03 · CONTRÔLE DES ACCÈS
Scénario illustratif, anonymisé
Le premier risque cyber d'une PME est rarement un hacker. C'est un accès non contrôlé.
→ LA SITUATION
Une entreprise de 80 personnes s'appuie sur un ERP hébergé et un infogérant unique. Les droits d'accès n'ont jamais été revus. Plusieurs comptes d'anciens collaborateurs sont encore actifs, et la même personne peut créer un fournisseur et valider son paiement.
SÉPARATION DES TÂCHES · AVANT / APRÈS
QUI PEUT…
AVANT
APRÈS
Créer un fournisseur
Une même personne
Aucun second regard sur l'opération.
Achats
Valider la facture
Comptabilité
Payer
Direction financière
Répartir ces trois étapes entre des personnes différentes suffit à rendre un faux fournisseur beaucoup plus difficile à créer et à payer. Les intitulés de fonctions sont donnés à titre d'exemple.
→ LE RISQUE
POUR LE COMMISSAIRE AUX COMPTES OU L'EXPERT-COMPTABLE
Les contrôles généraux informatiques sont défaillants, ce qui affaiblit la confiance dans les contrôles applicatifs et augmente le risque d'erreur significative ou de fraude.
POUR L'ENTREPRISE
Une exposition aux fraudes (faux fournisseur, détournement) et une dépendance à un prestataire qu'elle ne pilote pas.
En clair : un compte oublié ou une personne qui fait tout seule suffit à ouvrir la porte. Et si votre prestataire s'arrête, vous devez savoir ce qu'il détient et comment reprendre la main.
→ CE QUE FAIT KLARIS
COMMENT NOUS PROCÉDONS
Un questionnaire structuré auprès de vos équipes et de votre infogérant, des entretiens, puis la vérification des droits directement dans l'ERP. L'activité continue pendant le diagnostic.
BUDGET
Établi selon la taille de l'entité et la complexité de son système d'information, communiqué avant tout engagement.
CE QUE NOUS EXAMINONS
Droits d'accès
Qui a accès à quoi, et pourquoi. Nous repérons les comptes inutiles, en particulier ceux des personnes qui ont quitté l'entreprise.
Séparation des tâches
Nous vérifions qu'une même personne ne peut pas, seule, créer un fournisseur, valider sa facture et la payer.
Comptes à privilèges
Nous identifions les comptes qui peuvent tout modifier (administrateurs, comptes techniques, accès du prestataire) et vérifions qu'ils sont nominatifs et suivis.
Gouvernance du prestataire
Nous relisons avec vous le contrat et son périmètre, et vérifions l'existence et le test des sauvegardes et du plan de reprise.
Résultat : une liste claire de ce qui doit être corrigé, par ordre de priorité.
PREMIERS RÉFLEXES
Trois gestes simples, avant même un diagnostic
Ils ne remplacent pas une revue complète, mais réduisent immédiatement l'exposition.
Désactiver les comptes des personnes qui ont quitté l'entreprise.
Confier la création des fournisseurs et la validation des paiements à deux personnes différentes.
Demander à votre prestataire la liste des accès dont il dispose et la date du dernier test de restauration.
Le premier risque cyber d'une PME est rarement un hacker. C'est un accès que personne n'a revu.
→ LIVRABLES
COMMISSAIRE AUX COMPTES
Des constats directement mobilisables dans l'évaluation du contrôle interne.
ENTREPRISE
Des actions classées par priorité, souvent peu coûteuses à mettre en œuvre.
Trente minutes pour cadrer le diagnostic, sans engagement.
Scénario illustratif, anonymisé.