7053 Évaluation des résultats des procédures de confirmation externe

juin-2021

Directives du BVG

Pour toutes les réponses aux demandes de confirmation, quel que soit le format, l’auditeur détermine s’il existe des signes indiquant que la réponse pourrait ne pas être fiable, par exemple :

• confirmation bancaire ne portant pas le sceau officiel de la banque;
• documents électroniques qui ne sont pas dans un format PDF inaltérable;
• nom du détenteur du compte sur la confirmation bancaire ne correspondant pas au nom de l’entité;
• renseignements sur la source de la télécopie ou de l’adresse courriel ne correspondant pas aux attentes;
• confirmation livrée en mains propres.

Voir aussi la section BVG Audit 1051 pour d’autres considérations relatives à la fiabilité des éléments probants.

Il faut être attentif au risque plus élevé de réponse mensongère à une demande de confirmation, plus particulièrement lorsque la demande de confirmation externe constitue une source importante d’éléments probants à l’égard d’un poste important des états financiers. Il faut prendre en considération ce qui suit :

• les circonstances dans lesquelles le processus de confirmation est exécuté. La confirmation est remise en mains propres.

• par exemple, il peut y avoir un plus grand risque de collusion entre la direction et le tiers qui donne la confirmation lorsque l’entité éprouve des difficultés, comme une incertitude quant à la capacité de l’entité de poursuivre ses activités;

• les caractéristiques propres au tiers, plus particulièrement son indépendance, son objectivité, sa motivation et s’il a l’autorité nécessaire pour répondre. Par exemple, l’étendue de l’influence exercée par l’entité et la direction sur le tiers sera plus grande si ce dernier est lié à l’entité ou est en situation de dépendance économique envers l’entité;

• la nature des informations demandées. Par exemple, lorsqu’une demande de confirmation sur des actifs, comme des valeurs mobilières, est adressée à un tiers qui est à la fois le dépositaire et le gestionnaire des placements, le fait que la séparation des tâches entre ces deux fonctions ne soit pas adéquate peut donner lieu à un facteur de risque de fraude.

Les confirmations électroniques (p. ex. celles reçues par courriel ou par télécopieur) présentent des risques accrus d’interception et de modification ainsi que des risques liés à la preuve de l’origine. Voici quelques exemples de tels risques lorsqu’une confirmation est reçue par courriel ou par télécopieur :

• Une personne, comme un pirate informatique, peut intercepter la réponse de confirmation avant qu’elle ne soit reçue par l’auditeur et la modifier avant de l’envoyer à l’auditeur.

• La confirmation peut être mensongère parce qu’elle provient d’une source autre que l’expéditeur présumé. Par exemple, un employé d’un client peut trouver un moyen de modifier des courriels à partir de son propre ordinateur de façon à ce qu’ils semblent avoir été envoyés par le tiers.

En fonction du mode de réception d’une réponse de confirmation, l’auditeur tient compte des éléments suivants pour déterminer les procédures supplémentaires à mettre en œuvre au moment d’évaluer la fiabilité / l’authenticité d’une réponse de confirmation :

• Il faut privilégier les confirmations originales signées directement par le tiers à qui la demande a été adressée, car une copie papier constitue le format le plus efficace pour détecter des signes indiquant que la confirmation n’est peut-être pas fiable (par exemple, lorsque le tiers utilise des timbres, des sceaux ou des cachets officiels). Bien qu’il puisse être plus facile d’évaluer la fiabilité d’une confirmation papier, il faut rester attentif aux éventuels signes indiquant qu’elle a été modifiée ou qu’elle n’est pas authentique.

• Lorsqu’une réponse de confirmation est reçue par voie électronique au moyen d’un logiciel de certification conçu pour prendre en charge le processus de confirmation externe qui crée un environnement sécurisé pour recevoir les confirmations de tiers, les risques d’interception/de modification et ceux liés à la preuve de l’origine de la réponse sont atténués. Cependant, il faut tout de même examiner la réponse électronique reçue au moyen du logiciel (y compris toute pièce jointe à la réponse) afin de déterminer s’il y a des signes indiquant qu’elle pourrait ne pas être fiable.

• Lorsqu’il n’est pas possible d’obtenir une confirmation originale signée ou d’utiliser le type d’outil décrit ci-dessus et que les confirmations sont transmises par voie électronique (p. ex. courriel ou télécopieur), il faut vérifier l’identité du tiers à qui la demande a été adressée et la validité des renseignements, et noter dans le document de travail les raisons pour lesquelles l’auditeur est satisfait, y compris la façon dont il s’est assuré que les risques d’interception et de modification et ceux liés à la preuve de l’origine ont été contrés. Il faut rester attentif aux signes possibles de réponses mensongères. Par exemple, si un grand nombre de confirmations sont reçues par courriel ou par télécopieur au même moment ou si elles proviennent de différents tiers, mais envoyées par ce qui semble être la même source. Lorsque l’auditeur n’est pas en mesure d’effectuer des procédures pour obtenir l’assurance que ces risques ont été contrés ou lorsque des doutes subsistent quant à la validité de la réponse, il doit vérifier la réponse fournie par voie électronique ou par télécopieur en communiquant avec le tiers visé et documenter la communication dans le document de travail.

S’il a toujours un doute concernant l’authenticité d’une réponse, l’auditeur doit prendre les mesures nécessaires pour répondre à toute préoccupation. Voici certaines mesures pouvant être prises :

• téléphoner au tiers ayant répondu à la demande de confirmation afin de confirmer les informations fournies dans la réponse;

• lorsqu’il y a des doutes sur le niveau d’autorité ou la pertinence du choix du tiers qui a répondu à la demande de confirmation, téléphoner à son superviseur afin de vérifier si le tiers en question est objectif et compétent, s’il connaît le domaine et s’il a l’autorité nécessaire pour répondre;

• faire un suivi supplémentaire dans le cas de confirmations transmises par voie électronique.

Il n’est peut-être pas nécessaire d’effectuer un appel téléphonique si un fournisseur de services ayant produit une confirmation électronique de tiers a fourni des éléments de preuve suffisants sur l’efficacité de la technique appliquée pour valider l’identité de la personne qui a envoyé l’information.

Si un appel téléphonique est jugé nécessaire, les renseignements recueillis concernant l’appel devraient comprendre :

• le nom de la personne contactée;

• le nom de la personne qui a préparé la confirmation;

• notre évaluation faite à partir de l’appel téléphonique de l’existence ou non d’indications que le tiers qui a répondu puisse ne pas être indépendante, compétente, expérimentée ou autorisée à répondre;

• une déclaration confirmant que les renseignements de la confirmation n’ont fait l’objet d’aucun changement depuis la date à laquelle elle a été envoyée à l’auditeur;

• une vérification de certaines informations importantes concernant le client qui sont contenues dans la réponse (par exemple, le rapport contient XX éléments, soldes de compte, conditions particulières);

• une déclaration confirmant que la source et le contenu de la réponse ont été vérifiés et que la réponse a été reçue d’une personne autorisée.

Restrictions

Lors de l’examen des réponses, l’auditeur peut constater que le tiers a inclus des clauses d’exonération ou de restriction telles que :

• que l’information a été obtenue à partir de sources de données électroniques pouvant ne pas contenir tous les renseignements dont dispose la personne ayant préparé la réponse;

• qu’il n’existe aucune garantie que l’information est exacte et à jour, et qu’elle pourrait n’être que l’expression d’une opinion;

• que l’information est fournie à titre gracieux sans obligation et sans responsabilité ni garantie expresse ou implicite;

• que le destinataire ne peut se fier aux données contenues dans la confirmation.

Il pourrait être nécessaire d’examiner la nature et le fond des restrictions si elles concernent une assertion soumise à l’examen au moyen d’une confirmation externe. Il pourrait être nécessaire également d’entamer des procédures supplémentaires pour obtenir suffisamment d’éléments probants. Nous ne sommes pas tenus de porter un jugement quant à la portée juridique des restrictions, mais il peut être nécessaire de consulter les Services d’audit, le cas échéant, pour déterminer l’incidence de ces restrictions sur la fiabilité de la réponse de confirmation en tant qu’élément probant.

Directives connexes

Consulter la section BVG Audit 7054 pour connaître les directives relatives aux confirmations électroniques liées au recours à un tiers fournisseur de services.

Directives du BVG

Les procédures de remplacement doivent concerner les assertions visées par la demande de confirmation, afin que l’on puisse obtenir une quantité suffisante d’éléments probants.

Les circonstances suivantes peuvent indiquer l’existence d’un risque d’anomalies significatives résultant de fraudes :

• un changement important dans le nombre ou la rapidité des réponses aux demandes de confirmation par rapport aux audits antérieurs;

• une non-réponse alors qu’une réponse était prévue.

Dans ce cas, il peut être nécessaire que l’auditeur révise l’évaluation du risque d’anomalies significatives au niveau des assertions, et modifie les procédures d’audit prévues.

Il convient également de déterminer si les non-réponses indiquent qu’il existe un risque d’anomalies significatives plus élevé et d’évaluer les raisons pour lesquelles des confirmations n’ont pas été fournies. Si des risques particuliers sont détectés, il pourrait être nécessaire d’entamer des procédures différentes ou plus rigoureuses.

Directives connexes

Se reporter aux directives sur les modifications apportées à l’opinion d’audit, à la section BVG Audit 8013.

Se reporter aux procédures de remplacement concernant les confirmations de créances, à la section BVG Audit 7055.

Se reporter aux directives concernant la détermination et l’évaluation des risques de fraude, aux sections BVG Audit 5505 et BVG Audit 5506.

Directives du BVG

Dans le cadre de nos activités de planification liées aux confirmations, il est recommandé de déterminer à l’avance quels types de divergences sont susceptibles d’indiquer l’existence d’une anomalie.

Directives connexes

Se reporter aux directives concernant la détermination et l’évaluation des risques de fraude, aux sections BVG Audit 5505 et BVG Audit 5506.

Directives du BVG

Lorsque l’on juge que le processus de confirmation et les autres procédures de remplacement ne permettent pas d’obtenir suffisamment d’éléments probants appropriés concernant une assertion, on conçoit et on applique des procédures supplémentaires afin d’obtenir les éléments probants nécessaires.

Durant le processus de prise de décision, il faut examiner :

• la fiabilité des confirmations et des procédures de remplacement;

• la nature et la fréquence de toute divergence, y compris les incidences, tant quantitatives que qualitatives, qu’ont ces divergences;

• les éléments probants obtenus grâce aux autres procédures.

Selon cette évaluation, on doit déterminer s’il est nécessaire d’entamer des procédures d’audit supplémentaires pour obtenir une quantité suffisante d’éléments probants.

Il faut aussi déterminer si, dans les circonstances, il est justifié d’engager des discussions avec le responsable de la mission et de traiter la situation comme une question d’importance, et peut-être même d’en faire part aux responsables de la gouvernance.