Appréciation, évaluation du système de contrôle interne SCI métiers et informatique

Appréciation, évaluation du système de contrôle interne (SCI) métiers et informatique, systèmes d'information

Définitions

COSO
Selon le COSO - concept SCI le plus connu et reconnu - le SCI est un processus appliqué par les membres du CA, le management et autres personnes désignées pour fournir l’assurance raisonnable concernant la réalisation des objectifs dans les trois catégories suivantes :

Efficacité et efficience des opérations
Fiabilité du reporting financier
Respect des lois et règlements applicables (conformité).

Une entreprise peut choisir d'autres catégories, par exemple la stratégie et l'image / la réputation.

Il se compose de cinq composants fortement liés entre eux:

Environnement de contrôle
Evaluation des risques
Activités de contrôle
Information - Communication
Surveillance.

Il existe des relations directes entre les objectifs – ce que l’entreprise veut atteindre – et les composants – ce que l’entreprise a besoin pour les atteindre.

Chambre Fiduciaire Suisse
Dans la NAS 890 (Norme d'audit suisse, Vérification de l'existence du SCI), il est indiqué que "Le SCI, au sens de la présente norme, comprend uniquement les processus et les mesures dans une entreprise qui garantissent une tenue régulière de la comptabilité et un rapport financier adéquat."

IFACI
Dans son Cadre de référence de contrôle interne, le SCI est un dispositif de la société, défini et mis en oeuvre sous sa responsabilité, qui vise à assurer :

la conformité aux lois et règlements ;
l’application des instructions et des orientations fixées par la Direction Générale ou le Directoire ;
le bon fonctionnement des processus internes de la société, notamment ceux concourant à la sauvegarde de ses actifs ;
la fiabilité des informations financières ;

et d’une façon générale, contribue à la maîtrise de ses activités, à l’efficacité de ses opérations et à l’utilisation efficiente de ses ressources.

Aussi, la Direction de l'entreprise doit-elle commencer par définir les objectifs SCI qu'elle veut atteindre dans les catégories indiquées, au minimum la fiabilité du reporting financier.

Processus PDCA

Nous proposons un processus de gestion du SCI (PDF F) (PDF E) respectant l'approche PDCA (Plan, Do, Check, Act) pour la mise en place et la gestion d'un SCI.

Ce concept vise fortement à augmenter l'efficacité et l'efficience des processus (optimisation du SCI) de l'entreprise et à rationaliser les contrôles.

Le SCI et l'informatique

La mise en place du SCI de la partie informatique suit le concept COSO de mise en place du SCI, en considérant les systèmes d'information (applications et infrastructure) nécessaires au fonctionnement des processus métiers / business.

Il existe deux types de contrôles informatiques : Les contrôles généraux et les contrôles dans les applications.

Les contrôles dans les applications servent au contrôle du traitement des applications, depuis la saisie des opérations jusqu'à la sortie des données.

Les contrôles généraux comprennent tous les contrôles de l'infrastructure informatique nécessaire au fonctionnement des applications. Par exemple, la gestion de l'exploitation, les logiciels d'exploitation, la sécurité des accès, le développement et la maintenance des systèmes et des applications, la gestion des changements.

Les entreprises peuvent s'appuyer sur des normes reconnues pour choisir les contrôles informatiques les plus appropriés pour atteindre leurs objectifs SCI, par exemple, le référentiel CobiT ou la norme ISO 27002.

Appréciation, évaluation du SCI métier et informatique

Nous avons développé 2 tableaux Excel permettant à chaque entité d'une entreprise d'apprécier, d'évaluer son niveau de maturité du SCI :

- 1 tableau pour apprécier, évaluer le SCI métier (non IT), selon COSO
- 1 tableau (exemples : PDF et PDF2) pour apprécier, évaluer le SCI informatique, selon COSO et CobiT.