Esquissez les flux de données de et vers la centrale de Europe Voyages SA

Transcription

1 Esquissez les flux de données de et vers la centrale de Europe Voyages SA succursale s Banques, Postfinance, instituts de crédit, etc. clients Europe Voyages centrale Divers (fisc, assurances sociales, etc.) filiales Fournisseurs (prestataires de services) MCCF 2017 E. Campos partie 2-14 mars

2 Identifiez les risques inhérents informatiques auxquels est exposé Europe Voyages SA Indisponibilité du système de réservation en ligne (pour les clients et pour les collaborateurs) Perte de confidentialité sur les données des clients (cartes de crédit, etc..) Mauvaise ergonomie du système de réservation en ligne (temps de réponse, navigation, etc.) Erreurs dans les programmes du système de réservation en ligne Perte de la trace d audit suite à la dématérialisation des pièces comptables Mauvaise qualité des données saisies Mauvaise qualité des données reçues des prestataires de service (horaires et disponibilités reçues des compagnies aériennes par exemple) Erreurs dans l interface entre le système de réservation et le système comptable Europe Voyages SA est par ailleurs exposée à des risques inhérents «business», par exemple insolvabilité des clients ou terrorisme MCCF 2017 E. Campos partie 2-14 mars

3 Pour chaque risque inhérent identifié, énumérez les contrôles informatiques imaginables pour maîtriser ces risques Indisponibilité du système de réservation en ligne (pour les clients et pour les collaborateurs) Monitoring et système d alerte permanents et automatiques Redondance des systèmes / Plan de secours et back-up Perte de confidentialité sur les données des clients (cartes de crédit, etc..) Protection de la transmission des données Contrôle des droits d accès sur les données traitées et archivées Mauvaise ergonomie du système de réservation en ligne (temps de réponse, navigation, etc.) Tests et validation avant passage en production MCCF 2017 E. Campos partie 2-14 mars

4 Pour chaque risque inhérent identifié, énumérez les contrôles informatiques imaginables pour maîtriser ces risques Erreurs dans les programmes du système de réservation en ligne Validation des spécifications de détail, tests avant passage en production Maîtrise de la maintenance des programmes Perte de la trace d audit suite à la dématérialisation des pièces comptables Mise en place d un système de gestion de documents répondant aux exigences légales (Olico et TVA) Mauvaise qualité des données saisies Contrôles de validation à la saisie Mauvaise qualité des données reçues des prestataires de service Tests avant passage en production Contrôles de validation et plausibilisation des données Monitoring permanent et proactif sur la base de la gestion des incidents MCCF 2017 E. Campos partie 2-14 mars

5 Pour chaque risque inhérent identifié, énumérez les contrôles informatiques imaginables pour maîtriser ces risques Erreurs dans l interface entre le système de réservation et le système comptable Tests avant passage en production Maîtrise de la maintenance des deux applications et des interfaces Procédures de réconciliation automatiques La plupart de ces risques peuvent être maîtrisés ou réduits grâce à des contrôles reposant sur l informatique (par exemple vérification des soldes ouverts avant acceptation de la commande). Ces contrôles ne sont cependant efficaces que si les processus informatiques sont eux-mêmes fiables (Programme Change Management par exemple). MCCF 2017 E. Campos partie 2-14 mars

6 Selon la situation décrite, quels sont en définitive les risques de contrôle les plus importants? Les premiers contacts ont montré des lacunes dans les procédures de tests et la gestion des programmes (tests en environnement de production, pas de tests complets par les utilisateurs, etc ). Tant que ces contrôles généraux IT ne sont pas fiables, l ensemble des contrôles applicatifs sera peu crédible. La protection de l accès aux données (sensibilisation des utilisateurs), ainsi que les interfaces présentent également des lacunes. Attention: dans le contexte décrit, la dématérialisation des pièces (commande via Internet et payement via carte de crédit) sera également un thème à approfondir dans le cadre de l audit. Les transactions laissent-elles des traces authentiques, inaltérables et archivées selon les règles de l Olico? Quelles procédures et mesures techniques assurent-elles que ces exigences sont remplies durant l ensemble de la période sous revue? MCCF 2017 E. Campos partie 2-14 mars