Fonds Communautaire Africain

Directive sur la Messagerie Sécurisée

Directive n° : ACF-DIR-001 | Date d'entrée en vigueur : 10/11/2025 | Version : 1.0

PRÉAMBULE

ATTENDU QUE le Fonds Communautaire Africain (le « Fonds ») opère en tant qu'institution internationale dotée d'une pleine personnalité juridique aux termes de sa Charte ;

ATTENDU QUE des communications électroniques sécurisées, authentifiées et juridiquement reconnues sont essentielles à l'intégrité des opérations du Fonds, du Registre Numérique des Parts et des relations avec les Membres ;

ATTENDU QUE l'Article 10.2 de la Charte impose la tenue d'un Registre Numérique des Parts sécurisé et que l'Article 7.4 exige des déclarations de bonne foi conformes aux protocoles KYC ;

ATTENDU QUE le Fonds exploite une Autorité de Certification souveraine pour permettre les signatures numériques juridiquement reconnues et une gestion robuste des identités ;

PAR CONSÉQUENT, le Comité Exécutif émet par la présente cette Directive sur la Messagerie Sécurisée afin d'établir des normes minimales pour les communications électroniques au sein de l'écosystème du Fonds.

ARTICLE 1 : CHAMP D'APPLICATION ET APPLICABILITÉ

1.1 Communications couvertes : La présente Directive s'applique à tous les systèmes de courrier électronique, de messagerie et de transmission de documents utilisés pour :

(a) Les activités officielles, la gouvernance et les fonctions administratives du Fonds ;
(b) L'intégration des Membres, la souscription de parts et les appels de capitaux ;
(c) Les demandes de prêt, les approbations et la gestion au titre de l'Article 17 ;
(d) L'accès au Registre Numérique des Parts et les transactions qui s'y effectuent ;
(e) La transmission d'états financiers, de rapports d'audit et de critères de Programme ;
(f) Toute communication contenant des informations non publiques, sensibles ou juridiquement significatives.

1.2 Personnes couvertes : La présente Directive lie :

(a) Tous les Membres (Classe A et Classe B), leurs signataires autorisés et leurs contacts techniques désignés ;
(b) Les membres du Comité Exécutif, les officiers cérémoniels, les employés et les consultants du Fonds ;
(c) Les auditeurs externes, les évaluateurs indépendants et les prestataires de services tiers engagés par le Fonds.

1.3 Exclusions : Les communications publiques publiées via le site officiel du Fonds ou le portail Open Data sont régies par des politiques de publication distinctes.

ARTICLE 2 : NORMES DE SÉCURITÉ TECHNIQUE

2.1 Exigences de chiffrement :

(a) Toutes les communications couvertes doivent être chiffrées en transit à l'aide de TLS 1.3 ou supérieur, ou de protocoles équivalents reconnus internationalement ;
(b) Les messages contenant des données financières, personnelles ou de gouvernance sensibles doivent être chiffrés au repos à l'aide d'AES-256 ou équivalent ;
(c) Le chiffrement de bout en bout doit être utilisé pour les communications impliquant des transferts de parts, des avis de rachat ou des conventions de prêt.

2.2 Authentification et vérification d'identité :

(a) Tous les utilisateurs doivent s'authentifier via l'Autorité de Certification (AC) souveraine du Fonds à l'aide de certificats numériques X.509 ;
(b) L'authentification multifacteur (AMF) est obligatoire pour accéder aux systèmes traitant les communications couvertes ;
(c) L'émission, le renouvellement et la révocation des certificats doivent suivre les politiques établies par le Comité Exécutif et s'aligner sur la RFC 5280 et les meilleures pratiques WebPKI.

2.3 Signatures numériques et non-répudiation :

(a) Les communications juridiquement significatives (p. ex., conventions de souscription, avis de retrait, contrats de prêt) doivent être signées avec des signatures numériques émises par l'AC du Fonds ;
(b) Les signatures numériques doivent être conformes à eIDAS, UETA ou à des cadres équivalents pour garantir la reconnaissance juridique transfrontalière ;
(c) Les messages signés doivent inclure l'horodatage et la vérification de l'intégrité pour prévenir la répudiation.

2.4 Protocoles approuvés et interopérabilité :

(a) Le Fonds doit prendre en charge S/MIME et PGP/MIME pour l'interopérabilité sécurisée des courriels avec les systèmes des Membres ;
(b) Les communications par API doivent utiliser l'API Programmatique du Fonds avec OAuth 2.0 ou une authentification équivalente basée sur des jetons ;
(c) Les Membres s'intégrant aux systèmes du Fonds doivent respecter les spécifications techniques publiées par le Comité Exécutif.

ARTICLE 3 : PROTECTION DES DONNÉES ET CONFIDENTIALITÉ

3.1 Confidentialité : Les communications couvertes sont traitées comme confidentielles, sauf désignation expresse contraire. La divulgation, l'interception ou le transfert non autorisés sont interdits.

3.2 Traitement des données personnelles : Lorsque les communications contiennent des données personnelles, le traitement doit être conforme aux normes internationales applicables en matière de protection des données et à la Politique de Confidentialité du Fonds.

3.3 Transferts transfrontaliers : Le statut supranational du Fonds en vertu du Chapitre V de la Charte exempte ses opérations des lois restrictives nationales sur la localisation des données. Cependant, les Membres restent responsables de leur propre conformité aux réglementations nationales applicables lors de la transmission de données au Fonds.

3.4 Conservation et archivage :

(a) Les communications couvertes doivent être conservées pendant un minimum de sept (7) ans, ou plus longtemps si la loi applicable ou la politique du Fonds l'exige ;
(b) Les systèmes d'archivage doivent préserver l'intégrité des messages, les métadonnées et la validité des signatures pendant toute la période de conservation ;
(c) Les Membres peuvent demander la suppression de leurs données personnelles sous réserve des obligations légitimes de tenue des registres du Fonds.

ARTICLE 4 : RÉPONSE AUX INCIDENTS ET NOTIFICATION DE VIOLATION

4.1 Obligations de signalement : Toute compromission suspectée ou avérée des systèmes de messagerie sécurisée (p. ex., vol de certificat, accès non autorisé, hameçonnage) doit être signalée au Bureau de Sécurité du Fonds dans les vingt-quatre (24) heures suivant la découverte.

4.2 Réponse du Fonds : Après confirmation d'un incident de sécurité, le Comité Exécutif doit :

(a) Contenir et remédier à l'incident conformément au Plan de Réponse aux Incidents du Fonds ;
(b) Notifier les Membres concernés promptement et de manière transparente ;
(c) Révoquer les certificats compromis et réémettre les identifiants si nécessaire ;
(d) Documenter les leçons apprises et mettre à jour les politiques de sécurité en conséquence.

4.3 Responsabilités des Membres : Les Membres doivent maintenir des mesures de sécurité raisonnables pour leurs propres systèmes et mettre à jour rapidement leurs coordonnées pour les notifications de sécurité.

ARTICLE 5 : CONFORMITÉ, SURVEILLANCE ET APPLICATION

5.1 Surveillance de la conformité : Le Comité Exécutif, en consultation avec le Comité d'Audit, doit examiner périodiquement le respect de la présente Directive par le biais d'audits techniques, de tests de pénétration et d'évaluations de politique.

5.2 Conséquences de la non-conformité : Le non-respect de la présente Directive peut entraîner :

(a) La suspension des privilèges de communication sécurisée ;
(b) Le retard ou le rejet des transactions nécessitant des canaux sécurisés (p. ex., transferts de parts, décaissements de prêts) ;
(c) Le renvoi au Comité Exécutif pour examen potentiel de l'adhésion en vertu de l'Article 4.3.

5.3 Dérogations et exemptions : Le Comité Exécutif peut accorder des exemptions limitées et temporaires à la présente Directive lorsque la conformité stricte causerait une contrainte excessive et que des garanties alternatives offrent une protection équivalente. Les dérogations doivent être documentées et communiquées annuellement à la Réunion de Vote.

ARTICLE 6 : ADMISSIBILITÉ JURIDIQUE ET RÉSOLUTION DES LITIGES

6.1 Présomption d'authenticité : Les communications transmises en conformité avec la présente Directive sont présumées authentiques, intactes et attribuables à l'expéditeur identifié aux fins de la gouvernance du Fonds et de la résolution des litiges.

6.2 Valeur probatoire : Les messages signés numériquement, les journaux d'audit et les dossiers de validation de certificats tenus par le Fonds sont admissibles comme preuves dans les procédures devant le Comité Exécutif ou la Réunion de Vote en vertu de l'Article 27 de la Charte.

6.3 Non-renonciation aux immunités : La conformité à la présente Directive ne constitue pas une renonciation aux immunités, privilèges ou exemptions du Fonds en vertu du Chapitre V de la Charte.

ARTICLE 7 : MISE EN ŒUVRE ET RÉVISION

7.1 Date d'entrée en vigueur : La présente Directive entre en vigueur dès son adoption par le Comité Exécutif et sa publication sur le site officiel du Fonds.

7.2 Intégration des Membres : Les nouveaux Membres reçoivent la documentation technique et les identifiants pour l'intégration de la messagerie sécurisée dans le cadre du processus d'intégration au titre de l'Article 4.2 de la Charte.

7.3 Révision périodique : Le Comité Exécutif doit réviser la présente Directive au moins tous les deux (2) ans, ou plus tôt en réponse aux développements technologiques ou aux menaces de sécurité, et proposer des amendements à la Réunion de Vote le cas échéant.

7.4 Assistance et formation : Le Fonds doit fournir un support technique, de la documentation et des ressources de formation pour aider les Membres à se conformer à la présente Directive.

ANNEXE A : SPÉCIFICATIONS TECHNIQUES MINIMALES

Composant	Exigence	Norme/Référence
Chiffrement de transport	TLS 1.3 ou supérieur	RFC 8446
Chiffrement au repos	AES-256-GCM ou équivalent	NIST SP 800-38D
Certificats numériques	X.509 v3, signatures SHA-256	RFC 5280
Sécurité des courriels	S/MIME v3.2 ou PGP/MIME	RFC 8551, RFC 3156
Authentification API	OAuth 2.0 + JWT ou mTLS	RFC 6749, RFC 7519
Authentification multifacteur	TOTP, FIDO2 ou jeton matériel	RFC 6238, W3C WebAuthn
Horodatage	TSA conforme à la RFC 3161	RFC 3161
Journalisation des audits	Journaux immuables et inviolables	ISO/CEI 27001

ANNEXE B : CONTACTS ET ASSISTANCE

Fonction	Contact	Objet
Opérations de l'Autorité de Certification	[email protected]	Émission, renouvellement, révocation de certificats
Support technique de messagerie sécurisée	[email protected]	Assistance à l'intégration, dépannage
Signalement d'incidents de sécurité	[email protected]	Notification de violation, réponse aux incidents
Questions de conformité et de politique	[email protected]	Interprétation des directives, demandes de dérogation
Support général aux Membres	[email protected]	Intégration, gestion des comptes

Adoptée par le Comité Exécutif du Fonds Communautaire Africain le 10/11/2025.
Valeur Partagée, Prospérité Partagée.

Signature numérique md5-ZD8/djUQrzqIbz3F1GpURQ==

Vérifier la signature numérique

africancommunityfund.com