Rapport sur le contrôle interne 2015

(critères de forme)

1. 
   le tableau de reporting a été complété par l’établissement ;
   
2. 
   le tableau de reporting n’est pas suivi par l’établissement pour des raisons internes, qu’il a expressément communiquées.
   

Appendice B

1. 
   Les recommandations émises par le Forum européen sur la sécurité des paiements de détail (SecuRe Pay) :
   

• 
  rédaction d’une politique de sécurité, complète, documentée et régulièrement mise à jour ;
  

• 
  analyse de risque sur les opérations de paiement par Internet, rédaction d’une procédure de gestion du changement et de gestion des incidents ;
  

• 
  procédure de reporting des incidents au management et aux autorités compétentes, contrôle des conditions dans lesquelles les commerçants gèrent les données sensibles ;
  

• 
  mise en place de mesures visant à réduire les risques identifiés, dans le respect de principes de sécurité tels que le « moindre privilège », utilisant des technologies à l’état de l’art et permettant d’assurer une défense en profondeur des systèmes ;
  

• 
  procédure de continuité d’activité, traçabilité des opérations.
  

• 
  mise en œuvre de procédures de connaissance du client, également présentée sous l’abréviation anglophone KYC (Know Your Customer), information du client sur la sécurité des opérations et les procédures à suivre en cas d’incident.
  

• 
  authentification renforcée du client lors du passage d’ordre de virement (sauf si le destinataire a été préalablement enregistré selon la même procédure, en cas de virement de compte à compte ou de virement de faible montant ; les virements au sein du même prestataire de service de paiement doivent faire l’objet d’une analyse de risque) ;
  

• 
  authentification renforcée du client lors de toute modification de données sensibles (dont celles utilisées pour réaliser cette authentification) ;
  

• 
  authentification renforcée du client pour les paiements par carte les plus risqués, y compris initiés via des wallets ;
  

• 
  procédures sécurisées d’enrôlement des clients.
  

• 
  définition de règles relatives aux accès et à la durée des sessions ;
  

• 
  monitoring des transactions, mise en place de systèmes de détection de la fraude ;
  

• 
  protection des données sensibles.
  

• 
  mise en place de canaux sécurisés pour communiquer avec les clients, si nécessaire ;
  

• 
  procédures d’assistance aux clients ;
  

• 
  fixation de limites pour les opérations sur Internet, possibilité pour les clients de désactiver la fonctionnalité de paiement en ligne ;
  

• 
  possibilité pour les clients de vérifier la bonne exécution de la transaction, fourniture de relevés accessibles dans un environnement sécurisé.
  

2. 
   Les orientations émises par l’Autorité Bancaire Européenne (ABE)
   

• 
  rédaction d’une politique de sécurité, complète, documentée et régulièrement mise à jour ;
  

• 
  analyse de risque sur les opérations de paiement par Internet, rédaction d’une procédure de gestion du changement et de gestion des incidents ;
  

• 
  procédure de reporting des incidents au management et aux autorités compétentes, contrôle des conditions dans lesquelles les commerçants gèrent les données sensibles ;
  

• 
  mise en place de mesures visant à atténuer les risques identifiés et permettant d’assurer une défense en profondeur des systèmes ;
  

• 
  mise en place de systèmes permettant d’assurer la traçabilité complète des opérations et de la cinématique du mandat électronique.
  

• 
  mise en œuvre de procédures de connaissance du client, également présentée sous l’abréviation anglophone KYC (Know Your Customer), information du client sur la sécurité des opérations ;
  

• 
  recours à l’authentification forte du client lors de l’initiation de paiements sur Internet et sur l’accès aux données sensibles de paiement ;
  

• 
  définition de règles relatives aux accès et à la durée des accès aux services de paiement ;
  

• 
  sécurisation de la fourniture des outils, logiciels et données d’authentification au client ;
  

• 
  mise en place de dispositifs de suivi des opérations et de détection des tentatives de fraude ;
  

• 
  protection des données sensibles de paiement stockées, traitées ou transmises.
  

• 
  procédures d’assistance aux clients ;
  

• 
  fixation de limites pour les opérations sur Internet, possibilité pour les clients de désactiver la fonctionnalité de paiement en ligne ;
  

• 
  possibilité pour les clients de vérifier la bonne exécution de la transaction, fourniture de relevés accessibles dans un environnement sécurisé.
  

3. 
   Les cadres de surveillance de l’Eurosystème pour les instruments de paiement
   

4. 
   Les recommandations de l’Observatoire de la sécurité des cartes de paiement
   

• 
  mise en place de mesures permettant, lorsque cela est nécessaire, de s’assurer du consentement du porteur. Par exemple, par la mise à disposition de moyens simples pour activer et désactiver ces nouveaux modes d’initiation, ou pour valider toute transaction ;
  

• 
  mise en place d’analyses de risques et d’études sécuritaires avant tout déploiement à grande échelle ;
  

• 
  pour les paiements par téléphone mobile, fourniture d’un code personnel de paiement différent du code PIN de la carte SIM, ainsi que du code confidentiel de la carte de paiement de l’utilisateur ; lorsque ce code personnel est modifiable par l’utilisateur, l’émetteur bancaire doit lui recommander d’en utiliser un différent des autres codes en sa possession ;
  

• 
  les acteurs impliqués dans l’ensemble des opérations liées au paiement sans contact par téléphone mobile, doivent mettre en œuvre des mesures de protection cryptographiques garantissant l’intégrité et la confidentialité des données échangées entre les systèmes.
  

• 
  renforcement des méthodes de sécurisation, afin de porter la sécurité des paiements à distance à un niveau équivalent à celui des paiements de proximité et sur automate.
  

• 
  faciliter l’usage des solutions techniques déjà disponibles (code à usage unique, lecteur autonome de carte EMV…), en maîtrisant le coût de leur déploiement et en s’assurant que leur diffusion s’accompagne d’une information et d’une éducation du porteur.
  

• 
  nécessité d’une analyse des risques liés à l’usage de l’authentification biométrique afin que le niveau de protection des solutions mises en œuvre soit au moins équivalent à celui offert par les techniques déjà en place (code confidentiel et carte à puce pour le paiement de proximité, code non rejouable pour le paiement à distance).
  

• 
  pour toute nouvelle carte « co-marquée », l’établissement émetteur veille à l’application complète des mesures de sécurité existantes dans l’environnement des cartes de paiement pour le recueil, le stockage et la gestion des données sensibles ;
  

• 
  dans le cas de co-existence d’applications, les émetteurs choisissent des cartes répondant à un niveau éprouvé et reconnu de protection de l’application de paiement.
  

• 
  adoption et mise en place des mesures de sécurité PCI par l’ensemble du processus d’acceptation et d’acquisition.
  

• 
  les conseils de prudence publiés par l’Observatoire doivent faire l’objet d’une communication aux porteurs de cartes, dans le but de les informer sur les bonnes pratiques à adopter et les risques auxquels ils sont confrontés.
  

• 
  la distribution des cartes prépayées doit s’accompagner de mesures visant à protéger les consommateurs, notamment en les informant sur les modes d’utilisation de ces instruments et en assurant la transparence tarifaire ;
  

• 
  ces cartes présentent un profil de risques similaire à celui des cartes de paiement classiques et doivent donc être soumises aux mêmes mesures de sécurité, tant pour les transactions de proximité que pour les transactions à distance ;
  

• 
  les cartes prépayées se caractérisent en outre par des risques propres liés au processus de rechargement et au mode de distribution. Elles doivent prévoir des dispositifs de sécurité adaptés afin de s’en prémunir.
  

• 
  mise en place d’une analyse de risques et ajustement permanent du niveau de sécurité de ces dispositifs.
  

5. 
   Les recommandations émises par la Banque de France
   

• 
  mise en œuvre de solutions d’authentification « non rejouable », généralisées à l’ensemble de la clientèle utilisant des services de banque en ligne.
  

• 
  mise en œuvre de solutions d’authentification « non rejouable » du porteur de la carte pour tout achat en ligne.