Institutions financières : Quatre considérations pour atténuer les menaces internes au Canada

Qui plus est, les pertes potentielles s’étendent bien au-delà des considérations d’ordre pécuniaire. La fraude interne peut comprendre le vol de données, de propriété intellectuelle et d’autres actifs en plus du capital financier. Cela a une incidence sur les ristournes et les radiations tout en minant la gouvernance. De plus, les lacunes en matière de lutte contre le RPC et le FAT compliquent encore plus la conformité des institutions financières aux exigences réglementaires. Des incidents tels qu’une notation inadéquate des risques associés à un client lors des évaluations, une surveillance insuffisante, un contrôle préalable inefficace ou le fait de ne pas soumettre de rapports sur les activités suspectes sont autant de risques potentiels découlant de ces lacunes.
 

Des tels incidents exposent les institutions financières à des sanctions réglementaires potentielles et nuisent à leur réputation dans un marché où la confiance est un avantage concurrentiel. Ils ouvrent également la voie à des litiges potentiellement coûteux. Sans parler des coûts liés aux perturbations opérationnelles, telles que les temps d’arrêt, les baisses de productivité et les retards de livraison, qui pourraient nuire à la croissance future et aux possibilités de collaboration.
 

À cette complexité s’ajoute une série de modifications aux dispositions de la lutte contre le RPC et le FAT annoncées dans le budget fédéral de 2025 du Canada. Tandis que les institutions financières s’efforcent de comprendre la réglementation en évolution, elles devront adopter une approche proactive pour atténuer efficacement le risque tout en comblant les lacunes potentielles en matière de gouvernance. Cette démarche comprend notamment le fait de reconnaître que les travailleurs en place constituent une menace aussi grande que les acteurs malveillants externes. Alors que les institutions se concentrent sur le renforcement des mesures de prévention de la fraude, les dirigeants voudront prioriser les défenses sur les deux fronts.
 

Les institutions financières au Canada devraient envisager une stratégie de défense à plusieurs niveaux contre les menaces internes
 

Fonder les stratégies de défense intégrée sur la gouvernance, la technologie et une culture de conformité permet aux institutions financières d’atténuer de manière proactive le risque de menaces internes. L’intégration de ces leviers dans le modèle opérationnel de l’institution peut réduire les risques liés aux fraudes internes, au RPC et au FAT tout en aidant à maintenir l’alignement réglementaire et à protéger la confiance des parties prenantes. C’est la clé.

Comment les institutions financières peuvent‑elles améliorer leurs stratégies de défense en adoptant une approche multicouche pour contrer les menaces internes? Nous suggérons la création de quatre principaux leviers au sein d’un modèle de gestion des risques intégré :

1.    Élaborer une approche de gouvernance et de surveillance personnalisée alignée sur la complexité opérationnelle de l’institution
L’objectif est de préserver l’intégrité des données. Pour ce faire, il faut élaborer un cadre qui énonce clairement les privilèges d’accès fondés sur les rôles, et limite le nombre de personnes qui peuvent modifier ou approuver les dossiers financiers. La séparation des tâches entre les fonctions essentielles peut réduire les possibilités d’accès non autorisés ou d’activités collusoires. Vous voudrez également intégrer la gouvernance au cadre dès le départ.

Par exemple :

• Maintenir des pistes d’audit immuables et des journaux détaillés pour établir la traçabilité de chaque changement apporté aux dossiers
• Déployer des outils de détection perfectionnés pour signaler proactivement tout changement apporté aux dossiers
• Mettre en œuvre des audits périodiques et des examens de l’efficacité, ainsi que des évaluations des risques, afin de repérer les vulnérabilités tôt dans le processus, de gérer les risques de façon proactive et de renforcer la responsabilité

2.    Appliquer le principe de privilège minimal afin de protéger les données sensibles et de maintenir l’intégrité opérationnelle
Un tel cadre de sécurité garantit que les employés n’ont accès qu’aux données et aux systèmes nécessaires à leur rôle. En concevant et en déployant des outils de prévention des pertes de données pour surveiller et bloquer les transferts de données financières sensibles non autorisés, les institutions peuvent contribuer à maintenir l’intégrité des données et la conformité réglementaire.

Par exemple :

• Mettre en œuvre une solution de gestion des accès à privilèges (PAM) pour limiter les droits d’accès élevés parmi les principaux utilisateurs et en assurer le suivi
• Établir des mécanismes d’alerte en temps réel et de consignation centralisée pour séparer les droits d’accès

3.    Créer un cadre de conformité général qui s’aligne sur les politiques réglementaires
La formation obligatoire, jumelée à des mécanismes de suivi, inscrit la conformité dans la culture même de l’institution. Une telle formation devrait renforcer les normes et promouvoir la sensibilisation. Le fait de fournir aux travailleurs en place des ressources et des outils pour soutenir la conformité peut également en favoriser l’adoption.

Par exemple :

• Élaborer des tableaux de bord de la conformité qui fournissent une visibilité en temps réel des mesures clés, permettant une surveillance proactive et efficace
• Mettre en place des programmes de dénonciation dotés de canaux de signalement sécurisés et anonymes pour promouvoir le comportement éthique, soutenir la détection précoce et renforcer la confiance
• Utiliser des outils d’application et de surveillance des politiques afin de prévenir tout contournement non autorisé des processus

4.   Faire le suivi des tendances inhabituelles en matière de communication, d’accès, d’habitudes et de comportements
Des changements de comportement peuvent signaler une inconduite financière potentielle. La capacité de repérer les signes avant‑coureurs d’intention malveillante permet aux institutions financières d’atténuer les risques associés aux menaces internes.

Que doivent surveiller les institutions? Manipulation des dossiers, tendance à ne pas respecter adéquatement les exigences réglementaires ou les politiques internes, et changements soudains dans le comportement des employés, tels qu’une réticence accrue à partager l’information, une insatisfaction professionnelle marquée, une richesse inexpliquée ou des achats de grande valeur qui ne cadrent pas avec le revenu de la personne.

Les institutions financières devront également être à l’affût des accès inhabituels et de l’exfiltration des données, comme l’accès à des données sans lien avec le rôle de l’employé, en particulier en dehors des heures normales de travail; les transferts de données importants et inexpliqués; ou un intérêt pour des informations financières sensibles.

Par exemple :

• Intégrer l’atténuation des risques comme priorité interfonctionnelle pour protéger les actifs et assurer l’efficacité des mécanismes de défense contre les crimes financiers
• Encourager les équipes de technologies de l’information, de conformité et de ressources humaines à collaborer dans le but d’améliorer la détection, de permettre des enquêtes coordonnées et de développer un cadre d’intervention intégré
• Analyser les tendances dans le cadre d’une approche interfonctionnelle intégrée et connectée

Que faut‑il en conclure?

Les menaces internes représentent un risque croissant et en constante évolution pour les institutions financières canadiennes. La mise en œuvre d’une stratégie de défense proactive peut contribuer à atténuer le risque lié aux menaces internes tout en préservant l’intégrité financière, la confiance des parties prenantes, l’image de marque et la conformité réglementaire.