Know Your Employee (KYE) désigne le contrôle systématique de vos propres collaborateurs selon les mêmes principes fondamentaux qui sont depuis longtemps la norme dans la diligence raisonnable à l’égard de la clientèle (Know Your Customer, KYC) : fondé sur les risques, déclenché par des événements et documenté. Juridiquement, KYE n’est pas facultatif pour les entités assujetties à la GwG (loi allemande relative au blanchiment d’argent) : l’art. 6, al. 2, n° 5 GwG l’ancre comme mesure de sécurité interne au même rang que les obligations envers la clientèle. En pratique, une lacune persiste néanmoins : tandis que des investissements considérables affluent dans les processus KYC, le contrôle des collaborateurs se réduit dans de nombreuses organisations à un Führungszeugnis (certificat allemand de bonne conduite) à l’embauche.
KYC et KYE : même logique, mise en œuvre inégale
La diligence raisonnable à l’égard de la clientèle suit une méthodologie établie : identification, classification des risques, examen renforcé lorsque le risque est élevé, surveillance continue, documentation complète. Pour l’effectif, la loi prescrit la même idée — l’art. 6, al. 2, n° 5 GwG exige de vérifier la fiabilité des collaborateurs par des mesures appropriées, et l’art. 1, al. 20 GwG définit ce que signifie la fiabilité : l’assurance que la personne observe les obligations en matière de lutte contre le blanchiment, signale les suspicions et ne participe pas personnellement à des transactions douteuses. Les détails de cette obligation sont traités dans notre article sur le contrôle de fiabilité au titre de l’art. 6 GwG.
Pour les établissements de crédit, l’art. 25h, al. 1 KWG (loi allemande sur le crédit) ajoute une couche supplémentaire : les établissements doivent disposer de mesures de sécurité internes adéquates qui préviennent également les actes criminels au détriment de l’établissement. Les précautions liées au personnel font naturellement partie de ce système de protection — car les systèmes de protection sont exploités par des personnes.
Pourquoi l’angle mort peut devenir coûteux
Les auteurs internes diffèrent structurellement des auteurs externes : ils connaissent les contrôles que les externes devraient d’abord franchir, et ils agissent avec des droits d’accès légitimes. Un processus KYC qui examine chaque client aide peu si la personne qui l’exploite n’a jamais été contrôlée au-delà d’un document de base. Plus en détail : Le risque d’initié dans les banques.
Le Führungszeugnis couramment utilisé en pratique y change peu : c’est un extrait de registre au contenu limité — il ne révèle ni les entrées de CV falsifiées, ni les liens économiques, ni les faits étrangers, ni la couverture médiatique actuelle. Comme unique « mesure appropriée » au sens de l’art. 6, al. 2, n° 5 GwG, il est donc régulièrement en deçà de l’ampleur de la définition légale de l’art. 1, al. 20 GwG, en particulier pour les postes à risque élevé.
S’y ajoute la dimension probatoire : ce qui compte vis-à-vis de la révision interne et de l’autorité de surveillance, ce n’est pas l’affirmation que vous contrôlez vos collaborateurs, mais la documentation de qui a été contrôlé quand, dans quelle mesure et avec quel résultat. Précisément cette discipline documentaire est tenue pour acquise côté KYC — et fait souvent totalement défaut côté collaborateurs.
La méthodologie KYC appliquée à l’effectif
Quiconque met en place KYE sérieusement peut transférer la logique KYC familière presque un pour un :
- Classification des risques : évaluer des postes au lieu de clients — les paiements, le trading, l’administration informatique et les fonctions de direction portent un risque différent des rôles sans accès aux flux monétaires ni aux données clients.
- Profondeur de contrôle échelonnée : contrôle de base pour la large base, recherche renforcée sur plusieurs catégories (données de registres, listes de sanctions, adverse media, conflits d’intérêts) pour les fonctions sensibles.
- Contrôles déclenchés par des événements : non seulement à l’embauche, mais aussi lors des passages vers des rôles à risque et en présence d’indices concrets.
- Composante continue : la fiabilité est un instantané ; des cycles de répétition appropriés comblent l’écart entre deux contrôles.
- Documentation : consigner chaque résultat de manière vérifiable — avec sources et date, et non comme une note informelle.
Conduite recommandée
Commencez par un état des lieux honnête : comparez l’effort documenté de votre diligence raisonnable à l’égard de la clientèle avec celui de votre contrôle des collaborateurs. Si la réponse est nettement asymétrique, priorisez d’abord les postes au plus grand potentiel de dommage et définissez-y le périmètre de contrôle, le cycle et le format de documentation. Utilisez les structures qui existent déjà : l’analyse des risques qui sous-tend votre classification des clients peut être étendue d’une dimension « postes » avec un effort raisonnable, et les normes documentaires du domaine KYC fournissent déjà le format pour le volet collaborateurs. Un rapport logiciel par catégories, avec sources datées et examen final humain (art. 22 RGPD), reflète ce processus de manière vérifiable ; les détails de mise en œuvre sectorielle sont disponibles sous Secteurs, les termes clés dans le Glossaire.
Cet article fournit des informations générales et ne constitue pas un conseil juridique.