Dans cette série de trois articles, nous nous penchons sur le risque de fraude auquel les entreprises et OBNL peuvent être exposés ainsi que sur le rôle des gestionnaires et des administrateurs face à ce risque.

Avant de commencer, il convient de répondre à une question de base : qu’est-ce que la fraude ? L’Association of Certified Fraud Examiners (ACFE) définit la fraude comme « […] un acte délibéré ou intentionnel de priver une autre partie de sa propriété ou d’argent en utilisant la ruse, la tromperie ou tout autre moyen malhonnête ».

On reconnaît généralement 3 grands types de fraude.

1. La fraude contre les individus. Le vol d’identité, le clonage de cartes, l’hameçonnage courriel ou téléphonique ou encore les fraudes plus élaborées telles que les pyramides de Ponzi.
2. La fraude dite externe. Une fraude qui cible les organisations qui peut provenir de ses clients, de ses fournisseurs ou de réseaux organisés qui ciblent une ou des organisations en particulier. On parlera de vol de propriété intellectuelle, de brèches de sécurité, de vol d’information, de collusion dans l’obtention de contrats, etc.
3. La fraude interne ou occupationnelle. C’est la fraude qui émane de l’intérieur des organisations et qui est commise par les employés. On parlera ici plutôt de faux remboursements de dépenses, d’altération de chèques, de détournement de fonds, etc.

Les pertes liées à la fraude sont difficiles à quantifier en raison de la multiplicité des sources d’information, des schèmes de fraude et, évidemment, par la nature inconnue de la fraude ; on ne peut rapporter que ce que l’on découvre. Notons cependant certains chiffres connus : les pertes liées à la fraude interne seraient de plus de 7 G$ US dans le monde en 2017, avec une perte médiane de 200 000 $US au Canada pour la même année. Les consommateurs canadiens, eux, ont été individuellement victimes de fraude qui ont généré des pertes de près d’un milliard de dollars en 2016 selon l’Association des banquiers canadiens. Le bureau d’assurance du Canada a pour sa part que le seul vol de fret et de marchandise coûtait 5 G$ à l’économie canadienne.

Tous ces chiffres amènent à la première question que doivent se poser les gestionnaires et les administrateurs d’une organisation : est-ce que mon organisation a un portrait clair de la situation ? Est-ce que les pertes sont correctement comprises, catégorisées et rapportées ? Trop souvent, on considérera que les pertes liées à la fraude sont un « cost of doing business », comme si ces pertes étaient inhérentes au fonctionnement d’une organisation. Il est malheureusement difficile d’affirmer que c’est un mal nécessaire si on ne sait pas exactement quelles sont les pertes. Par ailleurs, même si le risque zéro est impossible à atteindre, il est fondamental que les administrateurs mettent en place des mesures de mitigation de ces risques car même si on ne peut éviter complètement les pertes, leur réduction par des investissements réfléchis peut avoir un effet positif sur les bénéfices de l’entreprise. 

Une sous question à se poser, au-delà du fait que les pertes soient rapportées correctement, est celle de la manière de rapporter les incidents. Est-ce que le nombre et la gravité des incidents sont connus ? Car tous n’entraînent pas nécessairement des pertes monétaires, on pourrait parler de perte d’information de clients par exemple. La Chambre de commerce du Canada rapporte une croissance, depuis 2014, du nombre d’entreprises ayant été victimes de pertes ou de fuite de données pour atteindre 53 % des entreprises canadiennes en 2016. Les administrateurs et gestionnaires devraient s’assurer que des mécanismes pour rapporter ces événements sont en place car ils contribuent à construire le portrait du risque à gérer dans l’organisation. Une fois que la situation est mieux connue et comprise, on peut passer à la prévention, la détection et la gestion des incidents de fraude.

La seconde question que doivent se poser les gestionnaires est : est-ce que nous agissons actuellement, et de quelle manière ? Avoir un portrait détaillé de la situation est un bon premier pas, mais une fois qu’on a cet outil en main, il faut s’en servir pour s’améliorer. La première est de se doter d’une politique claire assortie d’un code d’éthique qui couvre les comportements répréhensibles liés à la fraude interne. De cette manière, on se donne les bases pour atteindre 3 objectifs :

1. Définir les responsabilités de chacun face à la fraude et aux incidents ; qui surveille les risques ? Qui gère les incidents ? Comment et à qui sont-ils rapportés ? À quelle fréquence ? Etc.
2. Signifier à l’ensemble de l’organisation que la fraude est prise au sérieux et rappeler le rôle de chacun dans la lutte et la prévention, autant face aux risques à l’interne qu’à l’externe.
3. Se donner les bases pour agir face à des comportements répréhensibles d’employés, de gestionnaires ou d’administrateurs de l’organisation.

Une fois ces outils de base en place, on peut commencer à se donner des plans plus précis pour prévenir et détecter les types de fraude et d’incidents que nous savons être les plus dommageables pour notre organisation; ce qui changera d’une organisation à l’autre en fonction de sa taille et de son secteur d’activité.

En conclusion, la lutte à la fraude ne devrait pas être vue comme un coût, mais envisagée dans une perspective de création de valeur. Les problèmes doivent être connus, correctement rapportés et les solutions potentielles doivent être analysées de la même manière qu’on le ferait avec un projet de marketing ou de recherche et de développement : en regardant le retour sur investissement. La prévention et la détection, pour les organisations, peut rapporter plus que ce qu’elle coûte. Des gestionnaires et administrateurs diligents s’assureront d’avoir un portrait complet, des outils décisionnels fiables et un regard objectif de la situation à l’intérieur de l’organisation. On doit s’assurer d’agir, dans le respect de nos moyens, et de ne surtout jamais ignorer nos responsabilités face à la fraude.

Le prochain article abordera la question des risques de fraude interne des organisations en présentant plus en détail les risques, les causes probables, et certaines initiatives qui peuvent être mises en place pour réduire ces risques.