Mis à jour le 13 juillet 2023

L’audit de sécurité informatique contribue à limiter vos risques et à conserver la confiance de vos clients et partenaires.

Afin de limiter les risques de perte de données et de fraudes, les entreprises doivent se préoccuper de leur sécurité informatique. Avec les cyberattaques qui se multiplient et la transition vers le télétravail pour de nombreuses organisations, les défis sont importants, pour les PME comme pour les grandes entreprises.

Des failles attribuables à votre technologie, à vos processus ou à une erreur humaine pourraient compromettre la confiance des clients et partenaires envers votre entreprise et nuire à votre réputation. Bien sûr, il faut aussi envisager les coûts engendrés par les conséquences néfastes qui pourraient en découler.

Voici quelques questions à se poser :

  • Est-ce que vous appliquez toutes les bonnes pratiques en matière de sécurité informatique?
  • Est-ce que ces pratiques sont documentées et bien communiquées?
  • Votre plan de réponse aux incidents est-il à jour?
  • Avez-vous prévu tous les cas de figure, tels que les sauvegardes de données ou la protection des postes de travail et des serveurs?

Un audit de sécurité informatique sert à évaluer l’ensemble des éléments qui influencent votre sécurité et à répondre à ces nombreuses questions. Il permet d’identifier les bonnes pratiques à conserver et de compléter par des recommandations pour pallier les vulnérabilités détectées.

Quel est le but d’un audit de sécurité informatique?

L’audit est parfois perçu à tort comme une punition ou une critique, notamment lorsqu’il est demandé par la direction d’une entreprise sans consensus avec les équipes techniques. Il s’agit pourtant d’un excellent levier pour obtenir le soutien des preneurs de décision, pour mettre en place des processus adéquats et des solutions indispensables pour l’organisation, et pour mettre en lumière le rendement d’un tel investissement.

Un audit de sécurité informatique est avant tout une discussion ouverte avec les personnes clés de l’organisation, permettant de bien comprendre les enjeux opérationnels, les risques, et les mesures compensatoires existantes ou potentiellement manquantes.

Cet exercice vise notamment à produire une analyse d’écart avec les standards du marché et oriente l’organisation afin qu’elle se conforme aux exigences d’une certification (comme ISO27001).

Dans un contexte de menaces actives, des organisations, parfois plus grandes que la vôtre, censées avoir une meilleure posture, sont victimes d’incidents. Peu importe la taille de l’organisation, on ne peut ignorer ses propres faiblesses.

Alors que chacun prend sa responsabilité très au sérieux dans l’entreprise, des contrôles de sécurité peuvent manquer involontairement. L’audit de sécurité informatique entre en jeu pour s’assurer que vous avez couvert l’ensemble des contrôles nécessaires à la résilience de votre organisation face aux cyberincidents, en prévention, en détection et en contrôles correctifs.

Quels sont les bénéfices d’un audit de sécurité informatique?

Un audit de sécurité informatique se base sur des référentiels existants, des standards de l’industrie (ISO, CIS, etc.). La comparaison entre un référentiel donné et la situation de votre entreprise constitue ce qu’on appelle une analyse d’écart, qui vise à identifier les contrôles manquants, les risques associés et les impacts potentiels sur votre organisation.

De plus, un audit permet de mettre en place des processus de vérification récurrents, s’assurant ainsi que la croissance ou l’évolution de l’organisation reste alignée avec les requis identifiés lors de l’audit.

L’audit par un tiers apporte plusieurs avantages à une organisation. Il permettra, par exemple, de :

  • valider la maturité de l’organisation dans le domaine de la cybersécurité par des experts;
  • formaliser les processus et s’assurer que l’ensemble est documenté;
  • fournir un point de départ pour démarrer un processus d’amélioration continue;
  • renforcer la posture de sécurité de l’organisation, optimiser les processus et rendre l’entreprise plus résiliente;
  • conduire à des recommandations pratiques, qui peuvent accompagner les changements;
  • augmenter la confiance des partenaires et des clients, en faisant preuve de gestion active de la sécurité;
  • faciliter la relation avec les assureurs grâce à des processus formels;
  • réduire les risques liés aux menaces informatiques grâce à la mise en place de recommandations;
  • renforcer la confiance et l’alignement entre la direction et le prestataire (interne ou externe) relativement à la gestion des technologies de l’information.

L’équipe d’experts qui vous accompagnera dans cet exercice sera également un partenaire privilégié en cas d’incident, vous offrant un soutien efficace.

Nous vivons présentement à l’ère numérique et cette transformation se fait à vitesse grand V. La confiance en la gestion des opérations technologiques est critique pour la pérennité et le succès d’une entreprise. La sécurité informatique touche tous les secteurs d’affaires et est un élément central du déroulement des activités. Un œil externe expérimenté portera à votre attention tous les éléments cruciaux qui auraient pu vous échapper et vous orientera vers les solutions les plus pertinentes pour votre organisation.

Article suivant

La norme IAS 36 Dépréciation d’actifs n’est pas une nouvelle norme et, bien que bon nombre de ses exigences ne soient pas inconnues, un test de dépréciation à l’égard d’actifs (qu’il s’agisse d’immobilisations corporelles ou incorporelles) est souvent difficile à appliquer dans la pratique. Cela s’explique par le fait que les directives d’IAS 36 sont détaillées, prescriptives et complexes pour certains aspects.

La série Insights into IAS 36 a été rédigée pour aider les préparateurs d’états financiers et les personnes responsables de la gouvernance des entités publiantes à comprendre les exigences énoncées dans IAS 36 et pour revoir certains aspects où une confusion avait été constatée dans la pratique.

Les trois premiers bulletins de la série Insights into IAS 36 sont les suivants :

  • Overview of the Standard;
  • Scope and structure of IAS 36;
  • If and when to undertake an impairment review.

Le premier bulletin intitulé Overview of the Standard fournit une vue d’ensemble des principales exigences d’IAS 36 et décrit les grandes étapes à suivre pour les appliquer.

Le deuxième bulletin Scope and structure of IAS 36 aborde la question du champ d’application du test de dépréciation (c’est-à-dire les types d’actifs qui sont inclus) et la façon dont le test est structuré (c’est-à-dire le niveau auquel les actifs sont testés).

Le troisième bulletin dont il est fait mention ci-dessus précise comment déterminer si un test de dépréciation détaillé, tel qu’il est défini dans IAS 36, est nécessaire et quand il doit être effectué, le cas échéant.

Les bulletins mentionnés ci-dessus sont joints à la présente Alerte de votre conseiller.

Article suivant

Lors de la plus récente conférence du G7, un accord sur une réforme de la fiscalité internationale a été annoncé. Le 1er juillet 2021, le G20 a quant à lui fait une déclaration sur des propositions de solutions et a apporté des précisions additionnelles (« propositions de juillet »).

Depuis quelques années, l’Organisation de coopération et de développement économiques (« OCDE ») chapeaute les discussions sur une réforme de la fiscalité internationale dans le cadre de l’initiative sur l’érosion de la base d’imposition et le transfert de bénéfices, un projet mieux connu sous le nom BEPS, de l’acronyme anglais Base Erosion and Profit Shifting. Les propositions de juillet décrivent en détail comment seront implantés le Pilier Un, qui porte sur la fiscalité de l’économie digitale, et le Pilier Deux, portant sur un impôt minimum international.

Pilier Un – Transfert du droit d’imposition

Les propositions du Pilier Un visent les entreprises multinationales (« EMN ») dont le chiffre d’affaires mondial dépasse 20 milliards d’euros et dont la rentabilité, mesurée par le ratio du bénéfice avant impôt sur le chiffre d’affaires, est supérieure à 10­%. Ces seuils seront déterminés en se basant sur les résultats comptables des EMN, avec quelques ajustements. Les EMN assujetties au Pilier Un ne seront pas limitées aux entreprises œuvrant dans le secteur de l’économie numérique. Les industries extractives et les services financiers réglementés seront cependant exclus.

L’objectif du Pilier Un est le transfert du droit d’imposition de la juridiction de résidence aux juridictions de marché (là où sont localisés les clients). La portion exacte des bénéfices qui pourra être transférée n’a pas encore été confirmée. Les Propositions de juillet indiquent qu’entre 20­% et 30­% de la rentabilité excédant 10­% sera attribuée aux juridictions dans lesquelles une EMN sera considérée avoir une présence suffisante, un concept connu sous le nom de « nexus ». L’allocation se fera à partir d’une clé de répartition basée sur le chiffre d’affaires.

Les bénéfices seront alloués à une juridiction de marché si les revenus dans cette juridiction dépassent un certain seuil, seuil qui dépend du PIB de la juridiction, soit :

  • PIB inférieur à 40 milliards d’euros : 250 000 d’euros
  • PIB égal ou supérieur à 40 milliards d’euros : 1 million d’euros

Le chiffre d’affaires pour une juridiction de marché sera déterminé selon l’endroit où les biens ou les services sont utilisés ou consommés. Des règles de source détaillées pour des catégories données de transactions seront élaborées afin de faciliter l’application de ce principe.

Dans plusieurs cas, les bénéfices d’une EMN sont déjà alloués à une juridiction de marché compte tenu de sa structure actuelle. Dans ces cas, un régime de protection applicable aux bénéfices issus d’activités de commercialisation et de distribution permettra de plafonner les bénéfices résiduels à être attribués. Des travaux supplémentaires seront entrepris afin de concevoir ce régime de protection.

L’application du principe de pleine concurrence aux activités de commercialisation et de distribution sera également simplifiée et standardisée. Ces travaux devraient être complétés avant la fin de 2022.

Les propositions du Pilier Un résulteront en un transfert significatif de bénéfices entre les juridictions. Ces mesures nécessiteront la mise en place de mécanismes d’exemption ou de crédit, afin de s’assurer que les EMN ne sont pas en situation de double imposition. Le risque de double imposition est notamment causé par le fait que les différentes juridictions n’imposeront pas nécessairement les règles de la même façon.

L’instrument multilatéral sera utilisé pour la mise en place du Pilier Un, le même qui a été récemment utilisé pour apporter des modifications aux conventions fiscales. L’OCDE prévoit que l’instrument multilatéral sera prêt pour signature en 2022 et prendra effet en 2023.

Le seuil de chiffre d’affaires de 20 milliards d’euros devrait être abaissé à 10 milliards d’euros sept ans après l’entrée de vigueur de l’accord.

Pilier Deux – Impôt minimum international

Le principe de base du Pilier Deux est l’établissement d’un impôt minimum sur une base pays par pays. Il introduit les règles globales de lutte contre l’érosion d’imposition (« GloBE »). Ces propositions s’appliqueront aux EMN qui réalisent un chiffre d’affaires d’au moins 750 millions d’euros, le même seuil qui s’applique pour la production de la déclaration de prix de transfert pays par pays.

Les propositions de juillet précisent que les pays sont libres d’assujettir des EMN dont le chiffre d’affaires est inférieur au seuil de 750 millions d’euros. Ces propositions pourraient donc éventuellement s’appliquer aux petites et moyennes entreprises (« PME »). Les entités gouvernementales, les organismes internationaux, les organismes à but non lucratif, les fonds de pension et les fonds d’investissement qui sont des Entités Mères Ultimes (« EMU ») ne seront pas soumis aux règles GloBE. Seule l’industrie du transport maritime international est exclue de ces propositions.

Le taux minimum d’impôt sera d’au moins 15­%. Le calcul sera basé sur une définition commune des impôts couverts, et la base d’imposition sera déterminée en se basant sur les résultats comptables (avec des ajustements semblables à ceux considérés pour le Pilier Un).

Certains types de revenus (par exemple, les intérêts et les redevances) pourraient être assujettis à un taux moins élevé (entre 7,5­% et 9­%).

Les propositions de juillet réitèrent la panoplie de mécanismes qui pourront être utilisés afin d’arriver à un impôt minimum global. Ces mécanismes sont :

  • La règle d’inclusion de revenu (« RDIR ») : la RDIR consiste à assujettir une entité mère à un impôt supplémentaire portant sur le revenu faiblement imposé d’une de ces entités constitutives.
  • La règle relative aux paiements insuffisamment imposés d’une entité constitutive (« RPII ») : la RPII refuse la déductibilité ou requiert un ajustement équivalent lorsque le revenu faiblement imposé n’est pas assujetti à l’impôt d’une RDIR C’est une mesure sur l’érosion de la base fiscale similaire au concept de BEAT américain.
  • La règle d’assujettissement à l’impôt (« RAI ») : la règle conventionnelle qui accorde aux juridictions de source un droit d’imposition limité sur certains paiements entre parties liées imposés à un taux inférieur au taux minimum dans la juridiction de résidence du récipient. La RAI sera considérée comme impôt couvert pour les règles GloBE.

Il est convenu que le Pilier Deux appliquera un taux minimum pays par pays. Dans ce contexte, les Propositions de juillet tiendront compte des conditions dans lesquelles le régime GILTI des États-Unis coexistera avec les règles GloBE. Cette concession est importante afin de s’assurer de la participation des États-Unis aux propositions du Pilier Deux.

Selon l’OCDE, les propositions de juillet permettront d’établir un impôt minimum robuste avec un impact limité sur les EMN qui exercent de réelles activités économiques avec de la substance. Un plan d’implantation du Pilier Deux est prévu pour 2022 et son entrée en vigueur pour 2023.

Prochaines étapes

Les propositions de juillet apportent à la communauté fiscale de l’information additionnelle sur les Piliers Un et Deux. Il reste cependant plusieurs détails à être définis. L’OCDE doit finaliser un plan de mise en œuvre détaillé pour octobre 2021.

Article suivant

Vincent Cartier
Associé | CPA | Conseil en management

Mis à jour le 21 avril 2022

Le développement durable n’est plus facultatif. Votre entreprise est-elle prête à intégrer les facteurs ESG et les risques climatiques dans sa gestion?

Le 7 avril dernier, le gouvernement fédéral a publié son budget 2022, incluant des mesures significatives pour construire une économie sobre en carbone et pour atteindre la carboneutralité nationale d’ici 2050.

Obligation de divulgation d’ici 2024

Parmi les nouvelles mesures, le gouvernement s’est engagé à se diriger vers la divulgation obligatoire des facteurs environnementaux, sociaux et de gouvernance (ESG) et des risques climatiques pour les différents acteurs de l’économie, selon le cadre international du Groupe de travail sur l’information financière relative aux changements climatiques (GIFCC ou TCFD).

En effet, les institutions sous réglementation fédérale (institutions financières et sociétés d’assurances) auront l’obligation de publier les divulgations sur le climat sur la base du cadre du GIFCC d’ici 2024 sous la supervision du Bureau du surintendant des institutions financières (BSIF).

Cet engagement survient quelques mois après l’approbation du G7 d’une éventuelle divulgation obligatoire d’informations relatives aux changements climatiques. Le groupe avait déclaré son soutien « à l’adoption obligatoire de la divulgation financière liée au climat qui fournit aux participants du marché des renseignements cohérents et utiles à la prise de décisions » fondée sur les recommandations du GIFCC.

Le cadre recommandé par le GIFCC, publié pour la première fois par le Conseil de stabilité financière en 2017, touche quatre domaines clés visant à intégrer le risque lié au climat dans le système financier et dans toutes les sphères de la gestion d’une organisation. Il encourage les entreprises et les institutions à adopter une approche globale des défis climatiques en les intégrant dans les structures de gouvernance existantes, ainsi que dans leur gestion stratégique et dans leur gestion des risques et de la performance. Il les incite également à divulguer les informations sur les mesures prises.

Une mesure attendue par les investisseurs

De nombreux pays ont déjà mis en place ce type de mesure, comme la France, le Royaume-Uni, et, récemment, les États-Unis, en élargissant l’obligation de divulgations du GIFCC aux entreprises publiques enregistrées.

Cette mesure est très attendue par les investisseurs. Le gouvernement fédéral canadien pose ainsi les premiers jalons de l’obligation de divulgation à laquelle chaque acteur de l’économie sera confronté au cours des prochaines années.

En effet, le BSIF s’attend également « à ce que les institutions financières recueillent et évaluent les renseignements sur les risques relatifs aux changements climatiques et les émissions auprès de leurs clients ». La pression devrait donc s’accentuer sur les entreprises canadiennes et sur leur manière de gérer les risques et les expositions aux changements climatiques.

Le gouvernement fédéral a également accueilli favorablement le choix de la International Financial Reporting Standards (IFRS), qui a sélectionné Montréal pour héberger l’un des deux bureaux centraux du nouveau Conseil des normes internationales d’information sur la durabilité (ISSB). Ce conseil aura pour but de travailler à l’uniformisation, à la comparabilité et au développement des normes de divulgations ESG.

Au-delà de la simple communication de données sur la durabilité, les recommandations du GIFCC obligent les entreprises à prendre en compte les impacts plus larges des changements climatiques, à comprendre l’impact des risques physiques et de transitions sur leur modèle opérationnel afin de les atténuer et à saisir de nouvelles occasions d’affaires.

Cela nécessite une contribution de tous les services, la création de scénarios appropriés et l’adhésion de la direction. Les différents acteurs des organisations ont un rôle à jouer, tant le conseil d’administration que la haute direction.

Le rôle du conseil d’administration

La gestion des risques est devenue de plus en plus complexe au cours des dernières années, et les entreprises ont vu émerger de nouveaux types de risques associés aux changements climatiques. Les conseils d’administration doivent comprendre et assumer leurs responsabilités fiduciaires en surveillant ces risques et en mettant en place une saine gouvernance.

Cela peut passer par la formation de ses membres, ou le recrutement de membres possédant les compétences adéquates pour assurer la supervision des mesures mises en place pour la direction de l’entreprise afin de répondre aux risques et occasions liés au climat.

Le conseil d’administration peut considérer les questions suivantes :

  • Comment le conseil d’administration supervise-t-il la gestion globale des risques de l’entreprise?
  • Comment le conseil surveille-t-il les risques et les occasions liés aux changements climatiques?
  • Comment le conseil s’assure-t-il que tous les membres sont sensibilisés et comprennent le risque climatique?
  • Comment le conseil intègre-t-il les risques et occasions liés aux changements climatiques dans la gestion globale des risques de l’entreprise?
  • Existe-t-il des risques ou occasions particuliers liés aux changements climatiques qui nécessitent une attention particulière de la part du conseil?
  • Les attentes des parties prenantes externes, telles que les mandats des investisseurs ou l’évolution des préférences des clients, justifient-elles une attention particulière de la part du conseil d’administration?

Haute direction et gestionnaires : garants de l’exécution de mesures concrètes

Alors que le conseil d’administration est responsable de la gouvernance des risques et occasions liés au climat, la direction est chargée de la conception, de la mise en œuvre et de l’exécution de la réponse de l’organisation face à ces risques. L’enjeu est double.

Du point de vue du dirigeant, l’enjeu est de comprendre l’impact des changements climatiques sur l’entreprise, sa pérennité à long terme et la manière de communiquer les efforts mis en place pour les atténuer. En se posant les bonnes questions, la direction pourra repérer et prioriser les risques et mettre en place les bonnes mesures :

  • Quel est l’impact des changements climatiques sur la chaîne de valeur?
  • Quel est le niveau de dépendance de l’entreprise à ces fournisseurs?
  • Où ces fournisseurs sont-ils situés?
  • Quelles sont les ressources naturelles à risque dans la chaîne de production?
  • De quelle manière les produits sont-ils acheminés tout au long de la chaîne de valeur et quel est l’impact des changements climatiques à chaque étape?
  • Quel est l’impact des changements climatiques sur les infrastructures de l’entreprise?

Du point de vue du conseil, celui-ci doit pouvoir évaluer la pertinence de l’approche de la direction, en se posant les bonnes questions :

  • Comment le risque climatique est-il intégré au programme de gestion des risques d’entreprise de l’organisation?
  • Quelles demandes liées au climat proviennent des investisseurs et autres parties prenantes?
  • Quels sont les risques et les occasions tout au long de la chaîne de valeur de l’organisation? Par exemple, les principaux fournisseurs sont-ils à risque? Existe-t-il des occasions d’augmenter la part de marché liée à l’investissement dans les technologies renouvelables? Les principaux clients recherchent-ils des options plus durables?
  • Comment le personnel perçoit-il l’engagement de l’entreprise en faveur de la durabilité environnementale?

Orienter les divulgations externes

Les entreprises sont devenues plus conscientes de l’importance du changement climatique, comme en témoignent les divulgations volontaires accrues sur les risques climatiques et les occasions qui y sont liées.

La divulgation des risques liés aux changements climatiques s’est rapidement développée ces dernières années; dans leurs déclarations de développement durable de 2020, 397 entreprises de l’indice Russell 1000 ont affirmé avoir répondu au CDP (anciennement Carbon Disclosure Project) et, sur les 92 % des entreprises de l’indice Russell 1000 qui produisent un rapport de développement durable, 38 % ont fait référence au GIFCC pour la divulgation financière liée au climat.

Les administrateurs et la direction des entreprises privées sont confrontés à une attention accrue sur la durabilité et le risque climatique de la part des sociétés de capital-investissement, des prêteurs et des clients, ce qui devrait s’accentuer avec la nouvelle obligation de divulgation du gouvernement fédéral. Bien que les règles de divulgation ne s’appliquent pas directement aux entreprises privées, et que le manque d’uniformité des divulgations entraîne encore des problèmes de comparabilité, de nombreuses attentes pèsent sur ces entreprises pour rendre compte de leurs stratégies ESG et climatique.

Les autres risques à suivre de près en 2022

Risques liés à la biodiversité

Cette approche intégrée est la clé pour assurer un avenir durable aux entreprises et, avec le lancement de la Taskforce for Nature Related Financial Disclosures (TCND) le 10 juin 2021, également soutenue par le G7, ce modèle tendra à devenir la norme.

Les entreprises prennent conscience de leur impact sur la biodiversité et de l’impact financier qu’entraînent les pertes naturelles.

Risques de la chaîne d’approvisionnement

Il s’agit de l’impact financier lorsque la chaîne d’approvisionnement est interrompue ou ralentie à la suite des catastrophes climatiques. L’entreprise doit donc se poser les bonnes questions pour soutenir une production à long terme.

Risques de capital humain

Considérer ce risque tout au long de la chaîne de valeur et les pressions qu’elles peuvent exercer.

À la lumière des récentes évolutions des réglementations fédérales et étrangères, ainsi que des risques et des occasions liés aux changements climatiques déjà présents, le meilleur moment pour commencer votre démarche pour répondre aux recommandations du GIFCC, c’est maintenant.

Notre équipe de conseil en management combine l’expertise et l’expérience nécessaires pour vous aider à relever ces nouveaux défis liés à la gestion des risques, au développement durable et aux enjeux ESG.

Cet article a été rédigé en collaboration avec Alicéa Reck, conseillère principale en transformation de processus d’affaires.

14 Juil 2021  |  Écrit par :

Vincent Cartier est expert en gestion du risque au sein de Raymond Chabot Grant Thornton....

Voir le profil
[class^="wpforms-"]
[class^="wpforms-"]