Les autorités publiques, communes, provinces, ministères, organismes d’exécution, autorités administratives indépendantes, services d’inspection, établissements publics et autres organisations du secteur public évoluent dans un environnement administratif au sein duquel pouvoirs publics, ressources issues de l’impôt, subventions, marchés publics, autorisations, supervision, contrôle, traitement des données et fourniture de services d’intérêt général sont continuellement imbriqués. Cette interdépendance expose particulièrement les organisations publiques à des risques d’intégrité et à des risques de criminalité financière qui ne se présentent pas toujours comme des problématiques distinctes de fraude ou de corruption. Une irrégularité dans une procédure de passation de marché public peut, par exemple, concerner simultanément des conflits d’intérêts, du favoritisme, des restrictions de concurrence, l’utilisation abusive d’informations confidentielles, un avantage indu, des faits de corruption, la falsification de documents, une facturation irrégulière ou encore le détournement de fonds publics. Une subvention peut avoir été formellement accordée conformément au dispositif applicable alors qu’un examen ultérieur révèle que la demande reposait sur des déclarations inexactes, que des entités liées n’avaient pas été suffisamment identifiées, que les prestations annoncées n’avaient jamais été effectivement réalisées ou que les ressources financières avaient été réorientées au profit de parties apparentées. Une décision de contrôle ou de sanction peut avoir été préparée conformément aux étapes procédurales tout en demeurant administrativement vulnérable lorsque le fondement juridique, la proportionnalité, la qualité des données, la sélection algorithmique, l’appréciation des preuves ou la mise en balance des intérêts ne peuvent être suffisamment démontrés. La gestion intégrée des risques de criminalité financière dans le secteur public doit donc dépasser très largement la prévention classique de la fraude. Elle exige d’articuler, dans un cadre cohérent de gouvernance et de gestion des risques, l’intégrité publique, la maîtrise de la criminalité financière, l’intégrité des marchés publics, le contrôle des subventions, le contentieux administratif, la prévention de la corruption, la protection des données, la résilience numérique, le contrôle financier, les enquêtes internes, l’analyse juridique et la responsabilité administrative. Pour votre organisation, cela signifie que les risques ne doivent pas être appréciés uniquement sous l’angle de la violation formelle d’une règle, mais également au regard de la question de savoir si les pouvoirs publics ont été exercés de manière démontrablement prudente, objective, proportionnée, traçable et conforme à la finalité pour laquelle ils ont été conférés.
La position particulière du secteur public renforce encore cette exigence. Alors qu’une entreprise privée s’intéressera principalement aux conséquences sociétaires, financières, contractuelles, réglementaires et réputationnelles d’un incident, une organisation publique confrontée à la même situation peut également faire face à une responsabilité politique, à un contrôle parlementaire ou municipal, à des investigations d’organes d’audit ou de contrôle, à l’intervention d’inspections ou d’autorités de supervision, à des procédures administratives, à des enquêtes pénales, à une responsabilité civile, à des mécanismes de plainte, à du journalisme d’investigation, à une contestation sociétale et à une érosion de la confiance institutionnelle. Une faiblesse interne relativement limitée peut ainsi se transformer rapidement en crise administrative si l’organisation n’est pas en mesure de démontrer qui était responsable, quelles informations étaient disponibles, quelle analyse a été effectuée, quels contrôles ont été appliqués et pourquoi une décision déterminée a néanmoins été prise en présence de signaux d’alerte connus. La gestion intégrée des risques de criminalité financière doit dès lors être directement rattachée au modèle des Trois Lignes de Défense. Au sein de la Première Ligne, la direction, le management, les directions métiers, les unités opérationnelles, les équipes chargées des subventions, les fonctions achats, les autorités chargées des autorisations, les inspecteurs et les autres fonctions d’exécution demeurent responsables des risques liés à leurs propres processus et décisions. Elles identifient, évaluent, maîtrisent, documentent et escaladent ces risques au moment même où les décisions publiques sont préparées et prises. La Deuxième Ligne, comprenant notamment la gestion des risques, la conformité, l’intégrité, les affaires juridiques, la protection des données, la sécurité de l’information, la maîtrise des risques de criminalité financière et d’autres fonctions spécialisées de supervision, définit les cadres, conseille, surveille et challenge de manière critique les décisions. La Troisième Ligne, au travers de l’audit interne et de l’assurance indépendante, évalue si la gouvernance, la gestion des risques et les dispositifs de contrôle interne fonctionnent effectivement en pratique. Votre organisation dispose ainsi d’un système défendable dans lequel la question essentielle n’est pas uniquement de savoir si des politiques, procédures et contrôles existent, mais s’ils sont effectivement appliqués, si les écarts sont identifiés, si les risques sont remontés à temps et si les déficiences sont corrigées de manière structurelle. Cette approche est déterminante pour une intégrité publique durable, une maîtrise efficace des risques de criminalité financière, une prise de décision conforme au droit et la préservation de la confiance institutionnelle.
Intégrité du secteur public et maîtrise des risques de criminalité financière
L’intégrité publique constitue le fondement même d’une action publique crédible. Votre organisation peut disposer de pouvoirs lui permettant d’allouer des ressources publiques, de délivrer des autorisations, d’exercer un contrôle, de collecter des informations, d’imposer des mesures administratives, d’accorder des subventions, de conclure des marchés, d’apporter un soutien financier à des citoyens ou de soumettre des entreprises à certaines conditions ou sanctions. Chacun de ces pouvoirs crée une situation dans laquelle décisions discrétionnaires, informations confidentielles, intérêts financiers et attentes sociétales se rencontrent. Des risques de criminalité financière peuvent dès lors apparaître lorsque l’autorité décisionnelle est influencée par des intérêts personnels, commerciaux, politiques ou institutionnels, lorsque la séparation des fonctions est insuffisante, lorsque les contrôles sont essentiellement administratifs ou encore lorsque des transactions atypiques ne font pas l’objet d’analyses suffisantes. Corruption, fraude, conflits d’intérêts, commissions occultes, pots-de-vin, falsification de documents, traitement préférentiel indu, fraude aux subventions, fraude dans les marchés publics, utilisation abusive d’informations confidentielles et détournement de fonds publics peuvent se produire dans des processus qui, sur le papier, semblent ordonnés et conformes aux procédures. Une gestion intégrée des risques de criminalité financière doit donc aller au-delà de la recherche d’infractions déjà établies et identifier les situations dans lesquelles opportunité, influence, asymétrie d’information et avantage financier se combinent. Pour votre organisation, cela signifie notamment que les dérogations aux règles d’achat, les attributions directes successives, la dépendance prolongée envers les mêmes fournisseurs, les anomalies de prix, les subventions répétées accordées à des entités liées, les paiements atypiques, les relations personnelles impliquant des collaborateurs et les dérogations aux circuits d’approbation doivent être considérés comme des signaux de risque potentiellement interconnectés. Il en va de même lorsqu’un responsable formule des instructions informelles en dehors des procédures décisionnelles habituelles, lorsque des informations sensibles sont communiquées à de futurs cocontractants ou lorsqu’un agent continue de participer à une décision malgré l’existence d’un intérêt personnel ou financier connu. La question centrale est toujours de savoir si votre organisation peut reconstituer qui a influencé la décision, quels intérêts étaient en jeu, quelles informations étaient disponibles, quels contrôles ont été réalisés et pourquoi la décision a néanmoins été considérée comme défendable malgré les anomalies identifiées.
Un dispositif de contrôle crédible suppose ensuite que l’intégrité publique soit directement reliée aux opérations quotidiennes. Au sein de la Première Ligne, les risques doivent être gérés là où ils apparaissent réellement : dans l’élaboration des politiques, la délivrance des autorisations, le contrôle, l’attribution des subventions, les marchés publics, la gestion contractuelle, les décisions relatives au personnel, les opérations immobilières, les achats informatiques, l’échange de données et les autres processus opérationnels. Un professionnel des achats ne doit donc pas se limiter à vérifier qu’une procédure de passation a été formellement suivie, mais doit également être attentif aux relations inhabituelles entre fournisseurs, fonctionnaires concernés et conseillers externes. Un agent chargé des subventions ne doit pas seulement vérifier qu’un formulaire est complet, mais également apprécier si les déclarations sont économiquement plausibles, si des parties liées existent et si les flux financiers correspondent aux activités réellement exécutées. Un manager ne doit pas réduire un conflit d’intérêts à une simple question de ressources humaines ou d’éthique lorsqu’il est directement lié à une décision financière. Au sein de la Deuxième Ligne, la gestion des risques, la conformité, les affaires juridiques, l’intégrité, la protection des données, la sécurité de l’information, la maîtrise des risques de criminalité financière et les autres fonctions spécialisées doivent soutenir, structurer et challenger cette responsabilité opérationnelle. Cela implique l’élaboration de règles claires concernant les conflits d’intérêts, les fonctions extérieures, les cadeaux, l’hospitalité, les informations confidentielles, les marchés publics, les risques liés aux subventions, les conseillers externes, les tiers et les transactions financières atypiques. La Deuxième Ligne doit également être capable d’identifier des tendances qui ne sont pas nécessairement visibles au niveau d’une unité isolée. Une série d’exceptions individuellement limitées peut, par exemple, révéler des faiblesses organisationnelles plus larges en matière de sélection des fournisseurs, de délégation de pouvoirs, de gestion contractuelle ou de contrôle de l’intégrité. La Troisième Ligne doit enfin évaluer de manière indépendante si les Première et Deuxième Lignes fonctionnent réellement, si les contrôles ne sont pas simplement validés de façon formelle, si l’information de gestion est fiable et si les déficiences identifiées sont corrigées dans des délais démontrables.
La maîtrise des risques de criminalité financière prend pleinement son sens dans les organisations publiques lorsque prévention, détection, enquête, réponse et remédiation sont effectivement reliées entre elles. Les mesures préventives comprennent notamment des pouvoirs clairement définis, une séparation adéquate des fonctions, des déclarations d’intégrité, des codes de conduite, des procédures de vérification, des contrôles fournisseurs, des matrices d’autorisation financière, des procédures de signalement et des évaluations périodiques des risques. La détection exige ensuite une information de gestion efficace, un suivi des transactions, des analyses de données, des contrôles de dossiers, des canaux de signalement, une analyse des tendances et une culture organisationnelle dans laquelle les collaborateurs peuvent signaler des anomalies sans que ces signaux ne soient affaiblis ou neutralisés en interne. Lorsque des soupçons concrets apparaissent, votre organisation doit pouvoir déterminer rapidement quelles données doivent être préservées, quelles personnes peuvent être concernées, quels conflits d’intérêts pourraient affecter l’indépendance de l’enquête et quelles exigences juridiques relatives à l’utilisation des données, au droit du travail, à la vie privée, à la confidentialité et à la collecte de preuves s’appliquent. Une enquête ne doit pas non plus se limiter à un comportement individuel. Lorsqu’un collaborateur a favorisé indûment un fournisseur, l’organisation doit également examiner pourquoi le processus a permis cette influence, pourquoi les contrôles n’ont pas fonctionné et pourquoi d’éventuels signaux antérieurs n’ont pas conduit à une intervention. La réponse peut inclure des mesures disciplinaires, des procédures de recouvrement, la résiliation d’un contrat, la modification des délégations de pouvoirs, un signalement aux autorités de contrôle, un dépôt de plainte, une intervention administrative ou une procédure civile. La remédiation suppose en outre que les causes structurelles sous-jacentes soient effectivement traitées. Votre organisation met ainsi en place un dispositif cyclique et démontrable d’intégrité publique et de maîtrise des risques de criminalité financière dans lequel les incidents ne sont pas considérés comme des événements isolés, mais comme des occasions de renforcer durablement la qualité de la décision, de la supervision, de la documentation, des données et de la résilience institutionnelle.
Intégrité des marchés publics, des appels d’offres et de la contractualisation
Les marchés publics figurent parmi les activités les plus sensibles du secteur public sur les plans financier et administratif. Des ressources publiques considérables sont consacrées aux projets de construction, aux infrastructures, aux technologies de l’information, aux soins, au conseil, à la sécurité, à l’énergie, aux services généraux, à l’immobilier, aux prestations professionnelles, au personnel temporaire et à de nombreux autres biens et services. La combinaison de montants contractuels élevés, d’intérêts commerciaux, de spécifications techniques complexes, d’une marge d’appréciation et de relations durables avec certains fournisseurs crée un environnement dans lequel peuvent apparaître fraude aux marchés publics, collusion, corruption, conflits d’intérêts, utilisation d’informations privilégiées, manipulation des critères de sélection, concurrence fictive, ententes sur les offres et influence indue. La maîtrise intégrée des risques de criminalité financière impose donc une analyse beaucoup plus large que la simple vérification formelle des documents de marché. Votre organisation doit être en mesure d’évaluer si les consultations de marché ont été conduites de manière transparente, si les spécifications n’ont pas été orientées de fait vers un fournisseur déterminé, si les commissions d’évaluation ont fonctionné avec une indépendance suffisante, si les collaborateurs concernés ont déclaré leurs relations, si les offres sont économiquement plausibles et si des ressemblances frappantes entre différentes propositions peuvent révéler une coordination. Les risques persistent également après l’attribution du marché. Les modifications contractuelles, travaux supplémentaires, prolongations, indexations, sous-traitances et dérogations peuvent modifier substantiellement la valeur économique d’un contrat après la clôture de la phase concurrentielle. Un contrat initialement attribué dans le cadre d’une procédure transparente et concurrentielle peut ainsi présenter, au stade de l’exécution, un profil de risque sensiblement différent. La gestion contractuelle doit donc faire partie intégrante de la maîtrise des risques de criminalité financière et ne pas être réduite à un simple suivi administratif d’une procédure de passation déjà achevée.
Au sein de la Première Ligne, la responsabilité principale de l’intégrité des marchés publics incombe aux fonctions qui définissent les besoins, préparent les procédures, évaluent les offres, gèrent les contrats et valident les prestations. Ces fonctions doivent disposer d’une compréhension suffisante des risques de criminalité financière pour apprécier non seulement la complétude procédurale, mais également la plausibilité économique et l’intégrité des opérations. Lorsqu’un même fournisseur est, par exemple, systématiquement sélectionné au travers de marchés séparés situés chacun sous un seuil de mise en concurrence, l’organisation doit déterminer s’il existe une nécessité opérationnelle légitime ou un fractionnement artificiel des achats. Lorsqu’un conseiller externe participe à la rédaction des critères d’un appel d’offres tout en entretenant des relations commerciales avec des candidats potentiels, le conflit doit être identifié, évalué et maîtrisé avant la poursuite de la procédure. Lorsque des travaux supplémentaires représentent de manière récurrente une part substantielle du montant initial du contrat, il convient de déterminer s’ils résultent véritablement de circonstances imprévues ou si l’offre initiale avait été volontairement sous-évaluée. La Deuxième Ligne doit établir des normes claires, des critères de risque et des mécanismes de challenge. Les affaires juridiques peuvent apprécier la position au regard du droit des marchés publics, la conformité et les fonctions d’intégrité peuvent analyser les relations et comportements, la finance peut étudier les prix, les factures et les schémas de paiement, les équipes data peuvent détecter des tendances inhabituelles chez les fournisseurs et dans les procédures, tandis que les fonctions spécialisées en matière de criminalité financière peuvent rapprocher ces différentes analyses au sein d’une évaluation intégrée des risques. La Troisième Ligne doit ensuite apprécier de manière indépendante si les contrôles liés aux marchés publics et à la gestion contractuelle fonctionnent réellement, si les dérogations restent véritablement exceptionnelles et si les risques liés à la sélection des fournisseurs, aux modifications de contrats et à la validation des prestations sont suffisamment intégrés dans les travaux d’audit.
L’analyse de données appliquée à l’intégrité des marchés publics peut considérablement renforcer la capacité de détection de votre organisation. Dans les grandes entités publiques, certains schémas suspects peuvent demeurer invisibles au niveau d’un dossier pris isolément mais apparaître clairement lorsque des informations concernant fournisseurs, employés, procédures d’achat, contrats, factures, coordonnées bancaires, adresses, structures sociétaires et modifications contractuelles sont analysées conjointement. Des combinaisons récurrentes entre les mêmes candidats, des écarts de prix anormalement faibles, une rotation régulière des entreprises attributaires, des caractéristiques documentaires identiques, des coordonnées communes, un volume élevé d’attributions de gré à gré ou un nombre exceptionnel de modifications contractuelles peuvent justifier une analyse approfondie. Cela ne signifie pas que toute anomalie statistique constitue une preuve de fraude ou de corruption. L’analyse de données doit fonctionner comme un instrument de détection et de priorisation dans le cadre de la maîtrise des risques de criminalité financière, après quoi une analyse juridique, financière et factuelle demeure indispensable. L’utilisation de données doit en outre respecter les exigences de finalité, de proportionnalité, de qualité, de transparence et d’explicabilité. Le recours à des algorithmes ou à des modèles de risque ne peut être gouverné de manière responsable que si votre organisation est capable d’expliquer quelles variables sont utilisées, comment les alertes sont générées, comment intervient le contrôle humain et comment les résultats inexacts ou discriminatoires sont évités. L’intégrité effective des marchés publics repose ainsi sur la combinaison de responsabilités claires, de données fiables, d’un contrôle indépendant, d’une discipline financière, d’une analyse juridique robuste et d’un suivi démontrable des signaux d’alerte. Cette approche limite non seulement le risque de perte financière, mais également la probabilité que les décisions d’achat soient ultérieurement fragilisées par des contentieux, des enquêtes, des controverses politiques ou une perte de confiance dans l’objectivité de la décision publique.
Subventions, financements publics et responsabilité dans l’utilisation des fonds publics
Les subventions, aides publiques, mécanismes de compensation, fonds publics et autres instruments de financement jouent un rôle essentiel dans la mise en œuvre des politiques publiques, tout en constituant des domaines dans lesquels les risques de criminalité financière peuvent se développer rapidement. Les financements publics peuvent être accordés à des entreprises, associations, établissements de santé, institutions culturelles, organismes d’enseignement, consortiums de recherche, fondations, initiatives locales ou particuliers, souvent sur la base d’informations largement fournies par le demandeur lui-même. Cette situation crée une asymétrie d’information. Votre organisation peut être conduite à décider sur la base de déclarations relatives aux coûts, aux prestations, aux effectifs, aux activités du projet, aux bénéficiaires, aux structures de propriété, au cofinancement ou aux résultats attendus qui ne peuvent pas toujours être vérifiées de manière indépendante au moment de la demande. La fraude aux subventions peut prendre la forme d’activités fictives, de financements multiples pour un même projet, de documents falsifiés, de coûts artificiellement gonflés, de personnel inexistant, de transactions irrégulières entre parties liées, de manipulation des indicateurs de performance ou encore de détournement des fonds vers d’autres finalités. Des organisations parfaitement légitimes peuvent également être confrontées à des difficultés financières et progressivement franchir certaines limites en matière d’imputation des coûts, de demandes de remboursement ou de reporting. La maîtrise des risques de criminalité financière doit donc prendre en considération aussi bien la fraude intentionnelle que les comportements résultant d’une gouvernance faible, d’une compétence financière insuffisante ou de contrôles internes défaillants chez les bénéficiaires. La question pertinente n’est pas seulement de savoir si une demande est administrativement complète, mais si sa logique économique est plausible, vérifiable et cohérente avec les informations internes et externes disponibles.
Au sein de la Première Ligne, les fonctions chargées de l’octroi des subventions doivent rester responsables de l’identification des risques pendant l’ensemble du cycle de financement public : demande, évaluation, attribution, versement d’avances, suivi, clôture et éventuel recouvrement. Une évaluation solide peut porter sur les entités liées, les bénéficiaires effectifs, les subventions antérieures, les autres financements publics, la capacité financière, les postes budgétaires inhabituels, les honoraires de conseil élevés, les paiements importants à des parties apparentées et les écarts entre les activités prévues et celles effectivement réalisées. La Deuxième Ligne doit définir les politiques, critères de risque et mécanismes de challenge indépendant, en réunissant expertise juridique, contrôle financier, conformité, intégrité, analyse de données et compétences spécialisées en matière de criminalité financière. La finance peut, par exemple, détecter des coûts sensiblement différents de projets comparables, tandis que les affaires juridiques vérifient le caractère exécutoire des conditions de financement et que les fonctions d’intégrité examinent si les dirigeants ou fournisseurs concernés apparaissent dans des incidents antérieurs. L’analyse de données peut mettre en évidence que plusieurs bénéficiaires utilisent les mêmes adresses, dirigeants, conseillers, comptes bancaires ou sous-traitants. Ces liens peuvent être parfaitement légitimes, mais ils peuvent également justifier un examen approfondi lorsqu’ils sont associés à d’autres indicateurs de risque. La Troisième Ligne doit apprécier de manière indépendante si les contrôles en matière de subventions fonctionnent effectivement, si les classifications de risque sont appliquées de façon cohérente, si les exceptions sont justifiées de manière démontrable et si les déficiences récurrentes entraînent une adaptation réelle des procédures et contrôles.
La sensibilité administrative de la fraude aux subventions augmente lorsque des volumes importants de bénéficiaires, des objectifs sociaux urgents ou des priorités politiques sont en jeu. Dans ces circonstances, la rapidité d’exécution peut entrer en tension avec la nécessité d’un contrôle rigoureux. Les dispositifs d’urgence, aides de crise et régimes temporaires de compensation montrent comment une pression opérationnelle élevée peut conduire à simplifier certains contrôles, tout en créant simultanément des opportunités d’abus. La gestion intégrée des risques de criminalité financière doit permettre à votre organisation de déterminer à l’avance quels contrôles restent indispensables en situation de forte contrainte temporelle, quels risques peuvent être acceptés consciemment, quels dispositifs complémentaires de surveillance doivent être mis en place après paiement et quels indicateurs exigent une intervention immédiate. Lorsque des soupçons apparaissent ensuite, la réponse doit rester juridiquement et factuellement rigoureuse. Suspension, recouvrement, retrait, enquête, sanctions administratives, mesures civiles ou transmission aux autorités pénales peuvent avoir des conséquences importantes pour les bénéficiaires. La qualité de la preuve, la proportionnalité des mesures, le respect du contradictoire, la confidentialité et l’existence d’un fondement juridique correct sont donc essentiels. Il importe également que votre organisation puisse reconstruire a posteriori le processus décisionnel. Les dossiers ne doivent pas seulement indiquer quelle décision a été prise, mais également quels risques ont été examinés, quelles informations ont été considérées comme fiables, quelles alternatives ont été envisagées et pourquoi certains signaux d’alerte ont ou non conduit à une investigation complémentaire. Un tel dispositif permet de renforcer simultanément la protection des fonds publics et la qualité de la décision dans un État de droit.
Corruption, conflits d’intérêts et abus de fonctions publiques
La corruption et les conflits d’intérêts touchent directement à la légitimité de l’administration publique. Les responsables publics sont tenus d’exercer leurs compétences dans l’intérêt général et non en fonction d’un avantage financier personnel, d’une faveur politique, de relations familiales, d’une dépendance commerciale ou d’autres influences inappropriées. En pratique, les conflits d’intérêts sont rarement totalement binaires. Une situation de conflit peut exister sans qu’une corruption soit démontrée. Un titulaire de fonction publique peut participer à une décision concernant une institution avec laquelle il a entretenu par le passé des relations professionnelles. Un collaborateur peut exercer une fonction extérieure au sein d’une entreprise dépendante d’autorisations ou de subventions accordées par la même autorité. Un acheteur public peut entretenir de longue date une relation personnelle avec un fournisseur. Un ancien fonctionnaire peut rejoindre une entreprise auparavant placée dans son champ de responsabilité. Ces situations ne sont pas automatiquement illicites, mais elles peuvent affecter l’indépendance, l’objectivité ou la crédibilité publique du processus décisionnel si elles ne sont pas identifiées, évaluées et maîtrisées de manière adéquate. La gestion intégrée des risques de criminalité financière doit par conséquent couvrir les conflits d’intérêts réels, potentiels et apparents. Dans le secteur public, il ne s’agit pas uniquement de déterminer si une décision a effectivement été influencée, mais également si un observateur raisonnablement informé pourrait mettre en doute l’indépendance du processus décisionnel. Transparence, déclaration en temps utile, analyse indépendante et mesures d’atténuation démontrables sont donc des composantes essentielles de l’intégrité publique.
Au sein de la Première Ligne, responsables publics, managers et collaborateurs doivent assumer activement la responsabilité de l’identification et de la déclaration des intérêts susceptibles d’affecter leur indépendance. Les registres relatifs aux fonctions extérieures, intérêts financiers, cadeaux, invitations et relations commerciales n’ont de valeur que si les informations sont à jour, les seuils de déclaration clairs et les déclarations effectivement examinées. Un système dans lequel les collaborateurs signent chaque année une déclaration standard sans obligation de signaler les changements importants en cours d’année offre une protection limitée. La Deuxième Ligne doit donc élaborer des critères d’évaluation, de maîtrise et d’escalade des conflits. L’analyse ne doit pas se limiter aux intérêts juridiques formels mais également couvrir les relations factuelles, dépendances économiques, liens personnels et perspectives professionnelles futures. Un conflit peut, par exemple, être géré par le retrait de la personne concernée du processus de décision, le transfert de certaines responsabilités, une analyse indépendante complémentaire ou une restriction d’accès à certaines informations. Dans d’autres situations, le conflit peut être si fondamental que la participation au processus concerné devient incompatible avec l’exercice crédible de la fonction publique. Conformité, intégrité, affaires juridiques, ressources humaines, finance et fonctions spécialisées en criminalité financière doivent alors pouvoir coopérer de manière intégrée. La Troisième Ligne apprécie ensuite si le dispositif fonctionne effectivement : les intérêts sont-ils déclarés en temps utile, les exceptions sont-elles correctement motivées, les contrôles empêchent-ils suffisamment les contournements et les risques structurels sont-ils communiqués aux organes dirigeants et de surveillance ?
Les risques de corruption peuvent également provenir de cadeaux, invitations, sponsoring, lobbying, intermédiaires, consultants, transactions immobilières, autorisations, inspections ou accès à des informations confidentielles. La frontière entre gestion légitime des relations et influence indue doit donc être claire, concrètement applicable et cohérente dans toute l’organisation. Une invitation à un événement ne constitue pas nécessairement un problème d’intégrité, mais son contexte, sa valeur, son moment, la fonction de son bénéficiaire et son lien avec une décision en cours peuvent modifier profondément le profil de risque. Il en va de même pour les consultants ou intermédiaires engagés en raison de leur réseau ou de leur accès aux décideurs publics. Lorsque ces tiers perçoivent des commissions de succès élevées, rendent des prestations insuffisamment définies ou exigent des paiements selon des schémas atypiques, un examen approfondi peut être nécessaire. La maîtrise des risques de criminalité financière impose que ces indicateurs ne soient pas examinés isolément. Paiements, déclarations d’intérêts, contrats, communications, documents décisionnels et relations existantes doivent pouvoir être rapprochés dans un cadre factuel unique lorsque les soupçons deviennent suffisamment concrets. Dès qu’une enquête est engagée, indépendance, préservation de la preuve, protection des données, respect du contradictoire et clarté des pouvoirs d’enquête deviennent essentiels. La réponse ne doit pas non plus se limiter à la personne impliquée. Lorsque la corruption ou l’influence indue ont été facilitées par des délégations excessivement larges, une séparation insuffisante des fonctions, une prise de décision informelle ou une supervision structurellement faible, ces causes doivent faire partie intégrante des mesures correctrices. La politique d’intégrité devient ainsi une composante opérationnelle de la gouvernance publique et de la maîtrise des risques de criminalité financière, et non un simple ensemble de principes formels.
Contrôle administratif, supervision réglementaire et prise de décision publique conforme au droit
Le contrôle administratif constitue l’une des formes les plus intrusives d’exercice de l’autorité publique. Les services d’inspection, autorités de régulation, communes, ministères et organismes d’exécution peuvent ouvrir des enquêtes, exiger la communication d’informations, limiter ou retirer des autorisations, récupérer des subventions, imposer des amendes administratives, prononcer des injonctions assorties d’astreinte, mettre en œuvre des mesures de contrainte administrative et adopter d’autres décisions susceptibles d’avoir des conséquences financières, opérationnelles et réputationnelles majeures pour les citoyens, entreprises et institutions. Un système de contrôle efficace doit donc être non seulement ferme, mais également juridiquement défendable, proportionné, rigoureux, transparent et fondé sur des faits fiables. La gestion intégrée des risques de criminalité financière est particulièrement importante dans ce domaine, car les signaux de contrôle résultent de plus en plus des mêmes données, transactions, analyses financières et modèles de risque utilisés pour détecter la fraude et d’autres comportements financiers irréguliers. Lorsque votre organisation sélectionne une entreprise pour une enquête en raison de schémas financiers atypiques, soumet un citoyen à un contrôle renforcé sur la base d’indicateurs de risque ou bloque un financement public en raison d’un soupçon de fraude, elle doit pouvoir expliquer comment le signal a été généré, quelles données ont été utilisées, quelle signification leur a été attribuée et quel contrôle humain est intervenu. Un indicateur de risque n’est pas une preuve. Il doit constituer le point de départ d’une analyse factuelle contrôlée, et non l’aboutissement automatique de la prise de décision. Les enquêtes portant sur la fraude et l’intégrité sont particulièrement exposées au biais de confirmation, un soupçon initial pouvant influencer l’interprétation ultérieure des éléments recueillis. Le challenge indépendant, l’examen d’hypothèses alternatives, des standards de preuve cohérents et des analyses de proportionnalité documentées sont donc indispensables.
Le modèle des Trois Lignes de Défense permet de répartir clairement les responsabilités en matière de contrôle administratif. Au sein de la Première Ligne, superviseurs, inspecteurs, juristes chargés du contrôle, personnels opérationnels et managers responsables assument les risques liés aux enquêtes et interventions. Ils doivent garantir l’utilisation licite des pouvoirs, la fiabilité des dossiers, l’évaluation rigoureuse des éléments de preuve, l’escalade en temps utile et l’application cohérente des politiques. La Deuxième Ligne soutient et challenge ces décisions au travers des affaires juridiques, de la gestion des risques, de la conformité, de l’intégrité, de la protection des données, de la sécurité de l’information, de la gouvernance des données et des fonctions spécialisées en matière de criminalité financière. Ces fonctions peuvent, par exemple, évaluer si les informations ont été obtenues légalement, si les modèles de risque restent alignés sur les finalités prévues par la loi, si les critères de sélection sont proportionnés, si des facteurs inadmissibles influencent la décision et si les différents instruments de contrôle sont appliqués de façon cohérente. La Deuxième Ligne doit également être capable d’identifier des tendances qui échappent aux équipes d’enquête individuelles, notamment des taux structurellement élevés d’annulation en recours administratif ou juridictionnel, des effets disproportionnés sur certaines catégories, des divergences régionales significatives, des écarts répétés aux procédures internes ou une augmentation du nombre de plaintes concernant une méthode d’intervention déterminée. La Troisième Ligne évalue indépendamment si le système global de supervision, de contrôle et de maîtrise interne fonctionne effectivement et si le management réagit de manière appropriée aux constats structurels. L’analyse ne doit donc pas porter uniquement sur le respect formel des étapes procédurales, mais sur la fiabilité substantielle et la traçabilité de la prise de décision.
Pour votre organisation, un contrôle défendable dépend finalement de la qualité de l’ensemble de la chaîne décisionnelle. Sélection, collecte d’informations, enquête, analyse, décision, communication, recours administratif, recours juridictionnel et éventuelles mesures correctrices doivent être cohérents entre eux. Lorsqu’un tribunal, une autorité de supervision, une commission parlementaire, un conseil municipal, un médiateur ou une commission d’enquête examine ultérieurement la manière dont une décision intrusive a été prise, le dossier doit permettre de reconstituer quels faits étaient disponibles à quel moment, quelles incertitudes existaient, quelles alternatives ont été envisagées, quels intérêts ont été mis en balance et pourquoi la mesure retenue a été considérée comme proportionnée. La maîtrise intégrée des risques de criminalité financière soutient cette exigence en rapprochant analyse financière, appréciation juridique, gouvernance des données, contrôle de l’intégrité et discipline décisionnelle. Elle est particulièrement importante lorsque la fraude financière, la fraude aux subventions, la fraude dans les soins, l’abus fiscal, les indicateurs de blanchiment, les signaux de corruption ou d’autres risques d’intégrité déclenchent une intervention publique. Une organisation publique solide distingue le soupçon de la preuve, la détection de la constatation et la sélection fondée sur le risque de la décision de sanction. Lorsque ces distinctions sont rigoureusement maintenues, votre organisation peut agir de manière à la fois plus déterminée et plus juridiquement résiliente. Il en résulte un modèle de contrôle dans lequel autorité publique, maîtrise des risques de criminalité financière, protection juridique, qualité des données et responsabilité administrative se renforcent mutuellement.
Détection de la fraude, analyse de données et prise de décision algorithmique dans le secteur public
La détection de la fraude au sein des autorités publiques et des organisations du secteur public évolue de plus en plus d’un contrôle essentiellement centré sur les dossiers individuels vers une approche fondée sur l’analyse de données, l’identification de schémas, l’analyse de réseaux et l’assistance automatisée aux activités de supervision et de contrôle. Communes, ministères, organismes d’exécution, services d’inspection, autorités de supervision et autres institutions publiques disposent de volumes considérables de données relatives aux subventions, autorisations, prestations sociales, marchés publics, situations fiscales, déclarations de soins, actifs immobiliers, entreprises, transactions, sanctions et constats antérieurs de contrôle. Ces données peuvent contenir des indicateurs importants de fraude aux subventions, fraude aux marchés publics, fraude dans le secteur des soins, détournement de fonds publics, conflits d’intérêts, fraude à l’identité, corruption ou autres risques de criminalité financière. L’analyse de données peut ainsi permettre à votre organisation d’identifier certains risques beaucoup plus tôt qu’au moyen d’échantillonnages traditionnels ou de signalements individuels. Cette capacité s’accompagne toutefois d’une responsabilité administrative fondamentale : une anomalie statistique, un signal de risque généré par un algorithme ou une classification automatisée ne constitue pas en soi une preuve de fraude, d’abus ou de comportement fautif. La gestion intégrée des risques de criminalité financière exige donc une séparation claire entre détection, investigation, appréciation de la preuve et prise de décision. Un score de risque peut justifier une analyse approfondie, mais il ne doit pas, sans examen indépendant, conduire directement à une sanction, un refus, un recouvrement ou une autre mesure intrusive. Votre organisation doit être capable d’expliquer quelles données ont été utilisées, pourquoi certaines variables ont été considérées comme pertinentes, comment la qualité des données a été contrôlée, quelles sources d’erreur ont été identifiées, comment intervient l’examen humain et quelles possibilités existent pour corriger un signal inexact. Dans la mesure où la décision publique peut directement affecter des droits, la sécurité financière des personnes, la liberté d’entreprendre ou l’accès à des prestations publiques, la détection de fraude et l’utilisation d’outils algorithmiques doivent satisfaire à des exigences élevées de transparence, de proportionnalité, de limitation des finalités, de traçabilité et de responsabilité humaine.
Au sein de la Première Ligne de Défense, la responsabilité principale incombe aux unités opérationnelles, équipes d’enquête, inspecteurs, analystes de données et décideurs qui utilisent des signaux de risque dans des processus concrets. Ils doivent comprendre ce qu’un modèle peut démontrer et ce qu’il ne peut pas démontrer, quelles incertitudes affectent les données sous-jacentes et dans quelles situations une vérification humaine complémentaire est indispensable. Lorsqu’une analyse de données révèle, par exemple, que plusieurs bénéficiaires de subventions utilisent la même adresse, le même administrateur, le même comptable ou des coordonnées bancaires comparables, cela peut constituer un schéma de réseau pertinent, mais sa signification doit encore être établie sur la base de faits. Il en va de même pour des volumes de déclarations inhabituels, des schémas atypiques dans les marchés publics, des modifications contractuelles répétées, des horaires de transaction anormaux ou des concentrations de paiements autour de certains intermédiaires. La Deuxième Ligne de Défense doit définir des normes claires à partir de la gestion des risques, de la protection des données, des affaires juridiques, de la sécurité de l’information, de la conformité, de l’intégrité et de la maîtrise des risques de criminalité financière. Ces fonctions doivent apprécier si les données utilisées sont licites et pertinentes, si les modèles sont susceptibles de produire des discriminations illicites, si les hypothèses ont été suffisamment validées et si les critères d’escalade demeurent proportionnés. La Deuxième Ligne doit également exercer un challenge critique lorsque les équipes opérationnelles accordent une confiance excessive aux résultats des modèles, lorsque la qualité des données est insuffisante ou lorsque les résultats obtenus ne correspondent plus à la finalité initiale du système. La Troisième Ligne de Défense doit ensuite évaluer de manière indépendante si la gouvernance, la qualité des données, la gestion des accès, la validation des modèles, la journalisation, la prise de décision et les procédures de correction fonctionnent effectivement. Il ne s’agit donc pas seulement de démontrer qu’un système technique fonctionne comme prévu, mais également qu’il est utilisé d’une manière administrativement responsable et juridiquement défendable.
La gouvernance de la détection algorithmique de la fraude doit également prendre en compte le risque de modèle, l’évolution des schémas de fraude et le danger d’une prise de décision auto-renforçante. Lorsque les données historiques d’enquête concernent principalement certains secteurs, régions, entreprises ou groupes, un modèle peut reproduire les concentrations de contrôle existantes sans pour autant refléter objectivement le niveau réel de fraude. Si ces mêmes catégories font ensuite l’objet d’une surveillance accrue précisément sur la base du modèle, les nouvelles données peuvent être de plus en plus influencées par les choix de contrôle antérieurs. Une gestion coordonnée des risques de criminalité financière exige donc une réévaluation périodique des critères de sélection, des taux d’erreur, des écarts entre signaux et irrégularités effectivement constatées, des résultats des recours administratifs et juridictionnels ainsi que des éventuels effets systématiques. Pour votre organisation, cela signifie que les indicateurs techniques de performance doivent être reliés à des indicateurs de qualité juridique et administrative. Le nombre de signaux détectés n’est pas suffisant ; la proportion de signaux non fondés, de décisions retirées, de sanctions annulées, de recours accueillis et de cas dans lesquels les données initiales se sont révélées erronées est tout aussi importante. Lorsque ces informations sont intégrées dans les rapports de gestion, elles fournissent une image beaucoup plus complète de la qualité du contrôle fondé sur les données. Une détection efficace de la fraude ne consiste donc pas à maximiser le nombre d’alertes, mais à organiser un processus discipliné dans lequel analyse de données, maîtrise des risques de criminalité financière, protection juridique et responsabilité administrative se renforcent mutuellement.
Lanceurs d’alerte, signalements internes et enquêtes indépendantes dans le secteur public
Les signalements internes et alertes émanant de lanceurs d’alerte constituent l’une des sources les plus importantes pour détecter à un stade précoce fraude, corruption, conflits d’intérêts, abus de pouvoir public, manipulation de procédures d’achat, influence indue et autres atteintes à l’intégrité au sein d’organisations publiques. Les collaborateurs disposent souvent d’informations qui n’apparaissent ni dans les rapports financiers, ni dans les dossiers d’audit, ni dans l’information de gestion formelle. Ils peuvent constater que des critères d’appel d’offres sont modifiés au bénéfice d’un fournisseur connu, que certaines subventions sont approuvées avec une rapidité inhabituelle, qu’un responsable exerce une pression pour contourner des contrôles, que des informations confidentielles sont partagées avec des parties externes ou encore que des avertissements antérieurs sont régulièrement ignorés. Une gestion intégrée des risques de criminalité financière exige donc que les canaux de signalement ne soient pas simplement maintenus comme une obligation formelle de conformité, mais qu’ils fonctionnent réellement comme un élément fiable de la maîtrise de la criminalité financière et de l’intégrité publique. Un dispositif de signalement efficace doit être accessible, confidentiel et suffisamment indépendant pour que les collaborateurs puissent avoir confiance dans le fait que des alertes sérieuses seront examinées sans représailles inappropriées. Votre organisation doit également pouvoir distinguer clairement les plaintes ordinaires, les conflits de travail, les signalements d’intégrité et les informations susceptibles d’indiquer une infraction pénale ou une faiblesse structurelle de gouvernance. Cette qualification détermine les compétences nécessaires, les données qui doivent être immédiatement préservées et le niveau approprié d’escalade administrative.
Au sein de la Première Ligne de Défense, les responsables hiérarchiques, les ressources humaines, les dirigeants opérationnels et les propriétaires de processus doivent être capables d’identifier rapidement les signalements pertinents et de les orienter vers le bon dispositif. Une alerte concernant une irrégularité financière potentielle ne doit pas être réduite à un simple conflit de travail lorsque son contenu peut également révéler fraude, falsification, corruption ou détournement de fonds publics. La Deuxième Ligne de Défense doit établir des protocoles d’enquête, des critères d’indépendance et des voies d’escalade clairement définis. Conformité, intégrité, affaires juridiques, protection des données, ressources humaines et fonctions spécialisées en criminalité financière doivent disposer chacune d’un rôle clairement délimité. Il doit être établi à l’avance qui est habilité à décider de l’ouverture d’une enquête, comment sont évités les conflits d’intérêts au sein de l’équipe d’investigation, quelles informations doivent être transmises à la direction ou aux organes de surveillance et dans quelles circonstances des enquêteurs externes, avocats, experts forensic, comptables ou autres spécialistes doivent être engagés. La Troisième Ligne de Défense doit apprécier de manière indépendante si le dispositif de signalement et d’enquête fonctionne effectivement, si les alertes sont traitées dans des délais appropriés, si des tendances structurelles sont identifiées et si les mesures correctrices sont réellement mises en œuvre. Lorsque les mêmes catégories de signalements se répètent, cela peut indiquer que l’environnement de contrôle sous-jacent n’a pas été suffisamment renforcé.
Une enquête indépendante dans le secteur public exige en outre une attention particulière à la préservation des preuves, à la protection des données, au droit du travail, à la responsabilité administrative et à l’existence éventuelle de procédures parallèles. Courriels, messages, documents financiers, dossiers d’appels d’offres, journaux d’accès, documents de politique interne, procès-verbaux de réunions et autres données numériques peuvent être essentiels à la reconstitution des événements. Ces informations doivent être sécurisées en temps utile, mais uniquement dans le cadre d’une enquête licite et proportionnée. Les entretiens avec les collaborateurs doivent être soigneusement préparés, et les constatations factuelles doivent rester clairement distinctes des interprétations et conclusions. Lorsqu’une enquête est susceptible de conduire à des mesures disciplinaires, à une saisine des autorités pénales, à une intervention administrative ou à une responsabilité politique, l’importance d’une documentation cohérente augmente encore. Une gestion intégrée des risques de criminalité financière signifie également qu’une enquête ne doit pas s’arrêter à l’identification d’une personne responsable. Votre organisation doit également examiner pourquoi les contrôles existants n’ont pas permis de prévenir ou détecter le comportement, si le management aurait dû identifier des signaux antérieurs et si des incitations structurelles ou des problèmes culturels ont contribué à la situation. Les mesures de remédiation peuvent alors comprendre un renforcement des délégations de pouvoirs, une meilleure séparation des fonctions, une adaptation des procédures de signalement, des formations ciblées, de nouveaux contrôles, une intervention de la direction ou un renforcement de la supervision indépendante. L’enquête interne devient ainsi un instrument d’amélioration structurelle de l’intégrité publique et non une simple réponse à un incident isolé.
Responsabilité des dirigeants, de l’administration et des responsables politiques
La responsabilité administrative au sein du secteur public dépasse largement la seule responsabilité juridique. Organes dirigeants, direction générale, hauts fonctionnaires, organes de surveillance et responsables politiques doivent pouvoir expliquer comment des décisions importantes ont été prises, quels risques étaient connus, quels signaux ont été discutés et pourquoi une orientation particulière a été retenue malgré certaines incertitudes. En présence de fraude, corruption, détournement de fonds publics, défaillances dans les marchés publics, insuffisances dans le contrôle des subventions ou pratiques de contrôle disproportionnées, la question se pose presque immédiatement de savoir si la direction et le management disposaient d’une information suffisante et exerçaient une supervision adéquate. La maîtrise intégrée des risques de criminalité financière doit donc être directement reliée à la prise de décision stratégique, à l’information de gestion, aux protocoles d’escalade et aux mécanismes de surveillance. Votre organisation doit connaître non seulement le nombre d’incidents survenus, mais aussi les tendances qui se dégagent, les contrôles qui ne fonctionnent pas, les risques qui demeurent durablement au-dessus des seuils de tolérance et les mesures correctrices qui prennent du retard. Un organe dirigeant qui ne reçoit que des indicateurs agrégés de conformité sans visibilité sur les tendances concrètes, les dérogations répétées ou les incidents significatifs peut ne pas disposer des informations nécessaires pour exercer effectivement ses responsabilités. L’information de gestion doit donc présenter une valeur réelle sur les plans financier, juridique, opérationnel, éthique et réputationnel.
Le modèle des Trois Lignes de Défense soutient cette responsabilité en établissant clairement où se situent la propriété du risque, la surveillance et l’assurance indépendante. La Première Ligne doit gérer les risques dans les activités quotidiennes et la prise de décision et ne peut pas automatiquement transférer cette responsabilité vers les fonctions de conformité ou les affaires juridiques. La Deuxième Ligne doit fournir à la direction et au management un challenge indépendant, des analyses thématiques, des évaluations de risques et des alertes lorsque la maîtrise est insuffisante. La Troisième Ligne doit ensuite évaluer de manière indépendante si les Première et Deuxième Lignes fonctionnent efficacement et si les rapports destinés à la gouvernance sont suffisamment fiables. Pour votre organisation, l’escalade ne doit pas se limiter au simple transfert d’informations relatives à un incident. Une escalade efficace doit fournir le contexte, la gravité, les incertitudes, les conséquences possibles, les différentes options disponibles ainsi qu’une recommandation claire sur les actions à entreprendre. Les dirigeants doivent pouvoir démontrer que ces informations ont effectivement été examinées, que des questions critiques ont été posées et que le suivi a été contrôlé. Lorsque des risques importants continuent d’apparaître pendant plusieurs mois dans les rapports de gestion sans responsable clairement désigné, sans échéance ni intervention, le reporting formel peut lui-même démontrer que des déficiences connues n’ont pas été suffisamment traitées.
La responsabilité politique ajoute une dimension supplémentaire. Une décision juridiquement défendable peut demeurer politiquement ou socialement difficile à soutenir lorsque la transparence fait défaut ou lorsque les conséquences pour les citoyens et les entreprises n’ont pas été suffisamment prises en considération. À l’inverse, une pression politique ne peut jamais se substituer à l’analyse des faits, au fondement légal ou à la proportionnalité de la décision. La gestion intégrée des risques de criminalité financière permet à votre organisation de structurer ces tensions en rattachant les décisions à des preuves, à une analyse des risques, à une documentation rigoureuse et à des mécanismes clairs d’escalade. Dans les situations sensibles, stratégie juridique, continuité opérationnelle, communication politique et exigences d’enquête doivent être soigneusement coordonnées sans permettre que les constats factuels soient adaptés aux objectifs de communication. Lorsque surviennent des questions parlementaires, des enquêtes municipales, une forte attention médiatique ou des investigations de supervision, votre organisation doit être capable de reconstituer rapidement quelles informations étaient disponibles à quel moment. Une responsabilité administrative forte ne consiste donc pas uniquement à répondre lorsqu’une crise survient, mais à créer en amont un environnement dans lequel décisions, risques acceptés, dérogations et mesures correctrices sont documentés de manière démontrable.
Enquêtes parallèles menées par autorités de supervision, services d’enquête et autres autorités publiques
Les organisations publiques peuvent être simultanément l’objet d’une enquête, une source d’information, un partenaire de coopération et une autorité de contrôle dans des dossiers complexes. Une problématique liée à un marché public peut, par exemple, attirer l’attention de l’audit interne, de fonctions d’intégrité, d’une autorité externe de supervision, de la police, du ministère public, d’une Cour des comptes ou d’instances politiques. Un soupçon de fraude aux subventions peut conduire à une enquête interne, à une procédure administrative de recouvrement, à une action civile et à une enquête pénale. Lorsque des flux financiers transfrontaliers ou des marchés internationaux sont concernés, des autorités étrangères peuvent également intervenir. La gestion coordonnée des risques de criminalité financière exige donc que votre organisation soit préparée à des enquêtes multi-autorités dans lesquelles différents organismes disposent de pouvoirs différents, appliquent des standards de preuve différents, suivent des calendriers procéduraux différents et poursuivent des objectifs différents. Des réponses insuffisamment coordonnées peuvent conduire à des déclarations contradictoires, à des communications excessives d’informations, à un affaiblissement de la position juridique de l’organisation ou à une perturbation d’une enquête interne en cours. La première étape doit donc toujours consister à établir une cartographie claire des autorités impliquées, de leurs compétences légales, de leurs demandes d’information, des obligations de notification, des droits procéduraux et des éventuels chevauchements entre différentes procédures.
Au sein de la Première Ligne de Défense, les fonctions opérationnelles doivent immédiatement préserver les documents, données et traces décisionnelles pertinents lorsqu’une enquête ou une demande formelle d’information est annoncée. Les collaborateurs doivent comprendre que des interprétations personnelles, des communications informelles ou des contacts non coordonnés avec les autorités peuvent avoir des conséquences importantes. La Deuxième Ligne doit réunir les affaires juridiques, la conformité, l’intégrité, la protection des données, la sécurité de l’information et les fonctions spécialisées en maîtrise de la criminalité financière afin d’évaluer de manière centralisée les demandes d’information, d’organiser la préservation des preuves, de protéger la confidentialité et de garantir la cohérence entre différentes procédures. Lorsque des enquêtes pénales et administratives se déroulent parallèlement, il convient d’examiner soigneusement si des déclarations effectuées dans une procédure peuvent produire des conséquences dans une autre. Il en va de même pour les rapports d’enquête internes, les entretiens, les constatations d’audit et les documents susceptibles d’être demandés ultérieurement. La Troisième Ligne de Défense doit conserver son indépendance et peut apprécier si les déficiences organisationnelles sont correctement identifiées et si les mesures correctrices sont réellement mises en œuvre sans compromettre l’indépendance des investigations en cours.
Une réponse efficace à des enquêtes parallèles exige également une prise de décision claire concernant la communication externe, l’escalade vers la direction et la coopération avec les autorités. Toutes les déficiences n’appellent pas la même réponse. Dans certaines situations, une coopération complète sera appropriée ; dans d’autres, il sera nécessaire d’examiner au préalable les pouvoirs légaux de l’autorité, les exigences de confidentialité, la proportionnalité ou les conséquences en matière de protection des données. Une gestion intégrée des risques de criminalité financière permet que ces questions ne soient pas examinées isolément, mais dans le cadre d’une appréciation plus large des risques juridiques, des risques de criminalité financière, de la continuité opérationnelle et de la responsabilité publique. Votre organisation doit également éviter que toute l’attention soit absorbée par l’enquête externe alors que les causes internes du problème demeurent sans réponse. Lorsqu’une autorité de supervision identifie, par exemple, de graves insuffisances dans le contrôle des marchés publics, des mesures d’amélioration internes doivent être engagées sans délai lorsque les faits le permettent. Des améliorations structurelles, une gouvernance transparente et un suivi démontrable peuvent, au final, être aussi importants que l’issue juridique formelle de l’enquête.
Gouvernance publique intégrée et confiance institutionnelle durable
La gouvernance publique intégrée rapproche intégrité publique, maîtrise des risques de criminalité financière, gestion des risques, droit administratif, protection des données, gouvernance des données, sécurité de l’information, contrôle interne, audit et responsabilité dirigeante dans un cadre cohérent. L’objectif n’est pas que chaque fonction travaille de manière identique, mais d’éviter que des informations importantes relatives aux risques restent enfermées dans des départements séparés. Une équipe achats peut, par exemple, constater qu’un fournisseur sollicite régulièrement des modifications contractuelles atypiques, tandis que la finance identifie des schémas de facturation inhabituels, que la conformité connaît l’existence d’un conflit d’intérêts et que la sécurité de l’information a enregistré un incident concernant la même contrepartie. Si ces informations ne sont pas rapprochées, le profil de risque réel peut être sensiblement sous-estimé. La gestion intégrée des risques de criminalité financière crée dès lors un langage commun du risque au moyen duquel personnes, fournisseurs, transactions, subventions, projets, décisions et incidents peuvent être appréciés sous plusieurs angles. Pour votre organisation, cela signifie que les évaluations de risques ne doivent pas être menées exclusivement par département, mais que les informations pertinentes doivent être consolidées autour des décisions significatives. Des signaux faibles peuvent ainsi, une fois combinés, révéler un schéma cohérent avant qu’une situation n’évolue vers une enquête pour fraude, un contentieux administratif, une affaire pénale ou une crise institutionnelle.
Le modèle des Trois Lignes de Défense constitue un socle pratique pour cette gouvernance. La Première Ligne gère les risques dans les opérations quotidiennes et demeure responsable de la qualité des processus, des décisions et des contrôles. La Deuxième Ligne donne une orientation, soutient, surveille et challenge de manière critique au moyen de la gestion des risques, de la conformité, de l’expertise juridique, de l’intégrité, de la protection des données, de la sécurité de l’information, de la maîtrise des risques de criminalité financière et d’autres fonctions spécialisées de supervision. La Troisième Ligne apprécie de manière indépendante si la gouvernance, la gestion des risques et le contrôle interne fonctionnent réellement et si les déficiences identifiées sont corrigées de manière durable. Cette répartition évite que l’intégrité soit considérée comme une responsabilité exclusive de la conformité, que le contrôle financier repose entièrement sur la finance ou que l’audit interne soit utilisé comme substitut à la maîtrise quotidienne des risques. La valeur du modèle réside dans le fait que chaque Ligne assume pleinement son rôle tout en partageant en temps utile les informations pertinentes avec les autres. Pour votre organisation, il en résulte un système gouvernable dans lequel la propriété des risques est claire, le challenge est démontrable et l’assurance indépendante conserve une distance suffisante par rapport à la prise de décision opérationnelle.
La confiance institutionnelle résulte en définitive de la cohérence visible des décisions et comportements dans la durée. Citoyens, entreprises, collaborateurs, représentants élus, autorités de supervision et organisations de la société civile n’évaluent pas uniquement les incidents pris isolément ; ils observent également la manière dont votre organisation réagit aux erreurs, aux critiques et aux nouvelles informations. Une organisation publique qui enquête rapidement sur les incidents, étaye ses conclusions, attribue clairement les responsabilités et met en œuvre de manière démontrable des améliorations renforce sa légitimité. Une organisation qui répond de manière défensive aux signaux d’alerte, maintient des responsabilités diffuses ou permet que les mêmes déficiences se répètent érode la confiance, même lorsque les procédures formelles ont été globalement respectées. Une maîtrise intégrée des risques de criminalité financière doit donc conduire à un cycle continu de prévention, détection, enquête, réponse, remédiation et évaluation indépendante. La maîtrise de la criminalité financière, l’intégrité publique et la responsabilité administrative deviennent ainsi des composantes d’une même approche de gouvernance. Pour votre organisation, le résultat est une capacité renforcée à identifier les risques plus tôt, à mieux documenter les décisions, à cibler plus précisément les contrôles et à rendre l’exercice des pouvoirs publics plus défendable. La confiance institutionnelle n’est ainsi plus considérée comme un objectif de communication à atteindre après un incident, mais comme le résultat d’une intégrité démontrable, d’un contrôle interne fiable et d’une responsabilité publique exercée de manière cohérente.
