La lutte contre la fraude est une capacité – ce qu’il faut développer, externaliser et gouverner
Par Simon Gray, vice-président, Solutions de main-d’œuvre
En résumé
La lutte contre la fraude n’est pas une politique qu’on rédige une seule fois. C’est une capacité qu’on exploite, et la première décision à prendre consiste à déterminer quelles parties développer à l’interne et lesquelles externaliser auprès de spécialistes agissant à grande échelle.
L’affaiblissement des contrôles
La plupart des organisations disposent de certains contrôles antifraudes. Le problème réside rarement dans leur existence, mais bien dans leur durabilité. Un contrôle conçu il y a cinq ans répond aux menaces qui avaient cours il y a cinq ans. Une étape de vérification qui semble solide sur papier se dégrade sous la pression d’une embauche rapide. Une politique confinée à une seule fonction n’est jamais mise à l’épreuve dans les autres fonctions dont elle dépend.
La tendance est constante. Une organisation resserre ses contrôles après un incident, maintient la nouvelle norme pendant un certain temps, puis la voit s’éroder à mesure que la pression à l’origine de ce resserrement s’estompe, souvent dès la première année, alors que l’attention se tourne ailleurs et que la pression liée au délai de placement revient. La lutte contre la fraude s’affaiblit, à moins que quelque chose ne la maintienne à jour. Ce quelque chose est une capacité, et non un document.
Développer ou externaliser : une décision à prendre
Les équipes de cybersécurité sont familières avec ce type de décision : développer certaines capacités à l’interne, et en externaliser d’autres, notamment le renseignement sur les menaces, la surveillance continue et la réponse aux incidents, auprès de spécialistes qui opèrent à une échelle générant de meilleures données. La lutte contre la fraude présente la même décision, qu’il vaut mieux prendre de façon délibérée plutôt que par défaut.
Certains éléments relèvent intrinsèquement de l’interne. La responsabilité transversale entre les services RH, Sécurité, Juridique et Approvisionnement ne peut être externalisée. Il en va de même pour la décision quant au niveau de risque que l’organisation est prête à assumer. Toutefois, d’autres éléments sont nettement plus solides lorsqu’ils sont externalisés :
- le renseignement sur les menaces : connaître les tendances d’attaque actives en ce moment exige une visibilité transversale entre client·es et entre secteurs qu’aucun programme, à lui seul, ne possède;
- la reconnaissance de tendances : distinguer une mauvaise embauche isolée d’un stratagème organisé exige du volume. Un programme n’ayant vu qu’un·e seul·e candidat·e coaché·e ne peut détecter le signal qu’un·e partenaire, en ayant observé des milliers, saura repérer;
- la surveillance continue et la capacité d’enquête approfondie : des capacités coûteuses à développer à l’interne et sous-utilisées si un seul programme tente de les doter en personnel.
L’apport de la gouvernance
Le développement et l’externalisation ne constituent pas toute la réponse, car une capacité qui n’est pas gouvernée s’affaiblit tout comme le ferait une politique. La gouvernance est la couche qui la maintient à jour : une personne désignée responsable, une fréquence de mise à l’épreuve des contrôles face à l’environnement de menace actuel, et une boucle de rétroaction qui transforme chaque incident en une mise à jour des contrôles. Sans elle, même une capacité bien externalisée finit par revenir graduellement à l’état que le dernier incident était censé corriger.
Point de départ
Effectuez l’évaluation en quatre volets : quelle est notre surface d’attaque, que révèle notre historique d’incidents, où se situent les vulnérabilités, et pouvons-nous combler ces lacunes à l’interne, ou devons-nous externaliser cette capacité? La réponse honnête à cette dernière question est habituellement un mélange des deux, et c’est en précisant délibérément ce mélange que la lutte contre la fraude passe d’une politique à une capacité opérationnelle.
Questions à transmettre à votre équipe
Quels aspects de notre lutte contre la fraude sommes-nous en mesure de développer et de maintenir à l’interne, et lesquels exigent une envergure que nous n’avons pas? À quand remonte notre dernière mise à l’épreuve de nos contrôles face à l’environnement de menace actuel, plutôt qu’à celui pour lequel ils avaient été conçus? Qui est responsable de maintenir cette capacité à jour entre les incidents?
Prochaines étapes
Le service Solutions de main-d’œuvre de Procom offre la couche externalisée de la lutte contre la fraude : le renseignement sur les menaces, la reconnaissance de tendances et la capacité d’enquête approfondie, développés grâce à ses activités menées à grande échelle sur l’ensemble du marché des ressources externes.
Pour discuter de l’exposition au risque de votre programme, communiquez avec nous.
La fraude de la part des candidat·es dans l’embauche en entreprise
À propos de l’auteur
Simon Gray, vice-président, Solutions de main-d’œuvre
Fort de plus de 25 ans d’expérience en dotation stratégique, Simon dirige la division Solutions de main‑d’œuvre de Procom afin d’aider les client·es à effectuer des embauches rapides et conformes.
