Maturité Plan de continuité d’activité · Directive BCEAO PCA

La directive de la BCEAO relative au plan de continuité d’activité demande aux établissements de crédit et aux établissements financiers à caractère bancaire de l’UMOA de disposer d’un dispositif écrit, approuvé par l’organe délibérant, qui garantit la poursuite des activités essentielles en cas d’interruption majeure. Elle articule quatre obligations : identifier les activités critiques par une analyse d’impact sur l’activité, définir des objectifs de reprise, formaliser les procédures de secours et de repli, puis tester le dispositif et rendre compte des résultats. Le contrôle interne et l’audit interne y ont un rôle explicite.

En pratique, le PCA est l’un des dispositifs les plus déclaratifs du corpus prudentiel. Le document existe presque partout, sa vitalité est beaucoup plus inégale. Les objectifs de reprise, RTO et RPO, sont-ils issus d’une analyse d’impact validée par les métiers, ou repris d’un modèle ? Le site de repli a-t-il déjà accueilli une équipe en conditions réelles, avec accès aux applications de production ? Les prestataires essentiels, hébergeur, opérateur télécom, fournisseur de switch monétique, sont-ils tenus contractuellement à des engagements de continuité vérifiables ? Beaucoup d’établissements découvrent l’écart au premier test grandeur nature.

Deux évolutions rendent le sujet plus exigeant. La montée en charge des services de paiement, de la monnaie électronique et de l’interopérabilité régionale a déplacé la criticité vers des chaînes techniques largement externalisées : l’indisponibilité d’un prestataire devient une indisponibilité de l’établissement. Par ailleurs, les textes de la BCEAO sur la sécurité des systèmes d’information et sur l’externalisation se recoupent avec le PCA. Une confusion fréquente consiste à réduire la continuité au plan de reprise informatique, alors que la directive vise la continuité des activités bancaires : caisses, moyens de paiement, crédit, comptabilité réglementaire, relation client.

L’audit de conformité conclut par une réponse binaire : le plan existe, il est approuvé, il est testé. Le diagnostic de maturité pose une autre question. À quel niveau de maîtrise se situe chaque composante, et quelle action concrète fait passer au niveau suivant. Un établissement dont le PCA est testé une fois par an sur un scénario théorique et un établissement qui bascule réellement sur son site de repli sont tous deux « conformes ». Ils ne sont pas au même niveau de maturité, et ils ne réagiront pas de la même manière.

Dans Datamensio, le référentiel est prêt à l’emploi et s’adapte à votre organisation. L’IA ajuste les thématiques, les questions et la formulation des niveaux selon votre taille, votre modèle et vos activités, ou construit une déclinaison à partir de vos propres documents : politique de continuité, analyse d’impact, comptes rendus de tests. Le groupe bancaire présent dans plusieurs pays de l’Union peut décliner le même référentiel sur chaque filiale et comparer les résultats.