Affaire Congo Hold-up : comment 138 millions de dollars publics ont transité par une banque

Les faits : une enquête à partir des documents internes d'une banque

En novembre 2021, un consortium international de médias et d'ONG (dont PPLAAF, Mediapart et l'EIC) publie « Congo Hold-up », la plus grande fuite de documents bancaires jamais analysée en Afrique : plusieurs millions de fichiers internes de BGFIBank RDC, filiale congolaise du groupe gabonais BGFI.

L'enquête documente le détournement présumé de plus de 138 millions de dollars de fonds publics congolais entre 2013 et 2018, incluant des fonds provenant de la Banque centrale du Congo et de la Commission électorale nationale indépendante (CENI).

À l'époque des faits, la filiale était dirigée et détenue en partie par des proches du chef de l'État. C'est le point de départ de tout : l'organe qui devait contrôler dépendait de ceux qu'il aurait dû contrôler.

Le montage, vu par un auditeur

• →
  Sociétés écrans et bénéficiaires effectifs opaques

  Des entités créées peu avant les flux, sans activité économique réelle, dont l'actionnariat final n'est jamais remonté jusqu'à une personne physique identifiée.
• →
  Retraits en espèces massifs

  Des sorties répétées de plusieurs centaines de milliers de dollars, sans pièce justificative économique cohérente avec le profil du client.
• →
  Comptes publics utilisés comme comptes de passage

  Des fonds institutionnels crédités puis vidés en quelques jours vers des comptes privés — un profil de mouvement incompatible avec un budget public.
• →
  Personnes politiquement exposées non traitées comme telles

  Le dispositif KYC/LCB-FT existait sur le papier ; les alertes ne remontaient pas, ou remontaient à des personnes concernées par les flux.

Les contrôles qui auraient dû se déclencher

Aucun élément de ce dossier n'exige une technique d'audit sophistiquée. Ce sont des tests de premier niveau, décrits dans tous les manuels de conformité bancaire, qui n'ont pas été exécutés — ou dont les résultats ont été neutralisés.

• →
  Test 1 — Échantillon de comptes PPE

  Sélectionner les comptes classés politiquement exposés et vérifier, dossier par dossier, l'identification du bénéficiaire effectif et l'approbation d'ouverture au niveau requis.
• →
  Test 2 — Seuils et alertes espèces

  Rejouer les règles de monitoring sur 12 mois de transactions et vérifier le traitement de chaque alerte générée, y compris celles clôturées sans suite.
• →
  Test 3 — Analyse de données sur les flux

  Détecter les comptes dont le solde entrant et sortant s'annule sous 72 heures, les virements circulaires et les bénéficiaires partageant une adresse ou un numéro de téléphone.
• →
  Test 4 — Indépendance de la fonction

  Vérifier à qui rend compte le responsable conformité et l'audit interne, et si des constats ont été retirés ou édulcorés avant présentation au comité d'audit.

La leçon centrale : sans indépendance, l'audit interne n'existe pas

Congo Hold-up n'est pas d'abord une défaillance technique, c'est une défaillance de gouvernance. Les Normes mondiales d'audit interne (GIAS 2024) posent explicitement le double rattachement : fonctionnel au Conseil, administratif à la direction générale, avec accès direct et sans filtre au comité d'audit.

Concrètement, cela signifie que le responsable de l'audit interne doit pouvoir présenter un constat mettant en cause l'actionnaire ou le directeur général sans que sa nomination, sa rémunération ou son budget en dépendent. Quand cette condition n'est pas remplie, tout le reste du dispositif est décoratif.

Ce que le dossier a changé

Après la publication, plusieurs banques correspondantes ont réduit ou coupé leurs relations avec l'établissement, des enquêtes ont été ouvertes dans plusieurs juridictions et le sujet du risque de correspondance bancaire (de-risking) s'est imposé dans toute la région.

Pour les banques africaines, l'enjeu est devenu existentiel : sans dispositif LCB-FT crédible et audité, l'accès au dollar via les banques correspondantes n'est plus garanti. L'audit interne est aujourd'hui le premier élément que regardent ces contreparties.

Se former à l'audit du risque de fraude avec la certification CIA

Le risque de fraude est explicitement au programme de l'examen CIA : la Part 1 couvre les risques de fraude, le triangle de la fraude et les contrôles associés ; la Part 2 traite des procédures d'audit et de la collecte de preuves permettant de les détecter sur le terrain.

Tamkiny prépare à la CIA 100 % en français, avec des cas pensés pour les contextes africains et maghrébins : plus de 1 000 QCM corrigés, examens blancs chronométrés, assistant IA spécialisé et coaching par un expert certifié CIA.

Questions fréquentes