Une grande partie des opérations des établissements de paiement s'effectue désormais non plus par le biais d'agences physiques, mais via des applications mobiles, des sites web, des connexions API, des infrastructures de points de vente virtuels, des centres de données et des systèmes cloud. Par conséquent, la solidité financière à elle seule ne suffit plus à un établissement de paiement. Le fonctionnement sécurisé, ininterrompu, traçable et auditable des systèmes d'information est également fondamental pour le maintien de son autorisation d'exploitation.

En Turquie, la principale réglementation relative aux systèmes d'information des établissements de paiement et de monnaie électronique le Communiqué sur les systèmes d'information des établissements de paiement et de monnaie électronique et les services de partage de données des prestataires de services de paiement. Ce communiqué encadre de manière exhaustive la gestion des systèmes d'information des établissements de paiement, la sécurité de l'information, la gestion des risques, le contrôle d'accès, les tests d'intrusion, la continuité d'activité, l'externalisation et les audits indépendants des systèmes d'information.

Par conséquent, l'audit des systèmes d'information des établissements de paiementne se limite pas à un simple rapport technique établi tous les deux ou trois ans par un auditeur indépendant. Ce système comprend également des évaluations des risques, des tests de sécurité, des contrôles d'accès, la gestion des incidents de cybersécurité, des tests de continuité d'activité et des rapports réguliers à la Banque centrale de Turquie (TCMB), que l'établissement est tenu de soumettre tout au long de l'année.

Qu’est-ce que l’audit des systèmes d’information dans les établissements de paiement ?

L'audit indépendant des systèmes d'information est le processus par lequel un cabinet d'audit indépendant agréé examine les processus, les activités, les logiciels, le matériel et les contrôles internes connexes afin d'évaluer la conformité de l'organisation avec la réglementation des systèmes d'information de la Banque centrale de Turquie et de formuler une opinion sur l'efficacité, l'adéquation et la conformité de ces contrôles avec la réglementation .

Par conséquent, l’audit ne cherche pas seulement à répondre à cette question :

« Le système fonctionne-t-il ? »

Les questions suivantes sont également prises en compte en priorité :

• Qui a accès au système ?
• si les autorisations d'accès sont inutilement larges,
• comment les informations client sont protégées,
• si les enregistrements des transactions peuvent être retracés ultérieurement,
• si les précautions nécessaires sont en place contre les cyberattaques
• Combien de temps faudrait-il pour remettre le système en ligne en cas d'interruption de service ?
• si les prestataires de services externes sont suffisamment contrôlés,
• Si les failles de sécurité identifiées ont été traitées en temps opportun.

Par conséquent, un audit des systèmes d'information ne se limite pas à un simple examen du département informatique de l'établissement de paiement ; il s'agit d'un audit de conformité global englobant le conseil d'administration, le contrôle interne, la gestion des risques, la sécurité de l'information, les opérations et les processus de prestataires externes. La réglementation impose au conseil d'administration la responsabilité de la gestion des systèmes d'information conformément à la législation et exige la mise en place d'une fonction au sein du système de contrôle interne chargée de veiller à cette conformité.

Qui contrôle les systèmes d'information des établissements de paiement ?

Aucune entreprise de logiciels ou de cybersécurité ne peut réaliser un audit indépendant des systèmes d'information.

Conformément à la circulaire, l'audit doit être réalisé en priorité par des cabinets d'audit indépendants agréés par l'Autorité de surveillance publique, des normes comptables et d'audit figurant sur la liste des cabinets d'audit indépendants habilités à réaliser des audits des systèmes d'information bancaires, publiée par l'Agence de réglementation et de supervision bancaires (BDDK) . La Banque centrale de la République de Turquie (TCMB) se réserve le droit de désigner un autre cabinet d'audit indépendant ou de ne pas retenir un cabinet figurant sur la liste si elle le juge nécessaire.

Il ne faut donc pas supposer que le conseiller financier habituel de l'établissement de paiement ou le cabinet d'audit financier indépendant traditionnel puisse établir automatiquement le rapport sur les systèmes d'information.

L’audit financier indépendant et l’audit indépendant des systèmes d’information sont deux types d’audits différents.

Alors que la loi n° 6493 soumet les établissements de paiement et de monnaie électronique à des audits indépendants, il existe également des réglementations spécifiques pour l'audit des systèmes d'information.

À quelle fréquence un audit des systèmes d'information est-il réalisé ?

Conformément à la circulaire en vigueur de la Banque centrale de Turquie (TCMB), des audits indépendants des systèmes d'information sont réalisés tous les deux ans. La TCMB se réserve toutefois le droit de modifier la portée et la fréquence de ces audits si nécessaire.

Parce que;

« Les audits des systèmes d'information ne sont effectués que tous les deux ans, et il n'y a aucune obligation entre-temps. »

Une telle approche est incorrecte.

Bien que la période d'audit indépendant soit de deux ans, l'établissement de paiement doit respecter de nombreuses obligations de contrôle et de reporting relatives à ses systèmes d'information tout au long de l'année. Par exemple, des obligations telles que l'évaluation annuelle des risques, les tests d'intrusion, l'examen de la sécurité des systèmes d'information et les tests de continuité d'activité sont réalisées à des intervalles différents de la période d'audit indépendant.

Quand le premier audit des systèmes d'information est-il réalisé pour un établissement de paiement nouvellement agréé ?

Il existe une règle spécifique pour les établissements de paiement ou de monnaie électronique qui ont récemment obtenu une licence d'exploitation.

Selon la circulaire, le premier audit indépendant des systèmes d’information pour couvrir l’année suivant celle au cours de laquelle la licence d’exploitation est accordée .

Par exemple, supposons qu'une société de traitement des paiements obtienne sa licence d'exploitation en 2026.

L’audit indépendant initial des systèmes d’information doit être planifié pour couvrir la période allant jusqu’à 2027, soit l’année suivant la délivrance de la licence d’exploitation, conformément à cette disposition spécifique du Communiqué .

Par conséquent, les sociétés fintech nouvellement agréées ne devraient pas considérer l'audit indépendant de leurs systèmes d'information comme une chose à envisager des années plus tard.

L’infrastructure technique mise en place lors de l’obtention de la licence doit être auditable dès la première année d’exploitation

Quand le rapport d'audit indépendant des systèmes d'information est-il soumis à la Banque centrale de Turquie (TCMB) ?

Conformément à la circulaire, le rapport établi à la suite de l'audit indépendant doit être transmis à la Banque centrale de la République de Turquie (TCMB) avant la fin du mois de février de l'année suivant la période d'audit. La TCMB peut accorder un délai supplémentaire à la demande de l'établissement et exiger la transmission du rapport par voie électronique si nécessaire.

La Banque centrale de la République de Turquie (TCMB) a également lancé l'application Système de suivi des audits des établissements de paiement – ​​OKDS en 2025 ; créant un système pour la transmission et le suivi électroniques des rapports requis en vertu du Communiqué, principalement les rapports d'audit indépendants des systèmes d'information.

Cette évolution démontre que l'audit des systèmes d'information n'est pas simplement une affaire privée entre l'entreprise et l'auditeur ; il s'agit d'une composante directe du système de surveillance de la Banque centrale de Turquie.

Qu’est-ce qu’une déclaration de gestion dans le cadre d’un audit des systèmes d’information ?

L'auditeur indépendant n'est pas le seul à préparer le rapport dans le cadre du processus d'audit de l'établissement de paiement.

L'organisation elle-même doit également établir un rapport de gestion

Selon la notification, l’organisation est tenue d’établir un rapport de gestion pour chaque période d’audit, fournissant une assurance quant aux contrôles internes qu’elle a mis en place dans le cadre de ses systèmes d’information, et approuvé par le conseil d’administration et le directeur général

Le commissaire aux comptes indépendant examine cette déclaration et les études sur lesquelles elle repose.

Toute inexactitude ou omission dans la déclaration de la direction peut être relevée dans le rapport d'audit indépendant. Le refus de l'organisation de publier une déclaration de la direction peut entraîner des conséquences plus graves, telles qu'une opinion avec réserve, un refus d'exprimer une opinion ou un retrait de la mission d'audit.

Par conséquent, le rapport de gestion ne doit pas être considéré comme un simple formulaire standard signé par le directeur général.

Cette déclaration doit être étayée par des preuves et des documents pouvant démontrer que les contrôles des systèmes d'information de l'organisation sont effectivement mis en œuvre .

Quels types d'opinions peuvent être émises lors d'un audit des systèmes d'information ?

À la suite d'un audit indépendant, l'auditeur peut parvenir à l'une des quatre principales conclusions suivantes :

• opinion positive,
• opinion conditionnelle
• opinion négative,
• Éviter de donner son avis.

Une opinion positive peut être émise en l'absence de déficiences significatives des contrôles et si aucune limitation importante n'est constatée dans le cadre de l'audit. Une opinion avec réserve peut être émise en cas de déficiences significatives des contrôles n'affectant pas une part importante du système global, ou dans des situations particulières où l'obtention d'éléments probants suffisants est limitée. Une opinion négative peut être émise si les déficiences des contrôles affectent une part importante des systèmes d'information ou des processus de paiement. Une opinion peut être refusée si l'activité d'audit est limitée au point d'empêcher sa formulation.

Par conséquent, l’objectif de l’établissement de paiement ne devrait pas se limiter à « recevoir le rapport ».

L’objectif principal est d’identifier et de corriger toute défaillance des contrôles qui pourrait entraîner des opinions négatives ou conditionnelles avant le début de l’audit.

Les audits de la Banque centrale de Turquie (TCMB) et les audits indépendants des systèmes d'information sont-ils la même chose ?

Non.

L’audit des systèmes d’information réalisé par un cabinet d’audit indépendant diffère des activités de contrôle réglementaire et d’audit de la Banque centrale de Turquie (TCMB).

La Banque centrale de la République de Turquie (TCMB) est l'autorité publique chargée de l'autorisation, de la supervision et du contrôle des établissements de paiement et de monnaie électronique.

Par conséquent, un rapport d'audit indépendant positif est nécessaire ;

« La Banque centrale de Turquie n'est plus en mesure de superviser l'entreprise. »

Cela ne veut rien dire.

La Banque centrale de la République de Turquie (TCMB) poursuit ses activités de contrôle et d'audit et peut demander des informations, documents et explications complémentaires si nécessaire. En effet, suite à ces activités menées en 2025, des amendes administratives d'un montant total de 373 243 560,30 TL ont été infligées à 72 établissements, des avertissements ont été adressés à 29 établissements, les licences d'exploitation de 14 établissements ont été suspendues provisoirement et celles de 7 établissements ont été révoquées.

Ces chiffres démontrent que la conformité réglementaire n'est pas simplement une obligation théorique pour les établissements de paiement.

Comment la gestion des risques est-elle examinée lors de l'audit des systèmes d'information ?

Les établissements de paiement sont tenus de procéder régulièrement à des évaluations des risques liés à leurs systèmes d'information.

Selon la circulaire, les organisations doivent procéder à une évaluation complète des risques liés aux systèmes d’information avant d’apporter des modifications importantes à leurs systèmes d’information, et également au moins une fois par an .

Un rapport décrivant l’évaluation des risques et les mesures à prendre pour l’année précédente être soumis au conseil d’administration et à la Banque centrale de Turquie (TCMB) avant la fin du mois de janvier .

Par exemple, l'établissement de paiement ;

• lancement d'une nouvelle application mobile,
• en déplaçant son infrastructure vers le cloud,
• mise en place d'un nouveau système API,
• changer son fournisseur de services externes critique,
• développement de nouveaux produits de monnaie électronique ou de paiement

Cela pourrait nécessiter une réévaluation de l'analyse des risques liés aux systèmes d'information.

Par conséquent, lors d'un audit des systèmes d'information, l'auditeur évalue non seulement les configurations techniques, mais aussi le système de l'entreprise permettant d'identifier, d'évaluer, de signaler au conseil d'administration et de prendre des mesures face aux risques

Est-il obligatoire de mettre en place un système de gestion de la sécurité de l'information ?

Oui.

L’établissement de paiement doit mettre en place un cadre de gestion de la sécurité de l’information et un système de gestion de la sécurité de l’information correspondant afin de protéger la confidentialité, l’intégrité et la disponibilité de ses systèmes d’information

Le système de gestion de la sécurité de l'information doit être revu et mis à jour au moins une fois par an ; les actifs informationnels doivent être classifiés, les droits d'accès doivent être déterminés, les incidents doivent être surveillés et les tâches et responsabilités liées à la sécurité de l'information doivent être clairement définies.

Par conséquent, l'obtention d'une certification ISO ou la présence d'un document de « politique de sécurité de l'information » au sein de l'entreprise ne suffisent pas en soi.

Les politiques doivent être mises en œuvre dans des systèmes réels.

Les tests d'intrusion sont-ils obligatoires pour les entreprises de traitement des paiements ?

Oui.

Selon la circulaire de la Banque centrale de Turquie (TCMB), les systèmes d'information des établissements de paiement doivent être soumis à des tests d'intrusion au moins une fois par an par des personnes qui ne sont pas impliquées dans les tâches de sécurité de l'information et qui possèdent une certification nationale ou internationale en matière de tests d'intrusion , en utilisant des scénarios couvrant les menaces internes et externes.

Les tests d'intrusion ne se résument pas à une société de logiciels simulant une attaque système.

Les vulnérabilités constatées dans les résultats des tests ;

• déterminer les niveaux d'importance,
• Évaluation des risques,
• à résoudre dès que possible et
• à suivre d'un plan d'action approuvé par le conseil d'administration

est nécessaire.

Par conséquent, l'audit ne comprend que :

« Existe-t-il un rapport de test d'intrusion ? »

La question n'est pas prise en compte.

Le point le plus important est :

« Les vulnérabilités critiques découvertes lors du test d'intrusion ont-elles été corrigées ? »

Voilà la question.

L'analyse des vulnérabilités et les tests d'intrusion sont-ils la même chose ?

Non.

La circulaire du CBRT stipule deux contrôles de sécurité distincts.

Les serveurs et réseaux de communication de l'organisation doivent faire l'objet d'analyses de vulnérabilité au moins six fois par an, avant et après leur mise en service initiale . Par ailleurs, des tests d'intrusion complets doivent être réalisés au moins une fois par an.

Parce que;

« Nous effectuons un test d'intrusion une fois par an ; aucun autre test de sécurité n'est requis. »

Cette approche est inadéquate d'un point de vue législatif.

Les failles de sécurité sont-elles signalées à la Banque centrale de Turquie (TCMB) ?

L'organisation est tenue de soumettre à la Banque centrale de Turquie (TCMB) au moins une fois par an un rapport détaillant les violations de sécurité survenues, les résultats des tests d'intrusion et les vulnérabilités critiques identifiées, ainsi que les mesures prises pour y remédier et leurs résultats .

Il existe également des dispositions spécifiques exigeant le signalement rapide à la Banque centrale de Turquie (TCMB) des incidents importants liés au service de partage de données.

Par conséquent, la simple clôture des incidents de sécurité de l'information dans le journal Jira de l'équipe technique peut ne pas suffire.

Selon la nature de l'incident, une évaluation plus approfondie doit être menée aux niveaux juridique, de conformité, de sécurité de l'information et de la haute direction.

Combien de temps les traces d'audit doivent-elles être conservées ?

Les établissements de paiement sont tenus de mettre en place un système de piste d'audit leur permettant de suivre les accès physiques ou logiques aux informations et systèmes d'information des clients, les tentatives d'accès non autorisés et les transactions liées aux activités de paiement .

Ces pistes d'audit doivent être stockées dans un format horodaté, redondant et prêt pour l'audit pendant au moins dix ans .

Traces d'audit ;

• le processus,
• temps de traitement,
• l'utilisateur concerné,
• personnel,
• le système auquel on a accédé,
• Informations IP et port,
• modifications apportées

Selon la nature de la transaction, il devrait permettre un suivi ultérieur.

Ces enregistrements peuvent s'avérer extrêmement importants, non seulement pour le contrôle réglementaire, mais aussi en cas de litiges avec les clients et de transactions de paiement non autorisées.

Par exemple, le client ;

«Je n'ai pas effectué ce transfert d'argent.»

Cela étant dit, il peut être nécessaire de déterminer à partir de quel appareil, de quelle adresse IP, quelle méthode d'authentification a été utilisée et à quelle heure la transaction a été effectuée.

La continuité des activités fait-elle également partie de l'audit des systèmes d'information ?

Oui.

Les établissements de paiement sont tenus d’établir un plan de continuité des systèmes d’information et d’en tester l’efficacité au moins une fois par an .

Conformément à la directive, le test doit, en règle générale, inclure la vérification du bon déroulement d'une journée d'opérations via un centre secondaire. Les représentants, les succursales, les autres organisations liées aux systèmes d'information et les prestataires de services tiers doivent également être inclus dans les plans de test.

Par conséquent, l'entreprise ;

«Nous avons un système de secours en cas de catastrophe.»

Dire cela ne suffit pas.

Le système de sauvegarde doit être testé pour vérifier son bon fonctionnement.

Par exemple, lorsque le centre de données principal est hors service, l'établissement de paiement ;

• la capacité des utilisateurs à accéder à leurs comptes
• pour pouvoir poursuivre le traitement des paiements,
• pour éviter la perte des dossiers clients,
• afin que les équipes opérationnelles puissent continuer à travailler

c'est prévu.

Le plan de réponse aux incidents de cybersécurité doit-il être testé ?

Oui.

La directive stipule que les plans de réponse aux incidents cybernétiques doivent être testés régulièrement, au moins une fois par an , et que les résultats des tests doivent être communiqués au conseil d'administration.

Par conséquent, la gestion des incidents cybernétiques ne se limite pas à la simple préparation de ce document :

«Que ferons-nous en cas de cyberattaque ?»

Le plan doit être testé, soit sur la planche à dessin, soit à travers des scénarios techniques.

Par exemple;

Attaques de ransomware, violations de bases de données clients, vol de clés API ou mise hors service d'une application de paiement

Ces scénarios peuvent également être évalués en fonction du modèle économique de l'organisation.

Les prestataires de services externes peuvent-ils également être inclus dans les audits des systèmes d'information ?

Oui.

Une part importante des systèmes d'information d'un établissement de paiement peut dépendre de services obtenus auprès de tiers.

Par exemple;

• fournisseur de cloud,
• centre de données,
• société de logiciels,
• entreprise de cybersécurité,
• Fournisseur KYC,
• infrastructure de fraude

Ils peuvent constituer des éléments essentiels des systèmes d'information d'une organisation.

Selon le communiqué, le cabinet d’audit indépendant prend en compte l’impact des services externes sur les systèmes d’information et, si nécessaire, prévoit d’inclure les prestataires de services externes dans son audit

Par ailleurs, les contrats de services externes doivent comporter des clauses permettant au prestataire de réaliser un audit de l'activité, sans en restreindre le périmètre, même si cette activité ferait l'objet d'un audit indépendant si elle était réalisée en interne. Des clauses contractuelles autorisant la Banque centrale de la République de Turquie (TCMB), l'organisation et le cabinet d'audit indépendant à demander au prestataire de services externe les informations et documents nécessaires sont également obligatoires.

Par conséquent, le contrat de service externe de l'établissement de paiement comprend :

«Les systèmes du fournisseur ne peuvent être audités par aucun tiers.»

Imposer une disposition aussi absolue pourrait engendrer de graves problèmes réglementaires.

Les services cloud sont-ils pris en compte lors des audits des systèmes d'information ?

Oui.

Si les systèmes critiques d'un établissement de paiement fonctionnent dans un cloud privé ou communautaire, l'infrastructure cloud peut également être évaluée à des fins d'audit indépendant.

La Banque centrale de Turquie (TCMB) surveille également les fournisseurs de cloud communautaire et les organisations utilisant ces services qui ont obtenu l'éligibilité à partir de 2025 ; en 2025, elle a approuvé neuf autres institutions de paiement et de monnaie électronique pour l'utilisation du cloud communautaire.

Par conséquent, le recours au cloud computing n'élimine pas le champ d'application du contrôle.

Au contraire;

architecture cloud + emplacement des données + autorisations d'accès + sous-traitants + sauvegarde + continuité d'activité

Cela peut devenir l'un des enjeux clés de l'audit.

Quel est le rôle du conseil d'administration dans l'audit des systèmes d'information ?

La circulaire ne laisse pas la gestion des systèmes d'information sous la seule responsabilité du responsable informatique.

Le conseil d’administration est responsable de veiller à ce que la gestion des systèmes d’information soit effectuée conformément à la législation .

De plus;

• politiques des systèmes d'information,
• classifications des actifs informationnels,
• certains plans d'action en matière de sécurité,
• déclaration de la direction,
• évaluations des risques

Ce problème est traité au niveau de la direction.

Par conséquent, le conseil d'administration ;

« Nous ne sommes pas au courant des problèmes techniques ; c'est le service informatique qui s'en occupe. »

Cette approche est insuffisante du point de vue des établissements de paiement.

Bien que le conseil d'administration ne soit pas censé connaître tous les détails techniques, un mécanisme de gouvernance d'entreprise doit être mis en place afin de comprendre et d'identifier les risques importants liés aux systèmes d'information et de garantir l'allocation des ressources nécessaires.

Principaux domaines de risque en audit des systèmes d'information

Pour les établissements de paiement, l'examen des domaines suivants est particulièrement important avant un audit :

1. Politiques de sécurité de l'information obsolètes
2. Autorisations d'accès excessivement larges
3. Ne pas révoquer les privilèges système des anciens employés
4. Utilisation de comptes d'utilisateurs partagés dans les systèmes critiques
5. Absence de mise en place d'une piste d'audit adéquate
6. Défaut de conservation des registres pendant la période requise
7. Absence d'analyses régulières des vulnérabilités
8. Non-réalisation des tests d'intrusion annuels
9. Laisser les résultats des tests d'intrusion secrets pendant une période prolongée
10. Le plan de continuité des activités n'a pas encore été testé
11. Supervision insuffisante des prestataires de services externes
12. L'infrastructure cloud n'est pas configurée conformément à la réglementation
13. Le défaut de soumettre en temps voulu les rapports d'évaluation des risques au conseil d'administration et à la Banque centrale de Turquie
14. Déclaration de la direction non étayée par des preuves factuelles
15. Documentation insuffisante des incidents de sécurité critiques.

Une part importante de ces domaines de risque est directement liée aux contrôles annuels, aux tests d'intrusion, à la gestion des risques, aux services externes et aux dispositions relatives à la piste d'audit prévues dans le Communiqué.

Est-il suffisant de corriger le système juste avant l'audit ?

La logique des audits de systèmes d'information ne consiste pas simplement à vérifier si le système fonctionnait à la date de l'audit.

L'auditeur peut ainsi évaluer si les contrôles fonctionnaient effectivement pendant la période concernée.

Par exemple, la politique ;

« Toutes les autorisations d'accès sont réexaminées annuellement. »

Toutefois, le simple fait de vérifier collectivement toutes les autorisations une semaine avant un audit peut ne pas suffire dans tous les cas pour démontrer que le système a été exploité conformément à la réglementation tout au long de l'année.

En effet, le communiqué stipule que la gestion de la sécurité de l’information, les évaluations des risques, les droits d’accès, les services externes et les plans de continuité doivent être périodiquement surveillés et documentés .

Par conséquent, les établissements de paiement une approche de préparation à l’audit – une préparation continue aux audits .

Comment se préparer à un audit des systèmes d'information ?

Il serait avantageux pour l'établissement de paiement de mettre en place au moins la structure suivante avant le début de l'audit indépendant :

1. L'inventaire des systèmes d'information est mis à jour.
2. Les actifs informationnels sont classifiés.
3. Les autorisations des utilisateurs et des comptes privilégiés sont vérifiées.
4. L'évaluation annuelle des risques est terminée.
5. Des analyses de vulnérabilité et des tests d'intrusion sont effectués.
6. Un plan d'action est élaboré pour toute faille de sécurité critique qui reste non traitée.
7. Les pistes d'audit et le système de journalisation sont testés.
8. Les dossiers relatifs à la continuité des activités et aux tests du centre secondaire sont préparés.
9. Les contrats des prestataires de services externes et les droits d'audit sont examinés.
10. Les dossiers relatifs aux cyberincidents et aux violations de données sont examinés.
11. Les décisions et les rapports du conseil d'administration sont finalisés.
12. Les dossiers de preuves sont constitués pour servir de base à la déclaration de la direction.

Cette préparation devrait être effectuée tout au long de la période d'activité, si possible, et non pas seulement quelques semaines avant l'inspection.

L’audit des systèmes d’information est-il également important dans le processus d’octroi de licences ?

Oui.

Les systèmes d'information ne sont pas un domaine qui ne prend de l'importance qu'après l'obtention d'une licence.

Les documents de demande de licence d'exploitation de la Banque centrale de Turquie (TCMB) exigent une évaluation indépendante des systèmes d'information de l'entreprise, de la continuité de ses activités, de la sécurité de ses informations et des mesures de confidentialité mises en place. Les annexes actuelles de la licence d'exploitation prévoient que les questions relatives aux systèmes d'information soient examinées par des cabinets d'audit indépendants agréés.

Par conséquent, les investisseurs qui créeront des établissements de paiement devraient :

« Commençons par obtenir l'agrément de la Banque centrale de Turquie ; nous pourrons finaliser les systèmes d'information plus tard. »

Agir de cette manière n'est pas correct.

L'architecture technique doit atteindre un niveau vérifiable avant la phase d'approbation finale de la demande de licence.

Les violations de la réglementation relative aux systèmes d'information peuvent-elles avoir une incidence sur une licence d'exploitation ?

Oui.

Le non-respect par les établissements de paiement de la réglementation de la Banque centrale de Turquie n'est pas considéré comme une simple déficience technique.

En vertu de la loi n° 6493, les infractions à la législation et aux décisions réglementaires peuvent entraîner des sanctions administratives. Les résultats de l’audit de la Banque centrale de Turquie (TCMB) pour l’année 2025 montrent qu’outre les amendes administratives, des mesures plus sévères telles que la suspension temporaire et le retrait des licences d’exploitation peuvent également être appliquées aux organisations.

Cependant, il est inexact d'affirmer que chaque constatation relative aux systèmes d'information entraînera automatiquement le retrait de la licence.

La nature, la gravité et la durée de l'infraction, ainsi que les dispositions légales pertinentes, seront prises en compte pour l'évaluation des sanctions.

Toutefois, le fait de ne pas remédier systématiquement aux lacunes critiques en matière de sécurité de l'information peut avoir de graves conséquences sur la conformité réglementaire globale et la sécurité opérationnelle d'une organisation.

Foire aux questions

L’audit indépendant des systèmes d’information est-il obligatoire dans les établissements de paiement ?

Oui. La circulaire de la Banque centrale de Turquie stipule que les systèmes d'information des établissements de paiement et de monnaie électronique doivent être audités par des cabinets d'audit indépendants agréés.

À quelle fréquence les audits des systèmes d'information sont-ils réalisés ?

En règle générale, tous les deux ans . La Banque centrale de Turquie peut toutefois en modifier la portée et la fréquence si elle le juge nécessaire.

Quand le nouvel établissement de paiement fera-t-il l'objet de son premier audit ?

L’audit indépendant initial des systèmes d’information est réalisé pour couvrir l’année suivant celle de l’octroi de la licence d’exploitation.

Quand le rapport d'audit indépendant sur les systèmes d'information est-il soumis à la Banque centrale de Turquie (TCMB) ?

Le rapport doit être communiqué à la Banque centrale de Turquie (TCMB) avant la fin du mois de février de l'année suivant la période d'audit

Combien de fois des tests d'intrusion sont-ils effectués dans les centres de traitement des paiements ?

Les systèmes d'information devraient faire l'objet de tests d'intrusion réguliers, au moins une fois par an

Combien de fois une analyse de vulnérabilité est-elle effectuée ?

Les serveurs et les réseaux de communication associés au système doivent faire l'objet d'analyses de vulnérabilité au moins six fois par an

Le plan de continuité des activités doit-il être testé ?

Oui. L'efficacité du plan de continuité des systèmes d'information doit être testée au moins une fois par an . En règle générale, le test doit également comprendre la réalisation d'une journée d'activités via un centre de secours

Pendant combien d'années les registres sont-ils conservés ?

Les traces d’audit visées par la présente circulaire doivent être conservées en toute sécurité et horodatées pendant au moins dix ans .

Les systèmes d'information d'un prestataire de services externe peuvent-ils faire l'objet d'un audit ?

Oui. Le cabinet d'audit indépendant peut étendre le périmètre de l'audit aux prestataires de services externes s'il le juge nécessaire, en tenant compte de l'impact de ces services externes sur les systèmes d'information de l'organisation.

Le conseil d'administration est-il responsable des systèmes d'information ?

Oui. La directive rend le conseil d'administration de l'organisation responsable de veiller à ce que la gestion des systèmes d'information soit effectuée conformément à la législation.

Conclusion : L’audit des systèmes d’information est un processus de conformité continu pour les établissements de paiement

L’audit des systèmes d’information dans les établissements de paiement représente un système beaucoup plus vaste que le simple audit indépendant bisannuel.

Conformément à la réglementation en vigueur de la Banque centrale de Turquie, l'institution ;

L'entreprise est tenue d'évaluer les risques liés aux systèmes d'information, d'établir un système de gestion de la sécurité de l'information, de contrôler les droits d'accès, de réaliser des analyses de vulnérabilité au moins six fois par an, d'effectuer des tests d'intrusion au moins une fois par an, de tester son plan de continuité des activités, de conserver les pistes d'audit pendant au moins dix ans et de faire réaliser un audit indépendant des systèmes d'information en règle générale tous les deux ans .

En outre, pendant les périodes d'audit, il est obligatoire d'établir une déclaration de gestion approuvée par le conseil d'administration et le directeur général, et de soumettre le rapport d'audit indépendant à la Banque centrale de Turquie (TCMB) avant la fin du mois de février de l'année suivante.

Par conséquent, il est incorrect pour les établissements de paiement de considérer la conformité des systèmes d'information comme la seule responsabilité technique du département informatique.

Un système sain ;

Conseil d'administration + Technologies de l'information + Sécurité de l'information + Contrôle interne + Gestion des risques + Affaires juridiques/Conformité + Prestataires de services externes

Cela nécessite une coordination entre eux.

En particulier dans les établissements de paiement ou de monnaie électronique nouvellement créés, l'architecture des systèmes d'information doit être conçue dès le départ conformément à la réglementation de la Banque centrale de Turquie, des mécanismes de journalisation et de génération de preuves doivent être mis en place avant leur mise en service, et un système permettant d'être prêt pour des audits continus doit être créé avant le début des audits indépendants.

Cette approche facilite non seulement l'obtention d'une opinion favorable dans le rapport d'audit indépendant, mais elle est également essentielle pour préserver l'agrément d'exploitation de l'établissement de paiement, garantir la sécurité des clients et atténuer les risques réglementaires pouvant survenir sous la supervision de la Banque centrale de la République de Turquie (TCMB). La décision de la TCMB de mettre en œuvre le système OKDS en 2025 pour le suivi des rapports réglementaires, notamment les rapports d'audit indépendants des systèmes d'information, et d'imposer la même année un nombre important de sanctions administratives et de retrait d'agrément, démontre que la conformité des systèmes d'information devient un axe d'audit de plus en plus central pour le secteur.