Pour les entités assujetties à la loi allemande relative au blanchiment d’argent (GwG), le contrôle de fiabilité des collaborateurs n’est pas un ajout facultatif, mais une mesure de sécurité interne définie par la loi : l’art. 6 al. 2 n° 5 GwG exige « la vérification de la fiabilité des collaborateurs par des mesures appropriées ». Ce que signifie la fiabilité est défini par la loi elle-même — à l’art. 1 al. 20 GwG. Les banques et les assureurs doivent effectuer le contrôle lors de l’embauche et en continu, et doivent pouvoir documenter sa mise en œuvre.
Le fondement juridique : le contrôle des collaborateurs comme mesure de sécurité interne
L’art. 6 GwG oblige toutes les entités au sens de la loi — y compris les établissements de crédit au sens de l’art. 2 al. 1 n° 1 GwG — à mettre en œuvre des mesures de sécurité internes appropriées. Au sein de l’art. 6 al. 2 n° 5 GwG, le contrôle des collaborateurs se situe au même rang que des obligations mieux connues comme la formation ou la nomination d’un responsable LBA. En pratique, il est néanmoins souvent négligé : tandis que la diligence raisonnable à l’égard de la clientèle (KYC) est menée avec un soin considérable, le volet collaborateur se limite souvent à un certificat de casier judiciaire à l’embauche. Pourquoi cela ne suffit pas est expliqué dans l’article KYC vs. Know Your Employee.
Ce que signifie « fiabilité » au sens de l’art. 1 al. 20 GwG
Nombre d’entités assujetties ignorent que la GwG contient sa propre définition légale. Au sens de l’art. 1 al. 20 GwG, une personne est fiable si elle offre l’assurance qu’elle
- observe soigneusement les obligations en matière de lutte contre le blanchiment et les principes internes de l’entreprise,
- signale les faits relatifs au blanchiment d’argent ou au financement du terrorisme à son supérieur ou au responsable LBA, et
- ne participe pas elle-même, activement ou passivement, à des transactions ou opérations douteuses.
Le contrôle ne vise donc pas uniquement les condamnations pénales, mais un pronostic : la personne offre-t-elle l’assurance qu’elle assumera sa part des obligations de prévention — ou existe-t-il des indices contraires ? Un certificat de casier judiciaire vierge ne répond que très partiellement à cette question.
Quand le contrôle est requis : à l’embauche et en exploitation courante
La disposition ne fait pas de distinction entre les nouvelles recrues et le personnel en place. En substance, deux déclencheurs de contrôle sont reconnus :
- À l’embauche : avant que la personne ne prenne ses fonctions, avec une profondeur de contrôle calibrée sur le risque du poste — quiconque peut approuver des transactions ou contourner des contrôles doit être contrôlé plus intensivement qu’un poste sans contact avec les flux monétaires.
- En continu : la fiabilité n’est pas une détermination ponctuelle. Les contrôles déclenchés par des événements (par exemple lors de changements de poste ou d’indices concrets) et des cycles de répétition appropriés font partie d’une mise en œuvre complète. Sur la distinction des modèles, voir Contrôle ponctuel ou surveillance continue.
Les lacunes de mise en œuvre typiques
En pratique, nous rencontrons des faiblesses récurrentes qui apparaissent lors d’un examen par la révision interne ou l’autorité de surveillance :
- Le contrôle n’existe que sur le papier — une clause dans le processus d’onboarding sans périmètre de contrôle défini.
- Aucune gradation fondée sur les risques : tous les postes sont contrôlés de manière identique (ou aussi peu).
- Les collaborateurs existants et les mobilités internes vers des fonctions sensibles ne sont pas couverts.
- Les résultats ne sont pas documentés — en cas de doute, il est impossible de prouver qu’un contrôle a eu lieu.
- Le personnel externe disposant d’accès comparables échappe entièrement au filet.
Ce dernier point pèse particulièrement lourd, car le droit de la protection des données exige ici une approche structurée ; les détails pour le contexte d’application sont traités dans l’article Pre-employment screening dans les banques.
Conduite recommandée : comment mettre en place le contrôle
Un concept robuste peut être construit en quatre étapes. Premièrement : classer les postes sur une base de risque — quels rôles pourraient compromettre la prévention du blanchiment ? Deuxièmement : définir la profondeur de contrôle et le cycle par classe de risque, du contrôle de base à la recherche approfondie sur plusieurs catégories (registres, listes de sanctions, adverse media). Troisièmement : définir les responsabilités et les voies d’escalade — la mise en œuvre opérationnelle relève généralement du responsable LBA, voir Le cahier des charges du responsable LBA. Quatrièmement : documenter chaque contrôle afin que la révision interne et l’autorité de surveillance puissent retracer le déclencheur, le périmètre, les sources et le résultat.
Pour la mise en œuvre pratique, Indicium livre des rapports logiciels vérifiables avec sources datées et examen final humain (art. 22 RGPD) — dès 79 € par rapport. Nous nous ferons un plaisir de vous montrer à quoi cela ressemble dans votre secteur lors d’une démo.
Cet article fournit des informations générales et ne constitue pas un conseil juridique.