CHAPITRE 2 : L'AUDIT INTERNE ET LA SECURITE DE
L'INFORMATION EN MILIEU BANCAIRE
Nous présenterons en premier lieu les normes et
référentiels qui traitent de l'audit interne et de la
sécurité de l'information. En second lieu, nous décrirons
le rôle de l'audit interne en milieu bancaire et plus
précisément sa méthodologie en matière de
sécurité de l'information.
2.1
Les normes et référentiels afférents à l'audit
interne et à la sécurité de l'information
L'audit interne et la sécurité de l'information
ne sauraient êtreeffectués sans un cadre de
référenceformel pour montrer leur degré d'importance non
seulement pour l'entreprise mais aussi pour les législateurs et
partenaires extérieurs. Nous présenterons par la même
occasion les référentiels applicables au système bancaire
afin de comprendre les dispositions prises pour la réglementation de
l'audit interne et la sécurité de l'information au sein d'une
banque.
2.1.1 Les normes et référentiels applicables
à l'audit interne
Les normes internationales applicables à l'audit
interne sont celles édictées par l'IIA. Elles sont contenues dans
un document appelé le Cadre de référence international des
pratiques professionnel de l'audit interne (CRIPP). Chacune des normes est
interprétée pour permettre à l'auditeur interne de mieux
assimiler ses tâches et organiser son travail. Ces
interprétations sont nommées des Modalités Pratiques
d'Application (MPA). Elles sont valables autant pour les missions d'assurance
que celles de conseil.
On distingue 3 types de normes dans le CRIPP : les normes
de qualification (norme 1000), les normes de fonctionnement (norme 2000) et les
normes de mise en oeuvre. Les normes de qualification et les normes de
fonctionnement s'appliquent à tous les services d'audit. Les normes de
mise en oeuvre précisent les normes de qualification et les normes de
fonctionnement en indiquant les exigences applicables dans les activités
d'assurance (A) ou de conseil (C).
L'IFACI affirme dans son commentaire (IFACI 2013 : 49)
que le processus de contrôle de l'audit interne vise l'ensemble du
dispositif de contrôle interne. Il ne faut pas le restreindre aux
procédures ou aux activités de contrôle, mais
également prendre en compte l'organisation, le pilotage et la
surveillance du processus qui se fondent sur une approche par les risques et
une diffusion fiable de l'information. En matière de système
d'information, selon le CRIPP (IFACI, 2013 :67), les auditeurs doivent
effectuer des contrôles des technologies de l'information. Ce sont des
contrôles qui viennent en appui de la gestion et de la gouvernance de
l'organisation et qui comportent des contrôles généraux et
des contrôles techniques sur les infrastructures des technologies de
l'information dans lesquelles on retrouve les applications, les informations,
les installations et les personnes.
En conclusion l'audit interne, de par ces normes, a la
responsabilité d'évaluer le dispositif de contrôle interne
à tous les niveaux de l'entreprise et de rendre compte fidèlement
à la direction générale et au conseil d'administration.
| 
