Maturité Contrôle interne bancaire · Instruction BCEAO relative au contrôle interne
Votre dispositif de contrôle interne mesuré sur l’Instruction BCEAO, et traduit en plan d’action chiffré.
10 thématiques, une échelle à 5 niveaux. Et l’action qui fait passer chaque niveau au suivant.
Les 10 thématiques du référentiel, déjà rédigées de N1 à N5. Une entreprise, une business unit, ou 300 à la fois.
Maturité Contrôle interne bancaire · Instruction BCEAO relative au contrôle interne
10 thématiques, échelle à 5 niveaux.
Nordhavn Industries
53 / 100
Ils mesurent leur maturité avec Datamensio
Un exemple
Cette situation pourrait être la vôtre.
Prenons l’exemple d’une entreprise : trois sites, trois tableurs, aucune réponse commune.
Personne ne sait consolider.
Nordhavn Industries, 2 400 personnes à Hambourg, Lyon et Porto. Un donneur d’ordre demande où en est le groupe. Chaque site répond dans son tableur, avec ses propres échelles.
Trois semaines, une seule base.
Un diagnostic Instruction de la BCEAO relative au contrôle interne des établissements de crédit et compagnies financières de l’UMOA lancé sur les trois sites en même temps, à partir des notes d’entretien des responsables. Le référentiel était déjà écrit, les 10 thématiques et les niveaux N1 à N5 aussi.
Deux dépenses évitées avant d’être engagées.
Un score de 53 sur 100, un écart concentré sur trois thèmes. Le compagnon IA a repéré que deux actions du plan doublonnaient avec celui d’un autre audit. La restitution au comité s’est demandée en une phrase.
Ce que ça leur a évité
- 3sites mesurés sur la même base, au lieu de trois questionnaires à retraiter
- 2actions en doublon détectées avant la dépense
- 1restitution au comité, sans reprise manuelle
Ces chiffres sont ceux d’un exemple. Ils pourraient être les vôtres.
La norme impose des processus. Datamensio dit où vous en êtes.
01
Le référentiel est déjà écrit
Thématiques, questions et niveaux N1 à N5 rédigés. Vous ne partez pas d’un tableur vide.
02
Le score tombe le jour même
En ligne, par lien d’auto-évaluation ou en entretien. Thème par thème, comparable dans le temps.
03
L’écart devient un plan chiffré
Chaque passage de niveau porte son action. L’IA priorise sur l’effet attendu, pas sur l’ordre de la norme.
04
La progression se démontre
Campagne après campagne, contre votre cible et contre votre passé. C’est ce que demande votre COMEX.
L’échelle de maturité
Un niveau, le suivant, et l’action qui relie les deux.
C’est ce mécanisme (un niveau, un niveau supérieur, et l’action qui relie les deux) qui transforme un constat en trajectoire.
Les recommandations issues des contrôles internes et des missions du superviseur sont-elles suivies jusqu’à leur clôture ?
- N1
Aucun suivi centralisé. Les recommandations circulent dans les rapports, sans dispositif permettant de savoir lesquelles sont soldées.
- N2
Un tableau de suivi existe, alimenté à l’approche des échéances. Les dates de mise en œuvre sont souvent dépassées sans arbitrage.
- N3
Chaque recommandation a un responsable, une échéance et un état d’avancement revus périodiquement. Les clôtures sont prononcées sur pièces.
- N4
Le suivi est présenté au comité d’audit à chaque séance, les retards font l’objet d’un arbitrage tracé et les clôtures sont vérifiées par l’audit interne.
- N5
Les recommandations récurrentes sont analysées par cause racine, alimentent le plan de contrôle et la cartographie des risques, avec suivi documenté des effets obtenus.
Action pour passer de N2 à N3
Attribuer à chaque recommandation ouverte un responsable nommé, une échéance et une preuve de clôture attendue, puis inscrire la revue du tableau à l’ordre du jour du comité de contrôle interne trimestriel.
« Grâce à Datamensio, nous remplissons avec beaucoup plus d’efficacité nos objectifs. Les services d’inspection du FEDER et de notre ministère de tutelle ont particulièrement apprécié cette approche qui leur apporte une data fiable. »
Directrice de la CCI 94CCI Île-de-France
« Nous pensons qu’il s’agit de la solution la plus adaptée pour amener notre projet de transformation à l’échelle et mesurer l’impact selon nos besoins. »
Maja SucekChief Operating Officer, Interreg Danube
Rarement seul
Un référentiel se combine. Associez-en plusieurs pour couvrir votre activité, ou faites écrire le vôtre par l’IA.
Prenez votre première mesuresur BCEAO.
De quoi parle ce référentiel
L’Instruction de la BCEAO relative au contrôle interne s’applique aux établissements de crédit, aux compagnies financières et, pour partie, aux systèmes financiers décentralisés de l’Union monétaire ouest-africaine. Elle demande un dispositif complet : un système de contrôle des opérations et des procédures internes, une organisation comptable et de traitement de l’information, des dispositifs de mesure et de surveillance des risques de crédit, de marché, de liquidité, de taux et opérationnel, un contrôle de la conformité, et une fonction d’audit interne indépendante. Elle précise aussi les rapports annuels attendus par la Commission Bancaire de l’UMOA et le rôle du comité d’audit.
En pratique, le dispositif est difficile à piloter parce qu’il est distribué. Le contrôle permanent de premier niveau appartient aux métiers, le deuxième niveau à des fonctions souvent en sous-effectif, le troisième à un audit interne dont le plan pluriannuel ne couvre pas tout chaque année. Les questions concrètes se ressemblent d’un établissement à l’autre. Les contrôles de premier niveau sont-ils réellement exécutés et tracés, ou reconstitués avant la mission ? Les recommandations de l’audit interne et des missions de la Commission Bancaire sont-elles suivies jusqu’à leur clôture effective ? La cartographie des risques opérationnels sert-elle à orienter le plan de contrôle, ou reste-t-elle un document annuel ?
Une confusion revient souvent : le contrôle interne serait l’affaire du responsable du contrôle permanent. L’Instruction place la responsabilité première sur l’organe délibérant et l’organe exécutif, avec des rapports qui leur sont adressés et transmis au superviseur. La montée en charge du dispositif prudentiel Bâle II/III dans l’UEMOA, l’ICAAP et les exigences de supervision consolidée renforcent ce point : le contrôle interne alimente désormais l’appréciation du profil de risque de l’établissement et celle de son adéquation en fonds propres. Un dispositif jugé faible se paie ailleurs.
L’audit de conformité pose une question binaire : l’exigence est-elle satisfaite, oui ou non. Le diagnostic de maturité pose une autre question : à quel niveau de maîtrise se situe la pratique, et quelle action précise fait passer au niveau suivant. Pour un dispositif de contrôle interne, la nuance est décisive : entre une procédure écrite et une procédure appliquée, contrôlée et révisée, il y a trois niveaux d’écart et autant d’étapes à financer.
Dans Datamensio, le référentiel est prêt à l’emploi et reste le vôtre. L’IA ajuste les thématiques, les questions et les formulations de niveaux à votre taille et à votre modèle d’activité, ou construit une déclinaison à partir de vos procédures, de votre charte d’audit et de vos rapports de contrôle interne. Les évaluations se conduisent entité par entité, filiale par filiale, avec comparaison entre business units et dans le temps.
Norme de référence : Instruction de la BCEAO relative au contrôle interne des établissements de crédit et compagnies financières de l’UMOA
Les thématiques évaluées
Gouvernance et responsabilité du dispositif
Rôle de l’organe délibérant et de l’organe exécutif, comité d’audit, charte de contrôle interne, allocation des moyens, indépendance des fonctions de contrôle.
Organisation des trois lignes de maîtrise
Contrôles de premier niveau intégrés aux processus, contrôle permanent de deuxième niveau, audit interne de troisième niveau, séparation des tâches et absence de cumul de fonctions incompatibles.
Contrôle des opérations et procédures internes
Corpus procédural, actualisation, exhaustivité des points de contrôle, traçabilité des contrôles exécutés, traitement des anomalies détectées.
Organisation comptable et information financière
Piste d’audit, rapprochements et justification des comptes, arrêtés périodiques, fiabilité des données servant au reporting prudentiel.
Mesure et surveillance des risques de crédit
Dispositif d’octroi et de délégation, notation et classification des créances, provisionnement, suivi des engagements, division des risques et grands risques.
Risques de marché, de taux et de liquidité
Limites fixées et validées, suivi des dépassements, mesure de la transformation, indicateurs de liquidité, scénarios de tension.
Risque opérationnel et continuité
Cartographie des risques opérationnels, collecte et analyse des incidents et pertes, dispositif de continuité d’activité, dépendance aux prestataires externalisés.
Conformité, LBC/FT et protection de la clientèle
Veille réglementaire, contrôle de conformité des nouveaux produits, dispositif de lutte contre le blanchiment, traitement des réclamations, transparence des conditions de banque.
Sécurité des systèmes d’information
Gestion des habilitations, sécurité des applications sensibles, journalisation, contrôle des développements et des changements, sauvegardes et tests de restauration.
Reporting, suivi des recommandations et amélioration
Rapports annuels au superviseur, information des organes de gouvernance, suivi jusqu’à clôture des recommandations d’audit interne, des commissaires aux comptes et des missions de la Commission Bancaire.
Une version courte du référentiel est disponible pour l’auto-évaluation en ligne.
Questions fréquentes
Ce diagnostic vaut-il attestation de conformité auprès de la Commission Bancaire ?
Non. Datamensio mesure la maturité du dispositif et prépare les échéances de contrôle, il ne délivre aucune attestation. Le superviseur seul apprécie la conformité, lors de ses contrôles sur pièces et sur place. Le diagnostic sert à identifier les écarts avant qu’ils ne soient relevés.
Quelle différence avec l’audit de conformité conduit par l’audit interne ?
L’audit conclut par un constat de conformité ou un écart sur un périmètre donné. Le diagnostic situe la pratique sur une échelle de maturité progressive et indique l’action qui fait passer au niveau supérieur. Les deux se complètent : le diagnostic oriente le plan d’audit, l’audit vérifie sur le terrain.
Combien de temps prend l’évaluation ?
La version courte se conduit en une session de travail. La version complète, en mode collaboratif avec le contrôle permanent, la conformité, les risques et l’audit interne, s’étale généralement sur une à deux semaines, l’essentiel du temps allant à la collecte des éléments de preuve.
Le référentiel est-il adaptable à notre établissement ?
Oui. Vous modifiez les questions, les formulations de niveaux et les thématiques, ou ajoutez les vôtres. L’IA construit également une déclinaison à partir de vos procédures et de vos rapports de contrôle interne. Le référentiel reste votre propriété.
Peut-on comparer plusieurs filiales du groupe ?
Oui. Le même référentiel se déploie sur chaque entité, avec un score par thématique comparable d’une business unit à l’autre et dans le temps. Une feuille de route transversale consolide les audits pour identifier les écarts communs et les actions mutualisables au niveau du groupe.
Comment le diagnostic s’articule-t-il avec l’ICAAP et le dispositif prudentiel Bâle II/III de l’UEMOA ?
La qualité du contrôle interne conditionne la fiabilité des données de risque utilisées dans l’ICAAP et le reporting prudentiel. Les évaluations menées sur ces référentiels se croisent dans une feuille de route commune, sans dupliquer les actions déjà engagées.
Le plan d’action est-il chiffré ?
Chaque écart ouvre une action, et le catalogue de prestations associe à ces actions un coût, un délai et un impact attendu sur le score. Vous arbitrez sur une base comparable au lieu d’une liste de recommandations sans valorisation.
Où sont hébergées les données ?
En France, chez OVH, avec sauvegarde chez Scaleway. Aucun transfert hors Union européenne. Les modèles d’IA mobilisés peuvent être sélectionnés, y compris parmi des solutions européennes.