3090 Il convient que cette vérification soit effectuée de manière automatique par le SDC-D ou de manière manuelle par l’utilisateur du SDC-D responsable de la numérisation de ce lot. Il convient de s’assurer de l’application du principe des quatre yeux si cette vérification est exclusivement effectuée manuellement, à savoir que cette vérification doit être effectuée par l’utilisateur du SDC-D responsable de la numérisation du lot, sous la supervision d’une tierce personne habilitée à cette tâche et pouvant attester de la reproduction fidèle du contenu des documents analogiques. Il convient de définir les conditions d’échantillonnage de cette vérification en fonction de la nature des documents, des besoins internes à l’organisation ou des clients et si une destruction des documents analogiques est programmée. 8. génération d’une preuve énumérant de manière claire et explicite toutes les règles suivies pendant la dématérialisation des documents analogiques, les activités manuelles effectuées par l’utilisateur du SDC-D responsable du lot, les événements du SDC-D survenus pendant la numérisation des documents analogiques et les erreurs identifiées lors du traitement du lot 9. validation par écrit de cette preuve par l’utilisateur du SDC-D et du tiers impliqué dans la vérification manuelle du contenu des documents numériques en utilisant un dispositif sécurisé de création de signature et un certificat électronique qualifié répondant aux exigences définies par l’Union européenne en la matière 10. clôture du lot de documents analogiques à numériser et traitement des anomalies (retrait de documents à numériser) selon les procédures de gestion des incidents du SDC-D. Tout changement significatif (changement d’instructions d’exploitation des journaux d’événements, modification de la gestion des sauvegardes et de leur restauration) des procédures d’administration, d’opérations et de sécurité du système de dématérialisation SDC-D et des procédures d’exploitation du processus de dématérialisation doit être justifié et faire l’objet d’une approbation préalable des clients (internes ou externes à l’organisation) du processus de dématérialisation et qui sont impactés par ce changement. 12.8.2.5 Exigences par rapport aux règles Les règles définies dans ces procédures doivent: a) être mises en œuvre et respectées par le personnel concerné (de l’organisation et des fournisseurs) b) être conformes aux lois et aux règlements en vigueur au Luxembourg c) respecter les bonnes pratiques en la matière définies dans des normes et des référentiels reconnus d) soient revues par le responsable du processus de dématérialisation de manière régulière (au moins une fois par an), suite à une modification significative du SDC-D et du processus de dématérialisation. L’exécution des procédures d’administration, d’opérations et de sécurité du système de dématérialisation SDC-D et des procédures d’exploitation du processus de dématérialisation doit être évaluable par un tiers pouvant attester de la conformité des activités effectuées par le personnel concerné par rapport aux règles définies dans ces procédures pour s’assurer que les documents analogiques ont été correctement collectés, utilisés, stockés, restitués, transférés ou détruits et que les documents numériques ont été correctement créés, stockés, exploités, restitués ou supprimés. Les preuves de la conformité des activités effectuées par le personnel concerné par rapport aux politiques et aux procédures liées au processus de dématérialisation exécuté par l’organisation doivent être conservées en utilisant des supports de stockage pérennes pour une conservation appropriée aussi longtemps que nécessaire. 12.8.2.6 Preuves Les preuves suivantes doivent être conservées: a) bordereaux de récupération ou de livraison de documents analogiques b) rapports d’activités des utilisateurs du SDC-D c) rapports de mises à jour du SDC-D, d’incidents ou de changements liés au SDC-D d) rapports de revue des journaux d’événements du SDC-D. 12.8.2.7 Information contenue dans la preuve Une preuve liée aux activités effectuées par le personnel concerné doit contenir en particulier les informations suivantes: a) Auteur(s) des activités effectuées b) Date(s) et heure(s) des activités effectuées c) Lieu(x) des activités effectuées d) Actif(s) utilisé(s) pour la réalisation de ces activités e) Descriptif des activités effectuées f) Problèmes ou erreurs rencontrés pendant la réalisation de ces activités g) Le client (interne ou externe). Mémorial A – N° 150 du 4 août 2015