IT Controls for Risk Mitigation

Bonjour !

Dans la leçon précédente, nous avons appris à identifier, analyser et hiérarchiser les risques informatiques en utilisant des concepts comme la menace, la vulnérabilité, l'impact et la probabilité. Nous avons vu que ce processus est fondamental pour que l'auditeur puisse élaborer un plan d'audit pertinent. Mais une fois qu'un risque est identifié et jugé important, que fait l'organisation ? C'est là que les contrôles entrent en jeu.

Aujourd'hui, nous allons nous concentrer sur la réponse au risque. L'objectif est de comprendre le rôle des contrôles informatiques dans l'atténuation des risques que nous avons appris à identifier. En tant qu'étudiant en audit et contrôle, le concept de contrôle vous est familier ; notre but sera de l'appliquer spécifiquement au paysage technologique. Nous verrons que les contrôles ne sont pas de simples règles, mais des mécanismes conçus pour protéger les actifs de l'entreprise et assurer l'intégrité de ses opérations.

Qu'est-ce qu'un Contrôle ?

Commençons par une définition claire. Un contrôle est une politique, une procédure, une pratique ou une structure organisationnelle conçue pour fournir une assurance raisonnable que les objectifs métiers seront atteints et que les événements indésirables seront prévenus, détectés ou corrigés.

La vidéo suivante offre une excellente introduction à ce concept du point de vue d'un auditeur TI.

Pour le dire simplement, si le risque est la possibilité qu'un événement négatif se produise, le contrôle est la mesure que vous mettez en place pour réduire la probabilité ou l'impact de cet événement.

Le diagramme en "nœud papillon" ci-dessous illustre parfaitement cette relation.

Sur la gauche, nous avons les sources de risque. Les contrôles préventifs agissent comme une barrière entre ces sources et l'événement à risque. Sur la droite, si l'événement se produit malgré tout, les contrôles détectifs et correctifs (activités de récupération) entrent en jeu pour en limiter les conséquences.

Les Deux Grandes Familles de Contrôles TI

En audit informatique, on distingue principalement deux grandes catégories de contrôles. Comprendre cette distinction est absolument fondamental pour votre futur métier. Il s'agit des Contrôles Généraux Informatiques (ITGC) et des Contrôles Applicatifs (ITAC).

L'article suivant utilise une analogie très efficace pour expliquer la différence.

Cette analogie est parfaite :

Les ITGC sont la fondation et les murs de la maison. Ils protègent l'ensemble de l'environnement informatique. Ils ne sont pas spécifiques à une application, mais s'appliquent à tout : serveurs, réseaux, systèmes d'exploitation.
Les ITAC sont les serrures sur chaque porte et fenêtre. Ils sont spécifiques à une application métier (par exemple, votre logiciel comptable, votre système de paie ou votre ERP). Leur rôle est de s'assurer que les données à l'intérieur de cette application sont exactes, complètes et valides.

Si les fondations (ITGC) sont fragiles, peu importe la qualité des serrures (ITAC) ; la maison n'est pas sécurisée. C'est pourquoi les auditeurs commencent toujours par évaluer les ITGC. Si les contrôles généraux sont défaillants, il y a de fortes chances que les contrôles applicatifs ne soient pas fiables.

La vidéo ci-dessous offre une autre perspective visuelle de cette distinction.

Plongée dans les Contrôles Généraux (ITGC)

Étant donné leur importance fondamentale, examinons de plus près les différentes catégories d'ITGC. L'image suivante vous donne quelques exemples concrets de contrôles généraux que l'on trouve dans la plupart des entreprises.

Pour structurer cela, les auditeurs regroupent généralement les ITGC en plusieurs domaines clés. Le guide suivant, destiné aux auditeurs, fournit une classification complète et très utile.

Ces catégories (contrôle d'accès, gestion des changements, opérations, etc.) forment l'ossature de tout audit des contrôles généraux. Dans les prochains modules de ce cours, nous apprendrons d'ailleurs à auditer chacune de ces catégories en détail.

Comment les Contrôles Atténuent les Risques : L'Application Pratique

Maintenant, faisons le lien direct entre les risques identifiés lors de la leçon précédente et les contrôles que nous venons de découvrir. Chaque contrôle est conçu pour contrer une menace ou corriger une vulnérabilité spécifique.

Le tableau ci-dessous, tiré du même guide pour auditeurs, est extrêmement parlant. Il montre des défaillances de contrôle courantes, le risque qui en découle, et le contrôle (la remédiation) qui aurait dû l'empêcher.

Prenons quelques exemples pour bien fixer les idées :

Risque Identifié : Un employé licencié pourrait accéder à des données clients confidentielles après son départ.
- Source de Risque : Processus de départ d'employé mal géré.
- Vulnérabilité : Absence de procédure de révocation d'accès rapide.
- Contrôle d'atténuation (ITGC) : Un processus de "déprovisioning" automatisé qui révoque tous les accès d'un employé dès que son départ est enregistré dans le système RH. Un contrôle complémentaire serait une revue trimestrielle de tous les comptes utilisateurs pour identifier les comptes inactifs ou orphelins.
Risque Identifié : Une mise à jour du logiciel comptable introduit une erreur de calcul dans les factures, entraînant des pertes financières.
- Source de Risque : Erreur humaine lors du développement.
- Vulnérabilité : Absence de tests adéquats avant la mise en production.
- Contrôle d'atténuation (ITGC) : Un processus formel de gestion des changements (Change Management) qui exige que toute modification soit demandée, testée dans un environnement séparé, et approuvée par les responsables métiers avant d'être déployée en production.
Risque Identifié : Une erreur de saisie manuelle permet de créer une commande client avec une quantité négative, bloquant la chaîne logistique.
- Source de Risque : Erreur de l'opérateur de saisie.
- Vulnérabilité : Le formulaire de saisie de l'application accepte des données invalides.
- Contrôle d'atténuation (ITAC) : Un contrôle d'entrée (Input Control) programmé dans l'application qui vérifie que le champ "quantité" est un nombre entier positif avant d'accepter la transaction.

Vous voyez comment chaque contrôle est une réponse ciblée à un risque spécifique. Le travail de l'auditeur est de vérifier si ces contrôles existent, s'ils sont bien conçus et s'ils fonctionnent efficacement dans la pratique.

Conclusion

Aujourd'hui, nous avons établi le lien crucial entre le risque et le contrôle, qui est au cœur de la discipline de l'audit.

Points clés à retenir :

Un contrôle est une mesure (politique, procédure, technique) mise en place pour gérer un risque et aider à atteindre les objectifs de l'entreprise.
Les contrôles informatiques se divisent en deux familles : les Contrôles Généraux (ITGC), qui sont la fondation de la sécurité de l'environnement TI, et les Contrôles Applicatifs (ITAC), qui sécurisent les données au sein d'applications spécifiques.
Les ITGC sont un prérequis à la fiabilité des ITAC. Si les contrôles généraux sont faibles, on ne peut pas se fier aux contrôles applicatifs.
Chaque catégorie de contrôle (accès, gestion des changements, opérations, etc.) est conçue pour atténuer des types de risques informatiques bien précis.

Maintenant que nous avons une bonne compréhension des risques informatiques et des contrôles mis en place pour les maîtriser, nous sommes prêts à endosser le rôle de l'auditeur TI. Dans notre prochaine leçon, nous entrerons dans le Module 3 et explorerons l'objectif et le périmètre de l'audit informatique, en voyant comment il s'intègre et se différencie des audits financiers et opérationnels que vous étudiez dans votre cursus.