Traçabilité des données et rapports d'audit

Lorsque les organisations se préparent à un audit — qu'il soit financier, réglementaire, informatique ou opérationnel —, les données constituent l'une des principales sources d'inquiétude. D'où proviennent-elles ? Qui y a eu accès ? Comment ont-elles été transformées ? Peut-on s'y fier ? Ces questions sont au cœur d'un concept appelé « traçabilité des données ».

Alors, dans les rapports d'audit, demande-t-on des informations sur la traçabilité des données ?

La réponse courte est : oui — parfois de manière explicite, mais presque toujours de manière implicite. Même si les auditeurs n’utilisent pas toujours l’expression exacte « traçabilité des données », ils s’attendent systématiquement à disposer de preuves qui la démontrent. Dans cet article, nous allons examiner ce que cela signifie concrètement, pourquoi les auditeurs y accordent de l’importance, comment la traçabilité s’articule dans différents types d’audits, et comment les organisations peuvent s’y préparer sans surcompliquer leur approche.

Qu'est-ce que la lignée de données ?

La traçabilité des données décrit le parcours complet des données, depuis leur source d'origine, en passant par chaque transformation, chaque système, chaque calcul et chaque transfert, jusqu'à leur destination finale dans les rapports, les tableaux de bord ou les déclarations réglementaires.

Une traçabilité complète des données permet de répondre à des questions telles que :

• D'où proviennent ces données ?
• Quels systèmes l'ont traité ?
• Quelles transformations ou quels calculs ont été effectués ?
• Qui y a eu accès ou y a apporté des modifications ?
• À quelle fréquence les données sont-elles mises à jour ?
• Quels sont les dispositifs de contrôle mis en place pour prévenir les erreurs ou les manipulations ?

Considérez la traçabilité des données comme une chaîne de contrôle traçable pour les données. Tout comme les auditeurs suivent les flux financiers lors d'audits financiers, ils suivent les flux de données lors des audits modernes.

Pourquoi les auditeurs s'intéressent-ils à la traçabilité des données ?

Les audits reposent essentiellement sur la confiance et l'assurance. Les auditeurs ne se contentent pas de vérifier des chiffres ; ils vérifient les processus qui ont permis d'obtenir ces chiffres. La traçabilité des données apporte cette assurance de plusieurs manières essentielles.

1. Vérification de l'exactitude

Les auditeurs doivent s'assurer que les chiffres communiqués sont exacts et complets. En l'absence de traçabilité, il est impossible de vérifier si les données :

• Extrait de la source appropriée
• Converti correctement
• Agrégé sans erreur
• Exclu ou inclus à tort

La traçabilité permet aux auditeurs de « remonter la piste des données » depuis le rapport final jusqu'à la source d'origine.

2. Évaluation de l'efficacité des contrôles

Les contrôles internes relatifs aux données sont tout aussi importants que ceux portant sur les finances. Les auditeurs vérifient si :

• Les modifications apportées aux données sont autorisées.
• Les transformations sont documentées et reproductibles.
• Les erreurs peuvent être détectées et corrigées.
• Les interventions manuelles sont contrôlées.

Une traçabilité claire des données démontre que des contrôles sont en place et qu'ils fonctionnent.

3. Favoriser la traçabilité et la reproductibilité

Les auditeurs posent souvent la question suivante : « Sinous recommencions ce processus, obtiendrions-nous le même résultat ?»

La traçabilité des données favorise la reproductibilité en documentant :

• Sources des données.
• Logique de traitement.
• Dépendances entre les systèmes.

Sans filiation, les résultats peuvent paraître arbitraires ou invérifiables.

Les rapports d'audit mentionnent-ils explicitement la « traçabilité des données » ?

Parfois oui… mais le plus souvent, ils posent des questions auxquelles il faut retracer la traçabilité des données pour y répondre.

Les auditeurs peuvent demander :

• Mappages « de la source au rapport ».
• Diagrammes de flux de données.
• Schémas d'architecture du système.
• Logique de transformation ou règles métier.
• Preuves de l'existence de contrôles de validation des données.
• Rapprochements entre les systèmes.

Il s'agit là d'éléments liés à la lignée, même si le mot « lignée » n'apparaît jamais dans la liste de contrôle d'audit.

Dans les environnements réglementaires bien établis, cependant, la notion de « traçabilité des données » est de plus en plus clairement définie. C'est particulièrement vrai dans le cadre des audits portant sur la technologie, les risques et la conformité.

Traçabilité des données selon les différents types d'audits

Nous aborderons ci-dessous les différents types d'audits auxquels une organisation peut être confrontée, ainsi que la manière dont la traçabilité des données peut aider à répondre aux questions des auditeurs.

Audits financiers

Dans le cadre des audits financiers, la traçabilité est essentielle. Les auditeurs procèdent souvent à des « vérifications par recoupement » au cours desquelles ils retracent le parcours d’un numéro depuis :

1. Un état financier.
2. Retour à un rapport ou à un grand livre.
3. Revenons aux systèmes transactionnels.
4. Retour aux documents sources originaux.

Par exemple :

• Chiffre d'affaires comptabilisé dans le compte de résultat.
• Issu d'un système de consolidation.
• Extrait de plusieurs progiciels de gestion intégrés (ERP).
• Ces données proviennent de factures individuelles ou de registres de ventes.

La traçabilité des données vient étayer cette chaîne de preuves et réduit le recours aux explications manuelles.

Audits SOX (Sarbanes-Oxley)

Les audits SOX accordent une grande importance aux contrôles internes relatifs à l'information financière (ICFR). Dans ce contexte, la traçabilité des données est essentielle pour démontrer :

• Comment les données financières circulent entre les systèmes.
• Dans quels cas faut-il privilégier les contrôles automatisés plutôt que les contrôles manuels ?
• Comment sont gérées les modifications apportées aux données ou à la logique.
• Les contrôles d'accès sont-ils adaptés au niveau de sensibilité des données ?

Les auditeurs peuvent demander :

• Diagrammes de flux de données à l'appui des principaux rapports.
• Preuves de la gestion du changement dans le cadre des transformations.
• Mappages de contrôle liés au transfert de données.

En l'absence de traçabilité, les organisations ont souvent du mal à démontrer que les contrôles sont exhaustifs et efficaces.

Audits réglementaires (RGPD, HIPAA, BCBS 239, etc.)

Dans le cadre des audits réglementaires, la traçabilité devient encore plus évidente.

Exemples :

• RGPD: Démontrer où les données à caractère personnel sont collectées, traitées, conservées et partagées.
• HIPAA: Suivi des informations médicales protégées d'un système à l'autre.
• BCBS 239 (secteur bancaire) : obligation pour les banques de documenter le processus d'agrégation des données de risque et la traçabilité des rapports.

Les autorités de régulation veulent s'assurer que les organisations comprennent bien :

• De quelles données disposent-ils ?
• Où ça va.
• Mode d'emploi.
• Qui peut y accéder ?

Dans ce contexte, la traçabilité des données n'est pas facultative. Il s'agit d'une exigence réglementaire.

Audits informatiques et des systèmes

Les auditeurs informatiques évaluent la fiabilité des systèmes et des flux de données. Lineage les aide à évaluer :

• Intégrations et dépendances du système.
• Transferts de données entre applications.
• Traitement par lots ou en temps réel.
• Points de défaillance ou de risque.

Les auditeurs peuvent poser les questions suivantes :

• Comment les données sont transférées du système A vers le système B.
• Si les interfaces font l'objet d'une surveillance.
• Comment les erreurs sont détectées et résolues.

Il est impossible de répondre à ces questions avec certitude sans disposer d'un arbre généalogique documenté.

Audits internes

Les équipes d'audit interne s'intéressent de plus en plus à gouvernance à l'analyse des données. Elles utilisent la traçabilité pour :

• Identifier les flux de données non documentés.
• Mettre en évidence les dépendances vis-à-vis des personnes clés.
• Évaluer les risques liés à la qualité des données.
• Proposer des améliorations en matière de contrôle.

Même si les audits internes sont moins formels, la traçabilité constitue souvent le pilier de leurs conclusions et recommandations.

Que se passe-t- tra quand on ne dispose pas d’une traçabilité des données ?

Les organisations qui ne disposent pas d'une traçabilité claire des données sont généralement confrontées aux problèmes suivants :

1. Des audits plus longs et plus pénibles

Les équipes s'empressent de :

• Reconstituez manuellement les flux de données.
• Extraire des diagrammes et des feuilles de calcul ad hoc.
• Fiez-vous au savoir collectif.

Cela allonge la durée de l'audit, en augmente le coût et accroît le stress.

2. Risque accru de constatations d'audit

Du point de vue de l'audit, une traçabilité non documentée constitue une défaillance en matière de gouvernance de contrôle, et non pas simplement une lacune dans la documentation. Par conséquent, les organisations peuvent faire l'objet de constatations défavorables non pas parce que les chiffres sont erronés, mais parce qu'il n'existe pas de preuves suffisantes démontrant que ces chiffres sont établis de manière cohérente et fiable.

3. Recours excessif aux explications manuelles

Lorsque la traçabilité n'est pas documentée, les audits reposent sur les explications orales de quelques personnes clés. Cela entraîne :

• Points de défaillance uniques.
• Réponses incohérentes.
• Baisse de la confiance des auditeurs.

Les auditeurs privilégient les preuves documentées et reproductibles plutôt que la mémoire institutionnelle.

Quel niveau de traçabilité des données les auditeurs attendent-ils ?

Les auditeurs s'attendent généralement à ce que les mesures soient proportionnées, et non à ce qu'elles soient parfaites.

Ils ne s'attendent pas à ce que chaque champ soit mappé pour chaque système, à ce qu'il y ait une traçabilité en temps réel pour toutes les ressources de données, ni à ce que les petites structures disposent d'outils d'entreprise coûteux.

Au contraire, ils s'attendent généralement à ce que :

• Traçabilité claire des données relatives aux matériaux.
• Documentation relative aux principaux rapports et indicateurs.
• Preuve de l'existence de processus maîtrisés et reproductibles.

Lorsqu'elles se préparent à tout type d'audit, les organisations doivent se concentrer sur les éléments les plus importants au regard du périmètre de l'audit. La mise en place gouvernance solides et fondamentaux gouvernance des données contribue à atteindre cet état de Préparation permanente.

Éléments courants liés à la traçabilité des données utilisés dans les audits

Les organisations répondent généralement aux exigences d'audit en combinant les éléments suivants :

• Documents de mise en correspondance entre la source et la cible.
• Diagrammes de flux de données.
• Documentation relative à la logique des rapports.
• Matrices de contrôle associées aux étapes de traitement des données.
• Schémas d'architecture du système.
• Dictionnaires de données pour les champs clés.

Elles n'ont pas besoin d'être parfaites, mais elles doivent être précises, à jour et compréhensibles.

Traçabilité automatisée des données vs traçabilité manuelle

De nombreuses organisations se demandent si elles ont besoin d'outils automatisés de traçabilité des données pour répondre aux exigences des auditeurs. Voici une brève liste des avantages et des inconvénients des deux types de stratégies de traçabilité des données.

Historique du manuel

Avantages :

• Plus rapide à mettre en œuvre.
• Coût réduit.
• Cela suffit souvent pour les télescopes de petite taille.

Inconvénients :

• Plus difficile à entretenir.
• Risque de devenir obsolète.
• Nécessite beaucoup de main-d'œuvre lors des audits.

Outils automatisés de traçabilité

Avantages :

• Toujours à jour.
• S'adapte à tous les systèmes.
• Réduit la charge de travail liée à l'audit au fil du temps.

Inconvénients :

• Coût initial plus élevé.
• Nécessite une intégration technique.
• Cela peut s'avérer excessif pour les petits environnements.

En règle générale, les auditeurs n'imposent pas l'automatisation. Ce qui leur importe, c'est la précision et la fiabilité, et non les outils utilisés par une organisation pour atteindre ces objectifs.

Comment se préparer aux audits en tenant compte de la traçabilité des données

Une approche pratique comprend les étapes suivantes.

1. Identifier les rapports et indicateurs clés utilisés dans le cadre des audits ou des déclarations réglementaires.
2. Documenter les sources de données et les transformations associées à ces résultats.
3. Associer des contrôles à chaque étape du flux de données.
4. Valider la documentation avec les responsables métier et techniques des données.
5. Veillez à mettre à jour la généalogie à mesure que les systèmes évoluent.

Procéder par étapes est bien plus efficace que d'essayer de tout mettre en place d'un seul coup, sous la pression d'un audit.

La plateforme Actian Data Intelligence propose des outils de traçabilité des données destinés à faciliter les audits

Les rapports d'audit ne l'appellent pas toujours « traçabilité des données », mais ils exigent systématiquement que les ressources et les processus permettent de mettre en évidence :

• Traçabilité.
• Transparence.
• Maîtrise des flux de données.
• Fiabilité des résultats publiés.

Si vous êtes en mesure d'expliquer clairement d'où proviennent vos données, comment elles ont été transformées et comment elles sont contrôlées, vous respectez l'essence même de la traçabilité des données et répondez aux attentes en matière d'audit. La plateforme Actian Data Intelligence s'appuie sur la technologie des graphes de connaissances, s'appuie sur observabilité des données et peut fournir aux organisations des informations précises sur la traçabilité des données afin de les aider à se préparer aux audits.

Pour découvrir comment cette plateforme peut aider votre organisation à renforcer sa gouvernance des données gouvernance à documenter la traçabilité des données, demandez une démonstration personnalisée de ses fonctionnalités.

À propos de l'auteur

À propos de Actian Corporation

Actian permet aux entreprises de gérer et de gouverner leurs données en toute confiance, quelle que soit leur ampleur. Les organisations font confiance aux solutions gestion des données d'intelligence des données d'Actian pour rationaliser leurs environnements de données complexes et accélérer la mise à disposition de données prêtes pour l'IA. Conçues pour être flexibles, les solutions Actian s'intègrent de manière transparente et fonctionnent de manière fiable dans les environnements sur site, dans le cloud et hybrides. Pour en savoir plus sur Actian, la division données et IA de HCL Software, rendez-vous sur actian.com.