Nous vérifions que vos contrôles informatiques sont correctement conçus et fonctionnent efficacement, et vous remettons des constats clairs et priorisés avant que les auditeurs ou régulateurs ne les relèvent.
Synthèse
Revues indépendantes des contrôles généraux informatiques, des habilitations, de la gestion des changements et de la résilience, pour une assurance fiable auprès de la direction et du comité d’audit.
L’information financière, les opérations et la conformité reposent toutes sur des systèmes qui fonctionnent comme prévu. Les contrôles généraux informatiques portant sur les accès, les changements, l’exploitation et les sauvegardes conditionnent la fiabilité des données sur lesquelles s’appuient la direction et les commissaires aux comptes. Lorsque ces contrôles sont faibles ou mal documentés, cela se traduit par des constats d’audit, des travaux de test étendus et une confiance réduite dans les chiffres publiés.
Nous réalisons des audits SI en tant que revue indépendante, en co-sourcing avec votre audit interne ou sous forme de revue préparatoire avant un audit externe. Nos travaux suivent une démarche de test documentée, couvrant la conception et l’efficacité opérationnelle, et aboutissent à des constats précis, étayés et assortis de recommandations réalistes.
Les enjeux traités
- 01
Des constats d’audit externe récurrents
Les mêmes faiblesses sur les ITGC réapparaissent d’un exercice à l’autre, faute de traiter leurs causes dans les processus ou la répartition des responsabilités.
- 02
Des habilitations excessives ou non revues
Comptes à privilèges, accès des partants non révoqués et conflits de séparation des tâches subsistent sur les applications et infrastructures clés.
- 03
Des mises en production insuffisamment maîtrisées
Des changements sont déployés sans validation formalisée, sans tests documentés ni séparation entre développement et mise en production.
- 04
Une capacité de reprise jamais éprouvée
Les sauvegardes sont réalisées, mais les restaurations et le PRA sont rarement testés au regard des objectifs de reprise convenus.
Offres et solutions
- 01
Revue des contrôles généraux informatiques
Tester la conception et l’efficacité opérationnelle des ITGC sur les domaines accès aux programmes et aux données, gestion des changements, exploitation et développement, pour les systèmes du périmètre.
- 02
Audits de la gouvernance des SI
Examiner le pilotage de la stratégie, des investissements, des risques et de la performance des SI, y compris le rôle du comité de pilotage informatique et l’alignement avec les priorités métiers.
- 03
Revue de la gestion des accès
Évaluer les processus arrivées-mobilités-départs, les revues périodiques des habilitations et la rapidité de révocation des accès sur les applications et annuaires clés.
- 04
Évaluation des contrôles d’identité et d’accès
Analyser la gestion des comptes à privilèges, la robustesse de l’authentification, les comptes de service et la séparation des tâches, et recommander des améliorations proportionnées.
- 05
Revue de la gestion des changements
Vérifier que les changements apportés aux applications, bases de données et infrastructures sont demandés, testés, validés et déployés avec une séparation des rôles et une traçabilité adaptées.
- 06
Évaluation des sauvegardes et du PRA
Examiner la couverture des sauvegardes, les tests de restauration et le PRA au regard des durées maximales d’interruption et pertes de données admissibles définies (DMIA et PDMA).
- 07
Revue des contrôles applicatifs et d’infrastructure
Évaluer la configuration, la gestion des correctifs, la journalisation et la supervision des plateformes clés, et tester les contrôles applicatifs automatisés et les interfaces qui soutiennent les processus métiers.
- 08
Évaluations de conformité IT
Évaluer les pratiques informatiques au regard des exigences contractuelles, réglementaires ou normatives applicables, en lien avec vos conseils juridiques lorsqu’une interprétation juridique est nécessaire.
Déroulé type d’une mission
- 01
Cadrer
Arrêter avec la direction et les parties prenantes de l’audit les systèmes concernés, les objectifs de contrôle, les périodes testées et les attendus du rapport.
- 02
Comprendre
Documenter processus et contrôles au moyen de walkthroughs, et apprécier si chaque contrôle est conçu pour couvrir le risque visé.
- 03
Tester
Réaliser des tests par échantillonnage de l’efficacité opérationnelle et valider les constats avec les responsables des contrôles.
- 04
Restituer
Remettre des constats cotés, leurs causes et les actions correctives convenues, et accompagner le suivi si nécessaire.
Livrables attendus
- Périmètre d’audit, matrice des contrôles et programme de travail
- Documentation des walkthroughs et appréciation de la conception
- Feuilles de travail de test et éléments probants
- Rapport d’audit avec constats cotés et analyse des causes
- Plan d’actions correctives validé, avec responsables et échéances
- Synthèse à destination de la direction et du comité d’audit
Les résultats visés
- 01
Une assurance fiable sur les contrôles informatiques qui soutiennent l’information financière et les opérations
- 02
Moins de surprises lors des audits externes
- 03
Des processus d’habilitation et de changement maîtrisés et traçables
- 04
Une capacité de reprise alignée sur les attentes des métiers
Expertises associées
Autres offres : Cybersécurité & audit SI
- Gouvernance de la cybersécuritéDéfinir qui porte le risque cyber, comment il est arbitré et rapporté, avec une stratégie, une PSSI et un référentiel de contrôles proportionnés à votre organisation.
- Programmes d’amélioration de la sécuritéTransformer les constats d’évaluation en un programme priorisé, budgété et piloté, couvrant l’architecture, les tiers, la résilience et le système de management.
- Accompagnement ISO/IEC 27001Concevoir et déployer un SMSI conforme à l’ISO/IEC 27001:2022 et préparer votre organisation à l’audit de certification d’un organisme accrédité.
Questions fréquentes
Pouvez-vous renforcer notre audit interne plutôt que de s’y substituer ?
Oui. Nous intervenons fréquemment en co-sourcing, en apportant une expertise d’audit SI à votre plan d’audit tout en respectant votre méthodologie, vos échelles de cotation et vos formats de rapport.
Une revue des ITGC remplace-t-elle les travaux de nos commissaires aux comptes ?
Non. Vos commissaires aux comptes mènent leurs propres diligences et forment leur propre opinion. Notre revue vous permet d’identifier et de corriger les faiblesses en amont et de renforcer les éléments que vous pourrez leur présenter.
Vos audits SI incluent-ils des tests d’intrusion ?
Nos audits portent sur la conception et l’efficacité des contrôles. Lorsque des tests techniques sont nécessaires, nous aidons à les cadrer, coordonnons un prestataire spécialisé et intégrons les résultats à l’évaluation d’ensemble.
Échangez avec un expert : Audit & assurance des systèmes d’information
Décrivez-nous votre situation actuelle et vos objectifs. Nous vous proposerons le périmètre adapté pour une première mission.