Externalisation bancaire dans l'UMOA : l'étape que les projets découvrent trop tard
Entre l'accord commercial et la mise en service se glisse une étape réglementaire. La connaître change le calendrier d'un projet ; l'ignorer le décale de plusieurs mois.
L'obligation
La Circulaire n° 04-2017/CB/C de la Commission bancaire de l'UMOA, relative à la gestion des risques dans les établissements de crédit et les compagnies financières, dispose que tout projet de contrat d'externalisation doit être soumis à l'appréciation préalable du Secrétariat général de la Commission bancaire avant sa mise en œuvre.
Elle précise également que l'externalisation n'exonère pas l'établissement de ses obligations réglementaires, ni de sa responsabilité vis-à-vis de sa clientèle, de ses commissaires aux comptes et des autorités de contrôle.
Autrement dit : la banque reste responsable de tout, y compris de ce qu'elle confie.
Pourquoi cette étape surprend
Un fournisseur qui aborde le marché avec un contrat standard rédigé pour un autre cadre juridique découvre l'obligation au pire moment : après l'accord commercial, avant le déploiement, lorsque le calendrier est déjà annoncé en interne.
Le contrat doit alors être repris pour satisfaire un examen qui porte sur des points précis : droits d'audit, localisation des données, chaîne de sous-traitance, plan de continuité, réversibilité, niveaux de service. Chacun de ces points peut exiger une modification technique, pas seulement contractuelle.
Le délai qui en résulte n'est pas administratif : il est structurel.
Ce qu'un dossier préconstitué change
Un fournisseur qui arrive avec un dossier d'externalisation déjà constitué déplace l'étape en amont. Le dossier comprend la présentation du prestataire, la description exacte du périmètre externalisé, la matrice de responsabilités, la localisation des données, la chaîne de sous-traitance, le dispositif de sécurité, le plan de continuité, les droits d'audit, le plan de réversibilité, les niveaux de service et la procédure de notification d'incidents.
La matrice de responsabilités mérite une attention particulière : c'est elle qui établit sans ambiguïté que la décision de crédit demeure celle de la banque, et que le prestataire fournit un outil d'aide à la décision. Cette distinction est structurante, juridiquement et techniquement.
Le plan de réversibilité est la pièce la plus regardée et la plus souvent absente. Il décrit comment l'établissement récupère ses données et poursuit son activité en cas de rupture : formats, délais, assistance. Un plan de réversibilité crédible suppose que l'architecture ait été conçue pour être quittée.
Une contrainte qui trie les fournisseurs
Les exigences de sécurité applicables aux établissements de l'UMOA sont précises : politique de sécurité validée par l'organe délibérant, responsable de la sécurité identifié, cartographie des risques informatiques, plans de continuité testés en conditions réelles, notification des incidents.
Un fournisseur dont la solution ne peut s'exécuter que sur une infrastructure particulière n'a rien à proposer à un comité de sécurité qui refuse cette infrastructure. La question de l'hébergement, souvent traitée comme un détail d'exploitation, décide en réalité de l'accès à toute une catégorie de clients.
La réponse n'est pas commerciale, elle est architecturale : la même base de code doit pouvoir se déployer chez le fournisseur, dans une instance dédiée, ou dans l'infrastructure de l'établissement, par configuration seule.
Sources
- Commission bancaire de l'UMOA — Circulaire n° 04-2017/CB/C relative à la gestion des risques dans les établissements de crédit et compagnies financières de l'UMOA.
- République du Sénégal — Loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel.