Fintech en Afrique francophone : cadre réglementaire, agrément, conformité et opportunités juridiques

L'Afrique francophone connaît depuis une décennie une explosion de l'innovation dans les services financiers digitaux. Mobile money, néobanques, agrégateurs de paiement, plateformes de crédit alternatif : les modèles se multiplient à un rythme que les cadres réglementaires peinent parfois à suivre. Pourtant, la maîtrise des régimes d'agrément, des obligations de conformité AML/KYC et des nouvelles directives sur l'interopérabilité constitue le véritable avantage compétitif des opérateurs qui savent naviguer dans cet environnement juridique pluriel. Ce guide analyse les points d'articulation essentiels entre les espaces BCEAO-UEMOA, OHADA et le Maroc, à l'attention des juristes, fondateurs de startups et investisseurs actifs dans le secteur.

I. Le paysage réglementaire de la fintech en Afrique francophone

L'Afrique francophone ne constitue pas un espace réglementaire unifié. Trois grandes architectures normatives coexistent, avec des degrés d'intégration variables, et chacune produit ses propres exigences en matière d'agrément, de capital et de supervision. La première erreur des startups fintech qui cherchent à se déployer en Afrique francophone est précisément de traiter cet espace comme un marché homogène. Il ne l'est pas, et l'ignorer peut conduire à des situations d'exploitation non conforme exposant la société à des sanctions administratives sévères ou à un retrait d'agrément.

La zone UEMOA et le rôle central de la BCEAO

Dans les huit pays membres de l'Union économique et monétaire ouest-africaine — Bénin, Burkina Faso, Côte d'Ivoire, Guinée-Bissau, Mali, Niger, Sénégal et Togo —, la Banque centrale des États de l'Afrique de l'Ouest (BCEAO) exerce une autorité réglementaire unifiée sur les services financiers digitaux. Le cadre de référence est l'instruction n° 008-05-2015 de la BCEAO relative aux conditions et modalités d'exercice des activités des émetteurs de monnaie électronique, révisée et complétée par les instructions n° 01-2020 et n° 02-2020 qui ont modernisé les règles applicables aux systèmes de paiement interbancaires et élargi le périmètre des acteurs soumis à supervision.

Ce dispositif distingue deux catégories d'acteurs : les établissements de monnaie électronique (EME), qui doivent obtenir un agrément spécifique auprès de la BCEAO, et les établissements de crédit qui proposent des services de monnaie électronique à titre accessoire dans le cadre de leur agrément bancaire classique. Pour les fintech souhaitant opérer à plein titre sur le marché des paiements digitaux, le statut d'EME est incontournable.

L'un des avantages décisifs du cadre UEMOA est son caractère supranational : un agrément EME obtenu dans un pays membre vaut, sous certaines conditions de notification préalable à la BCEAO, pour l'ensemble de la zone. Ce passeport régional n'est pas automatique — il exige une notification à l'autorité nationale compétente du pays d'accueil et le respect des règles locales de distribution — mais il constitue un levier d'expansion régionale considérable que les opérateurs bien conseillés savent mobiliser pour accélérer leur déploiement multi-pays à moindre coût réglementaire.

Le Maroc : une architecture bilatérale BAM–ANRT

Le Maroc présente une configuration réglementaire différente, fondée sur la loi bancaire n° 103-12 du 24 décembre 2014 et ses textes d'application, dont les circulaires de Bank Al-Maghrib (BAM) relatives aux établissements de paiement et aux services de paiement. La loi 103-12 a introduit une catégorie spécifique d'établissements de paiement (EP), distincte des banques et des sociétés de financement, habilitée à émettre et gérer des moyens de paiement, à exécuter des ordres de virement et à encaisser des paiements pour le compte de tiers.

En parallèle, l'Agence nationale de réglementation des télécommunications (ANRT) intervient sur les aspects liés aux opérateurs de téléphonie mobile qui proposent des services de mobile money. La coordination BAM-ANRT constitue un enjeu réglementaire spécifique au Maroc, notamment pour les modèles qui s'appuient sur une infrastructure USSD ou des applications mobiles intégrées aux offres des opérateurs télécoms. Les fintech doivent anticiper les implications de cette double compétence réglementaire dans la structuration de leurs partenariats commerciaux avec les opérateurs mobiles.

Depuis 2021, BAM a également lancé un bac à sable réglementaire (regulatory sandbox) qui permet à des startups fintech innovantes de tester leurs solutions dans un cadre supervisé, sans être soumises à l'intégralité des exigences réglementaires applicables aux opérateurs agréés. Ce dispositif, formalisé par la circulaire BAM n° 9/W/2021, a été étendu et renforcé en 2023 pour accueillir des projets dans les domaines de l'open banking, des paiements transfrontaliers et des actifs numériques. La Côte d'Ivoire et le Sénégal ont développé des dispositifs analogues en coordination avec la BCEAO.

L'OHADA : droit des affaires sans droit de la fintech

L'Organisation pour l'harmonisation en Afrique du droit des affaires (OHADA), qui regroupe 17 États membres dont la plupart des pays de l'espace UEMOA, offre un cadre unifié pour le droit des sociétés, les sûretés, les procédures collectives et le droit commercial général. Mais l'OHADA ne produit pas de réglementation sectorielle fintech : elle ne légifère ni sur la monnaie électronique, ni sur les paiements digitaux, ni sur les crypto-actifs. Son apport pour les fintech est donc indirect mais non négligeable : il sécurise la structure juridique de la société, les relations contractuelles avec les clients et partenaires, et les mécanismes de recouvrement en cas de défaut de paiement.

Espace / Pays	Agrément principal	Autorité compétente	Passeport régional
Zone UEMOA (8 pays)	Agrément EME — capital min. 1 Mrd FCFA	BCEAO + Commission bancaire UMOA	Oui, sous notification préalable
Maroc	Agrément Établissement de paiement (EP)	Bank Al-Maghrib (BAM)	Non — agrément national uniquement
Maroc (phase test)	Admission au sandbox BAM	Bank Al-Maghrib (BAM)	Non — cadre expérimental limité
OHADA (17 États)	Pas d'agrément fintech spécifique	N/A — droit des affaires général	N/A

II. L'agrément fintech : procédure et conditions

Obtenir un agrément fintech dans l'espace francophone africain est un processus exigeant, tant sur le plan documentaire que financier. Les délais sont systématiquement sous-estimés par les fondateurs, et les dossiers incomplets constituent la première cause de rejet ou de suspension d'instruction. Une préparation rigoureuse, idéalement anticipée de douze à dix-huit mois avant le lancement commercial envisagé, est indispensable pour maximiser les chances d'un agrément dans les délais.

Le dossier d'agrément EME auprès de la BCEAO

La procédure d'agrément EME est régie par l'instruction BCEAO n° 008-05-2015 et ses textes modificatifs. Elle se déroule en deux temps : une demande préalable d'agrément adressée à la Banque centrale nationale du pays d'incorporation, qui instruit le dossier avant transmission à la commission bancaire de l'UMOA pour décision finale. La commission bancaire dispose d'un délai de trois mois pour statuer à compter de la réception d'un dossier complet, délai qui court de facto à partir de la validation de complétude par la banque centrale nationale.

Les exigences de fond comprennent notamment :

• Un capital social minimum de 1 milliard de FCFA (environ 1,5 million d'euros), entièrement libéré à la date de dépôt du dossier d'agrément — cette exigence constitue souvent le principal obstacle pour les startups en phase d'amorçage
• Un plan d'affaires sur trois ans couvrant les projections financières, la politique de tarification, la stratégie de distribution et les hypothèses de volumes de transactions
• Un plan de continuité d'activité (PCA) documenté, incluant les scénarios de crise opérationnelle, les procédures de reprise après incident et les tests de validation périodiques
• Un dispositif AML/CFT conforme aux recommandations du GAFI, comprenant une politique de lutte contre le blanchiment formalisée, un programme de formation des équipes et la désignation d'un correspondant CENTIF
• Les casiers judiciaires et curriculum vitae certifiés des dirigeants et actionnaires significatifs (détenant plus de 10 % du capital social)
• Une convention de cantonnement des fonds des utilisateurs dans un établissement de crédit agréé dans la zone UEMOA, garantissant la protection des avoirs clients en cas de défaillance de l'EME

Le délai d'instruction varie entre six et dix-huit mois selon la qualité du dossier initial et la charge de travail de la commission bancaire. Les candidats agréés doivent, dans les six mois suivant la notification de l'agrément, justifier d'une ouverture effective des services et d'une conformité opérationnelle avec l'ensemble des exigences d'agrément, sous peine de caducité de l'autorisation accordée.

La procédure BAM au Maroc

Au Maroc, la demande d'agrément en qualité d'établissement de paiement est déposée auprès de Bank Al-Maghrib, conformément à la circulaire n° 14/W/2017 relative aux conditions d'exercice de l'activité des établissements de paiement. Le dossier comprend les statuts de la société marocaine, un business plan détaillé, les états financiers prévisionnels sur cinq ans, la documentation sur les systèmes d'information et les dispositifs de cybersécurité, ainsi que les engagements formels de conformité AML.

Le capital minimum requis pour un établissement de paiement au Maroc dépend des activités envisagées : il s'établit à 10 millions de dirhams pour les activités d'encaissement de fonds et d'exécution d'opérations de paiement, et peut être porté à 20 millions de dirhams pour les opérations incluant l'émission d'instruments de paiement. Le délai moyen d'instruction par BAM est de six à douze mois, sous réserve que le dossier soit complet dès le dépôt initial — condition que les praticiens recommandent de vérifier par un pré-dépôt informel auprès des équipes de BAM avant la soumission officielle.

Les bacs à sable réglementaires : un accélérateur pour les startups innovantes

Le sandbox réglementaire est l'instrument qui permet aux startups fintech de tester leurs modèles innovants en situation réelle, auprès de vrais utilisateurs, sans être soumises à l'intégralité du régime d'agrément applicable aux opérateurs ordinaires. Le Maroc dispose depuis 2021 d'un sandbox BAM actif, qui a accueilli plusieurs projets dans le domaine des paiements transfrontaliers, de l'open banking et de l'identification numérique des clients. La Côte d'Ivoire et le Sénégal ont également mis en place des dispositifs similaires, en coordination avec la BCEAO et les commissions bancaires nationales.

L'admission au sandbox ne dispense pas de toute obligation réglementaire : les opérateurs admis restent soumis aux règles de protection des données, aux obligations de reporting auprès du régulateur et aux plafonds de transactions définis dans le protocole d'admission individuel. En revanche, les exigences de capital minimum, de reporting prudentiel et de gouvernance formelle sont allégées pour la durée de l'expérimentation, généralement fixée à douze mois renouvelables une fois. À l'issue de cette période, le candidat doit soit déposer un dossier d'agrément complet, soit cesser l'activité expérimentale.

III. KYC/AML : les obligations de conformité spécifiques aux fintech

La conformité en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme (LBC-FT) constitue l'un des sujets les plus techniques et les plus sensibles pour les fintech opérant en Afrique francophone. Les régulateurs accordent une attention croissante à ce domaine, sous l'influence directe des évaluations mutuelles conduites par le GAFI et le GIABA (Groupe intergouvernemental d'action contre le blanchiment d'argent en Afrique de l'Ouest), dont les rapports conditionnent la notation des pays et leur accès aux financements internationaux.

Les recommandations GAFI applicables aux prestataires de services de paiement

Les Recommandations du GAFI, en particulier la Recommandation 15 révisée sur les actifs virtuels et la Recommandation 16 sur les virements électroniques, s'appliquent directement aux établissements de monnaie électronique et aux établissements de paiement opérant en Afrique francophone. Ces recommandations imposent notamment la mise en œuvre d'une règle du voyage (travel rule) pour les virements de fonds supérieurs à un seuil défini — fixé à 1 000 USD dans les directives GAFI, mais transposé de manière variable selon les juridictions de l'espace francophone.

Dans la zone UEMOA, la réglementation AML de référence est l'instruction BCEAO n° 01-2020 relative aux obligations de vigilance applicables aux émetteurs de monnaie électronique. Elle prévoit trois niveaux de vigilance : vigilance simplifiée pour les comptes à faible risque (plafonds de transaction limités à 200 000 FCFA par mois), vigilance standard pour les comptes courants standards, et vigilance renforcée pour les clients présentant des facteurs de risque élevés comme les personnes politiquement exposées (PPE) ou les entités réalisant des transactions transfrontalières récurrentes de montants significatifs.

L'eKYC : légalité et conditions de la vérification d'identité à distance

La vérification d'identité à distance, ou eKYC, est l'un des enjeux les plus débattus dans la fintech africaine. Pour les modèles entièrement digitaux, la capacité à onboarder des clients sans les faire venir physiquement en agence est souvent une condition sine qua non de la scalabilité du modèle et de la compétitivité tarifaire. Or les cadres réglementaires de l'Afrique francophone ont adopté des positions nuancées sur ce point, qu'il convient d'analyser avec précision avant tout déploiement.

Au Maroc, la circulaire BAM n° 5/W/2023 a introduit un cadre formel pour la vérification d'identité à distance, sous réserve du recours à des technologies certifiées permettant la comparaison biométrique faciale et la vérification de l'authenticité du document d'identité présenté. Les prestataires de technologie eKYC doivent être référencés par BAM, et les établissements de paiement qui y recourent restent pleinement responsables de la qualité et de la fiabilité du processus d'identification vis-à-vis du régulateur.

Dans la zone UEMOA, l'eKYC est permis dans le cadre de la vigilance simplifiée, pour les comptes dont le solde ne dépasse pas un plafond défini par la BCEAO. Au-delà de ce seuil, une vérification documentaire physique ou une validation renforcée via un système d'identification biométrique gouvernemental est requise. Plusieurs pays de la zone ont développé des systèmes d'identité numérique nationale interopérables — notamment la Côte d'Ivoire avec son système CNIe — qui peuvent être interfacés avec les processus eKYC des fintech pour couvrir une population plus large.

Déclarations de soupçon et cellules de renseignement financier

Tout EME et tout établissement de paiement opérant en Afrique francophone est tenu de mettre en place un dispositif de détection et de signalement des transactions suspectes auprès de la cellule nationale de renseignement financier compétente. Dans la zone UEMOA, ces cellules sont les CENTIF (Cellules nationales de traitement des informations financières), implantées dans chaque État membre. Au Maroc, l'autorité compétente est l'UTRF (Unité de traitement du renseignement financier), placée sous l'autorité du Procureur général du Roi.

Le non-respect des obligations AML expose les fintech à des sanctions administratives sévères : suspension ou retrait d'agrément, amendes pouvant atteindre plusieurs centaines de millions de FCFA dans la zone UEMOA, et mise en cause personnelle des dirigeants en cas de négligence grave. Dans un contexte où plusieurs grandes banques correspondantes internationales ont réduit leur exposition à l'Afrique de l'Ouest en raison de risques de conformité perçus, un dispositif AML robuste est aussi une condition d'accès aux services bancaires correspondants indispensables à l'activité transfrontalière des fintech.

IV. Interopérabilité et open banking : le cadre juridique émergent

L'interopérabilité entre systèmes de paiement et l'open banking sont les deux grandes frontières réglementaires de la fintech africaine pour les années à venir. Ces sujets, encore en cours de structuration normative dans la plupart des pays de l'espace francophone, offrent des opportunités considérables pour les acteurs capables d'anticiper les évolutions réglementaires et de positionner leurs solutions en amont de leur formalisation officielle.

L'interopérabilité dans la zone UEMOA : le GIM-UEMOA et les directives BCEAO

La BCEAO a fait de l'interopérabilité des systèmes de paiement un axe stratégique de son schéma directeur 2022-2026. Le Groupement interbancaire monétique de l'UEMOA (GIM-UEMOA) joue le rôle de chambre de compensation et d'infrastructure technique commune pour les transactions interbancaires et inter-EME à l'échelle de la zone. Depuis 2021, la BCEAO a rendu obligatoire la connexion des EME au GIM-UEMOA, ce qui garantit techniquement l'interopérabilité des wallets mobiles entre opérateurs différents au sein de la zone.

Sur le plan juridique, l'interopérabilité soulève des questions de responsabilité contractuelle en cas d'incident de transaction : qui est responsable envers l'utilisateur final lorsque l'échec d'une transaction résulte d'une défaillance dans la chaîne d'interopérabilité entre deux EME ou entre un EME et une banque ? Les conditions générales d'utilisation des EME doivent adresser explicitement ce point, en distinguant les défaillances imputables à l'EME émetteur, à l'EME récepteur et à l'infrastructure de compensation commune — un angle que les juristes tendent à négliger dans les premières versions des CGU.

Vers un open banking africain : état des travaux normatifs

L'open banking — compris comme le droit reconnu aux tiers agréés d'accéder, avec le consentement explicite du client, aux données de compte détenues par les banques — n'a pas encore fait l'objet d'une directive communautaire dans la zone UEMOA, à la différence de l'Union européenne avec sa DSP2. Plusieurs initiatives normatives sont en cours, notamment au sein du Comité de politique monétaire de la BCEAO et du Comité de l'Union de la commission de l'UEMOA, pour définir les contours d'une directive sur les services de paiement de type africain — parfois désignée par les praticiens sous l'appellation informelle de « DSP2 africaine ».

Au Maroc, BAM a publié en 2024 une circulaire cadre sur l'open banking qui définit les obligations des établissements bancaires en matière d'ouverture de leurs interfaces (API) aux établissements de paiement agréés, sous réserve du consentement explicite et documenté du client concerné. Le calendrier de mise en œuvre prévoit une phase pilote avec un nombre limité d'établissements bancaires volontaires, suivie d'une généralisation progressive à l'ensemble du secteur. Les fintech marocaines qui ont anticipé ce cadre et développé des solutions d'agrégation de comptes conformes aux spécifications techniques publiées par BAM se trouvent en position avantageuse pour capitaliser sur cette ouverture dès son entrée en vigueur générale.

Protection des données personnelles : CNDP (Maroc) et APDP de l'UEMOA

La collecte et le traitement des données personnelles des clients constituent un enjeu de conformité majeur pour toute fintech, tant au Maroc que dans la zone UEMOA. Au Maroc, la loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, supervisée par la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP), encadre strictement la collecte, le stockage, le transfert international et la durée de conservation des données clients. Les établissements de paiement soumis à la loi 103-12 doivent déclarer leurs traitements à la CNDP et obtenir une autorisation pour les traitements sensibles, notamment les données biométriques utilisées dans les processus eKYC.

Dans la zone UEMOA, chaque État membre dispose de sa propre autorité de protection des données — les Autorités de protection des données personnelles (APDP) — dont les pouvoirs, les ressources et la doctrine administrative varient sensiblement d'un pays à l'autre. La Commission de l'UEMOA travaille à l'harmonisation progressive de ces régimes à travers un acte additionnel communautaire, mais l'uniformisation reste incomplète. Les fintech opérant dans plusieurs pays de la zone doivent donc se conformer aux exigences de chaque APDP nationale, ce qui peut impliquer des notifications ou des autorisations préalables distinctes selon les États concernés.

L'articulation entre les obligations AML — qui imposent la conservation des données d'identification et des historiques de transactions pendant cinq à dix ans selon les juridictions — et les principes de minimisation des données et de durée limitée de conservation issus du droit à la protection des données personnelles crée une tension réglementaire que les fintech doivent gérer avec soin dans leur documentation interne, leur politique de confidentialité et leurs CGU. La pratique recommandée consiste à définir explicitement, dans la politique de conservation des données, les bases légales distinctes qui justifient chaque durée de conservation selon la catégorie de donnée concernée.

V. Recommandations pour structurer une fintech en Afrique francophone

Fort de l'analyse des cadres réglementaires et des exigences de conformité exposées dans les sections précédentes, il est possible de formuler des recommandations pratiques à l'intention des fondateurs, investisseurs et conseillers juridiques qui souhaitent structurer un projet fintech dans l'espace francophone africain avec une approche rigoureuse et durable.

Choisir le bon pays d'incorporation et d'agrément

Le choix du pays d'incorporation conditionne la juridiction de référence pour l'agrément, la loi applicable aux contrats avec les clients et partenaires, le régime fiscal de la société et l'environnement de gouvernance auquel sont soumis les dirigeants. Deux hubs principaux se distinguent dans l'espace francophone, avec des avantages différenciés selon le profil et les ambitions du projet :

Le Maroc présente plusieurs avantages structurels : stabilité réglementaire et institutionnelle de premier plan en Afrique, infrastructure financière développée, accès au marché européen via les accords d'association et de libre-échange, et présence d'une communauté fintech et d'un écosystème d'investissement actifs à Casablanca Finance City. L'agrément BAM est reconnu internationalement comme rigoureux et crédible, ce qui confère une légitimité comparative aux opérateurs marocains vis-à-vis des partenaires bancaires internationaux et des investisseurs institutionnels. Le marché intérieur marocain, avec une population de plus de 37 millions d'habitants et un taux de bancarisation en progression mais encore inférieur à 60 %, offre également un terrain de développement significatif avant une expansion continentale vers l'Afrique subsaharienne francophone.

L'axe Abidjan–Dakar constitue l'autre pôle stratégique, avec l'avantage décisif du passeport réglementaire UEMOA permettant une expansion dans sept autres pays à partir d'un agrément unique. Abidjan bénéficie de la présence du siège de la BCEAO et de la commission bancaire UMOA, ainsi que d'un écosystème de capital-risque africain dynamique et d'une économie qui représente près de 40 % du PIB de la zone. Dakar, capitale d'un pays reconnu comme leader en matière d'innovation fintech en Afrique de l'Ouest, attire de nombreuses startups grâce à une combinaison de talent technique local de qualité, de soutien gouvernemental structuré et d'accès croissant au financement international.

Stratégie de déploiement progressif et gestion du risque réglementaire

La tentation de se déployer simultanément dans plusieurs marchés est forte, portée par la pression des investisseurs qui valorisent l'adressable total de marché. Mais la réalité opérationnelle et réglementaire impose généralement une approche séquentielle, surtout pour les équipes fondatrices dont la bande passante de gestion de la conformité est limitée en phase de démarrage.

La stratégie recommandée est de choisir un premier pays d'ancrage — celui qui offre le meilleur équilibre entre taille de marché, coût réglementaire et potentiel de passeport régional — d'y construire une base opérationnelle solide, un historique de conformité irréprochable et une relation de confiance avec le régulateur local, puis d'utiliser ce socle pour étendre les activités dans des marchés adjacents en activant les mécanismes de reconnaissance mutuelle disponibles. Pour les fintech ciblant l'espace UEMOA, la Côte d'Ivoire ou le Sénégal sont généralement les premiers marchés d'ancrage recommandés, en raison de leur poids économique relatif et de la maturité de leur écosystème fintech.

Documentation juridique essentielle : ce que chaque fintech doit avoir

La documentation contractuelle d'une fintech opérant en Afrique francophone doit couvrir au minimum les éléments suivants, chacun devant être adapté à la juridiction spécifique d'opération :

• Conditions générales d'utilisation (CGU) — adaptées à chaque juridiction d'opération, incluant les clauses de responsabilité pour les incidents de transaction, les procédures de réclamation, les délais de remboursement et les règles de clôture de compte
• Politique de confidentialité — conforme aux exigences de la CNDP (Maroc) ou des APDP nationales (UEMOA), incluant les catégories de données collectées, les finalités de traitement, les destinataires des données et les droits des utilisateurs
• Contrats bancaires — convention de cantonnement des fonds clients dans un établissement de crédit agréé, accord de correspondance bancaire pour les paiements internationaux, protocole de règlement-livraison intraday
• Accords de partenariat commercial — contrats d'agent de distribution (super-agents, sous-agents), accords d'interopérabilité technique bilatérale avec d'autres EME, conventions d'apporteurs d'affaires conformes aux règles anti-corruption
• Documentation AML interne — politique LBC-FT formalisée, procédures KYC détaillées par niveau de vigilance, matrice de risque produits/clients/canaux de distribution/géographies, procédure de déclaration de soupçon

Anticiper la due diligence des investisseurs : ce que les VCs vérifient

Les fonds de capital-risque et de private equity actifs dans la fintech africaine accordent une attention croissante à la robustesse du cadre réglementaire et de conformité des sociétés dans lesquelles ils envisagent d'investir. Une due diligence d'investisseur dans une fintech africaine couvre systématiquement : la validité et le périmètre géographique exact de l'agrément, l'état opérationnel du dispositif AML/KYC et les résultats des derniers audits internes, les litiges en cours ou potentiels avec les régulateurs ou des tiers, la qualité et la complétude de la documentation contractuelle clients et partenaires, ainsi que la gouvernance formelle du sujet compliance au niveau du comité de direction.

Les red flags les plus fréquemment identifiés lors de due diligences pré-investissement sont : l'absence de responsable conformité dédié avec des pouvoirs réels, des CGU génériques non adaptées aux spécificités de chaque pays d'opération, des lacunes dans les politiques de conservation et de sécurisation des données personnelles, et une absence totale de documentation sur les incidents de sécurité ou de conformité passés et les mesures correctives effectivement adoptées. Anticiper ces points dès la phase de structuration, avant même la première levée de fonds, permet d'aborder les rounds de financement en position de force et de limiter les conditions suspensives ou les ajustements coûteux exigés par les investisseurs à la clôture.