Rapport explicatif

tenir compte du fait que l’échange ne se limite pas aux organes d’exécution des assurances sociales du 1^er pilier, mais s’étend aussi aux tiers, que ce soient des organes d’exécution d’autres assurances sociales ou encore des offices fédéraux ou des offices cantonaux lorsqu’une loi fédérale prévoit un tel échange de données.

4.4.2 Applications informatiques

Le respect de standards minimaux pour assurer la sécurité de l’information et la protection des données n’est actuellement pas surveillé par l’OFAS. Ces standards règlent l’organisation ainsi que la procédure de sécurité et définissent les exigences minimales en matière de sécurité pour la protection de la confidentialité, de la disponibilité, de l'intégrité et de la traçabilité des informations et des données.

4.4.3 Externalisation des services liés aux systèmes d’information

La plupart des organes d’exécution ont externalisé le développement et l’exploitation des systèmes d’information – généralement à des pools informatiques

– tout en continuant d’exercer entièrement ou majoritairement le contrôle des pools ou des prestataires informatiques. Pour cela, la possibilité de déléguer ces activités à des tiers et de procéder à une externalisation des systèmes d’information doit être explicitement définie et réglée dans la loi (art. 63, al. 5, LAVS). Cet article devrait être précisé afin de permettre à la surveillance d’édicter des règles en matière d’externalisation des systèmes d’information et garantir que l’objectif de la surveillance, à savoir le respect des principes de base de l’AVS ou de l’AI, puisse être atteint malgré l’externalisation. Une règle principale en matière d’externalisation des systèmes d’information sera donc de soumettre ces pools à des audits informatiques. Ces missions d’audit informatique doivent ainsi suivre une logique basée sur des concepts et des normes modernes de la branche (par ex. travaux de l’association EXPERTSuisse et les spécialistes du métier de l’audit informatique). Ces contrôles peuvent par exemple inclure :

– Les contrôles applicatifs : ce sont des contrôles intrinsèques ou intégrés directement dans les applications transactionnelles. Ces dernières supportent les processus métier et engendrent des risques pour l’organisation qui peuvent compromettre l’intégrité, l’exhaustivité, la rapidité d’exécution et la disponibilité des données financières ou opérationnelles. Les contrôles applicatifs permettent en partie de réduire ces risques. Ils permettent de vérifier l’intégralité, l’exactitude, la validité, les autorisations et la séparation des fonctions pour les applications métiers nécessaires à l’exécution.

– Les contrôles informatiques généraux : ils permettent de vérifier l’environnement, la maintenance des applications, la configuration, l’exploitation, la sécurité logique et physique, la surveillance et la continuité de l’exploitation.