Affaire Congo Hold-up : comment 138 millions de dollars publics ont transité par une banque
Novembre 2021 : des millions de documents internes de BGFIBank RDC révèlent le détournement présumé de fonds publics congolais. Décryptage du montage et des contrôles qui ont cédé.
Les faits : une enquête à partir des documents internes d'une banque
En novembre 2021, un consortium international de médias et d'ONG (dont PPLAAF, Mediapart et l'EIC) publie « Congo Hold-up », la plus grande fuite de documents bancaires jamais analysée en Afrique : plusieurs millions de fichiers internes de BGFIBank RDC, filiale congolaise du groupe gabonais BGFI.
L'enquête documente le détournement présumé de plus de 138 millions de dollars de fonds publics congolais entre 2013 et 2018, incluant des fonds provenant de la Banque centrale du Congo et de la Commission électorale nationale indépendante (CENI).
À l'époque des faits, la filiale était dirigée et détenue en partie par des proches du chef de l'État. C'est le point de départ de tout : l'organe qui devait contrôler dépendait de ceux qu'il aurait dû contrôler.
Scénario : acteurs, mécanisme et red flags de l'affaire
Chiffres clés du dossier
- →138 millions USDMontant de fonds publics congolais dont le détournement est documenté par l'enquête, entre 2013 et 2018.
- →1 banque localeUtilisée comme canal principal de réception puis de transfert des fonds, sans blocage effectif de la filière conformité.
- →Plus de 10 sociétés écransEntités sans activité économique réelle, impliquées dans la fragmentation et le blanchiment des flux.
- →Plusieurs juridictionsLes fonds sont ensuite orientés vers des comptes offshore dans plusieurs pays (Europe, Asie, Afrique), compliquant la traçabilité.
Qui est qui dans le dossier
- →L'État congolaisDétenteur des fonds publics détournés, notamment via des comptes institutionnels (banque centrale, commission électorale).
- →La banque localeFiliale d'un groupe bancaire régional, elle sert de canal de réception et de transfert. Ses dispositifs KYC et LCB-FT existent formellement mais ne produisent pas d'effet.
- →Les intermédiairesPersonnes physiques, souvent proches du pouvoir, impliquées dans la mise en place et l'exécution du montage.
- →Les sociétés écransStructures offshore ou locales créées peu avant les flux, utilisées pour masquer les bénéficiaires effectifs.
- →Les faux fournisseursFournisseurs fictifs ou surfacturés, appuyés sur des contrats et factures fabriqués pour justifier les paiements.
- →Les institutions de contrôleRégulateurs, comité d'audit et audit interne : faiblement informés, contournés, ou dépendants des personnes qu'ils auraient dû contrôler.
Comment le schéma a fonctionné, étape par étape
Résultat : 138 millions de dollars de fonds publics détournés au détriment du Trésor, dans un pays où le budget de santé par habitant se compte en quelques dollars par an.
- →1 — Ordres de paiement frauduleuxDes ordres de paiement sont émis sur la base de faux contrats, de fausses factures ou de prestations inexistantes.
- →2 — Transfert vers la banque localeLes fonds sont virés sur des comptes ouverts au nom de sociétés écrans ou de bénéficiaires de complaisance.
- →3 — Multiples transferts internesLes montants sont fragmentés et déplacés entre plusieurs comptes afin de casser la piste d'audit.
- →4 — Transferts internationauxLes fonds partent vers des comptes offshore dans plusieurs juridictions, souvent via des banques correspondantes.
- →5 — Blanchiment et disparitionLes sommes sont intégrées dans des circuits financiers complexes pour dissimuler leur origine et bénéficier aux destinataires finaux.
Les red flags que l'auditeur interne devait voir
- →Ordres de paiement urgents ou inhabituels, validés hors circuit normal.
- →Fournisseurs inconnus ou créés récemment, sans historique ni existence physique vérifiable.
- →Montants élevés engagés sans mise en concurrence ni justification documentée.
- →Documents contractuels incohérents, incomplets ou visiblement antidatés.
- →Paiements vers des comptes locaux sans lien économique clair avec l'objet du contrat.
- →Multiplication des intermédiaires et des bénéficiaires sur une même opération.
- →Découpage des montants en plusieurs opérations, sous les seuils d'approbation ou d'alerte.
- →Transferts vers des pays à risque ou des juridictions offshore.
- →Absence de validation indépendante et de traçabilité des décisions de paiement.
Le montage, vu par un auditeur
- →Sociétés écrans et bénéficiaires effectifs opaquesDes entités créées peu avant les flux, sans activité économique réelle, dont l'actionnariat final n'est jamais remonté jusqu'à une personne physique identifiée.
- →Retraits en espèces massifsDes sorties répétées de plusieurs centaines de milliers de dollars, sans pièce justificative économique cohérente avec le profil du client.
- →Comptes publics utilisés comme comptes de passageDes fonds institutionnels crédités puis vidés en quelques jours vers des comptes privés — un profil de mouvement incompatible avec un budget public.
- →Personnes politiquement exposées non traitées comme tellesLe dispositif KYC/LCB-FT existait sur le papier ; les alertes ne remontaient pas, ou remontaient à des personnes concernées par les flux.
Les contrôles qui auraient dû se déclencher
Aucun élément de ce dossier n'exige une technique d'audit sophistiquée. Ce sont des tests de premier niveau, décrits dans tous les manuels de conformité bancaire, qui n'ont pas été exécutés — ou dont les résultats ont été neutralisés.
- →Test 1 — Échantillon de comptes PPESélectionner les comptes classés politiquement exposés et vérifier, dossier par dossier, l'identification du bénéficiaire effectif et l'approbation d'ouverture au niveau requis.
- →Test 2 — Seuils et alertes espècesRejouer les règles de monitoring sur 12 mois de transactions et vérifier le traitement de chaque alerte générée, y compris celles clôturées sans suite.
- →Test 3 — Analyse de données sur les fluxDétecter les comptes dont le solde entrant et sortant s'annule sous 72 heures, les virements circulaires et les bénéficiaires partageant une adresse ou un numéro de téléphone.
- →Test 4 — Indépendance de la fonctionVérifier à qui rend compte le responsable conformité et l'audit interne, et si des constats ont été retirés ou édulcorés avant présentation au comité d'audit.
La leçon centrale : sans indépendance, l'audit interne n'existe pas
Congo Hold-up n'est pas d'abord une défaillance technique, c'est une défaillance de gouvernance. Les Normes mondiales d'audit interne (GIAS 2024) posent explicitement le double rattachement : fonctionnel au Conseil, administratif à la direction générale, avec accès direct et sans filtre au comité d'audit.
Concrètement, cela signifie que le responsable de l'audit interne doit pouvoir présenter un constat mettant en cause l'actionnaire ou le directeur général sans que sa nomination, sa rémunération ou son budget en dépendent. Quand cette condition n'est pas remplie, tout le reste du dispositif est décoratif.
Ce que le dossier a changé
Après la publication, plusieurs banques correspondantes ont réduit ou coupé leurs relations avec l'établissement, des enquêtes ont été ouvertes dans plusieurs juridictions et le sujet du risque de correspondance bancaire (de-risking) s'est imposé dans toute la région.
Pour les banques africaines, l'enjeu est devenu existentiel : sans dispositif LCB-FT crédible et audité, l'accès au dollar via les banques correspondantes n'est plus garanti. L'audit interne est aujourd'hui le premier élément que regardent ces contreparties.
Se former à l'audit du risque de fraude avec la certification CIA
Le risque de fraude est explicitement au programme de l'examen CIA : la Part 1 couvre les risques de fraude, le triangle de la fraude et les contrôles associés ; la Part 2 traite des procédures d'audit et de la collecte de preuves permettant de les détecter sur le terrain.
Découvrir la formation CIA en françaisQuestions fréquentes
Qu'est-ce que l'affaire Congo Hold-up ?⌄
Une enquête publiée en novembre 2021 par un consortium de médias et d'ONG, à partir de millions de documents internes de BGFIBank RDC, documentant le détournement présumé de plus de 138 millions de dollars de fonds publics congolais.
Quel contrôle interne a principalement fait défaut ?⌄
L'identification du bénéficiaire effectif des clients, le traitement des alertes sur les retraits en espèces et surtout l'indépendance des fonctions conformité et audit interne vis-à-vis de l'actionnaire.
Que disent les Normes GIAS 2024 sur ce type de situation ?⌄
Elles imposent un rattachement fonctionnel de l'audit interne au Conseil, un accès direct au comité d'audit et une communication des constats significatifs sans filtre du management.
Quels sont les principaux red flags de ce type de montage ?⌄
Ordres de paiement urgents ou inhabituels, fournisseurs créés récemment, montants élevés sans mise en concurrence, documents contractuels incohérents, découpage des montants, multiplication des intermédiaires et transferts vers des juridictions offshore.
Comment les fonds publics ont-ils été blanchis ?⌄
Par une chaîne en cinq temps : ordres de paiement sur faux contrats, virements vers des comptes de sociétés écrans dans une banque locale, fragmentation en transferts internes, transferts internationaux offshore, puis intégration dans des circuits financiers complexes.
L'audit interne aurait-il pu détecter la fraude ?⌄
Oui. Les tests requis sont de premier niveau : revue des comptes de personnes politiquement exposées, rejeu des règles d'alerte espèces, analyse de données sur les flux entrants/sortants annulés en moins de 72 heures et vérification de l'indépendance de la fonction. Encore faut-il pouvoir remonter les constats sans filtre.
Prêt à préparer votre certification ?
Rejoignez les candidats francophones qui préparent leur CIA avec Tamkiny — cours, QCM, examens blancs et coaching expert.
Découvrir le programmeÀ lire aussi
