En France, la fraude au virement repose souvent moins sur une faille informatique que sur une manipulation convaincante. Un courriel urgent, une fausse demande du dirigeant ou un RIB modifié peuvent conduire un salarié de bonne foi à envoyer des fonds.
Les protections bancaires se renforcent, mais elles ne remplacent pas les procédures de l’entreprise. Pour réduire le risque, le contrôle interne doit organiser la vérification des coordonnées bancaires, la validation des paiements et la séparation des tâches.
A retenir :
- Vérification indépendante des changements de coordonnées bancaires fournisseurs
- Double approbation des paiements inhabituels ou sensibles
- Authentification renforcée des messageries professionnelles et accès bancaires
- Réaction rapide auprès de la banque après une fraude suspectée
Fraude au virement en entreprise : comprendre les scénarios
Ces mesures répondent à un risque concret : la fraude exploite souvent une décision humaine prise sous pression, plutôt qu’un système bancaire compromis. Selon l’Observatoire de la sécurité des moyens de paiement, les virements frauduleux ont représenté 229 millions d’euros au premier semestre 2025.
Faux fournisseur et fraude au président
Deux scénarios reviennent fréquemment dans les escroqueries aux faux ordres de virement. Dans le premier, un fraudeur demande de remplacer le RIB d’un fournisseur ; dans le second, il se fait passer pour un dirigeant et réclame un transfert confidentiel.
Imaginons une PME qui reçoit une facture familière accompagnée d’un nouveau compte bancaire. Le document paraît cohérent, mais seul un appel au numéro déjà enregistré du fournisseur permet de confirmer la demande sans dépendre des coordonnées fournies dans le courriel.
Les réflexes de contrôle à chaque demande :
- Comparer la demande avec les coordonnées bancaires déjà enregistrées
- Rappeler le fournisseur sur un numéro connu et vérifié
- Refuser les consignes d’urgence contournant la procédure habituelle
- Conserver les courriels et pièces justificatives associés au changement
Pourquoi les données exactes rendent les messages crédibles
Une usurpation peut s’appuyer sur des informations professionnelles accessibles ou obtenues illicitement. La DGFiP a signalé en février 2026 un accès illégitime à FICOBA, avec extraction de données concernant environ 1,2 million de comptes, dont les IBAN, identités et adresses.
Selon les informations publiées par la DGFiP, l’incident provenait de l’utilisation frauduleuse des identifiants d’un agent d’une administration partenaire. Une donnée exacte dans un message ne suffit donc jamais à prouver l’identité de son expéditeur.
Contrôle interne : organiser la validation des paiements
Une fois les scénarios identifiés, l’entreprise peut réduire les occasions d’erreur en répartissant clairement les responsabilités. Cette organisation protège aussi les salariés, qui n’ont pas à décider seuls face à une demande pressante.
Séparation des tâches et double approbation
La personne qui modifie un bénéficiaire ne devrait pas être seule à autoriser le paiement correspondant. Une double approbation, avec des seuils définis selon les risques, permet à un second regard de repérer une incohérence avant l’exécution.
Le tableau ci-dessous associe chaque étape sensible à un contrôle adapté. Même dans une petite structure, certaines fonctions peuvent être réparties entre le dirigeant, la comptabilité et un responsable opérationnel.
| Étape | Risque principal | Contrôle recommandé |
|---|---|---|
| Création d’un fournisseur | Identité ou compte usurpé | Validation documentaire et contrôle indépendant |
| Modification d’un RIB | Substitution des coordonnées | Rappel sur un numéro déjà connu |
| Préparation du virement | Erreur de montant ou de bénéficiaire | Comparaison avec facture et commande |
| Autorisation du paiement | Pression ou contournement des règles | Seconde approbation selon le seuil fixé |
Les règles écrites doivent préciser qui crée, vérifie et autorise chaque opération. Elles gagnent à prévoir une procédure de remplacement pour les absences, sans supprimer le principe de contrôle croisé.
Authentification renforcée et détection des anomalies
La séparation des tâches perd de son efficacité si une boîte mail ou un accès bancaire est compromis. L’authentification renforcée, notamment sur la messagerie professionnelle, limite le risque d’usurpation à partir d’identifiants volés.
Pour rendre les consignes applicables au quotidien :
- Activer l’authentification à deux facteurs sur les comptes sensibles
- Définir des seuils d’autorisation adaptés aux montants habituels
- Examiner les changements de bénéficiaire avant tout règlement
- Former les salariés aux demandes urgentes et confidentielles
Un audit financier peut ensuite vérifier si les contrôles prévus sont réellement appliqués. L’objectif n’est pas d’alourdir chaque paiement, mais de concentrer l’attention sur les opérations inhabituelles.
Vérification bancaire : portée des nouveaux dispositifs
À ces contrôles internes s’ajoutent des protections bancaires qui peuvent signaler certains risques avant le transfert. Elles apportent un filet supplémentaire, mais la décision de poursuivre un paiement peut encore dépendre de l’émetteur.
Vérification du bénéficiaire avant le virement
Depuis le 9 octobre 2025, les prestataires concernés doivent proposer la vérification de concordance entre le nom du bénéficiaire et l’IBAN, avant un virement SEPA. Selon ABE Infoservice, l’alerte peut signaler une divergence, mais elle ne remplace pas les vérifications de l’entreprise.
Si l’écran affiche une différence, le salarié doit suspendre l’opération et reprendre la vérification par un canal indépendant. Le tableau distingue ce contrôle de banque du travail interne, qui reste nécessaire pour les demandes douteuses.
| Dispositif | Fonction | Limite à connaître |
|---|---|---|
| Vérification du bénéficiaire | Compare le nom saisi avec celui associé à l’IBAN | L’alerte ne bloque pas automatiquement le virement |
| FNC-RF | Partage des signalements de comptes suspectés de fraude | Un signalement seul ne déclenche pas un blocage automatique |
| Contrôle téléphonique interne | Confirme une demande auprès du fournisseur habituel | Le numéro doit provenir d’une source déjà fiable |
| Double approbation | Ajoute une vérification humaine avant l’envoi | Les rôles et seuils doivent être clairement définis |
Réagir vite après une opération suspecte
Le fichier national des comptes signalés pour risque de fraude est entré en vigueur le 6 mai 2026, selon les éléments publiés par la Banque de France. Il permet aux prestataires concernés de partager des signalements, sans garantir la récupération des sommes déjà transférées.
En cas de paiement suspect, la rapidité compte : contacter immédiatement la banque peut permettre de demander le rappel ou le blocage des fonds. Il faut également conserver les messages, prévenir les responsables concernés et signaler les faits aux services compétents.
Les premières démarches à engager :
- Contacter sans délai la banque par un canal officiel
- Demander le rappel du virement et le blocage des fonds
- Conserver les courriels, factures et références de transaction
- Signaler l’incident aux interlocuteurs compétents et déposer plainte
La prévention de la fraude repose ainsi sur plusieurs niveaux : procédures internes, vigilance des équipes et alertes bancaires. Aucun dispositif ne remplace une validation rigoureuse lorsque le bénéficiaire ou la demande change.
Source : Observatoire de la sécurité des moyens de paiement, « Fraude aux moyens de paiement scripturaux : les chiffres du 1er semestre 2025 », Banque de France, 27 janvier 2026 ; « FICOBA : tout savoir sur l’accès illégitime au fichier national des comptes bancaires », impots.gouv.fr ; Règlement (UE) 2024/886 du 13 mars 2024, EUR-Lex.
Transformer l’analyse en décision
Les meilleures décisions reposent sur un cadre compréhensible, quelques critères vérifiables et une étape suivante clairement définie. Testez la méthode à petite échelle, mesurez le résultat puis ajustez avant de généraliser.
Votre checklist
- Définir le résultat attendu
- Identifier trois critères prioritaires
- Prévoir une mesure de contrôle
- Fixer une date de réévaluation
