Maturité sécurité des systèmes d’information · Règlement COBAC sécurité SI

Le règlement COBAC sur la sécurité des systèmes d’information impose aux établissements assujettis de la zone CEMAC un dispositif formalisé de maîtrise du risque informatique. Il couvre la gouvernance du SI et la responsabilité de l’organe délibérant, la politique de sécurité, la classification des actifs et des données, la gestion des accès et des habilitations, la sécurité des infrastructures et des applications, la continuité et la reprise d’activité, la gestion des incidents et leur notification à la Commission Bancaire, ainsi que l’encadrement des prestataires informatiques. Le contrôle périodique et le reporting au superviseur complètent le dispositif.

En pratique, l’exigence est plus simple à énoncer qu’à piloter. Les établissements de la sous-région combinent souvent un cœur bancaire ancien, une monétique externalisée, des canaux de banque digitale récents et des agences aux liaisons hétérogènes. Trois questions reviennent systématiquement. La politique de sécurité est-elle réellement appliquée dans les filiales et les agences, ou seulement approuvée au siège ? Les habilitations sont-elles revues à date fixe, y compris pour les comptes des prestataires et les comptes à privilèges ? Le plan de continuité a-t-il été testé sur un scénario réel, avec un procès-verbal exploitable par le contrôle périodique ?

Deux confusions méritent d’être dissipées. La première consiste à assimiler la conformité au règlement à l’existence d’un budget informatique et d’un pare-feu : le texte porte sur un dispositif de maîtrise, donc sur des rôles, des procédures, des preuves et des revues, pas sur un inventaire d’équipements. La seconde consiste à traiter la sécurité SI comme un sujet purement technique, alors que le règlement engage l’organe délibérant et s’articule avec les dispositifs de contrôle interne, de risque opérationnel et de sous-traitance déjà exigés par la COBAC. La cartographie des risques informatiques doit se lire dans la cartographie des risques de l’établissement.

Un audit de conformité conclut par un constat binaire : l’exigence est satisfaite ou elle ne l’est pas. Le diagnostic de maturité répond à une autre question. Il situe chaque pratique sur une échelle progressive, du geste ponctuel au dispositif piloté et révisé, et indique l’action précise qui fait passer au niveau supérieur. Cette lecture est celle dont a besoin une direction générale qui doit arbitrer entre plusieurs chantiers sur un exercice et justifier ses priorités devant le comité d’audit.

Le référentiel est prêt à l’emploi dans Datamensio et reste adaptable. L’IA ajuste les thématiques, les questions et les niveaux à votre profil, banque commerciale, établissement de microfinance ou établissement de paiement, ou construit une déclinaison à partir de votre politique de sécurité et de vos rapports de contrôle. Les écarts constatés alimentent directement une feuille de route priorisée, consolidable sur plusieurs entités du groupe.