Malveillance. Comment détecter la fraude interne dans les organisations ?

La fraude interne n’a pas de définition réglementaire mais elle est dérivée de l’escroquerie prévue à l’article L.313-1 du code pénal.

Le risque de fraude interne concerne toutes les pratiques malveillantes et volontaires visant l’enrichissement illicite ou l’obtention d’un avantage quelconque au détriment des intérêts d’une organisation, compte tenu d’une fonction exercée par un collaborateur ou d’un tiers agissant en son nom, et ayant accès à des procédures spécifiques ou systèmes opérants.

Le risque de fraude peut être également la conséquence d’un conflit d’intérêt, voire de pratiques corruptives. Pour ces raisons, les dispositifs d’investigation et anti-corruption prévoient aussi d’intégrer ce risque dans le champ des pratiques de sécurité financière et déontologique à couvrir et à prévenir.

La fraude interne présente plusieurs facettes. Il peut s’agir :

• du détournement d’actifs (vol de biens type ordinateur portable, véhicule de service, détournement de fonds),

• de création d’opérations frauduleuses dans la comptabilité (fausses factures, surfacturation),

• ou encore de pratiques de collusion avec des tiers (fournisseurs, clients) visant à profiter indument des biens et services fournis par une entreprise.

l’industrie française en gonflant ses comptes de 300 M€ par des fausses factures.

On peut encore signaler des pratiques commerciales réalisées à l’insu des clients, comme l’ouverture de comptes clients fictifs en vue de toucher une commission d’apporteur non justifiée. Comme ce fut le cas dans l’affaire des comptes fictifs au sein de la banque Wells Fargo, condamnée à 3 milliards de dollars d’amende pour des pratiques de ce type entre 2002 et 2016.

La fraude, forme particulière de triche dans les organisations, est inhérente à toute organisation humaine. Certains, même s’ils sont rares, verront une opportunité de s’enrichir et la saisiront si rien n’est fait pour leur montrer que les risques dépassent les gains escomptés (Pesqueux, « Essai sur la triche », Management & Avenir, 2009, n° 22).

L’exposition au risque de fraude dépend à la fois de la probabilité de s’enrichir de manière indue dans l’entreprise (autonomie forte, périmètre d’activité étendu, capacité à rendre des comptes sur son activité), mais aussi de la dissuasion mise en place via un vrai dispositif de détection. (Cf. Nicolas Dufour et Emmanuel Laffort, « La prévention de la fraude dans les établissements financiers, un enjeu d’appropriation croisée », Annales des Mines – Gérer et comprendre, 2016/2 (N° 124).

Comme l’évoque ce responsable d’audit interne interviewé en 2019 : « La fraude interne existe potentiellement dans toutes les organisations. C’est juste une question de volonté pour aller détecter ces cas, et de temps avant d’en détecter. Aucune organisation n’est potentiellement à l’abri de cela. C’est particulièrement vrai dans les PME et ETI qui ne disposent pas toujours de dispositif de contrôle interne préventif ou dissuasif. »

En matière de management, le contrôle des collaborateurs permet de mieux maîtriser les risques et notamment celui de fraude interne. Des outils différents peuvent être mis en œuvre dans l’entreprise. Deux types de contrôle émergent :

• le contrôle de la performance dans un souci d’amélioration des résultats ;
• et le contrôle des comportements.

La collecte d’informations sensibles concernant les collaborateurs pourrait également être envisagé comme un outil de lutte contre la fraude interne. Cela questionne alors les limites du possible. Jusqu’où l’employeur peut-il aller en la matière ?
Tout d’abord, il convient de rappeler que l’employeur, en vertu de son pouvoir de direction, peut organiser la surveillance des salariés sur le temps et sur le lieu de travail. (Cf.Cass. Soc. 5 novembre 2014 pourvoi n° 13-18.427 ; Cass. Soc. 26 avril 2006 pourvoi n° 04-43.582). Cependant cette surveillance ne doit pas aller à l’encontre du droit à la vie privée. Ainsi l’article L.1121-1 du code du travail précise que « nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ».

« L’employeur, en vertu de son pouvoir de direction, peut organiser la surveillance des salariés sur le temps et sur le lieu de travail. Cependant cette surveillance ne doit pas aller à l’encontre du droit à la vie privée. »

Certains employeurs, afin de lutter contre la fraude interne pourraient être alors tentés de mettre en œuvre des dispositifs de collecte d’informations concernant certains salariés afin de les surveiller. L’équilibre entre le respect des droits fondamentaux et la protection des intérêts légitimes de l’entreprise est donc parfois difficile à respecter et appelle à une vigilance particulière.

L’article L.1222-4 du code du travail dispose qu’« aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. »

De même, conformément à l’article L.2323-47 du code du travail, « le comité d’entreprise est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés ».

Par ailleurs, tout dispositif de collecte des données permettant l’identification des salariés est soumis à loi n° 2018-493 du 20 juin 2018 qui a modifié la loi Informatique et Libertés de 1978, afin d’assurer une conformité du droit national avec le cadre juridique européen, le Règlement général sur la protection des données (RGPD). Ce règlement prévoit, en son article 30, la mise en place d’un registre des activités de traitement qui permet de recenser les traitements de données et de disposer d’une vue d’ensemble de ce qui est fait des données personnelles.

Article extrait du n° 575 de Face au Risque : « Incendie : le contrat de maintenance » (septembre 2021).