Madurez Externalización · Directiva de la BCEAO sobre externalización

La directiva de la BCEAO sobre externalización fija las condiciones en las que una entidad de crédito, una entidad de pago o una sociedad financiera de la UMOA puede confiar a un tercero una actividad que de otro modo ejercería ella misma. Se basa en un principio simple: la externalización transfiere la ejecución, nunca la responsabilidad. La entidad sigue siendo responsable ante la Comisión Bancaria de la UMOA de la calidad del servicio, del control de los riesgos asociados y de la protección de los datos de su clientela. El texto distingue las actividades esenciales o importantes, sometidas a un régimen reforzado, de las demás prestaciones.

En la práctica, el dispositivo se gestiona con dificultad. La primera dificultad es el inventario: ¿cuántos proveedores intervienen realmente, incluidos los contratados directamente por una dirección de negocio sin pasar por compras? La segunda es la calificación: ¿quién decide que una actividad es esencial, con qué criterios, y con qué frecuencia se revisa esa clasificación? La tercera es el control a lo largo del tiempo. Las cláusulas de auditoría figuran en el contrato, pero ¿se han ejercido alguna vez? ¿Se siguen los indicadores de nivel de servicio, o solo se consultan tras un incidente?

Dos evoluciones desplazan el tema. La informática en la nube, en primer lugar: el alojamiento de datos bancarios en un proveedor internacional plantea la cuestión de la localización, de la reversibilidad y del acceso efectivo del supervisor. La subcontratación en cascada, en segundo lugar: el proveedor principal se apoya a su vez en terceros, a menudo fuera del ámbito contractual inicial. Por último, una confusión reaparece con frecuencia, la que existe entre externalización y simple compra de suministro. La distinción no depende del importe del contrato, sino de la naturaleza de la actividad confiada y de su carácter esencial.

La auditoría de conformidad concluye con una constatación binaria: la cláusula figura en el contrato, o no figura. El diagnóstico de madurez plantea otra cuestión. En qué nivel de control se encuentra el dispositivo, proveedor por proveedor y ámbito por ámbito, y qué acción precisa permite pasar al nivel superior. Un registro exhaustivo pero nunca actualizado y un registro parcial pero revisado cada trimestre no son equivalentes, aunque la auditoría pueda tratarlos de la misma manera.

En Datamensio, el marco de referencia está listo para usar y sigue siendo suyo. Usted ajusta los ámbitos, las preguntas y la formulación de los niveles. La IA perfecciona esos niveles según el método CMMI, o construye una variante adaptada a su organización a partir de su política de externalización y de sus contratos tipo. Los grupos bancarios despliegan el mismo marco de referencia en varias filiales y comparan los resultados entre unidades de negocio.