Des contrôles sur le papier et des contrôles en pratique : ce que regarde un audit sur le changement SAP

Lors d'une évaluation récente du processus de changement SAP d'une grande entreprise internationale, presque tous les changements se sont clos avec succès. Selon les mesures habituelles, le processus semblait solide.

Pourtant, les champs qui auraient dû montrer le fonctionnement des contrôles étaient vides ou portaient la même valeur sur chaque enregistrement. Le champ d'acheminement qui devait envoyer les changements à risque devant un comité ne variait jamais. Une étape de clôture pouvait être cochée sans que le travail soit fait. La plupart des échecs n'avaient aucune cause enregistrée.

Un auditeur ne demande pas si le résultat était bon. Il demande la preuve que le contrôle a fonctionné. Sans preuve, le contrôle est considéré comme inopérant, quels que soient les résultats.

L'évaluation a aussi précisé ce qu'elle n'avait pas testé, notamment si chaque changement déployé en production remontait à un enregistrement approuvé. Dire ce que l'on n'a pas examiné fait partie de la crédibilité d'un constat.