Présentation de la démarche de l’audit informatique en support à l'audit financier

Résumé du document

Le présent document se propose d'apporter une contribution à la recherche d'une méthodologie d'audit informatique comme support à l'audit financier. Cette méthodologie est à développer et à adapter à chaque contexte technique rencontré. Elle peut être aussi utilisée dans une mission spéciale d'audit informatique avec, généralement, un champ d'action plus élargi.
Notons, tout d'abord, qu'en raison de la complexité croissante des systèmes, la majorité des cabinets internationaux ont développé des équipes internes spécialisées dans l'audit informatique. Dans leurs travaux, ces derniers entreprennent leur audit en réelle collaboration avec l'équipe d'audit financier mais d'une façon indépendante de point de vue formalisme[64]. La démarche présentée ci-après tient compte de ce fait.

Extraits

[...] La direction est-elle impliquée dans la revue et l'approbation des changements relatifs aux systèmes informatiques ? La direction effectue-t-elle une revue régulière de ces changements ? Lorsque la maintenance de la nouvelle application est assurée directement par le fournisseur, quelles précautions sont prises dans le cas où celui-ci ne serait plus en mesure de fournir ce service ? Les qualités fonctionnelles et opérationnelles des systèmes sont-elles mesurées et suivies par la direction informatique ? Le management opérationnel dispose-t-il de rapports et de statistiques pour apprécier les qualités opérationnelles des systèmes ? [...]

[...] L'autorisation de mise en production : Seuls les changements dûment autorisés et testés doivent être transférés dans l'environnement d'exploitation. A titre d'exemple, l'auditeur doit examiner les indicateurs suivants : Qui réalise les migrations courantes (pour les modifications routinières) ? Dans quelle mesure les développeurs peuvent-ils avoir accès à l'environnement d'exploitation ? Une procédure d'autorisation pour les corrections urgentes de programmes ou de données est-elle définie ? Garde-t-on la trace des accès à l'environnement d'exploitation par les programmeurs dans le cadre de corrections urgentes ? [...]

[...] (Ces tests utilisent les mêmes méthodes de pénétration que celles des pirates informatiques). Sous section 2 : Les contrôles portant sur la sécurité de l'exploitation L'examen des contrôles portant sur la sécurité de l'exploitation nécessite la documentation, l'évaluation et l'examen de l'administration d'ensemble de l'exploitation des systèmes d'une part, et des procédures détaillées de l'exploitation d'autre part Documenter, évaluer et tester l'administration d'ensemble de l'exploitation des systèmes : L'auditeur doit effectuer une description générale de l'administration d'ensemble de l'exploitation des systèmes informatiques relative à tous les environnements. [...]

[...] Le fournisseur La date d'installation de la première version La date de la dernière mise à jour Le coût de la maintenance 5. Historique des interventions : Objets de l'intervention Budgets Intervenants Section 2 : L'examen des contrôles généraux informatiques EN SE BASANT SUR LES INFORMATIONS DOCUMENTÉES DANS LA CARTOGRAPHIE DURANT LA PHASE DE PLANIFICATION, L'AUDITEUR SÉLECTIONNE LES ENVIRONNEMENTS ET LES SYSTÈMES INFORMATIQUES SIGNIFICATIFS. IL PROCÈDE, ENSUITE, À LA DOCUMENTATION DE CES ENVIRONNEMENTS ET SYSTÈMES AFIN DE DÉGAGER LES CONTRÔLES GÉNÉRAUX INFORMATIQUES CLEFS. [...]

[...] Exemple de flowshart : Généralement, après la préparation ou la mise à jour de la documentation des systèmes, l'auditeur doit confirmer sa compréhension des procédures à travers la réalisation de tests de cheminement. Cependant, il peut être plus efficace de réaliser ces tests et de préparer la documentation correspondante en même temps. Les tests de cheminement doivent porter aussi bien sur les procédures manuelles que sur les procédures automatisées. Dans la pratique, concernant les procédures automatisées, les problèmes suivants peuvent être rencontrés : Les transactions sont parfois groupées en batchs avant leur traitement par l'ordinateur. [...]