Accès, changements, ITGC et ITAC : ce que le commissaire aux comptes attend du système d’information
Dans une entreprise, les comptes ne naissent plus seulement d’écritures saisies à la main. Ils passent par des applications, des interfaces et des contrôles automatisés. Pour le commissaire aux comptes, l’audit du système d’information n’est donc pas un sujet technique à part, mais une condition pour apprécier la fiabilité des données financières et le risque d’anomalies significatives.
L’audit du système d’information dans le cadre du commissariat aux comptes vise à comprendre comment les accès, les changements, les sauvegardes, les interfaces et les contrôles automatisés influencent la production comptable. L’objectif n’est pas de certifier le SI ni de conduire un audit cybersécurité exhaustif, mais d’obtenir des éléments probants utiles à la certification des comptes.
Pourquoi le système d’information entre dans la mission du commissaire aux comptes
La mission du commissaire aux comptes repose sur une approche par les risques. Quand les ventes, les achats, la paie, les stocks ou la trésorerie sont traités dans un ERP, un logiciel métier ou une solution SaaS, la qualité des comptes dépend directement de la qualité des traitements informatiques. Un paramétrage erroné de TVA, une interface non contrôlée ou un droit d’accès trop large peut avoir un effet comptable immédiat.
Comprendre l’audit SI du commissaire aux comptes
La NEP 315 encadre la compréhension de l’entité, de son environnement et de son contrôle interne pour identifier et évaluer les risques d’anomalies significatives. La NEP 330 traite des réponses de l’auditeur à ces risques. Dans ce cadre, le système d’information est examiné dès lors qu’il contribue à initier, enregistrer, traiter ou restituer des opérations ayant un impact sur les états financiers.
Un audit IT au service de la certification, pas un audit technique isolé
L’audit IT mené pour les besoins du commissariat aux comptes est ciblé. Il porte sur les composants informatiques qui soutiennent les cycles significatifs, comme le chiffre d’affaires, les achats, les immobilisations, les stocks, la paie, la clôture, la consolidation ou la trésorerie. L’enjeu est de savoir si l’auditeur peut s’appuyer sur certains contrôles informatisés ou s’il doit renforcer ses tests de substance.
Cette distinction compte. Un système peut très bien fonctionner au quotidien et rester difficile à auditer. À l’inverse, une application ancienne mais bien tenue, avec des droits documentés, des journaux exploitables et des rapprochements réguliers, peut offrir un cadre de contrôle acceptable pour l’audit des comptes.
Les zones de contrôle prioritaires : accès, changements, exploitation et données
Le commissaire aux comptes, souvent avec l’appui d’un auditeur IT, examine les contrôles informatiques qui sécurisent la chaîne de production de l’information financière. Ces contrôles se répartissent généralement en trois familles : les ITGC, les ITAC et les IPE.
| Famille de contrôle | Ce qui est examiné | Enjeu pour les comptes |
|---|---|---|
| ITGC | Accès, comptes à privilèges, changements, sauvegardes, incidents | Sécuriser l’environnement général des applications financières |
| ITAC | Contrôles automatisés, workflows, interfaces, rapprochements | Vérifier que les traitements métiers sont complets et exacts |
| IPE | Exports, états de gestion, balances âgées, FEC, rapports applicatifs | S’assurer que les informations utilisées comme preuves sont fiables |
ITGC : la base du contrôle
Les contrôles généraux informatiques, ou ITGC, portent sur l’environnement qui permet aux applications de fonctionner correctement. Ils couvrent la gestion des habilitations, la revue périodique des droits, les comptes administrateurs, la séparation des fonctions, la gestion des changements, les sauvegardes, le plan de continuité d’activité et le suivi des incidents.
Une faiblesse ITGC peut remettre en cause la confiance accordée aux contrôles applicatifs. Par exemple, si un utilisateur peut créer un fournisseur, saisir une facture et déclencher un paiement sans contrôle compensatoire, le risque de fraude augmente. Si les changements de paramétrage ne sont ni testés ni validés, une règle de calcul comptable peut être modifiée sans détection.
ITAC et IPE : là où le contrôle rejoint les processus métiers
Les contrôles applicatifs, ou ITAC, sont intégrés aux processus. Ils peuvent concerner le chaînage commande/livraison/facturation, les seuils d’approbation, les blocages automatiques, les contrôles de doublons, les rapprochements entre modules ou la vérification de l’exhaustivité des flux. Leur efficacité dépend à la fois du paramétrage et de la stabilité de l’environnement IT.
Les informations produites par l’entité, ou IPE, désignent les états et extractions utilisés dans l’audit : balance âgée clients, listing des immobilisations, export de stocks, FEC, rapport d’anomalies, journal des écritures ou état de rapprochement. L’auditeur doit apprécier si ces informations sont complètes, exactes et correctement extraites du système.
La démarche d’audit : comprendre, tester, conclure
Un audit du système d’information par le commissaire aux comptes suit une logique progressive. Il commence par une prise de connaissance, se poursuit par l’évaluation des contrôles, puis par des tests adaptés au niveau de risque. La conclusion influence la nature, le calendrier et l’étendue des travaux d’audit financier.
La prise de connaissance du SI
Cette étape consiste à cartographier les applications utilisées, les flux entre systèmes, les prestataires impliqués, les profils d’utilisateurs, les processus clés et les points de contrôle. Un diagramme de flux peut aider à visualiser le passage d’une transaction depuis son origine opérationnelle jusqu’à son enregistrement comptable.
Le système d’information conserve des traces, alimente des états et distribue des flux vers la comptabilité. Pour l’auditeur, le solde final ne suffit pas. Il faut aussi vérifier les points d’alimentation, les mécanismes de purge, les droits de modification et les dispositifs qui empêchent une altération de la donnée en amont.
Les tests de conception et de fonctionnement
L’auditeur évalue d’abord si le contrôle est bien conçu. Répond-il vraiment au risque identifié ? Ensuite, il vérifie sa mise en œuvre et, lorsque c’est nécessaire, son fonctionnement sur la période auditée. Une revue d’habilitations signée mais réalisée trop tard, ou sur un périmètre partiel, ne couvre pas toujours le risque attendu.
Les tests peuvent prendre plusieurs formes : entretien avec les équipes, inspection de captures et de journaux, reconstitution d’un contrôle, échantillonnage de changements applicatifs, analyse des comptes à privilèges, vérification d’une restauration de sauvegarde ou analyse de données sur des écritures inhabituelles. Plus les contrôles sont automatisés et bien documentés, plus l’auditeur peut envisager de s’appuyer dessus.
Risques typiques identifiés lors d’un audit SI
Les anomalies relevées ne sont pas toujours spectaculaires. Elles tiennent souvent à des défauts de gouvernance, à des pratiques historiques ou à une documentation insuffisante. Pourtant, leurs conséquences peuvent être importantes pour la fiabilité des comptes.
- Accès non maîtrisés : comptes actifs d’anciens salariés, droits trop larges, absence de revue périodique ou comptes génériques partagés.
- Absence de séparation des tâches : cumul de fonctions incompatibles, notamment sur la création de tiers, la saisie d’opérations et la validation.
- Interfaces non contrôlées : flux incomplets, rejets non suivis, absence de rapprochement entre logiciel métier et comptabilité.
- Changements insuffisamment encadrés : paramétrages modifiés sans validation métier, tests non formalisés, mise en production sans trace d’approbation.
- Sauvegardes inadaptées : fréquence insuffisante, restauration non testée, périmètre incomplet ou dépendance excessive à un prestataire.
- Données produites peu fiables : extractions manuelles retraitées dans un tableur sans contrôle de version ni rapprochement avec la source.
Ces faiblesses ne conduisent pas automatiquement à une anomalie dans les comptes, mais elles augmentent le risque. Le commissaire aux comptes adapte alors sa stratégie : il étend ses tests, privilégie des procédures substantielles, demande des éléments complémentaires ou formule des recommandations à la direction.
Externalisation, SaaS et rapports d’assurance : les points de vigilance
De nombreuses entreprises confient tout ou partie de leur SI à des prestataires : hébergement, paie, facturation, ERP en mode SaaS, sauvegarde, infogérance ou cybersécurité. Cette externalisation ne supprime pas la responsabilité de l’entité sur la qualité de l’information financière. Elle déplace simplement une partie des contrôles vers un tiers.
Dans ce cas, le commissaire aux comptes cherche à comprendre les responsabilités respectives de l’entreprise et du prestataire. Le contrat, les engagements de service, les procédures de support, les droits d’accès administrateur et les modalités de réversibilité deviennent des éléments importants. Lorsqu’un rapport d’assurance ISAE 3402 est disponible, il peut apporter une réassurance sur les contrôles du prestataire, en type I ou en type II selon la nature de l’opinion et la période couverte.
Les référentiels comme ISO 27001, les obligations liées au RGPD ou les exigences issues de NIS2 peuvent aussi éclairer le niveau de maîtrise de l’environnement de contrôle, sans se substituer au jugement d’audit. Le point clé reste le lien avec les comptes : le service externalisé traite-t-il des données financières significatives, et les contrôles disponibles permettent-ils d’en apprécier l’intégrité, l’exhaustivité et la traçabilité ?
Un audit du système d’information bien conduit apporte ainsi une double valeur : il renforce la démarche de certification et fait apparaître des axes d’amélioration concrets pour l’entreprise. Pour le commissaire aux comptes, le SI n’est pas seulement un support technique. C’est l’un des lieux où se construisent, se sécurisent ou se fragilisent les preuves comptables.
- Accès, changements, ITGC et ITAC : ce que le commissaire aux comptes attend du système d’information - 6 septembre 2026
- Cabinet conseil recrutement : un partenaire pour cibler, évaluer et intégrer les bons profils - 5 septembre 2026
- Formation adulte : courte, certifiante ou VAE, laquelle choisir selon votre objectif ? - 4 septembre 2026
Articles qui pourraient vous intéresser :
Management toxique : 3 comportements destructeurs qui nuisent à votre performance
Gestion de projet : 5 méthodes pour sécuriser vos livraisons et éviter l’échec
Qu’est-ce que l’excellence opérationnelle ? Définition, piliers et méthodes concrètes
La liasse fiscale : comment garantir sa conformité et éviter les erreurs de déclaration