Le virement était autorisé.
Il était pourtant frauduleux.
La facture était réelle. Le fournisseur existait. Le montant correspondait à une opération attendue.
Le collaborateur disposait de l’autorisation nécessaire et le paiement a suivi le circuit habituel.
Pourtant, l’argent n’est jamais arrivé sur le compte du fournisseur.
Entre la réception de la facture et l’exécution du virement, les coordonnées bancaires avaient été remplacées. L’opération paraissait régulière parce que le fraudeur ne l’avait pas inventée : il s’était inséré dans un échange existant.
Cette situation révèle une évolution majeure du risque. La fraude au virement ne repose plus uniquement sur un message grossier ou une demande manifestement anormale. Elle peut reprendre le nom d’un interlocuteur connu, le montant d’une véritable facture, le calendrier d’un paiement attendu et jusqu’au ton habituellement employé dans les échanges.
Selon le rapport d’activité 2025 de Cybermalveillance.gouv.fr, environ 13 000 recherches d’assistance ont concerné les fraudes au virement, soit une progression de 170 %. Elles représentaient 12,8 % des demandes d’assistance des professionnels et constituaient leur troisième menace la plus fréquemment rencontrée.
Face à cette évolution, vérifier la cohérence d’une facture ne suffit plus. L’entreprise doit examiner la solidité du processus qui autorise, prépare et exécute le paiement.
Une fraude réussie ne contourne pas toujours les procédures.
Elle exploite parfois une procédure insuffisamment conçue.
Les cinq ruptures de contrôle qui doivent
déclencher une alerte
1. Une même personne peut créer le fournisseur et préparer son paiement
Lorsqu’un collaborateur peut créer un tiers, enregistrer ses coordonnées bancaires, saisir sa facture et préparer son règlement, une seule habilitation concentre plusieurs étapes sensibles.
Cette organisation ne signifie pas qu’une fraude existe. Elle signifie qu’une erreur ou une action frauduleuse pourrait traverser tout le processus sans rencontrer de contrôle indépendant.
Dans les structures où une séparation complète des fonctions n’est pas possible, cette concentration doit être compensée par une validation distincte, une revue périodique des fournisseurs et un contrôle documenté des modifications sensibles.
2. Un changement de RIB peut être validé uniquement par email
Un email n’est pas une preuve suffisante lorsque la messagerie constitue précisément l’un des points d’entrée privilégiés des fraudeurs.
Tout changement de coordonnées bancaires devrait faire l’objet d’une confirmation par un autre canal, auprès d’un interlocuteur déjà connu et en utilisant des coordonnées précédemment enregistrées.
Il ne faut pas appeler le numéro indiqué dans le message demandant la modification. Celui-ci peut également appartenir au fraudeur.
La vérification doit enfin être tracée : date, identité de la personne contactée, numéro utilisé et nom du collaborateur ayant effectué le contrôle.
3. La seconde validation ne vérifie rien de différent
Cliquer deux fois sur « approuver » ne crée pas automatiquement un contrôle à deux niveaux.
Deux personnes peuvent autoriser le même paiement en s’appuyant sur une information unique et compromise. La seconde validation peut aussi devenir une formalité lorsque son objet n’est pas clairement défini.
Les contrôles doivent être complémentaires :
- Une première personne vérifie la réalité de la facture et de la prestation
- Une seconde contrôle le bénéficiaire et toute modification de ses coordonnées bancaires
- L’autorisation finale repose sur des preuves indépendantes et traçables
Le nombre de signatures compte moins que l’indépendance des vérifications.
4. Les droits d’accès ne suivent pas les changements de fonction
Les habilitations s’accumulent souvent au fil des évolutions internes.
Un collaborateur change de poste mais conserve ses anciens droits. Un remplaçant temporaire reste habilité. Un ancien salarié demeure référencé dans un logiciel comptable ou un portail bancaire.
Les droits doivent être revus après chaque départ, mobilité, réorganisation ou modification de délégation. Une revue périodique doit également vérifier que leur combinaison ne permet pas à une seule personne d’initier et d’achever une opération sensible.
L’entreprise doit pouvoir identifier qui a créé ou modifié un fournisseur, à quelle date et sur la base de quelle vérification.
5. Les opérations exceptionnelles échappent au circuit normal
Les procédures fonctionnent généralement bien pour les paiements récurrents.
Le risque augmente lors des opérations inhabituelles : acompte important, nouveau fournisseur, règlement international, acquisition ou paiement demandé par un dirigeant en déplacement.
Or les montants les plus importants sont souvent associés à ces situations exceptionnelles.
Une procédure robuste doit définir à l’avance :
- Les seuils nécessitant une validation renforcée
- Les personnes habilitées en cas d’absence
- Les contrôles applicables aux nouveaux bénéficiaires
- Le traitement des demandes urgentes ou confidentielles
- Les preuves devant être conservées
Une situation exceptionnelle ne devrait jamais conduire à improviser le contrôle.
Une procédure écrite ne garantit pas
que le contrôle fonctionne
L’existence d’une procédure est nécessaire, mais elle ne démontre pas son efficacité réelle.
Un contrôle peut être correctement décrit et pourtant rarement exécuté, insuffisamment documenté ou facilement contourné. Il peut également dépendre d’une seule personne, dont l’absence conduit les équipes à adapter les règles dans l’urgence.
L’audit doit donc dépasser la lecture des procédures. Il doit suivre une opération de bout en bout et tester les situations dans lesquelles le dispositif est le plus susceptible de céder :
- Un fournisseur transmet un nouveau RIB
- Une facture urgente arrive pendant l’absence du valideur habituel
- Un paiement se situe juste sous un seuil d’autorisation
- Une demande confidentielle semble provenir de la direction
Le bon test n’est pas seulement : « la procédure existe-t-elle ? »
La question déterminante est la suivante : Résiste-t-elle lorsque l’opération paraît crédible, urgente et conforme aux habitudes de l’entreprise ?
Ce que Kaerus analyse dans
le cycle de paiement
La prévention d’une fraude au virement ne relève pas uniquement de la sécurité informatique. Elle dépend également de la conception et de l’application du contrôle interne financier.
Kaerus analyse la chaîne complète du paiement :
- Référencement du fournisseur
- Réception et validation de la facture
- Modification éventuelle des coordonnées bancaires
- Préparation du règlement
- Autorisation bancaire
- Contrôle après paiement
À chaque étape, notre analyse recherche notamment :
- Une concentration excessive des fonctions
- Une validation reposant sur une source unique
- Des droits d’accès trop étendus
- Une absence de preuve ou de traçabilité
- Une dérogation permettant de contourner le circuit normal
Cette approche ne prétend pas faire disparaître tout risque.
Elle vise à réduire la probabilité qu’une opération frauduleuse puisse être créée, validée, payée et comptabilisée sans déclencher d’alerte.
Questions fréquentes sur la fraude au virement en entreprise
La fraude au faux RIB consiste à remplacer les coordonnées bancaires du bénéficiaire légitime afin de détourner un paiement vers le compte d’un fraudeur. Elle peut intervenir sur une facture authentique ou au sein d’un véritable échange après le piratage d’une messagerie.
Le changement doit être confirmé par un canal indépendant, en contactant un interlocuteur connu au moyen de coordonnées déjà enregistrées. Il ne faut pas utiliser exclusivement les coordonnées figurant dans l’email qui demande la modification. La vérification doit être tracée et conservée.
Non, pas systématiquement. Elle est efficace seulement si les deux validations portent sur des contrôles distincts et s’appuient sur des sources indépendantes. Deux approbations fondées sur le même email compromis peuvent confirmer deux fois la même information frauduleuse.
Chez Kaerus, l’audit ne consiste pas seulement à vérifier que les opérations ont été correctement enregistrées. Il consiste aussi à comprendre comment une opération anormale pourrait être autorisée, payée et comptabilisée sans déclencher d’alerte.
Très cordialement,
Rabah Lamraoui
Expert-comptable
www.kaerus.fr
Sources
-Cybermalveillance.gouv.fr, Rapport d’activité 2025, publié en mars 2026.
-Cybermalveillance.gouv.fr, Que faire en cas de fraude au virement ou au faux RIB ?
-Compagnie nationale des commissaires aux comptes, NEP-240, Prise en considération de la possibilité de fraudes lors de l’audit des comptes.
-Compagnie nationale des commissaires aux comptes, NEP-315, Connaissance de l’entité et de son environnement et évaluation du risque d’anomalies significatives dans les comptes.
