PLAN DU COURS (Cycle Systèmes d’Information — SI)

1. Introduction générale au contrôle interne SI

2. Processus du cycle SI (Vue Big4)

3. Dysfonctionnements majeurs par domaine SI

4. Risques SI (Opérationnel, Cyber, RGPD, Continuité, Fraude…)

5. Recommandations (court / moyen / long terme)

6. Heatmap KPMG des risques SI

7. Matrice COSO × Cycle SI (Tableau + narration)

8. Schéma Processus Théorique vs Réel — Cycle SI

9. Cartographie Enterprise Risk Map — SI

10. Tableau SI ↔ Processus métier

11. ISO 27001 appliqué au contrôle interne

12. Grille de maturité CMMI du SI

13. Feuille de route SI (18 mois)

14. Matrice RACI — Cycle SI

1. INTRODUCTION— LE RÔLE DU SYSTÈME D’INFORMATION DANS LE

CONTRÔLE INTERNE

1.1. Le système d’information : la colonne vertébrale de l’organisation

Dans une entreprise moderne, le Système d’Information (SI) n’est plus un simple outil
technique ni un service de soutien [Link] constitue la colonne vertébrale de toute
l’organisation, le socle invisible qui permet aux processus d’exister, de communiquer et de
fonctionner sans rupture.

Sans SI :

 Pas de commandes,

 Pas de factures,

 Pas de stocks,

1
  Pas de suivi des immobilisations,

 Pas de trésorerie,

 Pas de conformité.

Le SI irrigue tous les cycles : Achats, Stocks, Ventes, Investissements, RH, Finance,
Logistique, Maintenance.

1.2. Le contrôle interne SI : un enjeu stratégique

Dans le référentiel COSO, le contrôle interne repose sur cinq [Link] SI est présent dans les
cinq :

Environnement de contrôle

→ Le SI structure la gouvernance, définit les accès, impose les responsabilités.

Évaluation des risques

→ Le SI détecte, trace et alerte sur les risques opérationnels et financiers.

Activités de contrôle

→ Le SI automatise les contrôles, empêche les erreurs et les fraudes.

Information & communication

→ Le SI assure la qualité, la cohérence et la circulation des données.

Pilotage

→ Le SI permet la supervision, l’audit, les analyses et les tableaux de bord.

Ainsi, un contrôle interne fort n’existe pas sans un SI :

 Sécurisé,

 Traçable,

 Bien gouverné,

 Aligné avec les processus métier.

1.3. Pourquoi auditer le SI ? (Vision Big4)

Un audit du SI ne vise pas uniquement l’[Link] vise :

2
  La fiabilité des données,

 La fiabilité des états financiers,

 La prévention de la fraude,

 La continuité de l’activité,

 La cybersécurité,

 La maîtrise des coûts,

 La protection du patrimoine numérique.

Un SI faible = un contrôle interne faible.

Un SI fragile = une entreprise exposée.

Les Big4 considèrent aujourd’hui l’audit SI comme la première ligne de maîtrise des risques,
car la majorité des anomalies observées en audit opérationnel ou financier proviennent :

 D’erreurs de paramétrage ERP,

 D’accès trop larges,

 D’absence de séparation des tâches,

 D’une mauvaise qualité des données,

 De sauvegardes mal testées,

 De systèmes non sécurisés.

1.4. Le SI : une porte ouverte sur la fraude si le contrôle interne est faible

La fraude moderne est quasi exclusivement :

 Informatique,

 Numérique,

 Silencieuse,

 Invisible sans audit technique.

Exemples réels rencontrés dans les missions Big4 :

 Modification d’un plafond de crédit client dans l’ERP,

 Changement de fournisseur dans un appel d’offres,

3
  Validation d’une facture frauduleuse via un compte dormant,

 Création de faux clients ou faux actifs,

 Suppression de journaux de logs,

 Paiements non autorisés via des accès privilégiés.

Chaque faille SI ouvre une porte à des risques financiers ou juridiques majeurs.

1.5. Le SI : garant de la continuité d’activité

L’autre dimension vitale est la continuité.

Une panne SI peut arrêter :

 La production,

 La facturation,

 Les expéditions,

 La trésorerie,

 Les achats,

 Les paiements.

Sans PRA/PCA, un incident peut paralyser l’entreprise pendant des heures, parfois des jours,
causant :

 Perte de CA,

 Rupture d’approvisionnement,

 Perte de clients,

 Perte de données,

 Pertes financières significatives.

1.6. Le SI : un levier de performance et de gouvernance

Un SI performant permet :

 Des décisions plus rapides,

 Des prévisions plus fiables,

4
  Une meilleure visibilité des coûts,

 Une planification budgétaire plus précise,

 Une optimisation des process,

 une amélioration du service client.

Le SI n’est donc pas qu’un risque à maîtriser :c’est aussi un levier stratégique pour créer de la
valeur.

1.7. Le rôle de l’auditeur dans le cycle SI

L’auditeur SI doit :

 Comprendre les process métiers,

 Analyser la gouvernance SI,

 Tester les contrôles automatisés,

 Vérifier la sécurité logique,

 Évaluer la qualité des données,

 Vérifier les accès et profils,

 Challenger l’architecture et la continuité,

 Analyser les logs et traces système,

 Évaluer les risques cyber,

 Tester les sauvegardes et PRA.

Il ne s’agit pas seulement de lire des rapports techniques :il s’agit de comprendre comment
le SI soutient ou fragilise le contrôle interne global.

1.8. Pourquoi ce cours est essentiel pour réussir l’examen ?

Parce que le SI :

 Traverse tous les cycles,

 Est le principal déclencheur de risques,

 Est au cœur des anomalies examinées dans les cas pratiques,

5
  Est souvent la raison pour laquelle les étudiants ne maîtrisent pas les liens entre audit,
risques, contrôle interne et systèmes.

À la fin de ce cours, un étudiant doit être capable de :

 Comprendre un cycle SI,

 Identifier des dysfonctionnements SI,

 Évaluer les risques SI,

 Proposer des recommandations SI,

 Lire une matrice COSO × SI,

 Interpréter une heatmap cyber,

 Comprendre ISO 27001,

 Analyser une maturité SI.

La prochaine étape : 2. Processus du cycle SI (détaillé)

Le cycle SI est structuré en 10 processus majeurs, qui couvrent l’ensemble du rôle du SI

dans le contrôle interne.

Étape 1 — Gouvernance & Stratégie SI

Objectif :

S’assurer que le SI est aligné avec la stratégie de l’entreprise et qu’il existe une gouvernance
claire.

Ce que l’auditeur observe :

 Existence ou absence de comité SI

 Présence d’une feuille de route SI

 Budget SI (CAPEX + OPEX)

 Documentation des règles SI

 Rôles des acteurs : DG, DAF, DSI, RSSI

Dysfonctionnements typiques :

 Décisions informelles sans validation

6
  Priorités SI dépendantes du bon vouloir d’une seule personne

 Absence de stratégie pluriannuelle

 Budgets insuffisants ou mal contrôlés

 Absence de gestion de portefeuille projets SI

Contrôles internes attendus :

 Comité SI mensuel

 Feuille de route à 3 ans

 RACI gouvernance

 Suivi budgétaire SI

 Indicateurs SI stratégiques

Étape 2 — Architecture & Infrastructure

Objectif :

Assurer la fiabilité, la disponibilité et la sécurité de l’infrastructure informatique.

Ce que l’auditeur regarde :

 Serveurs (physiques/virtuels)

 Réseau et segmentation

 Accès internet & pare-feu

 Poste de travail

 Cloud, SaaS, backup

Anomalies fréquentes :

 Serveurs non mis à jour

 Infrastructure vieillissante

 WiFi non sécurisé

 Pare-feu obsolète

 Pas de redondance (single point of failure)

7
  Utilisation excessive d’Excel au lieu de l’ERP

Contrôles internes attendus :

 Patch management régulier

 Surveillance réseau (NOC)

 Redondance infrastructure

 Sécurisation WiFi & segmentation VLAN

 Inventaire matériel automatique

Étape 3 — Gestion des Accès & Identités (IAM)

Objectif :

Garantir que les bons utilisateurs disposent des bons accès au bon moment.

Points audités :

 Création / modification / suppression des comptes

 Profils et rôles dans ERP

 Révisions périodiques des accès

 MFA (authentification à plusieurs facteurs)

 Comptes à privilèges (Administrateurs)

Risques majeurs :

 Usurpation d’identité

 Fraude interne (ex : modifier un paiement)

 Accès d’anciens employés

 Comptes génériques

 Absence de séparation des tâches (SOD conflicts)

Contrôles attendus :

 Revue mensuelle des accès

 MFA obligatoire

8
  IAS (Identity Access System)

 Audit trail pour comptes admin

 Matrice des rôles + SOD analytiques

Étape 4 — Développements, Paramétrages & ERP

Objectif :

Garantir que les applications (ERP, GMAO, WMS, CRM) fonctionnent correctement et que
les paramétrages sont maîtrisés.

Auditeur vérifie :

 Documentation des besoins (cahier des charges)

 Recette fonctionnelle

 Gestion des versions

 Paramétrages sensibles (plafond crédit clients, TVA, comptes comptables)

 Historique des modifications

Anomalies typiques :

 Paramétrages modifiables par un seul utilisateur

 Absence de tests avant mise en production

 Évolutions non documentées

 Manque de séparation DEV / TEST / PROD

Contrôles clés :

 Matrice de paramétrage sensible

 Change management

 Environnement TEST obligatoire

 Journalisation des modifications

Étape 5 — Gestion des Données (Master Data)

Objectif :

9
Assurer la qualité, la cohérence, la fiabilité et la conformité des données.

Ce que l’auditeur observe :

 Procédures de création/modification

 Contrôle de qualité des données (Data Quality)

 Gestion données clients, fournisseurs, produits, actifs

 Données dupliquées ou incohérentes

 Archivage légal

Dysfonctionnements classiques :

 Clients dupliqués dans ERP

 Produits créés sans validation

 Codes articles incohérents entre dépôts

 Absence de référentiel unique

 Risque RGPD (données stockées sans base légale)

Contrôles attendus :

 Data owner identifié

 Workflow de validation

 Cartographie des données

 Nettoyage périodique

 Archivage sécurisé

Étape 6 — Sécurité SI & Cybersécurité

Objectif :

Protéger l’entreprise contre les cybermenaces, virus, attaques internes et externes.

Auditeur analyse :

 Politiques de sécurité

 Antivirus et mise à jour

10
  Pare-feu

 SIEM / SOC

 Analyse des vulnérabilités

 Sensibilisation des utilisateurs

Menaces les plus fréquentes :

 Ransomware

 Phishing

 Intrusion externe

 Fuite de données

 Attaque interne par mécontentement

Contrôles clés :

 Segmentation réseau

 MFA

 Firewall nouvelle génération

 SIEM + SOC

 Tests de pénétration annuels (pentest)

Étape 7 — Exploitation SI

Objectif :

S’assurer que l’exploitation quotidienne est maîtrisée.

Auditeur vérifie :

 Sauvegardes (automatisées, testées)

 Batchs ERP

 Supervision (CPU, RAM, réseau)

 Journalisation (logs)

 Plan de maintenance

11
Anomalies typiques :

 Sauvegardes non testées

 Fichiers corrompus

 Journaux non activés

 Espaces disque saturés

 Aucune surveillance temps réel

Contrôles attendus :

 Tests de restauration

 Logs sécurisés

 Alertes automatiques

 Dashboard exploitation

Étape 8 — Gestion des Incidents et Problèmes

Objectif :

Assurer un traitement structuré des incidents SI.

Auditeur examine :

 Helpdesk

 Tickets d’incidents

 Niveau de service (SLA)

 Analyse cause racine (RCA)

 Suivi des incidents récurrents

Dysfonctionnements typiques :

 Incidents non enregistrés

 Pas de priorisation

 Pas de suivi

12
  Pas de RCA

Contrôles clés :

 Outil helpdesk (GLPI, Jira)

 SLA

 Reporting hebdomadaire

 Post-mortem incident critique

Étape 9 — Continuité & PRA/PCA

Objectif :

Garantir la reprise d’activité après un sinistre.

Auditeur analyse :

 Existence du PCA (Plan de Continuité d’Activité)

 Existence du PRA (Plan de Reprise)

 Sites de secours

 Backups externes

 Tests annuels

Risques :

 Arrêt de production

 Perte de données définitive

 Perte de CA

 Risque réputationnel

Contrôles clés :

 PRA testé

 Redondance

 Backups externes

 Documentation claire

13
Étape 10 — Gestion des Changements (Change Management)

Objectif :

Assurer que les changements SI sont maîtrisés.

Auditeur observe :

 Demande de changement

 Analyse d’impact

 Recette

 Mise en production contrôlée

 Documentation post-MEP

Risques courants :

 Régression applicative

 Panne après mise en production

 Perte de données

 Modification non autorisée

Contrôles internes :

 Change Advisory Board

 Environnement test

 Validation DSI

 Journalisation automatique

3. DYSFONCTIONNEMENTS MAJEURS DU SI

Cette section décrit, comme dans une vraie mission d’audit, ce qu’un auditeur découvre sur le
terrain lorsqu’il évalue un Système d’Information.

3.1. Gouvernance SI — un pilotage souvent informel

Dans de nombreuses organisations, la gouvernance SI repose davantage sur le bon sens et

l’expérience des acteurs que sur des règles formelles.L’auditeur constate souvent que :

14
  le comité SI ne se réunit pas,

 les projets informatiques sont décidés au cas par cas,

 la DSI fonctionne seule, en réaction plutôt qu’en anticipation,

 les arbitrages techniques sont décidés verbalement,

 les budgets SI sont flous ou dépassés.

Conséquence :le SI devient un ensemble de solutions juxtaposées sans vision globale,

générant incohérences, surcoûts et risques cyber.

3.2. Gestion des accès & identités — le cœur des risques de fraude

C'est la zone la plus critique.L’auditeur découvre souvent :

 des comptes génériques type Admin,

 des accès trop larges pour un commercial, un comptable ou un responsable logistique,

 des anciens employés toujours actifs dans l’ERP,

 aucun contrôle périodique des rôles et profils,

 des mots de passe simples ("123456"),

 aucune authentification MFA.

Conséquence :la fraude devient techniquement possible sans laisser de trace.

Exemples typiques rencontrés :

 modification d’un RIB fournisseur,

 changement d’un prix dans l’ERP,

 validation d’une commande non autorisée,

 suppression d’une facture.

3.3. Sécurité informatique — pare-feu obsolète, antivirus non mis à jour

Dans 80 % des cas audités, l’entreprise n’a pas une stratégie cyber claire.L’auditeur observe :

 un pare-feu non mis à jour depuis 3 ans,

 des antivirus désactivés,

15
  un réseau WiFi sans mot de passe robuste,

 pas de segmentation réseau (tous les postes dans le même VLAN),

 aucune surveillance (pas de SOC, pas de SIEM),

 aucun test de vulnérabilité (pentest).

Conséquence :L’entreprise est hautement vulnérable aux ransomware, la menace n°1

depuis 2020.

3.4. Gestion des données (Master Data) — incohérences, doublons, saisie manuelle

L’auditeur SI découvre fréquemment :

 des doublons clients dans l’ERP,

 des produits codés différemment selon les dépôts,

 des fournisseurs enregistrés plusieurs fois,

 aucune validation lors de la création d’un article,

 des données modifiées directement dans la base par un technicien.

Conséquence :Les départements opérationnels ne parlent pas le même langage, la

donnée n’est plus fiable.

3.5. Développement applicatif & ERP — absence de tests, paramétrage sensible

modifiable

L’auditeur constate :

 pas d’environnement de test,

 mises en production non documentées,

 paramétrages sensibles (TVA, comptes comptables, limites) modifiables par une seule
personne,

 versioning non maîtrisé,

 aucun suivi des évolutions.

Conséquence :L’ERP perd sa cohérence, erreurs comptables, erreurs prix, problèmes de

facturation.

3.6. Exploitation & sauvegardes — procédures inexistantes

16
Très souvent, l’auditeur découvre :

 sauvegardes jamais testées,

 fichiers corrompus,

 absence de supervision des serveurs,

 disques presque saturés,

 logs non activés ou supprimés automatiquement.

Conséquence :En cas d’incident majeur, la reprise est impossible → perte de données
irréversible.

3.7. Incidents & Problèmes — helpdesk inutilisé

L’auditeur constate :

 pas d’outil helpdesk,

 incidents résolus par WhatsApp,

 aucune analyse des causes racines,

 pas de priorisation,

 absence totale de reporting.

Conséquence :Les incidents se répètent car aucun traitement durable n’est mis en place.

3.8. Continuité & PCA/PRA — le maillon le plus faible

Dans 9 organisations sur 10, l’auditeur trouve :

 aucun plan de continuité,

 aucun PRA testé,

 sauvegardes sur le même site (incendie → perte totale),

 absence de site de secours.

Conséquence :Un incendie, une panne électrique ou un ransomware paralyse

l’entreprise plusieurs jours.

17
3.9. Gestion des changements — mise en production sauvage

Anomalies typiques :

 mises en production le week-end sans validation,

 tests insuffisants,

 régressions applicatives,

 documentation absente.

Conséquence :Instabilité du SI, pannes récurrentes, pertes de données.

3. DYSFONCTIONNEMENTS MAJEURS — VERSION TABLEAU (Big4)

Dysfonctionnements
Domaine SI Causes probables Impacts Exemples réels
observés
Pas de comité SI, Absence de
Gouvernance SI incohérent ERP + Excel en parallèle
budgets flous pilotage
Accès & Comptes génériques,
Culture faible Fraude Changement RIB fournisseur
identités MFA absent
Antivirus obsolète, pas
Sécurité Budget faible Ransomware Entreprise paralysée
de SOC
Doublons, Mauvaise
Données Saisie manuelle Mauvais stock réel
incohérences décision
Pas de tests,
ERP & Manque de Comptabilité
paramétrage Mauvaise TVA
applicatifs méthodes fausse
modifiable
Sauvegardes non
Exploitation Laxisme Perte de données Crash serveur
testées
Incidents Pas de helpdesk Pas de procédure Pannes répétées Tickets WhatsApp
Chômage
Continuité Pas de PRA Faible maturité Arrêt production
technique
Gestion Blocage ERP
MEP sauvage Pression délai Instabilité SI
changements

4. RISQUES DU SYSTÈME D’INFORMATION (SI)

(Classification Big4 — Ultra détaillée avec exemples réels)

Les risques SI sont classés en 7 grandes familles, selon les référentiels utilisés par Deloitte,
KPMG, EY et PwC.

Pour chaque famille, je te donne :

18
  la définition,

 les causes,

 les exemples réels,

 les impacts,

 l’évaluation (probabilité × impact).

4.1. Risques Opérationnels SI

Définition

Risques liés à un dysfonctionnement technique ou applicatif qui empêche la continuité

normale des activités.

Exemples de risques

 Panne du serveur ERP

 Rupture du réseau (LAN/WAN)

 Saturation de la base de données

 Blocage du WMS (entrepôt)

 Arrêt du système de caisse (magasins)

 Perte de fichiers Excel critiques

Causes fréquentes

 Infrastructure vieillissante

 Absence de surveillance (monitoring)

 Serveurs non patchés

 Paramétrages mal réalisés

 Régression après une mise en production

Impacts

 Arrêt de production

 Retards de livraison

 Factures non émises

19
  Arrêt des ventes

 Perte de CA immédiat

 Dégradation image client

Exemple réel

Un ERP tombe en panne un vendredi → aucune facture émise → 3 jours de production

bloquée → 10 MDH de CA perdu.

4.2. Risques Financiers SI

Définition

Risques que les données financières soient incorrectes, incomplètes ou incohérentes.

Exemples

 Erreurs d’amortissement

 Mauvaise valorisation des stocks

 TVA incorrecte

 Clients dupliqués → mauvais lettrage

 Conditions commerciales erronées

Causes

 Paramétrages sensibles accessibles

 Master data non contrôlé

 Saisie manuelle excessive

 Scripts Excel non sécurisés

Impacts

 États financiers faux

 Risques fiscaux

 Provisions incorrectes

 Surévaluation d’actifs

20
  Litiges clients/fournisseurs

4.3. Risques de Fraude SI

Définition

Utilisation frauduleuse du SI pour masquer, modifier ou détourner des transactions.

Exemples

 Modification du RIB fournisseur dans ERP

 Création d’un faux fournisseur

 Suppression de journaux système

 Validation de commandes avec un compte dormant

 Réceptions fictives

Causes

 Comptes génériques

 Absence de MFA

 Accès trop larges

 Absence de séparation des tâches

 Pas d’audit trail

Impacts

 Détournement de fonds

 Pertes matérielles

 Distorsion des états financiers

 Perte de confiance / réputation

4.4. Risques Cyber (Cybersécurité)

Définition

Risques liés aux attaques externes ou internes, visant à voler, détruire ou bloquer les données.

Exemples

21
  Ransomware

 Phishing ciblé (spear phishing)

 Intrusion réseau

 Exploit d’une faille non patchée

 DDoS sur le site web

 Compte Administrateur piraté

Causes

 Antivirus obsolète

 Pare-feu non mis à jour

 Absence de segmentation

 Aucun SIEM / SOC

 Utilisateurs non formés

Impacts

 Paralysie totale de l’entreprise

 Perte de données

 Chantage financier

 Exposition de données confidentielles

 Perte de confiance des partenaires

4.5. Risques RGPD / Juridiques / Conformité

Définition

Risques liés à la gestion illégale ou non conforme des données personnelles ou

professionnelles.

Exemples

 Données clients stockées sur USB

 Envoi de fichiers sensibles par WhatsApp

 Absence d'accord sur le traitement des données

22
  Absence de registre RGPD

 Accès non autorisé à des dossiers RH

Causes

 Absence de DPO

 Manque de sensibilisation

 Mauvaise gestion de la confidentialité

 Fichiers non cryptés

Impacts

 Sanctions

 Responsabilité juridique

 Perte de confiance

 Fuite d’informations sensibles

4.6. Risques de Continuité d’Activité (PCA/PRA)

Définition

Risques de non-continuité ou de reprise insuffisante en cas de sinistre.

Exemples

 Pas de PRA

 Sauvegardes stockées sur le même site

 Serveur unique (SPOF — Single Point of Failure)

 PAS de plan papier

 PAS de test annuel

Causes

 Sous-investissement

 Maturité faible

 Absence de gouvernance

23
  Processus non formalisés

Impacts

 Arrêt total des opérations

 Perte massive de données

 Perte de chiffre d’affaires

 Perte d’image / réputation

4.7. Risques liés aux Données (Master Data & Data Quality)

Définition

Risques liés à la mauvaise qualité de la donnée, sa création, sa modification ou son stockage.

Exemples

 Doublons clients

 Produits mal codés

 Fournisseurs multiples

 Actifs non identifiés

 Données incohérentes entre systèmes

Causes

 Saisie manuelle

 Absence de workflow

 Absence de Data Owner

 Mauvaise gouvernance data

Impacts

 Mauvaises décisions

 Mauvaise valorisation stock

 Erreurs comptables

 Fausses analyses BI

24
  Mauvaise segmentation commerciale

SYNTHÈSE DES 7 CATÉGORIES DE RISQUES SI

Catégorie Description Zones fortes de risque

Opérationnel Pannes, erreurs Infrastructure, ERP
Financier Mauvais chiffres Paramétrage, Master Data
Fraude Manipulation volontaire ERP, accès, logs
Cyber Attaques externes Réseau, postes
Conformité RGPD, CNDP RH, CRM
Continuité Panne majeure PRA, backups
Données Qualité data ERP, BI, Achats, Ventes

5. RECOMMANDATIONS DU CYCLE SYSTÈME D’INFORMATION (SI)

(Court Terme / Moyen Terme / Long Terme — Big4)

A — VERSION STRUCTURÉE (Big4) — par horizon temporel

1. Court terme (0–3 mois)

Objectif : Réduire immédiatement les risques critiques (cyber, accès, sauvegardes).

Recommandation Risque couvert Pourquoi c’est prioritaire ?

Activer MFA sur tous les
Fraude / cyber Empêche l’usurpation d’identité
comptes sensibles
Réaliser un inventaire complet
Fraude Identifie les comptes dormants
des accès utilisateurs
Désactiver les comptes anciens
Fraude Risque élevé de détournement
employés
Mettre à jour l’antivirus et
Cyber Bloque les ransomwares
déployer EDR
Sécuriser le WiFi (WPA2/3 +
Cyber Ferme la principale porte d’entrée
mot de passe fort)
Vérifier la qualité et la
Continuité Évite perte de données irréversible
restauration des sauvegardes
Activer la journalisation (logs) Fraude / SI Permet la traçabilité
Imposer une politique de mot de
Fraude Réduit 80 % des risques d’accès non autorisé
passe
Documenter les procédures
Opérationnel Réduit dépendance aux individus-clés
critiques (ERP / réseau)

25
 2. Moyen terme (3–9 mois)

Objectif : Structurer le SI, stabiliser les processus, renforcer la sécurité.

Recommandation Risque couvert Pourquoi maintenant ?

Mettre en place un SOC / SIEM Cyber Détection en temps réel des attaques
Segmentation réseau (VLAN) Cyber Empêche propagation d’un virus
Procédure formelle de gestion des changements
Opérationnel Évite régressions après MEP
(CAB)
Mise en place d’un outil helpdesk (GLPI, Jira) Incidents Centralise les tickets, crée historique
Workflow validation master data Financier / Données Fiabilise les référentiels ERP
Migration progressive vers un cloud maîtrisé Continuité Réduit dépendance serveur interne
70 % des attaques viennent d’erreurs
Politique de cybersécurité + sensibilisation Cyber
humaines
Test PRA annuel Continuité Vérifie la capacité de reprise
Mise en place d’une cartographie des données Conformité Préparation RGPD / CNDP

3. Long terme (9–18 mois)

Objectif : Améliorer la maturité SI, atteindre un niveau conforme à ISO 27001.

Recommandation Risque couvert Pourquoi long terme ?

Nécessite gouvernance
Certifier ISO 27001 Global SI
complète
Modernisation infrastructure (virtualisation, redondance) Continuité Coûts élevés, planification
Mise en place d’un référentiel Data Management Données Aligné au DAMA-DMBOK
Améliore pilotage
Mise en place Data Lake / BI entreprise Décisionnel
stratégique
PMO SI (bureau projets) Gouvernance Pilote portefeuille projets
Architecture Zero Trust Cyber Paradigme sécurité moderne
Mise en place d’un tableau de bord SI (KPI) Pilotage Donne visibilité DG/DAF
Automatisation des processus (RPA) Opérationnel Réduit erreurs humaines
Alignement stratégique long
Refonte complète des processus SI Gouvernance
terme

B — VERSION NARRATIVE (Big4 style)

1. Court terme : sécurisation immédiate

Les premières actions recommandées concernent les risques critiques : fraude interne,

26
cyberattaques, pertes de données.

L’auditeur insiste sur l’urgence de :

 Sécuriser les accès (MFA, suppression comptes anciens employés),

 Activer la journalisation des actions,

 Vérifier la restauration effective des sauvegardes,

 Mettre à jour les antivirus et les systèmes,

 Verrouiller les paramétrages sensibles de l’ERP.

Ces actions réduisent immédiatement plus de 70 % des risques SI majeurs.

2. Moyen terme : structuration du SI

À partir du 3ᵉ mois, l’auditeur recommande d’installer une structure durable :

 Mise en place d’un outil helpdesk pour centraliser incidents,

 Segmentation réseau pour limiter propagation d’une attaque,

 Mise en place d’un Change Advisory Board,

 Standardisation de la création master data,

 Formation des utilisateurs à la cybersécurité.

Ces actions permettent d’obtenir un SI cohérent, traçable et sécurisé, indispensable pour un

contrôle interne solide.

3. Long terme : montée en maturité et alignement aux standards internationaux

27
Sur un horizon de 12 à 18 mois, l’entreprise doit viser :

 une gouvernance SI forte,

 une infrastructure moderne et redondée,

 une certification ISO 27001,

 une gestion de la donnée alignée aux référentiels internationaux,

 un cycle SI totalement intégré dans le contrôle interne COSO,

 un pilotage SI via KPIs structurés.

À terme, l’entreprise dispose d’un SI :

 Sécurisé,

 Cohérent,

 Performant,

 Conforme,

 Résilient.

POINT 6 : Heatmap KPMG des risques SI,

28
7. MATRICE COSO × SI — Version Big4 Senior Manager

Cette matrice montre comment les risques SI affectent chacun des 5 piliers
COSO applicables dans une mission d’audit interne.

Elle permet :

 D’identifier les zones de faiblesse structurelles du SI,

 De comprendre les liens entre SI et contrôle interne,

 De repérer les processus SI les plus vulnérables,

 De préparer des tests d’audit ciblés.

7.1. Version narrative (explication simple et claire)

Environnement de contrôle

Le SI doit reposer sur une gouvernance solide :

 Comités SI,

 Politiques définies,

 Rôles clairs,

 Responsabilités documentées.

29
Sans cela, le SI devient réactif, non maîtrisé, et vulnérable aux erreurs et fraudes.

Évaluation des risques

Le SI doit être capable de détecter :

 Les accès anormaux,

 Les pannes,

 Les incohérences de données,

 Les tentatives d'intrusion,

 Les erreurs de paramétrage.

Une entreprise sans cartographie des risques SI ne peut pas anticiper une cyberattaque ou une
panne critique.

Activités de contrôle

Ce sont les contrôles automatiques ou manuels intégrés au SI :

 MFA,

 Contrôle des rôles,

 Journalisation,

 Logs d’erreurs,

 Contrôles paramétrages ERP,

 Sauvegardes,

 PRA.

S’ils sont inexistants ou non appliqués, le SI devient fragile et exposé.

Information & communication

Les systèmes doivent fournir :

 Une donnée fiable,

 Une communication fluide entre ERP / WMS / GMAO / CRM,

 Une documentation accessible,

30
  Un helpdesk efficace.

Une donnée erronée → décisions erronées.

Pilotage

La DSI doit suivre :

 Les incidents,

 Les KPI,

 Les vulnérabilités,

 Les projets,

 Les statistiques d'accès,

 L’état du réseau.

Sans pilotage, l'entreprise ne voit pas les risques arriver.

POINT 7 : MATRICE COSO × CYCLE SI

7.2. MATRICE COSO × SI — Version Tableau Big4

Tableau complet

ERP & Données

Accès & Cybersécur Infrastruct Continuité
Piliers COSO Gouvernance SI Application (Master
Identités ité ure (PCA/PRA)
s Data)
Pas de comité SI, Absence de Pas de Manque de Sous-
Environneme Pas de data Pas de plan
responsabilités politique politique rôles ERP investissem
nt de contrôle owner PCA/PRA
floues d’accès cyber clairs ent
Pas Pas Pas de Pas Pas
Évaluation Pas de Pas d’analyse
d’analyse d’analyse contrôle d’analyse d’évaluation
des risques cartographie SI risques accès
cyber paramétrage qualité data de capacité impact panne
MFA absent, Paramétrage
Activités de Contrôles non Antivirus Données Patchs non Sauvegardes
comptes s
contrôle documentés obsolète non validées appliqués non testées
dormants modifiables
Information
Pas de Aucune Documentat Pas de
& Reporting SI Données Pas d’alerte
communicatio sensibilisati ion monitoring
communicati absent incohérentes PRA
n alertes on insuffisante réseau
on
Aucune Suivi des Data Monitoring Pas de test
Revue d’accès
Pilotage KPI SI inexistants supervision incidents Quality serveur périodique
rare
SOC faible absente absent PRA

31
7.3. Interprétation professionnelle (niveau Big4 Senior)

Les zones les plus critiques sont :

 Gestion des accès (comptes dormants + absence MFA)

 Cybersécurité (aucun SOC, firewall obsolète)

 Continuité (PRA jamais testé)

 Master Data (incohérences produit, clients, fournisseurs)

 Paramétrage ERP (TVA, limites, comptes comptables modifiables)

Pourquoi c’est critique ?

Parce que la majorité des fraudes identifiées en audit interne proviennent :

 D’accès mal gérés,

 De données de mauvaise qualité,

 Du paramétrage ERP non contrôlé,

 Du manque de journalisation.

Zone COSO la plus faible ?

Activités de contrôle, car :

 Pas de logs,

 Pas de contrôles paramétrages,

 Pas de séparation des tâches,

 Sauvegardes non testées,

 Absence de monitoring.

32
IMAGE N°2 — Tableau “SI ↔ Processus métiers” (Premium Big4)

Contenu inclus dans l’image :

 Les 6 processus métier : Achats, Stocks, Production, Ventes/Clients,

Finance/Trésorerie, RH

33
  Les modules SI associés (ERP, WMS, GMAO, CRM, HRIS, BI…)

 Les apports du SI

 Les risques SI spécifiques par processus

 Les contrôles clés recommandés

Clauses ISO 27001 (Version SI)

4 — Contexte du SI5 — Leadership & politique cybersécurité6 — Gestion des risques cyber7
— Support (compétences IT, ressources, documentation SI)8 — Fonctionnement SI
(contrôles techniques, opérations IT)9 — Évaluation (indicateurs cyber, audits, reporting
RSSI)10 — Amélioration (vulnérabilité, incidents, remédiation)

34
Annexe A — Contrôles appliqués SI

Contrôles organisationnels (37)

 gouvernance cyber

 classification information

 sécurité fournisseurs IT

 gestion des changements SI

 journalisation & preuves

Contrôles humains (8)

 sensibilisation cyber

 clauses de confidentialité

 séparation des tâches SI

Contrôles physiques (14)

 salles serveurs

 accès badge

 protection onduleurs, climatisation

Contrôles technologiques (34)

 MFA

 firewall

 antivirus

 segmentation réseau

 sauvegardes

 SIEM

 chiffrement

 gestion des accès

 patching

 PRA

35
  supervision

12. GRILLE DE MATURITÉ CMMI — SYSTÈME D’INFORMATION

(Version Big4 —)

Le modèle CMMI (Capability Maturity Model Integration) est utilisé par les auditeurs
pour évaluer la maturité du SI d’une organisation.

Il comporte 5 niveaux, du plus bas (chaos) au plus élevé (excellence).

Niveau 1 — Initial (“chaotique”)

Caractéristiques :

 Aucun processus SI formalisé

 Dépendance totale aux individus

 Réaction “pompiers”

36
  Aucun indicateur

 Documentation inexistante

Conséquences :→ Pannes fréquentes, risques cyber élevés.

Niveau 2 — Répétable (“opération basique”)

Caractéristiques :

 Quelques procédures informelles

 Sauvegardes manuelles

 Accès partiellement gérés

 Début de documentation

 Maintenance réactive

Conséquences :→ Le SI fonctionne, mais reste fragile.

Niveau 3 — Défini (“structuré”)

Caractéristiques :

 Processus SI documentés et appliqués

 Gestion des changements

 Politique cybersécurité

 Rôles définis

 Incidents suivis

Conséquences :→ Le SI devient maîtrisable, mais encore perfectible.

Niveau 4 — Maîtrisé (“piloté”)

Caractéristiques :

 KPIs SI (MTTR, disponibilité, patching…)

 Pilotage RSSI et comité SI

 PRA testé

37
  Gestion proactive des incidents

 Monitoring réseau

Conséquences :→ Les risques sont anticipés.

Niveau 5 — Optimisé (“excellence”)

Caractéristiques :

 Amélioration continue

 Automatisation IT (scripts, RPA)

 SIEM, SOC, analyse comportementale

 Gouvernance IT alignée stratégie

 Culture cyber dans l’entreprise

 Cloud sécurisé / zero trust

Conséquences :→ SI moderne, robuste, résilient et agile.

13. FEUILLE DE ROUTE SI — 18 MOIS

Court terme (0–3 mois) — Stabiliser

 MFA obligatoire

 Nettoyage des comptes dormants

 Mise à jour antivirus

 Sauvegardes vérifiées

 Documentation rapide

 Patchs critiques

 Activation logs ERP

Moyen terme (3–9 mois) — Structurer

 Politique cybersécurité

 Segmentation réseau

38
  Mise en place d’un Helpdesk ITSM

 Processus de gestion des changements

 Master Data governance

 Inventaire matériel + RFID

 Déploiement d’un SIEM

Long terme (9–18 mois) — Optimiser

 Certification ISO 27001

 Modernisation infrastructure (cloud/hybrid)

 PCA/PRA complet et testé

 Automatisation (scripts, RPA, ITOM)

 Dashboard SI (Power BI)

 Sécurité avancée (EDR, SOC)

 Gouvernance stratégique SI → Comité IT trimestriel

14. MATRICE RACI — SI

Activité / Processus SI DG DAF DSI RSSI Métiers

Définir la stratégie SI A C R I C
Politique cybersécurité A I C R I
Gestion des accès ERP I C R C R
Sauvegardes I I R C I
Patch management I I R C I
Master data I I C I R
Gestion incidents I I R C C
PCA/PRA A C R R I
R = ResponsableA = Accountable (décideur final)C = ConsultéI = Informé

15. ANNEXES PÉDAGOGIQUES — POUR TON COURS

15.1. KPI du SI

 Taux de disponibilité ERP

 MTTR (Mean Time To Repair)

39
 MTBF (Mean Time Between Failures)

 Taux de patching

 % MFA appliqué

 % sauvegardes restaurables

 Score Data Quality

 Nombre d’incidents critiques

 Taux conformité accès

 Temps moyen de résolution helpdesk

40
Image n°13 – Feuille de Route SI (18 mois) — Version PREMIUM

Celle-ci doit présenter clairement :

 Les actions 0–3 mois (stabiliser)

 Les actions 3–9 mois (structurer)

 Les actions 9–18 mois (optimiser)

 Un design consultant premium (dégradés, icônes, blocs nets)

41
Voici le contenu de l’image :

Processus SI couverts :

 Politique cybersécurité

42
  Gestion des accès

 Sauvegardes

 Patch management

 Gestion des incidents

 Master data

 PCA/PRA

 Helpdesk / ITSM

Acteurs RACI :

 Directeur Général (DG)

 Directeur Administratif & Financier (DAF)

 Directeur des Systèmes d’Information (DSI)

 Responsable SSI (RSSI)

 Responsables Métiers

Voici le tableau source:

Activité SI DG DAF DSI RSSI Métiers

Définir stratégie SI A C R I C
Politique cybersécurité A I C R I
Gestion des accès ERP I C R C R
Sauvegardes I I R C I
Patch management I I R C I
Master data I I C I R
Gestion incidents I I R C C
PCA/PRA A C R R I
C

Helpdesk / tickets I I R C

Étape 1 — KPI SI PREMIUM

Avant de générer l’image PNG, je te propose le contenu exact :

KPI techniques (Infrastructure & réseau)

43
  Disponibilité ERP (%)

 Disponibilité réseau (%)

 Taux de patching (%)

 Taux de machines protégées (EDR/Antivirus)

 Temps moyen de réparation (MTTR)

 Temps moyen entre pannes (MTBF)

 Taux de réussite des sauvegardes (%)

KPI cybersécurité

 Taux MFA (%)

 Nombre d’incidents cyber bloqués

 Taux de conformité des accès

 Nombre de vulnérabilités critiques non corrigées

KPI Data Quality

 Score global qualité des données

 % fiches clients conformes

 % référentiel produits corrigé

 Taux de doublons détectés

KPI Support / Helpdesk

 Nombre d’incidents par mois

 % incidents résolus en < 24h

 Taux de satisfaction utilisateurs

 Backlog incidents en attente

44
45