Remerciez-le!

Remerciez @Admin pour avoir partagé cet document gratuitement, de la manière la plus simple, en partageant sur les réseaux sociaux.

Directeur de mémoire : Patrice CHARLIER Maître de stage : Christophe LETT Soute

Directeur de mémoire : Patrice CHARLIER Maître de stage : Christophe LETT Soutenu le 2 juillet 2018 Alisa VARBANOVA L’audit SI, une partie intégrante de la démarche de l’audit des états financiers Mémoire présenté en vue d’obtenir le diplôme MASTER CCA Année universitaire 2017/2018 REMERCIEMENTS Je tiens tout d’abord à remercier mon maître de stage Christophe LETT de sa disponibilité tout au long de mon stage, de sa réactivité et des ses précieux conseils. Je voudrais remercier particulièrement Caroline ADAM et Aurélien ALBERT pour l’aide apportée dans mes recherches sur mon mémoire, l’orientation, les réflexions et le temps consacré sur ma mission de rédaction de ce mémoire. De plus, je remercie les deux auditeurs SI, Bruno LIVERNAIS et Florent SUM, de m’avoir fait part de leurs connaissances sur le sujet de l’informatique. Je remercie également l’ensemble du personnel du service audit pour l’accueil, la présence et disponibilité pendant ces quatre mois de stage, pour les connaissances et conseils partagés à travers les missions qu’ils m’ont confiées. Je tiens par ailleurs à remercier Monsieur Patrice CHARLIER, mon directeur de mémoire, pour ses conseils, son aide et son suivi tout au long du stage. Enfin, j’adresse mes remerciements à l’ensemble des professeurs et intervenants de l’EM Strasbourg pour leurs enseignements de qualité durant ces deux années d’études qui m’ont permis de préparer au mieux ce stage, ainsi que mon projet professionnel. PRESENTATION DU CABINET D’ACCUEIL Dans le cadre de ma dernière année d’études en Master CCA, j’ai effectué un stage au sein du cabinet d’expertise-comptable et de commissariat aux comptes MAZARS, se situant au 1 rue des Arquebusiers à Strasbourg. Ce stage s’est déroulé du mois de janvier au mois d’avril. Mazars est une organisation internationale, intégrée et indépendante, spécialisée dans l’audit, le conseil et les services comptables, fiscaux et juridiques1. Son existence date depuis 1940 quand Robert Mazars crée son premier cabinet près de Rouen. Le cabinet a connu une évolution et un développement très rapide mais il a su rester fidèle aux valeurs de son fondateur. Aujourd’hui le groupe est présent sur 102 pays et territoires, dont 86 font partie du partnership international intégré de Mazars, et 16 sont des correspondants et des bureaux de représentation. Mazars est également membre fondateur de l’alliance internationale Praxity qui est une Alliance globale d’organisations indépendantes présente dans le monde entier et qui s’engage à respecter les standards internationaux les plus exigeants. Par ce biais le groupe dispose d’un réseau supplémentaire de 21 pays. Le chiffre d’affaires de Mazars en fin 2017 est marqué par une croissance de 12,8% et dépasse donc 1,5mds d’euros. Avec cette expansion géographique et les changements profonds qui affectent le métier de l’audit, Mazars mise son succès sur l’innovation et la transparence. En Alsace, le cabinet dispose de deux bureaux qui comptent au global 100 collaborateurs dirigés par six associés : - Gilles CONTESSE - Christian EINHORN - Laurence FOURNIER - Olivier GRAMLING - Jean-Louis KOESSLER - Valentin WITTMANN L’activité du cabinet est organisée autour de deux pôles principaux : audit financier et accompagnement comptable et financier. Ces derniers sont en collaboration constante avec les services social et juridique. Mon stage s’est déroulé au sein des équipes d’audit financier et j’ai été amenée à effectuer des travaux de phase finale (cycles clients, immobilisations, trésorerie, fournisseurs, capitaux propres, autres 1 Cf. Annexe 1 : Description des métiers de Mazars créances/autres dettes) et phase de bouclage (contrôle des comptes annuels, d’annexes, des rapports de gestion, des textes de résolution, contrôle des conventions réglementées). Les entités sur lesquelles j’ai pu intervenir couvraient le secteur industriel, le transport, la santé ainsi que le secteur associatif. Cette diversité des travaux confiés et les clients avec qui j’ai pu échanger ont été très enrichissants et formateurs pour moi. L’expérience acquise me conforte dans mon choix d’évoluer au sein du cabinet Mazars. Table des matières INTRODUCTION......................................................................................................... 1 I. L’AUDIT SI DANS LA MISSION DE CERTIFICATION DES COMPTES .................................. 4 A. DÉFINITION ET APPORT DANS L’APPROCHE PAR LES RISQUES ................................. 5 1. CADRE RÉGLEMENTAIRE ....................................................................................... 5 2. PRISE DE CONNAISSANCE DE L’ENTITÉ ....................................................................... 5 3. DÉFINITION DU SYSTÈME D’INFORMATION .................................................................. 6 4. APPORT DU SYSTÈME D’INFORMATION DANS L’APPROCHE PAR LES RISQUES ........................... 7 5. LA NOTION DE RISQUE D’AUDIT .............................................................................. 8 6. L’IMPACT DU SYSTÈME D’INFORMATION DANS L’APPRÉCIATION DU RISQUE D’AUDIT ................ 9 7. L’AUDIT SI, UNE ÉTAPE INCONTOURNABLE DE LA DÉMARCHE GÉNÉRALE DE L’AUDIT DES COMPTES9 B. MOYEN DE PRÉVENTION ET DE DÉTECTION ......................................................... 9 1. CYBERSÉCURITÉ ................................................................................................ 10 2. CYBERCRIMINALITÉ ............................................................................................ 11 3. FRAUDE .......................................................................................................... 12 II. LES CONTRÔLES MIS EN PLACE PAR LE COMMISSAIRE AUX COMPTES DANS LE CADRE DE L’EXAMEN DU SYSTÈME D’INFORMATION ...................................................................... 14 A. CONTRÔLES INCONTOURNABLES ....................................................................... 16 1. PRISE DE CONNAISSANCE / CARTOGRAPHIE ............................................................... 16 2. ITGC : CONTRÔLE INTERNE SUR LES PROCESSUS IT ...................................................... 17 A. SÉCURITÉ LOGIQUE ......................................................................................... 18 B. SÉCURITÉ PHYSIQUE ........................................................................................ 19 C. GESTION DES CHANGEMENTS ............................................................................. 19 D. EXPLOITATION INFORMATIQUE ........................................................................... 19 B. CONTRÔLES ADAPTABLES SELON L’APPROCHE D’AUDIT ....................................... 20 1. ITAC : CONTRÔLES INTÉGRÉS AUX APPLICATIONS IT .................................................... 20 2. DATA ANALYTICS : ANALYSE DE DONNÉES .................................................................. 21 III. CAS D’APPLICATION : AUDIT SI DE L’ASSOCIATION X ............................................... 24 A. PRISE DE CONNAISSANCE DE L’ENVIRONNEMENT INFORMATIQUE ......................... 25 1. FONCTION INFORMATIQUE ................................................................................... 25 2. APPLICATIONS .................................................................................................. 27 3. INTERFACES ..................................................................................................... 27 4. ACCÈS INFORMATIQUES ....................................................................................... 27 B. CARTOGRAPHIE ................................................................................................ 28 C. ITGC : CONTRÔLES GÉNÉRAUX INFORMATIQUES ................................................. 28 CONCLUSION ............................................................................................................. 30 GLOSSAIRE ................................................................................................................. 33 BIBLIOGRAPHIE ........................................................................................................... 34 ANNEXES .......................................................................... ERROR! BOOKMARK NOT DEFINED. 1 INTRODUCTION 2 Dans le monde actuel, l’information est devenue centrale et procure un avantage concurrentiel à une grande partie des entités quelle que soit leur taille. Elle est un vecteur de communication au sein de chaque entité et son absence ou incertitude a un impact direct sur l’avis des tiers. La gestion de cette information se réalise au travers du systèmes d’information (SI). Ce dernier est devenu un facteur clé du développement des entités et son organisation passe nécessairement par des applications de gestion et/ou des modules segmentés par fonction métier (production, distribution, achats, ventes, comptabilité, trésorerie, etc.). La dépendance à l’informatique est un nouveau paramètre à prendre en compte. Le recours aux nouvelles technologies pose de plus en plus la question de la sécurité des informations, que ces dernières soient privées ou publiques. De ce point de vue, la politique de sécurité des systèmes d’information est devenue une préoccupation majeure. Depuis des décennies, les systèmes d’information participent pleinement dans l’organisation des entités et ils déterminent souvent leur niveau de performance et de développement. Cette évolution de l’informatisation a comme incidence pour les entités une standardisation des flux de données, une interconnexion entre eux et une volumétrie importante2. Les états financiers sont gérés par ces flux d’information et ils conditionnent leur fiabilité. Cette évolution entraine une profonde mutation de la mission du commissaire aux compte. Les systèmes d’information de plus en plus complexes mis en place par les entités amènent le commissaire aux comptes à se poser la question de la maîtrise des risques inhérents liés à ceux-ci. Ces « nouveaux » risques touchent directement l’activité de l’entité avec une éventuelle indisponibilité du système d’information, la fiabilité des états financiers, qui pourrait être erronée suivant la qualité des données comptables utilisées, et enfin, ils sont impactés par les accès à des informations confidentielles. C’est justement cette révolution numérique qui a forcé les commissaires aux comptes à repenser leur mission dans l’objectif de s’assurer de la sécurité et la pérennité des systèmes d’information utilisés par leurs clients. Cette évolution présente une réelle opportunité pour la profession, car elle introduit l’audit des systèmes d’information comme incontournable. L’intérêt de ce mémoire réside notamment dans ce point, et a pour objectif de démystifier l’audit SI et de démontrer que désormais celui-ci peut et doit être, dans une certaine mesure, réalisé par l’auditeur financier dans sa mission de certification des comptes. Il s’agit d’une montée en compétences techniques pour 2 Carole Cherrier, Vice-présidente de l’IFEC dans « Les logiciels d’analyse de données au service de l’audit légal en PME » par François Gérard 3 l’auditeur, mais aussi d’un renforcement de la plus-value apportée au dirigeant. Cette nouvelle relation inclut le directeur des systèmes d’information comme l’un des principaux interlocuteurs. L’intervention davantage en matière d’audit des systèmes d’information a un double objectif. Dans un premier temps, elle améliore la pertinence et l’efficacité de l’approche d’audit. Dans un second temps, elle répond aux normes d’exercice professionnel. Ce mémoire a un triple objectif : de démontrer la nécessité de réaliser un audit des systèmes d’information dans toutes les entités quelle que soit leur taille tout en expliquant pourquoi cet audit est indispensable dans la mission de certification des comptes, et enfin, de démontrer quels sont les contrôles que l’auditeur financier doit réaliser afin de s’assurer de la pérennité des systèmes d’information utilisés par l’entité. Ainsi une problématique se dégage : Comment l’auditeur financier peut intégrer l’audit SI dans sa mission de certification des comptes ? Avant de présenter les contrôles que l’auditeur financier réalise sur la partie informatique