DOSSIER De la gestion · données ), à l’émergence du cloud computing, à l’image et à l’e-réputation. Sans oublier les risques psychosociaux, environnementaux, et risques

DOSS IER

par Linda DUCRETet Patrick BRÉBION

De la gestion

24

La gestion des nouveaux risques Quels sont les risques existants en entreprise ?

• La prévention des risques est l’affaire de tous

Les nouveaux dangers passés en revue• Risques informatiques, risques liés à la mobilité,

risques liés au Cloud Computing, risque d'image etde e-réputation, risques psychosociaux, risqueenvironnemental, risque produit

Pourquoi gérer ces nouveaux risques ?• Seule une stratégie globale des risques bien

maîtrisée et régulièrement actualisée, permet degérer le développement de l'entreprise et d'assurer sa pérennité.

Comment gérer ces risques ?• La gestion du risque informatique figure en tête des

périls majeurs pour les entreprises.

Sécuriser les outils de mobilité État des lieux des risques de la mobilité

• 3325 % d'augmentation du nombre de logicielsmalveillants ciblant Android OS au cours des 7derniers mois 2011

Les solutions• La meilleure alternative est de gérer les

smartphones comme les autres équipementsinformatiques et, mieux, d'intégrer cette gestiondans la sécurité du système d'information.

Protéger ses documents sensibles Sécuriser les systèmes d’information

• Confier en ligne ses documents sensibles à dessociétés spécialisées est désormais une véritablealternative

La facture électronique et le risque fiscal• Sous réserve du respect des conditions indiquées dans

ces textes, une entreprise n’est plus tenue d’émettredes factures sur papier, la facture « immatérielle »étant alors reconnue comme un original.

Septembre - Octobre 2012| n°77

© S

erge

y Ili

n - F

otol

ia

DOSS IER

des risquesintelligente

Quels sont les risques existants en entreprise ?

coordonner la démarche de gestion des risquesdans sa totalité. Les PME, quant à elles, nepeuvent plus faire l’économie de la gestion des

ris ques. Cependant, le processus peut apparaître complexe car leur nombre est croissant. Si lesdangers classiques sont toujours présents et bienconnus (risques financiers, sociaux, humains,technologiques, de production, de commerciali-sation, opérationnels, politiques…), des périlsnouveaux ont émergé tels que ceux liés à la mobilité, à l’informatique (piratage, perte de données ), à l’émergence du cloud computing, à l’image et à l’e-réputation. Sans oublier les risques psychosociaux, environnementaux, et risques produits liés à la réglementation.

La prévention des risques est l’affaire de tousceux qui travaillent au sein de l’entreprise. Encorefaut-il identifier ces risques et savoir pourquoiet comment les gérer. La rédaction de GPO Magazine vous invite à les décrypter à traversun questionnement sur les risques présents dansl’entreprise, la nécessaire prévention et le déve-loppement d’un système de protection au seinde la structure. La prise de risque est au cœur de l’entreprise :en effet, force est de constater que le risque estinhérent à la fonction du dirigeant et que sagestion fait partie de ses missions. Dans lesgrandes sociétés il existe désormais, au niveaudu siège, un professionnel à temps plein pour

25n°77 |Septembre - Octobre 2012

Le dirigeant d’aujourd’hui ne peut plus ignorer les risques et ced’autant qu'ils interagissent entre eux et menacent en permanenceson entreprise.

« Connaître son ignorance est la meilleure part de la connaissance » , dit un proverbe chinois.

La prise derisque est aucœur del’entreprise. Les PME, quantà elles, nepeuvent plusfaire l’économiede la gestiondes risques

• Risques informatiques : les menaces sur le capital informatique d’une entreprise n’ont jamais été aussi grandes. Bien entendu, un sinis-tre électrique, un incendie, une erreur de mani-pulation, une panne matérielle peuvent affecterle système informatique d’une entreprise. Maisles attaques ou destructions d’un tel systèmepeuvent également mettre à genoux n’importequelle entreprise, y compris une multinationale. • Risques lié à la mobilité : au début des années2000, les responsables de la sécurité des systèmesd’information ont dû gérer la préférence expriméepar de nombreux cadres pour des ordinateursportables. Car avec la mobilité sont apparus denouveaux dangers tels que le risque de vol ou depertes de données sensibles, ou encore d’intrusiondans le système d’information de la collectivité,via l’Intranet. • Risques lié au cloud computing : côté face, ily a des ressources informatiques flexibles et disponibles sans limites géographiques, une ab-sence de gestion des mises à jour, etc. Côté reversde la médaille, il y a des risques de vol de donnéeset de dépendance vis-à-vis d'un prestataire. • Risque d’image et de réputation : le dirigeantsait désormais que son entreprise (sa marque, sonaction) peut, à tout moment, subir un « crash deréputation » qui aura des conséquences lourdes,à l'instar d'un crash financier, dans la mesure oùdans la réputation réside une partie de la créationde valeur.• Risques psychosociaux : troubles de la concen-tration, du sommeil, dépression… Un nombregrandissant de salariés déclare souffrir de symp-tômes liés aux risques psychosociaux. Le phéno-mène n'épargne aucun secteur d'activité. Indé-pendamment de leurs effets sur la santé des

individus, les risques psychosociaux ont un im-pact sur le fonctionnement des entreprises (suicide,absentéisme, turnover, ambiance de travail…). • Risque environnemental : les entreprises peu-vent être à l'origine d'un risque pour l'environne-ment sans pour autant subir des sanctions finan-cières. Inversement, elles peuvent se trouver exposées à un risque financier alors que la menace qu'elles font courir à l'environnement estnégligeable. En effet, force est de constaterqu’une entreprise peut perdre des clients si sesdéficiences sur le plan environnemental sont révélées au grand jour. En justice, la condamna-tion pour le déversement de déchets toxiquespeut peser lourd sur son bilan. Enfin, sur le planréglementaire, les autorités peuvent augmenterses coûts opérationnels ou, ultime décision, rendre impossible l'exercice de toute activité.• Risque produit lié à la règlementation : au-delà de la prévention des risques profession-nels, les entreprises utilisatrices de produits chimiques doivent également respecter ou mettreen œuvre certaines obligations ou règles de protection de l’environnement.

De la gestion intelligente des risquesDOSS IER


Les nouveaux dangers passés en revue

Intégrer les risques psychosociaux

dans le document unique

Voila qui mérite quelques explications. Si oncommence à savoir ce qu’est le documentunique en matière de risques au travail, on saitbeaucoup moins qu’il englobe les troublespsychiques. Pourtant, la responsabilité deschefs d’entreprise à cet égard est identique.Au départ, on trouve le cadre réglementaire dudécret de 2001 créant le DUER (Documentunique d’évaluation des risques) que chaqueentreprise se doit de réaliser. Afin de prévenirles accidents du travail et les maladies pro -fessionnelles, l’entreprise doit en effet en rechercher les facteurs et les inscrire dans ledocument mis a la disposition du personnel.Parallè lement, elle doit, avec une obligation de résultat, mettre en place un programme annuel de prévention des risques identifiésdans le document.La santé, y compris mentaleTrop peu d’entreprises savent que les risquesdits « psychosociaux » sont explicitementintégrés aux risques professionnels. Le Codedu travail fait ainsi obligation aux employeursd’assurer la sécurite et la santé de leurs sala-riés (art. L.4121-1 du Code du travail). Cetteobligation englobe aussi la santé mentale etpsychique. ■

Source : Intégrer les risques psycho-sociaux dans le document unique,28/02/2011, industrie-hoteliere.com

Un exemple de programme de gestion des risques enentreprise FrontGRC est une solutionintégrée pour la gouvernanced’entreprise, la gestion desrisques et la conformité. Ellepermet aux entreprises derépondre à leurs obligationsrèglementaires (exemples : Bâle II et Bâle III pour lesbanques, Solvabilité II pour les assurances). Avec FrontGRC,les entreprises peuventoptimiser leur organisation et leurs processus et ainsiatteindre les objectifs financiers et stratégiques fixés. FrontGRC offre lesfonctionnalités suivantes :• L’identification des zones à

risques de l’activité del’entreprise (cartographie desrisques, collecte desincidents)

• La mise en œuvre d’undispositif de contrôle (contrôlepermanent et contrôlepériodique, audit interne

• La mise en œuvre et le test de plans de continuitéd’activité. ■

FrontGRC

26

27

Un constat : à peine la moitié des entreprisesfrançaises évaluent l'ensemble de leurs risquestous les ans. Or les experts sont formels : seuleune stratégie globale des risques, bien maîtriséeet régulièrement actualisée, permet de gérer ledéveloppement de l'entreprise et d'assurer sa pérennité. C’est dire que les nouveaux risques,tout comme les anciens, doivent être préalable-ment identifiés et gérés, sous peine de mettre endanger l’entreprise. En effet, les risques peuventaltérer gravement sa performance. Il faut donccomprendre et prévenir ces risques avant les autres afin de ne pas perdre un avantage concur-rentiel. « L’entreprise s’aperçoit que l’intelligencedes risques devient un facteur de performance etune mine d’avantages concurrentiels lisibles »soulignent Bernard Besson et Jean-Claude Possin1. Plus que jamais, la prévention doit êtrele maître-mot. « Car le temps et l’argent consacrésà entrevoir l’occurrence de risques seront toujoursinfiniment moindres que le temps et l’argent dépensés pour en réparer les dégâts » précisent

ces deux grands spécialistes de l’intelligence des risques. De son côté, Gildas Mathurin, COOFront GRC et Business Solution met en avant lanécessité de mettre en œuvre des procédures internes afin de faire face à des risques potentielsou avérés de non-continuité des activités :« Quelle que soit la typologie des risques, il est essentiel de mettre en place des solutions pourque l’entreprise ne soit pas fragilisée. En tantqu’éditeur de logiciels, notre approche globale estde proposer des outils innovants permettant depoursuivre l’activité de l’entreprise. C’est pourquoicelle-ci doit se doter d’un plan de continuité pourmaintenir la qualité de ses services en cas de cir-constances exceptionnelles telles que les catas-trophes naturelles, les pandémies, les défaillancestechniques importantes ou encore le terrorisme ».

La gestion du risque informatique esten tête

Elle est étroitement liée à la stratégie des entre-prises. « En effet, gérer une entreprise, ce n’est ni

De la gestion intelligente des risques DOSS IER

n°77 |Septembre - Octobre 2012

Prévenir le risque environnemental est-ceune nécessité pour toutes les entreprises, ycompris les PME et n’est-ce pas un coûttrop important pour une PME ?> Il faut absolument que les PME se préoccupent de l’environnement. Pour nombre d'entre elles, recruter unRisk Manager, acteur majeur de la prévention des risques,peut apparaître financièrement difficile. Mais le manage-ment global des risques peut être porté par un secrétairegénéral, un directeur financier ou juridique ou industriel…L’Amrae a tout un ensemble d’outils et de formations pourles aider dans cette démarche.Gérer les risques, notamment environnementaux, est nonseulement une obligation légale mais aussi une source d’éco-nomies. Quand une société dispose d’une réelle pratique deprévention et de gestion des risques, les primes d’assurancesbaissent automatiquement. Mais aussi, prévenir le risque environnemental permet d’accéder à des marchés pour lesquels des certifications de type Iso 14001 ou des systèmesde management environnemental sont des prérequis.

Comment prévenir ce risque ? > Le risque environnemental, comme tous les autres, doit être débusqué en amont. Il convient d’abord d’identifier

Trois questions à

les risques environnementaux en établissant leur cartographie. Il re-viendra ensuite au managementd’organiser et de mettre sur pied unemission de protection adaptée aubudget de l’entreprise et à la réalitédes menaces ainsi qu’aux enjeux.L’Amrae et L’Orée éclairent les indus-triels sur ces questions.

Pour vous, est-il préférable de se protégeren amont contre ce risque ou de contracterune assurance ? > Ce n’est pas l’un ou l’autre, mais l’un et l’autre. Le Risk Management, c’est permettre à l’entreprise de mener sastratégie dans une prise de risques maîtrisés. L’assuranceparticipe de cette maîtrise. Le directeur général vaconduire l’entreprise dans un cadre de risques connus et maîtrisés. C’est à lui qu’il revient d’identifier, de quan-tifier et de faire réduire ces risques par ceux qui en sont« propriétaires », c’est-à-dire les opérationnels. Les risquesrésiduels étant transférés à l’assurance. ■

Sources : AMRAE (Association pour le Management des Risques et des Assurances de l’Entreprise) Orée, association multi acteurs créée en 1992

Paul-Vincent Valtat, «Il faut absolument que les PME se préoccupent de l’environnement »

Paul-Vincent VALTATPrésident de la commission

Environnement, Santé et Sécurité de l’Amrae

Pourquoi gérer ces nouveaux risques ?

“Quelle que soit latypologie desrisques, il est essentiel de

mettre en placedes solutions

”

Gildas MATHURINCOO Front GRC et Business Solution

Il existe une multitude de risques : c’est pourquoi lepremier réflexe doit être d’en établir une hiérarchie.Certains sont acceptables, d’autres non. Il y a lieud’établir une stratégie qui doit être définie et rete-nue par la direction de la société après avoir préa-lablement consulté les différents conseils de l’en-treprise tels que l’avocat, l’assureur, le comptable...

Comment gérer le risque informatique ?

« La gestion du risque lié au système d’informationpeut être abordée de deux façons complémen-taires : la sécurisation systématique ou l’analyse.La sécurisation systématique consiste à mettre enplace un ensemble de mesures regroupées en« bonnes pratiques » dont la finalité est de réduirele risque ou ses conséquences. Dans la vie cou-rante, cela reviendrait à s’assurer que toutes lesportes ont des serrures et que le local est bien as-suré contre les conséquences du vol. L’analyse durisque consiste à identifier les différents dangerset leurs conséquences afin d’évaluer le bien-fondééventuel de solutions de protection. Pour repren-dre l’exemple de la vie courante, cela consisteraità enquêter sur les statistiques de cambriolagepour savoir si le risque existe à l’endroit où setrouve le local. Ici, il s’agit non pas de se protégerforcément mais d’avoir conscience du risque priset des possibilités de réduction de celui-ci afin depouvoir exercer son choix. Une seule de ces deuxfaçons de gérer serait peut-être problématique eu égard à la finalité qui est de préserver la chaînede valeur : l’application de bonnes pratiques systématiques à un niveau important peut amenerà se surprotéger, et mener une analyse détailléesur le périmètre complet d’une entreprise seraitexcessivement long et coûteux, voire irréalisable.

Si par le passé un certain nombre d’entreprises sesont contentées de la mise en œuvre de bonnespratiques (« de fermer les portes »), la maturationde ces organisations dans le domaine de la gestiondes risques les ont progressivement amenées à dé-velopper l’analyse de risque. La gestion du risqueva alors consister à la mise en place d’une sécuritéminimum par le biais de bonnes pratiques, et à développer par ailleurs une analyse permettant defournir un outil de décision pour les risques impor-tants, et qui pourra résulter en l’ajout de pratiquescomplémentaires. » précise Thierry Chiofalo.

Qu’en est-il du risque d’image ?

Il convient notamment de surveiller et d’analyserles conversations à propos de vos dirigeants, pro-duits, marques, et sur votre entreprise en généralpour anticiper un risque d'atteinte à la réputationplus important. Ainsi, par exemple, si des inter-nautes se plaignent de votre politique RH ou devos produits, et que cela provoque un buzz durablesur Internet, l’information peut être reprise par dessites web ayant de plus en plus de visibilité pourfinir sur les Mainstreams medias (TV, presse écrite)« Éteindre le départ de feu sur le web, via un dia-logue et des réponses argumentées, est une bonnesolution mais ce n’est pas une science exacte. Digimind propose de surveiller et d’analyser, grâceà son logiciel, tout ce qui peut se dire à propos devotre entreprise tels que les publications d’articles,d’études, de billets de blogs, de forums, de tweets,de posts Facebook, de vidéos etc… bref de tous lesformats web. Si votre produit ou marque se trouvecité, vous êtes alertés en temps réel » souligne encore Christophe Asselin. ■

Linda DUCRET28

plus ni moins que de prendre des décisions en fonc-tion de risques de gains ou de pertes. Au cours dedernières années, l’utilisation des systèmes d’infor-mation s’est de plus en plus généralisée, permettantainsi d’améliorer les process de l’entreprise grâce àl’automatisation des flux d’information. Celle-ci aen général permis d’accélérer les traitements et dediminuer les erreurs humaines. Ainsi, aujourd’hui,tous les process d’une entreprise, qu’ils se ratta-chent à une fonction de soutien ou de production,ont une dépendance forte au système d’informa-tion. Il est donc essentiel pour l’entreprise decontrôler le risque lié à l’usage des systèmes d’information, dans la mesure où la création de lavaleur ajoutée de l’entreprise est de plus en plus dépendante de ces systèmes » souligne ThierryChiofalo, RSSI et membre du Clusif.

Le risque d'atteinte à l’image et à laréputationTout simplement parce ce qu’il est considéré commela conséquence potentielle de tous les autres typesde risques. « Les facteurs les plus structurants de laréputation d’une entreprise sont les produits, la gou-vernance et la citoyenneté. En fait, les composantesdu risque de réputation et d’e-réputation sont nom-breuses et passent aussi par les procès (SGale - Kerviel), l’image des dirigeants (rémunération excessive de l'ancien PDG de Vinci) ou encore l’innovation (Freebox Révolution de Free, VehiculeElectrique Autolib de Vincent Bolloré). Autant defacteurs, qui, s’ils sont évoqués sur Internet dans desarticles de presse, blogs, avis consommateurs « font »la réputation de l’entreprise » indique ChristopheAsselin, Expert veille et e-réputation chez Digimind.



Comment gérer ces risques ?

Christophe ASSELINExpert veille et e-réputation chez Digimind

“Éteindre ledépart de feu sur le web, viaun dialogue etdes réponses argumentées, est une bonne solution mais ce n’est pas une scienceexacte

”

Thierry CHIOFALORSSI (Responsable de la sécuritédes systèmes d'information) etmembre du Clusif (Club de laSécurité de l'Information Français)

“Il est donc essentiel pour l’entreprise decontrôler le risquelié à l’usage des systèmes d’information

”

1. Source : L’intelligence desrisques, Bernard Besson et Jean-Claude Possin, Éditions IFIE

29

3325 % au cours des 7 derniers mois 2011. C'estl'augmentation du nombre de logiciels malveil-lants ciblant Android OS, un logiciel équipant unebonne part des smartphones. Voilà pour les chif-fres récemment publiés2 par Juniper Networks,une société spécialisée dans la sécurité. Des dangers qui se matérialisent sous des formestout-a-fait concrètes et ont des conséquencessonnantes et trébuchantes. Des applications logicielles « infectées » composaient par exempledes numéros surtaxés, à l'insu de l'utilisateur, ourécupéraient certaines données d'identification.Les autres logiciels systèmes équipant les termi-naux mobiles, BlackBerry OS, Windows Mobile etSymbian, ne sont pas à l'abri. Ces trois plates-formes sont régulièrement victimes de « mal-ware » qui, entre autres, peuvent effacer, lire les

SMS, ou encore éteindre et allumer l'appareil. Enoutre, les terminaux mobiles utilisés en entrepriseembarquent de plus en plus souvent des applica-tions logicielles métier. Ces dernières permettentpar exemple d'accéder ou de mettre à jour desstocks, des commandes, des données commer-ciales, etc. Pour s'adapter aux contraintes tech-niques des smartphones, notamment pour le formatage des données, ces applications ne respectent pas toujours la même sécurité quepour les PC. Conséquence, « le risque majeur estque ces applications sont des tunnels directs entrel'application mobile et le cœur du système d'information des entreprises (bases de données,annuaires, services web, etc.) », souligne MatthieuEstrade, directeur technique de Bee Ware et spécialiste en sécurité informatique.



Les solutions pour sécuriser les outils

Blackberry, IPhone, IPad…

Attention danger !Si les avantages des terminaux mobiles sontincontestables, ces derniers sont souvent utilisésprofessionnellement sans être sécurisés. État des lieuxdes risques et des solutions.

État des lieux des risques de la mobilité

Comme un PC

La première étape est d'utiliser la sécurité inclusedans les terminaux mobiles. À savoir, ne pas laisser les mots de passe par défaut et mettre àjour les versions de logiciels systèmes proposéespar le constructeur. Ces dernières corrigent souvent des problèmes de sécurité. Autre aspect,à l'instar des PC, les smartphones, Blackberry,iPhone, iPad, etc. contiennent souvent des infor-mations importantes comme un courriel de

En savoir plus

Mobility for Business

10 & 11 octobre 2012

Cnit – Paris La Défense

L'événement

des solutions et

applications mobiles

pour les entreprises

2. Source : www.juniper.net

confirmation d'un client par exemple. Il importedonc de les sauvegarder. Une opération qui prendla forme d'une synchronisation manuelle avec unordinateur. Des logiciels spécifiques, appelés utilitaires, sont disponibles pour chaque famillede terminal. Par exemple, le logiciel BlackBerryDesktop Software pour les BlackBerry ou encoreAndroid OS qui permet de synchroniser les don-nées de son smartphone avec ses applicationscomme Google Contacts. Des applications de

30

sauvegarde comme Sprite Backup (www.sprite-software.com) permettent de se connecter à desservices de sauvegarde en ligne comme Dropboxou Box.net. Pour les appareils sous WindowsPhone 7, Outlook Hotmail Connector transfère lesadresses de messagerie, calendrier, contacts surun compte Windows Live.

Précautions d'usage

Au quotidien, l'utilisation de smartphones sur lesréseaux sans fil, wifi ou bluetooth, fait courir unrisque certain. Privilégier les réseaux cryptés ou,au moins, sécurisés par mots de passe estconseillé, de même que désactiver les fonctionssans fil lorsqu'elles ne sont pas nécessaires. Autrerecommandation, il est préférable de masquer lenuméro de téléphone lorsque le destinataire n'estpas identifié. Pour limiter les risques, les éditeursd'antivirus et autres solutions de sécurisationproposent des outils spécifiques pour les smart-

phones. On peut citer Bee Ware avec sa plate-forme i-Suite. Avast a décliné ses outils pour lessmartphones. Avast Free Mobile Security est uneapplication gratuite pour les Smartphones sousAndroid. Elle dispose de fonctions spécifiques gérables à distance. Ces dernières protègent lesutilisateurs des menaces en ligne et de la perteou du mauvais usage de leur appareil. F-SecureMobile Security, qui fournit les dernières mises àjour de sécurité pour les téléphones Android etles tablettes, peut être achetée sur Google Play.De nombreux autres éditeurs proposent des solutions spécifiques. Par exemple, MobilityGuard,AirWatch, distribué en France par Interdata, etc.

Intégrer dans le système d'information

La meilleure alternative est de gérer les smart-phones comme les autres équipements informa-tiques et, mieux, d'intégrer cette gestion dans lasécurité du système d'information. Avec quelquesspécificités cependant. Les smartphones sontsouvent achetés par les salariés sur leur propresdeniers, dans la moitié des cas si l'on en croit uneétude3 de l'Ifop réalisée pour le compte de la so-ciété Good Technology. Il faudra donc distinguerles données personnelles des professionnelles.Une fois ce point réglé, les terminaux peuventêtre complètement intégrés dans la gestion de lasécurité de l'entreprise. Des éditeurs proposentdes solutions communes permettant de sécuriserles terminaux mobiles comme les PC, tablettes,etc. Par exemple, avec MobilityGuard, l’utilisateurse connecte de n’importe où et avec n’importequel appareil (PC, tablette, smartphone etc.),s’identifie une seule fois et a accès à tous les services autorisés. Tous ces investissements sejustifient bien sûr au regard des risques encourus.Mais le constat est simple, dans la plupart descas, ni les terminaux mobiles, ni les informationsqu'ils contiennent ne sont sécurisés alors que dessolutions existent. ■

Patrick BRÉBION



Des risques juridiques aussiLa tendance « Bring Your Own Device »est aujourd’hui un enjeu technique, éco-nomique mais également social reconnupar tous. Pourtant, la prise en compte duBYOD dans le système d'information n'estpas aussi évidente que cela peut y paraî-tre, notamment parce que l'équipementest acheté par le salarié lui-même (sans financement de l'entreprise). En effet, dansce contexte, l'utilisateur devra obligatoi rementdonner son accord pour changer un para-métrage, pour installer des logicielsde sécurité, pour disposer de la fonc-tionnalité d'effacement à distance ouencore pour activer les fonctions degéolocalisation. Dans ce modèle, ce n'est plus l'entreprise qui décide mais bien l'utilisateur... Pour la plupart des entreprises latendance BYOD est prise en compte sous un angle exclusivementtechnique alors que le phénomène pose également des questions juridiques et sociales. On notera, par exemple, que rien n'interdit àun salarié de travailler autant qu'il le désire sur son temps libre,mais il lui est par contre strictement interdit de s'occuper sans limitede tâches personnelles sur son temps de travail ».

Interview

Sherley BROTHIERDirecteur R&D de Keynectis

3. Source : www.slideshare.net

© g

oodl

uz -

Foto

lia

31

Perdre ses factures fournisseurs, ses bons de commande... quel dirigeant n'a pas eu cette peurun jour ou l'autre ? Le risque était déjà présentdu temps du « tout papier ». Un incendie pouvaitfaire disparaître une entreprise. À ce jour, l'infor-matisation n'a pas vraiment diminué ce risque.Elle s'est banalisée dans l'entreprise sans que lasécurité suive. En outre, les pannes de disquesdurs et autres « bogues » sont beaucoup plus courants que les incendies. Des problèmes plussouvent liés à des maladresses et à des malveil-lances internes qu'à des réseaux de hackers. Selonun rapport du Clusif4, les entreprises interrogéessignalent que 37 % des incidents de sécurité informatique concernent un vol ou une perte dematériel, contre 8 % pour les intrusions sur lessystèmes d'information. Toutes les organisations,même les plus sensibles, sont concernées.

Le maillon faible, l'humain...

« Lorsqu’il s’agit de la gestion des informations,l’élément humain est le plus souvent le maillonfaible de la chaîne », déclare Florian Kastl, direc-teur International du Département de la Sécurité,de la Sûreté et de la Continuité d’Activité de IronMountain. « Les informations sont le cœur de l’entreprise et il est vital que les sociétés mettenten place des contrôles stricts leur permettant deréduire, voire de prévenir, le risque de vols par leursemployés». Le danger interne est d'autant plusdifficile à contrôler qu'il n'implique pas forcément

la malveillance. Emporter un fichier pour conti-nuer à travailler de chez soi, sur son PC familialnon sécurisé, n'est, à priori, pas répréhensiblemais peut déboucher sur la perte de données ouleur corruption par un virus. Dans un registre plusmalveillant, des salariés peuvent à la veille de leurlicenciement accéder au serveur, via un web café,et emporter des données confidentielles.

Externaliser, une alternative crédible

La première réaction, sécuriser son système d'in-formation, est naturelle. Mais, pour être exhaus-tive, cette démarche se décline sous de multiplesformes et devient vite compliquée et onéreuse.Par exemple, la mise en place d'un plan de reprised'activité informatique implique des investis -sements lourds. Il s'agit, entre autre, de répliquerles informations sur un site distinct du site prin-cipal de l'entreprise. Si elle n'évite pas de sécuri-ser à minima son système d'information, utiliserles services d'une société spécialisée est une alternative. Cette dernière est devenue crédibledepuis quelques années avec la banalisation duhaut débit et la maturité des technologies de sauvegarde et d'archivage. Quelques banques,BNP Paribas, le Crédit de Bretagne, etc. utilisentdéjà ce type de services.

Plusieurs niveaux de services

Le principe de base de ces offres est à peu prèstoujours le même. Les documents numériques,



Sécuriser les systèmes d’information

Pour pallier aux problèmes informatiques, confieren ligne ses documents sensibles à des sociétés

spécialisées est désormais une véritable alternative.À condition de vérifier quelques points...

Protégerses documents

sensibles

4. Clusif (Club de la Sécurité de l'InformationFrançais

©Sc

anra

il- Fo

tolia

L a facture est le document de base pour lajustification des opérations commercialeset de la comptabilité d’une entreprise, qu’il

s’agisse des factures que l’entreprise émet à l’intention de ses clients, ou de celles qu’elle reçoitde ses fournisseurs. Les dispositions légales stipu-lent que les enregistrements comptables doiventpréciser l’origine, le contenu et l’imputation dechaque donnée, ainsi que les références de la piècejustificative qui l’appuie. La possibilité de trouver, à partir d’une écriturecomptable, la pièce justificative qui étaie cet enre-gistrement et, inversement, de trouver à partir d’unepièce l’écriture comptable à laquelle cette pièce adonné lieu constitue le « chemin de révision » et est,tant en matière strictement comptable qu’en

matière fiscale, une condition essentielle de régu-larité de la comptabilité. Lors d’un contrôle fiscal parexemple, une comptabilité peut être jugée non pro-bante – et par conséquent entraîner une évaluationd’office – si elle ne permet pas de rapprocher les enregistrements comptables des pièces justifica-tives, et l’on sait par ailleurs que la facture d’achatmentionnant la TVA est une condition de forme dela déductibilité de cette dernière.La facture fournit des informations détaillées sur levendeur, l’acquéreur, la chose vendue et le prix, le régime de TVA applicable, et constitue ainsi un élément de preuve des opérations et un moyen decontrôle. C’est pourquoi elle fait l’objet d’une impor-tante réglementation, la non-conformité des fac-tures aux dispositions légales étant une infraction

Georges GRANGER> Administrateur de l’AFAI

(Association française des auditeurs et conseils

informatiques)

32

factures au format pdf ou scannées à partir dupapier par exemple, sont envoyés par Internet(email, ftp, service web) au prestataire. Ce dernierse charge de sécuriser le stockage et de donnerun accès en ligne aux documents. Directeur Général de la société Opus Conseil, Jacques Leretdistingue « quatre niveaux de services d'archivagedans une offre telle que Arkansaas ». Le premierniveau correspond à de la sauvegarde. Le secondà de l'archivage économique ; il inclut quelquesfonctions supplémentaire comme, par exemple,la possibilité de gérer son plan de classementpour retrouver facilement ses documents. Untroisième niveau est souvent baptisé coffre-fortélectronique ; outre les possibilités de gestion, ilinclut les technologies garantissant la valeur probante des documents comme la signatureélectronique et l'horodatage, ce qui fait la diffé-rence en cas de litige. Le dernier cas de figure recouvre un véritable système d'archivage élec-tronique, dans ce dernier cas, « le nombre de documents concernés comme leur importancejustifient d'intégrer l'archivage dans l'ensembledu système d'information, en particulier dès lacréation de documents sensibles ».

Une offre du marché pléthorique

L'offre du marché est surabondante. La sauve-garde est souvent opérée dans des sallesblanches, comprenant de nombreux serveurs informatiques et sécurisés. Le prestataire prendsouvent en charge le logiciel permettant de verseret d'accéder aux archives. Côté acteurs, on trouveaussi bien des entreprises informatiques qui proposent de la sauvegarde en ligne que des spécialistes de la sécurité informatique. Dans

cette jungle, se démarquent les « pure players »qui ne proposent que cette prestation, et les entreprises pratiquant l'archivage papier mais quiont ajouté le numérique à leur offre. Les tarifs démarrent souvent bas, à partir de quelques dizaines d'euros par mois. La tarification inclutsouvent une part forfaitaire et une autre propor-tionnelle au volume. Les offres du marchés'adressent de la TPE à la grande entreprise. Parmiles premiers, on peut citer Xambox ou encore Arkansaas. Des archiveurs comme Everial ont ajoutél'électronique à leur offre d'archivage papier.

Les points à contrôler

Outre le prix, plusieurs aspects sont à vérifier avantd'externaliser. La labellisation du service d'archivagepar des organismes comme la Fédération Nationaledes Tiers de Confiance (www.fntc.org) ou l'adhésiondu prestataire à la Fedisa garantissent un bon niveau de service. « Il ne faut surtout pas se limiterà considérer la problématique de l’archivage électronique comme une simple dématérialisationdes techniques traditionnelles d’archivage. ...Il faut,entre autres, apporter la preuve de leur intégrité toutau long de leur parcours, de la création à l’archivage,la donnée doit être récupérable facilement et effi-cacement, voire disponible en ligne », souligne Jean-Marc Rietsch, président de la Fedisa. Très concrè-tement, l'accès en ligne aux documents archivés, lecoût de cet accès, les formats de sauvegarde sontà contrôler. Notamment, la procédure de mise à disposition des informations en cas de rupture du contrat. Si tous ces points sont satisfaisants, l'externalisation est un moyen simple et accessiblede mettre à l'abri ses documents sensibles. ■

Patrick BRÉBION



Jean-Marc RIETSCHPrésident de la Fedisa

“Il faut apporterla preuve del'intégrité desdocuments toutau long de leursparcours, de la création àl’archivage”

PAR

La facture électronique et le risque fiscal

33



sanctionnée de lourdes amendes pour l’émetteur.Le volume considérable des factures émises ou reçues par les entreprises a amené, depuis un certain nombre d’années déjà, à envisager, commepour d’autres opérations telles que les déclarations fiscales ou sociales, la suppression du documentpapier et son remplacement par des enregistre-ments électroniques. Toutefois, la conservation ducaractère probant de ces documents nécessitaitl’élaboration de règles permettant de garantir l’intangibilité des enregistrements (Articles 289-Vet 289 bis du code général des impôts).

La facture électronique

Sous réserve du respect des conditions indiquéesdans ces textes, une entreprise n’est plus tenued’émettre des factures sur papier, la facture « im-matérielle » étant alors reconnue comme un original. Naturellement, l’internationalisation des affairesjustifiait que des règles soient élaborées dans uncadre supranational et c’est pourquoi des direc-tives européennes ont été élaborées dans ce domaine, en date du 20 décembre 2001 (2001/115/CE), la directive TVA (2006/112/CE) et celledu 13 juillet 2010 (directive 2010/45/CE), cettedernière devant être transposée en droit françaisà compter du 1er janvier 2013.Il faut distinguer la facture « dématérialisée »c’est-à-dire une facture émise sur support tradi-tionnel puis numérisée pour être archivée sousforme électronique, d’une facture émise dès l’origine en format numérique, qui constitue lafacture électronique proprement dite. Dans lepremier cas en effet, la version numérique n’estqu’une copie, alors que dans le second, la versionélectronique constitue un original.Suivant les textes actuels, pour que la facture aitla valeur d’un original, il est nécessaire qu’elle soittransmise par un système d’échange de donnéesinformatisées tel que défini par la directive du 19 octobre 1994, ou au moyen d’une signatureélectronique conforme à la directive du 13 dé-cembre 1999, afin que soient garanties l’authen-ticité de leur origine et l’intégrité de son contenu.Le consentement du destinataire est nécessaire. Le 13 juillet 2010, l’Union Européenne a adopté ladirective 2010/45/CE. Suivant cette nouvelle régle-mentation européenne, qui doit donc être transpo-sée en droit français pour application au 1er janvier2013, c’est l’assujetti qui choisira la méthode qui luiconviendra le mieux pour garantir l’authenticité del’origine et l’intégrité du contenu de la facture.Le Code Général des Impôts (article 289-I-2) reconnaît la possibilité pour les fournisseurs deconfier l’établissement matériel de leurs facturesà un tiers, aux conditions suivantes :• Le fournisseur doit donner mandat au tiers

concerné pour émettre matériellement les

factures en son nom et pour son compte.• Le mandat doit prévoir que le fournisseur

conserve la responsabilité de ses obligations enmatière de facturation au regard de la TVA.

• Le contrat de mandat passé avec le tiers doitégalement obligatoirement contenir l'engage-ment du mandant de verser au Trésor la taxementionnée sur les factures établies en sonnom et pour son compte, et conserver le doubledes factures ainsi que signaler toute modifi -cation dans les mentions concernant l'identifi-cation de son entreprise.

Les factures ainsi établies par le mandataire doivent comporter toutes les mentions prescritespar la réglementation. L’entreprise destinataire desfactures doit vérifier l’authenticité et l’intégrité desfactures reçues, c’est-à-dire la validité de la signa-ture électronique, et s’assurer de l’authenticité etde la validité du certificat attaché à la signatureélectronique.

Obligations en cas de contrôle fiscal

L’administration peut, à tout moment, contrôler lasignature électronique et s’assurer du respect desnormes techniques définies. Si des manquementssont constatés par l’administration ou si les testsnécessaires à la vérification du système ne peuventêtre effectués, le contribuable dispose d’un délaide 30 jours à compter de la date de réception duprocès-verbal pour formuler des observations, apporter des justifications ou procéder à la régu-larisation du fonctionnement du système.À défaut, il n’a plus la possibilité de télétransmettreses factures. Les factures transmises ne constituentplus alors des factures originales et la TVA mention-née sur ces factures n’est pas déductible pour les clients. Le fournisseur doit alors émettre des factures papier ou des factures sécurisées au moyend’une signature électronique pour permettre l’exer-cice du droit à déduction par ses clients.Les entreprises doivent assurer à l’administrationun accès en ligne permettant le chargement et l’uti-lisation des données stockées, que le lieu destockage soit en France ou hors de France.L’assujetti doit s’assurer que le contenu des fichiers peut être restitué, sur demande de l’admi-nistration, en langage clair. Le système d’archi-vage doit permettre de répondre à des demandessélectives de la part de l’administration. Si cettedernière le demande, la restitution des infor -mations doit pouvoir être effectuée sur supportpapier.En outre, si, durant le délai légal de conservation,l’environnement (matériel ou logiciel) est modifié,le contribuable doit assurer la conversion et lacompatibilité des fichiers, sans altération des informations de base qu’ils contiennent, avec lesoutils existants au moment du contrôle. ■

Pour les besoins fiscaux, lesfactures transmises par voieélectronique doivent êtreconservées dans leur formatoriginal dans les conditionsprévues par l'article L. 102 Bdu livre des Procédures Fis-cales, sur support informa-tique pendant une durée aumoins égale au délai du droitde reprise (l’année en courset les trois années précé-dentes), puis sur tout sup-port au choix de l'entreprisependant les trois annéessuivantes. Notons toutefoisque la prescription commer-ciale est plus longue et que les entreprises doiventconserver leurs facturespendant un délai de dix ans. Le lieu de stockage peut êtreen France ou dans un Étatétranger ayant passé uneconvention d'assistance mu-tuelle en matière fiscale. ■

Obligations de conservation et de restitution des factures

© K

ellis

- Fot

olia

34

GPO Magazine : Pouvez-vous nousprésenter Accelya ?Eric Dubois : Accelya est un opérateurde dématérialisation des transactionsprofessionnelles. Nous avons pour vocation d’aider nos clients à fluidifierles relations avec leurs partenaires commerciaux et à réduire leurs coûts,en leur proposant des services de trai-tement externalisés de transactions critiques, et ce, dans le respect denormes de qualité élevées. Factures, réservations de voyages, billets d’avions,

instructions de paiements, transactionsde cartes de crédit, sont autant de fluxque nous traitons sur nos plates-formes.Ces traitements et transactions se fontde manière complètement sécurisée eten parfaite conformité avec la législa-tion en vigueur pour la dématérialisationpuis pour l’archivage de ces documents.

GPO Magazine : Vous opérez sur desmarchés particuliers ?E. D. : Nous entendons être le parte-naire de toutes les entreprises, quels

que soient leur secteur d’activités oula nature des documents et des trans-actions à traiter. Nous avons néan-moins une expertise très poussée danscertains secteurs comme le voyage.Depuis trente ans, nous sommes ainsipartenaire stratégique de IATA (l’Asso-ciation Internationale du Transport Aérien). Nous opérons des services telsque le BSP (Billing and SettlementPlan) qui procure aux agences devoyages et compagnies aériennes dumonde IATA fluidité, simplicité ettransparence dans les transactionsréalisées. Par ailleurs, notre plate-forme de dématérialisation des factures Clear’Invoice est actuellement utilisée parplusieurs acteurs du voyage, telsqu’Avexia Voyages, Carlson WagonlitTravel, Fram, Kuoni ou encore Ampli-tudes. Nous travaillons également avecles loueurs de voitures pour lesquelsnous avons développé et opérons des plates-formes telles que Res@car(service de réservation en temps réelproposé par les loueurs de voitures àleurs clients professionnels) ou Edirent(plate-forme de dématérialisation desfactures des loueurs de véhicules versleurs clients business).

GPO Magazine: Où en est la régle-mentation en matière de dématéria-lisation fiscale des factures ?E. D. : La réglementation a, cette dernière décennie, beaucoup évolué.Rappelons que la directive européennede 2001 sur la dématérialisation fiscaledes factures a été retranscrite en droit français en 2004. Elle autorise


d’ExpertA v i s

Accelya, opérateur historique de la dématérialisation des factures

Depuis plus de trente ans, Accelya opère sur le marché de ladématérialisation des transactions professionnelles, et enparticulier des factures. Une expertise historique reconnue surde nombreux secteurs d’activité, notamment sur le voyaged’affaires.

Éric DUBOISResponsable de l’offre Clear’ Invoice,Accelya

En 2011, Avexia Voyages, société

spécialisé dans le voyage d’af-

faires et expert des PME, décide

de s’appuyer sur Accelya pour

la dématérialisation fiscale de

près de 400 000 factures par an.

« Accelya a parfaitement comprisnos besoins techniques pour l’inté-gration de la facturation électro-nique dans notre portail métier,

explique Julien Chambert, direc-

teur du Contrôle de Gestion, Infras -

tructure et Systèmes au sein

d’Avexia Voyages. L’opérateur aégalement bien évalué nos besoinsdans la relation client-fournisseur.Nous avons par ailleurs été séduitspar l’ergonomie de la plate-formeClear’Invoice, sa simplicité d’utili-sation et sa fiabilité. Enfin, Accelyava nous permettre de développernotre Espace Client grâce à denombreuses nouvelles fonctionna-

lités». Quatre mois ont alors suffit

pour la mise en œuvre de ce

projet. « Les clients bénéficientdésormais d’un accès direct et facilité à leurs factures, tout celadepuis leur Espace Client person-nel, poursuit Julien Chambert. Lesservices proposés sont plus nom-breux, nos utilisateurs y gagnent entemps de traitement, sans compterqu’un client non dématérialisé ac-tuellement, y trouvera un véritablegain économique : les frais de ges-tion liés à l’émission de facturesélectroniques par rapport au papierétant sensiblement réduits ». Sur les

400 000 factures émises chaque

année par Avexia Voyages, 216 000

sont actuellement dématérialisées

fiscalement, et Avexia Voyages vient

également de confier à Accelya la

dématérialisation fiscale de ses

factures fournisseurs. n

Accelya partenaire d’Avexia Voyagespour la dématérialisation de ses factures

Témoignage

35

l'échange de données informatiséesstructurées de type EDI ou la déma -térialisation des factures dans des formats non structurés, de type PDFsigné (fichier PDF contenant une signature électronique). La directiveeuropéenne a été révisée en 2006 puisen 2010. Cette dernière révision, quidevrait être retranscrite en droit localcet automne, autorisera très certaine-ment une nouvelle possibilité (autreque le PDF signé ou l’EDI) pour faire de la dématérialisation fiscale des

factures, et supprimer les factures papier. Etant au cœur de ces discus-sions, Accelya peut garantir à sesclients un service complet et juridi -quement à jour.

GPO Magazine: Quels sont les enjeuxde vos clients ?E. D. : Aujourd’hui, la performance desentreprises est notamment liée à l’efficacité de leurs processus adminis-tratifs. Or, la facturation électroniquerend l’ensemble du processus plus fiable, tout en ayant un effet positifsur sa rentabilité. Pour autant, les projets de dématérialisation fiscale desfactures posent un véritable challengeaux entreprises en termes de déploie-ment. Si les partenaires commerciauxde nos clients font déjà de la déma -térialisation, nous déploierons une solution très certainement en EDI. Siles contreparties de nos clients ne sontpas équipées, nous leurs proposeronsdes solutions de déploiement « clés en

main », basées le plus souvent sur duPDF signé avec un portail de consulta-tion et d’archivage légal des factures.Il leur suffit de donner leur accord pource nouveau service de facturation. Àcharge pour nous ensuite d’en assurerle traitement et le transport en vertude la réglementation en vigueur. Nossolutions de déploiement sont ainsisuffisamment standardisées et para-métrables pour s’adapter à l’ensembledes problématiques de nos clients. n


Pour en savoir plus

ACCELYA France3 boulevard des Bouvets92741 NANTERRE CEDEXTél. : 01 47 29 76 11

E-mail : [email protected]

www.accelya.fr

Accelya enquelques chiffres

Chiffre d’affaires annuel :

110 millions de dollars

Présence internationale dans

10 pays sur tous les continents

Effectif : plus de 2000 personnes

Plus de 30 ans d’expérience

Documents

DOSSIER De la gestion · données ), à l’émergence du cloud computing, à l’image et à l’e-réputation. Sans oublier les risques psychosociaux, environnementaux, et risques