DSCG 2020 UE 5 Management des systèmes d’information : sujet et corrigé

Téléchargement gratuit, sans inscription ni compte.

Voici le sujet de l’UE 5 Management des systèmes d’information du DSCG 2020.

Vous trouverez ici le sujet officiel en PDF et une proposition de corrigé Max Compta, question par question, alignée sur les éléments indicatifs du corrigé officiel du CRCF. L’épreuve durait 3 heures, coefficient 1.

Semaine 1. Le DPO du cabinet (3 points)

Question 1

Pourquoi la nomination d’un « DPO » pour un cabinet d'expertise comptable est-elle obligatoire ? (1 point)

Dans la fiche Max Compta UE 5 : Les risques SI et le RGPD › Le DPO et sa mutualisation

Un cabinet d’expertise comptable manipule un grand volume de données. Une bonne partie sont des données personnelles, souvent très sensibles : Elles concernent par exemple les bulletins de paie ou l’évolution des carrières.

C’est pour cette raison que la nomination d’un DPO s’impose désormais aux experts-comptables.

Question 2

Pourquoi le législateur donne-t-il la possibilité de mutualiser la fonction de « DPO » entre plusieurs entreprises ? (1 point)

Dans la fiche Max Compta UE 5 : Les risques SI et le RGPD › Le DPO et sa mutualisation

La mutualisation répartit entre plusieurs structures les coûts salariaux de la fonction.

Une petite structure y trouve aussi des économies d’échelle : Le DPO partagé prend en charge un plus grand nombre de dossiers.

Question 3

Quel est le rôle du « DPO » vis-à-vis de la direction ? (1 point)

Dans la fiche Max Compta UE 5 : Les risques SI et le RGPD › Le DPO et sa mutualisation

Le DPO fait le relais avec le dirigeant, ou avec le ou les responsables de traitement des données.

Il les éclaire sur les obligations du RGPD, afin de limiter le risque de ne pas les respecter. Il les prévient aussi des sanctions possibles en cas de manquement.

Semaine 2. L’analyse d’impact (1 point)

Question 4

Dans quelles situations le « DPO » peut-il procéder à une « Analyse d'Impact centrée sur la protection des données » (AIPD) ? (1 point)

Dans la fiche Max Compta UE 5 : Les risques SI et le RGPD › L’analyse d’impact relative à la protection des données

Il arrive que le DPO juge qu’un traitement, ou plusieurs traitements pris ensemble, peuvent faire peser des risques relativement élevés sur les droits et libertés des personnes concernées. Il peut alors s’appuyer sur le RGPD, qui préconise explicitement une AIPD dans cette situation.

Les autorités européennes ont publié des lignes directrices. Elles aident à séparer les traitements qui demandent une analyse d’impact de ceux qui n’en demandent pas.

En cas de contrôle, la CNIL exigera cette analyse.

Semaines 3 et 4. Le registre et le consentement (3 points)

Question 5

Comment envisagez-vous de présenter et de renseigner ce registre ? (1 point)

Dans la fiche Max Compta UE 5 : Les risques SI et le RGPD › Le registre des traitements

Le registre se tient sur papier ou en numérique. On y consigne de façon systématique tout ce qui aide à décrire le traitement des données personnelles :

• Sa nature.
• Sa finalité.
• Les modalités de sa sécurisation.

Question 6

Ce registre est-il obligatoire pour le cabinet « CECL20 » ? Vous justifierez votre réponse. (1 point)

Dans la fiche Max Compta UE 5 : Les risques SI et le RGPD › Le registre des traitements

Oui, le registre est obligatoire pour CECL20, alors même que le cabinet compte moins de 250 employés.

Avec 27 collaborateurs, CECL20 se situe sous ce seuil, mais le seuil ne suffit pas à dispenser une structure. L’article 30, paragraphe 5, du RGPD maintient l’obligation dès qu’un traitement n’est pas occasionnel, comporte un risque pour les droits et libertés des personnes ou porte sur des données sensibles.

C’est le cas ici : Le cabinet traite de façon régulière des données personnelles, en interne comme pour ses clients, notamment celles de la paie et des carrières (question 1).

Le registre serait de toute façon fortement recommandé, surtout après les dysfonctionnements relevés.

Question 7

Quelles sont les informations à communiquer aux employés ? Quelles sont les modalités de recueil du consentement ? (1 point)

Dans la fiche Max Compta UE 5 : Les risques SI et le RGPD › Les traitements courants et les droits des personnes

Informations à communiquer

Les employés doivent connaître leurs droits sur le stockage de ces données personnelles et sur l’usage qui en est fait.

Recueil du consentement

Avant tout relevé de leur plaque d’immatriculation, le cabinet doit obligatoirement obtenir leur consentement explicite.

Semaine 5. Les contrats avec les prestataires (1 point)

Question 8

Comment mettre en conformité les contrats du cabinet avec ses prestataires et sous-traitants par rapport à la règlementation sur le traitement des données personnelles ? (1 point)

Dans la fiche Max Compta UE 5 : Les prestataires et la gestion des connaissances › Les contrats avec une ESN et le SLA

Le cabinet propose à ses prestataires et à ses sous-traitants de remettre en conformité tous les contrats en cours.

Qu’il y en ait un ou plusieurs, chaque sous-traitant a ses propres obligations et sa propre responsabilité au regard du RGPD. Il n’est considéré comme responsable du traitement que s’il en détermine les finalités et les moyens (article 28, paragraphe 10).

Le contrat doit donc être écrit et signé, et détailler toutes les obligations de chaque partie.

Semaine 6. Un scénario de crise de sécurité du SI (2 points)

Question 9

Comment prévenir les risques « SI » ? Que faire si ces risques se réalisent ? (1 point)

Dans la fiche Max Compta UE 5 : La politique de cybersécurité › Prévenir un incident et y réagir

Prévenir les risques

La prévention commence par l’élaboration de scénarios. Vient ensuite un plan de continuité d’activité, que le cabinet rédige lui-même ou confie à un cabinet professionnel.

Réagir si les risques se réalisent

En cas de problème sévère, le personnel doit avoir à sa disposition la procédure de crise, c’est-à-dire le plan de continuité d’activité. Ce problème peut être une attaque, une fuite, une destruction, une intrusion, l’hameçonnage de télétravailleurs, le rançonnage de dirigeants, etc.

Si des données à caractère personnel sont violées, la CNIL doit être prévenue sous 72 h maximum.

Question 10

Quelles sont les actions de formation des personnels qui pourraient être mises en place et selon quelles modalités ? (0,5 point)

Dans la fiche Max Compta UE 5 : La politique de cybersécurité › La sensibilisation et l’évaluation des utilisateurs

Les actions de formation servent à sensibiliser le personnel à ces risques. Tous les collaborateurs doivent être formés aux enjeux du RGPD, ainsi qu’à ses obligations et à ses directives. Crise sanitaire et confinement n’y changent rien : Cette formation est une pièce à part entière de la mise en conformité d’ensemble de l’entreprise.

Deux modalités sont possibles :

• Des mises en situation, lors de déplacements sur chaque site.
• Des sessions de formation et de sensibilisation à distance, pour les personnes en télétravail.

Question 11

En cas de mise en place de formation à distance, quelles sont les précautions à prendre ? (0,5 point)

Dans la fiche Max Compta UE 5 : La politique de cybersécurité › La sensibilisation et l’évaluation des utilisateurs

La plateforme de visioconférence retenue doit être sécurisée et certifiée. Mieux vaut payer pour une version assortie d’un contrat de service, avec des garanties sur :

• Le stockage des données.
• La souveraineté.
• La localisation des datacenters.
• Le traitement des contenus.
• Le chiffrement ou cryptage des échanges.

Cette prudence se justifie : Au cours de ces formations, des informations sensibles sur la protection du SI de CECL20 peuvent circuler.

Semaine 7. La table ronde sur le RGPD (3 points)

Question 12

Quels sont les obligations liées au RGPD au sein d’un cabinet d’expertise-comptable ? (1 point)

Dans la fiche Max Compta UE 5 : Les risques SI et le RGPD › Les principes du RGPD

Le cabinet a la qualité de responsable du traitement (data controller) : Il se sert des données personnelles de ses clients ou de ses salariés.

Il lui revient donc d’examiner le parcours de toutes les données personnelles qu’il manipule : Collecte, traitement, stockage, protection et donc sécurisation.

Il vérifie ainsi que tous ses process et usages remplissent les critères du RGPD, notamment :

• Recueillir le consentement pour la collecte et le traitement de la donnée.
• Minimiser les données.
• Accorder les accès selon le profil des collaborateurs.
• Permettre de modifier, de supprimer et de récupérer les données.
• Remplir les conditions légales de stockage.

Question 13

Quelles sont les solutions informatiques possibles ? vous mettrez en évidence les avantages et les contraintes de chacune des solutions. (1 point)

Dans la fiche Max Compta UE 5 : Les prestataires et la gestion des connaissances › Le SaaS, le sur site et le cloud

Bien des logiciels savent gérer les droits des personnes, comme le droit à la portabilité. Ils aident à satisfaire ces exigences.

Choisir ces logiciels et des applications dédiées pose aux experts-comptables une question : Externaliser ou non, en mode SaaS. Il faut bien comprendre ce que chaque voie implique.

Solution 1 : Garder les infrastructures en local

Trois contraintes pèsent alors sur le data controller, c’est-à-dire le responsable du traitement :

• Protéger physiquement les serveurs : Locaux sécurisés, machines en double sur des sites distincts.
• Contrôler que tous les applicatifs et toutes les infrastructures (serveurs, ordinateurs fixes ou portables, smartphones, tablettes, etc.) ont leurs outils de sécurité : Pare-feu, antivirus, anti-malware, etc.
• Sensibiliser le personnel aux bons usages en matière de sécurité des SI. Il peut par exemple lui montrer ce que peut coûter un mot de passe ou une clé USB qui traîne sur un bureau. Il peut aussi l’alerter sur les menaces d’un Internet mal maîtrisé : Ransomware, phishing, assistant vocal.

Cette solution a aussi ses avantages : Le cabinet garde la maîtrise des compétences et ne dépend d’aucun prestataire.

Solution 2 : Choisir le SaaS

La sécurité des serveurs et des applicatifs hébergés revient alors au prestataire infogérant ou au CSP (cloud service provider).

L’avantage tient à la fiabilité de l’offre. Beaucoup de prestataires, notamment en France, ont bâti des infrastructures techniques solides, dont la sécurité est assurée jour et nuit, 7 jours sur 7.

Le SaaS a aussi ses contraintes :

• La confidentialité des données confiées au prestataire.
• Un stockage possible hors de l’Union européenne.
• Le risque de disparition du prestataire.

Question 14

Comment mettre en œuvre les obligations liées au RGPD chez les clients d’un cabinet d’expertise-comptable ? Quelles sont les préconisations de l’Ordre des experts-comptables en la matière ? (1 point)

Dans la fiche Max Compta UE 5 : Les risques SI et le RGPD › Les principes du RGPD › L’application dans un cabinet d’expertise comptable

La mise en œuvre chez les clients

Vis-à-vis de ses clients, un cabinet agit comme sous-traitant (data processor). Son DPO doit donc contrôler la façon dont leurs données sont manipulées et traitées.

Les préconisations de l’Ordre

L’Ordre des experts-comptables appelle à revoir les contrats entre les cabinets et leurs clients. La lettre de mission doit recevoir de nouvelles clauses, qui portent expressément sur leur responsabilité en matière de données personnelles.

Semaine 8. La newsletter et la mailing-list (1 point)

Question 15

Quelles sont les règles à respecter lors d’une communication par newsletter utilisant une mailing-list ? (1 point)

Dans la fiche Max Compta UE 5 : Les risques SI et le RGPD › Les traitements courants et les droits des personnes

Trois règles s’appliquent à la mailing-list et à la newsletter :

• Faire connaître la société à l’origine du courriel.
• Permettre de refuser, simplement et gratuitement, toute nouvelle sollicitation commerciale. Chaque courriel prévoit pour cela, à la fin ou en pied de page, un lien de désinscription.
• Dès le tout début de la collecte, avertir, s’il y a lieu, que l’adresse électronique servira à la prospection commerciale. Le destinataire doit pouvoir refuser cet usage.

Semaine 9. La migration vers l’ERP (4 points)

Question 16

Quelles sont les avancées majeures proposées par le nouveau système d'information ? (1 point)

Dans la fiche Max Compta UE 5 : L’architecture et l’urbanisation du SI › L’ERP, le CRM et le système intégré

Les avancées viennent des bénéfices de l’intégration. Les données et les processus deviennent homogènes et standardisés, et tout repose sur une base de données unique.

Deux points sont à développer :

• L’importance de bien mener le paramétrage, le déploiement, la formation et les saisies de données, à chaque stade : Avant, pendant et après la mise en place de l’ERP.
• Le gain de rapidité : L’information de gestion, homogène et à jour, s’obtient plus vite. Le cabinet devient plus réactif (time to market) et répond mieux à ses clients (reporting, devis, dossier partagé, audit, etc.).

Question 17

Comment structurer votre propos et vos séances pour faire passer vos messages dans chacun des deux séminaires (end-user et key-user) ? (2 points)

Dans la fiche Max Compta UE 5 : Les projets SI › La conduite du changement et la formation

Structure du plan

1. Le tronc commun

Il explique la logique de la migration : Un système d’information de gestion non intégré a laissé la place à un système intégré. L’ancien système ne tenait plus face à un environnement agressif et exigeant, car il était obsolète, lent et peu évolutif.

L’implémentation du nouveau système a demandé beaucoup de travail et l’appui de consultants intégrateurs extérieurs.

Toutes les données de l’entreprise sont désormais centralisées dans une seule base. Tous les modules indispensables à son fonctionnement sont interopérables en temps réel. Le système y gagne en réactivité, mais il devient aussi plus vulnérable.

Passer de plusieurs bases de données à la base unique d’un ERP présente donc un réel intérêt, mais aussi une vraie complexité : C’est ce qu’il faut faire comprendre.

2.1. La spécialisation end-users

Le premier séminaire vise les end-users. En principe, ces utilisateurs ont seulement le droit de saisir et de corriger des données, et d’utiliser des applications fonctionnelles directement liées à leur métier : Comptabilité, paie, achat, fiscalité, gestion de la clientèle, trésorerie et recouvrement, etc.

Le séminaire porte sur :

• Les bonnes pratiques de saisie : Exactitude, conformité, ponctualité, standardisation, homogénéité, etc.
• La sécurité du poste de travail : Confidentialité, mot de passe, etc.

Il faut mettre l’accent sur la transversalité du système : Ce qu’un utilisateur valide sur son poste touche tout le monde, presque immédiatement. En revanche, inutile de s’attarder sur sa complexité technique ou sur son architecture applicative.

2.2. La spécialisation key-users

Le second séminaire s’adresse aux key-users. En principe, ces utilisateurs ont déjà appris deux choses : Paramétrer et maintenir le sous-système fonctionnel qu’ils ont en charge et, par voie de conséquence, aider les end-users à accomplir leur tâche et à assimiler la logique transverse du système.

Ce séminaire les amène à mesurer la transversalité du nouveau système et leur responsabilité finale sur tout leur périmètre fonctionnel. Celle-ci couvre notamment la conformité et la sincérité des données. Elle couvre aussi le plan de continuité d’activité si une crise ou un dysfonctionnement survient (sauvegarde).

3. La conclusion

Elle doit motiver tous les utilisateurs et les rassurer. L’ERP devrait finalement faire franchir un grand pas à tout le cabinet, sur le plan opérationnel comme sur le plan organisationnel. Il le fera entrer dans un écosystème plus traçable, plus réactif et plus intégré.

Question 18

Quelle conclusion pourriez-vous proposer lors de ce double séminaire afin de montrer le bien-fondé de cette migration vers un ERP ? (1 point)

Dans la fiche Max Compta UE 5 : L’architecture et l’urbanisation du SI › L’ERP, le CRM et le système intégré

Cette conclusion s’adresse aux deux populations d’utilisateurs. Elle doit les convaincre et les rassurer, après une migration lourde et des efforts demandés aujourd’hui comme demain. Elle gagne à reposer sur des faits et des illustrations, par exemple les architectures applicatives, très différentes, des deux systèmes :

La conclusion peut montrer que l’architecture modulaire de l’ERP joue dans les deux sens. La base unique, qui centralise les données, et l’interopérabilité des modules rendent le cabinet plus réactif. Mais il devient aussi plus exposé à une attaque, à une malversation ou à de simples anomalies : Une fois dans le système, elles pourraient atteindre un très grand nombre d’informations et d’applications.

Elle peut aussi rappeler la responsabilité de chacun :

• Celle des end-users est forte. Ils contrôlent la conformité de ce qu’ils saisissent et suivent les processus que l’éditeur concepteur et/ou l’intégrateur du progiciel ont documentés.
• Celle des key-users l’est encore plus. Le paramétrage dépend d’eux, pour que les end-users soient soutenus au mieux au quotidien. Ils font aussi tourner tout leur sous-système fonctionnel (paie, achat, comptabilité, marketing, etc.) en temps réel et conformément aux recommandations de l’intégrateur.

Semaine 10. Le niveau d’information des employeurs (2 points)

Question 19

Quelles sont les cinq questions que vous aimeriez poser (individuellement et en face à face) à vos employeurs pour évaluer leur niveau d’information en terme de sécurité du « SI » ? (1 point)

Dans la fiche Max Compta UE 5 : La politique de cybersécurité › La sensibilisation et l’évaluation des utilisateurs

Voici un exemple. Pour bien mesurer les compétences des employeurs et leur implication sur ce sujet, on peut prévoir un questionnaire individuel, en face à face et en temps réel :

• De l’extérieur, quelles sont les principales agressions ?
• Et de l’intérieur, quelles sont les principales agressions ?
• Selon vous, lesquelles coûtent le plus cher en impact et en dégâts ?
• Dans chacun de ces deux cas, comment vous protéger ?
• Combien coûtent au total, chaque année, les mesures de protection de votre entreprise ?

Question 20

Comment pourriez-vous traiter et exploiter leurs réponses afin d’améliorer la sécurité du « SI » du cabinet ? (1 point)

Dans la fiche Max Compta UE 5 : La politique de cybersécurité › La sensibilisation et l’évaluation des utilisateurs

Quantifier les réponses

Une possibilité consiste à chiffrer les réponses pour bâtir un indicateur basique. Chacune des 5 réponses reçoit une note, par exemple de 0 à 10. La moyenne arithmétique s’obtient en divisant la somme des 5 notes par 5.

Cette moyenne situe le répondant :

• Moyenne basse : Il est qualifié de sous-informé.
• Moyenne proche de la moyenne des moyennes : Il est correctement informé.
• Moyenne parmi les plus hautes : Il est qualifié de sur-informé.

Proposer des actions

Selon sa moyenne, on lui propose diverses actions, centrées sur des mesures de précaution plutôt actives, plutôt passives, ou les deux :

• Plutôt actives : Sauvegarde des données, logiciel antivirus, plan de continuité, formation des utilisateurs, recours à un réseau privé virtuel (virtual private network), etc.
• Plutôt passives : Déconnexion des ordinateurs, changement des mots de passe, bonnes pratiques à répéter sans relâche, prudence avec la messagerie et les pièces jointes, usage limité des clés USB, vigilance face au rançongiciel (ransomware), à l’hameçonnage (phishing) et au filoutage, etc.

Organiser des formations

Des sessions de formation peuvent aussi être organisées avec des consultants experts de la politique de sécurité des SI. Elles visent notamment les personnes appelées à télétravailler, direction comprise. Elles traitent par exemple de l’identification, de l’extranet et de l’intranet, des outils et messageries autorisés, tolérés ou interdits, du réseau privé virtuel, de l’ordinateur personnel ou professionnel, de l’importation et de l’exportation de fichiers.

Pour CECL20, l’objectif serait de respecter la réglementation, de suivre ce que recommandent les services de cybersécurité et d’appliquer les gestes de bon sens. Tout cela protège les SI des attaques, volontaires ou non.

La plupart de ces attaques naissent à l’intérieur du système lui-même, et elles sont le plus souvent involontaires et sans malveillance. Les dégâts, les coûts et les délais de remise en route restent pourtant toujours considérables.

Renouveler l’enquête

L’enquête peut être refaite à intervalles réguliers. On voit alors si les dirigeants sont mieux informés au fil du temps (moyennes en hausse), ou s’il faut rester vigilant et renforcer les formations à la sécurité du SI.

Écarts au corrigé officiel

Sur 2 points, cette proposition s’écarte du corrigé officiel du CRCF. Chaque écart repose sur le sujet, un calcul refait ou un texte en vigueur à la date de l’épreuve.

Questions fréquentes

À lire aussi

• Annales DSCG UE 5 Management des systèmes d’information : tous les sujets et corrigés
• Annales DSCG 2020 : sujets et corrigés par UE
• DSCG 2019 UE 5 Management des systèmes d’information : sujet et corrigé
• DSCG 2021 UE 5 Management des systèmes d’information : sujet et corrigé