SOX et contrôles informatiques (Sarbanes-Oxley)

Définition

Le SOX, Sarbanes-Oxley Act, est la loi fédérale américaine adoptée en réaction à plusieurs scandales financiers majeurs, imposant aux sociétés cotées sur les marchés américains, ainsi qu'à leurs filiales, de mettre en place et de faire évaluer un dispositif de contrôle interne garantissant la fiabilité de l'information financière publiée, dispositif dont les systèmes d'information constituent une composante désormais incontournable compte tenu de l'informatisation quasi totale des processus comptables et financiers. Les contrôles informatiques exigés au titre de la section 404 de cette loi couvrent notamment la gestion des accès aux systèmes financiers, garantissant une séparation adéquate des tâches pour prévenir la fraude, la maîtrise des changements applicatifs pouvant affecter les calculs financiers, la fiabilité des interfaces automatisées entre systèmes générant des écritures comptables, ainsi que la traçabilité et l'auditabilité des opérations réalisées dans ces systèmes. Ces contrôles informatiques généraux, souvent désignés par l'acronyme ITGC pour information technology general controls, sont évalués chaque année par les auditeurs externes de l'entreprise dans le cadre de la certification annuelle du contrôle interne exigée par la loi, et s'appuient fréquemment sur un rapport SOC 1 de type II lorsque tout ou partie des processus financiers concernés est externalisée auprès d'un prestataire tiers.