Systèmes d'information et contrôle interne
Ce qu'il faut maîtriser
Le contrôle interne est l'ensemble des dispositifs mis en place par la direction pour maîtriser les risques. Le référentiel COSO distingue cinq composantes : environnement de contrôle, évaluation des risques, activités de contrôle, information et communication, pilotage/surveillance. Il faut connaître : la séparation des tâches, les autorisations, les rapprochements, la piste d'audit, la sécurité des SI (contrôles d'accès, sauvegardes, plan de reprise), les types de contrôles (préventifs, détectifs, correctifs), la cartographie des risques, et les limites du contrôle interne (coût/bénéfice, collusion, contournement par la direction).
Pièges fréquents
- Confondre contrôle interne (dispositif de l'entreprise) et audit interne (fonction d'évaluation indépendante du contrôle interne).
- Croire qu'un contrôle interne parfait existe : il donne une assurance raisonnable, pas absolue.
- Oublier la séparation des tâches : une même personne ne doit pas cumuler saisie, autorisation et rapprochement.
- Négliger les risques liés aux SI (accès non autorisés, perte de données, fraude informatique).
- Confondre contrôle préventif (avant l'opération) et détectif (après l'opération).
Exemple travaillé
Dans une PME, le caissier saisit les encaissements, effectue les dépôts et rapproche le compte bancaire. Cette concentration crée un risque de fraude non détectée. La sauvegarde consiste à séparer la tenue de caisse, la comptabilisation et le rapprochement bancaire.
Règle de pouce
Pour tout processus : cartographier le risque → identifier le contrôle existant → évaluer sa conception et son efficacité → proposer une recommandation.