Pourquoi il est temps de retirer l'IPE : une approche plus intelligente du SOX

Les informations produites par l'entité, communément appelées IPE, constituent la pierre angulaire des tests de conformité SOX depuis des années. Même si le concept qui sous-tend l’IPE reste solide, la manière dont la plupart des organisations le gèrent est devenue une source importante d’inefficacité. Il est peut-être temps de repenser entièrement l’approche.

Qu'est-ce que l'IPE ?

IPE fait référence à tout rapport, extrait de données ou sortie généré par les propres systèmes de l'entreprise et utilisé comme preuve dans les tests de contrôle interne. Lorsqu'un auditeur s'appuie sur un rapport chronologique pour tester un contrôle des comptes clients, ce rapport chronologique est IPE. Lorsque la direction utilise une liste d'écritures de journal générée par le système pour tester la séparation des tâches, cette liste est IPE.

Le principe est simple : si vous utilisez des données générées par l’entreprise pour tester un contrôle, vous devez vérifier que les données elles-mêmes sont exactes et complètes. Sinon, l’ensemble des conclusions du test repose sur une base non validée.

Le problème avec les pratiques actuelles d'IPE

En théorie, la validation IPE constitue une garantie raisonnable. En pratique, c’est devenu l’un des aspects les plus fastidieux et les moins précieux de la conformité SOX.

La plupart des organisations valident l'IPE en effectuant des contrôles d'exhaustivité et d'exactitude de chaque rapport utilisé dans les tests de contrôle. Cela signifie souvent réexécuter les rapports, lier les totaux aux systèmes sources et documenter la validation dans des feuilles de travail séparés. Pour les organisations disposant de centaines de contrôles, chacun s’appuyant sur plusieurs rapports, le volume de travail de validation IPE est énorme.

Cet effort est aggravé par le fait que bon nombre de ces rapports sont générés par les mêmes systèmes, en utilisant les mêmes données, de manière récurrente. Pourtant, les équipes valident souvent chaque instance indépendamment, même lorsque la source de données sous-jacente n'a pas changé.

Pourquoi l'approche traditionnelle échoue

Effort redondant. Les équipes valident fréquemment la même sortie du système plusieurs fois sur différents contrôles. Une balance de vérification générée par l'ERP peut être validée séparément pour les tests de revenus, les tests de dépenses et l'examen du bilan, bien qu'il s'agisse du même rapport provenant du même système.

Surcharge de documentation. Chaque validation IPE nécessite sa propre documentation, créant une trace écrite qui ajoute du volume sans valeur proportionnelle. Les auditeurs passent plus de temps à documenter la validation qu'à l'effectuer.

Faux sentiment d'assurance. Vérifier qu'un total de rapport correspond à un total du système confirme que le rapport a été généré correctement. Il ne précise pas si les données sous-jacentes du système sont exactes. La validation teste le rapport, pas les données.

Puissance des ressources. La validation IPE consomme des heures d'audit qui pourraient être orientées vers des domaines à plus haut risque. Lorsque les équipes sont surchargées pendant une saison chargée, cette mauvaise répartition des efforts a de réelles conséquences.

Une alternative plus intelligente

Plutôt que de valider des instances de rapport individuelles, les organisations devraient envisager une approche au niveau du système. Cela signifie établir la confiance dans les systèmes qui produisent les rapports, plutôt que de tester chaque résultat séparément.

Les contrôles généraux informatiques (ITGC) portent déjà sur l'intégrité des données générées par le système. Lorsque les ITGC sur une application particulière sont efficaces, il existe une assurance raisonnable que les rapports générés par cette application sont fiables. Renforcer le lien entre les tests ITGC et le recours à l’IPE peut réduire considérablement le travail en double.

Les rapprochements automatisés peuvent remplacer les contrôles IPE manuels. Lorsque les flux de données sont automatiquement réconciliés entre les systèmes, le besoin de validation IPE à un moment donné diminue. Le rapprochement lui-même fournit une assurance continue.

Les sources de données standardisées réduisent le nombre d'éléments IPE uniques qui nécessitent une validation. Si tous les contrôles d'un processus reposent sur le même extrait de données, validez l'extrait une fois plutôt que séparément pour chaque contrôle.

Ce que cela signifie pour les équipes d'audit

Abandonner l’approche IPE traditionnelle ne signifie pas abandonner la validation des données. Cela signifie être stratégique quant à l’endroit et à la manière dont l’effort de validation est appliqué. Concentrez-vous sur les systèmes et les flux de données qui présentent le plus grand risque. Tirez parti des ITGC et des contrôles automatisés pour fournir une assurance sur les résultats du système.

Les outils d'audit modernes peuvent prendre en charge cette transition en maintenant des liens directs entre les données sources et les feuilles de travail, réduisant ainsi le besoin de validation manuelle. Des plates-formes telles que Blast Audit, qui extraient et font correspondre les données au sein de Excel, créent des liens traçables entre les preuves et les conclusions qui réduisent le recours à la documentation IPE autonome.

L’objectif est de réorienter les efforts de la documentation de faible valeur vers une analyse de plus grande valeur, rendant ainsi le processus de conformité SOX à la fois plus efficace et plus efficace.