Continuité chez les prestataires critiques : ce que la vacance de direction au GIM-UEMOA doit faire vérifier aux banques

Ce qui vient de se passer

Le 12 août 2026, Financial Afrik révélait qu'Ahmed Al Moustapha Cissé, directeur général adjoint du GIM-UEMOA depuis janvier 2026, assurait désormais l'intérim à la direction générale de l'institution, dans l'attente d'une nomination définitive. Le GIM-UEMOA — Groupement Interbancaire Monétique de l'UEMOA, créé en 2003 à l'initiative de la BCEAO et des banques de la région — est l'opérateur du switch monétique interbancaire régional : l'infrastructure technique par laquelle transitent les opérations de paiement par carte entre banques et établissements de monnaie électronique (EME) de l'ensemble de l'Union.

Pourquoi la gouvernance d'un prestataire technique regarde votre RCCI

Un changement de direction chez un fournisseur n'est pas en soi un événement de risque opérationnel. Ce qui en fait un sujet de conformité, c'est la nature du prestataire : le GIM-UEMOA n'est pas un choix contractuel parmi plusieurs offres concurrentes que votre établissement aurait sélectionné après appel d'offres — c'est une infrastructure sectorielle mutualisée à laquelle la quasi-totalité des acteurs monétique de l'Union est structurellement rattachée. Il n'existe pas, à court terme, de fournisseur alternatif vers lequel basculer en cas d'incident prolongé.

Cette situation de dépendance à un prestataire unique et non substituable est précisément le scénario que le dispositif de gestion des risques liés aux tiers (souvent désigné par l'acronyme anglo-saxon TPRM) est censé couvrir : identifier les prestataires dont la défaillance mettrait en péril la continuité de service de l'établissement, et vérifier que cette dépendance est documentée, testée et suivie au niveau approprié de gouvernance interne — et non simplement déléguée de fait au bon fonctionnement supposé du prestataire.

Ce que le corpus prudentiel BCEAO exige déjà

Le sujet n'est pas nouveau pour la réglementation bancaire de l'UMOA — il est déjà couvert par des textes en vigueur, à deux niveaux selon le statut de l'établissement.

Pour les banques et compagnies financières, la Circulaire BCEAO n°03-2017/CB/C relative au contrôle interne des établissements de crédit et des compagnies financières de l'UMOA pose, en son article 41, que la fonction d'audit interne doit procéder à des vérifications périodiques du plan de continuité d'activité (PCA) — et que ces vérifications doivent couvrir non seulement les tests réalisés par l'établissement lui-même, mais également ceux effectués par les prestataires en charge des activités externalisées. Un switch monétique mutualisé comme le GIM-UEMOA entre pleinement dans ce périmètre : votre fonction d'audit interne doit être en mesure de documenter que la continuité du prestataire a été testée, pas seulement supposée.

Complémentairement, la Circulaire BCEAO n°04-2017/CB/C relative à la gestion des risques dans les établissements de crédit et compagnies financières de l'UMOA pose, en son article 38, un principe qui vaut au-delà du seul cas d'externalisation intragroupe qu'il vise explicitement : l'établissement reste seul comptable, devant la Commission Bancaire de l'UMOA, de l'efficacité et de la conformité de ses fonctions de contrôle — y compris lorsque tout ou partie de l'activité concernée repose sur un tiers. Le principe constant qui traverse ces deux textes : l'externalisation ne transfère jamais la responsabilité.

Pour les établissements de monnaie électronique, l'Instruction BCEAO n°008-05-2015 régissant les conditions et modalités d'exercice des activités des émetteurs de monnaie électronique dans les États membres de l'UMOA impose des obligations parallèles : lorsque l'émetteur externalise son système technique, il doit s'assurer que le prestataire technique répond aux conditions requises et disposer des moyens de contrôler son activité ; une copie de la convention conclue avec ce prestataire doit être transmise à la BCEAO ; et l'externalisation ne doit pas altérer la qualité ni l'étendue des contrôles prévus par l'instruction — l'émetteur demeurant responsable de la conformité du système externalisé (article 37).

Ce que "prestataire critique mutualisé" change concrètement

La particularité du GIM-UEMOA renforce, plutôt qu'elle n'allège, l'exigence de vigilance. Pour un prestataire classique, un incident de gouvernance peut se traduire, en dernier recours, par un changement de fournisseur. Pour une infrastructure sectorielle unique, cette option n'existe pas à court terme — ce qui déplace tout le poids de la maîtrise du risque vers la préparation en amont : plan de repli documenté, procédures en mode dégradé, et connaissance précise, au niveau du comité des risques, du degré de dépendance réel de l'établissement à cette infrastructure.

Checklist opérationnelle

• Le contrat ou la convention avec le GIM-UEMOA figure-t-il explicitement dans le périmètre documenté de votre PCA ?
• Disposez-vous d'un plan de repli formalisé en cas d'indisponibilité prolongée du switch (mode dégradé, procédures manuelles, délais de reprise estimés) ?
• Les derniers tests de continuité menés par votre établissement ont-ils couvert un scénario d'indisponibilité du prestataire technique mutualisé, et pas seulement une panne d'origine interne ?
• La fonction d'audit interne a-t-elle vérifié, au cours des douze derniers mois, les tests de continuité réalisés par le GIM-UEMOA lui-même, conformément à l'article 41 de la circulaire n°03-2017/CB/C ?
• Pour les EME : la convention avec le prestataire technique a-t-elle bien été transmise à la BCEAO, comme l'exige l'instruction n°008-05-2015 ?
• Le comité des risques ou le conseil d'administration a-t-il été informé du niveau de dépendance de l'établissement à cette infrastructure unique ?

Aucune de ces vérifications n'est nouvelle. Ce que l'intérim au GIM-UEMOA offre, c'est une fenêtre naturelle — et défendable devant un superviseur — pour les mener à jour.