Remerciez-le!

Remerciez @Admin pour avoir partagé cet document gratuitement, de la manière la plus simple, en partageant sur les réseaux sociaux.

GUIDE AUDIT DES PROCESSUS COMMISSION AUDIT INFORMATIQUE 2 GUIDE AUDIT DES PROCE

GUIDE AUDIT DES PROCESSUS COMMISSION AUDIT INFORMATIQUE 2 GUIDE AUDIT DES PROCESSUS COMMISSION AUDIT INFORMATIQUE DE LA CRCC DE PARIS Frédéric BURBAND Florian ABEGG Serge YABLONSKY Jean-Luc AUSTIN Jean-Michel DENYS Diénéba GANDEGA Sébastien DIENE Jérôme HUBER Michel RETOURNÉ Jonathan SILLAM © CRCC Juin 2020 3 GUIDE AUDIT DES PROCESSUS NOUS ADRESSONS NOS PLUS SINCÈRES REMERCIEMENTS AUX CO PRÉSIDENTS DE LA COMMISSION AUDIT INFORMATIQUE DE LA CRCC DE PARIS : Frédéric Burband Vice-Président de la CRCC de Paris Associé, Saint-Honoré Partenaires Serge Yablonsky Expert-comptable, commissaire aux comptes, président d’honneur de l’AFAI AINSI QU’AUX MEMBRES QUI ONT CONTRIBUÉ À LA RÉDACTION DE CE GUIDE : Florian Abegg Associé chez Grant Thornton Jean-Luc Austin Associé Audit et Conseil SI chez Exponens Jean-Michel Denys Managing Partner des activités de Consulting du cabinet CTF, Compagnie des Techniques Financières Sébastien Diene Manager audit chez Grant Thornton Diénéba Gandega Expert-comptable, commissaire aux comptes, Groupe AFIGEC Jérôme Huber Associé Mazars, spécialisé dans les missions de conseil et d’audit en Système d’Information Michel Retourné Expert-comptable, spécialisé SI, audit de données, lutte contre la fraude Jonathan Sillam Manager chez CTF Conseil RETROUVEZ LES MEMBRES DE LA COMISSION ET POSEZ LEUR TOUTES VOS QUESTIONS SUR LE GROUPE DE CONVERSATION « AUDIT INFORMATIQUE, TOUS CONCERNÉS ! » SUR LINKEDIN REMERCIEMENTS MERCI 4 GUIDE AUDIT DES PROCESSUS INTRODUCTION PRÉSENTATION DES 3 GUIDES Notre profession accompagne des entreprises de plus en plus in formatisées, collectant et traitant des millions de données. Elle doit intégrer les systèmes d’information dans son approche d’audit afin de maintenir une qualité et une pertinence de ses contrôles sur les informations financières soumises à sa certification. L’impulsion conjuguée des exigences réglementaires et de la normalisation technique (avec notamment le fichier des écritures comptables, bientôt la facture électronique) accroît actuellement les besoins et exigences en la matière. C’est pourquoi la CRCC de Paris se mobilise pour apporter le soutien nécessaire à nos consœurs et confrères visant à les sensibiliser sur les risques et enjeux de la digitalisation des processus de l’entreprise. La Commission Audit Informatique de la CRCC de Paris œuvre maintenant depuis 3 ans afin d’acculturer la profession à l’audit informatique. Elle propose dans ce cadre trois guides visant à rendre accessibles à tous les professionnels la démarche d’audit des sys tèmes d’informations. INTRO > > AUDIT INFORMATIQUE, TOUS CONCERNÉS Ce guide édité en 2017 et complété en 2019 porte sur les contrôles géné raux informatiques (ITGC Information Technology General Controls). Les contrôles généraux informatiques s’appliquent à tous les com posants, processus et données des systèmes d’une organisation, ou d’un environnement de systèmes. Ils ont pour objectif de veiller au développement et à la mise en œuvre appropriés des applications, à l’intégrité et sécurité des applications, opérations et données, ainsi que des opérations informatiques. > > AUDIT INFORMATIQUES DES PROCESSUS : CONTRÔLES SPÉCIFIQUES DES APPLICATIONS ET PROCESSUS Ce nouveau guide porte sur les contrôles applicatifs (ITAC : Information Technology Application Controls). Ces contrôles visent à s’assurer du respect de la qualité et de la sécurité des données générées ou sup portées par les applications informatiques métier, en particulier celles qui impactent les flux financiers. Ils sont par construction spécifiques à chaque application. > > AUDIT PAR LES DONNÉES EN UTILISANT DES OUTILS INFORMATIQUES Ce nouveau recueil porte sur les techniques d’audit assistées par ordinateur (CAATs : Computer-Aided Audit Tools). Il présente une bibliothèque de tests et contrôles possibles d’audit par les données, qui est implémenté soit dans le cadre de la vérification du fonction nement des processus ou pour réaliser des contrôles dits substantifs basés sur l'exhaustivité d'une population à auditer. 5 GUIDE AUDIT DES PROCESSUS INTRODUCTION Évaluation du CI des processus-clés informatiques de l’entité ITAC Tests et contrôles substantifs par l’analyse des données CAATs Appréciation de l’environnement général du CI des SI de l’entité ITGC Guide Audit Informatique, tous concernés (version 2019) Guide Audit informatique des processus nouveau Recueil de tests d’audit de données nouveau INTRO 6 GUIDE AUDIT DES PROCESSUS INTRODUCTION POURQUOI LE CAC EST-IL AMENÉ À EXAMINER LES CONTRÔLES APPLICATIFS ? Dans le cadre de sa mission d’audit légal des comptes, le commissaire aux comptes acquiert une connaissance suffisante de l’entité, notam ment de son contrôle interne, afin d’identifier et d’évaluer le risque d’anomalies significatives dans les comptes et afin de concevoir et de mettre en œuvre des procédures d’audit permettant de fonder son opinion sur les comptes (NEP 315). Lors de la prise de connaissance de l’entité, notamment de son contrôle interne, effectuée en application de la norme d’exercice professionnel relative à la connaissance de l’entité et de son environnement et à l’évaluation du risque d’anomalies dans les comptes, et tout au long de son audit, le commissaire aux comptes peut relever des faiblesses dudit contrôle interne qui doivent être communiquées à l’entité (NEP 265). Après avoir pris connaissance de l’entité et évalué le risque d’anomalies significatives dans les comptes, le commissaire aux comptes adapte son approche générale, conçoit et met en œuvre des procédures d’au dit lui permettant de fonder son opinion sur les comptes (NEP 330). Être en mesure d’identifier et de s’appuyer sur les forces de contrôle interne d’une entité dont les processus sont très informatisés, implique d’évaluer la qualité et l’effectivité des contrôles applicatifs embarqués dans les différents processus de cette entité. Le terme de processus est un terme générique globalisant un en semble de tâches corrélées ou en interaction qui utilise des éléments d’entrée pour produire un résultat escompté. On décompose ainsi un processus en différents sous-ensembles : > > Les Macro-processus pour définir les processus majeurs de l’en tité tels que le Quote to Cash (de la cotation à l’encaissement), Procure to pay (de l’approvisionnement au paiement), Compta bilité/finance, Paie, Etc > > Les processus sont les unités qui composent les macro-pro cessus. Pour l’exemple du macro-processus Quote to cash, on identifiera notamment le processus prise de commande, Plani fication de production, fabrication, … > > Les processus sont décomposés en activités. Celles-ci corres pondent aux unités qui composent un processus. Pour l’exemple du processus planification, on évoquera ainsi l’activité contrôle des flux, gestion et prévision, contrôle des gains et des coûts, … > > La granularité la plus fine du processus est la tâche. Pour l’exemple du contrôle des flux, on évoquera le rapprochement bancaire. INTRO 7 GUIDE AUDIT DES PROCESSUS INTRODUCTION CARTOGRAPHIE TYPE DES APPLICATIONS FONDÉE SUR LA CARTOGRAPHIE DES MACRO-PROCESSUS Les applications métiers qui opèrent ces processus permettent une meilleure maîtrise des fonctions opérationnelles ainsi qu’une flui dification de la circulation de l’information par leur capacité à com muniquer entre elles. Elles permettent ainsi la traduction de flux opérationnels en flux comptables. La gestion commerciale, la gestion des stocks, la gestion de la pro duction et bien d’autres modules du système d’information déversent continuellement des flux d’écritures comptables rendant marginale la saisie manuelle des écritures comptables. Les comptes annuels prennent ainsi en grande partie leur source dans les systèmes d’information. Quelle que soit l’application utilisée, les processus eux-mêmes pré sentent un risque inhérent. C’est pourquoi nombre d’organisations associent des contrôles automatisés et manuels pour gérer ces risques dans les applications transactionnelles. Ces contrôles automatisés, généralement qualifiés de contrôles applicatifs sont spécifiques aux processus concernés. Mise sur le marché Industrialisation Développement Business plan Conception R&D marketing stratégique ÉVOLUTION OFFRE Encaissement Livraison facturation Fabrication Planification Production Prise de commandes QUOTE TO CASH Règlement Contrôle facture Réception Approvisionnement Achats PROCURE TO PAY Enquêtes de satisfaction Retours Échanges Réparation SERVICE CLIENTS FINANCE COMPTA GESTION INFORMATIQUE RH PAIE APPLICATIONS Gestion de projet pour l’offre Gestion commerciale VENTES Gestion commerciale ACHATS Gestion retours clients & garanties Gestionnaire d’enquêtes Comptabilité Paie INTRO 8 GUIDE AUDIT DES PROCESSUS INTRODUCTION L’analyse des contrôles des applications par le commissaire aux comptes peut intervenir dans deux cadres : SA MISSION LÉGALE Dans le cadre de la certification des comptes, le commissaire aux comptes doit s’assurer que les applications garantissent l’intégrité des données entrées tout en se fondant sur l’exhaustivité et l’exactitude des données reçues. Le CAC évalue ainsi le contrôle interne, teste les procédures et s’assure de la qualité du fonctionnement du système d’information. En fonction des points forts et points faibles relevés, il ajuste son risque d’audit. Le CAC, dans sa démarche d’audit, doit s’assurer de la qualité de la donnée depuis son « input » dans le sys tème d’information jusqu’à sa transformation, son extraction et son déversement dans les logiciels avals. Cette évolution de l’informatisation a comme incidence une inter connexion entre les flux de données et une forte volumétrie. Les états financiers sont alimentés par ces flux d’information et conditionnent leur fiabilité. DES PRESTATIONS ANNEXES En dehors de ses obligations légales, une entité peut avoir besoin de disposer d’un diagnostic approfondi sur l’efficacité d’un processus informatisé. Ce processus peut être stratégique, complexe ou ancien nement mis en place afin de garantir notamment la qualité et la sécurité des données. La mission confiée au commissaire aux comptes permet de donner un avis ou de fournir des éléments d’information. Elle peut nécessiter la mise en œuvre de travaux non requis pour la certification des comptes. Ces uploads/Science et Technologie/audit-process-v6.pdf