Systèmes d'information, gouvernance et management
Ce que l'épreuve teste
Ce domaine porte sur le contrôle interne, l'organisation et la sécurité des systèmes d'information, les dispositifs de gouvernance et le pilotage de la performance. Les questions attendent un dispositif précis (qui fait quoi, à quelle fréquence, avec quelle trace) plutôt qu'une intention générale.
Contrôle interne et systèmes d'information
- Référentiel COSO : environnement de contrôle, évaluation des risques, activités de contrôle, information et communication, surveillance.
- Séparation des tâches : ordonnancement, exécution, enregistrement, contrôle ; matrice de profils et gestion des habilitations.
- Sécurité : authentification, journalisation, sauvegardes testées, plan de continuité et de reprise, chiffrement ; au Cameroun, la loi n° 2010/012 sur la cybersécurité et la cybercriminalité et l'ANTIC encadrent ces obligations.
- ERP : intégration et unicité du référentiel, mais risque de concentration des droits, de dépendance à l'éditeur et d'interfaces mal contrôlées ; l'audit porte sur les paramétrages et les habilitations, pas seulement sur les écrans.
Gouvernance
- Conseil d'administration, comité d'audit, administrateurs indépendants, dissociation des fonctions de président et de directeur général.
- Reddition de comptes : états financiers, rapport de gestion, rapport du commissaire aux comptes, gestion des conflits d'intérêts.
Exemple travaillé
Dans une entreprise, le comptable crée les fiches fournisseurs, saisit les factures et valide les virements. Le risque est le fournisseur fictif et le détournement de fonds. La réponse n'est pas « mieux surveiller le comptable » mais la séparation des tâches : création de la fiche fournisseur par les achats, saisie par la comptabilité, validation du paiement par la direction financière, rapprochement bancaire par une quatrième personne ; à défaut, une revue indépendante mensuelle des paiements et des rapprochements, documentée et signée. On vérifie en parallèle la matrice d'habilitations de l'ERP, où cette personne dispose probablement de droits cumulés.
Pièges qui coûtent des points
- Décrire l'outil informatique au lieu du dispositif de contrôle.
- Proposer « renforcer la formation » ou « sensibiliser » face à un problème de séparation des tâches.
- Confondre gouvernance (organes, pouvoirs, reddition de comptes) et contrôle de gestion (pilotage de la performance).
- Formuler une recommandation sans responsable ni périodicité, donc invérifiable.