Quel dispositif de lutte contre la fraude pour une banque ou une société de financement ?

Pourquoi un dispositif dédié à la fraude ?

Parce que la fraude traverse tous les processus et qu'aucune fonction ne la couvre entièrement par défaut. La conformité regarde la sécurité financière, les risques opérationnels collectent les incidents, l'audit intervient après coup, et les métiers voient chacun une partie du problème.

Un dispositif dédié donne un responsable, une méthode et une vision consolidée. Il permet de répondre à des questions simples que la direction générale finit toujours par poser : combien la fraude nous a-t-elle coûté cette année, sur quels produits, et que faisons-nous pour la réduire ?

Comment cartographier les risques de fraude ?

On recense les scénarios de fraude par processus et par produit, on évalue leur probabilité et leur impact, puis on rattache à chacun les contrôles existants. Le croisement donne un risque résiduel par scénario, qui oriente les actions.

La cartographie distingue trois familles. La fraude interne, commise par un collaborateur : détournement, contournement des délégations, création de clients fictifs. La fraude externe, commise par des clients ou des tiers : faux documents, usurpation d'identité, fraude aux moyens de paiement. La fraude mixte, où un tiers agit avec une complicité interne, souvent la plus coûteuse et la plus difficile à détecter.

Nous construisons la cartographie en ateliers avec les métiers, à partir des incidents passés, des dossiers contentieux et des constats d'audit. Elle s'articule avec la cartographie des risques opérationnels et celle des risques de non-conformité, pour éviter les doublons et les angles morts.

Quels contrôles mettre en place ?

Chaque scénario cartographié doit être couvert par au moins un contrôle de prévention ou de détection. La prévention empêche la fraude de se produire ; la détection la repère vite pour en limiter l'effet.

Les contrôles de prévention portent sur la séparation des tâches, les habilitations dans les systèmes, la vérification des justificatifs à l'entrée en relation, le double regard sur les opérations sensibles et les rotations de postes sur les fonctions exposées. Les contrôles de détection reposent sur l'analyse des opérations atypiques, les rapprochements, les revues d'habilitations et les alertes paramétrées dans les outils.

Le dispositif comprend aussi un circuit de traitement des cas : réception du signalement, qualification, investigation, décision, sanctions éventuelles, déclaration de l'incident et retour d'expérience. Un canal de signalement accessible aux collaborateurs, avec des garanties de confidentialité, complète l'ensemble.

Le plan de contrôle se construit à partir de la cartographie. Les scénarios au risque résiduel le plus élevé reçoivent des contrôles plus fréquents et plus approfondis ; ceux qui sont bien couverts sont testés moins souvent. Ce lien entre cartographie et plan de contrôle permet de justifier les moyens alloués et d'expliquer au superviseur pourquoi tel processus est contrôlé chaque mois et tel autre une fois par an.

Quelles sont les spécificités des sociétés de financement ?

Les sociétés de financement concentrent leur risque de fraude sur l'entrée en relation, les partenaires apporteurs et, pour le leasing et la location longue durée, le bien financé lui-même. Leurs volumes élevés de petits dossiers rendent les contrôles manuels coûteux.

En crédit à la consommation, les fraudes typiques sont les faux justificatifs de revenus, l'usurpation d'identité et les dossiers montés par un intermédiaire peu scrupuleux. Les contrôles portent sur l'authentification des pièces, le suivi de la sinistralité par apporteur et la détection des premiers impayés anormalement précoces.

En leasing et en location longue durée, le risque se situe aussi du côté du fournisseur et du bien : surfacturation, fournisseur fictif, revente ou disparition du bien. Le référencement des fournisseurs, la vérification de la livraison et le suivi physique des biens sont alors déterminants.

Quel rôle pour l'audit, les commissaires aux comptes et la gouvernance ?

La gouvernance fixe qui pilote le dispositif et à qui il rend compte ; l'audit interne et les commissaires aux comptes en évaluent l'efficacité. Les uns ne remplacent pas les autres.

Un responsable de la lutte contre la fraude, rattaché à la deuxième ligne de défense, anime la cartographie, suit les indicateurs et présente un reporting régulier à un comité de direction ou au comité des risques. Les indicateurs utiles sont peu nombreux : nombre de cas et montants par famille, délais de traitement, part des fraudes détectées par les contrôles plutôt que par hasard, actions correctives en retard.

L'audit interne évalue périodiquement le dispositif et peut conduire des investigations sur les cas graves. Les commissaires aux comptes, dans leurs travaux sur le contrôle interne, apprécient la manière dont l'établissement identifie et traite ce risque. Nous avons conduit des missions des deux côtés, en audit des dispositifs et en accompagnement à leur mise en place, ce qui aide à concevoir des contrôles qui résistent à une revue.

Les cas avérés doivent nourrir le dispositif. Chaque fraude traitée donne lieu à une analyse de cause : quel contrôle aurait dû l'empêcher, pourquoi il n'a pas joué, que faut-il modifier. Les conclusions mettent à jour la cartographie et le plan de contrôle. Sans cette boucle, le dispositif reste figé alors que les modes opératoires des fraudeurs évoluent.

La sensibilisation des équipes complète l'ensemble. Les collaborateurs des agences, des plateformes de traitement et des partenaires apporteurs sont les premiers à voir un dossier suspect. Des formations courtes, illustrées par des cas réels anonymisés, leur apprennent à repérer les signaux d'alerte et à utiliser le canal de signalement. Elles rappellent aussi les sanctions applicables en cas de fraude interne, ce qui a un effet dissuasif réel.