Paragraphe 3 : Contrôle interne des systèmes d'information

Le directeur et l'agent comptable de l'organisme national établissent une cartographie de l'ensemble des applications informatiques nationales et des éventuelles applications locales. Cette cartographie est actualisée, le cas échéant, selon une périodicité au moins annuelle.

Le directeur et l'agent comptable de l'organisme national assurent la maîtrise d'ouvrage des applications informatiques nationales. Toutefois, la maîtrise d'ouvrage d'une application informatique nationale peut être déléguée à une caisse ou à une union de caisses relevant d'un organisme national. Les modalités de cette délégation sont définies par une convention signée par les directeurs et les agents comptables desdits organismes.
Le directeur de l'organisme national assure la maîtrise d'œuvre des applications informatiques nationales. Toutefois, la maîtrise d'œuvre d'une application informatique nationale peut être déléguée à une caisse ou à une union de caisses relevant d'un organisme national. Les modalités de cette délégation sont définies par une convention signée par les directeurs desdits organismes.

Le directeur et l'agent comptable de l'organisme national valident, conjointement, les applications nationales, préalablement à leur mise en production. Lorsque la maîtrise d'ouvrage est déléguée à une caisse ou à une union de caisses relevant d'un organisme national, les applications sont validées, conjointement, par les directeurs et agents comptables de l'organisme national et de la caisse ou de l'union de caisses concernée. Toutefois, la validation peut être déléguée à une caisse ou à une union de caisses relevant d'un organisme national. Les modalités de cette délégation sont définies par une convention signée par les directeurs et agents comptables desdits organismes.
Le directeur et l'agent comptable sont tenus de procéder, par des essais, au contrôle :
1° De l'existence et de l'efficacité de sécurités physiques et logiques destinées à assurer l'intégrité des règles d'accès aux systèmes informatiques, la sauvegarde des programmes, des fichiers, des données et des échanges ;
2° De la conformité des règles de gestion programmées dans les applications aux lois, règlements et conventions ;
3° De l'exactitude des traitements de liquidation des cotisations et contributions sociales, des autres prélèvements et des prestations ;
4° De l'existence de procédures assurant l'intégrité des échanges de données informatisées entre les applications informatiques des services techniques et les applications financières et comptables ;
5° De la pertinence et de l'effectivité des contrôles automatisés conçus en lien avec la cartographie des risques ;
6° De l'absence de régression des systèmes d'information résultant de la mise en production de l'application.
Un procès-verbal de validation est dressé par le directeur et l'agent comptable.
L'agent comptable de l'organisme national peut refuser la mise en production d'une application informatique dont il estime qu'elle ne respecte pas les règles fixées par le présent code. Il en informe le directeur de l'organisme national qui a la possibilité de passer outre ce refus par décision notifiée à l'agent comptable. Le directeur transmet une copie de cette décision, dûment motivée, au ministre chargé de la sécurité sociale.
Les applications informatiques dont la maîtrise d'ouvrage est déléguée sont validées conjointement par le directeur et l'agent comptable de l'organisme national dans les mêmes conditions.

Le directeur et l'agent comptable de l'organisme national recensent les incidents informatiques constatés dans les organismes compris dans le périmètre du régime ou de la branche et procèdent à une analyse régulière de leur criticité, notamment en termes d'incidence financière, et de l'effectivité de leur traitement.

Le directeur et l'agent comptable national établissent un plan national de sécurité des systèmes d'information actualisé, le cas échéant, annuellement. Ce plan a, notamment, pour objet d'assurer la disponibilité du système d'information, la sécurité des accès, l'intégrité des données, la qualité de preuve des données et la protection de leur confidentialité.
Le directeur et l'agent comptable national établissent également un plan national de reprise d'activité des systèmes d'information, afin d'assurer la continuité du service en cas d'incident ou de sinistre majeur. Ce plan est actualisé, le cas échéant, annuellement.
Le directeur et l'agent comptable de l'organisme national établissent les règles de gestion des habilitations qui sont actualisées, le cas échéant, annuellement.

Dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés et de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives, les échanges de données informatisées entre organismes de protection sociale font l'objet d'un conventionnement. Les conventions définissent, notamment, le contenu des données transmises, les échéances de transmission, les contrôles mis en œuvre par l'émetteur et le destinataire des données, qui portent notamment sur leur exactitude, et les modalités de traitement des rejets. Elles précisent également les modalités de suivi et d'évaluation réciproques des engagements conventionnels.
La mise en œuvre des conventions fait l'objet d'un audit périodique en application de l'article D. 114-4-9.

Dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés et de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives, les échanges de données informatisées entre organismes de protection sociale font l'objet d'un conventionnement. Les conventions définissent, notamment, le contenu des données transmises, les échéances de transmission, les contrôles mis en œuvre par l'émetteur et le destinataire des données, qui portent notamment sur leur exactitude, et les modalités de traitement des rejets. Elles précisent également les modalités de suivi et d'évaluation réciproques des engagements conventionnels.
La mise en œuvre des conventions fait l'objet d'un audit périodique en application de l'article D. 114-4-9.