Sécurité informatique : BMCI partage son expérience

Le risque zéro n’existe pas, même dans le domaine informatique. Eu égard au volume de clients et partenaires dont dispose un organisme bancaire, un bug informatique peut avoir de lourdes répercussions. Et même si les institutions bancaires accordent un grand intérêt à la sécurisation de leurs systèmes IT, des anomalies peuvent survenir. Comment les gèrent-elles ? Quels recours pour les clients ? Des experts expliquent et la BMCI partage son expérience…

La digitalisation des métiers de la banque est aujourd’hui une évolution nécessaire et logique. Cependant, même si elle comporte de grandes opportunités, aussi bien pour les banques, que pour les clients, cette transformation comporte des risques inhérents au traitement de l’information bancaire par les systèmes informatiques que sont le «bug informatique», les diverses formes de piratage, l’hameçonnage, le phishing, les fraudes à la carte bancaire et les diffusions non autorisées d’informations ou de données personnelles. Récemment, d’ailleurs, les réseaux sociaux se sont faits l’écho de certaines anomalies informatiques survenues chez des banques de la place. Parmi elles, la BMCI a bien accepté de détailler, sans langue de bois, aux Inspirations ÉCO, les raisons des anomalies détectées sur son système.

BMCI commente  son expérience
En pleine révolution digitale du secteur, la récente perturbation détectée dans le système bancaire de la BMCI a montré, entre août et septembre, l’importance du volet lié à la gestion de l’IT d’une banque, et surtout la complexité de la migration de système d’information. La banque a dû déplorer, fin août dernier, que nombre de ses clients ont rencontré un accès limité aux comptes et aux services dédiés. «Dans le cadre de la modernisation et de la digitalisation de nos activités, nous avons mis en service fin août un nouveau système d’information. Suite à cela, des services bancaires ont connu des perturbations ainsi que des retards au niveau de certains traitements.

Ils sont aujourd’hui en bonne voie de résolution. La sécurisation absolue et la protection des données bancaires de nos clients, qui demeurent nos priorités inconditionnelles, ont toujours été parfaitement assurées», explique le management de la BMCI. Le bug ou la panne informatique, que la banque a qualifié elle-même dans ce cas particulier, de perturbations touchant l’accessibilité de certains de ses services, dont des retards de virements, dus à l’achèvement fin août de la dernière étape de la refonte complète de son système d’information, a pu finalement être traité. Pour ce qui est de l’interruption de service, qui, selon Omar Tahiri, expert en Systèmes d’information et gouvernance IT, Partner WePartner Consulting, «est d’ailleurs quasiment maîtrisé dans sa globalité», le sujet est un peu plus complexe.

Selon lui, le système d’information est un aspect crucial pour toute banque, «précisément un Core banking system (CBS), qui n’est rien d’autre que le cœur de la banque. C’est le cerveau central qui est interfacé avec plusieurs systèmes opérants dont certains sont internes à la banque et d’autres externes, comme par exemple le GSIMT pour les compensations interbancaires, le switch national interbancaire pour les opérations monétiques, etc». Notre expert assure que dans de tels projets, il y a des mesures très strictes de test puis des phases de déploiement limitées dans ce qu’on appelle des environnements pilotes afin de s’assurer que tout fonctionne correctement avant d’homologuer les systèmes, puis de procéder au déploiement généralisé. «Ceci dit, ajoute-t-il, la phase de migration généralisée apporte toujours son lot de surprise, un déploiement étant en quelque sorte un pilote à taille réelle.

À ce niveau-là, les systèmes sont mis à rude épreuve que ce soit concernant le nombre de transactions qui explose et qui peut impacter les performances systèmes, mais aussi l’identification de nouvelles anomalies ou des cas spécifiques non identifiés durant la phase de test et de pilote». Et d’ajouter : «Il ne s’agit là que d’un processus normal dans le cadre d’un projet de migration, il est vrai qu’en général les clients le ressentent rarement, mais sachez qu’il y a tous les jours des anomalies identifiées et des corrections qui sont mises en place». Omar Tahiri rappelle, en outre, que la BMCI par exemple «est dans la phase de stabilisation de son nouveau SI qui va apporter certainement à la fois plus de facilité dans la gestion opérationnelle interne de la banque, mais certainement son lot de nouveautés pour les clients avec des temps d’attente moins lents, un accès à l’information quasiment instantané avec la sortie des produits digitaux et encore plus de sécurité pour les données des clients».

C’est pourquoi, notre expert admet certes que des clients ont eu à subir les retombées de ces bugs, «mais une migration n’est jamais simple d’où la nécessité de maîtriser la phase pilote». Il insiste, par ailleurs, que les cas de bugs similaires à celui constaté chez la BMCI n’impacte en aucun cas la sécurité des données bancaires, «les dispositifs de sécurité mis en place sont très élevés. À ce niveau-là, les clients de la banque n’ont aucun souci à se faire».

Voies de recours ?
Difficultés de paiement, impossibilité de réaliser des transactions, pénalités à payer pour paiement tardif, …Les conséquences sont connues pour la clientèle. Mais qu’en est-il des conséquences pour la banque ? Dans le cas de la BMCI, qui a accepté de nous faire part des «coulisses» de sa migration informatique, la banque regrette vivement les retards causés et son management assure qu’il tient à présenter ses excuses aux personnes touchées par ces perturbations.

«Toutes les forces vives de la BMCI se sont mobilisées en vue de rétablir totalement la situation dans les plus brefs délais», nous affirme-t-on auprès du management. Dans des situations similaires, l’on interroge souvent le cadre juridique pour voir de quels recours les clients impactés disposent-ils. «Les clients ayant subi des préjudices dus à ce dysfonctionnement informatique, par exemple, le client qui n’a pas pu alimenter son compte à découvert à temps pour éviter les agios, celui dont les loyers ou redevances mensuels n’ont pas pu être virés, ou encore celui dont le solde bancaire a été changé une fois reconnecté, disposent d’une action en responsabilité contre la banque.

C’est une responsabilité civile (RC) et contractuelle au cas où l’on arrive à prouver, d’abord, les trois éléments constitutifs de la RC: la faute, le dommage et le lien de causalité entre les deux, mais aussi que le banquier a fait preuve d’une méconnaissance grave d’une disposition législative ou d’une norme professionnelle», explique Me Abdelatif Laamrani, avocat aux Barreaux de Paris, Casablanca et Montréal, et Docteur en Droit.

Abdelatif Laamrani
Avocat aux Barreaux de Paris, Casablanca et Montréal

«Il faut toujours privilégier la voie amiable»

Quels conseils donneriez-vous aux clients ?
«Comme une mauvaise transaction vaut mieux qu’un bon procès, il faut toujours privilégier la voie amiable. Puisque avant de s’adresser aux tribunaux, les clients impactés gagneraient à déposer leurs réclamations écrites moyennant accusé de réception en suivant le dispositif institutionnel des réclamations mis en place par Bank Al-Maghrib. Tout d’abord en s’adressant à leur établissement de crédit, qui dispose de 40 jours pour l’envoi d’une réponse, à défaut de laquelle ils doivent adresser leur réclamation au Centre marocain de médiation bancaire (CMMB), via son site web (www.cmmb.ma) ou à son adresse postale ou la déposer en mains propres contre accusé de réception. Le CMMB dispose de 30 jours pour émettre un avis. Après épuisement de ces voies de recours institutionnels, le client peut saisir Bank Al-Maghrib à travers un formulaire à renseigner disponible sur son site web».

Modeste Kouamé / Les Inspirations ÉCO