérifier à la source la fiabilité de l’information financière, la sécurité des données et la continuité de l’exploitation.
L’audit du système d’information évalue la fiabilité, la sécurité et la performance des outils informatiques qui produisent et conservent l’information financière et comptable d’une organisation.
La démarche répond à un constat simple : la quasi-totalité des écritures comptables est aujourd’hui produite, transportée ou consolidée par des systèmes. Un contrôle qui s’arrêterait aux états financiers sans examiner ce qui les alimente laisserait de côté l’essentiel du risque.
Chez Experial Auditors, nous conduisons ces travaux à Lyon et en Auvergne-Rhône-Alpes, soit en appui d’un mandat de commissariat aux comptes, soit dans le cadre d’une mission contractuelle demandée par une direction générale ou un investisseur.
01 · LES CONTEXTES
Dans quels contextes intervient un audit du système d’information
Trois situations distinctes, aux objectifs différents.
En appui d’un audit légal
Les normes d’exercice professionnel imposent au commissaire aux comptes de prendre connaissance de l’environnement informatique pertinent pour l’élaboration de l’information financière et d’apprécier les contrôles qui s’y rattachent. Sur des systèmes complexes, cet examen justifie des travaux spécialisés.
En mission contractuelle
Une direction souhaite objectiver le niveau de maîtrise de ses systèmes, souvent après un incident, une migration d’outil, une croissance rapide ou l’intégration d’une société acquise.
En amont d’une opération
Un acquéreur ou un investisseur veut mesurer la dette technique, la dépendance à un prestataire ou l’exposition au risque cyber de la cible, avant de s’engager.
Hors du cadre d’un mandat légal, il s’agit d’une mission contractuelle, sans obligation ni condition de seuil.
02 · LES DOMAINES
Les domaines examinés
Fiabilité de l’information financière
Nous examinons la chaîne complète qui conduit de l’événement de gestion à l’écriture comptable : interfaces entre les applications métier et la comptabilité, contrôles automatiques et blocages, gestion des exceptions et des écritures manuelles, piste d’audit permettant de remonter d’un solde à sa justification.
Une attention particulière est portée aux écritures manuelles passées en fin d’exercice et aux droits qui permettent de les enregistrer.
Gestion des accès et séparation des tâches
C’est le domaine où nous relevons le plus d’anomalies. Sont examinés la politique d’attribution et de revue des droits, l’existence de comptes génériques ou partagés, le sort des comptes des salariés partis, l’étendue des droits d’administration, et le respect des incompatibilités élémentaires entre saisie, validation et paiement.
Sécurité et protection des données
Sont revus la politique de mots de passe et l’authentification renforcée, l’exposition des services accessibles depuis l’extérieur, la gestion des correctifs de sécurité, la sensibilisation des utilisateurs, ainsi que la conformité au RGPD des traitements de données personnelles : registre des traitements, durées de conservation, encadrement des sous-traitants et procédure de gestion des violations.
Sauvegardes et continuité d’activité
Une sauvegarde qui n’a jamais été restaurée avec succès n’est pas une sauvegarde. Nous vérifions la couverture réelle du périmètre sauvegardé, la fréquence, l’externalisation et l’isolement des copies, et surtout l’existence de tests de restauration documentés. Sont également examinés le plan de continuité et de reprise, et le délai de remise en service que l’organisation est réellement capable de tenir.
Gestion des changements et dépendances
Sont revus le processus de mise en production, la séparation des environnements, la traçabilité des modifications, ainsi que le niveau de dépendance à un prestataire unique ou à des développements spécifiques non documentés.
03 · LE DÉROULEMENT
Le déroulement de la mission
01
Cadrage
Délimitation du périmètre applicatif et des objectifs, en fonction du contexte de la demande.
02
Cartographie
Recensement des applications, des flux entre elles et des acteurs concernés.
03
Entretiens
avec la direction, la fonction comptable et les responsables informatiques, internes ou prestataires.
04
Tests et vérifications
sur les paramétrages, les habilitations, les journaux et les procédures.
05
Restitution
des constats, hiérarchisés selon leur criticité et leur incidence sur l’information financière.
04 · LE RAPPORT
Le rapport et ses suites
Le rapport présente les constats par domaine, chacun assorti d’une appréciation de sa criticité et de son incidence potentielle sur les comptes ou sur la continuité d’exploitation. Il distingue ce qui relève d’une correction immédiate de ce qui appelle une évolution à moyen terme.
Une précision utile sur notre positionnement : lorsque l’audit s’inscrit dans le cadre d’un mandat de commissariat aux comptes, notre rôle est de constater et d’apprécier, non de concevoir ni de mettre en oeuvre les correctifs. Intervenir sur les systèmes que l’on est ensuite appelé à contrôler placerait le professionnel en situation d’autorévision. Les constats sont donc formulés de manière à être directement exploitables par vos équipes ou votre prestataire informatique.
05 · LES HONORAIRES
Les documents à préparer
06 · QUESTIONS FRÉQUENTES
Quels délais prévoir
Une mission ciblée sur la fiabilité des flux comptables d’une PME se conduit en une à deux semaines. Un examen élargi couvrant la sécurité, les habilitations et la continuité d’activité sur un périmètre multi-sites demande de trois à six semaines.
Le facteur déterminant est la disponibilité des interlocuteurs techniques, en particulier lorsque l’infogérance est externalisée.
07 · COMMENT SONT FIXÉS LES HONORAIRES
Comment sont fixés les honoraires
La mission étant contractuelle, les honoraires sont arrêtés dans une lettre de mission avant tout engagement. Ils reflètent le temps nécessaire, déterminé par le nombre d’applications entrant dans le périmètre, la complexité de l’architecture, le nombre de sites et d’utilisateurs, le niveau de documentation existant et la profondeur des tests attendus.
Nous proposons un forfait sur un périmètre explicitement délimité. Décrivez-nous votre contexte via notre formulaire de contact pour recevoir une proposition.
08 · FAIRE ÉVALUER VOS SYSTÈMES
Faire évaluer vos systèmes
Que la demande vienne d’une exigence d’audit, d’un projet de croissance externe ou d’un besoin de visibilité de la direction, l’examen se cadre en un échange. Présentez-nous votre contexte via notre formulaire de contact.
09 · QUESTIONS FRÉQUENTES
Questions fréquentes
L'audit du système d'information est-il obligatoire
Il ne constitue pas une obligation autonome. Il s’impose en revanche au commissaire aux comptes de prendre connaissance de l’environnement informatique pertinent pour l’information financière, ce qui justifie des travaux spécialisés sur les systèmes complexes. Hors mandat légal, c’est une mission contractuelle.
Quelle différence avec un audit de cybersécurité
Un audit de cybersécurité se concentre sur la résistance aux menaces externes et internes. L’audit du système d’information a un périmètre plus large, centré sur la fiabilité de l’information financière produite, dont la sécurité n’est qu’une composante.
Faut-il des compétences techniques pour exploiter le rapport
Le rapport est rédigé pour une direction générale, avec des constats hiérarchisés et des conséquences explicitées en termes de risque. Les éléments techniques figurent en annexe, à destination des équipes informatiques.
Pouvez-vous corriger les anomalies relevées
Pas lorsque nous intervenons dans le cadre d’un mandat de commissariat aux comptes : concevoir puis contrôler les mêmes dispositifs serait incompatible avec notre indépendance. Nos constats sont formulés pour être directement exploitables par vos équipes ou votre prestataire.
Nos outils sont hébergés en ligne, sommes-nous concernés
Oui, et davantage encore. L’externalisation déplace le risque sans le supprimer. L’examen porte alors sur la gestion des accès, les engagements contractuels du prestataire, la réversibilité et la localisation des données.
Quel est le constat le plus fréquent
La gestion des habilitations. Comptes d’anciens salariés toujours actifs, droits d’administration trop largement attribués, absence de revue périodique. Ce sont des anomalies simples à corriger, dont l’incidence sur la fiabilité des comptes est pourtant directe.
SIGNATURE
Serge Bottoli, associé commissaire aux comptes chez Experial Auditors, inscrit sur la liste nationale des commissaires aux comptes tenue par la H2A. Il supervise les travaux d’audit des systèmes d’information conduits par le cabinet.