meta données pour cette page
Ceci est une ancienne révision du document !
 Retour au rapport de gérance 2025-2026 |
|
 Sujets connexes | Proc#174 - Revue de direction Cartographie fonctionnelle de LoGeAs |
Audits de certification - exercice 2025-2026
| Enregistrement | Synthèse des audits de certification réalisés pendant l'exercice 2025-2026 et des actions correctives associées. Annexe au rapport de gérance (rubrique Certification). Les rapports d'audit complets, diffusables uniquement dans leur intégralité, sont conservés dans Proton. |
Synthèse
| Marque | Type d'audit | Date | Organisme | Version auditée | NC majeures | NC mineures | Points de vigilance | Écarts levés | Décision |
|---|---|---|---|---|---|---|---|---|---|
| NF 203 (comptabilité informatisée) | Audit complet de renouvellement, à distance | 6 et 7 novembre 2025 | AFNOR Certification / INFOCERT | LoGeAs Web 11.0.2.0 | 0 | 2 | 11 | 7 | Favorable |
| NF 552 (protection des données personnelles) | Surveillance annuelle | 20 novembre 2025 | AFNOR Certification / INFOCERT | LoGeAs Web 11.0.2.00 | 0 | 4 | 21 | 1 | Favorable |
Les deux certifications sont maintenues. Aucune non-conformité majeure.
Constats principaux :
- Plusieurs écarts sont maintenus d'une année sur l'autre : il manque un suivi formel des actions correctives entre deux audits.
- Une part importante des points de vigilance NF 552 porte sur des procédures non mises à jour (SVN au lieu de GitLab, ProjeQtor au lieu de l'outil interne, déploiement et roadmap non formalisés, architecture technique ancienne).
- Les tests reviennent dans les deux audits : pas de PV de recette, pas de rapport d'exécution sur la version certifiée, documentation de test incomplète.
- Les droits RGPD (rectification, opposition, retrait du consentement, preuve du consentement) ne sont pas encore couverts par le logiciel.
Écarts levés pendant les audits
| Marque | Référence | Écart d'origine | Résolution |
|---|---|---|---|
| NF 203 | AUD-I-08076 | Pas de lien entre ticket client et ticket de développement | Lien mis en place dans l'outil de ticketing |
| NF 203 | AUD-I-08077 | Pas d'enquête de satisfaction | Enquête 2024 réalisée et analysée |
| NF 203 | AUD-I-08080 | Rupture de séquence des pièces dans le FEC | Numéros de pièces externes saisis par l'utilisateur : clôturé |
| NF 203 | AUD-I-08074 | Archive fiscale sans compte de résultat, bilan, grands livres | Documents ajoutés à l'archive fiscale |
| NF 203 | AUD-I-08068 | FEC ne précisant pas exercice clôturé ou non | Mention ajoutée dans le rapport du FEC |
| NF 203 | AUD-I-08072 | Pas de contrôle du SIREN / SIRET | Contrôle mis en place |
| NF 203 | AUD-I-08081 | Code JET 30 non implémenté | Code implémenté |
| NF 552 | 2024 n°3 | Pas de trace de l'exercice des droits | Événements RGPD tracés dans la piste d'audit |
Écarts ouverts et actions correctives
Statuts : NCm non-conformité mineure, PV point de vigilance. « Maintenu » : écart déjà relevé l'année précédente.
Produit - comptabilité (NF 203)
| Référence | Constat | Action corrective proposée | État |
|---|---|---|---|
| AUD-I-08084\ NCm | Le statut « validé » d'une écriture ne s'affiche pas en consultation | Afficher le statut de l'écriture | Ouvert |
| AUD-I-08075\ NCm (maintenu) | Possibilité d'ouvrir un exercice de plus de 24 mois | Bloquer ou justifier la durée d'exercice | Ouvert |
| AUD-I-08079\ PV (maintenu) | Balance d'ouverture laissée en brouillard | Valider la balance d'ouverture à sa génération (intangibilité du bilan d'ouverture) | Justifié : dans LoGeAs, les saisies ne peuvent porter que sur un compte terminal. Si le compte de banque 512 utilisé en N-1 est repris tel quel dans la balance d'ouverture et que l'association ouvre ensuite un second compte bancaire, il faut créer deux sous-comptes (par exemple 512000001 pour l'ancien compte et 512000002 pour le nouveau). L'écriture de balance d'ouverture pointe alors sur un compte qui n'est plus terminal : sa structure doit être modifiée, mais pas ses montants. C'est pourquoi elle reste en brouillard. Le bilan d'ouverture reste identique au bilan de clôture de l'exercice précédent, ce qui respecte à notre sens le principe d'intangibilité. |
| AUD-I-08085\ PV | Pas de fonction de lettrage | Décider : développer ou justifier l'absence | Ouvert |
| AUD-I-08089\ PV | Suppression définitive possible d'un sous-compte à solde nul | Revoir la règle de suppression des sous-comptes | Ouvert |
| AUD-I-08082\ PV | Pas d'option TVA sur encaissements / débits pour les entreprises | Décider : développer ou restreindre le périmètre | Ouvert |
| AUD-I-08073\ PV (maintenu) | Code JET 240 non implémenté (tracé en 904/905) | Implémenter le code 240 | Ouvert |
Système qualité (NF 203 et NF 552)
| Référence | Constat | Action corrective proposée | État |
|---|---|---|---|
| NF 552 n°8\ NCm | Pas de rapport d'exécution des tests sur la version 11.0 | Produire un rapport d'exécution des tests à chaque version | Traité pour les versions à venir : Proc#168 interdit toute livraison sans rapport qualité validé portant sur le code exact (preuve à présenter : premier rapport validé) |
| AUD-I-08078\ PV (maintenu) | Pas de PV de recette | Établir un PV de recette par version | Traité : recette de la beta enregistrée « Conforme » dans le rapport qualité (Proc#168) |
| AUD-I-08090\ PV | Étapes de test et démarche de résolution d'erreurs non documentées | Rédiger la procédure de test | En grande partie traité : étapes de test et cas d'échec dans Proc#168 et Proc#169, traitement des bogues dans Proc#8 |
| NF 552 n°9\ PV | Pas de tests de performance ni de sécurité, pas de périodicité | Définir et planifier ces tests | Ouvert |
| NF 552 n°10\ PV | Outil de bogues sans version détectée, reproductibilité, analyse des causes | Ajouter ces champs aux tickets de développement | Partiel : Proc#8 exige les étapes de reproduction ; champs version détectée et analyse des causes à ajouter dans l'outil |
| AUD-I-08091\ PV | Tickets sans priorité ni catégorie | Ajouter priorité et catégorie aux tickets | Partiel : types et niveaux de gravité définis dans Proc#8 (refonte juin 2026) ; champs à vérifier dans l'outil |
| NF 552 n°11\ PV | Exploitation de la satisfaction client non formalisée | Formaliser l'analyse de l'enquête et les actions qui en découlent | Ouvert |
| AUD-I-08087 / NF 552 n°7\ PV | Plan produit sans lien avec les versions ; roadmap interne non formalisée | Relier le plan produit aux versions et formaliser la roadmap | Ouvert |
| AUD-I-08086\ PV | Documentation de gestion des versions non mise à jour depuis 2018 | Mettre à jour la documentation | Partiel : documentation refondue (Proc#145, janvier et août 2026) ; identification des clients par version à vérifier |
| AUD-I-08088\ PV | Liens vers la documentation wiki non mis à jour | Corriger les liens (nouvelle adresse du wiki) | Ouvert |
| NF 552 n°4, 5, 6\ PV | Procédures obsolètes : SVN au lieu de GitLab, ProjeQtor au lieu de l'outil interne ; déploiement non formalisé | Réviser les procédures selon Proc#163 | Traité : SVN remplacé par Git (fusion de la procédure #30 dans Proc#145, Proc#167) ; ProjeQtor remplacé par l'outil interne (Proc#8) ; déploiement formalisé (Proc#168, Proc#169, Proc#144) |
| NF 552 n°13\ PV | Architecture technique non à jour | Mettre à jour le schéma d'architecture | Ouvert |
Protection des données (NF 552)
| Référence | Constat | Action corrective proposée | État |
|---|---|---|---|
| NF 552 n°2\ NCm (maintenu) | Sauvegardes de données personnelles non chiffrées (effacement après 8 jours) | Chiffrer les sauvegardes et exports | Ouvert |
| NF 552 n°18\ NCm | Cartographies non restituées dans un format exploitable (JSON, XML, CSV) | Ajouter un export de la cartographie | Ouvert |
| NF 552 n°19\ NCm | Pas de preuve du consentement de la personne concernée | Enregistrer le consentement | Ouvert |
| NF 552 n°17, 20, 21\ PV | Pas de fonction de rectification (utilisateur standard), d'opposition, de retrait du consentement | Ajouter ces fonctions | Ouvert |
| NF 552 n°1\ PV (maintenu) | Pas de contrôle des champs texte libre | Suivre la proposition de contrôle des mots | Ouvert |
| NF 552 n°3\ PV (maintenu) | Pas de documentation d'administration sur les obligations de traitement des données | Rédiger la documentation | Ouvert |
| NF 552 n°14, 15\ PV | Pas de document déclarant toutes les données comme sensibles (art. 9 RGPD) ; cartographie des flux et MCD à présenter | Compléter la documentation RGPD | Ouvert |
| NF 552 n°16\ PV | Pas d'archivage des versions de la cartographie | Archiver la cartographie à chaque version | Ouvert |
| NF 552 n°12\ PV | Champ « nominatif » mal affiché dans la cartographie | Corriger l'affichage | Ouvert |
| NF 552 n°22\ PV | Pas de procédure de notification des failles de sécurité aux clients | Rédiger la procédure | Ouvert |
| NF 552 n°23\ PV | Bogue à l'export de la piste d'audit | Corriger l'export | Ouvert |
| NF 552 n°24\ PV | Minimisation des données (privacy by design) non documentée | Documenter la démarche | Ouvert |
| NF 552 n°25\ PV | Vulnérabilités (audits STOIK) non classées selon un référentiel reconnu (OWASP) | Demander une classification OWASP | Ouvert |
Bilan au 1er octobre 2026
La remise à plat des procédures de l'été 2026 traite les écarts portant sur les procédures obsolètes et sur les tests : les PV de recette et rapports d'exécution sont désormais produits par la chaîne de qualification et de livraison (Proc#168), dont la première application devra être présentée aux auditeurs.Restent ouverts : les écarts produit (comptabilité et protection des données), le plan produit et la roadmap, la notification des failles de sécurité, la documentation RGPD et l'architecture technique.
Prochains audits
[À COMPLÉTER : dates prévues des audits NF 203 et NF 552 de l'automne 2026.]