L’infonuagique transforme l’audit : voyez quelles en sont les incidences

L’infonuagique présente de nombreux avantages tant pour la clientèle que pour l’équipe d’audit, mais, d’un côté comme de l’autre, il faut bien en comprendre les incidences sur la mission. (Getty Images/svetikd)

« Adieu, serveurs de données d’antan! » Voilà ce que disent les clients, qui se tournent volontiers vers les serveurs virtuels. Un virage accéléré vers l’infonuagique, donc, qui change aussi le déroulement des activités menées par les entités. Corollaire obligé, les équipes d’audit se mettent au diapason, en parallèle avec la montée du virtuel, à l’heure où les données se réinventent.

Songeons par exemple aux progiciels de gestion intégrés (PGI). Beaucoup de PGI traditionnels subissent d’importantes refontes dans le cadre du passage à l’infonuagique, et c’est d’ailleurs le cas de ceux de Microsoft (Azure Stack), de SAP et d’Oracle.

« Le monde de l’audit, du risque, du contrôle et de la sécurité est relativement bien défini, mais dès qu’on déploie des versions infonuagiques des systèmes et applications, le tout ne tient plus », souligne Peter Hargitai, CPA, leader national en solutions numériques de gestion des risques chez PwC Canada. De surcroît, certaines applications sont désormais offertes exclusivement sur le nuage, et les versions traditionnelles ne sont plus soutenues, alors les entités doivent choisir : adopter la nouvelle technologie ou changer de produit.

Une telle transition peut accroître la complexité, engendrer des perturbations et occasionner de nouveaux risques pour l’organisation et, par conséquent, pour l’audit des états financiers.

Du point de vue des auditeurs, voici un aperçu des moyens à utiliser pour faire face aux défis qui se posent lorsqu’un client passe à l’infonuagique.

ÉVALUER LES RISQUES, ADAPTER L’APPROCHE

Lorsqu’un client entreprend une transition à l’infonuagique qui touche un système d’information pertinent pour la préparation des états financiers, il revient à l’auditeur d’acquérir une compréhension de l’environnement en nuage et des risques qui en découlent. Cette analyse servira de base à l’identification et à l’évaluation des risques d’anomalies significatives.

« Nous devons vraiment revoir nos façons de planifier l’audit et le travail connexe, et adapter nos méthodes d’audit en fonction de la nouvelle technologie », estime Erica Pretorius, associée, Conseils en gestion des risques, et leader, Technologies, médias et télécommunications chez Deloitte Canada. Il faut déterminer les risques auxquels sont exposés l’organisation et les états financiers, puis voir comment adapter l’approche et les procédures afin d’en tenir compte.

Pour acquérir une compréhension préliminaire de l’environnement infonuagique, on peut demander au client un inventaire de ses activités en nuage, y compris la nature et l’étendue des services infonuagiques de tiers fournisseurs, aux divers niveaux de sous-traitance. Il faut aussi demander des précisions sur tout changement important dans les ententes à cet égard au cours de la période visée par l’audit.

Malgré les nouveaux risques qu’elle engendre, l’infonuagique peut aussi avoir des avantages pour les auditrices et auditeurs. Son utilisation par les clients s’accompagne de nouvelles possibilités d’automatisation des tâches d’audit les plus simples. « Plus on automatise le travail, plus on gagne en efficience pour mieux se concentrer sur les informations pertinentes au long du processus », signale Peter Hargitai.

CONFIRMER D’EMBLÉE QUI FAIT QUOI

Il convient d’agir en amont et d’informer les clients des mesures à prendre dès le début du processus d’audit, afin d’éviter la confusion et les imprévus.

« Au début d’une mission, on passe souvent du temps avec les clients pour leur expliquer les exigences qui découlent de nos méthodes d’audit », précise Erica Pretorius.

Ces conversations sont aussi l’occasion de définir les rôles différents que jouent le fournisseur de services infonuagiques, le client et l’auditeur. « Du point de vue de l’audit, quelles responsabilités relèvent encore de l’auditeur? Quelles fonctions de surveillance doit-il continuer d’exécuter? »

« D’entrée de jeu, nous tentons d’informer nos clients pour définir les interventions rapides et appropriées à privilégier », explique Peter Hargitai. On peut ainsi s’assurer d’avoir accès à l’information nécessaire et, s’il y a lieu, de mettre en œuvre des procédures en amont dans le processus d’audit.

MISER SUR LE TRAVAIL D’ÉQUIPE

n audit, on peut aussi adopter une approche de mobilisation générale dans un but de décloisonnement de l’information.

Pour Andrew Kwong, CPA, leader, Risques opérationnels, Deloitte Canada, le travail d’audit doit se faire dans une logique d’intégration, plus que jamais. « Il faut se concentrer en priorité sur les risques pertinents dans le nouvel environnement infonuagique. »

À cela s’ajoute le défi de l’obtention d’éléments probants, dans le respect des normes d’audit et des exigences du cabinet, une tâche qu’il compare à un casse-tête.

« Si le casse-tête d’avant l’infonuagique comptait 50 morceaux, il en compte maintenant 1 000. Un nouveau contexte qui nécessite plus que jamais communication, coordination et arrimage. »

PLANIFIER LA FORMATION INTERNE

Andrew Kwong s’emploie à former les équipes à l’interne afin qu’elles restent au fait de l’évolution des pratiques. « Nous devons former ceux et celles qui travaillent dans le nuage. Et ensuite, sensibiliser l’équipe d’audit à l’incidence de la technologie sur la méthode d’audit globale. »

De fait, plusieurs cabinets offrent déjà des formations sur l’infonuagique et l’audit des états financiers. Il est à espérer que ce mouvement contribuera à créer une base d’apprentissage, même si certains cabinets sont plus avancés que d’autres.

Malgré les difficultés relevées, l’infonuagique apporte aussi de nombreux atouts, fait remarquer Erica Pretorius. « Grâce aux systèmes, on peut en faire tellement plus pour les organisations! L’innovation dans le domaine prend des proportions phénoménales. »

INFORMEZ-VOUS

Renseignez-vous sur l’incidence des technologies sur l’audit. Découvrez pourquoi nombre d’entreprises, tous secteurs confondus, se rallient à l’infonuagique et voyez comment les pionniers l’utilisent à leur avantage. Aussi, découvrez les principales questions d’intérêt pour les CPA qui s’interrogent sur le nuage.