Manuel de sécurité fintech en Algérie : Renforcement des PSP sous l’Instruction 06-2025

Le premier cahier des charges sécurité contraignant pour les PSP en Algérie

Pendant des années, le secteur fintech algérien a opéré dans une zone réglementaire grise — suffisamment innovant pour produire des entreprises comme Yassir et UbexPay, mais contraint par l’absence d’un cadre de licence formel pour les opérateurs de paiement non-bancaires. L’Instruction 06-2025 de la Banque d’Algérie change cela de manière permanente.

Le règlement, publié en 2025, établit un cadre opérationnel complet couvrant l’adéquation des fonds propres, les normes KYC, la protection des fonds clients, la gouvernance des réseaux d’agents et les protections des consommateurs. Pour les équipes de cybersécurité des startups fintech algériennes et des PSP agréés, l’Instruction 06-2025 n’est pas principalement un document d’opportunité commerciale — c’est une liste de contrôle de conformité avec des conséquences juridiques.

Les obligations de cybersécurité intégrées dans l’instruction opèrent aux côtés du cadre AML de l’Algérie, qui a été substantiellement renforcé par un amendement de juillet 2025 à la loi AML primaire (n° 05-01, 2005) qui a étendu la surveillance aux actifs numériques et renforcé les pénalités d’exécution à 10 millions de DZD pour les entités non conformes. Le Règlement de la Banque d’Algérie n° 24-03 (août 2024) définit en outre les exigences AML/CFT pour les prestataires d’actifs virtuels.

Ce que l’Instruction 06-2025 exige réellement

Le règlement établit trois paliers de vérification KYC pour les comptes de paiement, chacun avec des exigences d’assurance d’identité progressivement plus strictes :

• Comptes de niveau 1 — seuil de transaction maximum de 100 000 DZD (~740 USD) — nécessitent uniquement une vérification d’identité numérique de base
• Comptes de niveau 2 — maximum 500 000 DZD (~3 700 USD) — nécessitent un document d’identité scanné et une preuve de revenus
• Comptes de niveau 3 — maximum 1 000 000 DZD (~7 400 USD) — nécessitent une vérification par vidéo-conférence plus la documentation de niveau 2

Au-delà du KYC, le règlement impose :

• Comptes séquestres ségrégués : tous les fonds clients détenus par un PSP doivent être déposés sur un compte dédié dans une banque commerciale, entièrement séparé du capital d’exploitation du PSP
• Garantie bancaire ou assurance de responsabilité professionnelle : comme mécanisme de protection du capital de base pour les consommateurs
• Authentification forte du client (SCA) : vérification multi-facteurs pour toute initiation de transaction
• Restriction des services en Dinars algériens : tous les services doivent opérer à l’intérieur du territoire national et en DZD uniquement

L’analyse de LaunchBase Africa sur l’Instruction 06-2025 note que les dispositions sur les réseaux d’agents imposent une responsabilité totale aux PSP pour toutes les actions entreprises par leurs agents d’encaissement/décaissement, y compris la conformité AML et la surveillance anti-fraude — une exigence qui pousse les responsabilités de cybersécurité en aval vers la couche d’interface agent.

Ce que les PSP doivent implémenter pour rester conformes

1. Construire une pile d’authentification KYC à trois niveaux avant le renouvellement de licence

Le système KYC par paliers n’est pas simplement une fonctionnalité d’intégration — c’est un contrôle en direct vérifiable à chaque point de transaction. Un PSP qui intègre un utilisateur de niveau 1 puis permet à ce compte d’effectuer des transferts à l’échelle du niveau 2 sans déclencher une escalade KYC est en violation. Implémentez l’application du palier KYC au niveau de l’API : chaque demande d’initiation de paiement doit vérifier le palier KYC actuel du compte par rapport au montant de transaction demandé. Journalisez chaque escalade et refus de palier pour l’accès aux audits de la Banque d’Algérie. Le KYC vidéo pour le niveau 3 nécessite un composant de vérification de vivacité en temps réel — budgétisez un prestataire biométrique certifié, car les solutions internes sont peu susceptibles de passer l’examen réglementaire.

2. Établir une ségrégation cryptographique entre les fonds clients et le capital d’exploitation

L’exigence de compte séquestre dans l’Instruction 06-2025 est fondamentalement un contrôle de réconciliation et d’intégrité : à tout moment, le solde du compte séquestre client du PSP doit correspondre exactement à l’agrégat de tous les soldes de portefeuilles clients. Implémentez une réconciliation quotidienne automatisée avec des pistes d’audit cryptographiques — chaque débit et crédit sur le compte séquestre doit être lié à un hash de transaction client spécifique. Si le solde séquestre diverge du solde client agrégé de plus d’une tolérance définie (p. ex., 1 000 DZD), déclenchez une alerte immédiate vers l’équipe de conformité. Ne comptez pas sur des cycles comptables manuels pour cela — un processus manuel hebdomadaire échouera à détecter la fraude intra-hebdomadaire.

3. Déployer une surveillance des transactions AML alignée aux normes de déclaration CTRF

La CTRF algérienne (Cellule de Traitement du Renseignement Financier) exige des PSP qu’ils déposent des rapports d’activités suspectes pour les transactions répondant à des critères de risque définis. L’implémentation pratique nécessite un moteur de surveillance des transactions en temps réel qui applique un screening basé sur des règles et comportemental à chaque paiement — vérifiant les modèles de structuration (transactions multiples juste en dessous des seuils de 100 000 DZD), l’activité de portefeuille à haute vélocité, les transactions vers ou depuis des identifiants de compte signalés et les anomalies géographiques. Les dossiers clients doivent être conservés pendant au moins cinq ans en vertu du cadre AML/CFT de l’Algérie (Loi 05-01, telle qu’amendée en juillet 2025). Les pénalités pour non-conformité atteignent 10 millions de DZD — un risque existentiel pour un PSP en phase de démarrage avec un capital limité.

4. Implémenter une authentification forte du client qui satisfait au standard SCA de la Banque d’Algérie

L’exigence SCA dans l’Instruction 06-2025 mandate une vérification multi-facteurs pour l’initiation de paiement. En pratique, cela signifie combiner au moins deux facteurs d’authentification indépendants — typiquement une clé cryptographique liée à l’appareil (quelque chose que vous possédez) et un facteur biométrique ou PIN (quelque chose que vous êtes ou connaissez). L’OTP par SMS seul ne satisfait pas à la norme SCA car la fraude par échange de SIM peut la compromettre sans l’implication du titulaire du compte. Implémentez FIDO2/WebAuthn pour l’authentification mobile là où c’est techniquement faisable, ou au minimum utilisez l’OTP basé sur le temps via une application d’authentificateur (TOTP) plutôt que par SMS.

5. Étendre les exigences de cybersécurité à votre réseau d’agents

La disposition de l’Instruction 06-2025 rendant les PSP entièrement responsables des actions de leurs agents a une implication directe en matière de cybersécurité : chaque terminal d’agent d’encaissement/décaissement est une extension de la surface d’attaque du PSP. Exigez que tous les agents complètent une formation annuelle de sensibilisation à la sécurité, utilisent du matériel fourni par le PSP ou une application verrouillée avec vérification d’intégrité de l’appareil (détection jailbreak/root, épinglage de certificat), et se connectent au backend du PSP exclusivement via un canal chiffré mutuellement authentifié. Auditez les journaux de transactions des agents hebdomadairement pour détecter des modèles anormaux — un agent qui traite 50 transactions d’encaissement en une heure est un signal d’alerte, pas une réalisation commerciale.

Une liste de contrôle de préparation à la conformité PSP

Avant que la Banque d’Algérie conduise son premier contrôle de conformité des PSP agréés, évaluez votre préparation par rapport à ces contrôles :

• Application du palier KYC au niveau de l’API pour toute initiation de transaction
• Réconciliation séquestre en temps réel avec piste d’audit cryptographique
• Moteur de surveillance des transactions AML avec déclaration d’activités suspectes alignée CTRF
• Implémentation SCA utilisant une authentification liée à l’appareil (pas uniquement OTP SMS)
• Conservation des dossiers clients sur cinq ans avec stockage chiffré et à accès contrôlé
• Politique de sécurité agents incluant la vérification d’intégrité de l’appareil et les canaux chiffrés
• Procédure de notification des incidents à la Banque d’Algérie — documentez votre procédure avant qu’un incident ne survienne
• Assurance de responsabilité professionnelle ou garantie bancaire comme spécifié dans le règlement

L’aperçu 2026 de Fintech Times sur l’écosystème algérien note qu’environ 30 à 35 startups fintech opèrent actuellement en Algérie, avec l’adoption des paiements numériques encore contrainte par la dominance des espèces. Les PSP qui construisent une infrastructure conforme et sécurisée maintenant seront positionnés pour bénéficier de la prochaine phase d’adoption — mais seulement s’ils survivent au cycle initial d’inspection de conformité.

Questions Fréquemment Posées

Sources et lectures complémentaires

• L’Algérie émet de nouvelles règles pour les fintechs et les fournisseurs de portefeuilles numériques — Startup Researcher
• L’Algérie s’ouvre aux fintechs : Les règles PSP créent un manuel pour les startups de paiement — LaunchBase Africa
• Conformité AML en Algérie : Un guide 2025 pour les fintechs — VoveID
• L’écosystème fintech algérien en 2026 — The Fintech Times
• Cybersécurité PME et Protection des données en Algérie — Symloop