|
L’impératif de conformité à Sarbanes-Oxley conduit ces entreprises à lancer des projets de grande envergure d’évaluation du contrôle interne...
L’impératif de conformité à Sarbanes-Oxley conduit ces entreprises à lancer des projets de grande envergure d’évaluation du contrôle interne. Le COSO Report (Committee of Sponsoring Organizations of the Treadway Commission), référentiel de contrôle interne accepté par le législateur américain, pourra leur servir de guide. Concrètement, ces chantiers consistent à rendre compte du fonctionnement des contrôles sur les processus ayant une matérialité importante dans les états financiers de la société (bilan, compte de résultats, etc.) ou étant porteurs de risques importants pour l’entreprise. Pour chacun des processus identifiés, les objectifs de contrôle, les risques, et les activités de contrôle existant doivent être décrits. Une fois les activités de contrôle décrites, il s’agit de s’interroger sur l’existence d’éventuelles défaillances de contrôle interne associées à ces activités de contrôles (défaut de conception, fonctionnement opérationnel déficient) afin de déterminer les actions à conduire pour y remédier.
Une question se pose : jusqu’où doit se faire la documentation des contrôles informatiques pour permettre aux dirigeants et aux commissaires aux comptes de s’engager en toute confiance sur la qualité et l’efficacité du contrôle interne ? Aujourd’hui, la tendance est principalement à la documentation des contrôles applicatifs qui sont au cœur des tâches conduites par les opérationnels et qui sont du ressort des maîtrises d’ouvrage. La documentation des contrôles sur l’environnement informatique par les directions informatiques se limite principalement aux « contrôles généraux informatiques ». Certains contrôles liés à la sécurité des systèmes d’information ne semblent pas naturellement inclus dans le périmètre des éléments à documenter, par exemple, la sécurité du réseau, les mécanismes de chiffrement, les habilitations « super utilisateur » sur les éléments de l’environnement informatique (serveur, bases de données, routeurs, etc.). Il apparaît pourtant difficile de faire l’impasse sur la sécurité des systèmes qui supportent la comptabilité par exemple. Ainsi, la mise en œuvre de mécanismes d’authentification renforcés, de gestion avancée des habilitations et des accès aux ressources doivent être incluses dans ce périmètre. Ces éléments concourent à l’amélioration de la séparation des tâches dans l’entreprise. Ils s’intègrent dans les démarches de mise en oeuvre de la gestion de l’identité des utilisateurs (Identity Management), c’est à dire le processus qui consiste pour chaque utilisateur à lui donner accès aux seules ressources auxquelles il est habilité et dans une période définie. Par extension, les aspects liés à la sécurité du réseau et les moyens de chiffrement des données devraient être également revus, même s’ils ne sont pas spécifiquement prévus par le législateur. Tous ces éléments concourent pourtant à la protection des erreurs et des fraudes, à la préservation de l’intégrité et de la confidentialité des données...
Ces projets étant pilotés par les directions financières, la priorité est allée à la documentation des activités de contrôle opérationnelles. Pourtant, la conformité à ces nouvelles lois s’inscrivant dans la durée, les aspects liés à la sécurité des systèmes d’information devront nécessairement à terme être couverts. Pour cela, une prise de conscience des directions générales et directions financières est nécessaire. Il revient donc aux RSSI, aux CAC ou encore aux conseils externes de sensibiliser ces instances dirigeantes sur la pertinence de l’apport d’une véritable démarche sécurité en support au contrôle interne de la société.
L’exigence de fiabilité des contrôles décrite par la loi américaine demande la réalisation de tests d’efficacité sur les contrôles en place.. En fonction de la taille des échantillons de données à tester, il peut être pertinent de recourir à des outils de traitement automatique des données (data management) afin de mettre en œuvre des recherches d’exceptions dont l’absence permet d’obtenir un meilleur confort sur la fiabilité du contrôle interne.
La vieille technique d’audit informatique a encore un grand avenir !
Philippe Trouchaud Associé, PricewaterhouseCoopers Responsable des activités d’audit informatique et de sécurité des systèmes d’information au sein du département "Global Risk Management Solutions".
|
