Maturité Externalisation · Directive de la BCEAO sur l’externalisation

La directive de la BCEAO sur l’externalisation fixe les conditions dans lesquelles un établissement de crédit, un établissement de paiement ou une compagnie financière de l’UMOA peut confier à un tiers une activité qu’il exercerait autrement lui-même. Elle repose sur un principe simple : l’externalisation transfère l’exécution, jamais la responsabilité. L’établissement reste comptable devant la Commission Bancaire de l’UMOA de la qualité du service, de la maîtrise des risques associés et de la protection des données de sa clientèle. Le texte distingue les activités essentielles ou importantes, soumises à un régime renforcé, des autres prestations.

En pratique, le dispositif se pilote mal. La première difficulté est l’inventaire : combien de prestataires interviennent réellement, y compris ceux contractés directement par une direction métier sans passer par les achats ? La deuxième est la qualification : qui décide qu’une activité est essentielle, sur quels critères, et à quelle fréquence ce classement est-il revu ? La troisième est le contrôle dans la durée. Les clauses d’audit figurent au contrat, mais ont-elles déjà été exercées ? Les indicateurs de niveau de service sont-ils suivis, ou consultés seulement après un incident ?

Deux évolutions déplacent le sujet. L’informatique en nuage d’abord : l’hébergement de données bancaires chez un fournisseur international pose la question de la localisation, de la réversibilité et de l’accès effectif du superviseur. La sous-traitance en cascade ensuite : le prestataire principal s’appuie lui-même sur des tiers, souvent hors du champ contractuel initial. Une confusion revient enfin régulièrement, celle entre externalisation et simple achat de fourniture. La distinction ne tient pas au montant du contrat mais à la nature de l’activité confiée et à son caractère essentiel.

L’audit de conformité conclut par un constat binaire : la clause figure au contrat, ou elle n’y figure pas. Le diagnostic de maturité pose une autre question. À quel niveau de maîtrise se situe le dispositif, prestataire par prestataire et thématique par thématique, et quelle action précise fait passer au niveau supérieur. Un registre exhaustif mais jamais actualisé et un registre partiel mais revu chaque trimestre ne se valent pas, alors que l’audit peut les traiter de la même manière.

Dans Datamensio, le référentiel est prêt à l’emploi et reste le vôtre. Vous ajustez les thématiques, les questions et la formulation des niveaux. L’IA affine ces niveaux selon la méthode CMMI, ou construit une déclinaison adaptée à votre organisation à partir de votre politique d’externalisation et de vos contrats types. Les groupes bancaires déploient le même référentiel sur plusieurs filiales et comparent les résultats entre business unit.