Introduction :

La sécurité conditionne la fiabilité du système d’information. Or le contexte actuel qui se caractérise par un recours étendu aux TI et un développement exponentiel des applications autour d’internet fait que les Systèmes d’information comptables et financiers sont de plus en plus vulnérables et les risques de contreperformance se multiplient. Une telle situation exige des mesures de sécurités plus performantes et plus efficaces.

Mesures de précaution : préalable à l’agression, à ce niveau on essaye de minimiser le risque de vulnérabilité de notre système

Mesures correctives : une fois l’agression est détectée, à ce stade des mesures de récupération sont mises en œuvre.

Critères : pour gérer la sécurité il faut pouvoir l’évaluer à l’aide d’indicateurs :

Disponibilité de l’information et des fonctionnalités : Le système doit fonctionner sans faille durant les plages d'utilisation prévues, et garantir l'accès aux services et ressources installées avec le temps de réponse attendu. on parle d’indisponibilité quand l’utilisateur ne peut avoir connaissance de l’information ou exécuter les opérations envisagées, ça peut être temporaire ou définitive.

Intégrité de l’information : la garantie que le système et l'information traitée ne sont modifiés que par une action volontaire et légitime. L’intégrité des données est donc la confirmation que les données qui ont été envoyées, reçues ou stockées sont complètes et n'ont pas été modifiées de façon fortuite.

Confidentialité : l’information reste connue des seules personnes habilitées à la recevoir. Afin d’assurer cette confidentialité de l’information, il peut être mis à disposition de l’utilisateur un système d’authentification.

Non-répudiabilité des communications : La répudiation est le fait de nier avoir participé à des échanges, totalement ou en partie. Dans la non répudiation, l'objectif est de donner des preuves indiscutables de l'exécution d'opérations, les parties impliquées ne pouvant plus nier les faits. De ce fait, le système d’information doit permettre de garder une trace des personnes, des acteurs, impliqués dans les échanges. Par exemple, connaître les fournisseurs de matières premières.

Traçabilité : le SICF permet, par son organisation, de retrouver, a postériori, toutes les opérations qui ont été exécutées ; il y a une trace des opérations facilitant la vérification du bon fonctionnement du système et permettant en cas de problèmes de cohérence des données, ou encore d’enquêtes judiciaires, de détecter la cause de l’incident

LSO et LSF : Ces textes font suite aux différents scandales financiers (Parmalat, Enron, Worldcom, etc.) survenus récemment et qui ont fait apparaître au grand jour les failles de la législation comptable et financière des entreprises. Ces lois prévoient désormais l'obligation pour les dirigeants de mettre en place, au sein de l'entreprise, des systèmes de contrôle interne destinés notamment à permettre une présentation fidèle des résultats financiers.

1. Etat des lieux de la nouvelle législation

La loi Sarbanes Oxley (dite "SOX") s'applique à toutes les sociétés qui émettent des titres enregistrés auprès de la SEC ou placés publiquement sur le marché américain. Son champ d'application est donc très large et concerne actuellement environ une centaine d'entreprises françaises.

Ce texte prévoit plusieurs dispositions et notamment l'obligation pour les dirigeants d'évaluer la qualité du contrôle interne afin de permettre la présentation d'une situation financière fidèle et des fraudes susceptibles d'avoir été réalisées.

En outre, le nouveau texte impose aux entreprises la mise en place d'un système d'archivage permettant d'obtenir rapidement des informations sur l'historique financier de l'entreprise.

En France, la Loi de Sécurité Financière dispose que la direction générale doit rendre compte, dans un rapport présenté chaque année aux actionnaires lors de l'assemblée amenée à statuer sur les comptes de l'exercice, des procédures de contrôle interne mise en place au sein de l'entreprise et assurant une meilleure transparence.

La loi française est beaucoup moins précise que la loi américaine et ne définit cependant pas les procédures de contrôle interne auxquelles elle fait référence ni les moyens permettant d'assurer ce contrôle interne au sein de l'entreprise.

3. L'obligation d'archivage des données au regard de la mise en œuvre des procédures de contrôle interne

Afin de contrôler la pertinence de l'information financière communiquée, l'entreprise doit être en mesure de disposer de moyens d'archivage et de recherche de l'information pertinents. En effet, l'archivage, lorsqu'il est effectué dans certaines conditions, est un moyen de vérifier que les informations comptables, financières et de gestion communiquées aux organes sociaux de la société reflètent avec sincérité l'activité et la situation de la société.

L'archivage de l'information ne doit pas être effectué à la légère. En effet, il doit en particulier permettre de garantir :

l'intégrité de l'information conservée et ceci pendant toute la durée de conservation, qui peut être longue puisque le Code de Commerce impose de conserver la comptabilité pendant une durée de 10 ans et le Code Général des Impôts pendant une durée de six ans.

La notion d'intégrité renvoie au support d'archivage qui doit exclure toute possibilité de modification de l'enregistrement initial. Actuellement, il existe sur le marché plusieurs supports de ce type (disque WORM, etc.).

la traçabilité de l'information, c'est-à-dire la possibilité de repérer si les informations ont été manipulées depuis leur origine et par quelles personnes.

La législation américaine impose même la conservation de la messagerie électronique.

Juridiquement, aucun texte ne définit l'archivage.

Certains textes, comme le Code de Commerce ou le Code Général des Impôts traitent de l'archivage mais sans préciser les supports utilisables ou les procédures qui doivent être respectées.

En pratique, pourtant, il existe de nombreux outils, particulièrement fiables, qui permettent d'assurer l'intégrité et la fiabilité nécessaires.

En outre, il est tout à fait envisageable d'externaliser l'archivage électronique de ses données financières auprès d'un tiers spécialisé. L'entreprise, demeurant responsable au regard de la loi, doit simplement prendre certaines précautions dans le cadre du contrat conclu avec le prestataire d'archivage.

A ce titre, il est nécessaire de prévoir notamment un engagement de niveau de services incluant certaines obligations relatives au contrôle interne (sécurité des données archivées, garantie de l'intégrité), ou encore un droit d'audit pour l'entreprise.

En tout état de cause, la mise en place d'un système d'archivage adéquat nécessitera un véritable dialogue au sein de l'entreprise entre la direction financière dont l'objectif est d'assurer la fiabilité de l'information financière, la direction des systèmes d'information et la direction générale qui demeure responsable du respect de la législation.

En conclusion : la législation tant française qu'internationale a voulu restaurer la confiance des marchés financiers en obligeant les entreprises à communiquer sur les procédures de contrôle interne. L'archivage des données comptables et financières est l'un des éléments de ce contrôle interne, certes encore mal appréhendé par les entreprises. Pourtant, il peut s'avérer être un outil efficace pour lutter contre les fraudes.

La sécurité doit être évaluée bien sûr, sur le plan technique, mais aussi sur le plan financier. Le système financier doit rendre fidèlement compte de l'activité de l'entreprise. Le rôle du système d'information financière s'est donc considérablement élargi. En voici ses contours.

Il en résulte :

une obligation de contrôle et de maîtrise des processus des flux financiers, tout au long de la chaîne de production de ces informations (acquisition, intégration, transformation, consolidation, contrôle, reporting...),

une implication et une responsabilisation forte des gouvernants, désormais clairement soumis à des menaces pénales.

La prise en compte de ces lois exige une modification des processus correspondants. Ceci a impacté les systèmes d'information, source des données financières de manière considérable.