OSINT : à quoi sert le renseignement en sources ouvertes dans une enquête interne ?
Avant l'eDiscovery ou les entretiens, l'OSINT permet de vérifier des faits, cartographier les réseaux et anticiper les risques d'une enquête interne — dans un cadre RGPD strict.
Lorsqu'un salarié fait l'objet d'une alerte pour conflit d'intérêts, qu'un cadre dirigeant quitte l'entreprise pour rejoindre un concurrent direct ou qu'une suspicion de fraude émerge, la question se pose immédiatement : par où commencer l'investigation ? Avant de faire de l'eDiscovery ou de convoquer les parties prenantes en entretien, il est de bon ton de faire quelques vérifications sur Internet grâce à l'OSINT, ou renseignement en sources ouvertes. Mais concrètement, qu'est-ce que l'OSINT apporte à une enquête interne ?
Qu'est-ce que l'OSINT ?
OSINT est l'acronyme de Open Source Intelligence, soit « renseignement en sources ouvertes » en français. Il s'agit de toute information légalement accessible au public.
Contrairement à ce que le terme « renseignement » pourrait suggérer, l'OSINT ne nécessite pas de piratage, ni surveillance illégale, ni accès à des bases de données confidentielles. Tout repose sur des sources publiques et légales :
- Moteurs de recherche : Même si nous nous en servons de moins en moins, les moteurs de recherche, notamment dans lesquelles nous travaillons, sont le premier point de passage (Exemple, Yandex en Russie)
- Réseaux sociaux professionnels et personnels : LinkedIn, X/Twitter, Facebook, Instagram, ou les réseaux professionnels spécifiques à certaines zones, comme Xing en zone DACH
- Registres officiels : INPI, Infogreffe, Journal Officiel des Associations, cadastre, …
- Presse en ligne : articles, communiqués, tribunes, interviews
- Sites internet d'entreprises : organigrammes, publications, mentions légales
- Annuaires professionnels : OpenCorporates.com, Pappers.fr, etc.
- Archives web : Wayback Machine, versions historiques de sites supprimés
- Outils OSINT dédiés : Pour pouvoir screener des adresses, noms, numéros, il existe des services pour faire cela à la volée sur des centaines de sites, comme OSINT.Industries ou UserSearch.ai
En enquête interne, nous pouvons utiliser l'OSINT pour recouper des informations et les croiser avec des données collectées en interne. C'est ce travail de recoupement qui transforme des données brutes en éléments probants.
Pourquoi l'OSINT est-il pertinent dans une enquête interne ?
Lors d'une investigation interne, l'OSINT intervient comme une première couche d'information avant toute collecte technique ou audition. Il répond à trois besoins stratégiques.
1. Vérifier la matérialité des faits avant d'aller plus loin
Une alerte peut être vague ou reposer sur des présomptions. Avant de lancer une procédure lourde (analyse forensique, convocation en entretien), l'OSINT permet de confirmer ou d'infirmer rapidement certains éléments factuels.
Exemple : Un cadre est soupçonné d'avoir créé une société concurrente pendant son CDI. Une recherche sur Pappers permet de vérifier s'il figure bien comme dirigeant ou associé, et si la date de création coïncide avec la période d'emploi.
2. Identifier les acteurs périphériques et les liens cachés
Les enquêtes internes impliquent rarement une seule personne. L'OSINT permet de cartographier un réseau : associés, prête-noms, relations professionnelles, anciens collègues reconvertis.
Exemple : Un responsable achats est suspecté de favoritisme envers un fournisseur. Une recherche croisée sur LinkedIn révèle qu'il a travaillé cinq ans avec le dirigeant de ce fournisseur dans une autre entreprise, information absente de sa déclaration de conflit d'intérêts.
3. Anticiper les risques réputationnels ou juridiques
Certaines investigations internes dépassent le cadre strictement disciplinaire : elles peuvent conduire à un signalement externe, voire à une procédure judiciaire. L'OSINT permet de vérifier la présence médiatique d'un individu ou d'une entreprise tierce, et donc d'anticiper l'impact d'un éventuel scandale.
Exemple : Une société sous-traitante fait l'objet d'une suspicion de blanchiment. Une recherche presse révèle qu'elle a déjà été citée dans une enquête journalistique pour des pratiques similaires trois ans plus tôt.
Concrètement : que peut-on trouver avec l'OSINT ?
L'OSINT ne remplace pas l'eDiscovery (analyse des e-mails), sur lequel nous reviendrons la semaine prochaine. Il complète cependant des sources en révélant des éléments de contexte parfois impossibles à extraire des systèmes internes.
Trajectoires professionnelles et déclarations contradictoires
Les CV internes ne sont pas toujours à jour — ni toujours sincères. LinkedIn, Viadeo ou encore les archives de communiqués de presse permettent de retracer un parcours et de détecter des incohérences.
Cas d'usage : Un cadre déclare n'avoir aucun lien avec une société tierce, alors qu'il figure dans un organigramme publié deux ans plus tôt sur le site de cette même société.
Activités extra-professionnelles non déclarées
Certaines fonctions imposent une obligation de déclaration (mandats sociaux, fonctions de conseil, activités lucratives annexes). L'OSINT permet de vérifier si ces déclarations ont été faites ou omises.
Cas d'usage : Une recherche au BODACC révèle qu'un salarié a été nommé gérant d'une SARL six mois après son embauche, sans en informer son employeur.
Publications injurieuses et harcèlement en ligne
Les collaborateurs peuvent parfois être vulnérables en ligne, au regard de leur fonction. L'OSINT permet de détecter d'éventuelles publications dégradantes : posts sur les réseaux sociaux, vidéos, ...
Cas d'usage : Un compte anonyme sur X/Twitter harcèle régulièrement des personnes de votre entreprise en ligne, en publiant des messages insultants à leur encontre. À l'aide d'outils dédiés comme OSINT.Industries, il est possible de pivoter et d'identifier l'auteur de ces publications.
Les limites de l'OSINT : ce qu'il ne peut pas faire
L'OSINT est puissant, mais il ne dispense jamais des autres sources d'investigation. Trois limites majeures doivent être intégrées dès la phase de cadrage.
L'OSINT ne prouve pas toujours une intention
Trouver un lien entre deux personnes ou deux entités ne suffit pas à établir une fraude. L'OSINT documente des faits, mais c'est leur mise en perspective avec d'autres sources (entretiens, e-mails, données ERP) qui leur donne un sens probatoire.
L'OSINT ne contourne pas le droit à la vie privée
L'accès à une information publique ne légitime pas son utilisation à n'importe quelle fin. En droit français, l'usage de données personnelles (même publiques) dans le cadre d'une enquête interne doit respecter le principe de proportionnalité et les obligations RGPD.
Règle pratique : On peut consulter un profil LinkedIn public pour vérifier une trajectoire professionnelle. On ne peut pas aspirer massivement des données personnelles via des outils automatisés sans base légale.
L'OSINT vieillit vite
Un profil LinkedIn peut être modifié en une nuit. Un article de blog peut être édité. Une archive web peut disparaître. Toute information collectée en OSINT doit être horodatée et capturée (capture d'écran, export PDF, archivage) au moment de sa découverte, pour s'assurer de sa bonne traçabilité.
L'OSINT dans la chaîne d'investigation : un jalon, pas une fin
L'OSINT n'est ni une solution miracle, ni une technique réservée aux spécialistes. C'est une méthode structurée de collecte d'informations publiques, qui vient enrichir l'enquête interne en amont ou en parallèle d'autres sources : analyse des e-mails, entretiens, forensic accounting, etc.
Dans une enquête bien menée, l'OSINT intervient en phase exploratoire : il permet de poser les bonnes questions avant de convoquer les personnes concernées, de mieux cibler les requêtes eDiscovery, et de croiser les déclarations avec des faits objectifs et vérifiables.
Mais pour que l'OSINT reste un atout et non un risque juridique, il doit être pratiqué dans un cadre strict : respect du RGPD, documentation des sources, absence de détournement de finalité.
Vous menez une enquête interne et souhaitez structurer vos recherches en sources ouvertes ? Evidencia propose un module de gestion de cas intégrant la collecte, le référencement et la traçabilité des preuves OSINT, en conformité RGPD.
Nous formons également vos équipes sur les sujets d'OSINT, afin de pouvoir mieux exploiter cette source.
→ Découvrir la plateforme Evidencia
