Roméo Koudou, Associé Risk Advisory Deloitte Afrique Francophone

Un simple incident cyber peut désormais provoquer des retards de règlement, perturber des milliers de transactions et fissurer la confiance des utilisateurs dans tout un système financier. À mesure que l'UEMOA accélère sa transition vers les paiements numériques, la cybersécurité et la conformité cessent d'être des fonctions techniques périphériques pour devenir des piliers de stabilité économique. Dans un contexte marqué par la montée du rançongiciel, des fraudes internes et des mécanismes de blanchiment toujours plus sophistiqués, Roméo Koudou, Associé Risk Advisory chez Deloitte Afrique francophone, analyse les nouveaux équilibres à construire entre sécurité, fluidité des parcours clients et exigences réglementaires. Un échange dense sur les risques invisibles qui accompagnent l'essor fulgurant de la finance numérique africaine.

Comment les cyberattaques et les fraudes dans le secteur financier affectent-ils la confiance dans l'écosystème financier numérique en Côte d'Ivoire et en UEMOA ?

L'écosystème financier numérique en Afrique de l'Ouest s'inscrit dans une dynamique d'industrialisation rapide, tirée par le mobile money, la densification des réseaux d'agents et l'intégration graduelle avec le secteur bancaire. En Afrique subsaharienne, la valeur des transactions mobile money a atteint 912 milliards USD en 2023 (environ +12% sur un an), ce qui traduit le passage d'un service d'inclusion à une véritable infrastructure de paiements à grande échelle. À l'échelle UEMOA, la monnaie électronique a consolidé cette trajectoire avec 209 millions de comptes à fin 2023 (contre 157 millions en 2022, soit +32,74%) et 1 678 067 points de service, tout en contribuant à hauteur d'environ 56% à un taux d'inclusion financière de 72,3%.

Cependant, cette dynamique repose sur un actif intangible, soit la confiance, et des cas comme CinetPay (cyberattaque) et SGCI (fraude interne alléguée) peuvent influencer la perception de fiabilité des parcours de paiement. Dans la zone UEMOA, les conséquences les plus structurantes sont généralement une hausse du coût du risque (remédiation, enquêtes, litiges, assurance), une intensification des exigences de conformité, et une pression accrue sur la résilience opérationnelle des acteurs interconnectés, ce qui peut ralentir l'adoption ou déplacer les volumes de transactions vers des canaux perçus comme plus robustes.

Comment un incident cyber peut-il perturber toute la chaîne de paiement, et quels contrôles de bout en bout limitent l'impact ?

Les tendances de menaces qui pèsent le plus sur l'industrie financière combinent désormais des modes opératoires très industrialisés et des tactiques centrées sur l'humain. Le rançongiciel demeure le vecteur dominant, porté par le modèle Ransomware-as-a-Service (RaaS) qui accélère l'émergence de nouveaux groupes et la fréquence des attaques. En parallèle, l'ingénierie sociale gagne en précision, notamment via des scénarios hybrides (vishing combiné à la compromission de courriels d'affaires) pour voler des identifiants. Cette dynamique est amplifiée par l'usage de l'IA pour produire des campagnes d'hameçonnage plus ciblées, et par l'exploitation d'accès initiaux comme les VPN via identifiants volés, les vulnérabilités, ainsi que les compromissions de tiers et des malwares de type infostealer.

Dans ce contexte, lorsqu'une de ces menaces se matérialise, la chaîne de paiement peut être perturbée de bout en bout, parce qu'elle relie des acteurs et des fonctions très interconnectés (initiation, routage, acquisition, compensation, règlement, tenue de compte). Une compromission, d'un agrégateur, d'une interface API ou d'un poste d'administration peut provoquer une indisponibilité de service, des rejets d'ordres, des décalages de confirmation et des retards de règlement, ce qui se traduit rapidement par des désalignements de liquidité et des litiges entre marchands, établissements gestionnaires de comptes et clients. À l'échelle opérationnelle, un incident devient systémique dès qu'il affecte massivement les volumes, les utilisateurs, ou la sécurité des réseaux et systèmes, et il peut aussi toucher directement les infrastructures de marché et les systèmes de paiement.

Par conséquent, les contrôles efficaces sont ceux qui couvrent la chaîne ‘'de bout en bout'' et qui couvrent la cybersécurité, les risques opérationnels et la conformité dans l'exploitation quotidienne. Sur le plan du cyber, cela passe par un dispositif structuré de gestion des risques et de gestion d'incidents, impliquant des systèmes d'information capables d'assurer la disponibilité, l'intégrité, la confidentialité, l'authenticité, la non-répudiation et la traçabilité des données. En outre, ces systèmes devront disposer de capacité de collecte et de corrélation des journaux d'audit. À cela s'ajoutent des tests réguliers (incluant des tests d'intrusion), des plans de continuité éprouvés, une gouvernance robuste des activités externalisées, ainsi qu'une authentification forte pour réduire le risque d'usurpation.

Sur les aspects de la conformité, la capacité de profilage client, de filtrage en temps réel, de génération d'alertes et d'identification des opérations atypiques permet de limiter la fraude et de soutenir la LBC/FT/FP, avec un encadrement clair des responsabilités, de la formation et des activités d'audit et de suivi. Enfin, sur la dimension ‘'contrôle de bout en bout'', un modèle de contrôles documenté (qui fait quoi, quand et comment) et un monitoring orienté indicateurs assurent la cohérence entre l'appétit au risque, les contrôles clés et la performance opérationnelle.

Comment aligner cybersécurité, contrôle interne et LBC/FT (détection, alertes, enquêtes, déclarations) pour préserver la confiance sans nuire au parcours client ?

L'alignement entre la cybersécurité, le contrôle interne et la lutte contre le blanchiment et le financement du terrorisme (LBC/FT) fonctionne mieux lorsqu'on les pilote comme un seul système de confiance, centré sur l'identité et sur les données de transaction.

Concrètement, cela passe par un dispositif unique : authentification renforcée, parcours de paiement sécurisé et contrôles de bout en bout. La surveillance LBC/FT, en temps réel, s'appuie alors sur les mêmes signaux : profil client, comportements, appareil utilisé, géolocalisation, historique, anomalies. En croisant ces signaux avec ceux de la cybersécurité (ex. compromission, vol d'identifiants, phishing) et ceux de la LBC/FT (ex. filtrage, alertes, opérations inhabituelles), on détecte plus tôt et on traite les alertes dans une logique unifiée.

Côté expérience client, la clé est une authentification et une vigilance “adaptatives” : les contrôles sont progressifs, déclenchés par des seuils clairs selon le niveau de risque, plutôt que d'imposer le même niveau de contrainte à tout le monde.

Notre accompagnement se décline en services très opérationnels qui sécurisent la chaîne de valeur tout en soutenant les obligations réglementaires. En cybersécurité, cela inclut l'évaluation de posture, l'architecture de sécurité et d'identité, les tests (incluant tests d'intrusion), la préparation à la gestion de crise et l'industrialisation de la réponse aux incidents avec des exigences de notification et de rapports, ainsi que l'intégration des journaux et de la traçabilité requise. En risque opérationnel et contrôle interne, on intervient sur la cartographie des processus, la conception et l'efficacité des contrôles, la continuité d'activité, et la gouvernance des tiers et des fonctions critiques, avec des indicateurs de performance et de contrôle utilisables par les lignes de défense. En LBC/FT, l'appui couvre le cadrage des rôles et responsabilités, le paramétrage du profilage et du filtrage en temps réel, l'organisation des enquêtes (gestion de cas), la qualité des dossiers de soupçon et des déclarations, ainsi que la formation et l'audit périodique du dispositif. L'objectif est de rendre les contrôles ‘'invisibles quand tout est normal'' et ‘'très explicites quand le risque augmente'', ce qui préserve la confiance et maintient un parcours client fluide.

Publié le 13/05/26 09:55

Communiqué