Les CAATs en Audit Interne

Introduction

Dans notre leçon précédente, nous avons vu comment évaluer les contrôles généraux informatiques (IT General Controls - ITGCs), en particulier la gestion des accès et la gestion des changements. Nous avons conclu qu'un environnement informatique fiable, dont les données sont intègres, est la condition sine qua non pour pouvoir faire confiance aux informations qu'il produit.

Maintenant que nous avons cette base de confiance, la question suivante se pose : comment pouvons-nous exploiter cette masse de données de manière intelligente et efficace ? Passer des heures à vérifier manuellement des transactions une par une est-il encore pertinent à l'ère du Big Data ? La réponse est non, et c'est ici qu'interviennent les techniques d'audit assistées par ordinateur ou Computer-Assisted Audit Techniques (CAATs).

L'objectif de cette leçon est de vous amener à expliquer le rôle des CAATs dans l'audit interne. Nous verrons ce qu'elles sont, pourquoi elles sont devenues indispensables, et comment elles transforment chaque étape du processus d'audit, de la planification au rapport final.

1. Qu'est-ce qu'une CAAT et pourquoi est-ce essentiel ?

Une technique d'audit assistée par ordinateur (CAAT) est une approche qui utilise des logiciels pour automatiser et améliorer les processus d'audit. Aujourd'hui, on utilise souvent le terme plus moderne de Data Analytics (DA) pour désigner ces techniques.

Fondamentalement, les CAATs marquent le passage d'une logique de sondage (tester un petit échantillon d'une population) à une logique d'analyse exhaustive (tester 100% de la population). C'est une véritable révolution pour l'auditeur.

Pour comprendre le rôle central de ces techniques, je vous propose de lire l'introduction d'un guide pratique sur le sujet.

Comme vous l'avez lu, le rôle des CAATs n'est pas seulement de faire la même chose plus vite. Elles permettent de :

1. Mieux comprendre l'entité et ses risques : En visualisant l'ensemble des données, l'auditeur peut identifier des tendances, des saisonnalités ou des anomalies qui seraient invisibles à travers un simple sondage.
2. Accroître la détection d'anomalies significatives : En testant 100% d'un flux de transactions, le risque de non-détection lié à l'échantillonnage disparaît. L'audit se concentre sur les exceptions réelles plutôt que sur la validation de transactions conformes.
3. Améliorer la communication avec la gouvernance : Les visualisations de données (data visualizations) et les constats basés sur une analyse exhaustive sont plus factuels et percutants pour le management et le comité d'audit.

Les CAATs permettent à l'auditeur d'accomplir plusieurs fonctions clés sur les données, comme l'illustre l'image suivante.

Votre profil, avec des compétences en SQL, Access, Excel et Power BI, est parfaitement adapté pour mettre en œuvre ces différentes capacités.

2. Le rôle des CAATs à chaque étape de l'audit

Les CAATs ne sont pas un outil que l'on utilise à un seul moment. Elles jouent un rôle crucial tout au long de la mission d'audit.

Pour explorer cela en détail, nous allons nous appuyer sur la suite du guide de l'IRE, qui est très bien structuré.

Synthétisons le rôle des CAATs dans le cycle d'audit :

A. Phase de Planification

Dans cette phase, le rôle des CAATs est d'aider à identifier les zones à risque. C'est ce qu'on appelle l'Exploratory Data Analysis (EDA).

• Objectif : Obtenir une vue d'ensemble, identifier des relations inhabituelles ou des tendances inattendues.
• Exemple pratique : Analyser toutes les transactions de vente de l'année pour repérer les mois avec une activité anormalement faible ou élevée, ou les factures avec des montants extrêmes (très faibles ou très élevés), comme dans l'exemple du concessionnaire. L'auditeur peut alors décider de concentrer ses efforts sur ces zones.

B. Phase de Réalisation (Fieldwork)

Ici, les CAATs sont utilisées pour exécuter les tests.

1. Tests de Contrôles (Tests of Controls)

• Rôle : Tester l'efficacité opérationnelle d'un contrôle sur toutes les transactions qu'il a traitées.
• Exemple pratique : Pour tester un contrôle qui bloque les commandes au-delà d'une certaine limite, l'auditeur peut extraire toutes les commandes de l'année et vérifier si une seule d'entre elles a été validée en violation de la règle. C'est bien plus puissant qu'un échantillon de 25 commandes.

2. Tests de Substance (Substantive Tests)

• Rôle : Obtenir des éléments probants directs sur l'intégrité des données dans les comptes.
• Exemples pratiques :
  • Tests de détail : Rapprocher l'intégralité des bons de livraison avec les factures de vente pour s'assurer que tout ce qui a été livré a bien été facturé. Votre expérience avec SQL est ici très utile pour réaliser des jointures entre tables.
  • Procédures analytiques de substance : Recalculer la marge brute pour chaque vente individuelle de l'année et les comparer aux attentes, plutôt que de simplement comparer la marge globale à celle de l'année N-1.

C. Phase de Conclusion et de Reporting

• Rôle : Analyser les exceptions trouvées et communiquer les résultats de manière claire.
• Exemples pratiques :
  • Analyse des exceptions : Lorsque les CAATs identifient des milliers d'exceptions, l'auditeur doit les analyser pour distinguer les "faux positifs" (des écarts justifiés) des vraies anomalies.
  • Data Storytelling : Comme le souligne l'IIA, il ne suffit pas de trouver des anomalies, il faut les "raconter". C'est le rôle des outils de visualisation comme Power BI. Vous pouvez créer des tableaux de bord interactifs pour présenter vos conclusions au management, rendant les résultats immédiatement compréhensibles.

3. Les Différents Types de CAATs

Le terme CAAT regroupe une famille d'outils, des plus simples aux plus spécialisés. L'image suivante en donne un bon aperçu.

1. Generalized Audit Software (GAS) : Ce sont des logiciels conçus pour les auditeurs. Les plus connus sont ACL (Audit Command Language) et Caseware IDEA. Cependant, pour de très nombreuses tâches, des outils comme Excel (en mode avancé) ou Microsoft Access peuvent être considérés comme des GAS. Vos certifications Excel vous placent déjà dans cette catégorie.

2. Customized Queries and Scripts : Cela consiste à interroger directement les bases de données de l'entreprise. C'est ici que votre compétence en SQL prend toute sa valeur. Vous pouvez écrire des requêtes pour extraire, joindre et filtrer des données brutes issues d'un ERP comme SAP ou Sage.

3. Utility Software : Outils utilisés pour des tâches spécifiques comme la comparaison de fichiers ou l'analyse de logs système.

4. Application Software Tracing and Mapping : Techniques très spécialisées (souvent pour auditeurs IT) pour analyser le flux logique d'un programme.

L'essentiel est de comprendre que vous n'avez pas besoin d'un outil unique et coûteux. Une combinaison intelligente d'Excel, Power BI et SQL constitue déjà un arsenal de CAATs très puissant.

4. Le Prérequis Indispensable : La Fiabilité des Données

Un dernier rôle, et non des moindres, pour l'auditeur qui utilise des CAATs, est de s'assurer de la qualité des données qu'il analyse. Une analyse, même la plus sophistiquée, sur des données erronées ou incomplètes ne produira que des conclusions erronées. C'est le principe du "garbage in, garbage out".

Le processus pour obtenir et préparer les données s'appelle ETL (Extract, Transform, Load).

• Extract : Extraire les données du système source (ex: base de données SAP).
• Transform : Nettoyer les données, les mettre au bon format (ex: s'assurer que les dates sont bien des dates, que les nombres ont les bonnes décimales).
• Load : Charger les données dans votre outil d'analyse (ex: Power BI ou Excel).

Le rôle de l'auditeur est de superviser ce processus pour garantir l'exhaustivité et l'exactitude des données extraites. Une technique simple est de rapprocher les totaux du fichier extrait avec les soldes des comptes correspondants dans la balance générale.

Conclusion

Félicitations ! Vous avez maintenant une vue d'ensemble complète du rôle stratégique des CAATs en audit interne.

Points clés à retenir :

• Le rôle principal des CAATs est de permettre à l'auditeur de passer d'un contrôle par sondage à une analyse de l'intégralité d'une population de données.
• Les CAATs jouent un rôle à chaque étape de l'audit : aide à la planification via l'identification des risques, exécution de tests de contrôles et de substance plus efficaces, et communication percutante des résultats.
• Elles augmentent la pertinence de l'audit en permettant une meilleure détection des anomalies et des fraudes.
• Les CAATs regroupent divers outils, et vos compétences existantes en Excel, SQL et Power BI sont directement applicables.
• L'utilisation des CAATs implique une responsabilité pour l'auditeur : celle de s'assurer de la fiabilité des données utilisées dans l'analyse.

Aperçu de la prochaine leçon :

Après cette vue d'ensemble conceptuelle, nous allons passer à la pratique. La prochaine leçon sera un atelier : "Utiliser des fonctions Excel avancées pour effectuer des rapprochements de données et identifier des exceptions". Nous mettrons en application les principes vus aujourd'hui pour rechercher des doublons, analyser des séquences et effectuer des rapprochements, le tout avec un outil que vous maîtrisez.