Audit financier sans audit du système d’information, est-ce possible / souhaitable ?

Les audits les plus courants en entreprise sont les audits liés à une mission du commissaire au compte, qui doit vérifier la sincérité et la conformité des données financières de l’entreprise selon les normes en vigueur.

Il existe aussi de nombreux autres cas où les entreprises demandent des audits du même type,

• pour valider les propos du vendeur en prévision de rachat d’une société
• pour évaluer l’évolution ou la solidité d’une filiale
• …

Dans tous ces cas, l’audit utilisera de manière intensive les données financières de l’entreprise en provenance de la comptabilité, tant générale qu’analytique. Bien entendu, il sera aussi nécessaire d’auditer certains processus ayant des liens directs, comme par exemple la procédure d’inventaire pour une entreprise ayant des stocks.

Mais de nombreux audits oublient l’étude du système d’information. Pourtant, c’est lui qui génère la plus grosse part des écritures comptables ou les reportings permettant de passer ces écritures. Si le système d’information n’est pas cohérent ou pas fiable, il y a de grands risques pour que la comptabilité ne reflète pas correctement l’entreprise.

A l’opposé, l’audit du système d’information ne doit pas être exhaustif. Comme pour l’audit de l’inventaire, il faut viser les processus majeurs, et faire un échantillonnage adéquat des données à valider. Attention, avec le numérique, il faudra quand même faire une petite étude de l’architecture technique de l’ensemble pour s’assurer que ce qui va être audité est bien ce qui a fonctionné ces derniers mois, ce qui nécessite une réelle expertise technique de l’auditeur.

3 grandes étapes sont impératives :

1. Disposer ou valider le schéma général technique et fonctionnel de l’ensemble du SI. Cette étape, qui peut être un peu lourde, est réalisée lors du premier audit. Si l’audit a lieu tous les ans, alors les années suivantes, il suffira de valider les évolutions en prenant en compte les dates et procédures d’évolution des données afférentes ;
2. Comprendre comment les événements de gestion sont transformés en écriture comptable avec 3 points d’attention : les schémas d’écriture, les tables de correspondance (entre données de gestion et données comptables) et le traitement des anomalies ;
3. Via l’échantillonnage, valider la piste de justification de quelques écritures comptables.

Je ne pense pas qu’un audit financier qui n’inclut pas un audit du SI soit raisonnable. Certes, cela génère des coûts complémentaires, mais cela permet aussi d’être plus pertinent sur les conseils pour les axes d’amélioration. Les auditeurs du SI doivent avoir de multiples compétences (technique informatique et métier comptable), et si possible, une expérience en mise en œuvre de processus d’intégration financière.

Olivier Heintz
Directeur de projet, Architecte applicatif et fonctionnel