QCM : Gouvernance des entreprises publiques tunisiennes (137 questions)

Explication

La gouvernance publique s’appuie sur la transparence, la responsabilité, la conformité et la fiabilité de l’information, mais peut être freinée par des rigidités organisationnelles et bureaucratiques. La cybersécurité et la traçabilité relèvent plutôt des risques numériques; le contrôle et la dématérialisation sont des notions distinctes.

Explication

La transformation numérique fait émerger des risques liés à la cybersécurité, à la protection des données, à la dépendance technologique, à la traçabilité et à la fiabilité des systèmes automatisés. La transparence et l’accès aux services sont des objectifs de gouvernance ou de modernisation, et les rigidités bureaucratiques constituent un obstacle organisationnel.

Explication

L’audit d’un modèle de décision par intelligence artificielle examine ses données, ses règles de fonctionnement, ses résultats et ses effets possibles sur la responsabilité organisationnelle. Se concentrer sur les seuls résultats omet le fonctionnement; les écritures comptables ne couvrent pas les effets de responsabilité du modèle.

Explication

Dans un contexte de digitalisation, l’audit interne dépasse la vérification a posteriori des opérations comptables et réglementaires pour devenir une fonction d’assurance et de conseil évaluant les risques numériques, la gouvernance des données et l’efficacité des contrôles. L’élargissement comptable reste centré sur l’ancien périmètre, tandis que la gestion opérationnelle ne correspond pas au rôle décrit.

Explication

Dans le secteur public, la numérisation dématérialise les procédures, favorise la transparence, améliore l’efficacité administrative et rend l’accès aux services plus rapide et plus fiable. La dépendance technologique relève des risques numériques, tandis que la répartition des ressources est associée à l’exploitation des données et aux partenariats.

Explication

L’exploitation des données numériques et les partenariats public-privé contribuent à moderniser l’action publique et à mieux répartir les ressources. La dématérialisation favorise surtout l’efficacité et l’accès aux services; le contrôle comptable et l’examen des modèles relèvent d’autres fonctions.

Explication

À partir de 2020, la pandémie et les confinements ont rendu nécessaires le travail à distance et la dématérialisation afin de maintenir la continuité des services et des activités. La restructuration et les contrôles relèvent des réformes lancées dès 2011, tandis que les lacunes de gestion étaient antérieures à la pandémie et que la cybersécurité concerne un autre enjeu.

Explication

Avant la pandémie, ces entreprises connaissaient déjà des lacunes de gestion, un manque de transparence et une dégradation progressive de leurs performances financières. Le travail à distance est associé à 2020, les réformes ont été lancées dès 2011, et les risques de cybersécurité sont un enjeu numérique distinct.

Explication

L’État tunisien a lancé ces réformes dès 2011 afin de restructurer les entreprises publiques, de renforcer les mécanismes de contrôle et de moderniser les pratiques de gestion et de gouvernance. L’année 2020 correspond à l’accélération de la transformation numérique liée à la pandémie.

Explication

L’audit interne a évolué d’un contrôle centré sur la conformité comptable vers une approche par les risques qui contribue à la gouvernance, à l’amélioration des processus et à la création de valeur. La conformité après coup correspond à l’approche antérieure; le traitement des risques et la cybersécurité ne définissent pas cette évolution.

Explication

La bonne gouvernance désigne une manière de gérer les affaires publiques ou privées fondée sur l’efficacité, l’équité, la transparence et le respect de l’État de droit. Le contrôle interne porte sur des dispositifs organisationnels, tandis que le management des risques est un processus de gestion des risques.

Explication

Le contrôle interne vise l’efficacité et l’efficience des opérations, la fiabilité et l’intégrité de l’information, la protection des ressources et le respect des lois, règles et procédures. L’équité et la transparence caractérisent la bonne gouvernance; les étapes de gestion des risques et les fonctions du système d’information relèvent d’autres notions.

Explication

Le management des risques est un processus continu et organisé comprenant l’identification, l’analyse, l’évaluation, le traitement et la surveillance des risques susceptibles d’empêcher l’atteinte des objectifs. Le contrôle interne désigne des dispositifs de l’organisation; identifier les risques n’est qu’une étape, et la sécurisation de l’information est un domaine plus spécifique.

Explication

La transformation numérique intègre les technologies dans la stratégie et dans plusieurs dimensions de l’organisation, notamment les processus, les structures, les services et la décision; elle dépasse donc l’informatisation ou la digitalisation d’un processus. Ces dernières désignent des changements plus circonscrits, tandis que l’équipement informatique ne décrit pas à lui seul une transformation organisationnelle.

Explication

L’audit interne est une activité indépendante et objective qui fournit des services d’assurance et de conseil afin d’améliorer les opérations et d’apporter de la valeur. La gestion des opérations assume la conduite de l’activité, l’assurance désigne un type d’évaluation et le conseil de gestion ne résume pas l’ensemble de l’audit interne.

Explication

L’audit fondé sur les risques oriente la planification et la conduite des missions vers les domaines présentant les niveaux de risque les plus élevés. L’audit continu renvoie à des contrôles réguliers ou automatisés, tandis que la facilité d’exécution ou les demandes de la direction ne définissent pas cette méthode.

Explication

Dans le modèle de gouvernance, la décision résulte d’une concertation et d’une coordination entre plusieurs parties prenantes. Le gouvernement classique laisse l’État décider seul, la coordination administrative reste entre administrations et la délégation privée ne correspond pas à une décision concertée entre acteurs.

Explication

Les principes cités sont la transparence, la responsabilité, la participation, l’efficacité et la bonne gestion des ressources publiques. La centralisation, la concurrence ou la rentabilité ne remplacent pas ces principes dans l’ensemble demandé.

Explication

La rentabilité peut diverger des missions de service public, ce qui complique l’organisation et la prise de décision de l’entreprise publique. Le contrôle étatique, les conflits internes ou la recherche d’un monopole ne décrivent pas le conflit précis entre ces deux objectifs.

Explication

L’efficacité dépend d’une gouvernance qui arbitre entre des objectifs divergents tout en préservant la transparence, la responsabilité et la création de valeur publique. La maximisation de la rentabilité, le contrôle étatique seul ou la transparence isolée ne suffisent pas à répondre à cette exigence.

Explication

Le cadre tunisien est très centralisé : l’État cumule plusieurs rôles, jusqu’à celui de gestionnaire opérationnel. L’autonomie des conseils décrit l’inverse de cette centralisation, le rôle limité à l’actionnariat omet les autres fonctions, et la répartition entre instances indépendantes ne correspond pas au dispositif décrit.

Explication

Les budgets, les contrats-programmes et les choix de financement sont des décisions stratégiques soumises à l’approbation des ministères sectoriels, du ministère des finances et de la présidence du gouvernement. Limiter le circuit à une seule instance ou le remplacer par une validation interne méconnaît ce contrôle partagé.

Explication

Le système décrit privilégie le contrôle administratif et oriente peu l’évaluation vers les résultats et la création de valeur. La gestion centrée sur la valeur inverse ce constat, l’équilibre entre procédures et résultats n’est pas établi, et le contrôle financier ne résume pas la distinction visée.

Explication

La loi 2018-35 impose aux institutions publiques d’intégrer les principes du développement durable et de la bonne gouvernance dans leur responsabilité sociétale. La performance financière, la transparence budgétaire et la continuité des services sont des notions proches, mais ne sont pas les deux principes énoncés par cette obligation.

Explication

Le Guide de gouvernance et d’intégrité pour les entreprises publiques tunisiennes a été publié par la Présidence du Gouvernement. L’OCDE, l’IACE et la CONECT sont des organismes liés à d’autres travaux ou dynamiques de gouvernance, mais ils ne sont pas l’éditeur du Guide.

Explication

Les six axes sont le conseil d’administration, l’audit et la gestion des risques, la cellule de gouvernance, la transparence, l’État actionnaire et les parties prenantes. La responsabilité sociétale, la direction générale et les ministères de tutelle ne remplacent pas les axes nommés dans cette liste.

Explication

Les contraintes structurelles peuvent limiter à la fois l’autonomie de gestion, la performance et l’efficacité de la gouvernance. L’autonomie renforcée inverse cet effet, la seule performance financière en donne une portée trop étroite, et l’amélioration de la gouvernance attribue aux contraintes un effet favorable.

Explication

La coordination insuffisante entre les organes de contrôle figure parmi les contraintes recensées. La coordination renforcée inverse le constat, l’expertise abondante contredit le manque de compétences spécialisées et l’adaptation rapide s’oppose à la résistance au changement.

Explication

Le score de risque se déduit de la probabilité et de l’impact : le contrôle interne obtient $5 \times 5 = 25$, contre $4 \times 5 = 20$ pour l’ingérence politique. Inverser les scores ou le classement confond les risques; leur attribuer 10 néglige le calcul du score.

Explication

L’audit interne est une fonction transversale qui apporte une assurance indépendante et objective sur l’efficacité du contrôle interne, la gestion des risques et le fonctionnement des processus. La conduite opérationnelle et la prise de décisions relèvent de la gestion, tandis que la conformité seule ne couvre pas tout son champ.

Explication

Ces études relèvent un contrôle interne déficient, associé à un manque de transparence dans la déclaration des problèmes et à une faible capacité à corriger les faiblesses. Les formulations évoquant un contrôle efficace, une transparence accrue ou une forte capacité corrective inversent ces constats.

Explication

Les recommandations associent le renforcement de la gouvernance, l’institutionnalisation de l’audit interne, une meilleure divulgation des faiblesses, des ressources suffisantes et des systèmes d’information adéquats. Réduire les ressources, omettre la divulgation ou écarter l’institutionnalisation contredit ces mesures.

Explication

La deuxième ligne comprend notamment les fonctions de conformité, de gestion des risques et de contrôle interne, qui soutiennent les opérationnels et suivent la maîtrise des risques. La première ligne porte la maîtrise quotidienne des risques, tandis que la troisième correspond à l’audit interne indépendant.

Explication

Dans le modèle des trois lignes, l’audit interne forme la troisième ligne : il évalue indépendamment la gouvernance, la gestion des risques et le contrôle interne, puis formule des recommandations. Les opérationnels constituent la première ligne, et les fonctions de contrôle qui les soutiennent forment la deuxième.

Explication

La cartographie accroît la transparence et la visibilité des menaces, ce qui soutient la décision et aligne la gestion des risques sur les objectifs. La « disparition des menaces » confond visibilité et élimination, la « conformité réglementaire » déplace le bénéfice, et la « prévention des fraudes » correspond à un autre effet de la cartographie.

Explication

La cartographie contribue à prévenir la fraude et la corruption en précisant les responsabilités et les mécanismes de reporting. L’évaluation de la probabilité et de l’impact sert à analyser les risques, tandis que la supervision du conseil et l’audit externe ne remplacent pas cette clarification.

Explication

Dans le processus ISO 31000:2018, le traitement consiste à choisir et mettre en œuvre des réponses au risque après son évaluation. La surveillance suit l’évolution du risque, l’évaluation l’analyse, et la communication concerne l’échange d’informations.

Explication

La direction générale met en œuvre la politique, définit les responsabilités et assure le suivi global du dispositif. Le conseil fixe les orientations et supervise les risques, les responsables opérationnels agissent dans leurs activités, et l’audit interne évalue sans prendre en charge la gestion.

Explication

La Norme IIA no 2120 demande à l’audit interne d’évaluer l’efficacité des processus de management des risques et de contribuer à leur amélioration. Exécuter les mesures relèverait de la gestion opérationnelle, tandis que la norme ne se limite ni à l’identification ni à une amélioration menée sans contribution de l’audit.

Explication

L’audit interne peut faciliter l’identification et l’évaluation, coordonner les activités de gestion des risques et consolider le reporting, entre autres contributions. Fixer l’appétence et choisir les réponses relève du management, l’examen des comptes et la nomination des commissaires relèvent du comité d’audit, et l’exécution des mesures compromettrait l’indépendance de l’audit.

Explication

L’audit interne évalue et conseille tout en préservant son indépendance : il ne doit pas exécuter les activités opérationnelles ni se substituer au management. Gérer le plan créerait une auto-évaluation, tandis que renoncer à l’évaluation ou accepter la responsabilité d’exécution ne respecte pas son rôle.

Explication

Le comité d’audit assiste le conseil dans le contrôle de l’intégrité des états financiers et des politiques financières, et suit et améliore l’audit interne. Le comité de gestion des risques traite les risques et les politiques de conformité, l’audit interne évalue et conseille, et la direction générale pilote le dispositif de gestion.

Explication

Le programme prévoit 138 projets répartis entre quatre axes stratégiques. Le chiffre 99 désigne les projets de transformation numérique de l’administration, tandis que 30 correspond à la somme des projets de promotion de l’économie numérique et de protection du cyberespace.

Explication

La répartition complète affecte 12 projets à la protection du cyberespace national et à la confiance numérique. Les 18 projets relèvent de la promotion de l’économie numérique, les 9 des infrastructures, et 138 est le total général.

Explication

La transformation digitale peut renforcer la transparence, la traçabilité et l’accès à l’information des citoyens et des parties prenantes. Une baisse garantie des coûts, une protection complète contre les cyberattaques ou une extension automatique du réseau ne découlent pas nécessairement de cette démarche.

Explication

Une gouvernance numérique structurée associe l’alignement des technologies avec la stratégie, une gouvernance des données attentive à leur qualité, sécurité et usage éthique, et le renforcement de la cybersécurité et de la résilience. Acheter des équipements ou centraliser les décisions ne remplace pas ces dimensions.

Explication

Un système d’information réunit des ressources matérielles, logicielles, humaines, des données et des procédures pour collecter, stocker, traiter et diffuser l’information. Le limiter au matériel et aux logiciels confond le SI avec le système informatique.

Explication

Le SI ne se limite pas à sa fonction technique : il constitue aussi un dispositif de pilotage et d’aide à la décision. L’archivage, la diffusion et la maintenance sont des fonctions ou activités distinctes qui ne décrivent pas ce rôle stratégique.

Explication

Les cinq fonctions du SI sont la collecte, le traitement, le stockage, la diffusion et le contrôle de l’information ; vérifier la conformité correspond donc au contrôle. Le traitement transforme les données, le stockage les conserve et la diffusion les transmet.

Explication

L’intégration consiste à connecter des systèmes différents afin qu’ils puissent fonctionner ensemble. La centralisation concerne l’organisation des ressources, la sécurisation vise la protection, et la substitution implique le remplacement plutôt que la connexion.

Explication

La loi n° 2004-5 encadre la sécurité informatique et fixe les règles générales de protection des systèmes et des réseaux. La loi n° 2004-63 porte sur les données personnelles, le décret-loi n° 2022-54 sur les infractions numériques et ISO 27001 sur le SMSI.

Explication

Le décret-loi n° 2022-54 définit les infractions liées aux systèmes d’information et prévoit des protections de l’intégrité, de la confidentialité et de la disponibilité. La loi n° 2004-5 fixe le cadre général de sécurité, la loi n° 2004-63 régit les données personnelles et ISO 27001 concerne le SMSI.

Explication

La loi organique n° 2004-63 régit la collecte, le traitement, la conservation et l’utilisation des données personnelles, en conciliant modernisation numérique et droits fondamentaux. La loi n° 2004-5 concerne la sécurité informatique, la loi n° 2016-22 l’accès à l’information et ISO 22301 la continuité d’activité.

Explication

La loi organique n° 2016-22 impose aux organismes publics de faciliter l’accès aux documents administratifs et de renforcer la publication d’informations. La loi n° 2004-63 porte sur les données personnelles, la loi n° 2004-5 sur la sécurité informatique et ISO 22301 sur la continuité et la reprise d’activité.

Explication

Le SI remplit une double finalité : soutenir la décision et le pilotage par l’analyse des données, puis contribuer à la redevabilité et à la transparence par l’information fournie aux autorités et aux auditeurs. La gestion des infrastructures relève de la DSI, tandis que l’audit indépendant et la supervision cyber sont des responsabilités d’acteurs distincts.

Explication

La gouvernance du SI regroupe les mécanismes, processus, structures et pratiques qui veillent à l’alignement des technologies sur les objectifs stratégiques, à la création de valeur et à la maîtrise des risques. La gestion des infrastructures relève de la DSI, l’évaluation indépendante de l’audit interne et l’expression des besoins des responsables métiers.

Explication

COBIT 2019 comprend cinq dimensions, dont la mesure de la performance, en plus de l’alignement stratégique, de la création de valeur, de la gestion des risques et de l’optimisation des ressources. La conformité juridique, la gestion opérationnelle et l’expression des besoins métiers ne sont pas les dimensions manquantes de ce référentiel.

Explication

La direction des systèmes d’information assure la gestion opérationnelle du SI, tandis que le conseil d’administration valide la stratégie numérique. La direction générale pilote la transformation digitale et les responsables métiers expriment les besoins fonctionnels.

Explication

La stratégie associe interconnexion administrative, échange sécurisé des données publiques, services numériques et portail national destiné aux citoyens et aux entreprises. La centralisation des contrôles fiscaux confond digitalisation et détection de l’évasion fiscale, la publication intégrale contredit la sécurisation des échanges, et l’absence de portail commun omet un objectif explicite.

Explication

La politique considère les données ouvertes comme un socle d’applications d’IA, notamment pour détecter la corruption, lutter contre l’évasion fiscale et améliorer les contrôles. Le portail, l’automatisation des tâches et la sécurisation des échanges relèvent d’objectifs connexes, mais ne décrivent pas cet usage ciblé des données ouvertes.

Explication

La stratégie tunisienne de transformation digitale est prévue pour la période 2026-2030. Les autres périodes ne correspondent pas à celle précisée pour cette stratégie.

Explication

Un système décisionnel peut reproduire les biais présents dans ses données, renforcer les inégalités et nuire à la confiance des citoyens ainsi qu’à l’image de l’État. L’élimination automatique des biais surestime l’effet de l’IA, tandis que les réponses qui dissocient les inégalités des décisions ou des conséquences institutionnelles omettent le mécanisme décrit.

Explication

Le cadre repose sur le décret-loi 2023-17, l’arrêté du 12 septembre 2023 relatif aux audits et l’arrêté du 1er octobre 2019 relatif aux auditeurs certifiés par l’Agence Nationale de la Cybersécurité. ISO/IEC 27002 est une norme visée par l’audit, et les autres choix déplacent les dates des arrêtés.

Explication

L’audit des systèmes d’information vise la conformité à ISO/IEC 27002, la continuité des services d’e-gouvernement et le renforcement de la souveraineté numérique. L’identification des facteurs internes et externes relève de la SWOT; automatisation des contrôles et suivi des recommandations sont d’autres activités de gouvernance ou d’audit.

Explication

La criticité se calcule en multipliant la probabilité par l’impact : $3 \times 4 = 12$. La somme donne 7, l’inversion des critères ne change pas le produit mais n’explique pas le calcul demandé, et 16 correspond à la criticité des cyberattaques évaluées à 4 et 4.

Explication

L’audit interne complète l’identification et l’évaluation des risques ainsi que l’évaluation des contrôles en formulant des recommandations adaptées à la criticité et en suivant leur mise en œuvre et leur efficacité. La SWOT et la cartographie sont des outils d’analyse, tandis que conformité et continuité sont des objectifs de l’audit des SI.

Explication

Entre 1940 et 1960, l’audit interne prolonge principalement l’audit externe en vérifiant les opérations comptables et financières pour fiabiliser l’information et protéger les actifs. L’évaluation des procédures et la prévention des fraudes caractérisent l’élargissement des années 1970, tandis que l’assurance-conseil et l’approche par les risques correspondent à des évolutions ultérieures.

Explication

À partir des années 1970, l’audit interne dépasse la vérification des comptes et s’intéresse aux procédures, à la conformité et à la prévention des fraudes. La fiabilité financière renvoie à l’orientation antérieure, l’assurance-conseil à la définition de 1999 et l’évaluation intégrée de la gouvernance et des risques à l’évolution des années 2000-2024.

Explication

La définition de l’IIA de 1999 réunit l’indépendance et l’objectivité, l’assurance sur la maîtrise des opérations, le conseil pour les améliorer et la contribution à la création de valeur. La vérification comptable et le contrôle permanent de conformité correspondent à des étapes historiques antérieures; réduire la définition à une évaluation sans conseil en omet la double mission.

Explication

Entre 2000 et 2024, l’audit interne adopte progressivement une approche fondée sur les risques et évalue l’efficacité de la gouvernance, du contrôle interne et de la gestion des risques. Les autres propositions décrivent respectivement l’orientation comptable initiale, l’élargissement des années 1970 et la formulation de 1999.

Explication

Le modèle situe le contrôle interne dans la première ligne opérationnelle, la gestion des risques dans la deuxième ligne de pilotage et l’audit interne dans la troisième ligne d’assurance indépendante. Placer la gestion des risques en première ligne ou inverser les deuxième et troisième lignes confond les responsabilités de pilotage et d’assurance.

Explication

Une mission d’assurance repose sur l’examen objectif d’éléments probants et fournit une évaluation indépendante des processus de gouvernance, de management des risques et de contrôle. Le conseil répond à une attente spécifique par un avis ou une assistance; le contrôle opérationnel relève des activités de première ligne, et la vérification comptable est plus étroite que la définition de la mission d’assurance.

Explication

La mission de conseil répond à une attente spécifique d’un commanditaire et peut apporter un avis, un conseil, une assistance ou une formation. L’évaluation indépendante fondée sur des éléments probants relève de l’assurance; la maîtrise quotidienne des risques et le suivi de conformité renvoient à d’autres fonctions de contrôle.

Explication

Dans les organisations publiques, le modèle structure les responsabilités, limite les chevauchements et renforce la couverture globale des risques. Il organise des fonctions complémentaires plutôt que de les fusionner ou de supprimer leur coordination; la maîtrise des risques ne relève pas exclusivement de l’audit interne.

Explication

Le cadre associe le droit public tunisien, la gouvernance globale de la fonction selon l’IIA et la méthodologie opérationnelle de l’ISO 19011. La gouvernance de l’ISO 19011 confond les rôles des référentiels, le contrôle d’État substitue un autre volet juridique, et le COSO ou l’ISO 9001 ne remplacent pas les trois dimensions indiquées.

Explication

L’ISO 19011 apporte une méthodologie pratique de préparation, de conduite et de formalisation des audits; les normes de l’IIA encadrent professionnellement et organisationnellement la fonction d’audit interne. L’inversion des fonctions est la confusion centrale, tandis qu’attribuer les deux rôles à un seul référentiel efface cette distinction.

Explication

Les quatre principes présentés par l’IIA sont l’intégrité, l’objectivité, l’indépendance organisationnelle et la confidentialité. La conformité, la compétence professionnelle et la transparence sont des notions pertinentes, mais elles ne remplacent pas les principes indiqués.

Explication

La définition de l’IIA présente l’audit interne comme une activité indépendante et objective qui fournit assurance et conseils afin d’améliorer les opérations et de créer de la valeur. L’inspection de conformité en réduit la portée, la décision de gestion confond assurance et responsabilité opérationnelle, et la sanction ne caractérise pas cette définition.

Explication

Dans le modèle des Trois Lignes, l’audit interne constitue la troisième ligne et fournit une assurance indépendante sur l’efficacité des dispositifs mis en place par la direction. La mise en œuvre correspond à la responsabilité opérationnelle, la supervision renvoie à une autre ligne, et la certification externe n’est pas le rôle décrit.

Explication

Une gouvernance efficace exige une information fiable, disponible et pertinente, ainsi que la prise en compte des risques susceptibles d’affecter les objectifs. La fiabilité seule ne suffit pas, l’absence d’examen des risques omet un élément essentiel, et la conformité ne garantit pas la pertinence de l’information.

Explication

L’audit interne peut accompagner la transformation en évaluant la qualité des données, la sécurité des systèmes, la fiabilité des indicateurs et la maîtrise des risques numériques, puis en formulant des recommandations et en suivant leur mise en œuvre. L’analyse financière seule est trop étroite, la gestion directe des systèmes confond audit et responsabilité opérationnelle, et l’absence de suivi omet une partie de la démarche.

Explication

La transformation digitale modifie les processus audités et les méthodes des auditeurs, qui intègrent l’analyse des données, la cybersécurité et les risques numériques. L’automatisation et les risques juridiques réduisent ou déplacent cette mission ; l’examen financier et fiscal, ainsi que la gestion des ressources humaines ou la sécurité physique, ne correspondent pas aux éléments cités.

Explication

L’audit continu automatise les contrôles pour surveiller les opérations en permanence, alors que l’audit traditionnel s’appuie sur des contrôles périodiques réalisés a posteriori. Inverser ces approches confond leurs temporalités ; l’échantillonnage limité et l’audit prédictif ne décrivent pas la seconde approche présentée.

Explication

Les outils numériques d’analyse permettent d’examiner l’intégralité des transactions enregistrées, contrairement à l’échantillonnage, qui limite l’étendue des vérifications. Un échantillon élargi ou une sélection manuelle reste partiel, tandis qu’un examen limité aux anomalies signalées ne constitue pas une analyse exhaustive.

Explication

Dans un ERP, l’audit interne veille au moindre privilège et à la séparation des fonctions critiques afin de limiter la concentration des pouvoirs et les conflits de tâches. La rotation, les droits étendus ou une validation après paiement ne remplacent pas ces deux contrôles.

Explication

L’intégrité garantit que les données restent exactes, complètes et cohérentes, et qu’elles sont protégées contre les modifications non autorisées durant leur cycle de vie. La confidentialité concerne leur protection contre les accès non autorisés, la disponibilité leur accessibilité, et l’auditabilité la possibilité de retracer les opérations.

Explication

L’auditabilité permet de retracer, vérifier et justifier les opérations sur les informations, notamment leur origine, leurs modifications, les utilisateurs concernés et les circonstances des traitements. L’intégrité porte sur l’exactitude et la protection contre les modifications non autorisées ; la disponibilité et la gestion des accès ne suffisent pas à reconstituer ces opérations.

Explication

Pour préserver l’intégrité et la traçabilité, l’audit interne évalue les contrôles d’accès, les procédures de validation, les dispositifs de sauvegarde et les plans de continuité. La surveillance des performances, la certification externe ou l’analyse des ventes ne remplacent pas cet ensemble de contrôles.

Explication

Les CAATs exploitent directement les bases de données et les systèmes d’information afin de réaliser des analyses exhaustives plutôt que de se limiter à des tests par échantillonnage. Les contrôles ponctuels sont une approche limitée, tandis que la sauvegarde et la validation manuelle remplissent d’autres fonctions.

Explication

La séparation des tâches et le principe du moindre privilège contribuent à prévenir et détecter les risques numériques. La journalisation relève surtout de la traçabilité, les accès étendus augmentent l’exposition et un contrôle après incident ne prévient pas le risque.

Explication

Une information fiable doit être disponible au moment où elle sert à décider, en plus d’être exacte, complète et intègre. L’intégrité concerne la préservation des données, tandis que l’exactitude et l’exhaustivité portent sur leur contenu.

Explication

La cybersécurité vise à protéger les systèmes d’information contre les accès non autorisés, les attaques et les pertes de données. La fiabilité décisionnelle concerne les qualités de l’information, la continuité porte sur l’accès aux services et la centralisation est une caractéristique d’architecture.

Explication

La disponibilité concerne l’accès aux systèmes et aux données lorsque cela est nécessaire; une interruption la compromet. La confidentialité porte sur l’accès par les personnes autorisées, l’intégrité sur les modifications illicites et la traçabilité n’est pas l’un des trois principes du CIA Triad.

Explication

L’audit interne évolue vers une fonction de conseil et d’accompagnement, mais reste indépendant et objectif et contribue à créer de la valeur et à améliorer les opérations. Assumer les opérations ou les décisions managériales effacerait cette distinction.

Explication

La fonction de conseil fournit des recommandations, des analyses et des avis sans assumer la responsabilité opérationnelle. La prise en charge de la mise en œuvre ou la décision de gestion relèvent du management, tandis que l’assurance indépendante constitue une autre contribution de l’audit.

Explication

L’indépendance exige de séparer le conseil de l’opérationnel, de préserver l’objectivité, d’exclure les décisions managériales et d’encadrer formellement la mission. Choisir la solution ou diriger son déploiement ferait assumer à l’auditeur des responsabilités de gestion.

Explication

Les 82 % décrivent la couverture des dispositifs d’audit interne, tandis que les 62 % correspondent aux organismes ayant fait l’objet d’une mission pendant les cinq dernières années. Confondre couverture et réalisation effective d’une mission mélange deux indicateurs distincts.

Explication

Ces constats regroupent les faiblesses relevées dans certaines entreprises publiques tunisiennes : structures d’audit internes insuffisantes, indépendance fonctionnelle limitée, intégration faible des risques, retard numérique et manque de spécialistes. Les pratiques institutionnalisées et la forte digitalisation correspondent davantage au profil comparatif des pays développés de l’OCDE ; les ressources suffisantes et la couverture élevée ne sont pas les constats décrits.

Explication

La comparaison distingue une contribution stratégique de l’audit à la gouvernance dans les pays développés de l’OCDE et une orientation souvent axée sur la conformité dans les entreprises publiques tunisiennes. L’option sur les comités inverse leur présence comparative, tandis que celle sur la digitalisation inverse également les niveaux observés.

Explication

La recherche vise à analyser la gouvernance, le contrôle interne et le management des risques, à évaluer la digitalisation et l’usage de l’intelligence artificielle, puis à examiner le rôle de l’audit interne dans cette transformation. La rentabilité financière, la certification externe des comptes et l’évaluation isolée des compétences ne résument pas cet objectif.

Explication

L’étude du CITET adopte une approche mixte qui combine des méthodes qualitatives et quantitatives, comme les entretiens et le traitement statistique des questionnaires dans ce cas. Une démarche exclusivement qualitative ou quantitative écarterait l’une de ces composantes, tandis que l’analyse documentaire seule ne constitue pas l’approche décrite.

Explication

Le questionnaire mesure aussi la qualité du service d’audit interne, en plus des dimensions de digitalisation, de contrôle interne, de gestion des risques et de perception du rôle de l’audit. La certification externe, la rentabilité des projets et la fréquence des inspections ne sont pas les dimensions indiquées pour cette enquête.

Explication

La méthode associe l’analyse documentaire des chartes et procédures à l’identification des dispositifs, le codage thématique aux entretiens et le traitement statistique aux questionnaires. Les propositions qui appliquent des traitements statistiques aux documents ou aux entretiens, ou qui attribuent aux questionnaires le codage thématique, confondent les méthodes correspondant à chaque matériau.

Explication

La gouvernance associe la Direction Générale, les structures administratives et financières, les structures techniques et plusieurs fonctions qui lui sont rattachées, comme l’audit interne et la qualité. L’absence de fonctions rattachées les omet, l’absence de la Direction Générale retire une composante centrale et le comité d’audit et des risques ne fait pas partie de cette organisation décrite.

Explication

Les dix dimensions se répartissent en quatre insuffisantes, quatre à améliorer, une relativement satisfaisante mais à renforcer et une favorable mais à renforcer. Les autres répartitions déplacent une dimension entre les catégories ou en modifient le nombre.

Explication

Les appréciations insuffisantes ou à améliorer représentent huit dimensions sur dix, soit 80 %, tandis que les deux appréciations relativement satisfaisante ou favorable mais à renforcer représentent 20 %. Le couple inversé confond les regroupements, et les autres couples ne correspondent pas à leur nombre de dimensions.

Explication

Le risque lié au système d’information a un impact de 4 et une probabilité de 4, ce qui donne un score de 16, classé critique dans cette cotation. Le pilotage et le reporting obtiennent 12, tout comme les ressources humaines et la gouvernance et l’éthique.

Explication

La cartographie, les procédures en cours de révision et le projet d’ERP sont des fondations, mais l’efficacité dépend de leur appropriation, de leur actualisation et de leur application. Assimiler la présence d’outils ou le seul projet d’ERP à une efficacité démontrée confond existence formelle et fonctionnement opérationnel.

Explication

Le CITET ne dispose ni d’une politique formalisée de management des risques ni d’un comité d’audit et des risques, ce qui limite la structuration du pilotage et du suivi global. L’absence de cartographie est erronée, et les procédures ainsi que le projet d’ERP sont bien présents, même si leur efficacité doit être consolidée.

Explication

La démarche commence par la formation de représentants des directions et services afin de recenser les problématiques et les principaux risques; les conclusions sont ensuite rapprochées des rapports de contrôle interne de 2021 et 2022. Inverser les étapes, substituer la validation à cette analyse ou omettre le recensement ne respecte pas la procédure.

Explication

La Direction de la planification, de l’organisation et du contrôle de gestion coordonne la démarche, tandis que la Direction Générale valide les orientations stratégiques. L’audit interne évalue périodiquement le processus et les mesures de maîtrise; les directions recensent les risques de leur domaine.

Explication

La proportion d’utilisateurs est de $\frac{11}{25}\times 100=44\,\%$. Les 48 % correspondent aux services sans outils, les 8 % aux projets en cours, et 52 % résulte de l’addition erronée des services utilisant des outils et de ceux ayant un projet.

Explication

La catégorie des services sans outils numériques rassemble 12 services, soit 48 % du total. Les projets en cours en comptent 2, tandis que les outils fonctionnels et les outils partiels ou dysfonctionnels en comptent chacun 5.

Explication

La coexistence de logiciels fragmentés et de pratiques manuelles comme Excel, ainsi que l’obsolescence du système des immobilisations, freinent la digitalisation. Le manque de projets et l’usage excessif de l’intelligence artificielle ne décrivent pas ces facteurs.

Explication

Au CITET, l’IA est peu utilisée et soutient principalement l’analyse et la rédaction de rapports, sans intégration réelle aux processus décisionnels ou opérationnels. Le pilotage des opérations et le suivi des recommandations correspondent à d’autres fonctions.

Explication

La mission générale de l’audit interne combine contrôle, évaluation et conseil afin d’améliorer les processus et de renforcer la gouvernance. La gestion quotidienne relève des fonctions opérationnelles, tandis que la mission ne se limite ni aux dépenses ni au conseil.

Explication

L’audit interne évalue la conformité aux politiques, procédures et règlements, et contribue à garantir la fiabilité du contrôle interne. Diriger le service ou exécuter ses mesures correctives relèverait de tâches opérationnelles.

Explication

Après la formulation des recommandations, la sous-direction suit la mise en œuvre des actions correctives et mesure leur impact sur la performance organisationnelle. La seule formulation des recommandations ne couvre donc pas cette étape de suivi.

Explication

Les réponses distinguent deux constats : 100 % des répondants reconnaissent la contribution de l’audit à la maîtrise des risques, tandis que 66,7 % estiment que ses recommandations améliorent la gouvernance. Généraliser l’unanimité au second constat confond les proportions rapportées.

Explication

Les difficultés recensées associent des obstacles humains, financiers et technologiques à l’absence de suivi systématique des recommandations. La sensibilisation et les indicateurs sont des réponses recommandées, les problèmes logiciels relèvent d’autres audits et un périmètre étendu ou des ressources suffisantes ne décrivent pas les difficultés constatées.

Explication

Le CITET recommande d’élargir le périmètre aux risques stratégiques, numériques et émergents, et de formaliser le suivi à l’aide de tableaux de bord et d’indicateurs. Des comptes rendus ponctuels ne constituent pas le suivi formalisé préconisé, la réduction du périmètre va à l’encontre de son élargissement et écarter l’analyse prédictive ou privilégier le papier ne correspond pas aux recommandations.

Explication

Le taux global d’exploitation de Qualipro est de 90 %. Le taux de 100 % correspond au LIMS, tandis que 75 % et 70 % sont les taux des modules GRH et Parties intéressées de Qualipro.

Explication

Les modules GRH et Parties intéressées affichent respectivement 75 % et 70 % d’exploitation; le manque d’effectifs, les pratiques papier et le déficit de formation expliquent notamment leur sous-utilisation. Inverser les taux confond les deux modules, la lenteur et l’ordinateur partagé concernent les risques du LIMS, et 90 % et 100 % sont des taux globaux attribués à des logiciels différents.

Explication

L’absence d’interfaçage effectif entre le LIMS et le futur ERP peut entraîner des doubles saisies et une perte de temps en pré-facturation; la lenteur et le partage d’un ordinateur sont également des risques du LIMS. Les attestations sans validation concernent l’e-learning, et l’absence de statistiques est un problème de cette plateforme plutôt qu’un risque indiqué pour le LIMS.

Explication

Le retrait d’attestations sans validation préalable expose le CITET à la fraude et peut dévaloriser ses certifications. L’absence de maintenance et les difficultés d’interface sont d’autres problèmes de la plateforme, tandis que la saisie de résultats et la pré-facturation renvoient au LIMS.

Explication

L’audit interne associe l’assurance, qui vérifie la conformité aux normes, et le conseil, qui propose des améliorations. Le contrôle externe ne remplace pas ces deux missions, et l’assurance seule omet le conseil.

Explication

La non-digitalisation peut dégrader la fiabilité et la traçabilité, retarder les missions, accroître le risque de non-conformité et réduire l’efficacité. L’absence de système intégré décrit plutôt une cause, tandis que la fraude avérée et les sanctions ne sont pas établies.

Explication

La réponse recommandée combine plateforme intégrée, digitalisation progressive des procédures prioritaires, formation, actualisation des pratiques et remplacement des outils obsolètes. Un basculement sans accompagnement néglige la progressivité et la sensibilisation.

Explication

La convergence des constats de la Cour des comptes et de l’audit interne 2025 exerce une pression cohérente qui incite le management à accélérer les réformes. Elle ne signifie ni que les réformes sont achevées ni que le contrôle interne disparaît.

Explication

Le dispositif de contrôle interne et de gestion des risques est de maturité intermédiaire à l’ONAS, comme au CITET. Le niveau avancé correspond à la STEG et à l’OACA, tandis que le niveau élevé caractérise la SONEDE.

Explication

Le projet d’ERP/PGI vise une meilleure intégration des processus au CITET, où plusieurs applications sont déjà utilisées. LIMS, QUALIPRO, TUNEPS et AGILIS sont des applications existantes, tandis que le rattachement à la Direction Générale concerne l’organisation de l’audit interne.

Explication

Le rattachement à la Direction Générale, la cartographie des risques, les procédures, le suivi des recommandations et la transformation numérique constituent des fondements, mais ne suffisent pas à établir une maturité avancée. L’idée de maturité avancée surestime ces acquis, celle de maturité initiale ignore les dispositifs existants, et celle de maturité optimale confond engagement numérique et transformation achevée.

Explication

La contribution stratégique est limitée par l’absence de politique formalisée de gestion des risques et de comité d’audit, les difficultés d’accès à l’information, la faible synergie des contrôles, la digitalisation partielle et l’intégration limitée de l’IA. Les dispositifs de rattachement et de cartographie sont des acquis, l’absence totale de cartographie est inexacte, et les effectifs ou la formation ne sont pas les facteurs cités.

Explication

L’enjeu est de faire évoluer l’audit, au-delà de la conformité et de la vérification, vers une contribution au pilotage des risques et à la gouvernance numérique. Maintenir le seul contrôle de conformité manque cette évolution, transférer la gestion des risques confond conseil et responsabilité, et l’automatisation des rapports est trop limitée.

Explication

La digitalisation progressive proposée combine centralisation des données, préparation des missions, suivi des recommandations et tableaux de bord afin d’améliorer rapidité, fiabilité et traçabilité. La rédaction seule ne couvre pas ces fonctions, l’analyse automatisée néglige le suivi opérationnel et le calendrier ne remplace ni la centralisation ni la traçabilité.

Explication

Le COSO distingue trois catégories : les opérations, la fiabilité de l’information et la conformité ; la protection du patrimoine relève des objectifs liés aux opérations. La traiter comme une quatrième catégorie la confond avec les catégories du référentiel, tandis que la fiabilité de l’information et la conformité sont deux catégories distinctes.

Explication

Le décret-loi n° 2011-116 porte sur la liberté de la communication audiovisuelle et la création de la HAICA ; il n’impose pas de comités d’audit dans les entreprises publiques. L’obligation de comité d’audit lui attribue une portée erronée, les interactions avec les contrôleurs d’État relèvent d’autres textes, et l’indépendance des contrôles ne suffit pas à établir cette obligation.