Les banques africaines font le bilan de la crise

Quel était le niveau de préparation à la crise des banques africaines ? Quelles stratégies ont-elles déployées pour la combattre ? Comment préparent-elles l’après-crise ? À toutes ces questions et d’autres, a tenté de répondre l’enquête du spécialiste mondiale de la cybersécurité Dataprotect. Intitulée «Les banques africaines font le bilan de la crise», l’étude, publiée dans un livre blanc, a été effectuée auprès d’une centaine de banques représentant 35 pays. Les répondants étaient en majorité des directeurs des systèmes d’information (DSI), parfois des responsables de la sécurité des systèmes d’information (RSSI) ou des directeurs des ressources humaines. Elle a été effectuée par envoi de questionnaires en ligne et suivi téléphonique entre août et décembre 2020, alors que la première vague de Covid-19 était achevée et que la deuxième commençait à peine.

La totalité des services assurés pendant la crise
Si une minorité de 40% des banques dit avoir été préparée à une crise de grande envergure, au moment où la crise éclate, plus des deux tiers des banques avaient déjà effectué une étude d’impact ou Business Impact Analysis (BIA). De même, 67% des banques interrogées étaient dotées d’un plan de continuité de l’activité (PCA). Toutefois, peu de banques avaient prévu une situation sanitaire d’une telle ampleur dans leur stratégie de gestion de crise.
Une nouvelle rassurante pour le secteur financier africain : 100% des banques sont restées ouvertes pendant toute la durée de la crise de la Covid-19 et la plupart a assuré la totalité des services. «Cela ne signifie pas que la crise a épargné le secteur bancaire africain, au contraire. Les banques ont encouru de lourdes pertes, mais elles ont déployé des trésors d’ingéniosité et de résilience», commente 
Ali El-Azzouzi, directeur général de Dataprotect.
Derrière l’exploit se cache une réalité «contrastée». Les banques africaines dans leur quasi-totalité misent sur leur programme de Continuité des activités (PCA) pour affronter les situations de crise, mais celui-ci est souvent incomplet, soit environ chez 30% des banques, ou s’il est complet, il n’est pas régulièrement testé (46% des banques) et ne couvrait pas toujours les crises sanitaires (69% des banques). «Cela signifie que la grande majorité des banques a été surprise par la pandémie de la Covid-19».

Télétravail : un outil de crise seulement ?
Bien entendu, chaque pays a abordé la crise avec une stratégie spécifique. Si les pays d’Afrique du Nord ont adopté le confinement, il en va différemment pour le reste du continent où bien des pays ont préféré recourir au couvre-feu, parfois assorti d’un cordon sanitaire autour des grandes villes.
Selon le document, le télétravail a ainsi été adopté sous une forme ou une autre par 80% des banques pour assurer une continuité d’activité, alors qu’il était généralement ignoré avant la crise. Une majorité des banques l’a même adopté sous forme intense, où plus de la moitié des employés travaillaient depuis leur domicile. Ceci a posé un défi de taille, relatif notamment aux types de mesures sécuritaires adoptées par les banques africaines.
«Pourtant, le télétravail n’allait pas de soi en Afrique où ne préexistait aucune tradition de travail à domicile et où les contraintes matérielles sont nombreuses : ordinateurs portables en rupture de stock, connectivité Internet défaillante, maison non conçue pour les activités professionnelles, entre autres», est-il relevé.
En clair, si le bilan global du télétravail est positif, la plupart des banques le considèrent comme un outil à utiliser en cas de crise, non comme un mode de fonctionnement en temps ordinaire.

L’heure est à la digitalisation
Sans surprise, plus des trois quarts des banques prévoient une reprise lente vers la fin de 2021. Certains font même mention d’un horizon de trois à cinq ans. La solution à la crise viendra bien entendu de la vaccination de masse. «Par contre, quand un peu moins de la moitié des banques affirme s’apprêter à réviser sa stratégie globale de continuité des activités, nous y voyons une anomalie. Après une crise de l’ampleur de celle de la Covid-19, il faut prévoir que la totalité du secteur bancaire sera amenée à bonifier son PCA», estime l’étude. Selon celle-ci, la vague de digitalisation qui est annoncée devrait d’ailleurs renforcer ce besoin de mise à jour. De même, la faiblesse des projets de cybersécurité devra impérieusement être revue à la hausse. «La digitalisation des processus d’affaires va de pair avec le renforcement des mesures de cybersécurité».
En tout cas, 48% des banques disent vouloir réviser leur stratégie de continuité des activités. «Ce taux semble exagérément conservateur».
Concernant les grandes priorités technologiques après la crise du coronavirus, 68% des répondants ont des projets de digitalisation. Sur le volet de la cybersécurité, un tiers seulement des banques prévoit mettre en œuvre un programme de cybersécurité. «Avec l’établissement du confinement, nous avons été contactés par des institutions bancaires qui voulaient sécuriser leurs systèmes d’information dans le cadre de l’ouverture au télétravail. Elles avaient des accès VPN et elles se posaient des questions, car elles étaient obligées d’ouvrir leurs flux de données vers l’externe. Pour les banques, il s’agissait d’un saut dans l’inconnu qui allait à l’encontre de toutes les bonnes pratiques traditionnelles. Les banques souhaitaient que nous examinions leur flux de données pour exercer un contrôle étroit sur tout ce qui se passait. Pour nous, cela signifiait qu’il fallait faire de la supervision en temps réel, 
24 h/7 j de tout ce qui est accès distant, généralement sur VPN. Nous disposons pour cela d’un SOC (Security Operations Center) qui a précisément pour fonction d’exercer une surveillance sur un périmètre déterminé et un suivi des incidents de bout en bout», ajoute El Azzouzi, qui est également fondateur de Dataprotect depuis 2009.
L’entreprise revendique actuellement son statut d’acteur de référence au niveau régional dans l’écosystème de la cybersécurité, disposant d’une équipe de plus de 150 consultants multidisciplinaires, dont 110 Full Security. Avec 80% de son chiffre d’affaires réalisé à l’étranger, Dataprotect opère dans plus de 40 pays, avec plus de 500 clients, dont une centaine de banques, en Afrique, en Europe, au Moyen-Orient et en Asie Pacifique.