Créer un environnement antifraude

L'existence d'une opportunité dans un cas de fraude renvoie au contrôle interne, car c'est lui qui doit empêcher l'opportunité de fraude de se présenter. Comme il est expliqué précédemment, le fraudeur ne recherche pas forcément les failles du système : le plus souvent, elles se présentent à lui à l'occasion d'erreurs non corrigées.

Ainsi, les principales opportunités pour réaliser une fraude proviennent :

Il convient également de collecter les cas d'exception qui constituent une dérogation aux procédures et parfois même un contournement volontaire des règles. C'est le signe d'un dysfonctionnement qui doit alerter et être traité.

Il s'agit essentiellement d'un problème financier que le fraudeur cherche à résoudre, tel que, par exemple, un train de vie élevé, la nécessité d'éponger des dettes, l'addiction au jeu, un projet impossible à réaliser autrement, etc. Il est difficile pour l'entreprise d'agir sur ce facteur, mais elle peut rester attentive aux changements de comportements.

Dans le cas des états financiers, le besoin prend la forme de pressions jugées excessives, par exemple des objectifs irréalistes.

C'est un processus qui permet au fraudeur de rendre son acte acceptable par rapport à son système de valeurs.

Ce dernier va puiser ses motifs dans ses relations avec l'entreprise. Très souvent, un événement qui a généré de la frustation est à l'origine de cette attitude.

Pour faire face à ce facteur, l'entreprise doit mesurer le climat social et le bien-être de ses employés, ce qui est le rôle d'un service de ressources humaines efficace.

Nous présentons ci-dessous, à titre d'illustration, les facteurs de risque associés :

La stratégie de lutte contre la fraude est définie par le conseil d'administration (ou le comité d'audit) qui doit impérativement réaliser un travail sur les valeurs de l'entreprise, mais aussi sur sa vision du risque de fraude. L'implication de la haute direction est un facteur de réussite essentiel de la démarche.

Un code de conduite doit formaliser cette politique. À la différence des chartes d'éthique qui se généralisent, le code de conduite, plus précis, doit s'attacher à expliquer, au-delà des valeurs de l'entreprise :

Ce code doit être relayé par l'encadrement et présenté à chaque nouvel entrant.

La direction doit montrer l'exemple pour être crédible. Cela concerne à la fois le respect des procédures (pas de « passe-droits ») et les avantages.

Cette exigence doit se répercuter dans tout l'encadrement, car l'absence d'exemple est souvent un facteur de risque « détonateur ». L'exemplarité peut être mesurée lors d'entretiens avec le personnel ou par la diffusion de questionnaires.

Les études montrent que l'essentiel des fraudeurs n'a jamais été condamné auparavant. Cela confirme la théorie selon laquelle ce sont des personnes que rien ne prédisposait à la fraude et qui « basculent » à un moment donné. Dès lors, il n'est pas très utile de renforcer les contrôles au moment de l'embauche, excepté les règles de bon sens (vérification des justificatifs de diplômes, emplois antérieurs, etc.).

Il faut néanmoins rester vigilant, en particulier dans les groupes, car il peut arriver qu'une personne licenciée dans une des sociétés du groupe pour un comportement malhonnête se représente dans une autre filiale. On vérifiera donc si le service des ressources humaines a prévu cette éventualité.

Il est d'usage de recommander une rotation des personnes clés sur d'autres secteurs, par exemple dans le secteur bancaire. La question se posera dans les organisations par agence ou par site ou encore pour les commerciaux. Cette rotation peut effectivement être utile pour lutter contre les conflits d'intérêts ou même pour détecter des pratiques frauduleuses.

Nous avons insisté précédemment sur l'importance de mesurer le climat social de l'entreprise et le « bien-être » des employés (incluant le management). Il faut également être attentif aux changements de comportements qui peuvent être suspects et qui reviennent dans de nombreuses affaires : stress important, pas de vacances, etc.

Le personnel ne devra pas être laissé de côté dans la démarche et il convient de l'impliquer sous forme de formations de sensibilisation destinées à ce qu'il puisse :

On évitera les « grandes messes » pour se concentrer sur des ateliers couvrant les préoccupations des participants, souvent sous forme de cas pratiques afin de les mettre en situation.

Le départ d'un salarié est l'occasion de recueillir son opinion sur les dysfonctionnements qu'il a pu constater ou sur d'autres faits plus graves (par exemple, salarié confiant avoir été « approché » par un fournisseur ou avoir été témoin de pratiques douteuses). S'il convient de prendre avec du recul ces affirmations, ce sont toutefois des pistes à ne pas négliger.

Le « whistleblowing » a été instauré par le SOX en 2002 : les entreprises ont l'obligation de faire développer par leur comité d'audit un système de remontée d'informations. Il prend la forme de « hot line éthiques » mises à la disposition des employés, mais aussi des fournisseurs et des clients, afin qu'ils puissent alerter l'entreprise sur des comportements dont ils seraient témoins. Un dispositif de protection des informateurs sanctionne les entreprises en cas de représailles contre ces informateurs.

Le SOX a un impact qui dépasse les entreprises américaines, puisqu'il s'applique aussi aux sociétés étrangères cotées à la Bourse de New York. Ainsi, ces entreprises ont dû trouver un moyen de respecter ces obligations dans le cadre de la loi française et de notre culture. La solution est venue de la CNIL par la création d'un document unique indiquant les règles à respecter si l'on doit mettre en place un « dispositif d'alerte ».

On peut s'interroger sur la légitimité de ce type d'outil, qui peut être perçu comme de la dénonciation organisée mais redoutablement efficace. Selon l'ACFE (Association of Certified Fraud Examiners, enquête 2006), la première source de détection de la fraude était la dénonciation (34,2 %), puis le hasard (25,4 %), l'audit interne (20,2 %) et le contrôle interne (19,2 %).

Il faut comprendre que, dans de nombreuses affaires, des employés étaient au courant des malversations et se trouvaient dans une situation d'impasse lorsque le fraudeur était leur responsable hiérarchique. Par exemple, que doit faire un comptable contraint de saisir des écritures à la demande du directeur financier, alors qu'il sait qu'elles sont erronées ?

Il existe d'autres moyens que les hot line pour permettre cette remontée d'informations dans des conditions saines : par exemple, créer un comité d'éthique chargé de conseiller les employés, en veillant à intégrer des représentants du personnel et un tiers.

L'entreprise peut réaliser une enquête si elle a des soupçons, avant d'avertir les autorités. En effet, il y a de fortes chances pour que les poursuites soient abandonnées sur un dossier mal préparé ou que l'on engage des actions sans fondement. De plus, si une enquête judiciaire est lancée, les moyens d'investigation des services de police peuvent être traumatisants (saisie de documents, perquisitions, auditions de clients ou de fournisseurs, etc.).

Dans le cas où l'entreprise réalise l'enquête de fraude par elle-même, il est important de respecter certaines règles juridiques. Nous recommandons de faire appel à un spécialiste extérieur qui permettra de se faire une opinion rapidement et conseillera l'entreprise sur la démarche, en particulier sur les cas les plus délicats impliquant la direction.

Les entreprises sont insuffisamment préparées, car elles pensent trop souvent qu'elles ne peuvent pas être victimes de fraudes. Ainsi, elles sont démunies lors de leur premier cas et perdent beaucoup de temps, voire commettent des erreurs.

Comme pour tout risque, on doit réfléchir à un plan de crise au cas où le sinistre se réaliserait. Il peut comprendre les éléments suivants :

Poser ces quelques questions au dirigeant l'aidera à anticiper les problèmes, mais permettra aussi à l'auditeur ou au consultant de mesurer son degré de prise en compte du risque.

Les logiciels de modélisation permettent de décrire les processus sous la forme de logigrammes. On peut se servir de leur représentation graphique pour suivre le flux des valeurs et identifier ainsi plus facilement à quel moment elles peuvent être détournées. Il est également possible de faire apparaître le schéma de fraude associé.

Les outils classiques (Word, ABC flow chart) peuvent être utilisés pour dessiner les logigrammes, mais des logiciels plus élaborés existent. Par exemple, « MEGA suite » utilise la modélisation pour alimenter une base de données des contrôles et des risques, ce qui permet d'établir une cartographie.

Dans les cas de fraude, il est difficile de se contenter des sondages. Les logiciels d'analyse de données permettent d'analyser l'intégralité d'une base de données et de rechercher des indicateurs de fraude. Les logiciels les plus connus dans la profession sont IDEA et ACL qui développent les mêmes fonctions, parmi lesquelles :

On constate que ces fonctions font effectivement gagner beaucoup de temps et augmentent de façon importante la possibilité de détecter des anomalies. Il faut toutefois tenir compte du temps d'apprentissage et des limitations éventuelles d'accès aux données par l'entreprise (confidentialité). Ainsi, le flair et l'expérience de l'auditeur restent irremplaçables...