SAS 70 et SSAE 16
Le Statement on Auditing Standards 70, couramment désigné comme SAS 70, est une norme d’audit, qui s’intitule officiellement « Reports on the Processing of Transactions by Service Organizations ». Elle a été créée par l’American Institute of Certified Public Accountants (AICPA) et est reconnue internationalement en tant que norme de qualité pour les organismes de services.
Le SAS 70 fournit des normes pour les contrôles internes et pour la publication d’un rapport de contrôle interne de l’auditeur de l’organisme de services au sein d’entreprises telles que les assureurs, les sociétés de fiducie, d’hébergement de données et de couverture médicale. Les sociétés de services peuvent fournir leurs prestations par externalisation, ce qui suppose un impact sur l’environnement de contrôle de leurs clients. Il est donc vital pour ces clients de pouvoir s’appuyer sur une déclaration fiable de la gestion de leurs contrôles et de la garantie de la qualité des services qui leur sont fournis.
Il existe deux types de rapports d’audit de services:
- Les rapports SAS-70 de Type I garantissent la correcte définition de tous les contrôles pertinents. La certification de Type I est la certification de premier niveau.
- Les rapports SAS-70 de Type II garantissent non seulement la correcte définition de ces contrôles, mais attestent également de l’efficacité de leur fonctionnement. La certification de Type II est la plus haute certification selon le SAS-70.
BWise offre une solution GRC globale, intégrée et basée sur le Web, qui permet aux organismes de services de planifier et de créer des rapports de contrôle interne d’auditeurs de Type I ou II.
BWise fournit également une conformité avec une traçabilité, grâce aux exigences des nouvelles normes ISAE 3402 et SSAE 16 :
- La direction de l’organisme de services élaborera une « description de son système » (au lieu des contrôles seulement) et devra utiliser des critères adéquats pour la rédaction de ce document.
- Elle présentera une déclaration écrite en accompagnement de cette description, que l’auditeur de l’organisme de services reconnaîtra ensuite.
- L’organisme de services est responsable de l’identification des risques susceptibles de menacer le bon accomplissement de ses objectifs de contrôle.
Les meilleures pratiques pour la conformité avec SAS-70
Le progiciel BWise de gestion de la gouvernance, du risque et de la conformité (GRC) permet la conception et la configuration de contrôles internes ainsi que leur évaluation tel qu’exigé par SAS-70. BWise a notamment développé une approche incluant les meilleures pratiques pour la norme SAS 70. Celle-ci permet la mise en place des contrôles internes et de leur cadre, puis le test de ceux-ci, opéré de manière régulière.
Pour en savoir plus, contactez-nous.
