L’extranet AXA Courtage (inaxa) centralise la gestion des contrats, des sinistres et des données clients pour les courtiers partenaires. Depuis le renforcement des exigences réglementaires autour du RGPD et du règlement DORA, l’accès à cet espace ne relève plus seulement de la productivité : chaque connexion, chaque profil utilisateur, chaque session active engage la responsabilité du cabinet en matière de conformité.
Comptes nominatifs sur l’extranet AXA Courtage : pourquoi l’accès mutualisé pose problème
Un réflexe courant dans les petits cabinets consiste à partager un identifiant unique pour accéder à inaxa. Un collaborateur quitte le cabinet, un autre arrive, le même login circule. Cette pratique crée un angle mort de traçabilité.
Les bonnes pratiques récentes imposent des comptes nominatifs plutôt que des accès mutualisés. La raison est technique avant d’être juridique : sans identifiant personnel, il devient impossible de rattacher une action (consultation de dossier, modification de contrat, export de données) à une personne physique précise.
En cas de contrôle ACPR ou de plainte client liée à un accès non autorisé, l’absence de traçabilité individuelle fragilise la position du cabinet. Le journal d’audit de la plateforme enregistre les connexions, mais si toutes remontent au même compte générique, cette piste ne prouve rien.
Passer à des comptes nominatifs implique un travail initial : créer un profil par collaborateur, définir les droits selon le périmètre d’intervention (IARD, santé, vie), et surtout révoquer les accès dès qu’un collaborateur quitte le cabinet. Ce dernier point est celui qui génère le plus de dette de conformité quand il est négligé.
Gestion des droits par profil : cloisonner les données clients sur inaxa
L’extranet AXA Courtage permet d’attribuer des niveaux d’accès différents selon les utilisateurs. Cette granularité n’est pas un luxe fonctionnel, c’est une exigence du RGPD « by design » : chaque collaborateur ne doit accéder qu’aux données strictement nécessaires à sa mission.
Principe de minimisation appliqué à l’extranet
Un gestionnaire sinistres auto n’a pas besoin de consulter les contrats santé collective du portefeuille. Un commercial en prospection n’a pas vocation à accéder aux pièces justificatives d’un dossier indemnisation en cours.
Configurer les profils avec des périmètres restreints réduit la surface d’exposition en cas de compromission d’un compte. Si un identifiant est volé ou utilisé à mauvais escient, les dégâts restent circonscrits au périmètre attribué.
Révision périodique des habilitations
La conformité ne se limite pas à la configuration initiale. Les attentes actuelles portent sur une supervision continue des sessions actives et une révocation rapide des accès inutiles. Un cabinet qui ne revoit jamais ses habilitations accumule des comptes orphelins (anciens stagiaires, prestataires ponctuels, collaborateurs mutés).
Un rythme trimestriel de revue des accès constitue un minimum raisonnable. La vérification porte sur trois points :
- Chaque compte actif correspond-il à un collaborateur actuellement en poste dans le cabinet ?
- Le niveau de droits attribué reflète-t-il encore les fonctions réelles de la personne ?
- Les dernières connexions datent-elles de moins de trois mois, ou le compte est-il dormant ?
Règlement DORA et extranet courtage : une obligation de cartographie des prestataires TIC
Les résultats qui apparaissent en ligne sur l’extranet AXA Courtage parlent presque exclusivement d’ergonomie, de fonctionnalités ou de satisfaction client. L’angle cyber-résilience est absent, alors qu’il devient structurant pour les cabinets de courtage.
Le règlement DORA (Digital Operational Resilience Act) concerne les entités financières et leurs prestataires de services TIC critiques. Pour un cabinet qui utilise inaxa comme outil central de gestion des contrats et des données clients, l’extranet entre dans le périmètre des actifs TIC à cartographier.
Concrètement, cela signifie que le cabinet doit formaliser :
- La dépendance opérationnelle vis-à-vis de la plateforme (quelles activités s’arrêtent si inaxa est indisponible ?)
- Les clauses contractuelles relatives à l’accès aux données, à l’audit et à la sortie ordonnée en cas de rupture
- Une politique de risque TIC documentée, incluant un scénario de panne ou d’indisponibilité prolongée de l’extranet
Ce travail de cartographie n’a rien de théorique. Il s’agit d’un livrable attendu lors des contrôles, et son absence constitue un défaut de gouvernance documenté.
Journal d’audit et finalités de traitement : ce que le RGPD exige sur un extranet client
Le cloisonnement des accès et la nomination des comptes ne suffisent pas à couvrir l’ensemble des obligations. Le RGPD impose également que chaque traitement de données personnelles soit rattaché à une finalité explicite et documentée.
Sur l’extranet AXA Courtage, les données transitent pour plusieurs finalités distinctes : souscription, gestion de sinistres, renouvellement, prospection. Chaque finalité doit figurer dans le registre des traitements du cabinet, avec la base légale correspondante (exécution du contrat, obligation légale, intérêt légitime).
Le journal d’audit consultable sur la plateforme constitue un outil de preuve utile, à condition que le cabinet l’exploite réellement. Consulter ce journal une fois par trimestre pour vérifier les accès inhabituels (connexions en dehors des horaires de travail, consultations massives de dossiers, exports de fichiers) transforme un simple log technique en dispositif de détection d’anomalies.
Conformité extranet AXA : formaliser sans alourdir le quotidien
La tentation est forte de considérer ces exigences comme une couche administrative supplémentaire. En pratique, un cabinet qui structure ses accès dès le départ évite les rattrapages coûteux.
Le point de départ le plus efficace reste la rédaction d’une procédure interne courte (une à deux pages) qui décrit le cycle de vie d’un accès extranet : création lors de l’arrivée d’un collaborateur, modification lors d’un changement de poste, suppression lors du départ. Ce document, daté et signé, constitue une pièce de conformité mobilisable immédiatement en cas de contrôle ACPR ou de demande d’accès d’un client au titre du RGPD.
La dette de conformité sur les outils numériques s’accumule sans bruit. Elle ne devient visible qu’au moment d’un incident, d’un contrôle ou d’une réclamation. Structurer la gestion des accès à l’extranet AXA Courtage avant ce moment-là reste la seule approche qui protège réellement le cabinet et ses clients.
