Il n’existe plus de comptabilité en dehors d’un système d’information. Les écritures naissent dans un logiciel de facturation, transitent par des interfaces, se déversent dans un outil comptable hébergé ailleurs, et sont validées par des personnes dont les droits d’accès ont été paramétrés une fois, il y a trois ans. L’audit des systèmes d’information consiste à examiner cette chaîne, non pour évaluer l’informatique en soi, mais parce que la fiabilité des comptes en dépend directement. Les normes révisées l’exigent désormais explicitement, y compris pour des PME sans direction informatique.
En bref
- Les dispositions révisées des NEP 315 et 330 renforcent les exigences sur la connaissance du système d’information : flux de données, contrôles automatisés, gouvernance informatique.
- L’auditeur examine les contrôles généraux informatiques — accès, changements, exploitation — et les contrôles applicatifs.
- Les habilitations et la séparation des tâches sont le point faible le plus fréquent en PME.
- Un incident cyber a des conséquences comptables directes : perte d’exploitation, dépréciations, continuité d’exploitation.
- Le recours au cloud ne transfère pas la responsabilité : il la déplace vers le pilotage du prestataire.
Pourquoi l’auditeur s’intéresse au système d’information
Parce que la quasi-totalité des chiffres qu’il contrôle sont produits par des traitements automatisés. Si le calcul de la marge, la valorisation des stocks ou le rattachement des produits reposent sur des règles paramétrées dans un logiciel, alors la fiabilité de ces règles conditionne celle des comptes. Vérifier un solde sans comprendre comment il a été fabriqué revient à contrôler un résultat sans regarder la machine qui l’a produit. C’est précisément ce que la NEP 315, dans sa version renforcée, demande d’éviter.
Contrôles généraux et contrôles applicatifs
Deux familles se distinguent. Les contrôles généraux informatiques portent sur l’environnement : gestion des accès, gestion des changements apportés aux applications, exploitation et sauvegardes. Les contrôles applicatifs sont intégrés aux traitements eux-mêmes : contrôles de saisie bloquants, rapprochements automatiques, règles de calcul, séquences de numérotation. Les seconds ne sont fiables que si les premiers le sont : un contrôle applicatif parfaitement conçu ne vaut rien si n’importe qui peut le désactiver.
Le point faible numéro un : les habilitations
Dans la majorité des PME auditées, le même constat revient. Des comptes utilisateurs de salariés partis restent actifs. Un comptable dispose des droits d’administration. La même personne saisit une facture fournisseur, modifie les coordonnées bancaires du tiers et prépare le virement. Aucune revue périodique des droits n’a jamais eu lieu. Ces situations ne relèvent pas de la sécurité informatique abstraite : elles créent une possibilité concrète de détournement, et elles conduisent l’auditeur à étendre ses contrôles substantifs.
Ce qui est examiné en pratique
| Domaine | Ce que l’auditeur regarde | Risque en cas de faiblesse |
|---|---|---|
| Accès | Comptes actifs, droits, comptes génériques, revue périodique | Détournement, écritures non imputables |
| Séparation des tâches | Cumul saisie / validation / paiement | Fraude au paiement, absence de contre-pouvoir |
| Changements | Qui modifie les paramètres, avec quelle validation | Règles de calcul altérées sans trace |
| Sauvegardes | Fréquence, externalisation, tests de restauration | Perte de données, comptabilité non reconstituable |
| Interfaces | Contrôles d’exhaustivité entre modules | Écritures perdues ou dupliquées |
Tableau donné à titre indicatif, sous réserve de la réglementation en vigueur.
Les interfaces, angle mort classique
Entre l’outil de caisse et la comptabilité, entre la paie et le grand livre, entre la facturation et le recouvrement, des flux transitent chaque jour. La question à poser est toujours la même : comment sait-on que tout est arrivé ? Un rapprochement automatique des totaux, un compteur de lignes, un rapport d’anomalies consulté par quelqu’un. En l’absence de ce contrôle, une interruption d’interface peut faire disparaître silencieusement plusieurs jours de ventes, et personne ne s’en aperçoit avant la clôture — quand quelqu’un s’en aperçoit.
La traçabilité des écritures
Le système doit permettre de savoir qui a saisi quoi, quand, et à partir de quel document. C’est ce que révèle l’analyse du fichier des écritures comptables : dates de validation, utilisateurs, journaux, libellés. Un fichier où toutes les écritures portent le même utilisateur générique et la même date de validation annuelle signale un environnement où la traçabilité est faible — non pas parce que l’entreprise fraude, mais parce que rien ne permettrait de le démontrer si elle le faisait.
Le cloud ne supprime pas la responsabilité
Beaucoup de PME ont externalisé leurs applications. C’est souvent un progrès en matière de sauvegardes et de mises à jour. Mais la responsabilité de la fiabilité des comptes reste entière : l’entreprise doit savoir où sont ses données, qui peut y accéder, quelles garanties contractuelles elle détient, comment elle récupérerait ses informations en cas de rupture, et sur quels éléments elle s’appuie pour s’assurer du sérieux du prestataire — rapports d’assurance de tiers, certifications, engagements de niveau de service. La question devient : comment pilotez-vous votre prestataire ?
Cybersécurité : un sujet comptable, pas seulement technique
Une attaque produit des effets qui se lisent dans les comptes : arrêt d’activité et perte de marge, coûts de remédiation, rançon éventuelle, perte de créances devenues irrécouvrables faute de facturation, litiges clients, sanctions liées aux données personnelles. Dans les cas graves, l’incident affecte l’appréciation de la continuité d’exploitation. L’auditeur ne réalise pas de test d’intrusion, mais il s’intéresse aux dispositifs de prévention et de reprise, et à la manière dont un incident serait traduit comptablement.
Les fraudes qui empruntent le système d’information
- La fraude au faux fournisseur : modification des coordonnées bancaires d’un tiers existant, souvent précédée d’un accès non autorisé à la messagerie.
- La fraude au président : demande de virement urgent émanant d’une adresse usurpée.
- Le détournement par écritures : passage d’écritures d’ajustement par un utilisateur disposant de droits trop larges.
- La manipulation de la circularisation : orientation d’une demande de confirmation vers une adresse contrôlée par le fraudeur, sujet traité dans notre article sur la circularisation.
La facturation électronique change les flux
Avec la généralisation de la facture électronique — réception obligatoire pour toutes les entreprises assujetties au 1er septembre 2026, émission généralisée aux PME et TPE au 1er septembre 2027 —, de nouveaux intermédiaires et de nouveaux formats entrent dans la chaîne comptable. Les points de contrôle se déplacent : réception, rejet, statuts, rapprochement automatique. C’est un chantier de système d’information autant que de conformité fiscale, comme l’explique notre article sur la piste d’audit fiable.
Et l’intelligence artificielle embarquée ?
Lorsqu’un modèle intervient dans un processus produisant de l’information financière — scoring de créances, prévision alimentant une valorisation, détection d’anomalies de paiement —, il devient un objet d’audit. Les questions sont celles de tout contrôle automatisé, avec une difficulté supplémentaire : l’opacité. Qui a validé le modèle, sur quelles données, avec quelle supervision humaine, et comment les écarts sont-ils traités ? Ce point est développé dans notre article sur l’intelligence artificielle en audit légal.
Ce qu’une PME peut mettre en place sans DSI
La bonne nouvelle est que l’essentiel relève de l’organisation, pas de la technique :
- Revoir les habilitations une fois par an, et couper les accès au départ de chaque salarié — le jour même ;
- séparer, même à trois personnes, celui qui saisit, celui qui valide et celui qui paie ;
- tester une restauration de sauvegarde au moins une fois par an : une sauvegarde jamais restaurée n’est pas une sauvegarde ;
- instaurer une procédure de vérification des changements de coordonnées bancaires par rappel téléphonique sur un numéro connu ;
- activer la validation des écritures à un rythme mensuel plutôt qu’annuel ;
- tenir une liste des applications utilisées, de leurs hébergeurs et des contacts de support.
Le rôle des prestataires comptables dans la chaîne
Dans la plupart des PME, une partie du système d’information comptable est opérée par des tiers : cabinet d’expertise comptable, prestataire de paie, solution de dématérialisation, banque. Ces intervenants font partie de la chaîne de contrôle, et l’auditeur s’intéresse à la façon dont l’entreprise pilote cette relation : quels accès leur sont ouverts, qui valide les traitements, comment les anomalies sont remontées, quelles sauvegardes lui restent accessibles si la relation cesse. Une production comptable suivie avec un cabinet d’expertise comptable et des justificatifs dématérialisés et indexés renforcent la traçabilité — à condition que l’entreprise conserve la maîtrise de ses données et de ses habilitations.
Ce que l’auditeur en fait
Les faiblesses relevées ne donnent pas lieu à une sanction, mais à deux conséquences. Elles sont communiquées à la direction et, le cas échéant, aux organes de gouvernance, avec des recommandations. Et elles modifient l’approche d’audit : lorsque les contrôles ne peuvent pas être considérés comme fiables, l’auditeur doit obtenir son assurance par des contrôles substantifs plus étendus — davantage de tests, davantage d’éléments à examiner, donc davantage d’heures. La qualité du contrôle interne a ainsi un effet direct et mesurable.
Questions fréquentes
Une PME sans service informatique est-elle concernée ?
Oui. Les exigences portent sur la compréhension des flux de données et des contrôles automatisés, quelle que soit la taille de la structure. Une PME utilisant trois logiciels du marché a un système d’information, même sans personnel dédié.
L’auditeur réalise-t-il des tests techniques de sécurité ?
Non. Il n’effectue ni test d’intrusion ni audit technique. Il examine les contrôles qui influent sur la fiabilité de l’information financière : accès, changements, sauvegardes, interfaces, contrôles applicatifs.
Le recours au cloud simplifie-t-il l’audit ?
Il améliore souvent les sauvegardes et les mises à jour, mais il déplace les questions vers le pilotage du prestataire : garanties contractuelles, localisation des données, réversibilité, éléments d’assurance sur ses propres contrôles.
Une cyberattaque doit-elle apparaître dans les comptes ?
Ses conséquences financières — pertes, coûts de remédiation, dépréciations, litiges — sont comptabilisées selon les règles applicables, et l’incident peut appeler une information en annexe. Dans les cas graves, il affecte l’appréciation de la continuité d’exploitation.
Par où commencer si rien n’a jamais été formalisé ?
Par la revue des habilitations et la séparation des tâches sur le cycle achats-paiements. C’est l’action la plus rapide à mener et celle qui réduit le plus nettement le risque de fraude.
En résumé
L’audit des systèmes d’information n’est pas une spécialité réservée aux grands groupes : les normes révisées imposent de comprendre les flux de données, les contrôles automatisés et la gouvernance informatique de toute entité auditée. En PME, les points sensibles sont presque toujours les mêmes — habilitations jamais revues, absence de séparation des tâches, sauvegardes jamais testées, interfaces sans contrôle d’exhaustivité — et se corrigent par des mesures d’organisation simples. Le cabinet Paris Ouest Audit intègre ces travaux à ses missions ; découvrez nos expertises.