SG Option Europe
Exercice clos le 31 décembre 2023
4
Risque informatique lié aux
¢
activités de marchés
Risque identifié
Notre réponse
Les activités de marchés au sein de votre société constituent
une activité importante, comme l’illustre le poids des
positions nettes d’instruments financiers dérivés au sein du
portefeuille de transaction dans le paragraphe « Opérations
sur instruments financiers à terme » de la note 1 de l’annexe
aux comptes annuels.
Cette activité présente une complexité élevée compte tenu
de la nature des instruments financiers traités, de la
volumétrie des transactions réalisées, et de l’utilisation de
nombreux systèmes informatiques interfacés entre eux.
Le risque de survenance d’une anomalie significative dans
les comptes qui serait liée à un incident dans les chaînes
informatiques utilisées, de l’enregistrement des opérations
jusqu’à leur déversement dans le système comptable, peut
résulter :
de modifications d
•
’informations de gestion et de
nature financière par des personnels non autorisés par
le biais des systèmes d’information ou des bases de
données sous-jacentes ;
d
•
’une défaillance de traitement ou de déversement
entre systèmes ;
d
•
’une interruption de service ou d’un incident
d’exploitation associés ou non à une fraude interne ou
externe.
Par ailleurs, dans un contexte de télétravail généralisé et
d’augmentation des actes malveillants, votre société est
exposée à des risques liés à l’ouverture des systèmes
d’information pour permettre l’accès à distance aux
applications de traitement des opérations.
La maîtrise par votre société des contrôles liés à la gestion
des systèmes d’information est donc essentielle pour la
fiabilité des comptes. Dans ce contexte, le risque
informatique lié aux activités de marchés constitue un point
clé de l’audit.
Notre approche d’audit concernant cette activité s’appuie
sur les contrôles liés à la gestion des systèmes d’information
mis en place par votre société.
En incluant dans notre équipe d’audit des spécialistes en
systèmes d’information, nous avons testé les contrôles
généraux informatiques des applications clés que nous
avons considérées comme clés pour cette activité. Nos
travaux ont notamment consisté à apprécier :
les con
•
trôles mis en place par votre société concernant
les droits d’accès, en particulier aux moments sensibles
d’un parcours professionnel (recrutement, transfert,
démission, fin de contrat) avec, le cas échéant, des
procédures d’audit étendues en cas d’anomalies
identifiées au cours de l’exercice ;
les éventuels accès dits privilégiés aux applicatifs et aux
•
infrastructures ;
la gestion des changements réalisés sur les applications
•
et plus spécifiquement la séparation entre les
environnements de développement et métiers ;
les politiques de sécurité en général et leur
•
déploiement dans les applications informatiques (par
exemple, celles liées aux mots de passe) ;
le traitement des incidents informatiques au cours de
•
la période d’audit ;
la gouvernance et l
•
’environnement de contrôle sur un
échantillon d’applications.
Sur ces mêmes applications, et afin d’évaluer le
déversement des flux d’informations, nous avons testé les
contrôles applicatifs clés relatifs aux interfaces automatisées
entre les systèmes.
Nos tests sur les contrôles généraux informatiques et
applicatifs ont par ailleurs été complétés par des travaux
d’analyses de données concernant certaines applications
informatiques.
Nous avons également procédé à une analyse de la
gouvernance mise en place par votre société pour assurer la
résilience des systèmes d’information face aux risques