Cette compétence va au-delà de la dextérité dans le maniement des outils d’analyse comme Microsoft Excel, Galvanize-ACL, IDEA, PowerBi, Tableau, etc. En effet, cette ère est presque révolue car ces outils ont évolué au cours des 20 dernières années et convergent tous vers plus d’intuition et de simplicité.
Dans ce contexte, l’on attend désormais des auditeurs qu’ils aient la capacité de penser de manière holistique à l’utilisation des données dans leurs projets, soit pour renforcer les observations d’audit, soit pour proposer des perspectives jusque-là jamais révélées au management.
Gartner définit la littératie des données comme : ” la capacité de lire, d’écrire et de communiquer des données dans leur contexte, y compris la compréhension des sources et des constructions de données, des méthodes et techniques analytiques appliquées, et la capacité de décrire les scénarios d’utilisation, l’application et la valeur qui en résulte “
Il reste que la “nouveauté” de cette compétence est toujours d’actualité pour les fonctions qui ont pris du retard dans le développement des compétences de leur personnel en la matière. Que faire pour y parvenir ? Comment s’assurer que les auditeurs disposent de cette compétence sur la durée ? Telles peuvent être les préoccupations de ces responsables. Nous suggérons une démarche en quatre étapes.
1. D’abord, dresser l’état des lieux
Bien évidemment, il est important de faire le point, à travers l’évaluation de l’existant. Cette évaluation peut être conduite par un institut spécialisé externe. Cet exercice peut aussi être confié à un ou des Champions internes, à condition que ces derniers disposent de la triple expertise en audit, analyse des données et conduite de projet.
L’avantage majeur de cette option interne réside dans le fait que le Champion a généralement une meilleure connaissance transversale des compétences conceptuelles et techniques de chacun de ses collègues. Il peut ainsi les assister ou les encadrer dans le processus d’auto-évaluation. Enfin, l’évaluation peut être menée par une équipe hybride composée d’experts externes et de Champions internes.
Quelle que soit l’option adoptée (externe, interne ou hybride), la démarche est la même. Elle consiste à positionner les auditeurs sur une échelle qui mesure leur degré d’aptitudes sur chacun des piliers de la littératie, à savoir leur capacité à :
- formuler des hypothèses de tests
- élaborer des procédures analytiques
- identifier les sources des données nécessaires
- développer des diagrammes de flux de données
- identifier les outils adéquats
- obtenir/extraire et valider la qualité des données
- analyser les données et identifier les anomalies
- interpréter les résultats et proposer de nouvelles perspectives
Il va de soi que l’intérêt de cet exercice repose sur la candeur des notes attribuées ou auto-attribuées à chaque pilier. Pour que l’évaluation ou l’autoévaluation soit optimale, il est important d’en définir les critères ou instruments de mesure (par exemple, l’auditeur comprend les bases des données relationnelles).
La définition des critères d’appréciation et des niveaux minimaux exigés aide à i) situer l’ensemble des auditeurs sur les piliers, et à ii) formuler les priorités du plan de développement, à l’échelle du département.
Enfin, il est important de garder à l’esprit que des niveaux de compétences différenciés sont attendus des auditeurs. Par exemple, les auditeurs expérimentés, du fait de la nature de leurs rôles, devraient avoir une meilleure maîtrise des aspects conceptuels (par exemple, l’élaboration des hypothèses et procédures de test, compréhension de l’architecture des systèmes et applications de l’organisation, et interprétation des résultats).
A l’inverse, les auditeurs débutants seront plus sollicités sur les aspects techniques comme leur maîtrise des outils d’analyse. Cette affirmation n’exclut cependant pas l’interchangeabilité des rôles. En effet, certains auditeurs senior ne rechignent pas à mettre la main dans le “cambouis” de l’extraction, validation, normalisation et analyse des données. Dans tous les cas, prise collectivement, l’équipe d’audit devrait avoir les compétences nécessaires pour intégrer l’analyse des données dans le projet ou la mission.
2. Puis, fixer des objectifs et définir un plan de développement des compétences
L’évaluation ou l’auto-évaluation encadrée, lorsqu’elle est bien orchestrée, débouche sur le diagnostic de l’état actuel des compétences, indiquant les points forts et les piliers sur lesquels les auditeurs devraient s’investir.
La fixation des objectifs et la définition d’un plan de développement supposent l’identification des actions concrètes de formation (formelle ou informelle) aux niveaux départemental et individuel, et surtout un engagement à les réaliser sur un horizon bien défini.
Les actions de développement envisagées devraient surtout viser à développer les capacités dans les piliers à améliorer et éviter les écueils habituels
Le plan de développement global vise à combler rapidement les lacunes de la fonction d’audit – prise dans son ensemble – sur les piliers qui lui font défaut ou sur lesquels elle accuse un recul significatif. Le plan de développement individuel propose la même information mais au niveau de chaque membre du personnel, compte tenu de son rôle/grade et du niveau de compétences différenciées attendu.
Afin de garder cette dynamique, le responsable de la fonction communique sur l’importance du plan de développement et le Champion émet des rapports périodiques sur le niveau de réalisation du plan.
Enfin, inciter les auditeurs à inclure leurs objectifs et actions de développement individuels dans leurs contrats de performance annuels est une pratique courante. Cet engagement a le don de maintenir la flamme et de créer une saine émulation entre les auditeurs.
Les actions de développement envisagées devraient surtout viser à développer les capacités dans les piliers à améliorer et éviter les écueils habituels. Par exemple, la volonté, à tout prix, de faire de tous les auditeurs des experts en outils d’analyse des données devrait être écartée.
De même, il a été noté que certains auditeurs généralistes, peu passionnés par les systèmes d’information, ont tendance à ignorer ce volet dans la construction de leur littératie. Comprendre l’écosystème technologique de l’organisation est pourtant fondamental pour l’efficacité des stratégies d’audit et d’analyse des données envisagées.
Inversement, les auditeurs informatiques sont souvent enclins à rester dans leur domaine de prédilection et ne fournissent pas les efforts nécessaires pour comprendre les processus opérationnels.
En encourageant les auditeurs sceptiques ou réticents à explorer d’autres domaines que leurs zones de confort, ils contribuent à améliorer la situation globale de la fonction sur les principaux piliers de la littératie.
3. Ensuite, pratiquer, pratiquer, pratiquer
Malgré les sommes investies par les organisations dans la formation et le développement du personnel, ce n’est un secret pour personne que presque tout ce qu’on apprend lors des séminaires et autres ateliers de formation s’évapore ou est vite oublié au-delà de quelques semaines. La courbe de l’oubli étant raide et décroissante.
‘’
quels que soient leurs grades, les auditeurs sont amenés à faire face aux problématiques d’audit tant sur le plan conceptuel que sur le plan de l’implémentation des procédures
Le cerveau conserve une information soit parce qu’elle revêt un caractère important, soit parce qu’il a été suffisamment entraîné à la retenir. Il en va de même pour les compétences. On apprend en faisant et rien ne remplace la pratique ; surtout dans le domaine à priori intimidant de l’analyse des données.
Que vaut une formation sur les tableaux croisés dynamiques si l’auditeur ne songe pas à l’utiliser au moins une fois dans un examen analytique au cours d’une mission ? Que vaut une formation sur l’architecture des systèmes et applications si l’auditeur ne s’interroge pas sur ces problématiques ou ne s’exerce pas à cartographier les systèmes et applications support du processus qu’il évalue ?
Heureusement, les opportunités de mise en pratique de ces compétences ne tarissent pas. Car, quels que soient leurs grades, les auditeurs sont amenés à faire face aux problématiques d’audit tant sur le plan conceptuel (par exemple, développer des hypothèses ou des scénarios de test) que sur le plan de l’implémentation des procédures (par exemple, extraire, normaliser et analyser les données). Et ce, missions après missions. Les auditeurs tiennent là l’occasion de maintenir la courbe de l’oubli moins abrupte.
4. Enfin, s’inscrire dans un processus d’apprentissage continu
Les auditeurs devraient maintenir une veille informative sur les outils et techniques émergents afin de toujours demeurer pertinents. Trois actions peuvent servir à cet effet :
Se tenir informé sur les tendances de l’industrie
A travers des rencontres avec les pairs d’autres organisations, lors des sommets, congrès ou séminaires. Pendant ces rencontres, mettre un point d’honneur à se rapprocher des experts (en intelligence artificielle, par exemple) et discuter avec eux de leur passion. On en sort toujours édifié.
Pousser sa curiosité toujours plus loin peut prendre la forme de l’acquisition du b.a.-ba d’un langage de programmation comme Python, sans nécessairement vouloir en devenir un expert. Soyez-en rassuré, il y aura toujours quelqu’un plus futé pour exécuter les idées qui auront germé de cette curiosité. Car se frotter aux connaissances fondamentales permet de réfléchir sur les possibles scénarios d’utilisation en audit.
Remettre en question le statu-quo
Se poser des questions simples : n’y a-t-il pas un moyen plus “intelligent” (c’est-à-dire grâce à l’utilisation des données) d’évaluer les risques de l’organisation ? Telle donnée avait été utilisée lors du précédent audit, telle autre donnée ne sera-t-elle pas plus indiquée aujourd’hui ?
Favoriser le brainstorming entre collègues
En se consultant mutuellement et spontanément sur les problématiques d’audit : par exemple, “Comment t’y prendrais-tu pour auditer les dépenses de voyages si tu as les données de voyages et de congés du personnel ?” “Comment peut-on raisonnablement démontrer que certains employés partagent leurs identifiants et mots de passe avec d’autres employés ?”
En résumé, la littératie des données représente un avantage comparatif pour les auditeurs curieux et surtout désireux d’auditer autrement, de façon intelligente. Acquérir cette compétence requiert le leadership des responsables des fonctions d’audit et surtout la volonté de chaque auditeur de combler ses propres lacunes identifiées grâce à un processus d’évaluation rigoureux.
Article rédigé par Rigobert Pinga Pinga, Directeur de l’audit Interne à l’OIF (Organisation Internationale de la Francophonie)