Au moment où les banques publiques tunisiennes sont appelées à porter le choc d’inclusion financière du Plan 2026–2030, la pertinence de leur gouvernance interne devient un sujet majeur. Confier la Direction centrale d’Audit et d’Inspection à une vision exclusivement comptable tout en laissant vacante la compétence sur les systèmes d’information interroge. Simple réflexe de conformité, gestion RH de compromis ou angles morts assumés ? Il appartient aujourd’hui aux Conseils d’administration et aux Directions générales d’apporter la preuve que leur architecture de contrôle est conçue pour piloter le risque réel, et non pour se rassurer à bon compte.
La conformité comptable : une ligne de défense indispensable mais incomplète
L’histoire du secteur bancaire public a forgé une culture d’inspection profondément ancrée dans l’orthodoxie comptable et la vérification documentaire. Face aux exigences d’alignement des bilans et à la supervision rigoureuse des organes de contrôle de l’État, s’appuyer sur la rigueur d’experts du chiffre répond à un besoin légitime : assurer la régularité des états financiers et le respect du plan comptable bancaire. Cette rigueur ex-post est incontestable. Mais elle ne couvre qu’une fraction du périmètre.
L’audit bancaire contemporain ne peut plus se réduire à la vérification de la régularité des écritures. Il doit auditer la solidité des modèles d’octroi de crédit, la pertinence des algorithmes de scoring, la dynamique d’équilibrage actif-passif et la cartographie prospective des risques. Un pôle d’inspection qui cantonnerait son regard à la seule régularité comptable s’exposerait à manquer la formation même des risques émergents.
L’illusion du contrôle face à la « boîte noire » informatique
Dans les grandes banques universelles, la quasi-totalité de la valeur et du risque traverse désormais des architectures technologiques denses : Core Banking, plateformes de compensation, moteurs de décision d’octroi et systèmes de reporting réglementaire.
Dès lors, le risque systémique n’est plus seulement l’erreur de caisse ou la pièce manquante. Il réside dans la défaillance d’interfaçage, la vulnérabilité cyber, la corruption de la donnée ou le biais d’un algorithme.
Lorsqu’une Direction Centrale d’Audit et d’Inspection se trouve dépourvue de spécialistes en audit des systèmes d’information, ou que la cellule dédiée y demeure inoccupée, une asymétrie critique s’installe. Le contrôleur le plus chevronné devient incapable de challenger la réalité de la « boîte noire » numérique. L’inspection produit des rapports rassurants, conformes aux exigences de forme, tout en laissant hors du champ de vision la santé réelle de l’infrastructure technologique.
Arbitrage stratégique, biais RH ou compromis d’influence ?
Face à un tel décalage, la question s’adresse directement aux organes de gouvernance. Les Conseils d’administration et les directions générales ne peuvent ignorer les sous-jacents politiques et organisationnels que traduit la composition de leur haut contrôle interne.
S’agit-il d’une méconnaissance de la mutation du risque bancaire, réduisant encore l’audit à la vérification des registres ? S’agit-il d’une préférence pour une inspection de confort, évitant de bousculer la gouvernance des données et les choix technologiques de l’établissement ?
Ou doit-on y voir la résurgence d’une ingénierie RH traditionnelle, où la désignation aux fonctions de décision répond d’abord à des logiques de parcours individuel, de gestion des équilibres sociaux internes et de dosage des influences au sein de la banque ?
Traiter la direction du contrôle interne comme un poste d’ajustement de carrière ou une zone de compromis managérial constitue une erreur de gouvernance majeure. Lorsqu’il s’agit d’une banque publique, le coût de ces arbitrages de convenance finit toujours par se traduire en vulnérabilité prudentielle ou en perte d’efficacité opérationnelle.
Aligner l’architecture de contrôle sur l’ambition stratégique
Pour les décideurs bancaires, redresser cette trajectoire ne relève pas de la sanction, mais de la responsabilité stratégique. Trois exigences s’imposent à leurs agendas :
D’abord, la réactivation immédiate et l’armement de la compétence IT au sein du pôle d’inspection. L’audit des systèmes d’information ne peut être traité comme une option secondaire ou une case vide ; il doit former l’un des piliers cardinaux du contrôle, armé d’ingénieurs capables de conduire des audits de code, de données et d’architecture.
Ensuite, l’abandon des logiques d’affectation statutaire au profit d’une hybridation réelle des équipes, croisant expertises comptables, financières, juridiques et informatiques.
Enfin, l’engagement des Conseils d’Administration à exiger une cartographie des risques qui intègre explicitement l’intégrité des algorithmes et la résilience du SI, condition sine qua non d’une réelle gouvernance d’activation.
En matière de banque publique, le choix des hommes et des structures d’inspection n’est jamais neutre. Il révèle le degré de courage des dirigeants face aux vulnérabilités de leur institution et leur capacité à émanciper la gestion des talents des pesanteurs corporatives.
À l’heure où la Tunisie exige rigueur, modernisation et souveraineté de son secteur financier, la santé d’une banque ne se mesurera pas à sa capacité à distribuer des rôles ou à produire des rapports apaisants, mais à sa volonté d’éclairer l’ensemble de ses risques.
Car un bilan comptable parfait dans un système d’information non audité ne protège pas l’établissement : il ne fait que différer l’heure des comptes.