In Workplace Investigations, Process Is Protection

Étude de cas

Des disques externes, des données copiées, des ordinateurs effacés... et aucune injonction. Quand le départ de hauts dirigeants expose l'entreprise à des risques d'affaires, de preuve et de protection de l'information.

Une entreprise peut amasser des motifs sérieux d'exfiltration de données : des supports externes connectés à des ordinateurs de travail, des données transférées, des courriels envoyés vers des adresses personnelles ou vers une nouvelle entreprise, des logiciels d'effacement utilisés, des contacts avec des clients ou fournisseurs, et même des éléments laissant croire à une concurrence post-emploi.

Cinq leçons d'une affaire de départ précipité

Une décision récente de la Cour suprême de la Colombie-Britannique offre des enseignements importants dans ce contexte. Dans Quality Chain Canada Ltd. v. Xu, 2026 BCSC 424, une entreprise se trouvait face à un départ abrupt de membres clés de la direction, soupçonnés d'activités déloyales et d'exfiltration de données.

Bien que l'entreprise ait pu démontrer des indices sérieux de faute, la Cour a dû examiner si l'injonction était appropriée, compte tenu des délais, de la preuve disponible, et de l'impact d'une injonction.

Leçon 1 : La preuve numérique ne suffit pas toujours

Dans certains cas, même avec des traces numériques, l'absence de documents d'autorisation, de contrats de non-concurrence clairs, ou de politiques explicites peut réduire la force de la preuve.

Leçon 2 : Le délai compte

La Cour a noté que le délai entre la découverte des faits et l'action en justice peut affecter la crédibilité de la demande. Trop de délai peut suggérer que le préjudice n'était pas aussi grave qu'allégué.

Leçon 3 : Les conversations informelles peuvent constituer des preuves

Dans cette affaire, les témoignages sur les conversations informelles ont joué un rôle important. Les employés qui ont rapporté ce qu'ils avaient entendu diraient ou observé ont contribué à établir les faits.

Leçon 4 : Le contexte organisationnel compte

La Cour a examiné comment l'organisation gérait ses données, ses accès, et ses contrôles. Une organisation sans politiques claires ou sans mesures de cybersécurité adéquates peut avoir plus de mal à prouver un vol de données.

Leçon 5 : La préparation est clé

Si une injonction n'est pas accordée rapidement, l'entreprise perd l'occasion de préserver les données, de protéger sa clientèle, et de prévenir davantage de dommages. La préparation à l'avance — documentations, politiques, mesures de sécurité — est essentielle.

Case Study

When Workplace Gossip Becomes Evidence: Investigation Lessons from a Recent Labour Arbitration Award. Workplace investigations often begin with a complaint about behavioural misconduct, but the real work of the investigator is determining whether the evidence shows isolated incidents or a broader workplace pattern.

I spent years conducting internal affairs criminal investigations in a policing environment. In that context, allegations often began with statements, impressions, or concerns — but conclusions had to be built on facts, corroboration, chronology, credibility, and the careful separation of what was alleged from what could be established. That same discipline is essential in workplace investigations.

I would define behavioural misconduct as conduct between people in the workplace that affects respect, dignity, psychological safety, authority, intimidation, or professional boundaries. It's a large spectrum, but I believe it reflects the reality of today's workplace culture.

The Importance of Investigation Scope

In the recent Ontario labour arbitration award, the external investigator conducted 38 interviews. These interviews included the parties, current and former employees, and other witnesses identified by the parties. The investigator also reviewed workplace documents, emails, and other documentary evidence.

This kind of investigation would not have been possible if internal resources were involved. The fact that the suspected misconduct involved someone in authority made independence, transparency, and perceived neutrality especially important.

Pattern-Based Evidence vs. Incident-Based Evidence

Some allegations are incident-based. Others are pattern-based. In a pattern-based investigation, the evidence collection must be designed to answer questions such as:

• Who heard the comments?
• Were similar comments made to different people?
• Did the same themes repeat over time?
• Were the comments about the same employees or categories of people?
• Were the comments made by someone in a position of authority?

The Power of Professional Interviews

For investigators, this illustrates the importance of conducting professional interviews, because accuracy is paramount in establishing patterns of behavior. Witnesses were not merely secondary sources. In this case, witnesses helped establish the workplace environment.

That is important because the alleged conduct was not limited to statements made directly to the grievors. Much of the evidence involved what the respondent said about other people in front of the grievors or in front of other employees. From an investigation standpoint, that broadens the relevance of witness evidence.

The Evidentiary Challenge of Spoken Words

Many workplace investigations involve allegations about spoken words. That creates a recurring evidentiary challenge. Conversations are often undocumented. They may occur in private offices, hallways, kitchens, virtual meetings, phone calls, or informal one-on-one discussions.

In the arbitration award, credibility findings were important. The arbitrator relied on the investigator's findings largely because the problematic conversations were corroborated. A useful credibility assessment should not simply state that one person was believed and another was not. It should explain why.

Étude de cas

Une personne visée par une enquête interne tente d'en faire dérailler le processus. Pas si vite ! dit la Cour supérieure de justice de l'Ontario.

Dans Stobo c. Queen's University, 2026 ONSC 2253, les demandeurs ont demandé au tribunal de suspendre une enquête en cours sur des allégations de harcèlement à l'Université Queen's. Ils soutenaient notamment que l'indépendance de l'enquêteur avait été compromise et que l'enquête ne devait pas se poursuivre.

La Cour a refusé.

Cette décision fait écho au fait que le processus d'enquête doit être défendable du début à la fin. Sans cela, il pourrait être vigoureusement contesté.

Le processus est visé plus directement que la preuve

Dans mes fonctions d'enquêteur aux affaires internes criminelles, j'ai pu constater que le processus est effectivement visé plus directement que la preuve du dossier lui-même.

Le tribunal conclut qu'une enquête interne ne devient pas invalide simplement parce qu'une partie allègue un biais, une injustice ou des préoccupations procédurales. De plus, le jugement souligne que les tribunaux ne devraient pas intervenir (généralement) dans une enquête avant qu'elle soit terminée.

L'indépendance compte

Plus important encore, le tribunal affirme que l'indépendance compte. Même si la Cour a conclu que l'indépendance de l'enquêteur n'avait pas été compromise, la décision démontre à quel point cette question peut facilement devenir un angle d'attaque.

Les organisations devraient prévoir :

• des mandats clairs ;
• des canaux de communication bien définis ;
• une séparation appropriée entre l'enquêteur, la direction et les conseillers juridiques.

La leçon pratique

Si votre organisation mène des enquêtes en milieu de travail, sa meilleure protection contre une contestation judiciaire n'est pas l'improvisation après coup. C'est un processus défendable dès le départ.

Étude de cas

Le téléphone mobile du dirigeant représente un angle mort critique en matière de protection organisationnelle. Plus qu'un simple appareil, c'est un dossier de renseignement vivant sur l'entreprise qui peut devenir une arme redoutable pour les auteurs de menace.

Le Centre canadien pour la cybersécurité rappelle que les appareils mobiles sont devenus des composantes clés des organisations et qu'ils peuvent accroître le risque de compromission de l'information sensible. Mais le problème ne se limite pas à la cybersécurité. Dans une perspective d'espionnage corporatif, un téléphone mobile corporatif révèle comment l'entreprise fonctionne.

Un poste d'observation miniature

Contrairement aux appareils de bureaux traditionnels, les téléphones portables sont très dynamiques. Des mises à jour non appliquées, des données préservées sur des applications supprimées, ou des applications non autorisées peuvent faire partie de l'écosystème que renferme l'appareil portable, compliquant leur protection.

Pour un auteur de menace, le téléphone mobile est un poste d'observation miniature. Il peut révéler :

• les déplacements ;
• les horaires ;
• les contacts ;
• les habitudes de communication ;
• les réunions ;
• la structure informelle de l'entreprise.

Pris isolément, chacun de ces éléments peut sembler banal. Mais le recoupement de ces informations permet de comprendre l'organisation dans son ensemble. C'est d'ailleurs la méthode utilisée par les analystes de renseignement des forces policières.

Voler un fichier, ou comprendre l'organisation ?

Dans une logique d'espionnage corporatif, l'objectif n'est pas toujours de voler un fichier ou de saisir les systèmes contre rançon. L'objectif peut être de comprendre une organisation, pour mieux en tirer profit plus tard.

Comprendre qui sont les personnes influentes. Comprendre quelles relations comptent. Comprendre quelles sont les parties prenantes d'un projet. Comprendre quels comportements peuvent servir à tendre un piège.

Un organigramme officiel indique les postes. Un téléphone mobile peut révéler l'organigramme social. Pour un adversaire, cette information peut être plus utile qu'un bon de commande ou une facture d'un client. Parce qu'une attaque efficace ne repose pas toujours sur la force technique. Elle vise très souvent les faiblesses humaines et les processus déficients.

L'humain demeure la meilleure porte d'entrée

L'être humain est souvent la meilleure porte d'entrée vers l'entreprise. Le téléphone mobile permet de comprendre ses habitudes, ses vulnérabilités, ses routines, ses contacts, ses déplacements et parfois ses tensions personnelles ou professionnelles.

L'objectif est d'approcher la bonne personne avec la bonne information au bon moment. C'est précisément ce qui rend les appareils mobiles si sensibles. Ils rapprochent l'adversaire de l'humain.

Les menaces persistantes : rester dans l'ombre pour mieux exploiter

Les attaques les plus préoccupantes peuvent demeurer invisibles pendant de longues périodes. Dans plusieurs contextes, les auteurs de menace ne cherchent pas à causer un dommage immédiat. Ils cherchent plutôt à demeurer présents, discrets et difficiles à détecter le plus longtemps possible. C'est la logique des menaces persistantes avancées, souvent désignées par l'expression anglaise Advanced Persistent Threats ou APT.

L'objectif n'est pas seulement d'entrer. L'objectif est de rester. Et d'exploiter au bon moment.

Dans un contexte d'espionnage industriel, cette logique est particulièrement préoccupante. Un adversaire qui demeure tapi dans l'ombre peut recueillir une grande masse de données, pour attaquer un plus grand nombre de cibles : les clients de l'entreprise, les fournisseurs et même les employés.

Les outils existent, mais la décision appartient à la direction

Les outils de gestion existent. Mais l'enjeu principal pour la direction n'est pas de connaître tous les acronymes ni de maîtriser le vocabulaire technique des solutions de mobilité.

L'enjeu est de décider ce que l'entreprise accepte de laisser circuler, se synchroniser, se stocker, se partager et se collecter sur des appareils mobiles. C'est la gestion du risque à sa plus basse expression. Il s'agit donc de questions de gouvernance et de tolérance au risque.

BYOD : la zone grise exploitable

Une entreprise qui permet l'accès aux données corporatives à partir d'appareils personnels doit savoir, avant l'incident, ce qu'elle peut faire, ce qu'elle ne peut pas faire, ce qu'elle peut vérifier et comment elle peut intervenir.

Sous l'angle de l'espionnage corporatif, le BYOD crée une zone grise entre la protection de l'entreprise et la vie privée. Cette zone grise peut ralentir l'intervention, compliquer l'analyse et offrir à un auteur de menace une fenêtre d'exploitation.

Les questions que la direction devrait poser

Les organisations n'ont pas besoin de transformer chaque téléphone en dossier de sécurité complexe. Mais elles doivent savoir quels appareils, quels employés et quels accès représentent une valeur informationnelle élevée.

Avant l'incident, la direction devrait se poser certaines questions simples :

• Quels employés détiennent une valeur informationnelle élevée ?
• Quels appareils donnent accès à des renseignements stratégiques ?

Ces questions ne sont pas théoriques. Elles déterminent la capacité réelle de l'entreprise à réduire ce qu'un adversaire peut apprendre, exploiter ou manipuler.