Si votre organisation exerce une activité de transactions électroniques en Guinée, vous devez un audit de sécurité, et si vous étiez déjà en activité en mai 2026, l’échéance pratique se situe autour du 21 novembre 2027.
Contrairement au décret évoqué dans l’article précédent, celui-ci n’est pas un compte rendu de presse. Le décret D/2026/0159/PRG/SGG est publié, numéroté, inscrit au registre du Secrétariat général du gouvernement, et nous en avons lu les onze pages. Tout ce qui suit vient du texte.
De quoi il s’agit
Le décret porte sur l’audit, le contrôle et la certification des systèmes d’information. Il est pris sur le fondement des articles 44 et 46 de la Loi L/2016/035/AN du 28 juillet 2016 relative aux transactions électroniques, d’où l’ARPT tire sa compétence sur ce domaine. Son article 24 le rend applicable dès sa signature.
Il n’est pas arrivé seul. Deux décrets frères ont été signés le même jour : le D/2026/0160/PRG/SGG, qui adopte le référentiel technique au regard duquel les audits sont menés, et le D/2026/0158/PRG/SGG, qui institue une redevance de conformité numérique ainsi que la plateforme et le fonds qui l’accompagnent. Celui qui porte une date à retenir est l’obligation d’audit.
Qui est concerné
L’article 4 vise toute entreprise publique ou privée légalement constituée en Guinée exerçant une activité de transactions électroniques. Puis il va plus loin, et cette phrase mérite deux lectures :
Sont également soumis au présent décret les prestataires établis hors du territoire guinéen qui offrent des services de transactions électroniques à des résidents en République de Guinée, dans les conditions fixées par décision de l’ARPT.
Être immatriculé ailleurs ne constitue donc pas, à la lecture du texte, une porte de sortie.
L’article 4 porte aussi une obligation facile à manquer parce qu’elle ne parle pas d’audit : l’entité qui cesse, suspend ou transfère son activité de transactions électroniques dispose de 30 jours calendaires pour en informer l’ARPT.
La cadence
L’article 5 fixe un audit de sécurité tous les trois ans, à un rythme resserré pour les entités que l’ARPT classera comme critiques.
En cas de succès, l’article 13 prévoit un certificat de conformité délivré par l’ARPT. En cas d’échec, le décret ne bascule pas immédiatement dans la sanction : un contrôle de suivi est programmé entre trois et douze mois plus tard, et l’entité auditée dépose un plan d’actions correctives qu’elle met en œuvre une fois validé par l’ARPT.
La structure est praticable. La pression ne commence que lorsque rien ne se passe du tout.
Ce qui arrive quand rien ne se passe
L’article 16 vient d’abord. À défaut d’audit, l’ARPT adresse une mise en demeure ouvrant un délai de 30 jours. Ce délai expiré, elle informe l’autorité sectorielle et passe aux articles 17 et 18.
L’article 17 prévoit deux régimes financiers, en précisant expressément qu’ils ne sont pas cumulables pour les mêmes faits :
Une astreinte journalière. 50 000 000 GNF par jour, courant à compter de l’expiration de la mise en demeure, plafonnée à 4 500 000 000 GNF. Elle cesse dès que l’audit démarre effectivement.
Ou une amende punitive. Proportionnée à la gravité du manquement et à l’avantage qui en a été tiré, plafonnée à 3 000 000 000 GNF, et doublée en cas de récidive.
Ce sont les montants du texte. L’astreinte est celle à anticiper, car elle court au calendrier et non sur décision, et ce qui l’arrête est le démarrage de l’audit, pas son achèvement.
La date
L’article 23 est la disposition transitoire. Les entités déjà en activité à l’entrée en vigueur du décret disposent de 18 mois pour se mettre en pleine conformité. Comptés depuis le 21 mai 2026, cela conduit autour du 21 novembre 2027. L’opérateur qui n’a pas achevé un premier audit à cette date tombe directement sous les articles 17 et 18.
Une réserve sur ce calcul. Le registre du Secrétariat général date le décret du 21 mai 2026. La page de l’ARPT affiche le 22 juin 2026, qui semble être sa propre date de mise en ligne et non la date de signature. Le registre fait foi, donc c’est le 21 novembre 2027 qu’il faut retenir, mais l’écart mérite d’être confirmé auprès d’un avocat avant d’en faire un jalon interne, car il décale l’échéance d’un mois.
Ce qui n’est pas encore fixé
Deux éléments que le décret annonce sans les contenir, et tous deux sont déterminants.
La classification par niveau de criticité. L’ARPT doit publier une classification des entités par niveau de criticité, assortie de règles différenciées selon la taille, la nature et le volume d’activité. Tant qu’elle ne l’a pas fait, vous ne pouvez pas savoir dans quelle catégorie vous vous situez, ni donc si la cadence triennale ou une cadence plus serrée vous concerne.
Les conditions d’agrément des auditeurs. L’ARPT doit également publier les conditions dans lesquelles les prestataires d’audit sont agréés. D’ici là, aucune liste publiée ne dit qui peut réaliser un audit qui compte.
L’article 23 place les deux à l’intérieur de la fenêtre de 18 mois, ce qui est de bonne conception et malgré tout inconfortable : le compte à rebours tourne pendant que les détails arrivent.
Ce qu’il faut faire cette année
Déterminez si l’article 4 vous atteint. En première approche, si votre organisation exerce une activité électronique en Guinée, ou sert depuis l’étranger des résidents guinéens, partez du principe que oui jusqu’à ce qu’un avocat vous dise le contraire. La clause visant les prestataires étrangers est explicite, et ses modalités pratiques sont renvoyées à une décision de l’ARPT qui n’a pas été publiée.
Consignez l’obligation d’information à 30 jours. C’est celle du décret que l’on enfreint le plus facilement par inadvertance, parce qu’elle se déclenche sur un événement de gestion que personne ne pense à faire passer par la conformité.
Faites le travail qu’un audit révélerait, avant qu’un auditeur ne le fasse. Contrôle des accès, journalisation, sauvegardes, réponse aux incidents, qui détient quelle clé. Rien de tout cela n’attend la classification, et c’est exactement ce qu’un premier audit examinera.
Budgétez sur l’exercice 2027, pas sur 2028. Les auditeurs agréés seront peu nombreux la première année, et tout le monde en cherchera un au même moment.
Guettez à l’ARPT les deux décisions manquantes. Leur publication est ce qui transformera une obligation générale en obligation précise pour votre organisation.
La réserve honnête
Cet article décrit ce que dit un décret publié. Il ne vous dit pas s’il s’applique à votre organisation, dans quelle catégorie vous seriez classé, ni à quoi ressemblerait pour vous un audit satisfaisant. Ces questions relèvent d’un avocat guinéen et de l’ARPT elle-même, et ce qui est réellement en suspens l’est aujourd’hui pour tout le monde, y compris pour tout prestataire à qui vous poseriez la question.
Information générale, pas conseil juridique. La page contact mène à une personne si vous souhaitez examiner ce que l’obligation d’audit impliquerait dans votre cas.