Les principaux cyberrisques à connaître

• Hameçonnage (phishing) et ingénierie sociale : premier vecteur d’intrusion, en exploitant la confiance des collaborateurs.
• Rançongiciels : blocage des systèmes contre rançon, avec un impact direct sur la continuité d’activité.
• Fraude au président et usurpation d’identité : ordres de virement frauduleux, de plus en plus convaincants.
• Fuites et vols de données : données clients, données financières, informations stratégiques.
• Dépendance aux prestataires : cloud, éditeurs, sous-traitants, dont la faille devient la vôtre.
• Accès mal gérés : comptes partagés, droits excessifs, départs de collaborateurs non traités.

L’IA : une opportunité et un risque

L’IA transforme à la fois l’attaque et la défense.

Côté menaces, elle permet de produire des courriels frauduleux sans faute, de cloner une voix ou de générer des vidéos truquées (deepfakes) pour valider de faux ordres de paiement. Elle abaisse aussi le niveau de compétence nécessaire pour mener une attaque.

Côté usages internes, de nouveaux risques apparaissent quand les collaborateurs utilisent des outils d’IA générative sans cadre :

• fuite d’informations confidentielles saisies dans des outils publics ;
• décisions fondées sur des résultats erronés ou biaisés ;
• manque de traçabilité et de transparence des algorithmes ;
• non-conformité aux règles de protection des données personnelles.

Côté opportunités, l’IA peut renforcer la détection de fraudes, l’analyse de transactions et les tests d’audit sur de grands volumes de données (data analytics), à condition d’être encadrée.

Un contexte africain à prendre en compte

Plusieurs facteurs rendent ces risques particulièrement sensibles :

1. Des équipes de sécurité souvent restreintes et des budgets contraints.
2. Un usage massif du mobile pour les paiements et les services, avec des risques propres (détournement de SIM, applications frauduleuses).
3. Des cadres de protection des données en construction, avec des niveaux de maturité variables d’un pays à l’autre.
4. Une culture de sensibilisation encore à développer auprès des utilisateurs et des dirigeants.

Le rôle de l’audit interne

L’auditeur interne n’a pas à devenir expert technique, mais il doit savoir poser les bonnes questions et évaluer la gouvernance. Voici une trame d’audit simple :

Gouvernance

• Le Conseil et la Direction ont-ils identifié le risque cyber et le risque IA comme risques majeurs ?
• Existe-t-il une politique de sécurité de l’information et une charte d’usage de l’IA ?

Prévention

• Les accès sont-ils gérés selon le principe du moindre privilège ?
• Les collaborateurs sont-ils sensibilisés régulièrement, avec des tests de phishing ?
• Les prestataires critiques sont-ils évalués ?

Détection et réaction

• Existe-t-il un plan de réponse aux incidents, testé ?
• Les sauvegardes sont-elles isolées et vérifiées ?
• Les incidents sont-ils remontés à la gouvernance ?

IA

• Les cas d’usage de l’IA sont-ils recensés et leurs risques évalués ?
• Les données sensibles sont-elles protégées ?
• Une validation humaine est-elle prévue pour les décisions importantes ?

Les bonnes pratiques à mettre en place dès maintenant

• Cartographier les actifs numériques et les données critiques.
• Imposer une double validation pour tout virement inhabituel, quel que soit l’émetteur de la demande.
• Former régulièrement les équipes aux nouvelles formes de fraude, y compris les deepfakes.
• Encadrer l’usage de l’IA par une charte claire.
• Intégrer le risque cyber et IA dans le plan d’audit fondé sur les risques.

À retenir

Cybersécurité et IA ne sont plus des sujets purement techniques : ce sont des risques de gouvernance. Les auditeurs et contrôleurs internes qui sauront les intégrer à leurs missions deviendront des partenaires incontournables de leurs directions.

Vous voulez monter en compétence sur ces sujets ? Contactez-nous pour découvrir nos programmes de formation en audit interne et gestion des risques.

The post Cybersécurité et IA : les nouveaux risques à auditer dans les organisations africaines appeared first on NAD - Audit et Conseil.