Contenu du rapport du vérificateur d’un organisme de services
Le rapport comporte généralement plusieurs parties :
1. Le rapport du vérificateur indépendant de l’organisme de services
2. La description des contrôles de l’organisme de services
- Le survol
- Les éléments de l’environnement de contrôle
- La description des systèmes informatisés
- Les objectifs de contrôle, les contrôles et les contrôles de l’entité cliente
- Des considérations sur chacun des contrôles
- Les tests des contrôles et les résultats des tests effectués (pour les rapports de type 2)
3. Les autres informations
Rapports de types I et 2
Le rapport de type 1 porte sur les contrôles mis en œuvre à une date donnée. Le rapport de type 2 est un rapport sur les contrôles mis en œuvre et les tests de l’efficacité de ces contrôles au cours d’une période donnée. La période visée par un rapport de type 2 correspond généralement à 6 mois ou 1 an. Comme le rapport de type 2 constitue un prolongement du rapport de type 1, si vous choisissez de faire un rapport de type 1 puis décidez de changer pour un rapport de type 2, la différence consistera à appliquer des tests d’efficacité du fonctionnement des contrôles visés pour la période de vérification.
Certains clients ont opté pour le rapport de type 1 la première année et pour un rapport de type 2 pour les années suivantes. Cette façon de faire a l’avantage de vous permettre de revoir et d’améliorer vos contrôles avant de les soumettre aux tests exigés dans le rapport de type 2. (L’article 404 de la Loi Sarbanes-Oxley et l’Instruction générale sur le Règlement 52-109 ont créé des contraintes de temps qui rendent plus difficile d’opter pour cette approche.)
Les responsabilités pendant la vérification
L’organisme de services est responsable de documenter ce qui suit :
- La description des contrôles de l’organisme de services
- Les caractéristiques de l’environnement de contrôle pouvant avoir une incidence sur les services fournis aux entités clientes
- Les applications et les objectifs de contrôle visés par les tests
- Les autres informations fournies par l’organisme de services
Le vérificateur de l’organisme de services est responsable de ce qui suit :
- Fournir une opinion à l’effet que la description par l’organisme de services de ses contrôles donne une image fidèle des contrôles qui ont été mis en œuvre à la fin de la période visée
- Fournir une opinion à l’effet que les contrôles décrits étaient conçus de manière à ce que les objectifs de contrôle spécifiés soient atteints
- Toutes les autres informations pouvant être fournies par le vérificateur de l’organisme de services
Pour un rapport de type 2 :
- Une opinion à l’effet que les contrôles qui ont été testés fonctionnaient de manière suffisamment efficace pour fournir une assurance raisonnable, mais non absolue, de l'atteinte des objectifs de contrôle spécifiés pour la période visée
- Déterminer quels contrôles sont, à son avis, nécessaires pour atteindre les objectifs de contrôle et la nature, le calendrier d'application et l'étendue des résultats des tests choisis
- Une description des tests de l’efficacité du fonctionnement des contrôles et des résultats de ces tests
