Les risques d’initié fonctionnent fondamentalement différemment des attaques externes : les auteurs internes n’ont pas à franchir les contrôles périmétriques, car ils opèrent avec des droits d’accès légitimes, la connaissance des systèmes et la confiance de leurs collègues. La réponse du superviseur n’est pas davantage de pare-feu, mais des mesures de protection liées au personnel — en particulier le contrôle de fiabilité continu, et non pas seulement ponctuel, au titre de l’art. 6 al. 2 n° 5 GwG (loi allemande relative au blanchiment d’argent), flanqué de l’art. 25h al. 1 KWG (loi allemande sur le crédit) et des exigences de personnel de MaRisk (exigences minimales de la BaFin en matière de gestion des risques).
Pourquoi les contrôles périmétriques échouent contre les initiés
L’architecture de sécurité de la plupart des établissements est tournée vers l’extérieur : contrôles d’accès, segmentation du réseau, détection de fraude aux interfaces. Un initié se trouve déjà derrière ces lignes. Il sait quelles transactions déclenchent un contrôle à quatre yeux, quels seuils déclenchent la surveillance et quels processus personne ne contrôle — un savoir qu’un attaquant externe devrait d’abord acquérir laborieusement. Cela ne rend pas les incidents d’initiés plus fréquents que les attaques externes, mais plus difficiles à détecter et, dans le cas individuel, plus graves. S’y ajoute un facteur temps : comme aucune alarme ne retentit à la frontière extérieure, les actions internes restent souvent non détectées sur de longues périodes — et plus la période est longue, plus le dommage est élevé et plus le nettoyage est difficile.
Typologies d’auteurs — et ce qu’elles signifient juridiquement
Sans alarmisme, trois constellations de base peuvent être distinguées, chacune renvoyant à des obligations différentes :
- L’auteur intentionnel : les personnes qui utilisent délibérément leurs droits d’accès pour des détournements, des fraudes ou la facilitation du blanchiment d’argent. C’est la cible de l’art. 25h al. 1 KWG, qui exige des établissements qu’ils maintiennent des mesures de sécurité internes appropriées également contre d’autres actes criminels au détriment de l’établissement.
- L’infiltré : les candidats ou collaborateurs qui atteignent des postes sensibles avec un parcours professionnel falsifié ou des conflits d’intérêts dissimulés. Contre cela agit le contrôle de fiabilité au titre de l’art. 6 al. 2 n° 5 GwG — à l’embauche et en continu ; les fondements sont expliqués dans notre article sur le contrôle de fiabilité au titre de l’art. 6 GwG.
- Le collaborateur à risque : les collaborateurs dont la situation de vie change après l’embauche — par exemple des difficultés financières ou des liens problématiques. C’est précisément pourquoi le contrôle est conçu comme une mesure continue et non comme un acte ponctuel à l’onboarding.
La réponse du superviseur : le personnel comme partie de la gestion des risques
MaRisk (circulaire 06/2024 (BA) de la BaFin) traite expressément le personnel en AT 7.1 comme une ressource de la gestion des risques : les qualifications et l’aptitude des collaborateurs doivent correspondre à leurs tâches, et les risques d’absence et de rotation doivent être gérés. Avec l’art. 25h al. 1 KWG et l’art. 6 al. 2 n° 5 GwG, un tableau cohérent se dessine : le législateur et le superviseur attendent des établissements qu’ils traitent le facteur humain avec la même rigueur que les risques techniques et de processus. Comment la logique de contrôle du volet client peut être transférée à l’effectif est montré dans l’article KYC vs. Know Your Employee.
Ce qui distingue un programme efficace contre les risques d’initié
Les programmes efficaces combinent des blocs techniques et liés au personnel au lieu de s’appuyer sur un seul d’entre eux ; les éléments suivants ont fait leurs preuves :
- classification des postes fondée sur les risques selon le potentiel de dommage et la profondeur d’accès,
- contrôle de fiabilité avant l’embauche avec une profondeur de contrôle dépendant du poste,
- re-contrôle déclenché par des événements lors de changements de poste vers des fonctions sensibles,
- cycles de répétition appropriés pour les fonctions clés,
- documentation vérifiable de chaque contrôle pour la révision interne et l’autorité de surveillance,
- inclusion du personnel externe disposant de droits d’accès comparables — approfondi dans Contrôle des managers intérimaires et des prestataires externes.
L’interaction est décisive : les contrôles techniques limitent ce qu’un initié peut faire ; les mesures liées au personnel réduisent la probabilité qu’une personne inapte atteigne — ou conserve — un rôle critique. Aucun élément ne remplace l’autre.
Conduite recommandée
Vérifiez d’abord si vos mesures liées au personnel suivent le rythme de la profondeur d’accès de vos postes : qui peut contourner les contrôles, et quand cette personne a-t-elle été contrôlée pour la dernière fois ? Comblez ensuite la lacune typique entre le contrôle d’embauche et l’emploi continu par des déclencheurs et des cycles définis. Pour une mise en œuvre documentée, Indicium livre des rapports vérifiables avec sources datées et examen final humain (art. 22 RGPD) ; un aperçu des exigences sectorielles est disponible sous Secteurs.
Cet article fournit des informations générales et ne constitue pas un conseil juridique.