Les recommandations

« CONFORMITE CLOUD 2014 et 2015 » du CSOEC

Préambule

Cette liste de recommandations est à destination des fournisseurs de solutions Cloud (dénommés les destinataires) pour leur permettre d’affirmer leur engagement sur le respect de la liberté, de l’autonomie, de l’indépendance et de la sécurité des structures d’expertise comptable et de leurs données. Cette première version ne concerne pas les seuls hébergeurs.

Elle est le résultat de la réflexion du groupe de travail de professionnels, membres de la commission innovation technologique, sous la responsabilité du Vice-Président de la commission Michel Bohdanowicz.

Le symbole indique un point pouvant faire l’objet de nouveaux services pour les utilisateurs.

 

ARTICLE 1 : ENGAGEMENTS DES DESTINATAIRES

 

PARTIE 1/ LIBERTE, AUTONOMIE, INDEPENDANCE

1.1            REVERSIBILITE

La réversibilité garantit à l’utilisateur du service la possibilité de changer de prestataire en récupérant ses données.

Aussi les destinataires s’engagent à :

 

1.1.1      Exporter toutes les données, documents et fichiers de l’expert en format libre ASCII ou selon des standards du marché.

1.1.2      Permettre cette récupération immédiatement dossier par dossier, a minima.

1.1.3      Ne pas facturer de supplément pour le téléchargement dossier par dossier.

 

 

1.1.4      Permettre le retour en mode local, pendant les 3 mois suivant une souscription à l’offre Cloud, pour les éditeurs proposant les deux modes d’exploitation de leurs solutions (local et cloud)

1.1.5      Informer clairement, dès la signature du contrat, de la durée de conservation des données par le prestataire après la fin de celui-ci.

1.1.6      Informer obligatoirement et clairement dès la signature du contrat sur les services permettant de réexploiter les données après la fin du contrat (notamment en cas de contrôle fiscal).

 

1.2           INTEROPERABILITE ENTRE LES SOLUTIONS CLOUD

 

Le recours à des solutions cloud d’origines différentes nécessite que celles-ci communiquent entres elles au bénéfice de l’expérience-utilisateur.

Aussi les destinataires s’engagent :

 

1.2.1      Sur l’existence de « web services » ou connecteurs entrants ou sortants avec d’autres solutions éditeurs ; ou sur la possibilité d’importer et d’exporter des données principales et clés de toutes les applications (avec information préalable sur les données concernées).

 

1.2.2      A informer les experts-comptables sur la politique de licences et de gestion de la compatibilité des versions de l’offre avec les différents logiciels bureautiques.

1.2.3      A mettre en œuvre un SSO (single sign on) permettant une navigation sans ré-authentification entre les applications d’un même éditeur et à intégrer les nouvelles offres développées ou acquises dans ce dispositif.

1.3           DUREE ET NATURE D’ENGAGEMENT

 

Le choix d’une solution cloud pour son système d’information porte les mêmes engagements en termes de formation des collaborateurs, d’ingénierie de migration et d’organisation interne qu’une solution en mode local. Le cloud offre cependant de nouvelles perspectives d’usages ponctuels ou dynamiques selon la croissance ou décroissance du cabinet et la nature des clients. Ces éléments doivent être pris en compte dans la durée et la nature des engagements.

Aussi les destinataires s’engagent :

 

1.3.1      A ne pas imposer une durée d’abonnement de plus de 36 mois.

 

1.3.2    A rendre adaptables les dispositions contractuelles (options à destination des clients, notamment) relatives à la durée et au nombre de licences.

1.3.3      A limiter la durée de la tacite reconduction à 12 mois.

1.3.4      A respecter un préavis de 6 mois pour dénoncer le contrat.

 

1.4           ACCESSIBILITE DES DONNEES CABINET

Un des atouts du cloud réside dans la disponibilité des données dans le temps et l’espace, traduite par l’acronyme ATAWAD (Anytime, Anywhere, Anydevices).

Aussi les destinataires s’engagent à :

1.4.1      Proposer la solution cloud en mode : ATAW (Anytime, Anywhere) et prévoir dans ses plans de développements d’atteindre le niveau ATAWAD.

1.4.2      Permettre au cabinet de mémoriser ponctuellement un dossier et le restaurer ultérieurement.

1.4.3      Donner l’accès aux sauvegardes du fournisseur et à leur historique en précisant les modalités pratiques et juridiques (dossier par dossier, globalement, période de consultation) dans le contrat.  

1.4.4      Informer par avance des périodes d’indisponibilité programmées pour maintenance technique.

1.4.5      Conserver une traçabilité de la dernière modification réalisée et des accès collaborateurs.

1.5       ACCESSIBILITE AUX DONNEES CABINET PAR LES CLIENTS

 

Le cloud est la base de processus collaboratifs ou d’informations entre le cabinet et ses clients.

Aussi les destinataires s’engagent à :

1.5.1      S’interdire la consultation ou l’exploitation directe ou indirecte des données des clients du cabinet dans un strict respect du secret professionnel.

 

1.5.2      Tenir compte du fait que le cabinet doit pouvoir proposer à son client des accès distincts des droits du cabinet avec des droits différenciés pour les utilisateurs du client.

1.5.3      Permettre la gestion par le cabinet des périodes consultables par le client

1.5.4      Offrir un accès ATAWAD en consultation

1.5.5      Fournir une information claire pour le cabinet et son client sur l’origine des informations échangées avec celui-ci. (Le client a-t-il accès à la base de données du cabinet ou à une base dédiée et donc à sa fréquence de mise à jour)

1.5.6      Conserver la traçabilité des accès des clients et de leur dernière modification réalisée.

1.5.7      Permettre un verrouillage de la saisie par le cabinet.

1.5.8      Fournir un support technique aux utilisateurs.

1.5.9      Proposer une interface spécifique pour le client en saisie et en restitution (tableaux de bord…).

 

1.6           CONFIDENTIALITE ET PROPRIETE DES DONNEES

Les enjeux de propriété des données sont plus prégnants dans les solutions cloud.

Aussi les destinataires s’engagent :

 

1.6.1      A respecter et faire respecter par leurs collaborateurs et leurs fournisseurs le secret professionnel des experts-comptables.

 

1.6.2      A ne pas facturer directement le client du cabinet pour ses options sans l’accord de l’expert-comptable.

1.6.3      A inscrire dans le contrat que la propriété des données est dévolue au cabinet

1.6.4      A ne pas diffuser ni exploiter les données des clients du cabinet.

 

 

 

 

PARTIE 2/ SECURITE

La contrepartie du cloud est une plus grande vulnérabilité aux menaces de pertes et vols des données ou à l’indisponibilité des services. Les paragraphes suivants expriment les dispositifs devant être mis en œuvre par les destinataires pour garantir un minimum de sécurité aux cabinets.

2.1           CRYPTAGE DES DONNEES

 

2.1.1      Les destinataires s’engagent à utiliser un tunnel sécurisé entre le client et les serveurs du prestataire avec un cryptage 128 bits au minimum.

2.2          SAUVEGARDES DES DONNEES PAR LE PRESTATAIRE

 

Les destinataires s’engagent à :

2.2.1      Fournir une information claire dans le contrat à propos de la politique de sauvegarde et d’historisation.

2.2.2      Limiter à 4 heures maximum, après un incident, le plan de reprise d’activité, éventuellement sur un périmètre fonctionnel réduit.

2.2.3      Communiquer le taux minimum annuel de disponibilité du service cloud.

2.2.4      Indiquer dans le contrat le montant du plafond d’assurance responsabilité professionnelle ou d’une clause pénale en cas d’indisponibilité du service.

2.3          SECURITE PHYSIQUE DES SITES

2.3.1      Les destinataires s’engagent à proposer des data center sécurisés par certification ISO 27001 ou par une déclaration de conformité à un référentiel reconnu de sécurité des data center.

 

2.4          LOCALISATION DES DONNEES HEBERGEES, RESPONSABILITES

 

Les destinataires s’engagent à :

 

2.4.1      Ce que les données soient hébergées dans l’Union Européenne ou dans un pays avec qui la France a un accord de coopération fiscale. Cette règle est appliquée au serveur principal et à tous les dispositifs de secours ou secondaires. Elle est maintenue pendant toute la durée du contrat et adaptée selon les changements de la réglementation et des relations entre pays. Le client est informé des évolutions réalisées.

2.4.2      Ce qu’en cas de litige, seuls les tribunaux français soient compétents et le droit français soit applicable.

 

2.4.3      Informer les cabinets de la sous-traitance et d’éventuelles clauses de porte fort.

 

PARTIE 3/  GARANTIES ET DONNEES FINANCIERES

Les destinataires s’engagent à :

2.5          Mentionner dans le contrat les garanties et assurances proposées

2.6          Publier leurs données financières, notamment leur cotation Banque de France.

2.7           Informer leurs clients en cas changement de contrôle (exclusif ou conjoint) ou d’influence notable (dans le sens de la norme IAS 28) et rendre possible la résiliation du contrat avec respect des délais de préavis prévus.

2.8           Informer de l’existence d’un club utilisateurs d’experts-comptables.

 

 

ARTICLE 2 : COMMUNICATION

 

Les destinataires de la présente liste sont autorisés à apposer sur leurs supports de communication leur engagement de respecter l’ensemble des recommandations du CSOEC « Conformité Cloud » suivi de l’année de validité.

Les destinataires bénéficieront par ailleurs de la promotion de la liste de recommandations « Conformité Cloud » assurée par le Conseil Supérieur.

 

 

ARTICLE 3 : DUREE

 

Compte tenu des évolutions technologiques très rapides, cette liste de recommandations est valable jusqu’au 31 décembre 2015 dans la version actuelle.

 

 

ARTICLE 4 : NON RESPECT DES ENGAGEMENTS

 

Le Conseil Supérieur n’est pas responsable du non-respect par les destinataires de leurs engagements.

Il se réserve le droit de demander à un destinataire des explications en cas de doute sur le respect d’une recommandation.

Cette demande devra être adressée par courrier recommandé avec accusé de réception. Les explications du destinataire devront être communiquées au Conseil Supérieur par courrier recommandé avec accusé de réception dans un délai de 15 jours à compter de la date de réception ou de première présentation de la demande.

A défaut d’éléments d’explication permettant de garantir le respect de la recommandation en cause, le CSOEC informera le destinataire de son interdiction d’utiliser tout référence à la « Conformité Cloud » et de son retrait de la liste prévue à l’article 2 de la présente.