La Banque Centrale des États de l'Afrique de l'Ouest (BCEAO) a fait de la sécurité des systèmes d'information un axe majeur de supervision. Dans un contexte de numérisation accélérée des services bancaires et de croissance explosive du mobile money, les établissements de crédit et de paiement de l'UEMOA sont soumis à des exigences de plus en plus précises en matière de gouvernance, de protection et de continuité de leurs SI.
Ce que la supervision attend concrètement
- Une gouvernance formalisée de la sécurité : politique de sécurité (PSSI) validée par l'organe délibérant, fonction RSSI identifiée et rattachée à un niveau adéquat.
- Une cartographie des risques SI tenue à jour, articulée avec le dispositif global de gestion des risques opérationnels.
- Un dispositif de continuité d'activité (PCA/PRA) testé périodiquement, couvrant les services bancaires critiques.
- La maîtrise des activités externalisées : due diligence des prestataires, clauses d'audit, réversibilité.
- La déclaration des incidents significatifs à la Commission Bancaire et la capacité à produire des éléments d'investigation.
- La protection des données des clients, en cohérence avec les législations nationales de protection des données personnelles.
Les écarts que nous constatons le plus souvent
Sur le terrain, trois écarts reviennent systématiquement dans nos audits. D'abord, des PSSI existantes mais non déclinées en procédures opérationnelles ni en contrôles mesurables. Ensuite, des plans de continuité jamais testés en conditions réelles — un PRA qui n'a pas redémarré le core banking en exercice n'est qu'une hypothèse. Enfin, une supervision de sécurité limitée aux heures ouvrées, alors que les fraudes sur les canaux digitaux se concentrent la nuit et le week-end.
La bonne nouvelle : ces écarts se corrigent avec une feuille de route réaliste. Prioriser par le risque (canaux de paiement, accès à privilèges, sauvegardes), outiller la détection (SOC mutualisé ou externalisé), et industrialiser la production de preuves pour les inspections — chaque contrôle doit laisser une trace exploitable.
Optima Advisory réalise des diagnostics de conformité réglementaire BCEAO, construit les référentiels documentaires (PSSI, procédures, indicateurs) et prépare les établissements aux inspections de la Commission Bancaire. Notre connaissance des deux mondes — réglementaire et technique — fait gagner un temps précieux.
