Contexte, réglementation et périmètre (clause 4)
Bonne lecture et bon apprentissage ! Junior TSAFACK – 19/10/2026 ⏱️ Temps de lecture estimé : 12 minutes
La clause 4 pose les fondations : où sommes-nous, pour qui travaillons-nous, et que couvre le SMSI ? Un auditeur de certification commence presque toujours par là. Un périmètre flou ou des parties intéressées oubliées fragilisent tout le reste.
4.1 — Les enjeux internes et externes
Section titled “4.1 — Les enjeux internes et externes”Outil classique : une analyse PESTEL pour l’externe, une analyse des forces et faiblesses pour l’interne.
| Type | Enjeu pour KamaPay | Effet sur la sécurité |
|---|---|---|
| Politique / légal | Renforcement de la supervision des établissements de paiement par le régulateur régional | Exigences de contrôle interne et de reporting accrues |
| Économique | Concurrence forte avec d’autres wallets et les banques | Pression sur les délais de mise en marché des nouveaux services |
| Social | Clientèle large, peu familière des risques numériques | Fraude par ingénierie sociale fréquente |
| Technologique | Ouverture d’API aux marchands et fintechs, migration partielle vers le cloud | Surface d’attaque étendue, dépendance aux fournisseurs |
| Environnemental | Coupures d’électricité, inondations saisonnières à Douala | Besoin de résilience des centres de données et des agents |
| Interne — force | Soutien de la maison mère, SOC existant | Ressources et méthodes disponibles |
| Interne — faiblesse | Processus non formalisés, forte dépendance à quelques experts | Risque de « personne clé », preuves d’audit difficiles à produire |
4.2 — Les parties intéressées et leurs exigences
Section titled “4.2 — Les parties intéressées et leurs exigences”| Partie intéressée | Ses attentes | Exigences pertinentes pour le SMSI |
|---|---|---|
| Régulateur bancaire et monétaire (banque centrale et commission bancaire régionales) | Sécurité des fonds, continuité, protection des clients, lutte anti-blanchiment | Textes sur les services de paiement, exigences de contrôle interne, déclarations d’incidents, inspections |
| Maison mère (groupe TelCam) | Conformité aux standards du groupe, maîtrise du risque de réputation | Politique sécurité groupe, contrôles SOX, audits internes du groupe |
| Banques partenaires | Intégrité des opérations sur les comptes de cantonnement | Clauses contractuelles de sécurité, rapports d’assurance (ex. ISAE 3402) |
| Clients | Disponibilité, protection contre la fraude, confidentialité | Protection des données personnelles, information en cas de violation |
| Agents | Outil disponible, rémunération fiable, protection contre les fraudes qui les ciblent | Sécurité de l’application agent, sensibilisation |
| Marchands et fintechs | API stables et sûres | Sécurité des API, contrats, éventuellement PCI DSS si des cartes sont impliquées |
| Opérateur télécom (fournisseur réseau) | Bon usage du réseau USSD/SMS | Accords de niveau de service, procédures de SIM swap sécurisées |
| Salariés | Cadre de travail clair | Charte informatique, formation |
| Autorité de protection des données / agence nationale de cybersécurité | Respect de la loi | Obligations légales nationales (voir ci-dessous) |
| Commissaires aux comptes, auditeurs | Preuves fiables | Contrôles généraux informatiques documentés |
Le cadre réglementaire d’un établissement de paiement en zone CEMAC
Section titled “Le cadre réglementaire d’un établissement de paiement en zone CEMAC”⚠️ Avertissement. Ce tableau donne une cartographie de départ pour un exercice pédagogique. Les références et leurs textes d’application évoluent : toute démarche réelle doit être validée avec la direction de la conformité, le service juridique et les publications officielles du régulateur.
| Domaine | Textes et référentiels à recenser | Ce qu’ils impliquent pour le SMSI |
|---|---|---|
| Services de paiement | Réglementation CEMAC relative aux services de paiement (règlement de 2018 et instructions de la BEAC / COBAC) | Agrément, contrôle interne, gestion des risques opérationnels, protection des fonds, continuité |
| Lutte contre le blanchiment (LBC/FT) | Réglementation CEMAC LBC/FT, travaux du GABAC | Connaissance client (KYC), surveillance des transactions, conservation des données |
| Cybersécurité (Cameroun) | Loi n° 2010/012 relative à la cybersécurité et à la cybercriminalité ; rôle de l’ANTIC | Audits de sécurité, obligations des opérateurs, coopération en cas d’incident |
| Communications électroniques (Cameroun) | Loi n° 2010/013 régissant les communications électroniques | Relations avec l’opérateur, identification des abonnés |
| Données personnelles (Cameroun) | Loi récente relative à la protection des données à caractère personnel et ses textes d’application | Bases légales, droits des personnes, sécurité, notification des violations |
| Données personnelles (UE) | RGPD, si des résidents de l’UE sont concernés (diaspora, partenaires) | Idem, avec notification sous 72 h |
| Groupe coté | SOX (contrôles internes sur l’information financière), référentiel COBIT utilisé par le groupe | Contrôles généraux informatiques : accès, changements, exploitation |
| Sous-traitance | Rapports ISAE 3402 / SOC 1 et SOC 2 des prestataires | Preuves de maîtrise des fournisseurs critiques |
| Cartes (si carte prépayée ou virtuelle) | PCI DSS v4 | Protection des données de carte |
| Télécoms | Spécifications 3GPP et recommandations de l’association GSMA | Sécurité de la signalisation, de l’USSD et des SMS utilisés pour l’authentification |
💡 Ce recensement alimente directement le contrôle A.5.31 — Exigences légales, statutaires, réglementaires et contractuelles. Tenez-le sous forme de registre de conformité : texte, exigence, propriétaire, contrôle associé, preuve, date de revue.
Extrait du registre de conformité
Section titled “Extrait du registre de conformité”| Réf. | Source | Exigence (résumé) | Propriétaire | Contrôle(s) SMSI | Preuve |
|---|---|---|---|---|---|
| REG-01 | Régulateur — services de paiement | Disposer d’un plan de continuité testé | Directeur des opérations | A.5.29, A.5.30 | Rapport de test annuel |
| REG-02 | Régulateur — services de paiement | Déclarer les incidents opérationnels majeurs | RSSI | A.5.24 à A.5.26 | Registre des incidents, accusés de réception |
| REG-03 | LBC/FT | Conserver les données KYC et de transaction pendant la durée légale | Directeur conformité | A.5.33, A.8.13 | Politique de conservation, tests de restauration |
| REG-04 | Loi données personnelles | Sécuriser les données et notifier les violations | DPO | A.5.34, A.5.24 | Registre des traitements, procédure de violation |
| GRP-01 | Groupe — SOX | Revue trimestrielle des accès aux applications financières | DSI | A.5.18, A.8.2 | Comptes rendus de revue signés |
| CTR-01 | Contrat banque partenaire | Notifier tout incident touchant les comptes de cantonnement sous 24 h | RSSI | A.5.20, A.5.24 | Main courante, courrier de notification |
4.3 — Le périmètre du SMSI
Section titled “4.3 — Le périmètre du SMSI”Le périmètre doit être précis, justifié et vérifiable. Trop large, le projet s’enlise ; trop étroit, la certification n’a pas de valeur pour le régulateur.
Les choix de KamaPay
Section titled “Les choix de KamaPay”| Inclus | Exclu (et pourquoi) |
|---|---|
| Plateforme de paiement mobile, passerelles USSD/app/API | Réseau radio de l’opérateur TelCam : géré par la maison mère, couvert par son propre SMSI → interface décrite et encadrée par contrat |
| Back-office, KYC, anti-fraude, LBC/FT | Applications RH et paie : hébergées par le groupe, faible lien avec le service de paiement → candidat pour la phase 2 |
| Centres de données de Douala et Yaoundé | |
| Sièges et agences en propre | Points de vente des agents : non maîtrisés physiquement → couverts par les contrôles fournisseurs et la sensibilisation |
| Processus de gestion des agents et des marchands | |
| Fournisseurs critiques (hébergeur cloud, éditeur de la plateforme, banques partenaires) |
La déclaration de périmètre
Section titled “La déclaration de périmètre”PÉRIMÈTRE DU SMSI — KamaPay SA — version 1.0──────────────────────────────────────────────────────────────Le SMSI couvre la conception, l'exploitation et le support desservices de paiement mobile de KamaPay SA (portefeuille électronique,transferts, paiement marchand, paiement de factures, interfacesbancaires), fournis aux clients, agents et marchands via les canauxUSSD, application mobile et API.
Il inclut les systèmes d'information, les personnes et les sitessuivants : siège de Douala, centre de données principal (Douala),site de secours (Yaoundé), ainsi que la gestion des fournisseurscritiques.
Interfaces : réseau de l'opérateur TelCam (contrat et SLA),systèmes des banques partenaires (convention de cantonnement),SI RH du groupe (hors périmètre).
Déclaration d'applicabilité associée : SoA v1.0 du JJ/MM/AAAA.──────────────────────────────────────────────────────────────Points de vigilance de l’auditeur
Section titled “Points de vigilance de l’auditeur”- Le périmètre est-il cohérent avec ce que le site web et les contrats annoncent ?
- Les interfaces avec ce qui est exclu sont-elles identifiées et maîtrisées ?
- Chaque exigence du registre de conformité a-t-elle un propriétaire et une preuve ?
- Le contexte est-il revu (au moins une fois par an, en revue de direction) ?
Prochaine étape : Leadership et gouvernance →