meta données pour cette page
Ceci est une ancienne révision du document !
 Retour au rapport de gérance 2025-2026 |
|
 Sujets connexes | Proc#174 - Revue de direction Cartographie fonctionnelle de LoGeAs |
Audits de certification - exercice 2025-2026
| Enregistrement | Synthèse des audits de certification réalisés pendant l'exercice 2025-2026 et des actions correctives associées. Annexe au rapport de gérance (rubrique Certification). Les rapports d'audit complets, diffusables uniquement dans leur intégralité, sont conservés dans Proton. |
Synthèse
| Marque | Type d'audit | Date | Organisme | Version auditée | NC majeures | NC mineures | Points de vigilance | Écarts levés | Décision |
|---|---|---|---|---|---|---|---|---|---|
| NF 203 (comptabilité informatisée) | Audit complet de renouvellement, à distance | 6 et 7 novembre 2025 | AFNOR Certification / INFOCERT | LoGeAs Web 11.0.2.0 | 0 | 2 | 11 | 7 | Favorable |
| NF 552 (protection des données personnelles) | Surveillance annuelle | 20 novembre 2025 | AFNOR Certification / INFOCERT | LoGeAs Web 11.0.2.00 | 0 | 4 | 21 | 1 | Favorable |
Les deux certifications sont maintenues. Aucune non-conformité majeure.
Constats principaux :
- Plusieurs écarts sont maintenus d'une année sur l'autre : il manque un suivi formel des actions correctives entre deux audits.
- Une part importante des points de vigilance NF 552 porte sur des procédures non mises à jour (SVN au lieu de GitLab, ProjeQtor au lieu de l'outil interne, déploiement et roadmap non formalisés, architecture technique ancienne).
- Les tests reviennent dans les deux audits : pas de PV de recette, pas de rapport d'exécution sur la version certifiée, documentation de test incomplète.
- Les droits RGPD (rectification, opposition, retrait du consentement, preuve du consentement) ne sont pas encore couverts par le logiciel.
Écarts levés pendant les audits
| Marque | Référence | Écart d'origine | Résolution |
|---|---|---|---|
| NF 203 | AUD-I-08076 | Pas de lien entre ticket client et ticket de développement | Lien mis en place dans l'outil de ticketing |
| NF 203 | AUD-I-08077 | Pas d'enquête de satisfaction | Enquête 2024 réalisée et analysée |
| NF 203 | AUD-I-08080 | Rupture de séquence des pièces dans le FEC | Numéros de pièces externes saisis par l'utilisateur : clôturé |
| NF 203 | AUD-I-08074 | Archive fiscale sans compte de résultat, bilan, grands livres | Documents ajoutés à l'archive fiscale |
| NF 203 | AUD-I-08068 | FEC ne précisant pas exercice clôturé ou non | Mention ajoutée dans le rapport du FEC |
| NF 203 | AUD-I-08072 | Pas de contrôle du SIREN / SIRET | Contrôle mis en place |
| NF 203 | AUD-I-08081 | Code JET 30 non implémenté | Code implémenté |
| NF 552 | 2024 n°3 | Pas de trace de l'exercice des droits | Événements RGPD tracés dans la piste d'audit |
Écarts ouverts et actions correctives
Statuts : NCm non-conformité mineure, PV point de vigilance. « Maintenu » : écart déjà relevé l'année précédente.
Produit - comptabilité (NF 203)
| Référence | Type | Constat | Action corrective proposée | Fonction | Échéance | État |
|---|---|---|---|---|---|---|
| AUD-I-08084 | NCm | Le statut « validé » d'une écriture ne s'affiche pas en consultation | Afficher le statut de l'écriture | Développement | [?] | [?] |
| AUD-I-08075 | NCm (maintenu) | Possibilité d'ouvrir un exercice de plus de 24 mois | Bloquer ou justifier la durée d'exercice | Développement | [?] | [?] |
| AUD-I-08079 | PV (maintenu) | Balance d'ouverture laissée en brouillard | Valider la balance d'ouverture à sa génération (intangibilité du bilan d'ouverture) | Développement | [?] | [?] |
| AUD-I-08085 | PV | Pas de fonction de lettrage | Décider : développer ou justifier l'absence | Gérance / chef de produit | [?] | [?] |
| AUD-I-08089 | PV | Suppression définitive possible d'un sous-compte à solde nul | Revoir la règle de suppression des sous-comptes | Développement | [?] | [?] |
| AUD-I-08082 | PV | Pas d'option TVA sur encaissements / débits pour les entreprises | Décider : développer ou restreindre le périmètre | Gérance / chef de produit | [?] | [?] |
| AUD-I-08073 | PV (maintenu) | Code JET 240 non implémenté (tracé en 904/905) | Implémenter le code 240 | Développement | [?] | [?] |
Système qualité (NF 203 et NF 552)
| Référence | Type | Constat | Action corrective proposée | Fonction | Échéance | État |
|---|---|---|---|---|---|---|
| NF 552 n°8 | NCm | Pas de rapport d'exécution des tests sur la version 11.0 | Produire un rapport d'exécution des tests à chaque version | Qualité / développement | [?] | [?] |
| AUD-I-08078 | PV (maintenu) | Pas de PV de recette | Établir un PV de recette par version | Qualité | [?] | [?] |
| AUD-I-08090 | PV | Étapes de test et démarche de résolution d'erreurs non documentées | Rédiger la procédure de test | Qualité | [?] | [?] |
| NF 552 n°9 | PV | Pas de tests de performance ni de sécurité, pas de périodicité | Définir et planifier ces tests | Développement | [?] | [?] |
| NF 552 n°10 | PV | Outil de bogues sans version détectée, reproductibilité, analyse des causes | Ajouter ces champs aux tickets de développement | Développement | [?] | [?] |
| AUD-I-08091 | PV | Tickets sans priorité ni catégorie | Ajouter priorité et catégorie aux tickets | Développement | [?] | [?] |
| NF 552 n°11 | PV | Exploitation de la satisfaction client non formalisée | Formaliser l'analyse de l'enquête et les actions qui en découlent | Qualité | [?] | [?] |
| AUD-I-08087 / NF 552 n°7 | PV | Plan produit sans lien avec les versions ; roadmap interne non formalisée | Relier le plan produit aux versions et formaliser la roadmap | Chef de produit | [?] | [?] |
| AUD-I-08086 | PV | Documentation de gestion des versions non mise à jour depuis 2018 | Mettre à jour la documentation | Qualité | [?] | [?] |
| AUD-I-08088 | PV | Liens vers la documentation wiki non mis à jour | Corriger les liens (nouvelle adresse du wiki) | Documentation | [?] | [?] |
| NF 552 n°4, 5, 6 | PV | Procédures obsolètes : SVN au lieu de GitLab, ProjeQtor au lieu de l'outil interne ; déploiement non formalisé | Réviser les procédures selon Proc#163 | Qualité | [?] | [?] |
| NF 552 n°13 | PV | Architecture technique non à jour | Mettre à jour le schéma d'architecture | Exploitation | [?] | [?] |
Protection des données (NF 552)
| Référence | Type | Constat | Action corrective proposée | Fonction | Échéance | État |
|---|---|---|---|---|---|---|
| NF 552 n°2 | NCm (maintenu) | Sauvegardes de données personnelles non chiffrées (effacement après 8 jours) | Chiffrer les sauvegardes et exports | Développement | [?] | [?] |
| NF 552 n°18 | NCm | Cartographies non restituées dans un format exploitable (JSON, XML, CSV) | Ajouter un export de la cartographie | Développement | [?] | [?] |
| NF 552 n°19 | NCm | Pas de preuve du consentement de la personne concernée | Enregistrer le consentement | Développement | [?] | [?] |
| NF 552 n°17, 20, 21 | PV | Pas de fonction de rectification (utilisateur standard), d'opposition, de retrait du consentement | Ajouter ces fonctions | Développement | [?] | [?] |
| NF 552 n°1 | PV (maintenu) | Pas de contrôle des champs texte libre | Suivre la proposition de contrôle des mots | Développement | [?] | [?] |
| NF 552 n°3 | PV (maintenu) | Pas de documentation d'administration sur les obligations de traitement des données | Rédiger la documentation | Documentation | [?] | [?] |
| NF 552 n°14, 15 | PV | Pas de document déclarant toutes les données comme sensibles (art. 9 RGPD) ; cartographie des flux et MCD à présenter | Compléter la documentation RGPD | Qualité | [?] | [?] |
| NF 552 n°16 | PV | Pas d'archivage des versions de la cartographie | Archiver la cartographie à chaque version | Développement | [?] | [?] |
| NF 552 n°12 | PV | Champ « nominatif » mal affiché dans la cartographie | Corriger l'affichage | Développement | [?] | [?] |
| NF 552 n°22 | PV | Pas de procédure de notification des failles de sécurité aux clients | Rédiger la procédure | Qualité | [?] | [?] |
| NF 552 n°23 | PV | Bogue à l'export de la piste d'audit | Corriger l'export | Développement | [?] | [?] |
| NF 552 n°24 | PV | Minimisation des données (privacy by design) non documentée | Documenter la démarche | Qualité | [?] | [?] |
| NF 552 n°25 | PV | Vulnérabilités (audits STOIK) non classées selon un référentiel reconnu (OWASP) | Demander une classification OWASP | Exploitation | [?] | [?] |
Prochains audits
[À COMPLÉTER : dates prévues des audits NF 203 et NF 552 de l'automne 2026.]