La conduite d’une enquête fraude interne salarié suppose un cadre légal précis, une méthode rigoureuse et une attention particulière à la recevabilité de la preuve. Elle permet d’établir des faits, d’en mesurer la gravité et de préparer, selon les cas, une suite disciplinaire ou judiciaire.

Enquête fraude en entreprise : définition et obligations de l’employeur

Une enquête interne en entreprise vise à établir des faits signalés ou suspectés, avant toute décision de l’employeur. Dans le champ de la fraude, elle peut porter sur un détournement, une falsification, une corruption ou toute autre faute commise au préjudice de l’entreprise. APIS 33 intervient souvent à ce stade : qualifier les faits, cadrer la procédure et préparer un traitement exploitable, y compris si une suite judiciaire ou pénale devient nécessaire.

Qu’est-ce qu’une enquête pour fraude en entreprise ?

Une enquête pour fraude en entreprise est une démarche formalisée engagée à la suite d’un signalement, d’une anomalie relevée en contrôle interne ou d’indices concordants. Son objet est simple : vérifier des faits précis, identifier leur auteur éventuel et mesurer leur gravité avant toutes sanctions ou saisine judiciaire.

• Vol et détournement : appropriation de marchandises, de fonds ou d’actifs de l’entreprise, y compris par manipulation comptable.
• Falsification documentaire : modification de factures, de notes de frais, de documents RH ou de données de stock à des fins personnelles.
• Corruption et divulgation : perception d’avantages indus ou transmission d’informations sensibles à un tiers, avec un possible volet pénal.

Dans les faits, une enquête fraude en entreprise ne confirme pas toujours une fraude constituée. Certaines investigations révèlent plutôt un dysfonctionnement de management, une faille de contrôle ou une mauvaise organisation. Dès lors, l’ouverture d’une enquête ne vaut ni accusation, ni qualification automatique de faute grave.

Quelles obligations légales pèsent sur l’employeur ?

L’employeur ne dispose pas d’une liberté totale face à une alerte interne. L’article L.4121-1 du code du travail lui impose de protéger la santé et la sécurité des salariés, ce qui peut justifier une enquête rapide lorsqu’un signalement est crédible. En pratique, cette logique vaut aussi pour une enquête harcèlement, même si l’objet diffère d’une enquête pour fraude en entreprise.

• Loi Sapin 2 et loi Waserman : mise en place d’un dispositif d’alerte et traitement de l’alerte interne dans les structures concernées, avec accusé de réception sous 7 jours et retour dans un délai de 3 mois selon le décret du 3 octobre 2022.
• Article L.4132-2 : obligation d’agir rapidement en cas d’alerte crédible touchant à la santé ou à la sécurité des salariés.
• Article L.1152-2 : protection du salarié lanceur d’alerte, des témoins et des personnes ayant participé au recueil des faits.

À l’inverse, l’inaction peut engager la responsabilité de l’entreprise et, selon les cas, celle du dirigeant. Le risque n’est pas seulement social : il peut devenir prud’homal, civil, voire pénal si des faits graves sont laissés sans traitement.

Quand l’employeur doit-il déclencher une enquête ?

Lancer une investigation se justifie lorsqu’il existe des éléments suffisamment sérieux : signalement reçu via le dispositif d’alerte, alerte d’un client, constat interne, incohérence comptable ou résultat d’audit. La cour de cassation, dans un arrêt du 12 juin 2024, a rappelé qu’il n’existe pas d’obligation automatique de lancer une enquête interne à chaque alerte, mais que l’employeur doit pouvoir démontrer une réaction adaptée au regard de son obligation de protection.

Une fois établi qu’un doute sérieux existe, il faut qualifier les faits sans tarder : nature de la fraude, périmètre des vérifications, personnes concernées, risque de disparition de la preuve et calendrier de la procédure. Le délai disciplinaire de deux mois impose de ne pas laisser s’installer l’inertie, surtout si la faute grave est envisagée.

Le déroulement d’une enquête interne suppose enfin une distinction claire entre soupçon, vérification et décision. Un dossier solide repose sur des faits datés, des pièces conservées loyalement et une traçabilité suffisante pour soutenir, selon le cas, une mesure disciplinaire, une enquête pour fraude en entreprise approfondie, voire une transmission au juge.

Techniques de détection de la fraude et déroulement de la procédure

Une fois le signalement jugé suffisamment précis, la conduite d’une enquête interne s’engage selon une méthode claire. APIS 33 rappelle qu’une enquête utile pour l’employeur vaut d’abord par la qualité de la preuve, pas par la rapidité seule.

Les quatre phases clés d’une enquête interne

Le déroulement d’une enquête interne suit quatre séquences qui se tiennent. Si l’une est négligée, la suivante peut être fragilisée. Un dossier solide repose sur une traçabilité continue : dates, pièces consultées, personnes entendues, décisions prises et éléments contradictoires doivent pouvoir être retrouvés sans difficulté.

• Phase 1, saisine et qualification : examen du signalement, définition du périmètre, rédaction d’un ordre de mission écrit et première appréciation du risque de fraude.
• Phase 2, préparation du plan d’action : reconstitution de la chronologie, repérage des personnes à entendre, sécurisation des documents disponibles et mise en place, si nécessaire, de mesures conservatoires.
• Phase 3, investigations : auditions structurées, vérifications documentaires croisées et, lorsque le cadre légal le permet, observations de terrain par un enquêteur agréé CNAPS.
• Phase 4, rapport de conclusions : distinction entre faits établis, non établis et incertains, puis présentation des constats avant toute qualification disciplinaire ou décision de licenciement.

Analyse documentaire et investigation numérique

Dans la conduite d’une enquête interne, l’analyse documentaire forme souvent la base du dossier. Courriels professionnels, échanges internes, pièces RH, historiques de transactions ou badges d’accès peuvent être rapprochés pour faire ressortir des incohérences, des répétitions ou des écarts de comportement. C’est à ce stade que la preuve se construit, à condition de rester dans un périmètre strictement professionnel.

Dès lors, la Cour de cassation encadre clairement l’accès aux données du salarié. Comme précisé par sa jurisprudence depuis 2001, l’employeur ne peut pas consulter la messagerie personnelle identifiée comme telle, même lorsqu’elle transite par l’outil informatique de l’entreprise. Le respect du contradictoire, du RGPD et de la vie privée conditionne la validité de la procédure.

En complément, un spécialiste en informatique légale peut récupérer des données effacées sur du matériel professionnel, sous réserve d’un cadre d’intervention proportionné. Des outils de tri automatisé, y compris fondés sur le machine learning, permettent aussi de repérer plus vite certains mots-clés ou rapprochements utiles.

Surveillance physique et techniques de terrain admissibles

À l’inverse, certaines situations exigent une vérification sur le terrain. C’est notamment le cas en présence d’une activité parallèle non déclarée, ou d’un doute sérieux lié à une fraude à l’arrêt maladie. La discrétion s’impose dès l’ouverture de cette phase : seul un enquêteur privé agréé CNAPS peut intervenir dans ce cadre, sans intrusion dans la vie privée.

En pratique, une observation de 3 à 5 jours suffit souvent lorsque l’activité suspectée est régulière. Si elle est ponctuelle, la durée peut être adaptée au contexte, sans sortir d’un principe de proportionnalité.

• Filature sur voie publique : constat d’activités et de déplacements dans des lieux accessibles à tous, sans pénétrer dans un espace privé.
• OSINT (sources ouvertes) : exploitation de contenus librement accessibles, sans contournement d’accès protégé, pour documenter des comportements objectivables.
• Enquête de voisinage : recueil limité de témoignages, sans manœuvre trompeuse, afin de confirmer ou nuancer les constatations matérielles.

Une fois établi que les faits observés présentent un enjeu disciplinaire ou financier, l’intervention d’un commissaire de justice peut renforcer la chaîne de conservation de la preuve. Cette articulation n’efface pas le travail de l’enquêteur, mais elle consolide la date, le contenu et la forme des constats. Un dossier bien préparé peut appuyer une décision de licenciement, sans jamais dispenser l’employeur de respecter l’intégralité de la procédure.

Suspicion de vol en entreprise : que faire et comment auditionner le salarié

Face à une suspicion de vol, la réactivité de l’employeur pèse directement sur la solidité de l’enquête. Le délai de 2 mois pour engager une procédure disciplinaire court à compter de la connaissance exacte des faits : une attente trop longue peut donc priver l’entreprise de toute sanction.

Les premières mesures de l’employeur face à une suspicion de vol

Face à une suspicion de vol, la première étape consiste à prendre des mesures conservatoires adaptées. Il s’agit de sécuriser les accès informatiques et physiques concernés, de préserver les données exposées à un risque d’effacement et, si nécessaire, d’éloigner temporairement certaines personnes pour protéger la preuve. La discrétion s’impose dès ce moment afin d’éviter toute altération des éléments utiles à l’enquête.

• Sécurisation des accès : modification rapide des droits d’accès informatiques et physiques sur le périmètre concerné, sans information préalable de la personne mise en cause lorsque la préservation de la preuve l’exige.
• Sauvegarde des données : extraction et conservation des fichiers, historiques de transactions et messageries professionnelles avant tout risque de suppression ou de modification.
• Organisation de l’enquête : désignation d’intervenants dépourvus de lien hiérarchique ou personnel avec les parties, par exemple un référent RH, un juriste interne ou un enquêteur externe agréé CNAPS lorsque le dossier présente une complexité particulière.

Une fois ce cadre posé, un ordre de mission écrit doit fixer l’objet de l’enquête, les personnes autorisées à consulter les informations et le calendrier retenu.

Les droits du salarié convoqué à une audition

Les droits du salarié auditionné appellent une vigilance particulière. La convocation doit parvenir au salarié par écrit dans un délai de 2 à 5 jours ouvrés avant l’entretien, en précisant l’objet, les faits visés, le caractère non coercitif et les garanties applicables. Lorsque sa responsabilité personnelle est directement en cause, l’assistance par un avocat extérieur doit pouvoir être proposée.

Dès lors, la méthode d’audition compte autant que son contenu. Un enregistrement audio réalisé sans accord exprès de la personne entendue est irrecevable et peut affaiblir l’ensemble du dossier judiciaire. La différence tient à la traçabilité : il est préférable d’utiliser des notes contradictoires, puis un compte rendu rédigé au plus près des déclarations, relu et validé en fin d’entretien par signature manuscrite ou électronique.

Le signalant est généralement entendu en premier, puis les témoins, et enfin la personne mise en cause. Cette progression permet de consolider la preuve avant de recueillir les explications du salarié concerné.

La cour de cassation et les garanties procédurales du salarié

La Cour de cassation a confirmé, par un arrêt du 14 janvier 2026 (n° 24-13.234), que le salarié mis en cause n’a pas droit à l’accès complet au dossier d’enquête ni à une confrontation systématique avec ses collègues pendant cette phase. Ces garanties relèvent du débat judiciaire ultérieur. L’absence de confrontation ne rend donc pas le rapport irrégulier, à condition que les éléments puissent être discutés devant le juge.

En complément, toute enquête doit garantir la confidentialité des identités, l’impartialité des intervenants et le respect des droits de la défense, ces trois conditions étant indissociables. Même logique que pour une alerte interne : la régularité de la méthode conditionne la recevabilité des éléments produits.

Une fois établi ce cadre, le choix de l’ enquêteur devient central. Un intervenant externe agréé CNAPS peut renforcer l’indépendance attendue par la jurisprudence du 17 mars 2021, à condition que cette indépendance soit formalisée dans la lettre de mission. APIS 33 veille à intégrer cette exigence dans chaque dossier. Pour consulter le dispositif d’alerte interne applicable, le texte officiel est disponible sur Légifrance.

Preuve admissible et procédures à suivre en cas de vol interne

La recevabilité d’une preuve détermine la solidité d’une sanction disciplinaire, d’un licenciement ou d’une action judiciaire. Une enquête mal cadrée peut conduire à l’écartement des éléments recueillis, même lorsque les faits paraissent établis. La différence tient à la méthode retenue dès l’ouverture de l’ investigation interne.

Preuve recevable contre un salarié : cadre jurisprudentiel

La notion de preuve admissible en enquête interne repose sur des exigences constantes en jurisprudence : la légalité du moyen employé, le respect de la vie privée du salarié, et un lien direct entre le dispositif de contrôle et les faits recherchés. Le code du travail, notamment l’article L.1222-4, impose aussi une information préalable sur les dispositifs de surveillance. Une simple formule générale dans le règlement intérieur ne suffit pas toujours : le dispositif doit être identifiable et justifié par une finalité légitime.

Dès lors, un rapport rédigé par un enquêteur privé agréé peut être produit si les opérations restent proportionnées et loyales. La Cour de cassation l’a rappelé dans ses arrêts du 17 mars 2021 et du 5 janvier 2022. Même logique pour les recherches OSINT menées sur des contenus librement accessibles, sans contournement d’un accès protégé. À l’inverse, toute preuve obtenue par ruse déloyale ou atteinte injustifiée à la vie privée sera écartée.

Une fois établi le périmètre de l’ enquête interne rigoureuse, l’analyse informatique peut compléter utilement le dossier. Un expert forensic peut retrouver des données supprimées sur un matériel professionnel, à condition de respecter le RGPD, la confidentialité des accès et la traçabilité de la collecte. L’ employeur ne peut pas consulter la messagerie personnelle du salarié, même si elle transite par les équipements de l’ entreprise. Un dossier solide repose sur une collecte licite, limitée et documentée.

Méthodes interdites et risques pour l’employeur

La validité d’une procédure dépend souvent moins du soupçon initial que de la façon dont il est vérifié. Certains procédés rendent la preuve irrecevable et peuvent aussi engager la responsabilité civile ou pénale de l’ employeur ou de l’ entreprise.

• Géolocalisation occulte : un dispositif installé à l’insu du salarié est prohibé lorsqu’il n’a pas été porté à sa connaissance dans un cadre conforme au droit.
• Enregistrement clandestin : la captation audio ou vidéo en lieu privé sans consentement constitue une infraction pénale distincte.
• Usurpation d’identité numérique : la création de faux profils ou l’accès frauduleux à des comptes personnels prive les éléments recueillis de toute portée probatoire.

À l’inverse, l’intervention conjointe d’un enquêteur et d’un commissaire de justice peut renforcer la chaîne de conservation de la preuve sur des faits précisément datés. C’est à ce stade que la loyauté de la collecte devient déterminante.

RGPD et confidentialité du rapport d’enquête interne

En complément, le RGPD encadre strictement les données personnelles recueillies au cours d’une investigation interne. La collecte doit être limitée à ce qui est nécessaire, conservée sur des supports sécurisés, puis supprimée ou anonymisée à l’issue de la procédure. Lorsque les faits ne sont pas établis, l’effacement des données dans les deux mois suivant la clôture de l’ enquête constitue un repère prudent de conformité.

Tout manquement peut entraîner des sanctions de la CNIL, indépendamment de la suite disciplinaire ou judiciaire. APIS 33 structure ses interventions de façon à respecter cette exigence de confidentialité et de proportionnalité, en documentant chaque étape de la collecte.

Sanctions, licenciement pour faute grave et suites disciplinaires

Une fois l’enquête achevée, l’employeur dispose d’un délai de 2 mois à compter de la connaissance exacte des faits pour engager une sanction. Au-delà, la faute est prescrite sur le plan disciplinaire.

Structure du rapport et qualification de la faute

Les sanctions disciplinaires en cas de fraude interne ne reposent valablement que sur un rapport construit avec méthode : contexte du signalement, méthodologie de l’enquête, analyse distinguant les faits établis, incertains ou non établis, puis annexes utiles, notamment les comptes rendus d’audition signés.

Dès lors, la qualification de la faute doit rester strictement factuelle. Le rapport ne peut pas prêter une intention au salarié sans appui matériel suffisant. En pratique, l’examen croisé des courriels, messages, notes internes, pièces comptables ou relevés d’accès sert à corroborer, nuancer ou écarter les déclarations recueillies pendant l’enquête.

• Faits établis : éléments documentés et corroborés par au moins deux sources distinctes, pouvant justifier des sanctions proportionnées.
• Faits incertains : éléments plausibles mais insuffisamment confirmés, qui appellent des vérifications complémentaires avant toute mesure disciplinaire.
• Faits non établis : signalement non confirmé, avec destruction des données collectées dans les 2 mois suivant la clôture de l’enquête.

Lorsque les faits relèvent aussi du pénal, par exemple en matière de fraude, de corruption, de vol, d’abus de confiance ou de faux, l’entreprise peut transmettre les éléments utiles à l’autorité judiciaire compétente. À l’inverse, cette transmission doit rester strictement limitée à ce qui est nécessaire, sans élargir le périmètre au-delà des faits constatés.

De l’avertissement au licenciement : quelles sanctions disciplinaires ?

Les sanctions sont graduées selon la gravité des faits retenus. Le licenciement pour faute grave du salarié suppose que son maintien dans l’entreprise soit impossible, y compris pendant le préavis : il emporte alors privation de l’indemnité de licenciement et du préavis. La différence tient à la solidité des preuves et au respect de la procédure, y compris lorsque l’employeur a dû réaliser une enquête interne avant de trancher.

• Avertissement écrit : réponse adaptée à un manquement avéré de faible gravité, sans rupture du contrat de travail.
• Mise à pied disciplinaire : suspension temporaire non rémunérée, appréciée selon la gravité des faits et la situation du salarié.
• Licenciement pour faute ou faute grave : rupture du contrat en présence d’une faute suffisamment caractérisée.

Une fois établi que les éléments ont été recueillis loyalement, le rapport peut servir de fondement à une décision disciplinaire. La Cour de cassation admet qu’un licenciement fondé sur une enquête interne reste recevable même sans confrontation préalable du salarié avec les témoins, à condition que le débat contradictoire puisse se tenir devant le conseil de prud’hommes. C’est à ce stade que la régularité de la procédure limite une partie des risques de contestation.

Suivi post-enquête et prévention dans l’entreprise

Après clôture, APIS 33 préconise un suivi à trois niveaux : exécution des mesures prises, observation de l’évolution du climat social, puis bilan à 6 et 12 mois. Chaque préconisation du rapport gagne à être traduite en plan d’action avec responsable identifié, calendrier et indicateur de suivi. Même logique que pour les dossiers de conformité : une enquête n’est utile que si ses suites sont pilotées.

En complément, le retour d’expérience peut conduire à revoir un contrôle, un circuit de validation ou un dispositif d’alerte. Dans l’entreprise, une communication mesurée et anonymisée renforce souvent l’appropriation des règles sans exposer inutilement les personnes concernées.

Une fois établi le retour d’expérience, les mesures correctrices doivent être documentées : mise à jour d’une procédure, ajustement d’un contrôle, formation ciblée ou redéfinition des circuits de validation. La même exigence de discrétion vaut dès l’ouverture, qu’il s’agisse d’un dossier de harcèlement, de fraude interne ou de faute grave.