Qu’est-ce que la GovTech ? Le glossaire

La GovTech désigne l’usage des technologies numériques pour moderniser la manière dont les gouvernements rendent leurs services et conduisent leurs propres opérations — les portails destinés aux citoyens, et derrière eux les registres, les systèmes de paiement et les outils de gestion des dossiers. Ce qui distingue la GovTech d’un achat logiciel ordinaire, c’est la nature de l’acheteur : un gouvernement agit sous mandat légal, sous responsabilité publique et avec des obligations envers ses citoyens qu’un client privé ne porte pas ; le contrôle des données, l’auditabilité et la continuité n’y sont donc pas des options mais des exigences. La GovTech va de la simple numérisation — remplacer un formulaire papier — à des infrastructures qui changent ce qu’une institution peut promettre de façon crédible. Pour les régulateurs, cadres et institutions qui façonnent ce domaine dans une juridiction donnée, voir la GovTech au Cameroun.

La RegTech — technologie réglementaire — désigne les technologies qui aident les organisations régulées à satisfaire leurs obligations légales et réglementaires : surveiller des transactions, cribler des contreparties contre les listes de sanctions, tenir des registres auditables et produire les rapports que les superviseurs exigent. Le terme s’est imposé dans les services financiers, où les obligations de lutte contre le blanchiment et de connaissance du client ont rendu la conformité manuelle ingérable, mais la logique s’étend aujourd’hui à tout secteur soumis à des obligations déclaratives. Une bonne RegTech ne remplace pas le jugement ; elle rend la conformité démontrable, afin qu’une institution puisse montrer — et non simplement affirmer — qu’une obligation a été satisfaite. C’est pourquoi les enregistrements vérifiables et les standards ouverts y comptent davantage que l’automatisation brute. Pour le paysage réglementaire d’une juridiction donnée, voir la RegTech au Cameroun.

La SupTech — technologie de supervision — désigne les technologies utilisées par les superviseurs et régulateurs eux-mêmes : collecter les données réglementaires directement et automatiquement, les analyser à la recherche d’anomalies, et diriger les ressources d’inspection là où les données montrent le risque le plus élevé. Elle est le miroir de la RegTech — la RegTech sert l’entité régulée, la SupTech sert l’autorité qui la surveille — et les deux convergent vers la même exigence : des données assez bien structurées pour qu’une machine puisse les lire. Un superviseur ainsi équipé peut passer d’un reporting périodique par échantillons vers une supervision continue, mais seulement à la vitesse que permet la qualité des données qu’il reçoit. RegTech et SupTech sont traitées ensemble dans la RegTech au Cameroun.

Le bénéficiaire effectif est la personne physique qui, en dernier ressort, possède ou contrôle une société ou une construction juridique — l’être humain au bout de chaque chaîne de participations, de prête-noms, de trusts et d’entités intermédiaires, quelle que soit la longueur de la chaîne. La notion existe parce que propriété légale et contrôle réel peuvent diverger : une société peut être légalement détenue par une autre société, dans une autre juridiction, pour le compte de quelqu’un dont le nom n’apparaît nulle part. Les registres de bénéficiaires effectifs existent pour rendre cette propriété réelle lisible aux autorités et, de plus en plus, au public — et ce qui sépare un registre d’une liste d’affirmations non vérifiées, c’est la vérification. C’est autour de ce problème de vérification qu’est bâti RÉCOR, le registre souverain des bénéficiaires effectifs conçu pour le Cameroun par SIGIL.

La norme BODS (Beneficial Ownership Data Standard) est un standard de données ouvert, maintenu par Open Ownership, pour publier l’information sur les bénéficiaires effectifs sous forme de données structurées et interopérables ; sa version actuelle est la v0.4. BODS est fondée sur des énoncés : des énoncés distincts décrivent chaque personne, chaque entité et chaque relation de propriété ou de contrôle entre elles, avec des types d’intérêts tels que la participation au capital ou les droits de vote. L’enjeu du standard est la portabilité : des données publiées en BODS peuvent être lues par des plateformes d’analyse, des outils de journalisme et les systèmes d’autres juridictions, sans être verrouillées au logiciel qui les a produites. La spécification est publiée sur standard.openownership.org. RÉCOR est bâti pour exporter vers BODS v0.4 ; le profil d’export est documenté dans les références.

La recommandation 24 du GAFI est le standard international sur la transparence et les bénéficiaires effectifs des personnes morales, fixé par le Groupe d’action financière (GAFI) : les pays doivent garantir que des informations adéquates, exactes et à jour sur les bénéficiaires effectifs des sociétés sont accessibles aux autorités compétentes. Le GAFI a adopté une version renforcée de la recommandation en mars 2022. La recommandation lie délibérément des juridictions, non des fournisseurs — elle dit ce qu’un pays doit pouvoir répondre, non quel système y répond — c’est pourquoi un logiciel de registre s’évalue à son aune sans jamais être « certifié » par elle. RÉCOR est conçu pour satisfaire les recommandations 24 et 25 du GAFI et pour exporter vers un standard ouvert, afin que la réponse du pays reste portable.

L’intégrité des marchés publics est l’état dans lequel les contrats publics sont attribués et exécutés comme les règles le prévoient — de façon concurrentielle, transparente, à prix justes, au bénéfice du public — plutôt que détournés par la collusion, le favoritisme ou la fraude. La commande publique est le lieu où l’argent public rencontre les fournisseurs privés, ce qui la rend à la fois indispensable et exposée : les mêmes procédures qui achètent des médicaments et des routes peuvent être pliées pour acheter des loyautés. Protéger l’intégrité, c’est donc plus que punir après coup ; c’est publier les données sous forme analysable, guetter les schémas qui méritent examen, et tenir des registres qu’on ne peut pas réécrire en silence. Les institutions, règles et données d’une juridiction sont cartographiées dans l’intégrité des marchés publics au Cameroun.

L’analyse des signaux d’alerte est le criblage automatisé de données — avis de marchés, registres d’entreprises, listes de sanctions, décisions de justice — à la recherche d’indicateurs définis de risque élevé, les signaux d’alerte : un soumissionnaire unique là où plusieurs étaient attendus, un contrat fractionné juste sous un seuil, un fournisseur immatriculé quelques jours avant un appel d’offres. Un signal d’alerte est une piste, non un constat. Il justifie un examen ; il ne justifie jamais, à lui seul, une sanction, car chaque signal a des explications innocentes, et un système honnête garde cette distinction explicite au lieu de laisser un score se faire passer pour une preuve. La discipline consiste à définir les signaux précisément, à calibrer le poids de chacun, et à faire passer toute conclusion conséquente par le jugement humain. C’est la conception d’APEX, le système de renseignement anti-corruption de SIGIL pour la commande publique.

L’infrastructure de gouvernance souveraine désigne des logiciels d’intérêt public qu’une institution détient réellement : ils s’exécutent sur une infrastructure que l’institution contrôle, l’institution détient les clés, les données restent sous le contrôle de l’institution, et chaque action conséquente est autorisée, bornée et prouvée. Le terme marque un contraste avec la livraison cloud classique, où le fournisseur détient l’accès administratif, reçoit de la télémétrie et peut révoquer le service à distance — un arrangement qu’une entreprise privée peut accepter, mais qu’une institution publique, détentrice de données de citoyens sous mandat légal, ne peut souvent pas accepter. La souveraineté n’est pas l’isolement : ces systèmes peuvent bâtir sur des standards ouverts et exporter des données portables. Ce qui change, c’est qui répond du système — et qui peut en être exclu, c’est-à-dire personne. L’argument complet se trouve dans l’infrastructure de gouvernance souveraine.

La cybersécurité gouvernée est une pratique de la sécurité conduite sous un principe unique : une capacité technique n’est jamais une autorisation. Pouvoir scanner, exploiter ou corriger ne vaut jamais permission de le faire ; toute action conséquente doit passer une chaîne de contrôles explicite et fail-closed — identité authentifiée, permission exacte, portée autorisée, approbation humaine que son risque exige — et aucun constat n’est retenu tant qu’une vérification indépendante et déterministe ne l’a pas re-vérifié. Le terme répond à un mode d’échec réel : à mesure que les outils de sécurité gagnent en autonomie, le danger se déplace de ce qu’ils ne peuvent pas faire vers ce qu’ils font sans que personne n’ait décidé qu’ils le devaient. La cybersécurité gouvernée remet la décision là où elle appartient — à l’institution. La doctrine est exposée dans la cybersécurité gouvernée.

Une chaîne d’audit infalsifiable est un journal d’événements en ajout seul dont chaque entrée est cryptographiquement liée aux précédentes, de sorte que toute altération — une modification, une suppression, un réordonnancement — brise les mathématiques de la chaîne et devient détectable. « Infalsifiable » est ici une affirmation précise, et délibérément modeste : elle ne promet pas qu’un enregistrement ne sera jamais attaqué ; elle promet qu’une attaque ne peut pas réussir en silence. Les renforcements incluent l’ancrage de la chaîne dans un arbre de Merkle et sa contresignature par des témoins indépendants, si bien qu’un faussaire devrait compromettre plusieurs parties à la fois. Une piste d’audit dotée de ces propriétés transforme « faites confiance à nos journaux » en « vérifiez nos journaux » — la différence entre une affirmation et une preuve. Pourquoi SIGIL construit chaque système ainsi est exposé dans notre méthode.

Le broyage cryptographique est la destruction de données par destruction de la clé de chiffrement qui les rend lisibles : le texte chiffré peut subsister physiquement sur les disques et dans les sauvegardes, mais sans la clé il ne pourra plus jamais être rendu à l’état d’information. Sa valeur est la plus nette là où deux devoirs se heurtent : le droit d’une personne à l’effacement de ses données, et le devoir d’un registre de rester en ajout seul et infalsifiable. Supprimer des octets d’une chaîne en ajout seul briserait son intégrité ; broyer la clé honore l’effacement pendant que les mathématiques de la chaîne survivent intactes — une suppression ne peut donc jamais réécrire l’histoire en silence. Dans RÉCOR, le droit des citoyens à l’effacement est conçu pour être honoré exactement ainsi.