Les principaux cyberrisques à connaître

• Hameçonnage (phishing) et ingénierie sociale : premier vecteur d’intrusion, en exploitant la confiance des collaborateurs.
• Rançongiciels : blocage des systèmes contre rançon, avec un impact direct sur la continuité d’activité.
• Fraude au président et usurpation d’identité : ordres de virement frauduleux, de plus en plus convaincants.
• Fuites et vols de données : données clients, données financières, informations stratégiques.
• Dépendance aux prestataires : cloud, éditeurs, sous-traitants, dont la faille devient la vôtre.
• Accès mal gérés : comptes partagés, droits excessifs, départs de collaborateurs non traités.

L’IA : une opportunité et un risque

L’IA transforme à la fois l’attaque et la défense.

Côté menaces, elle permet de produire des courriels frauduleux sans faute, de cloner une voix ou de générer des vidéos truquées (deepfakes) pour valider de faux ordres de paiement. Elle abaisse aussi le niveau de compétence nécessaire pour mener une attaque.

Côté usages internes, de nouveaux risques apparaissent quand les collaborateurs utilisent des outils d’IA générative sans cadre :

• fuite d’informations confidentielles saisies dans des outils publics ;
• décisions fondées sur des résultats erronés ou biaisés ;
• manque de traçabilité et de transparence des algorithmes ;
• non-conformité aux règles de protection des données personnelles.

Côté opportunités, l’IA peut renforcer la détection de fraudes, l’analyse de transactions et les tests d’audit sur de grands volumes de données (data analytics), à condition d’être encadrée.

Un contexte africain à prendre en compte

Plusieurs facteurs rendent ces risques particulièrement sensibles :

1. Des équipes de sécurité souvent restreintes et des budgets contraints.
2. Un usage massif du mobile pour les paiements et les services, avec des risques propres (détournement de SIM, applications frauduleuses).
3. Des cadres de protection des données en construction, avec des niveaux de maturité variables d’un pays à l’autre.
4. Une culture de sensibilisation encore à développer auprès des utilisateurs et des dirigeants.

Le rôle de l’audit interne

L’auditeur interne n’a pas à devenir expert technique, mais il doit savoir poser les bonnes questions et évaluer la gouvernance. Voici une trame d’audit simple :

Gouvernance

• Le Conseil et la Direction ont-ils identifié le risque cyber et le risque IA comme risques majeurs ?
• Existe-t-il une politique de sécurité de l’information et une charte d’usage de l’IA ?

Prévention

• Les accès sont-ils gérés selon le principe du moindre privilège ?
• Les collaborateurs sont-ils sensibilisés régulièrement, avec des tests de phishing ?
• Les prestataires critiques sont-ils évalués ?

Détection et réaction

• Existe-t-il un plan de réponse aux incidents, testé ?
• Les sauvegardes sont-elles isolées et vérifiées ?
• Les incidents sont-ils remontés à la gouvernance ?

IA

• Les cas d’usage de l’IA sont-ils recensés et leurs risques évalués ?
• Les données sensibles sont-elles protégées ?
• Une validation humaine est-elle prévue pour les décisions importantes ?

Les bonnes pratiques à mettre en place dès maintenant

• Cartographier les actifs numériques et les données critiques.
• Imposer une double validation pour tout virement inhabituel, quel que soit l’émetteur de la demande.
• Former régulièrement les équipes aux nouvelles formes de fraude, y compris les deepfakes.
• Encadrer l’usage de l’IA par une charte claire.
• Intégrer le risque cyber et IA dans le plan d’audit fondé sur les risques.

À retenir

Cybersécurité et IA ne sont plus des sujets purement techniques : ce sont des risques de gouvernance. Les auditeurs et contrôleurs internes qui sauront les intégrer à leurs missions deviendront des partenaires incontournables de leurs directions.

Vous voulez monter en compétence sur ces sujets ? Contactez-nous pour découvrir nos programmes de formation en audit interne et gestion des risques.

The post Cybersécurité et IA : les nouveaux risques à auditer dans les organisations africaines appeared first on NAD - Audit et Conseil.

Fraude et blanchiment : deux risques liés

La fraude (détournement d’actifs, corruption, falsification, fraude aux paiements) génère des fonds d’origine illicite. Le blanchiment consiste ensuite à dissimuler cette origine pour réintroduire l’argent dans l’économie légale, selon trois étapes classiques : le placement, l’empilement et l’intégration. Le financement du terrorisme suit une logique inverse : des fonds parfois d’origine licite sont destinés à des fins illicites.

Selon l’ACFE, les organisations perdraient en moyenne environ 5 % de leurs revenus à cause de la fraude. Ce chiffre rappelle l’enjeu : un dispositif défaillant coûte cher, financièrement et en réputation.

Le cadre de référence en Afrique de l’Ouest

Les organisations de la zone doivent articuler plusieurs niveaux d’exigences :

• International : les Recommandations du GAFI, qui consacrent l’approche fondée sur les risques.
• Régional : le GIABA, l’UEMOA et la BCEAO.
• National : la loi LBC/FT du pays, les autorités de contrôle et la CENTIF, cellule de renseignement financier qui reçoit les déclarations de soupçon.

Les sanctions financières ciblées, le gel des avoirs et le suivi des listes de vigilance complètent ce cadre, tout comme les enjeux liés aux évaluations mutuelles et aux pays à risque.

Les 5 piliers d’un dispositif LBC/FT efficace

1. L’évaluation des risques. Clients, produits, canaux de distribution, zones géographiques : chaque organisation doit identifier où elle est la plus exposée.

2. Le KYC et la vigilance continue. Identification et vérification du client, identification du bénéficiaire effectif, détection des personnes politiquement exposées (PPE), classification du risque et mise à jour régulière des dossiers.

3. La surveillance des transactions. Scénarios, seuils et paramètres de détection, qualité des données, traitement des alertes de l’analyse à la clôture, criblage des virements internationaux et suivi des opérations en espèces.

4. La déclaration de soupçon. Qualification du soupçon, décision du référent LBC/FT, respect des délais, confidentialité et suivi de la relation d’affaires après déclaration.

5. La gouvernance et la formation. Implication du Conseil et de la Direction, politiques et procédures, formation du personnel, conservation documentaire et reporting réglementaire.

Ce que l’auditeur interne doit vérifier

Une mission d’audit LBC/FT s’articule autour de quelques questions clés :

• La cartographie des risques BC/FT est-elle à jour et réellement utilisée ?
• Les dossiers clients respectent-ils les exigences d’identification, y compris pour les bénéficiaires effectifs et les PPE ?
• Les alertes sont-elles traitées dans les délais, avec une justification de clôture ?
• Les outils de monitoring reposent-ils sur des données fiables et des seuils pertinents ?
• Les déclarations de soupçon sont-elles complètes, confidentielles et transmises à temps ?

L’auditeur doit aussi tester l’efficacité réelle du dispositif, en cherchant notamment les faux négatifs, c’est-à-dire les opérations suspectes qui n’ont pas été détectées.

Erreurs fréquentes à éviter

• Considérer la LBC/FT comme une simple obligation réglementaire plutôt que comme un outil de gestion du risque.
• Dépendre d’un outil de détection sans en maîtriser les paramètres.
• Laisser le référent LBC/FT sans autorité ni moyens.
• Négliger la formation continue des équipes en contact avec la clientèle.

À retenir

Un dispositif LBC/FT efficace repose sur une compréhension fine des risques, des contrôles proportionnés et une gouvernance engagée. Pour l’auditeur interne, c’est un domaine où la rigueur méthodologique fait toute la différence.

Vous souhaitez approfondir l’audit du dispositif LBC/FT ? Découvrez notre formation en ligne dédiée, en 9 modules, du cadrage de la mission au suivi des recommandations.

The post Fraude et blanchiment de capitaux en Afrique : bâtir un dispositif LBC/FT efficace appeared first on NAD - Audit et Conseil.

Contrôle interne et audit interne : deux rôles distincts

Le contrôle interne est l’ensemble des dispositifs mis en place par le management pour maîtriser ses activités : procédures, séparation des tâches, autorisations, rapprochements, contrôles hiérarchiques. Il fait partie du quotidien des opérations.

L’audit interne, lui, évalue de façon indépendante et objective l’efficacité de ce dispositif, ainsi que celle de la gouvernance et de la gestion des risques. Il ne contrôle pas à la place du management : il donne une assurance au Conseil et à la Direction, et formule des recommandations.

Le modèle des trois lignes de défense

Ce modèle, largement adopté à l’international, clarifie qui fait quoi :

• 1re ligne : les opérationnels et managers. Ils détiennent les risques et mettent en œuvre les contrôles au quotidien.
• 2e ligne : les fonctions de support au pilotage (gestion des risques, conformité, contrôle interne, référent LBC/FT). Elles définissent les cadres, accompagnent la 1re ligne et surveillent le respect des règles.
• 3e ligne : l’audit interne. Elle fournit une assurance indépendante sur l’ensemble du dispositif.

À cela s’ajoutent la gouvernance (Conseil d’administration, Comité d’audit) et les auditeurs externes, qui complètent l’architecture.

Les défis spécifiques des structures africaines

Plusieurs réalités locales pèsent sur la mise en place de ce modèle :

1. Des ressources limitées. Une PME ou une institution de taille moyenne ne peut pas toujours dédier des équipes distinctes à chaque ligne.
2. La concentration du pouvoir. Dans les structures à forte personnalisation de la direction, l’indépendance de l’audit interne est fragile.
3. Le poids de l’informel. Des processus non documentés rendent les contrôles difficiles à tester.
4. Un cadre réglementaire multiple. Les organisations de la zone UEMOA doivent par exemple composer avec les exigences de la BCEAO, de la Commission bancaire et des lois nationales.

Comment structurer son dispositif, étape par étape

1. Cartographier les risques. Identifiez, évaluez et classez les risques majeurs de l’organisation (opérationnels, financiers, fraude, conformité, cyber).

2. Documenter les processus clés. Décaissements, achats, paie, trésorerie, entrée en relation client : commencez par ceux où l’exposition est la plus forte.

3. Clarifier les rôles par écrit. Une charte d’audit interne, validée par le Comité d’audit ou la Direction générale, formalise l’indépendance et le périmètre.

4. Adapter le modèle à votre taille. Dans une petite structure, une même personne peut cumuler des fonctions de 2e ligne, à condition que l’audit interne reste indépendant et rattaché au plus haut niveau.

5. Suivre les recommandations. Un plan d’action sans responsable ni échéance reste lettre morte. Instaurez un suivi trimestriel présenté à la gouvernance.

Se former pour monter en compétence

Les nouvelles Normes mondiales d’audit interne de l’IIA renforcent l’exigence de gouvernance, d’indépendance et de communication avec le Conseil. Pour les auditeurs et contrôleurs internes, c’est l’occasion de consolider leur expertise, notamment par la certification CIA.

À retenir

Le contrôle interne protège l’activité, l’audit interne évalue ce dispositif. Distinguer clairement ces deux rôles, et les faire dialoguer, est l’un des leviers les plus efficaces pour renforcer la gouvernance de votre organisation.

Besoin d’accompagner votre équipe sur ces sujets ? Découvrez nos formations en audit interne et gestion des risques.

The post Audit interne et contrôle interne en Afrique : structurer les 3 lignes de défense appeared first on NAD - Audit et Conseil.