Rapport explicatif

occasionner des pertes financières massives pour l’assurance, sans parler de la perte de confiance qu’engendrerait un tel incident. De ce fait, les caisses de compensation et les pools informatiques doivent être soumis à des audits informatiques contraignants qui remplissent certaines exigences minimales.

Enfin, des standards minimaux doivent être prévus pour la protection des données (let. c) afin de remplir les exigences en la matière réglées dans la législation fédérale sur la protection des données45.

Pour assurer le respect de ces bases légales, il convient de définir des standards minimaux réglant l’organisation ainsi que la procédure de sécurité et qui déterminent les exigences minimales en matière de sécurité de l’information et de protection des données utilisées par les différents systèmes d’information. Ces standards minimaux comprennent des mesures visant à protéger l’intégrité et la disponibilité des données, de même que la confidentialité, l’intégrité, la disponibilité et la traçabilité des données sauvegardées, traitées et transférées dans ces systèmes. Il incombe à l'autorité de surveillance d'édicter les standards nécessaires garantissant le respect de ces règles tout en tenant compte des aspects opérationnels et organisationnels. Un exemple concret concerne la gestion de projets informatiques auprès des organes d’exécution. Chaque organe d’exécution a la compétence de choisir la méthode de gestion de projet qui convient à son organisation. Néanmoins, les éléments essentiels garantissant la sécurité des informations et la protection des données doivent être systématiquement fournis et constituent un standard. Avec cet article, l’autorité de surveillance peut vérifier si les organes d’exécution, à travers les missions d’audits informatiques, ont mis en place les processus nécessaires à l’élaboration de tels concepts.

Al. 3 : Les standards minimaux doivent être adaptés à la pratique de l’AVS qui implique le traitement d’une grande quantité de données. Il est donc judicieux que les standards soient élaborés par les organes d’exécution des assurances sociales, par ex. eAVS/AI ou la CdC (soit de leur propre initiative, soit sur mandat de l’OFAS). Pour que les standards soient obligatoires à tous les niveaux de l’exécution, l’art. 72a, al. 2, let. d, LAVS exige qu’ils soient vérifiés et approuvés par l’OFAS en tant qu’autorité de surveillance.

Al. 4 : L’art. 49^bisLAVS table avant tout sur l’autorégulation des organes d’exécution, qui seront libres de développer les standards minimaux que doivent remplir leurs systèmes d’information sous réserve de l’approbation par l’OFAS. Subsidiairement, l’autorité de surveillance doit avoir la possibilité d’imposer l’utilisation de certains systèmes d’information si cela est nécessaire pour garantir l’échange de données, la sécurité des systèmes d’information ou la protection des données. Elle pourrait vouloir le faire pour garantir par l’utilisation d’un outil commun que les messages électroniques puissent être envoyés et reçus par tous les organes d’exécution et ce indépendamment de l’état de développement de leurs applications métiers individuelles. L’autorité de surveillance pourrait aussi imposer un système unique pour faciliter les échanges avec l’étranger (SNAP-EESSI) ou pour assurer une intégration optimale dans les portails de cyberadministration suisse tel que le guichet unique des entreprises de l’organisation egovernement46. Elle fera