Sommaire

• Identifier une fraude interne en entreprise
• Déroulement des enquêtes internes de fraude
• Sécuriser les preuves et le rapport
• Choisir un enquêteur pour l’entreprise
• Foire aux questions

Ce guide vous accompagne dans la conduite d’une enquête pour fraude interne en entreprise. Il détaille les étapes à respecter, les preuves recevables et les cas où un enquêteur externe renforce le dossier disciplinaire ou judiciaire.

Identifier une fraude interne en entreprise

Avant de lancer une enquête interne, qualifiez précisément les faits soupçonnés. Cette étape précise le périmètre des vérifications, les personnes à interroger et le calendrier des mesures conservatoires. Pour approfondir la gestion des risques d’intégrité, le Manuel de l’OCDE sur l’intégrité publique décrit des dispositifs de prévention, de détection et d’audit interne applicables à la gestion des risques d’intégrité.

Définition et formes de fraude

La fraude interne correspond à un acte volontaire commis par un salarié, un dirigeant ou un prestataire ayant accès aux ressources de l’organisation, afin d’obtenir un avantage indu ou de causer un préjudice à l’entreprise. L’intention est déterminante : une erreur comptable ne suffit pas à caractériser une fraude, tandis qu’un virement détourné de manière répétée vers un compte tiers peut constituer un élément central du dossier. Un exemple simple de fraude interne en entreprise : un responsable des achats fait facturer des prestations fictives par un fournisseur complice.

Les pratiques frauduleuses prennent des formes variées et peuvent se cumuler. Il peut s’agir de vols de matériel ou de marchandises, de détournements de fonds, de fausses notes de frais, d’irrégularités comptables ou de falsifications de documents. La corruption, les transactions non déclarées entre parties liées, la manipulation des résultats financiers, les fraudes aux approvisionnements et le travail dissimulé relèvent également de cette catégorie. Pour en savoir davantage sur l’enquête de fraude interne en entreprise, APIS 33 présente un accompagnement adapté aux structures de toute taille.

Signaux qui justifient une vérification

Certains indices doivent conduire l’entreprise à examiner rapidement la situation avant de décider de mener une enquête interne. Notez la date, la source et le contenu de chaque signal : ces éléments facilitent la justification des décisions ultérieures. Les incohérences comptables répétées, les anomalies dans les historiques de transactions et les écarts de stock inexpliqués figurent parmi les éléments qui caractérisent une fraude interne.

• Incohérence comptable : écart entre les écritures et les flux réels, virement vers un tiers non référencé ou validation d’une facture sans commande préalable.
• Alerte interne ou externe : signalement d’un salarié, d’un client ou d’un auditeur, ou anomalie détectée lors d’un contrôle périodique.
• Résultat d’audit préoccupant : recommandation restée sans effet, accès informatiques anormaux ou historique de transactions modifié sans traçabilité.

La qualification initiale doit préciser la nature des faits, la période concernée, le périmètre probable et le risque de disparition ou d’altération des preuves. Cette évaluation permet à l’employeur d’adapter sa réponse, conformément à l’article L.4121-1 du Code du travail. La durée et les modalités de l’enquête interne se décident à partir des faits établis et des risques identifiés. Pour approfondir l’enquête interne en entreprise, APIS 33 précise dans quelles situations un enquêteur externe peut intervenir.

Alertes et obligations de réaction

L’employeur n’a pas à déclencher automatiquement une enquête formelle après chaque alerte. Il doit toutefois pouvoir démontrer une réaction adaptée et proportionnée. La Cour de cassation l’a rappelé dans un arrêt du 12 juin 2024 : l’obligation concerne la pertinence de la réponse, et non l’ouverture systématique d’une procédure formelle.

À l’inverse, l’inaction face à un signalement crédible peut engager la responsabilité civile, prud’homale, voire pénale de l’employeur ou du dirigeant, notamment lorsque les faits concernent du harcèlement ou une fraude avérée. Cette distinction repose sur les éléments collectés lors de la vérification préliminaire.

Pour les entreprises d’au moins 50 salariés, les lois Sapin 2 et Waserman prévoient la mise en place d’un dispositif d’alerte interne garantissant la confidentialité des identités. Le décret du 3 octobre 2022 fixe notamment deux échéances : un accusé de réception dans les 7 jours suivant le signalement et un retour sur les suites données dans un délai de 3 mois. Ces obligations s’inscrivent dans le traitement formalisé de l’alerte interne.

Un manquement peut donner lieu à des sanctions autonomes lors d’un contrôle de l’Agence française anticorruption. Pour mieux comprendre le rôle du détective privé dans une enquête interne en entreprise, APIS 33 décrit les étapes de l’intervention, de la saisine à la remise des conclusions.

Déroulement des enquêtes internes de fraude

Chaque phase prépare la suivante. Un rétroplanning, établi selon l’échéance disciplinaire ou le risque de disparition des preuves, coordonne les convocations, les contrôles documentaires et les comptes rendus intermédiaires. Le délai disciplinaire de deux mois court à compter du jour où l’employeur dispose d’une connaissance exacte des faits : la chronologie doit donc être définie en amont.

Saisine et ordre de mission

Toute enquête interne rigoureuse commence par la saisine. Cette étape dure généralement de 2 à 5 jours et comprend l’analyse du signalement, l’évaluation du niveau de risque ainsi que la rédaction d’un ordre de mission écrit. Qu’il s’agisse d’un vol interne ou d’un détournement de fonds, ce document fixe le périmètre d’intervention. L’indépendance des enquêteurs désignés doit y être mentionnée explicitement. La discrétion s’impose dès la réception de la saisine, avant tout contact avec les personnes concernées.

• Objet de l’enquête : description précise des faits signalés, périmètre d’investigation et période couverte par les recherches.
• Personnes habilitées : identification des intervenants autorisés à accéder aux informations, en vérifiant l’absence de lien hiérarchique ou personnel avec les parties impliquées.
• Calendrier retenu : séquençage des étapes, dates de remise des comptes rendus intermédiaires et échéance de clôture alignée sur le délai disciplinaire de deux mois.
• Exigence d’indépendance : mention explicite, dans l’ordre de mission, de l’impartialité requise pour satisfaire aux exigences posées par la jurisprudence du 17 mars 2021.

Une fois l’ordre établi, le plan d’action est préparé sur 3 à 7 jours. Il précise les actes à accomplir, l’ordre des auditions et les mesures conservatoires à prendre sans délai. Celles-ci peuvent comprendre la modification des droits d’accès informatiques ou physiques, l’extraction des fichiers pertinents et la conservation des journaux de connexion. Elles restent justifiées lorsque la préservation de la preuve l’exige, y compris sans information préalable si celle-ci risque d’alerter la personne visée.

Collecter les faits et les preuves

Elle peut durer de 2 à 6 semaines selon l’ampleur du dossier. Une investigation pour malveillance au travail mobilise les mêmes sources que toute enquête de fraude : documents professionnels, données comptables, relevés d’accès, historiques de transactions et traces numériques licitement accessibles. Leur croisement est indispensable pour établir des faits corroborés par au moins deux éléments distincts, conformément à la condition posée par la jurisprudence pour qualifier un fait d’établi.

La collecte s’organise en trois flux complémentaires. L’analyse documentaire porte sur les pièces comptables, les contrats, les courriels professionnels et les historiques de transactions. L’analyse numérique peut inclure les logs, les fichiers effacés sur le matériel professionnel et les relevés de badges, avec l’appui éventuel d’un expert informatique. Chaque pièce doit être tracée : date, origine, mode de collecte et identité des personnes qui y ont eu accès sont consignés au fil de l’enquête.

• Documents comptables : relevés bancaires, factures, bons de commande et journaux d’écritures permettant de reconstituer les flux financiers suspects sur la période visée.
• Données numériques : historiques de connexion, fichiers modifiés ou supprimés sur matériel professionnel, journaux d’accès aux systèmes et messageries professionnelles.
• Relevés physiques : badges d’accès, registres d’entrée et de sortie, inventaires de stock comparés aux écritures comptables correspondantes.
• Sources ouvertes (OSINT) : informations librement accessibles en ligne pour vérifier la loyauté d’un partenaire ou d’un fournisseur, sans contourner un accès protégé.

Une fois l’inventaire établi, les pièces sont classées par ordre chronologique et par thème dans un dossier sécurisé. L’intervention d’un commissaire de justice peut renforcer la chaîne de conservation lorsque les faits sont précisément datés et faciliter la production des preuves dans une éventuelle procédure judiciaire.

Auditionner les personnes concernées

Les auditions sont menées séparément : la personne ayant déposé l’alerte, les témoins, les responsables hiérarchiques, les équipes RH, puis, en dernier lieu, la personne mise en cause. Chaque convocation est adressée par écrit dans un délai de 2 à 5 jours ouvrés. Elle précise l’objet de l’entretien, les faits visés, le caractère non coercitif de la démarche et les garanties applicables. Lorsque la responsabilité personnelle d’un salarié est en cause, la possibilité d’être assisté par un avocat extérieur doit pouvoir lui être proposée.

La méthode d’audition repose sur des notes contradictoires et sur un compte rendu rédigé au plus près des déclarations, puis relu et validé par signature à la fin de l’entretien. Cette formalité est déterminante : en juin 2025, la Cour de cassation a annulé un licenciement fondé sur une enquête lacunaire dont les comptes rendus étaient tronqués, le doute ayant profité au salarié. En complément, aucun intervenant ne doit attribuer une intention à la personne entendue sans appui matériel suffisant. La qualification de la faute reste factuelle et s’appuie sur l’examen croisé de sources distinctes.

L’employeur doit pouvoir expliquer la méthode retenue, l’origine des preuves et les conditions dans lesquelles les personnes ont été entendues. APIS 33 peut organiser ce cadre documentaire afin de distinguer clairement les faits établis, les éléments encore à vérifier et les hypothèses qui ne peuvent, à elles seules, fonder une décision.

Sécuriser les preuves et le rapport

La recevabilité des preuves recueillies lors d’enquêtes internes en entreprise peut conditionner une procédure disciplinaire ou judiciaire. Trois exigences se cumulent : le moyen utilisé doit être légal, la vie privée des salariés doit être respectée et le dispositif de contrôle doit présenter un lien direct avec les faits recherchés. Une preuve obtenue illicitement fragilise donc le dossier et peut le rendre inopposable.

Données et supports autorisés

Les courriels professionnels, historiques de transactions, relevés de badges, fichiers professionnels et certaines données effacées d’un matériel professionnel peuvent être exploités si leur collecte est légale et proportionnée. L’article L.1222-4 du Code du travail impose d’informer préalablement les salariés des dispositifs de contrôle utilisés. Une mention générale dans le règlement intérieur ne suffit pas à légitimer une surveillance ciblée.

À l’inverse, l’employeur ne peut pas consulter une messagerie identifiée comme personnelle, même lorsqu’elle transite par les outils informatiques de l’entreprise. La jurisprudence de la Cour de cassation est constante sur ce point depuis 2001. Les informations librement accessibles peuvent ainsi être recueillies, à condition de ne contourner aucun accès protégé. L’accès frauduleux à des comptes personnels, l’usurpation d’identité, la géolocalisation cachée non conforme ou l’enregistrement clandestin constituent des violations distinctes, parfois pénalement sanctionnées.

• Supports admissibles : courriels professionnels, historiques de transactions, journaux de connexion, relevés de badges et fichiers stockés sur le matériel professionnel de l’entreprise.
• OSINT licite : collecte d’informations publiquement accessibles sur des partenaires ou fournisseurs, sans contournement d’un accès protégé ni manœuvre trompeuse.
• Commissaire de justice : son intervention peut consolider la chaîne de conservation des preuves concernant des faits précisément datés et renforcer la fiabilité du dossier en cas de contentieux.

La surveillance physique demeure possible, mais son usage est strictement encadré. Elle doit être réalisée par un enquêteur privé agréé par le CNAPS, limitée aux lieux accessibles au public et proportionnée aux faits recherchés. Un rapport établi loyalement par un enquêteur agréé par le CNAPS peut être produit en justice, conformément aux arrêts de la Cour de cassation des 17 mars 2021 et 5 janvier 2022.

RGPD et conservation des éléments

Le RGPD s’applique à toute enquête interne dès lors que des données personnelles de salariés sont traitées. La collecte doit rester limitée au strict nécessaire, proportionnée à l’objectif poursuivi et conservée sur des supports sécurisés. Le Conseil d’État a confirmé que les exigences du RGPD s’appliquent intégralement dans le cadre d’une enquête interne.

Lorsque les faits ne sont pas établis à l’issue de la procédure, l’effacement ou l’anonymisation des données dans les deux mois suivant la clôture de l’enquête constitue un repère prudent de conformité. Un manquement peut entraîner une intervention de la CNIL : avertissement, rappel des obligations légales ou mise en demeure, indépendamment de la suite disciplinaire ou judiciaire.

Rédiger des conclusions factuelles

Le rapport d’enquête interne constitue l’aboutissement documentaire des investigations. Il distingue les faits établis, corroborés par au moins deux sources distinctes et susceptibles de justifier une sanction proportionnée; les faits incertains, plausibles mais insuffisamment confirmés, qui nécessitent des vérifications complémentaires; et les faits non établis, pour lesquels le signalement n’a pas été confirmé. Dans ce dernier cas, l’effacement des données suit le délai prudentiel de deux mois. La Cour de cassation impose également de ne pas prêter d’intention au salarié sans appui matériel suffisant.

Le rapport doit rester factuel et reposer sur un examen croisé de sources distinctes : courriels, messages, notes internes, pièces comptables et relevés d’accès. Il peut ensuite formuler des recommandations opérationnelles, telles que des mesures disciplinaires proportionnées, des actions correctives organisationnelles ou une révision des processus de contrôle défaillants. Le suivi à 6 et 12 mois précise le responsable, l’indicateur de résultat et la date de revue, ce qui documente l’effectivité des corrections. APIS 33 inscrit cette méthode dans la préparation d’un dossier exploitable par l’employeur et lisible par les salariés concernés.

Choisir un enquêteur pour l’entreprise

Le choix entre une enquête internalisée et une enquête externalisée dépend de la gravité des faits, du niveau d’impartialité requis et des ressources disponibles. Pour une fraude significative, un harcèlement sexuel, des faits de corruption ou un risque contentieux élevé, l’externalisation est généralement recommandée. Réaliser une enquête interne avec un intervenant trop proche des parties peut fragiliser le dossier devant le juge prud’homal.

Quand externaliser les enquêtes internes

L’externalisation repose d’abord sur l’indépendance des intervenants. Dans sa décision-cadre du 6 février 2025, le Défenseur des droits recommande de recourir à des enquêteurs externes afin de renforcer l’impartialité et la transparence de la procédure.

• Faits graves ou complexes : détournement de fonds, corruption, fraude contractuelle sur plusieurs exercices ou faits impliquant un cadre dirigeant, qui exigent une neutralité complète.
• Risque contentieux élevé : dossier pouvant conduire à un licenciement pour faute grave ou à un dépôt de plainte pénale, avec un processus susceptible d’être examiné par le juge.
• Neutralité interne difficile : liens hiérarchiques ou personnels entre les intervenants potentiels et les personnes concernées, qui ne permettent pas de garantir formellement l’impartialité.

Un enquêteur externe agréé CNAPS peut mener des surveillances licites, analyser des informations publiques par OSINT, recueillir des témoignages et documenter des faits de fraude ou de malveillance. Cette indépendance doit figurer dans la lettre de mission, conformément aux exigences issues de la jurisprudence du 17 mars 2021.

Garanties pour les salariés concernés

L’article L.1152-2 du Code du travail protège le salarié lanceur d’alerte, les témoins et les personnes ayant participé au recueil des faits. Aucun ne peut subir de sanction, de licenciement ou de mesure discriminatoire en raison de son signalement ou de son témoignage, sauf mauvaise foi caractérisée. Cette protection prend effet dès le dépôt de l’alerte, indépendamment des suites données à l’enquête; sa violation peut engager la responsabilité prud’homale et pénale de l’entreprise.

Par un arrêt du 14 janvier 2026, la Cour de cassation a confirmé que le salarié mis en cause ne bénéficie pas d’un accès complet au dossier d’enquête ni d’un droit à la confrontation systématique avec ses collègues pendant la phase interne. Ces garanties relèvent du débat judiciaire ultérieur. Dès lors, l’absence de confrontation ne rend pas le rapport irrégulier si les éléments peuvent être discutés devant le juge.

Un licenciement pour faute grave fondé sur une enquête interne peut donc être recevable sans confrontation préalable, à condition qu’un débat contradictoire puisse se tenir devant le conseil de prud’hommes. Cette logique s’applique aussi à l’enquête harcèlement : la méthode suivie conditionne la recevabilité des éléments produits.

Décider après les conclusions

Les suites d’une enquête interne doivent être proportionnées aux faits établis et documentées avec autant de rigueur que les investigations. Le délai disciplinaire de deux mois court à partir du jour où l’employeur dispose d’une connaissance exacte des faits. Passé ce délai, la faute est prescrite sur le plan disciplinaire et aucune sanction ne peut être engagée. Le rapport doit donc permettre une décision rapide et motivée, adaptée aux faits.

• Avertissement écrit : sanction adaptée à un manquement avéré de faible gravité, sans rupture du contrat de travail, qui formalise le fait reproché.
• Mise à pied disciplinaire : suspension temporaire non rémunérée pour des faits d’une gravité intermédiaire, proportionnée à la nature et à l’étendue du préjudice constaté.
• Licenciement pour faute grave : rupture du contrat lorsque le maintien du salarié est impossible, y compris pendant le préavis, avec privation des indemnités de licenciement et de préavis.
• Signalement judiciaire : transmission des éléments utiles à l’autorité compétente pour des faits pénalement répréhensibles, tels qu’une fraude, un abus de confiance, une corruption ou un faux, en se limitant aux faits constatés.

Une fois le dispositif d’enquête interne établi et les sanctions appliquées, un suivi structuré à trois niveaux permet de vérifier l’exécution des mesures, d’observer le climat social et de réaliser un bilan à 6 puis 12 mois. Chaque préconisation du rapport doit être convertie en plan d’action, avec un responsable identifié, un calendrier et un indicateur de suivi. Ce retour d’expérience peut conduire à réviser un circuit de validation, à renforcer un contrôle ou à actualiser le dispositif d’alerte interne de l’entreprise.

Foire aux questions