J'ai lu l'article sur Lihi Darnell (Gluzman), témoin clé dans l'affaire du meurtre d'Asaf Steierman, qui suit actuellement une formation dans le domaine de la psychologie clinique. Au-delà du débat juridique et public, ce cas soulève à mes yeux une question professionnelle bien plus large :
Avec quelle profondeur les organisations vérifient-elles les personnes entre les mains desquelles elles placent pouvoir, influence et confiance ?
Dans ce cas, il s'agit d'une profession thérapeutique. Ailleurs, il s'agit d'un directeur financier, d'un responsable de la sécurité, d'un responsable des achats, d'une personne de l'IT disposant d'autorisations étendues, ou d'un collaborateur exposé à des informations sensibles.
L'une des principales leçons du monde des insider threats, c'est que tout risque ne se mesure pas à un casier judiciaire ou à une condamnation. Parfois, ce sont précisément les schémas de comportement, la prise de décision sous pression, le jugement moral et les réactions face à des événements extrêmes qui devraient allumer des voyants d'alerte.
De nombreuses organisations se concentrent sur la question « Ce collaborateur a-t-il un casier judiciaire ? », mais souvent la question la plus importante est : « Existe-t-il des informations significatives sur son comportement passé qui nous feraient réfléchir à deux fois avant de lui confier un poste sensible ? »
Dans ce cas précis, il ne s'agit pas d'une question juridique mais d'une question de gestion des risques.
Lorsqu'une personne est appelée à occuper une position de confiance, à influencer d'autres personnes ou à accéder à des ressources sensibles, il vaut la peine d'examiner plusieurs niveaux : un historique de prise de décision dans des situations extrêmes ; une implication dans des événements à portée publique ou morale ; les écarts entre l'image actuelle et des événements passés significatifs ; une évaluation du risque actualisée et non ponctuelle ; et des mécanismes de supervision et de contrôle dans la durée.
Il est également important de rappeler que les insider threats ne naissent pas uniquement d'une intention malveillante. Parfois, elles découlent d'un jugement défaillant, de la dissimulation d'informations, d'un manque de responsabilité ou de conflits de valeurs qui n'ont pas été repérés à temps.
En fin de compte, chaque organisation doit décider où se situe la ligne entre la réhabilitation personnelle et la responsabilité professionnelle. C'est une décision complexe, mais elle doit être prise dans une logique de gestion des risques éclairée, et non en partant du principe que, s'il n'y a pas d'obstacle juridique, il n'y a pas non plus de risque.