UN GROUPE D'ÉTUDE EXAMINE LES PROBLÈMES AUXQUELS LE VÉRIFICATEUR EST CONFRONTÉ LORSQU'IL RECUEILLE DE L'INFORMATION ÉLECTRONIQUE À TITRE DE PREUVE

Le recours à la technologie et aux systèmes informatisés pour recueillir, traiter, transmettre, enregistrer et présenter l'information n'est pas nouveau, mais il prend aujourd'hui une nouvelle dimension. Alors que l'automatisation touchait certaines parties du traitement de l'information, on assiste maintenant au développement et à la convergence des technologies de l'information (TI) et à l'intégration des systèmes d'information (SI) permettant le flux transparent de l'information. Dans un environnement de SI intégrés, l'information est échangée de façon dématérialisée, sans contrainte physique de distance ou de frontières, et transmise d'une application à une autre, d'une entité à une autre, d'un pays à un autre, par l'entremise de réseaux électroniques.

La dématérialisation de l'information est une réalité omniprésente et le vérificateur est confronté à un environnement où les informations qu'il doit recueillir à titre d'éléments probants existent sous forme électronique. Mais qu'entend-on par éléments probants électroniques? Quelles sont les caractéristiques de ces preuves et en quoi diffèrent-elles des éléments probants traditionnels? Quelles sont les incidences liées à leur utilisation, notamment sur la stratégie de vérification? Quels en sont les risques et quels sont les contrôles qui peuvent contribuer à réduire ces risques? Voilà certaines des questions sur lesquelles un groupe d'étude de l'ICCA, présidé par Caroline Émond, CA, se penche actuellement. À la demande du Conseil des normes de certification et du Comité consultatif sur les technologies de l'information de l'ICCA, le groupe d'étude prépare un rapport de recherche sur les questions relatives aux éléments probants électroniques.

Les questions soulevées par les éléments probants électroniques touchent d'abord la fiabilité des éléments probants, mais aussi la compétence professionnelle, la connaissance des activités de l'entité, la stratégie de vérification, la détection des inexactitudes et des illégalités ainsi que la documentation des éléments probants. Le rapport de recherche étudiera ces questions et proposera des recommandations visant à ce que les normes de certification fournissent des directives à ce sujet. Les risques engendrés par les éléments probants électroniques, les contrôles et les technologies qui contribuent à réduire ces risques, ainsi que les questions juridiques posées par le document et la signature électroniques y seront examinés. Les paragraphes qui suivent abordent brièvement quelques-unes de ces questions.

Les éléments probants électroniques sont les informations créées, transmises, traitées, enregistrées et/ou conservées de façon électronique sur lesquelles le vérificateur s'appuie pour étayer son rapport. De plus, elles ne sont accessibles qu'à l'aide d'équipement et de technologies pertinentes, comme un ordinateur, une imprimante, un numériseur, un capteur ou un média magnétique. La forme des informations électroniques peut varier; par exemple, il peut s'agir de textes, d'images, de vidéos ou d'enregistrements audio, etc. Les éléments probants électroniques incluent les comptes, notamment les journaux et le grand livre, les documents sources et autres pièces justificatives comme les contrats électroniques, les documents électroniques relatifs à la facturation, à l'approvisionnement et au paiement (souvent électroniques eux aussi), les confirmations électroniques et toutes autres données ou informations sous forme électronique utiles à la vérification.

De par leurs attributs, les éléments probants électroniques diffèrent des éléments probants traditionnels à plusieurs égards. En effet, les éléments probants électroniques comportent des informations dématérialisées, sous forme numérique, dont la structure logique du format est indépendante de l'information. De plus, les données renseignant sur l'origine, la destination et les dates d'envoi et de réception des informations (les métadonnées) ne font pas partie intégrante du document (ou message ou autre format de l'information) électronique. Le Tableau 1 résume les distinctions entre les éléments probants papier et les éléments probants électroniques.

• d'une signature sans aucun contrôle, par exemple un nom simplement tapé à la fin d'un document;
• d'une signature créée à l'aide de techniques de sécurité non cryptographiques, par exemple en ayant recours à un mot de passe, un code secret, un numéro d'identification personnel, une carte à puce, une identification biométrique ou une signature numérisée (digitized signature);
• d'une signature créée à l'aide de techniques de sécurité cryptographiques, par exemple en ayant recours à la cryptographie symétrique ou à clé secrète, à la cryptographie asymétrique ou à clé publique ou à la signature numérique (digital signature).

Pour atteindre les objectifs spécifiés au Tableau 3, la signature électronique doit être pourvue des contrôles et des technologies pertinentes. Les techniques de sécurité non cryptographiques, essentiellement fondées sur l'usage d'un secret partagé, contribuent surtout à contrôler l'authentification et l'autorisation de la signature et du document électroniques. Ces techniques de sécurité comportent cependant des limitations importantes. L'authentification par le recours à une technique fondée sur un secret partagé présume que les parties ont déjà échangé des informations afin de convenir de ce secret. De plus, un secret n'est efficace que s'il n'est pas oublié, divulgué ou découvert. En outre, les techniques de sécurité non cryptographiques n'offrent pas de sécurité concernant la non-répudiation, l'intégrité ou la confidentialité des documents et des signatures électroniques. Les techniques de sécurité cryptographiques, selon l'usage qui en est fait, permettent d'assurer de façon sécuritaire l'authentification, la non-répudiation, l'intégrité et/ou la confidentialité des documents et des signatures électroniques. Les techniques de sécurité non cryptographiques et cryptographiques sont souvent utilisées conjointement, car elles sont complémentaires pour assurer un niveau élevé de fiabilité.

Signature numérique
La signature numérique recourt à la cryptographie asymétrique ou à clé publique; il s'agit d'une technique qui, à l'aide d'une fonction mathématique, génère une paire de clés, l'une étant dérivée de l'autre, permettant de chiffrer ou de déchiffrer des données. L'une des clés est gardée secrète par son détenteur et l'autre est affichée publiquement. La signature numérique consiste à calculer un condensé du message original (message digest) et de le crypter avec la clé privée du signataire. Le condensé de message est une séquence de caractères qui représente d'une façon unique un message, dont la valeur est calculée par un algorithme de hachage. Le condensé de message permet de représenter un message de taille variable en un code unique de petite taille. Si un seul caractère du message original est changé, le condensé du message modifié n'est plus équivalent à celui du message original. Si la valeur du condensé du message reçu correspond à celle du condensé du message original², on peut prouver l'authentification du message, sa non-répudiation ainsi que son intégrité. Cependant, l'assurance de l'identité du signataire dépend en grande partie des contrôles mis en place pour garantir la sécurité de la clé privée du signataire ainsi que de la confiance que l'on a que l'identité qui est associée à la clé publique est authentique. Une infrastructure à clés publiques est une solution permettant d'assurer une bonne gestion des clés et d'obtenir une assurance quant à l'identité de la signature numérique.

Incidences juridiques
Des progrès importants ont été réalisés au Canada et à l'échelle internationale concernant la reconnaissance juridique du document et de la signature électroniques en matière de preuve. À l'instar de nombreux pays, le gouvernement fédéral et la plupart des provinces canadiennes ont adopté des lois en matière de commerce électronique et ont modifié leurs lois sur la preuve afin de donner effet à la reconnaissance du document et de la signature électroniques et d'établir des critères d'admissibilité concernant ces preuves. Malgré ces progrès importants, il subsiste des incertitudes juridiques concernant les documents électroniques. Il existe notamment d'importantes ambiguïtés quant à la classification d'une situation juridique et à la délimitation des champs d'application des lois en ce qui concerne les opérations conclues dans le cyberespace. Il subsiste également des incertitudes quant aux conditions d'admissibilité du document et de la signature électroniques en vertu des lois applicables au Canada.

Il incombe à la personne qui cherche à faire admettre un document électronique en preuve d'établir son authenticité et son intégrité au moyen d'éléments de preuve permettant de conclure que le document est bien ce qu'il paraît être. Il revient à la cour de décider si, dans un cas donné, la preuve est admissible. Dans le cas où l'admissibilité d'un document électronique serait remise en cause, la personne voulant faire admettre le document en preuve devra démontrer son intégrité et son authenticité. La meilleure façon pour une entité de minimiser les risques juridiques liés à l'admissibilité des documents électroniques est d'instaurer et de maintenir des SI fiables et de recourir aux technologies appropriées permettant de démontrer l'intégrité des données. Des conditions peuvent aussi être imposées concernant l'admissibilité de la signature électronique : la technologie adoptée doit permettre d'identifier le signataire, et le lien entre la signature et le document électronique doit être établi de façon à permettre de vérifier si le document a été modifié depuis la signature. En outre, plusieurs lois comportent des normes ou règles pouvant exiger l'usage de technologies ou la mise en place de procédures particulières.

Comme on peut le constater, les informations électroniques soulèvent de nombreuses questions importantes qui intéresseront sans aucun doute tant les gestionnaires qui désirent une information décisionnelle fiable que les vérificateurs qui doivent s'appuyer sur cette information pour réunir des éléments probants suffisants et adéquats afin d'étayer le rapport du vérificateur.