Document de référence à fin 2006 - HSBC

HSBC FRANCERapport du Président sur les conditions de préparation et d’organisation des travauxdu Conseil et sur les procédures de contrôle interne mises en place (suite)édictée par le Groupe HSBC, est assurée par le suivid’indicateurs d’exposition et de sensibilité des ratios decapital calculés par la DCGC et le GAP. L’analyse deces ratios est présentée trimestriellement à l’ALCOBilan-Marchés.Procédures permettant de s’assurer de la fiabilitédu traitement des donnéesFilière informatiqueLa filière informatique a pour mission d’assurer lasûreté des systèmes d’information. Elle s’est dotée pource faire d’un dispositif permanent d’analyse et deprévention des risques liés à son activité et met enœuvre les moyens permettant de les identifier et de lesmaîtriser.Ce dispositif a pour objectif d’assurer :– un niveau de sécurité suffisant, périodiquementréévalué et ajusté,– la disponibilité de procédures de secours informatiquesgarantissant la continuité d’exploitation,– la conservation et l’actualisation permanentede la documentation relative aux systèmesd’information,– l’archivage des données requises par lesréglementations externes,– la mise en œuvre de systèmes d’information enconformité avec les exigences de “piste d’audit”.Il s’appuie sur des processus informatiquesclairement identifiés, communiqués et documentés. Lescontrôles clés mis en œuvre tant au niveau desprocessus que des applications informatiques, pourpallier les risques et répondre aux contraintes DICP(Disponibilité, Intégrité, Confidentialité et Preuve),sont eux aussi identifiés, adressés et documentés.Le responsable du contrôle permanent de la filièreinformatique pour l’ensemble du groupe HSBCFrance est le Directeur des Systèmes d’Information(DSI). Il définit et maintient périodiquement ledispositif de contrôle. Il identifie les risques majeurs dela filière et les contrôles clés à mettre en œuvre pourpallier chacun d’eux. Il se repose, au niveau central(informatique HSBC France) sur les responsables desprocessus informatiques et au niveau local (filiales oufilières) sur les responsables informatiques locaux, quidoivent localiser et faire appliquer les contrôles clésidentifiés. Les dysfonctionnements identifiés leur sontremontés immédiatement.L’efficience des procédures de contrôle est mesuréepar le biais :– du certificat de conformité informatique annuel,qui évalue en détail la conformité de chacunedes directions informatiques, aux réglementationset aux normes et procédures du Groupe (GSMchapitre 8 et FIMs IT),– de comptes-rendus des tests périodiques de plan desecours et d’intrusion,– de reportings qualité.Les résultats de ces mesures de conformité sontanalysés périodiquement lors de comités internesDSI : comité de direction, comité de conformité etcomité de liaison informatique. Ils sont enfinreportés semestriellement au responsable du contrôlepermanent HSBC France lors des IT SteeringCommittees, comités faîtiers du contrôle permanent dela filière de risque informatique.Le IT Steering Committee se tient à minimatrimestriellement. Ses objectifs principaux sont de :– ratifier les propositions de nouveaux projets, auregard des “Clear Choice”,– passer en revue le statut des projets en cours et lesproblèmes majeurs de qualité et de performance deproduction rencontrés,– passer en revue les risques majeurs et les plansd’atténuation.Gouvernance des processus informatiques et contrôleinterne de la Direction des Systèmes d’InformationL’évaluation de l’efficience des procédures de contrôleinterne mises en œuvre au niveau des processusinformatiques et destinées à pallier les risques informatiquesmajeurs est effectuée tous les deux mois aucomité de conformité DSI qui regroupe le Directeur dela DSI, son adjoint, le Directeur d’Infrastructure etProduction, le Responsable Sécurité et ConformitéDSI et le responsable de la Qualité DSI.Acquisition ou développement des systèmesd’information (applications ou infrastructure)Le processus d’acquisition ou de développement desystèmes d’information repose sur l’utilisation d’uneméthode de gestion de projets Groupe : RBPM (Risk-Based Project Management). Cette méthodologieimpose de nombreux points de contrôle tout au long ducycle de vie du projet (de l’initialisation de la demandemétier à la mise en production). Ces points de contrôlegarantissent que chaque étape du cycle est complète etapprouvée par toutes les parties prenantes, les risquesdu projet étant réévalués lors de ces étapes clés.La Direction des Systèmes d’Information (DSI)a par ailleurs mis en place les Comités de validation des“Clear Choice”, les comités d’Architecture et lesComités de Validation Informatique dont les objectifs42