Audit II

Audit et contrôle en milieu informatisé

Professeur : Abdelhaq El Bekkali, Ph.D, CPA (Expert-comptable)

S10 et 11
Automne 2023
B. L’impact des TI sur les procédures d’audit : les Techniques d’Audit Assistées
par Ordinateur (TAAO).

A.El bekkali-Audit II-A22

 Phases de la mission Tâches à réaliser

 Prise de connaissance de l’environnement

informatique et description du système
d’information de l’entité

Phase de la planification de la mission

 Incidence de l’environnement informatique sur le

risque d’anomalies significatives (RAS)

Phase de l’exécution des procédures d’audit Incidence de l’environnement informatique sur

les procédures d’audit.

A.El bekkali-Audit II-A22

 A partir des éléments vérifiés lors de l’évaluation des risques, l’auditeur se
concentre sur les risques de niveau modéré ou élevé, afin de déterminer la nature et l’étendue
des tests substantifs à mener et s’il est pertinent, pour ce faire, de recourir aux Techniques
d’Audit Assistées par Ordinateur (TAAO).

L’auditeur peut recourir à des procédures d’audit manuelles, à des TAAO, ou combiner les deux
pour rassembler suffisamment d’éléments probants.

A.El bekkali-Audit II-A22

Les Techniques d’Audit Assistées par Ordinateur
(TAAO)

A.El bekkali-Audit II-A22

 Dans le cadre d’une mission d’audit, l’ordinateur peut être utilisé par
l’auditeur pour automatiser plusieurs opérations routinières

Les TAAO peuvent être utilisées aussi bien par l’auditeur externe que par l’auditeur interne

Deux types de TAAO:

Les TAAO axées sur les systèmes (ou sur les programmes),

Les TAAO axées sur les données.

A.El bekkali-Audit II-A22

1. Les TAAO axées sur les systèmes

 techniques qui reposent sur l’utilisation de programmes qui permettent d’examiner et de

vérifier les contrôles automatisés

 servent surtout à l’exécution des tests de procèdures

 Contrairement aux techniques axées sur les données, qui portent sur les données réelles de
l’entité auditée, les techniques axées sur les systèmes mettent l’accent sur la mise à l’épreuve
des contrôles internes du système informatique.

A.El bekkali-Audit II-A22

 Les techniques axées sur les systèmes les plus courantes :

 La méthode du jeu d’essai

 La méthode du jeu d’essai intégré
 La méthode du piratage.

A.El bekkali-Audit II-A22

 La méthode du jeu d’essai

Permet à l’auditeur de créer des enregistrements d’essai particuliers et de les faire traiter par les
programmes informatiques (programmes exécutables) utilisés réellement par l’entité

Un jeu d’essai contient habituellement des données qui respectent les normes (cas normaux) et
d’autres qui ne les respectent pas

Il est essentiel que l’auditeur s’assure que les données d’essai sont traitées par les programmes
que l’organisation utilise réellement et non pas par une version
modifiée à l’intention de l’auditeur

L’auditeur doit toujours garder le contrôle des sorties résultant des données d’essai.

A.El bekkali-Audit II-A22

 La méthode du jeu d’essai intégré

Technique utilisée lorsque l’auditeur veut suivre le fonctionnement d’un ou plusieurs systèmes ou
programmes d’assez près

Cette méthode consiste en la mise en place d’une entité fictive dans le système de l’organisation
auditée et à traiter des données d’essai pour cette entité

Cette méthode permet de vérifier l’exactitude du traitement par le programme d’application dans un
environnement d’exploitation

Exemple: Dans le cas de l’audit des comptes fournisseurs, l’auditeur crée un fournisseur fictif dans
la base de données des fournisseurs et entre des commandes pour ce fournisseur. Il cherchera
alors des résultats et des preuves des contrôles pertinents .
A.El bekkali-Audit II-A22
 La méthode des outils de piratage

Consiste à tester la sécurité de l’accès aux systèmes de l’entité auditée

Exemple de techniques utilisées

• Les scanneurs de réseau: Exemple, Netscan Tools, Internet Security Scanneur, Sam
Spade et Internet Maniac, permettent d’avoir des informations sur un réseau (les types de
programmes utilisés, les serveurs et les postes de travail et les dispositifs de surveillance),

• Les scanneurs de port: Exemple, Port Scanneur, Port Scan2, Yet Another Port Scanneur
et Fast Scan. Ces programmes permettent de localiser les ports d’entrée dans un ordinateur par
lesquels on peut accéder au système sans autorisation,

A.El bekkali-Audit II-A22

• Les perceurs de mots de passe:

Exemples: Unsecure, VcrackeFTP, CrakerJack, EntryPRO, FT-Hck, Hades, John the Ripper, Killer Cracker
et Lophtcrack.

L’auditeur peut utiliser ces outils pour percer le cryptage des mots de passe utilisateur.
L’objectif de l’auditeur est de tester la fiabilité des mots de passe et du respect de la
politique de gestion de ces derniers.

A.El bekkali-Audit II-A22

2.Les TAAO axées sur les données

Programmes qui servent à choisir, récupérer, récapituler et traiter les données à l’aide du
système informatique de l’organisation cliente

Le but étant de s’assurer des deux objectifs suivants : l’exhaustivité et l'exactitude des données.

A.El bekkali-Audit II-A22

 L’auditeur doit s’assurer, aux fins de l’utilisation des TAAO axées sur
les données, de l’intégrité (absence de manipulation par le client) du
fichier d’essai utilisé

Les TAAO axées sur les données sont utilisées aux fins des tests substantifs. Ces techniques
impliquent le recours à des programmes qui permettent de consulter et de récupérer les
données des fichiers du client pour effectuer des sondages substantifs.

A.El bekkali-Audit II-A22

 Plusieurs types de programmes informatiques ont été mis en place
pour effectuer des TAAO axées sur les données

Des exemples :

Les programmes généraux

Les programmes faits sur mesure

Les progiciels d’audit

A.El bekkali-Audit II-A22

Les programmes généraux

Il s’agit de langages d’édition conçus pour consulter les bases de données ou les fichiers et
produire des états (ex. : RPG III, EASYTRIEVE, etc)

Parmi ces programmes ou « logiciels », on trouve les tableurs et les Bases de données.

A.El bekkali-Audit II-A22

Les programmes faits sur mesure

L’auditeur a recours à ce type de logiciels dans le cas où il ne

dispose d’aucun logiciel convenable pour effectuer ses
procédures d’audit

Solution coûteuse!

A.El bekkali-Audit II-A22

 Les progiciels d’audit

Les plus connus sont les « logiciels d’audit généralisés » (LAG)

Il est difficile de concevoir un logiciel d’audit pour chaque type

d’environnement informatique. Or, les LAG peuvent tourner sur
plusieurs types d’environnements.

A.El bekkali-Audit II-A22

 Principales fonctions présentes dans la plupart des LAG :

Accès aux fichiers: Lire des fichiers (plusieurs en même temps)

Réorganisation des fichiers: Trier les données dans des ordres différents et
fusionner en un seul fichier les données provenant de plusieurs fichiers

Sélection: Extraire des données répondant à certains critères

Statistiques: Sondage d'attributs ou de variables.

A.El bekkali-Audit II-A22

• Arithmétique: Gamme complète des opérations arithmétiques permettant le calcul dans les
zones de travail, le contrôle de l’exactitude arithmétique, la production des totaux de
contrôle, etc.

• Stratification et analyse des fréquences: On peut avec certains LAG obtenir des tableaux de
fréquences et des graphiques à barres (histogrammes).

• Rapports: Le logiciel peut créer des rapports contenant de l’information utile à l’auditeur. Ce
dernier peut choisir différentes mises en page.

A.El bekkali-Audit II-A22

 L’auditeur dispose de plusieurs programmes informatiques pour la réalisation
de ce type de TAAO, dont notamment, les progiciels d’audit,
dont les plus connus sont les Logiciels d’Audit Généralisé,
tels que:

 ACL (Audit Software Language)

 IDEA (Interactive Data Extraction and Analysis)

D’autres solutions commerciales sont disponibles sur le marché pour

supporter l’audit assisté par ordinateur, telles que :

A.El bekkali-Audit II-A22

Autoaudit, Paisley Consulting (www.paisleyconsulting.com) ;
Horus (www.coqis.fr) ;
RVR (www.rvrsystems.com);
ENABLON (www.enablon.com)
Oracle, module internals, Control Manager Discoverer
(www.oracle.com);
SAP, module Process Control (www.sap.com);
SAS (www.sas.com);
Crystal, Seagate Software (www.businessobjects.com);
Teammate (www.pwcqlobal.com).

A.El bekkali-Audit II-A22

C. Le logiciel d’audit ACL en pratique

A.El bekkali-Audit II-A22