La facture semble habituelle. Le fournisseur, le montant et la commande correspondent à ce que vous attendiez. Seul le compte bancaire a changé, avec un message demandant de payer rapidement. Dans cette situation fictive, l’assistante transmet le document au dirigeant, qui répond « bon pour paiement ». Deux personnes ont regardé la même information, mais aucune n’a vérifié l’origine du nouveau compte. La validation a ajouté une signature sans apporter de preuve supplémentaire.
La protection contre un faux RIB repose sur une distinction simple : vérifier que la dépense est justifiée et vérifier que l’argent part chez le bon destinataire sont deux contrôles différents. Une commande réelle peut servir de support à un détournement. Une facture correctement calculée peut porter des coordonnées bancaires frauduleuses. Le circuit doit donc traiter le changement de compte comme un événement à vérifier, même lorsque tout le reste paraît normal.
Une vérification indépendante de la demande reçue
L’indépendance du contrôle ne dépend pas seulement de la personne qui le réalise. Elle dépend aussi de la source utilisée. Répondre au courriel suspect, appeler le numéro écrit dans ce courriel ou demander confirmation à son expéditeur revient à poursuivre la même conversation. Si ce canal est compromis, la confirmation peut l’être également. Le logo, la signature et la qualité du français ne constituent pas une preuve suffisante de l’identité de l’émetteur.
La fiche de Cybermalveillance.gouv.fr consacrée au faux RIB recommande de joindre le créancier par son numéro habituel pour confirmer le changement. Dans votre organisation, cela suppose de disposer d’une coordonnée déjà connue, conservée avant la demande litigieuse. Le contact peut provenir du dossier fournisseur validé ou d’une relation commerciale établie. Une simple recherche dans le dernier message ne crée pas cette indépendance.
Le contrôle porte sur la demande précise : le fournisseur a-t-il effectivement demandé ce changement, à quelle date et pour quelles factures ? Il ne suffit pas de demander si une personne nommée travaille bien dans l’entreprise. Un interlocuteur qui ignore les coordonnées bancaires ne peut pas les confirmer utilement. Si le contact connu ne sait pas répondre, la modification reste en attente jusqu’à l’obtention d’une confirmation par une personne habilitée, selon un parcours dont vous maîtrisez l’origine.
Une organisation de petite taille peut formaliser cela sans créer un service supplémentaire. La personne qui reçoit le changement le signale, celle qui dispose du contact historique effectue le rappel, puis une personne autorisée modifie la fiche fournisseur. Quand ces rôles reviennent au même dirigeant, il reste nécessaire de distinguer les moments et les preuves. L’absence de séparation complète des personnes rend le recours à une source indépendante encore plus important.
Faire entrer le contrôle dans le paiement réel
La règle doit être placée là où la modification se produit. Si un logiciel permet de remplacer directement un RIB depuis une facture reçue, une consigne affichée dans un classeur sera insuffisante. Il faut identifier qui peut créer un bénéficiaire, qui peut modifier ses coordonnées et qui peut lancer le virement. Examinez également les paiements exceptionnels effectués en dehors du logiciel habituel : ils peuvent contourner un circuit bien conçu.
Une trace courte aide à éviter les ambiguïtés : demande reçue le jour indiqué, contact connu rappelé, identité et fonction de l’interlocuteur, résultat du contrôle, personne ayant autorisé la modification. Cette trace n’a pas à recopier inutilement toutes les données bancaires dans plusieurs fichiers. Elle doit permettre de comprendre pourquoi le nouveau compte a été accepté. Conserver seulement « vérifié » ne permet ni une revue ultérieure ni un remplacement pendant une absence.
L’urgence mérite une règle spécifique. Un fournisseur peut réellement avoir besoin d’un paiement rapide. Cela ne rend pas le nouveau compte plus fiable. Vous pouvez distinguer l’urgence commerciale, qui demande une réponse rapide, de l’autorisation bancaire, qui exige sa preuve. Lorsque la vérification manque, le paiement sur les nouvelles coordonnées reste suspendu. Le responsable contacte le fournisseur pour rechercher une solution compatible avec les engagements existants, sans improviser un autre bénéficiaire.
Le circuit doit également prévoir les congés. Si toute confirmation dépend d’une seule personne qui connaît les interlocuteurs, son absence rend la règle fragile. Un dossier fournisseur tenu à jour, avec des contacts professionnels vérifiés et des droits d’accès adaptés, permet à un remplaçant de suivre le même raisonnement. Il ne lui donne pas une autorisation générale de payer : il lui fournit les éléments nécessaires au contrôle prévu.
Un cas chiffré pour mesurer le coût de la vérification
Prenons une entreprise fictive qui traite 180 factures fournisseurs par mois. Elle reçoit six demandes de modification bancaire. Chaque rappel indépendant et sa trace prennent huit minutes. Le temps mensuel consacré à ces six changements est donc de 48 minutes. Il ne faut pas multiplier huit minutes par les 180 factures si la règle concerne précisément les nouveaux bénéficiaires et les modifications, tout en maintenant les autres contrôles habituels sur les paiements.
Une demande frauduleuse porte sur une facture réelle de 14 800 euros. L’équipe rapproche correctement cette facture de la commande et du service réalisé. Ce rapprochement justifie la dette, mais pas le compte demandé. Le rappel au contact historique révèle que le fournisseur n’a rien changé. L’exemple illustre le rôle de chaque preuve ; il ne permet pas de calculer une probabilité de fraude ni d’affirmer que 48 minutes éviteront chaque mois une perte de 14 800 euros.
Supposons maintenant que deux demandes sur les six ne puissent être confirmées le jour même. Le tableau de suivi doit les montrer comme « en attente de confirmation », avec un responsable et une prochaine action. Les classer simplement « bloquées » peut conduire à les oublier ; les classer « urgentes » peut pousser quelqu’un à contourner la règle. Une information exploitable explique ce qui manque et qui doit l’obtenir.
Les confusions qui rendent le dispositif fragile
Deux signatures ne valent pas nécessairement deux contrôles. Si chacun suppose que l’autre a appelé le fournisseur, la chaîne ne produit aucune vérification indépendante. Attribuez explicitement la question à laquelle chaque validation répond : réalité de la dépense, conformité du montant, identité du bénéficiaire ou disponibilité de trésorerie. Les validations deviennent utiles lorsqu’elles apportent des informations différentes et identifiables.
Un petit virement d’essai ne prouve pas à lui seul que le compte appartient au fournisseur attendu. Il prouve d’abord qu’un compte peut recevoir un paiement. De même, l’existence d’un bénéficiaire enregistré depuis quelques jours ne signifie pas que son enregistrement a été correctement vérifié. Le contrôle doit remonter à l’entrée de la donnée, pas seulement constater qu’elle apparaît désormais dans l’application bancaire.
Enfin, la fraude ne relève pas exclusivement de la comptabilité. Le commercial peut recevoir un nouveau RIB, l’acheteur peut connaître le bon interlocuteur et le dirigeant peut subir une demande confidentielle pressante. La règle doit être compréhensible par toutes ces personnes. Chacun doit pouvoir interrompre le circuit pour signaler une incohérence, sans devoir d’abord démontrer qu’une fraude est certaine.
La confidentialité invoquée par un demandeur ne doit pas supprimer les personnes normalement habilitées à contrôler. Prévoyez une réponse convenue : la demande sera traitée dans le circuit autorisé, avec la discrétion adaptée, mais ses coordonnées seront vérifiées. Cette formulation donne aux collaborateurs un appui concret face à une pression présentée comme venant de la direction.
Première vérification : reprendre un changement récent
Choisissez le dernier changement bancaire réellement traité. Reconstituez la demande initiale, la source utilisée pour confirmer le changement et la personne qui a autorisé l’enregistrement. Si vous ne trouvez qu’un courriel et deux accords internes, le point à corriger est visible. Écrivez alors une règle courte applicable au prochain changement, puis testez-la avec la personne qui assure le remplacement habituel.
Si un virement suspect est déjà parti, la situation appelle une réaction immédiate. Cybermalveillance.gouv.fr recommande notamment de contacter sans délai la banque, de conserver les éléments utiles et de déposer plainte. Une demande de retour des fonds ne garantit pas leur récupération. Préparez les coordonnées nécessaires avant l’incident et faites confirmer la procédure par votre banque. L’objectif opérationnel est de réduire le temps perdu lorsque chaque minute compte.