La fraude à l’assurance commence rarement par une énergie criminelle, mais par des portes ouvertes dans son propre système. Dans son analyse pointue, Thomas Schubert montre pourquoi la fraude n’est pas le véritable problème, mais le symptôme d’une défaillance de la gouvernance. Et pourquoi la conformité ne devrait plus être un facteur de coûts depuis longtemps, mais un avantage concurrentiel stratégique.
Et vous pensez qu’un service de conformité, un manuel et un certificat accroché au mur suffisent. Bref, l’horloge tourne. Depuis douze mois en moyenne. Tik-tak, tik-tak, tik-tak.
Chaque fois qu’une fraude à l’assurance n’est pas détectée, une porte a été laissée ouverte auparavant.
Pas par la malchance. Pas par la seule énergie criminelle. Mais parce que quelqu’un a oublié de fermer la porte ou n’a jamais eu l’intention de la fermer.
FRAUD n’est pas le problème. La fraude est le symptôme. Le vrai problème est l’échec de la gouvernance.
Celui qui comprend cela ne change pas seulement sa vision de la conformité. Il change sa façon de penser et d’agir.
Le triangle de la fraude : le seul facteur que vous pouvez contrôler
Depuis des décennies, la science explique la criminalité économique par le triangle de la fraude. Trois facteurs doivent être réunis pour que la fraude se produise : La pression, la rationalisation et l ‘opportunité.
Vous pouvez difficilement contrôler la pression qu’un employé subit. Vous ne pouvez pas contrôler si quelqu’un a des difficultés financières, s’il est sous pression ou s’il justifie son acte.
Mais l’opportunité peut être éliminée.
La fraude se développe là où les structures de contrôle sont défaillantes. Là où une seule personne gère les processus, de la saisie au paiement, sans contrôle croisé. Où les droits d’accès ne sont pas gérés activement. Où le conseil d’administration acquiesce sans comprendre ce qu’il approuve.
Ce qui élimine concrètement les opportunités : le principe des quatre yeux pour les validations critiques. La séparation systématique des tâches. Celui qui saisit une transaction ne doit pas la valider. Des limites de validation qui déclenchent automatiquement une deuxième signature. La gestion des identités et des accès, qui retire immédiatement les droits d’accès en cas de changement de poste ou de départ.
Ce ne sont pas des questions informatiques. Ce sont des mesures de gouvernance et des décisions. Et c’est la première question que je règle avec une direction avant de parler de technologie ou de réglementation.
Question à vous poser : est-ce qu’aujourd’hui, dans votre organisation, des décaissements peuvent être déclenchés sans vérification croisée et qui s’en apercevrait ?
Ce que la loi exige de vous et ce qu’il en coûte de l’ignorer ?
L’échec de la gouvernance n’est pas une question morale. C’est une question de responsabilité.
Le législateur suisse est clair sur ce point. L’article 716a du Code des obligations oblige le conseil d’administration à exercer une haute surveillance intransmissible sur la gestion des risques. La prévention de la fraude n’est donc pas du ressort du responsable de la conformité, mais du conseil d’administration. Celui qui néglige cette obligation est personnellement responsable des dommages qui en résultent, conformément à l’art. 754 CO. La négligence suffit.
L’art. 146 du Code pénal suisse sanctionne l’escroquerie d’une peine d’emprisonnement pouvant aller jusqu’à cinq ans ou d’une amende. L’art. 158 du CP, gestion déloyale, vise directement ceux qui portent atteinte aux intérêts patrimoniaux qui leur ont été confiés. Cela inclut explicitement les dirigeants des sociétés de courtage.
La LSA, art. 41, exige une garantie personnelle, une bonne réputation démontrable et une intégrité. Ordonnance sur la surveillance des entreprises d’assurance privées (OS) Art. 188 prescrit une organisation opérationnelle appropriée. FINMAG Art. 29 oblige à déclarer immédiatement les incidents importants.
La FINMA a été claire : « Nous ne savions pas » n’est plus valable. Celui qui aurait dû savoir est tenu pour responsable. L’ignorance ne protège pas de la sanction !
Pour les courtiers de l’UE s’ajoute le renversement de la charge de la preuve IDD. En l’absence d’un rapport de conseil, le courtier doit prouver, en cas de sinistre, qu’il a fourni des informations correctes. Sans documentation, c’est pratiquement impossible. La responsabilité lui incombe directement.
Question à vous poser : Votre entreprise a-t-elle aujourd’hui clairement défini qui informe le régulateur en cas d’incident de fraude dans les 24 heures et selon quel protocole ?
Le coupable est souvent chez lui
C’est la partie que personne n’aime entendre.
Selon l’ACFE (Association of Certified Fraud Examiners) et l’enquête PwC 2024, dans environ 35% des cas de fraude, l’acte est découvert en interne. Souvent parce que l’auteur est interne. En moyenne, un cas de fraude typique reste non détecté pendant 12 mois. Douze mois pendant lesquels les dommages s’accumulent, les preuves s’estompent, les réseaux se développent.
La fraude interne est structurellement différente de la fraude externe. Les fraudeurs externes contournent vos systèmes. Les fraudeurs internes connaissent le système et exploitent les failles que leur confère leur position.
Conséquence : la sécurité périmétrique classique ne suffit pas. La gestion des identités et des accès doit être gérée activement. Les droits d’accès ne doivent pas s’accumuler en silence. Les anomalies de comportement, les modèles d’accès inhabituels, les transactions en dehors des heures de bureau, les exportations de données dans des volumes inhabituels doivent être visibles en temps réel.
Une bonne gouvernance crée le cadre nécessaire. Les systèmes de whistleblowing ne sont pas une fonction « nice-to-have », mais une efficacité mesurable : les organisations disposant de canaux de signalement structurés détectent les fraudes deux fois plus rapidement et enregistrent en moyenne 50 % de pertes financières en moins.
Question à vous poser : qui, dans votre organisation, a aujourd’hui accès à des choses dont il n’a plus besoin pour son rôle actuel et quand cela a-t-il été vérifié pour la dernière fois ?
Où vous situez-vous ? Connaissez-vous le modèle de maturité GRC pour la prévention de la fraude ?
La sécurité contre la fraude n’est pas un interrupteur marche/arrêt. Chaque organisation a un niveau de maturité. La question n’est pas de savoir si vous avez un système. La question est de savoir jusqu’à quel point il est porteur.
Niveau 1, Réactif: la fraude est découverte après que le dommage se soit produit. Les mesures de contrôle ne sont mises en place qu’une fois que les choses ont mal tourné. De nombreuses organisations se trouvent à ce niveau sans le savoir.
Niveau 2, basé sur des règles: Il existe des politiques, des listes de contrôle, des manuels de conformité. Les exigences formelles sont respectées. Mais les contrôles sont statiques. Les fraudeurs professionnels connaissent les règles et les contournent de manière ciblée.
Niveau 3, axé sur les risques: Les risques sont systématiquement identifiés, évalués et classés par ordre de priorité. Le système de contrôle interne (SCI) est géré activement. Les contrôles de conformité sont vérifiés pour leur efficacité et pas seulement pour leur existence. Le contrôle continu remplace l’échantillonnage annuel.
Niveau 4, Proactif: détection d’anomalies en temps réel assistée par IA. Les scénarios de fraude sont systématiquement simulés. Le système apprend de chaque incident. Les régulateurs exigent aujourd’hui précisément ce niveau : non pas la preuve que des contrôles sont effectués, mais la preuve de l’efficacité des contrôles, en temps réel.
En tant que sparring partner au niveau C, je constate que la plupart des organisations pensent être au niveau 3. L’examen des processus basé sur les risques montre généralement que vous êtes au niveau 2, avec quelques éléments isolés du niveau 3.
Question à vous poser : à quel niveau vos auditeurs internes classeraient-ils votre entreprise aujourd’hui et à quel niveau vous voyez-vous ?
La conformité comme système de contrôle, pas comme liste de contrôle
Un système de gestion de la conformité efficace, conforme à la norme ISO 37301, repose sur trois piliers opérationnels.
Le système de contrôle interne (SCI) est l’épine dorsale opérationnelle. Il définit quels contrôles interviennent à quels points du processus : Principe du double contrôle, séparation des fonctions, limites d’autorisation. Le SCI ne protège pas seulement contre la fraude externe. Il protège la direction contre elle-même : Celui qui n’a pas mis en place de contrôles ne peut pas invoquer l’ignorance en cas d’urgence.
Le contrôle continu remplace l’échantillonnage. Au lieu de vérifier 5 % des transactions une fois par an, les systèmes basés sur des règles analysent toutes les transactions en temps réel (de plus en plus souvent par IA). Les factures en double. Ecritures en dehors des heures de bureau. Décaissements sur des comptes nouvellement saisis peu après leur création. Ces modèles sont invisibles pour un gestionnaire. Pour un algorithme, ils relèvent de la routine.
La norme ISO 37301 donne un cadre à l’ensemble : il s’agit d’une norme internationalement reconnue pour les systèmes de gestion de la conformité, qui ne règle pas seulement le « quoi », mais aussi le « comment » : évaluation des risques, plan de mesures, contrôle de l’efficacité, responsabilité de la direction. Pour les courtiers, par exemple, qui souhaitent se positionner par rapport aux assureurs et à la FINMA, une structure conforme à la norme ISO-37301 est un gage de qualité démontrable.
Le point aveugle : les tiers et l’appétit pour le risque
42% des entreprises n’ont pas de gestion structurée des risques pour les tiers, selon l’enquête PwC 2024. Pas de scoring des risques pour les fournisseurs, les partenaires ou les sous-agents.
Dans le courtage, ce problème est aigu. Ceux qui placent des affaires via des tiers ou utilisent des sous-agents adoptent souvent leur profil de risque sans le savoir. Les dommages de réputation causés par un sous-agent affectent directement le courtier. La FINMA l’examine.
Dans le même temps, de nombreuses organisations ne répondent pas à la plus fondamentale des questions sur le risque : quel est notre appétit pour le risque de fraude ? Où se situe la tolérance au risque ? Ces deux termes peuvent sembler académiques. Ils ne le sont pas. L’appétit pour le risque définit les risques de fraude qu’une organisation accepte délibérément parce que les coûts de contrôle seraient disproportionnés. La tolérance au risque définit la limite à partir de laquelle une mesure devient obligatoire.
Sans ces définitions, tout investissement dans la conformité est une décision instinctive. Avec elles, il devient une décision de gestion stratégique et sert de base à la hiérarchisation des mesures.
C’est la différence entre un manuel de conformité et un véritable système GRC.
L’IA comme arme contre les occasions de passer à l’acte
Les systèmes de contrôle traditionnels, basés sur des règles, ont un problème structurel : les fraudeurs professionnels connaissent les règles. Ils les contournent de manière ciblée.
Parallèlement, l’IA a accéléré de façon spectaculaire le côté « attaque ». Un e-mail frauduleux crédible, qui nécessitait auparavant 16 heures de préparation manuelle, est aujourd’hui généré par l’IA en 5 minutes. Les attaques deepfake basées sur l’IA ont augmenté de plus de 51%.
Côté défense, l’IA brise le schéma. Apprentissage automatique, analyse prédictive, apprentissage profond. C’est la différence entre un mur statique et un système immunitaire adaptatif.
Le système détecte les nouveaux modèles avant qu’ils ne soient intégrés dans le catalogue de règles. Le scoring de la fraude évalue automatiquement chaque dommage signalé en fonction de centaines de paramètres. La technologie Graph visualise les réseaux de relations et démasque les réseaux de fraude organisés qui restent invisibles pour les auditeurs humains.
L’approche de l’homme dans la boucle (Human in the Loop – HITL) reste décisive : les cas clairs sont soumis à un règlement automatisé rapide. Les cas à haut risque atterrissent chez des enquêteurs spécialisés. Et l’IA doit toujours pouvoir expliquer pourquoi elle a classé un cas comme suspect. Ceci pour les gestionnaires de dossiers, les tribunaux et le régulateur. Seuls les résultats explicables sont juridiquement utilisables.
Les chiffres à inclure dans le plan stratégique
La criminalité économique n’est pas un phénomène marginal. En Allemagne, les délits économiques enregistrés ont augmenté de 57,6 pour cent en 2024 pour atteindre plus de 61 000 cas. La criminalité économique représente environ 1 % de tous les délits. Elle représente toutefois plus de 35 pour cent du préjudice monétaire total.
Chaque franc perdu à cause d’une fraude coûte 4,18 fois plus cher à une entreprise, calculé en prenant en compte les pertes directes, les frais d’enquête internes, les experts externes et les dommages à la réputation. Pour les institutions financières, ce coefficient multiplicateur passe à 5,37.
Les coûts de non-conformité sont estimés, tous secteurs confondus, à 2,71 fois le coût de mise en œuvre d’un système de conformité efficace. Vous payez dans tous les cas. La seule question est de savoir si vous devez être proactif ou réactif.
De l’autre côté : Les investissements dans des systèmes modernes de gestion des fraudes sont souvent rentabilisés en moins de six mois. Les plateformes GRC affichent un retour sur investissement de plus de 200 pour cent sur trois ans. Un courtier dont la supériorité des processus de contrôle a été démontrée devient un partenaire privilégié pour les assureurs à la recherche de portefeuilles de qualité, avec un impact sur les conditions de courtage et l’accès aux produits qu’aucun budget marketing ne peut acheter.
En tant que sparring-partner au niveau C, je le dis directement : ces chiffres doivent figurer dans le plan stratégique. Pas dans le manuel de conformité.
Exemple pratique: un grand groupe d’assurance suisse. Plusieurs pays. Un système de conformité qui fonctionnait sur le papier. Dans les faits : obsolète, négligé, considéré comme sans importance.
Je suis venu en tant que Transformation Lead. Ma mission : préparer l’infrastructure réglementaire pour la FINMA, la FMA, IVASS et un paysage AML/KYC en pleine évolution.
Ce que j’ai trouvé n’était pas un scandale. C’était quelque chose de plus dangereux du passé « ce n’est pas important ».
Une analyse a montré que les employés avaient accumulé des droits d’accès dans la gestion des identités et des accès (IAM) pendant des années. Sur des systèmes dont ils n’avaient plus besoin depuis longtemps pour leur rôle actuel. Pas de mauvaise intention. Pas de processus propre. Pas de contrôle. La structure occasionnelle classique du triangle de la fraude, qui s’est développée silencieusement sous le radar de la fausse routine de conformité.
Nous les avons fermés. Restructuration de l’IAM. Rationalisé les processus AML/KYC. Mise à jour opérationnelle du SCI et du CMS.
Pour moi, la conclusion la plus importante n’était pas de nature technique. La direction savait que quelque chose n’allait pas. Mais personne n’était chargé de le rendre visible. Les coûts étaient soi-disant trop élevés. Aucune compétence professionnelle en interne pour savoir comment aborder le sujet. Il n’y avait pas de sparring-partner pour poser les questions qui dérangent et identifier les liens plus profonds.
Et c’est précisément mon rôle.
TRANSFORMER LA RÉGLEMENTATION EN VALEUR !
Thomas Schubert, solexa.ch
Mr. #DeedsCountMore, fait de la conformité un avantage concurrentiel plutôt qu’un facteur de coûts
Lisez aussi : Le détecteur de fumée que personne n’a installé
Recherche :
Sponsors :
