Obtenir la certification AEOS (Opérateur Économique Agréé – Sécurité) nécessite bien plus que de simples mesures techniques : il faut une gouvernance structurée de la sécurité, dirigée par une personne compétente et reconnue par les autorités douanières. De nombreuses entreprises se retrouvent démunies face à cette exigence, ne disposant pas en interne des compétences nécessaires pour coordonner l’analyse des risques, les procédures opérationnelles et la conformité réglementaire.

Le Code des douanes de l’Union (CDU) définit avec précision qui doit s’occuper de la sécurité et quelles responsabilités doivent être assumées. Comprendre ces obligations et choisir la solution organisationnelle la plus adaptée peut faire la différence entre une autorisation obtenue rapidement et un processus long et complexe.

Qui doit s’occuper de la sécurité selon le Code des douanes

L’article 28, paragraphe 1, point h) du Règlement d’exécution (RE) établit que chaque demandeur de l’autorisation AEOS doit désigner une personne de contact compétente pour les questions liées à la sécurité de la chaîne d’approvisionnement. Cette figure sert d’interface officielle entre l’entreprise et les autorités douanières.

Il est important de préciser que ce rôle concerne exclusivement la sécurité douanière et informatique ; il ne coïncide pas avec le responsable de la sécurité au travail (type HSE), qui opère dans un cadre réglementaire totalement différent.

La réglementation permet une certaine flexibilité : le responsable peut être un employé interne ou un professionnel externe formellement mandaté, à condition qu’il démontre une pleine connaissance des procédures de l’entreprise et une compétence technique adéquate.

Ce que requiert le Questionnaire d’Auto-évaluation (QAE)

La section 6 du QAE, dédiée aux exigences de sécurité, demande de documenter qui protège les systèmes de l’entreprise et comment les mesures de défense sont coordonnées. Les autorités douanières vérifient que cette personne est capable de :

• Mener et mettre à jour l’analyse des risques (Risk Assessment) : préparer une évaluation documentée des menaces spécifiques pesant sur la chaîne d’approvisionnement et les systèmes informatiques.
• Définir et surveiller les procédures de sécurité : gérer les contrôles d’accès physiques et logiques, la protection des données et la sécurité des zones sensibles.
• Gérer les incidents de sécurité : coordonner les enquêtes, les communications et les actions correctives en cas de violations ou d’intrusions, en suivant des procédures structurées de surveillance et de réponse aux incidents.
• Vérifier les partenaires commerciaux : s’assurer que les fournisseurs et sous-traitants respectent les normes de sécurité exigées par l’AEOS.

Ces responsabilités exigent des compétences qui vont au-delà de la gestion informatique ordinaire : il faut des connaissances en analyse des risques, en conformité réglementaire et en gestion de la sécurité selon des normes internationales telles que la ISO/IEC 27001.

Le CISO virtuel comme solution pour la gouvernance AEOS

Pour de nombreuses entreprises, embaucher un Chief Information Security Officer à temps plein représente un investissement disproportionné par rapport à leur taille ou à leur complexité organisationnelle. Le modèle de CISO virtuel offre une alternative stratégique qui répond pleinement aux exigences réglementaires :

• Compétence certifiée : le CISO virtuel apporte une expérience consolidée en gestion des risques, en conformité et en gestion de la sécurité, satisfaisant ainsi l’exigence de compétence requise par les douanes.
• Coordination multi-sites : en présence de plusieurs établissements ou bureaux, il garantit la cohérence des mesures de sécurité et simplifie le processus d’audit douanier.
• Efficacité économique : il fournit une gouvernance de haut niveau sans les coûts d’un cadre interne, tout en maintenant le contrôle opérationnel total au sein de l’entreprise.
• Flexibilité opérationnelle : il intervient avec la fréquence nécessaire, en s’adaptant aux besoins spécifiques du parcours de certification et du maintien de l’autorisation.

Le CISO virtuel peut préparer toute la documentation requise par le QAE, coordonner la mise en œuvre des mesures de sécurité et servir de référent technique lors des visites d’inspection des autorités douanières. De plus, il peut superviser des activités techniques spécialisées telles que les tests de pénétration de l’infrastructure réseau requis pour démontrer la résilience des systèmes critiques.

Questions fréquentes sur la gouvernance de la sécurité AEOS

• Est-il obligatoire de nommer un responsable de la sécurité pour obtenir l’AEOS ?
• Oui. L’article 28, paragraphe 1, point h) du Règlement d’exécution exige expressément la désignation d’une personne de contact compétente pour la sécurité, agissant comme interface avec l’administration douanière.
• Le responsable de la sécurité doit-il nécessairement être un employé interne ?
• Non. La réglementation permet que cette fonction soit exercée par un prestataire externe, à condition qu’il soit formellement mandaté et qu’il démontre une connaissance approfondie des procédures de sécurité de l’entreprise. Cette flexibilité rend possible l’utilisation d’un CISO virtuel.
• Comment un CISO virtuel peut-il concrètement soutenir les exigences AEOS ?
• Le CISO virtuel définit le cadre de sécurité, coordonne l’analyse des risques, prépare la documentation nécessaire pour le Questionnaire d’Auto-évaluation (Section 6) et sert de référent technique lors des visites d’inspection des autorités douanières.
• Quels documents le responsable de la sécurité doit-il produire ou superviser ?
• Le responsable doit superviser la production de l’analyse des risques documentée, des plans de sécurité pour chaque site, des procédures de gestion des accès, des registres d’incidents et des plans de formation à la sécurité pour le personnel.
• L’externalisation de la sécurité décharge-t-elle l’entreprise de ses responsabilités envers les douanes ?
• Non. Même en confiant l’activité technique à un CISO virtuel ou à des consultants externes, l’opérateur économique reste toujours responsable du respect des critères AEOS devant les autorités douanières. L’externalisation concerne l’exécution, non la responsabilité finale.
• Quelles compétences techniques le responsable de la sécurité AEOS doit-il posséder ?
• Il doit maîtriser les méthodologies d’analyse des risques, la gestion de la sécurité informatique et physique, les réglementations douanières et les normes internationales telles que l’ISO/IEC 27001. Il doit également savoir coordonner des fournisseurs externes et gérer la communication avec les autorités.

La gouvernance de la sécurité représente un pilier fondamental pour obtenir et maintenir la certification AEOS. Le modèle de CISO virtuel offre une expertise spécialisée et une flexibilité opérationnelle, mais la responsabilité finale du respect des critères incombe toujours à l’opérateur économique qui demande l’autorisation.

Approfondissements connexes

• Certification AEO et cybersécurité : exigences et parcours de conformité
• Sécurité des systèmes et des applications pour la certification AEOS
• Gestion des vulnérabilités pour la certification AEOS
• AEOS et sécurité des partenaires commerciaux dans la chaîne d’approvisionnement
• Formation cybersécurité pour les opérateurs économiques agréés