Maturité BCEAO · Sécurité des systèmes d’information et gestion des risques liés aux SI
Vos pratiques de sécurité des SI situées sur la directive BCEAO, et traduites en plan d’action chiffré.
10 thématiques, une échelle à 5 niveaux. Et l’action qui fait passer chaque niveau au suivant.
Les 10 thématiques du référentiel, déjà rédigées de N1 à N5. Une entreprise, une business unit, ou 300 à la fois.
Maturité BCEAO · Sécurité des systèmes d’information et gestion des risques liés aux SI
10 thématiques, échelle à 5 niveaux.
Nordhavn Industries
53 / 100
Ils mesurent leur maturité avec Datamensio
Un exemple
Cette situation pourrait être la vôtre.
Prenons l’exemple d’une entreprise : trois sites, trois tableurs, aucune réponse commune.
Personne ne sait consolider.
Nordhavn Industries, 2 400 personnes à Hambourg, Lyon et Porto. Un donneur d’ordre demande où en est le groupe. Chaque site répond dans son tableur, avec ses propres échelles.
Trois semaines, une seule base.
Un diagnostic Directive de la BCEAO relative à la gestion des risques liés aux systèmes d’information des établissements de crédit, des compagnies financières et des systèmes financiers décentralisés de l’UMOA lancé sur les trois sites en même temps, à partir des notes d’entretien des responsables. Le référentiel était déjà écrit, les 10 thématiques et les niveaux N1 à N5 aussi.
Deux dépenses évitées avant d’être engagées.
Un score de 53 sur 100, un écart concentré sur trois thèmes. Le compagnon IA a repéré que deux actions du plan doublonnaient avec celui d’un autre audit. La restitution au comité s’est demandée en une phrase.
Ce que ça leur a évité
- 3sites mesurés sur la même base, au lieu de trois questionnaires à retraiter
- 2actions en doublon détectées avant la dépense
- 1restitution au comité, sans reprise manuelle
Ces chiffres sont ceux d’un exemple. Ils pourraient être les vôtres.
La norme impose des processus. Datamensio dit où vous en êtes.
01
Le référentiel est déjà écrit
Thématiques, questions et niveaux N1 à N5 rédigés. Vous ne partez pas d’un tableur vide.
02
Le score tombe le jour même
En ligne, par lien d’auto-évaluation ou en entretien. Thème par thème, comparable dans le temps.
03
L’écart devient un plan chiffré
Chaque passage de niveau porte son action. L’IA priorise sur l’effet attendu, pas sur l’ordre de la norme.
04
La progression se démontre
Campagne après campagne, contre votre cible et contre votre passé. C’est ce que demande votre COMEX.
L’échelle de maturité
Un niveau, le suivant, et l’action qui relie les deux.
C’est ce mécanisme (un niveau, un niveau supérieur, et l’action qui relie les deux) qui transforme un constat en trajectoire.
Les habilitations d’accès aux applications sensibles font-elles l’objet d’une revue périodique ?
- N1
Aucune revue organisée. Les droits sont attribués à l’ouverture du compte et ne sont pas réexaminés ensuite.
- N2
Des revues ont lieu à l’occasion d’un audit ou d’une réorganisation, sur quelques applications, sans calendrier ni format défini.
- N3
Une revue périodique est planifiée et couvre les applications sensibles. Les propriétaires valident les droits et les écarts sont corrigés.
- N4
La revue est systématique sur l’ensemble du périmètre, tracée, avec suivi des retraits jusqu’à leur exécution et contrôle de second niveau.
- N5
Les revues sont outillées et alimentées par les mouvements du personnel, les écarts récurrents sont analysés et corrigés à la source, les règles d’attribution sont révisées en conséquence.
Action pour passer de N2 à N3
Établir la liste des applications sensibles avec leur propriétaire métier, fixer une revue semestrielle des habilitations inscrite au calendrier du contrôle permanent, et exiger une validation nominative des droits accompagnée d’un délai de retrait des accès non justifiés.
« Grâce à Datamensio, nous remplissons avec beaucoup plus d’efficacité nos objectifs. Les services d’inspection du FEDER et de notre ministère de tutelle ont particulièrement apprécié cette approche qui leur apporte une data fiable. »
Directrice de la CCI 94CCI Île-de-France
« Nous pensons qu’il s’agit de la solution la plus adaptée pour amener notre projet de transformation à l’échelle et mesurer l’impact selon nos besoins. »
Maja SucekChief Operating Officer, Interreg Danube
Rarement seul
Un référentiel se combine. Associez-en plusieurs pour couvrir votre activité, ou faites écrire le vôtre par l’IA.
Prenez votre première mesuresur BCEAO.
De quoi parle ce référentiel
La directive de la BCEAO relative à la gestion des risques liés aux systèmes d’information s’applique aux établissements de crédit, aux compagnies financières et aux systèmes financiers décentralisés de l’Union monétaire ouest-africaine. Elle exige un cadre de gouvernance des SI approuvé par l’organe délibérant, une politique de sécurité de l’information, une cartographie des actifs et des risques informatiques, une fonction de sécurité identifiée et indépendante des équipes d’exploitation, la maîtrise des prestataires informatiques, la gestion des incidents avec notification au superviseur, et la continuité des activités informatiques. Le contrôle du respect de ces exigences relève de la Commission Bancaire de l’UMOA.
En pratique, le dispositif se pilote mal parce qu’il traverse plusieurs directions. La politique de sécurité existe souvent, mais sa déclinaison en procédures applicables et en contrôles vérifiables reste partielle. Les questions concrètes reviennent : la cartographie des actifs informatiques couvre-t-elle les applications métiers hébergées chez des tiers, ou seulement le datacenter interne ? Les habilitations sont-elles revues à échéance fixe, ou seulement au départ d’un collaborateur ? Les incidents de sécurité sont-ils qualifiés selon des critères écrits permettant de décider d’une notification, ou traités comme de simples incidents d’exploitation ?
La montée en charge des services financiers numériques dans l’Union a déplacé le centre de gravité du risque. La monnaie électronique, l’interopérabilité des paiements et le recours croissant à des prestataires régionaux ou internationaux exposent des établissements dont l’organisation informatique a été dimensionnée pour un modèle d’agences. Une confusion fréquente mérite d’être dissipée : la directive ne se réduit pas à la sécurité technique. Elle porte sur la gouvernance du risque informatique, dont la sécurité n’est qu’une composante, aux côtés de la gestion des changements, de l’externalisation et de la continuité.
Le diagnostic de maturité répond à une question différente de celle du contrôle de conformité. Le contrôle demande si l’exigence est satisfaite, oui ou non, et conclut par un constat. Le diagnostic situe chaque pratique sur une échelle progressive et indique l’action précise qui fait passer au niveau supérieur. Les deux se complètent : le diagnostic prépare la mission de la Commission Bancaire et l’examen du contrôle interne, il ne s’y substitue pas.
Dans Datamensio, le référentiel est prêt à l’emploi et se déploie tel quel sur plusieurs entités. Vous pouvez aussi l’adapter : l’IA ajuste les thématiques, reformule les questions selon votre organisation, affine les niveaux, ou construit une déclinaison à partir de votre politique de sécurité et de vos procédures existantes.
Norme de référence : Directive de la BCEAO relative à la gestion des risques liés aux systèmes d’information des établissements de crédit, des compagnies financières et des systèmes financiers décentralisés de l’UMOA
Les thématiques évaluées
Gouvernance des systèmes d’information
Approbation du cadre par l’organe délibérant, stratégie informatique alignée sur la stratégie de l’établissement, comité dédié, rôles et responsabilités, moyens alloués.
Politique de sécurité de l’information
Politique formalisée et validée, déclinaison en procédures, périmètre couvert, périodicité de révision, diffusion auprès des métiers.
Cartographie des actifs et appréciation des risques SI
Inventaire des actifs informationnels et applicatifs, classification, identification des vulnérabilités, méthode d’appréciation, hiérarchisation et acceptation des risques résiduels.
Gestion des identités et des accès
Attribution et retrait des droits, comptes à privilèges, séparation des tâches, revue périodique des habilitations, traçabilité des accès.
Sécurité des opérations et des réseaux
Durcissement des configurations, gestion des correctifs, cloisonnement, protection des postes et des serveurs, sauvegardes et restaurations testées, journalisation.
Gestion des changements et des projets informatiques
Procédure de mise en production, environnements séparés, tests et recettes, prise en compte de la sécurité dès la conception, gestion des versions et des retours arrière.
Externalisation et prestataires informatiques
Recensement des prestations externalisées, clauses de sécurité et d’audit, niveaux de service, réversibilité, surveillance des prestataires critiques et de l’hébergement.
Gestion des incidents de sécurité
Détection, qualification et classification des incidents, délais et circuits de notification à l’autorité de supervision, analyse des causes, capitalisation.
Continuité des activités informatiques
Plan de secours informatique, objectifs de reprise, site de repli, tests périodiques et enseignements tirés, articulation avec le plan de continuité d’activité.
Contrôle, audit et sensibilisation
Contrôles permanents sur le périmètre SI, missions d’audit informatique, suivi des recommandations, indicateurs remontés à la direction, formation et sensibilisation du personnel.
Une version courte du référentiel est disponible pour l’auto-évaluation en ligne.
Questions fréquentes
Cette directive donne-t-elle lieu à une certification ?
Non. Il s’agit d’un texte prudentiel dont le respect est contrôlé par la Commission Bancaire de l’UMOA, pas d’une norme certifiable par un organisme accrédité. Datamensio mesure la maturité de votre dispositif et prépare l’examen du superviseur, il ne délivre aucune attestation.
Quelle différence entre ce diagnostic et un contrôle de conformité ?
Le contrôle vérifie la satisfaction d’une exigence et conclut par un constat. Le diagnostic situe la pratique sur une échelle de maturité et désigne l’action qui fait progresser d’un niveau. Il produit une trajectoire, là où le contrôle produit un état.
Combien de temps prend l’évaluation ?
La version courte se remplit en une session de travail. La version complète, en mode collaboratif avec la DSI, le RSSI, le contrôle interne et les métiers, s’étale généralement sur une à deux semaines, l’essentiel du temps étant consacré à la collecte des preuves.
Le référentiel est-il adaptable à notre établissement ?
Oui. Vous modifiez les questions, les niveaux, ajoutez vos thématiques ou partez de vos propres procédures. L’IA construit une déclinaison à partir de votre politique de sécurité, utile pour un système financier décentralisé dont l’organisation diffère de celle d’une banque de plein exercice.
Peut-on comparer plusieurs filiales du groupe ?
Oui. Le même référentiel se déploie sur chaque entité, avec un score par thématique et un comparatif entre business units, ainsi qu’avec les campagnes précédentes. Une feuille de route transversale consolide les plans d’action des filiales et regroupe les actions communes.
Comment ce diagnostic s’articule-t-il avec le contrôle interne et le PCA ?
Les exigences se recouvrent largement : continuité informatique, externalisation, contrôle permanent. Les résultats sont réutilisables d’un référentiel à l’autre et la feuille de route transversale permet de croiser les diagnostics sans dupliquer les actions.
Faut-il une expertise technique pour répondre ?
Les questions portent sur les pratiques de gouvernance et de gestion, pas sur les configurations. Certaines demandent l’apport d’un correspondant technique : le mode collaboratif permet d’affecter ces questions à la bonne personne.
Où sont hébergées les données ?
En France, chez OVH, avec sauvegarde chez Scaleway. Aucun transfert hors Union européenne. Les modèles d’IA mobilisés peuvent être sélectionnés, y compris parmi des solutions européennes.