Qu'est-ce que Audit des systèmes d'information ?
Activité par laquelle un auditeur spécialisé indépendant de l'objet de l'audit (l'auditeur des systèmes d'information) vérifie et évalue si les contrôles qui répondent aux risques liés aux systèmes d'information sont correctement conçus et appliqués, et en communique le résultat à la direction et aux autres parties concernées, sous forme d'assurance ou de conseils d'amélioration. Il se déroule dans l'ordre suivant : plan d'audit, enquête préliminaire, audit approfondi, évaluation et conclusion, rapport d'audit, suivi. Au Japon, le ministère de l'Économie, du Commerce et de l'Industrie (METI) publie les System Audit Standards et les System Management Standards.
Nom japonais: システム監査
« Audit des systèmes d'information » apparaît dans 8 questions d'entraînement réparties sur 1 thèmes, dont Gestion des services et audit des systèmes d'information.
Domaine: Gestion des services et audit des systèmes d'information
Déroulement de l'audit
L'audit des systèmes d'information commence par un plan d'audit qui fixe les objectifs, le périmètre et le calendrier. L'enquête préliminaire consulte des documents et interroge les personnes concernées pour appréhender la réalité de l'objet audité et ses risques, et définit concrètement les procédures d'audit de l'audit approfondi. Lors de l'audit approfondi, on réunit des éléments probants par des procédures comme le rapprochement d'enregistrements, l'observation ou les tests, et on les consigne dans le dossier de travail. On évalue ensuite ces éléments pour formuler une conclusion, on présente les constats et les recommandations dans le rapport d'audit, puis on vérifie l'état des améliorations lors du suivi.
Techniques d'audit
Outre la consultation de documents, les entretiens, l'observation sur le terrain et le rapprochement d'enregistrements, l'auditeur utilise aussi des techniques qui recourent à l'ordinateur : la méthode des données de test, qui fait traiter par le programme des données préparées par l'auditeur pour en vérifier les résultats ; la méthode ITF, qui crée un compte fictif réservé à l'audit dans le système de production ; la méthode de l'instantané, qui extrait les données en cours de traitement ; ou l'analyse de l'ensemble des données avec un logiciel d'audit généraliste. On les désigne collectivement sous le nom de CAAT (techniques d'audit assistées par ordinateur).
Questions fréquentes
Quelle est la différence entre l'audit des systèmes d'information et l'audit de la sécurité de l'information ?
L'audit des systèmes d'information porte sur l'ensemble des risques liés aux systèmes d'information (efficacité, efficience, fiabilité, sécurité, etc.). L'audit de la sécurité de l'information est un audit centré sur la sécurité de l'information parmi ces risques. Comme leurs périmètres se recoupent, certaines organisations les réalisent ensemble.
Un employé du service d'audit interne peut-il être auditeur des systèmes d'information ?
Oui. Un audit interne réalisé par des employés du service d'audit interne de l'organisation peut constituer un audit des systèmes d'information, à condition qu'ils soient indépendants des activités et des systèmes audités. Il existe aussi l'audit externe, confié à des spécialistes extérieurs ; on choisit selon l'objectif.