Une proposition de loi prévoit de recenser pendant cinq ans les salariés ayant commis des manquements graves dans une banque. L’objectif répond à un risque réel, à savoir empêcher un fraudeur de passer d’un établissement à l’autre. Mais une liste noire, même nationale, ne détectera ni les premières fraudes ni les complicités invisibles. Et elle pourrait condamner professionnellement un salarié avant même l’intervention d’un juge.
Les banques ont consacré des milliards d’euros à sécuriser leurs systèmes contre les attaques extérieures. Mais que reste-t-il de ces protections lorsqu’un salarié dispose déjà des bons accès, connaît les procédures et sait quels contrôles contourner ?
C’est cette menace que veut traiter la proposition de loi déposée le 7 juillet 2026 par le député Daniel Labaronne. Le texte prévoit la création d’un fichier national recensant les personnes responsables de « manquements graves » à leurs obligations de probité au sein d’un établissement de crédit ou d’une société de financement. Selon les principaux réseaux bancaires cités dans l’exposé des motifs, près de 500 manquements auraient été recensés en 2024, pour un préjudice estimé à 40 millions d’euros. La proposition n° 3032 est, à ce stade, simplement renvoyée à la commission des finances.
L’enjeu ne se limite pas au détournement direct d’argent. Un collaborateur complice peut faciliter l’ouverture de comptes rebonds, lever une alerte, contourner une vérification KYC, modifier un IBAN ou fournir à un réseau criminel des données et des informations sur les contrôles internes. L’ACPR a précisément montré comment les comptes rebonds permettent de disperser rapidement le produit d’escroqueries et de compliquer les rappels de fonds ou les saisies judiciaires. Elle recommande aux établissements d’adapter leur gouvernance, leurs indicateurs de risque et leurs contrôles.
Une protection utile contre la récidive, mais dangereuse en l’état
Un fichier partagé comblerait une véritable faiblesse. Car une banque ne sait pas nécessairement qu’un candidat a quitté un établissement concurrent après une fraude ou une enquête interne. Il pourrait donc empêcher certains fraudeurs de circuler d’un réseau à l’autre.
Mais son efficacité s’arrête là. Il ne détectera pas un salarié jusqu’à présent irréprochable recruté par un réseau criminel, une personne soumise à des pressions, un complice infiltré sans antécédent, ni l’utilisation frauduleuse des identifiants d’un collaborateur innocent. Un fichier regarde le passé ; la fraude interne exploite aussi des circonstances, des vulnérabilités et des accès présents.
Le texte soulève surtout un problème de proportionnalité. L’inscription serait déclenchée par l’employeur, après l’avis d’un collège qualifié d’indépendant, mais composé de professionnels du secteur bancaire. Aucune condamnation judiciaire définitive n’est exigée. La liste précise des manquements justifiant le fichage serait renvoyée à un arrêté ultérieur. Enfin, le recours du salarié ne serait pas suspensif, alors qu’une inscription consultable pendant cinq ans pourrait, en pratique, lui fermer l’ensemble du secteur.
Le fichier prétend exclure toute donnée pénale, mais la seule présence d’une identité dans une base dédiée aux atteintes à la probité constitue déjà une information extrêmement accusatoire. La CNIL rappelle d’ailleurs que les listes noires doivent reposer sur des faits précisément définis, permettre une contestation effective, garantir leur mise à jour et respecter un droit à l’oubli. Elle met explicitement en garde contre le « pilori électronique ».
Contrôler les accès plutôt que miser sur la seule moralité
La lutte contre la fraude interne doit d’abord empêcher qu’une personne puisse agir seule, durablement et sans laisser de traces. Cela suppose des vérifications d’antécédents proportionnées à la sensibilité du poste, mais surtout une stricte limitation des habilitations, la séparation des tâches, une double validation pour les opérations critiques et la suppression immédiate des accès devenus inutiles.
Les banques doivent également analyser les usages anormaux de leurs outils (consultation injustifiée de comptes, multiplication d’exceptions KYC, levées inhabituelles d’alertes, ouvertures de comptes en dehors des pratiques habituelles ou extractions massives de données, etc.). Cette surveillance doit être ciblée, explicable et portée à la connaissance des salariés. La CNIL rappelle que les accès aux données du personnel doivent eux-mêmes être limités, sécurisés et journalisés. Les principes du contrôle interne bancaire imposent déjà une cartographie continue des risques et des plans de contrôle adaptés.
À cela doivent s’ajouter la rotation sur les fonctions sensibles, des congés réellement pris, des contrôles indépendants, des canaux d’alerte protégés et des enquêtes menées rapidement. Car le meilleur détecteur de fraude interne reste souvent un collègue qui remarque une anomalie, à condition qu’il puisse la signaler sans craindre de représailles.
Un fichier national peut donc constituer une dernière barrière, mais uniquement avec des critères inscrits dans la loi, une décision contradictoire, une instance véritablement indépendante, un recours suspensif et une consultation limitée aux fonctions les plus exposées. Sans ces garanties, il ne protégerait pas seulement les banques contre les fraudeurs. Il protégerait aussi les banques contre leur propre responsabilité. Or, lorsqu’un salarié peut détourner des fonds ou neutraliser des contrôles sans être détecté, le problème n’est pas uniquement l’individu. C’est également le système qui lui en a donné la possibilité.
