Audit des risques liés aux systèmes d’information : quelles pratiques au sein des entreprises françaises ?En effet, au-delà des seules considérations techniques (sécurité des systèmes d’information, disponibilité des données, procédures de confidentialité etc.), les contraintes réglementaires imposent aux entreprises de maîtriser leur système d’information.

La maîtrise des SI sort donc aujourd’hui du seul domaine – technique – des Directions des Systèmes d’Information (DSI), et entre désormais dans celui du contrôle interne.

Pour comprendre la place actuelle de la maîtrise des risques liés aux systèmes d’information, une enquête a été menée auprès de 134 organisations afin de comprendre de quelle manière se sont structurées les entreprises en termes de contrôle des systèmes d’information et quelle place elles accordent à l’audit de ces derniers : le plan d’audit couvre-t-il les risques informatiques de façon suffisante ? Les entreprises disposent-elles en interne des ressources nécessaires ? Et dans l’affirmative quelles sont elles ? Autant de questions auxquelles l’enquête tente, entre autres, de répondre.

« Cette enquête fait ressortir que la notion d’audit informatique est parfaitement identifiée et utilisée dans les entreprises qui intègrent ce sujet à leur plan d’audit, ou plus généralement à leur stratégie de contrôle dans plus de 60 % des cas. Pourtant la gestion du risque global lié aux systèmes d’information reste assez souvent confiée aux DSI, et aux directions qui les utilisent » explique Olivier Lenel, associé de la ligne de métier Management du Contrôle interne de Mazars. « Ce rattachement technique aux DSI – s’il semble paradoxal compte tenu des enjeux liés à la maîtrise du SI, s’explique probablement par le fait que la fonction d’audit interne des SI est encore jeune, et est en général constituée d’effectifs réduits : seules 18% des entreprises ont des effectifs dédiés à l’audit des SI, leur existence remonte à moins de 6 ans, et 80 % des équipes sont composées de moins de 4 personnes ! ».

« L’enquête, si elle démontre une réelle sensibilité de l’entreprise aux questions de la maîtrise des risques relatifs aux systèmes d’information, confirme aussi assez largement le manque de moyens engagés pour donner aux dirigeants et administrateurs une assurance raisonnable quant à la maîtrise de ce risque global », ajoute François Nogaret, associé de la ligne de métier Management du Contrôle interne de Mazars.

www.mazars.fr

Suite dans le PDF ci-dessous