5035.1 Identification des contrôles qui répondent aux risques d’anomalies significatives au niveau des assertions

sept.-2022

Directives du BVG

Comme l’explique la section BVG Audit 5031, l’acquisition d’une compréhension du système de contrôle interne de l’entité permet à l’auditeur d’identifier et d’évaluer les risques d’anomalies significatives propres à l’entité et facilite l’élaboration de réponses d’audit qui atténuent de façon efficace et efficiente les risques d’anomalies significatives identifiés. L’une des composantes du système de contrôle interne de l’entité que l’auditeur doit comprendre est la composante « activités de contrôle ». Comme l’indique le paragraphe A147 de la NCA 315, cette composante englobe les contrôles – directs et indirects – conçus pour assurer le respect des politiques dans toutes les autres composantes du système de contrôle interne de l’entité. Lors de l’acquisition d’une compréhension de la composante « activités de contrôle » l’auditeur doit chercher à identifier les contrôles qui répondent aux risques d’anomalies significatives au niveau des assertions. Les directives détaillées sur les types de contrôles qui se rattachent généralement à la composante « activités de contrôle » sont présentées ci‑dessous dans la sous‑section « Contrôles visant à répondre aux risques d’anomalies significatives au niveau des assertions ».

Ce ne sont pas tous les contrôles relevés dans le cadre d’un audit qui se rattachent à la composante « activités de contrôle » du système de contrôle interne de l’entité soumise à l’évaluation de la conception et de la mise en place. La relation entre les contrôles que l’entité a conçus et ceux que l’auditeur identifiera dans la composante « activités de contrôle » est décrite dans le diagramme ci‑après :

Diagramme grandeur réelle

Afin d’assurer le bon fonctionnement de ses activités, l’entité met en place divers contrôles, appelés les « contrôles de l’entité » dans le diagramme ci‑dessus. Ces contrôles répondent habituellement à divers risques opérationnels et d’entreprise. Certains de ces contrôles ne visent pas à répondre aux risques d’anomalies significatives au niveau des états financiers de l’entité. Lors de la planification et de la réalisation de l’audit, l’auditeur se concentre sur les risques d’anomalies significatives au niveau des états financiers et des assertions et sur le sous‑ensemble de contrôles de l’entité qui répondent à ces risques. Ce sous‑ensemble de contrôles est appelé « contrôles pertinents pour la préparation des états financiers » dans le diagramme ci‑dessus. L’auditeur identifie habituellement de tels contrôles lorsqu’il acquiert une compréhension des composantes du système de contrôle interne de l’entité, particulièrement lorsqu’il obtient une compréhension du flux des opérations et des processus opérationnels se rattachant à la composante « système d’information et communications ». Voir la section BVG Audit 5034 pour des directives complémentaires sur la compréhension des activités de traitement de l’information dans le cadre des processus opérationnels.

L’auditeur recense les contrôles qui répondent aux risques d’anomalies significatives au niveau des assertions et qui se rattachent à la composante « activités de contrôle » conformément à l’alinéa 26a) de la NCA 315. Ce sont ces contrôles qui sont assujettis à une évaluation de la conception et de la mise en place. Comme il est expliqué dans la sous‑section « Contrôles visant à répondre aux risques d’anomalies significatives au niveau des assertions », en plus de ces contrôles, d’autres contrôles devraient être inclus dans ce sous ensemble conformément à des exigences de NCA autres que la NCA 315. Voir la section BVG Audit 5035.5 pour obtenir des directives complémentaires sur l’évaluation de la conception et de la mise en place. Le dernier sous ensemble de contrôles présenté sur le diagramme comprend les contrôles sur lesquels l’auditeur prévoit s’appuyer pour obtenir des éléments probants. Ces contrôles seraient donc sélectionnés pour les tests sur l’efficacité du fonctionnement. Pour obtenir des directives complémentaires sur ces contrôles, voir la sous‑section « Contrôles sélectionnés pour les tests de l’efficacité du fonctionnement » ci‑après.

Le tableau suivant résume les éléments probants attendus pour chacun des sous‑ensembles de contrôle mentionnés ci‑dessus :

Lorsqu’il met en œuvre les procédures d’audit prévues pour le sous‑ensemble de contrôles individuel, l’auditeur doit se rappeler que les concepts de la conception et de la mise en place ne sont pas les mêmes que le concept de l’efficacité du fonctionnement d’un contrôle interne. Chaque concept est défini ci‑après :

• Conception : L’évaluation de l’efficacité de la conception de contrôles se rattachant à la composante « activités de contrôles » vise à déterminer si ces contrôles peuvent prévenir ou détecter et corriger en temps opportun une anomalie significative, résultant d’une erreur ou d’une fraude, dans les états financiers.

• Mise en place : D’après la compréhension acquise sur le contrôle et son jugement professionnel, l’auditeur valide, au moyen de procédures d’inspection, d’observation ou de réexécution, au moins une instance du contrôle, pour obtenir des éléments probants attestant du fait que l’entité a mis le contrôle en place comme il a été conçu. L’auditeur pourrait également retracer une opération tout au long d’un processus opérationnel pour obtenir des éléments probants montrant que le contrôle a été mis en place tel qu’il a été conçu.

Efficacité du fonctionnement : Pour tester l’efficacité du fonctionnement d’un contrôle, il faut tester son fonctionnement au fil du temps au cours d’une période d’audit pour déterminer s’il fonctionne tel qu’il a été conçu. Si l’auditeur prévoit s’appuyer sur le contrôle, il doit tester un échantillon approprié d’instances du fonctionnement du contrôle au cours de la période d’audit. Voir la section BVG Audit 6053 pour obtenir des directives sur les tailles d’échantillon à utiliser pour les tests de l’efficacité du fonctionnement d’un contrôle.

Directives du BVG

Dans le cadre de l’acquisition d’une compréhension suffisante des systèmes d’information de l’entité et des processus opérationnels connexes pertinents pour l’information financière, l’auditeur obtient habituellement une compréhension des contrôles dont sont pourvus les processus et sous‑processus opérationnels. L’auditeur se concentre sur les contrôles qui, individuellement ou en association avec d’autres, sont susceptibles de prévenir ou de détecter et corriger en temps opportun, des anomalies significatives dans les états financiers. Au moment de déterminer si les contrôles permettront de prévenir ou de détecter des anomalies résultant à la fois d’erreurs et de fraudes, l’auditeur examine leur relation avec les assertions des états financiers pertinentes.

L’alinéa 26a) de la NCA 315 exige de l’auditeur qu’il comprenne, notamment en réalisant une évaluation de leur conception et de leur mise en place, les contrôles visant à répondre aux risques d’anomalies significatives au niveau des assertions se rattachant à la composante « activités de contrôle », c’est à‑dire :

• les contrôles visant à répondre aux risques identifiés comme des risques importants;

• les contrôles afférents aux écritures de journal, y compris les écritures non courantes servant à constater les opérations ou ajustements non récurrents ou inhabituels;

• les contrôles dont l’auditeur prévoit de tester l’efficacité du fonctionnement, y compris les contrôles visant à répondre aux risques pour lesquels les procédures de corroboration ne peuvent fournir à elles seules des éléments probants suffisants et appropriés;

• les autres contrôles qui, selon le jugement de l’auditeur, sont appropriés pour permettre à celui‑ci d’identifier les contrôles, d’évaluer leur conception et de déterminer s’ils ont été mis en place, qui peuvent comprendre :

  • les contrôles visant à répondre aux risques dont l’évaluation se situe dans la partie supérieure de l’échelle de risque inhérent, mais qui ne sont pas identifiés comme des risques importants (c.‑à‑d. des risques élevés);
  • les contrôles liés au rapprochement entre les documents comptables détaillés et le grand livre général;
  • les contrôles complémentaires de l’entité utilisatrice, si l’entité fait appel à une société de services.

Lorsqu’il identifie les contrôles pertinents pour la préparation des états financiers, l’auditeur doit, aux termes de diverses NCA, comprendre les contrôles dans les divers secteurs suivants :

1. les contrôles se rattachant à la composante « activités de contrôles » liés au processus suivi par la direction pour élaborer des estimations comptables (voir la section BVG Audit 7073.1; NCA 540.13i);

2. les contrôles que, le cas échéant, la direction a mis en place pour identifier, comptabiliser et communiquer les relations et opérations avec les parties liées ou autoriser et approuver les opérations qui sortent du cadre normal des activités de l’entité (voir la section BVG Audit 7532; NCA 550.14);

3. les contrôles se rattachant à la composante « activités de contrôles » au sein de l’entité utilisatrice qui ont rapport aux prestations fournies par la société de services, y compris ceux auxquels sont soumises les opérations traitées par la société de services (voir la section BVG Audit 6042; NCA 402.10);

4. Pour les audits du groupe, les contrôles à l’échelle du groupe conçus, mis en place et maintenus par la direction du groupe liés à l’information financière du groupe (voir la section BVG Audit 2332; NCA 600.17).

S’il est déterminé, après avoir acquis une compréhension d’un contrôle, que celui‑ci se rattache à la composante « activités de contrôle », l’auditeur est tenu d’évaluer l’efficacité de sa conception et de déterminer s’il a été mis en place, comme il est décrit à la section BVG Audit 5035.5. Inversement, s’il est déterminé, après avoir acquis une compréhension d’un contrôle, que celui ci ne se rattache pas à la composante « activités de contrôle », l’auditeur n’est pas tenu d’évaluer l’efficacité de son fonctionnement ou de déterminer s’il a été mis en place comme prévu.

Directives du BVG

Analyses de la performance de l’entité

Les analyses de la performance de l’entité peuvent être des contrôles indirects au niveau de l’entité (CINE), se rattachant habituellement au processus de suivi du système de contrôle interne par l’entité, ou des contrôles directs au niveau de l’entité (CDNE), se rattachant habituellement à la composante « activités de contrôle » du système de contrôle interne de l’entité.

Bien que leurs objectifs puissent se croiser, il y a une différence importante entre les analyses de la performance de l’entité, qui sont un type d’activité de contrôle, et le suivi des contrôles. Le suivi des contrôles vise à évaluer l’efficacité du fonctionnement des contrôles internes, tandis que les analyses de la performance visent à déterminer si certains objectifs mesurables (financiers ou non financiers) sont atteints (p. ex. si l’entité a respecté son budget). Dans certains cas, les analyses de la performance peuvent aussi fournir des informations qui permettent à la direction d’identifier des déficiences du contrôle interne. Même si les contrôles comme ceux visant à surveiller l’activité d’un super‑utilisateur comprennent des activités de suivi ils sont considérés comme des contrôles généraux informatiques et non des analyses de la performance.

Des analyses de la performance dont la conception, la mise en place et le fonctionnement sont efficaces peuvent présenter un degré de précision suffisant pour prévenir adéquatement, ou détecter et corriger en temps opportun, les anomalies significatives relatives à une ou plusieurs assertions pertinentes contenues dans les postes des états financiers. Les tests de l’efficacité du fonctionnement des analyses de la performance qui fonctionnent avec un degré de précision qui, en lui‑même, permettrait de prévenir ou de détecter une anomalie significative en temps opportun, permettront souvent à l’auditeur de réduire le nombre de contrôles du traitement de l’information qu’il devrait, autrement, tester. L’auditeur pourrait pouvoir s’appuyer sur les analyses de la performance conçues pour prévenir, ou détecter et corriger, en temps opportun, une anomalie significative qui pourrait survenir lorsque des contrôles du traitement de l’information sont absents ou déficients.

Il importe de ne pas commencer à tester l’efficacité du fonctionnement de tout contrôle, y compris d’une analyse de la performance, jusqu’à ce que l’efficacité de sa conception ait d’abord été évaluée. Il est important que l’entité soit en mesure de décrire la conception du contrôle en fournissant des informations suffisamment détaillées pour permettre à l’auditeur d’effectuer l’évaluation requise et de documenter le fondement de sa conclusion quant à l’efficacité du fonctionnement de l’analyse de la performance. Selon l’importance du contrôle, le fait de se contenter d’expliquer ou d’évaluer la conception d’un contrôle de la manière suivante : « Jeanne Tremblay, contrôleuse, examine et approuve l’ensemble d’informations aux fins de la préparation du rapport du groupe », ou « le contrôleur de la division effectue une analyse des écarts » ne donne pas d’informations suffisamment détaillées concernant les contrôles exécutés et donc ne fournit pas les informations requises pour que l’auditeur puisse évaluer si le contrôle est conçu d’une manière qui est susceptible de prévenir, ou de détecter et de corriger, en temps opportun, une anomalie significative. En plus de la description détaillée des activités effectuées, il est important de comprendre les mesures prises lorsque des écarts potentiels ou d’autres anomalies du fonctionnement sont identifiés et de connaître le niveau d’écart ou d’anomalie qui déclenchera la nécessité de réaliser d’autres enquêtes et/ou d’apporter des correctifs (c’est à dire le niveau de précision avec lequel le contrôle est censé fonctionner).

La première chose qu’un auditeur doit faire avant de déterminer s’il peut utiliser une analyse de la performance dans le cadre de son audit est d’évaluer l’efficacité de sa conception. Les attributs qui peuvent être pertinents pour l’évaluation de l’efficacité de la conception d’une analyse de la performance comprennent ceux qui doivent être considérés pour d’autres types de contrôle, comme il a été mentionné dans la sous‑section « Aperçu » ci‑dessus, ainsi que d’autres facteurs propres aux analyses de la performance.

Le tableau ci‑après présente un sommaire des attributs à prendre en compte au moment d’évaluer la conception et la mise en place d’une analyse de la performance :

• l’objectif ou les objectifs du contrôle;

• le ou les composantes de l’entité (individuellement ou consolidées) visées par le contrôle à évaluer;

• le ou les comptes de la composante ou des composantes visées par le contrôle;

• l’autorité et la compétence de la personne qui effectue le contrôle;

• la fréquence du contrôle;

• les procédures spécifiques mises en œuvre et le degré de précision et les activités de contrôle connexes (p. ex. un processus comporte des activités et des sous‑processus qui ne sont probablement pas tous des contrôles se rattachant à la composante « activités de contrôle »);

• la fiabilité des données utilisées lors de l’exécution du contrôle et sa source;

• les éléments probants disponibles pour confirmer que le contrôle fonctionne comme prévu.

1. Le ou les objectifs du contrôle

2. Le ou les composantes de l’entité (individuellement ou consolidées) visées par le contrôle à évaluer

3. Le ou les comptes de la composante ou des composantes visées par le contrôle;

4. L’autorité et la compétence de la personne qui effectue le contrôle

5. La fréquence du contrôle

6. Les procédures spécifiques mises en œuvre et le degré de précision et les activités de contrôle connexes (p. ex. un processus comporte des activités et des sous-processus qui ne sont probablement pas tous des contrôles se rattachant à la composante « activités de contrôle »)

7. La fiabilité des données utilisées lors de l’exécution du contrôle et sa source (dépendance aux TI)

8. Les éléments probants disponibles pour confirmer que le contrôle fonctionne comme prévu

Même si le tableau qui précède met l’accent sur des facteurs précis qui peuvent influer sur l’examen de l’efficacité de la conception des analyses de la performance, ces facteurs peuvent aussi être pertinents pour l’évaluation de d’autres types de contrôle d’examen (p. ex. les contrôles visant la revue des écritures de journal soumises, les feuilles de calcul ou les méthodes, hypothèses ou données utilisées pour élaborer des estimations).

L’auditeur examine les facteurs pertinents dans le cadre de son évaluation de la conception et de la mise en place du contrôle. Lorsqu’il évalue la conception d’une analyse de la performance, l’auditeur doit aussi déterminer si le contrôle est susceptible d’atteindre les objectifs établis s’il est systématiquement appliqué. Pour ce faire, il doit notamment tenir compte des facteurs pertinents suivants :

• L’objectif ou les objectifs du contrôle peuvent‑ils être atteints?
• A-t‑il été prouvé par le passé que le contrôle fonctionne de manière efficace? Qu’est‑ce qui le prouve?
• Le contrôle a‑t‑il déjà échoué à prévenir ou à détecter des anomalies pour lesquelles il avait été conçu?
• Y a-t‑il d’autres contrôles (de supervision ou autre) conçus pour surveiller l’efficacité du contrôle?
• Y a-t‑il d’autres contrôles qui fonctionnent avec ce contrôle pour atteindre l’objectif ou les objectifs établis?

Directives du BVG

Lorsque l’auditeur sélectionne les contrôles pour les tests de l’efficacité du fonctionnement, il s’intéresse uniquement aux contrôles conçus pour prévenir ou détecter en temps opportun les anomalies significatives, individuellement ou collectivement, pour une assertion pertinente. Les contrôles sélectionnés pour les tests de l’efficacité du fonctionnement sont généralement des contrôles qui permettent d’obtenir les moyens les plus efficaces ou efficients d’obtenir les éléments probants relativement à une ou plusieurs assertions pertinentes contenues dans un ou plusieurs postes des états financiers. Comme il est expliqué dans la sous‑section « Aperçu » ci‑dessus, ces contrôles, communément appelés « contrôles sélectionnés » forment un sous groupe de contrôles assujettis à l’évaluation de la conception et de la mise en place qui sont eux‑mêmes un sous groupe des contrôles pertinents pour la préparation des états financiers.

L’identification et la sélection des contrôles à tester nécessitent l’exercice du jugement. Par exemple, il n’est pas nécessaire de tester les contrôles qui :

a. ne répondent pas au risque identifié;

b. répondent au risque identifié, mais pour lequel l’auditeur a d’autres sources d’éléments probants (p. ex. d’autres contrôles ou des éléments probants de corroboration) qui sont un moyen plus efficace et efficient d’obtenir des éléments probants suffisants.

Exemple :

Il existe un risque d’anomalies significatives lié aux achats et créditeurs du fait que les achats pourraient ne pas être autorisés de manière appropriée.

L’auditeur identifie deux contrôles lors d’un test de cheminement pour l’aider à comprendre le processus opérationnel bout en bout des achats et créditeurs :

• Le contrôle A est un contrôle automatisé qui requiert l’approbation d’un superviseur avant qu’un article puisse être demandé pour l’achat (c’est‑à‑dire avant qu’un bon de commande ne puisse être traité).

• Le contrôle B est un contrôle manuel exécuté par le directeur du service des achats qui consiste à vérifier que toutes les demandes d’achat d’articles sont soumises aux fournisseurs autorisés, que les autorisations appropriées ont été obtenues (le même risque que celui traité par le contrôle A) et que les coordonnées bancaires pour le paiement n’ont pas changé.

Dans ce cas, en partant du principe que le contrôle B est conçu et mis en place pour répondre à ce risque d’anomalies significatives, l’auditeur planifierait vraisemblablement de tester l’efficacité du fonctionnement du contrôle B. Il ne serait pas nécessaire de tester le contrôle A, car un niveau suffisant de confiance dans les contrôles peut être obtenu grâce au fonctionnement efficace du contrôle B tout au long de la période d’audit.

Ce ne sont pas tous les contrôles assujettis à une évaluation de la conception et de la mise en place qui seront sélectionnés pour des tests de l’efficacité du fonctionnement. Par exemple, même si l’auditeur est tenu d’évaluer la conception et la mise en place d’un contrôle répondant aux assertions pertinentes associées à un risque important, il ne sélectionnerait pas nécessairement ce contrôle aux fins de la réalisation d’un test de l’efficacité du fonctionnement s’il conclut qu’il peut obtenir des éléments probants suffisants et appropriés en mettant en œuvre des procédures de corroboration. Un contrôle sélectionné est donc un contrôle sur lequel l’auditeur prévoit s’appuyer pour tester l’efficacité du fonctionnement, car :

• le contrôle est un moyen efficace de recueillir des éléments probants pour répondre au risque évalué d’anomalies significatives au niveau des assertions;

• le contrôle en question a été conçu et fonctionne à un niveau de précision approprié;

• le contrôle répond au risque identifié d’anomalies significatives résultant d’une erreur ou d’une fraude;

• il est efficace de tester ce contrôle pour obtenir le niveau prévu d’appui sur les contrôles.

Lors de la sélection des contrôles pour les tests de l’efficacité du fonctionnement, l’auditeur doit d’abord considérer s’il peut s’appuyer sur les contrôles directs au niveau de l’entité, puisqu’ils sont souvent conçus pour couvrir de multiples assertions liées à un poste des états financiers, à condition que le contrôle soit conçu pour fonctionner à un niveau de précision suffisant. La section BVG Audit 6051 fournit des directives complémentaires sur la sélection des contrôles à tester.

Au moment de sélectionner les contrôles pour les tests de l’efficacité du fonctionnement, l’auditeur peut suivre l’approche suivante qui résume l’approche pratique des directives fournies ci‑dessus :

• L’auditeur doit obtenir une compréhension des contrôles de l’entité pertinents pour la préparation des états financiers lorsqu’il met en œuvre des procédures visant à comprendre et à évaluer le système de contrôle interne de l’entité.

• Une fois que l’auditeur a acquis une compréhension de l’entité et de son environnement, ainsi que du système de contrôle interne de l’entité, et qu’il a déterminé les catégories d’opérations importantes, les soldes de comptes importants et les informations à fournir importantes, ainsi que les assertions pertinentes, il doit identifier les contrôles au niveau de l’entité et les contrôles du traitement de l’information qui répondent aux risques identifiés d’anomalies significatives au niveau des assertions. Puis, il sélectionne les contrôles qui, selon lui, constituent un moyen efficace et efficient d’obtenir des éléments probants à l’égard des risques d’anomalies significatives au niveau des assertions qui ont été recensés.

• Dans le cas des contrôles sélectionnés pour les tests de l’efficacité du fonctionnement, l’auditeur doit déterminer si les contrôles directs au niveau de l’entité sont conçus efficacement et s’ils sont suffisamment précis pour prévenir, ou détecter et corriger en temps opportun, les risques identifiés d’anomalies significatives au niveau des assertions. Une analyse de la performance est un exemple de ce type de contrôle. Le niveau d’assurance découlant d’un test de l’efficacité du fonctionnement d’une analyse de la performance dépend de nombreux facteurs – voir la sous‑section précédente « Compréhension et évaluation des contrôles d’analyse de la performance » pour obtenir des directives complémentaires.

• L’auditeur doit examiner le niveau d’éléments probants obtenus dans le cadre des tests des contrôles directs au niveau de l’entité et déterminer s’il doit obtenir d’autres éléments probants sur les contrôles relatifs aux assertions pertinentes (p. ex. si le contrôle au niveau de l’entité ne fonctionne pas à un niveau de précision suffisant, l’auditeur doit penser à tester aussi les contrôles du traitement de l’information).

• Les contrôles directs au niveau de l’entité et les contrôles du traitement de l’information sélectionnés pour les tests de l’efficacité du fonctionnement sont tous les deux assujettis à une évaluation de la conception et de la mise en œuvre conformément aux exigences de l’alinéa 26d) de la NCA 315.

Dans le cas d’un audit récurrent où l’auditeur s’est appuyé sur les contrôles pour les audits antérieurs, il peut être efficace et efficient de tester l’efficacité du fonctionnement de ces contrôles lors de la mise à jour de l’évaluation de leur conception et de leur mise en place. Puisque les procédures d’évaluation de la conception et de la mise en place des contrôles et les tests de l’efficacité du fonctionnement ont deux objectifs différents, il est important que la documentation de ces procédures reflète les éléments probants à l’appui des travaux d’audit réalisés pour répondre à chacun de ces objectifs. Si les procédures sont mises en œuvre simultanément avant la fin de la période, il faut envisager d’exécuter des tests de mise à jour de l’efficacité du fonctionnement de ces contrôles (voir la section BVG Audit 6055 pour obtenir des directives sur les tests de mise à jour des contrôles).

Directives du BVG

L’auditeur évalue au début de l’audit si les contrôles directs au niveau de l’entité (CDNE) sont conçus efficacement, notamment s’ils ont un degré de précision suffisant pour répondre aux risques d’anomalies significatives au niveau des assertions, parce que le résultat de cette évaluation est une considération importante dans le cadre du processus de planification de l’audit. L’accent mis sur les contrôles importants pour la prévention et la détection des anomalies significatives dans les états financiers résultant d’une erreur ou d’une fraude, y compris les contrôles portant sur le risque de contournement des contrôles par la direction (s’il y a lieu), fait partie intégrante de l’examen des contrôles directs au niveau de l’entité. Ces contrôles permettent à l’auditeur de comprendre les contrôles de l’entité sur son information financière; plus les contrôles directs au niveau de l’entité sont précis, plus l’auditeur a besoin d’éléments probants pour tester l’efficacité du fonctionnement tout au long de la période d’audit. L’auditeur pourrait avoir moins de contrôles du traitement de l’information à tester si les contrôles directs au niveau de l’entité sont suffisamment précis pour prévenir ou détecter des anomalies significatives. L’incidence de l’évaluation et des tests des contrôles directs au niveau de l’entité sur la nature, le calendrier et l’étendue des tests des contrôles du traitement de l’information peut grandement varier selon les circonstances propres à l’entité, le poste des états financiers applicable et/ou les assertions pertinentes pour le risque d’anomalies significatives. Voir la section BVG Audit 5040 pour mieux comprendre les assertions pertinentes et la manière dont elles influent sur les procédures d’audit. L’évaluation des contrôles directs au niveau de l’entité et du degré de précision de leur fonctionnement a une incidence sur la nature et l’étendue des tests que l’auditeur peut par ailleurs devoir effectuer sur les contrôles du traitement de l’information.

Le continuum ci‑dessous illustre l’incidence des contrôles au niveau de l’entité et le niveau de précision sur une assertion pertinente relative à un poste important des états financiers :

Diagramme grandeur réelle

À l’extrémité droite du continuum se trouvent les contrôles directs au niveau de l’entité (CDNE) conçus pour atteindre un degré de précision leur permettant par eux‑mêmes de prévenir ou de détecter en temps opportun des anomalies significatives touchant une ou plusieurs assertions pertinentes. Au milieu du continuum se trouvent des contrôles visant à surveiller l’efficacité d’autres contrôles ou des contrôles et procédures conçus pour repérer d’éventuels écarts dans les contrôles du traitement de l’information. À l’extrémité gauche du continuum figurent les contrôles indirects au niveau de l’entité (CINE), par exemple des contrôles appartenant à la composante « environnement de contrôle » qui n’ont pas de lien direct avec une assertion pertinente relative à un poste important des états financiers en particulier et qui, de ce fait, ne permettent pas intrinsèquement de prévenir ou de détecter en temps opportun des anomalies significatives touchant une ou plusieurs assertions pertinentes.

Les contrôles au niveau de l’entité peuvent influer sur la nature, le calendrier et l’étendue des tests des contrôles, quelle que soit leur position dans le continuum. Cependant, grâce aux contrôles au niveau de l’entité ayant un degré de précision leur permettant à intrinsèquement de prévenir ou de détecter en temps opportun une anomalie significative, l’auditeur est souvent en mesure de réduire le nombre et les types de contrôles du traitement de l’information qu’il aurait autrement à tester, de même que l’étendue des tests.

Il convient, pour déterminer la nature, le calendrier et l’étendue des tests visant les contrôles, de tenir compte de l’efficacité des contrôles indirects au niveau de l’entité. Prenons par exemple un contrôle indirect au niveau de l’entité où la direction a mis en œuvre un manuel de politique décrivant les méthodes et les procédures de l’entité en matière de perfectionnement continu des employés et où la direction surveille l’achèvement de la formation requise. Ce type de contrôle pourrait fournir des éléments probants indirects montrant qu’un membre du personnel qui exécute un contrôle lié au rapprochement entre le grand livre auxiliaire des créditeurs et le grand livre général a reçu une formation adéquate. Ces éléments probants obtenus à partir d’un contrôle indirect au niveau de l’entité pourraient permettre à l’auditeur de réduire la nature, le calendrier et l’étendue des tests qu’il doit effectuer sur l’efficacité du fonctionnement de ce contrôle de rapprochement (p. ex. plus d’inspections et moins de réexécution d’instances individuelles des contrôles).

Lorsque le degré de précision avec lequel un contrôle au niveau de l’entité fonctionne se situe près ou en dessous des seuils de signification établis, il y a une plus grande probabilité que le contrôle au niveau de l’entité permette de prévenir ou de détecter par lui‑même une anomalie significative. Par conséquent, il se peut que moins de tests des contrôles au niveau du traitement de l’information ou des applications soient nécessaires. Si un contrôle au niveau de l’entité fonctionne à un degré de précision suffisant pour prévenir ou détecter en temps opportun une anomalie significative et répond aux objectifs de contrôle liés à une ou à plusieurs assertions pertinentes contenues dans les états financiers au sujet d’un poste important des états financiers, il se peut qu’il ne soit pas nécessaire de tester des contrôles additionnels à l’égard de ces mêmes assertions pertinentes, autrement que pour obtenir des éléments probants sur l’efficacité des contrôles liés à l’exhaustivité et à l’exactitude de l’information ou des données utilisées pour le contrôle au niveau de l’entité (c.‑à‑d. les données sous‑jacentes utilisées par la direction pour effectuer des analyses de la performance).

Pour la plupart des entités, les contrôles indirects au niveau de l’entité et les contrôles de suivi de l’efficacité d’autres contrôles sont beaucoup plus fréquents que les contrôles au niveau de l’entité qui sont conçus et qui fonctionnent avec un degré de précision suffisant pour prévenir ou détecter une anomalie significative, qu’elle soit due à une fraude ou à une erreur. Par conséquent, même si, en sélectionnant et en testant des contrôles au niveau de l’entité, l’auditeur peut obtenir des éléments probants de manière efficace et efficiente, dans bien des cas, la présence de contrôles au niveau de l’entité n’entraînera pas l’élimination des tests de contrôle au niveau du traitement de l’information, des applications, des bases de données, du système d’exploitation et des réseaux.