Coordonnées bancaires des fournisseurs : prévenir la fraude et les erreurs de paiement

Le point faible : le changement d’IBAN

Parmi les données d’un fournisseur, les coordonnées bancaires sont celles qui changent le plus rarement et qui causent le plus de dégâts lorsqu’elles sont erronées. Un virement parti vers le mauvais compte est difficile à récupérer, et l’erreur n’apparaît souvent que lorsque le fournisseur relance pour un paiement déjà effectué.

Le cas le plus insidieux n’est pas la faute de frappe, mais la demande frauduleuse. Un e-mail qui semble venir du fournisseur, parfois depuis une adresse presque identique à la vraie, annonce un nouvel IBAN sur un ton courtois, avec une pointe d’urgence. Si les données de référence sont mises à jour sans vérification, le paiement suivant tombe entre de mauvaises mains.

Une demande de changement d’IBAN reçue par e-mail reste non vérifiée tant qu’elle n’a pas été confirmée par un autre canal.

Vérifier à la source

La règle la plus efficace est aussi la plus simple : toute modification des coordonnées bancaires doit être confirmée par un canal différent de celui par lequel la demande est arrivée. Si elle est venue par e-mail, appelez le fournisseur à un numéro déjà enregistré dans votre fiche, pas à celui indiqué dans le message.

Complétez cette vérification par une preuve documentaire, comme un courrier de la banque ou un relevé indiquant le titulaire du compte. Le titulaire doit correspondre à la raison sociale du fournisseur ; si ce n’est pas le cas, il faut une explication écrite et une validation explicite.

Ces contrôles prennent quelques minutes et doivent être obligatoires, sans exception pour les fournisseurs historiques ni pour les demandes urgentes.

1. 01 Demande reçue
2. 02 Appel à un contact connu
3. 03 Document bancaire
4. 04 Contrôle du titulaire
5. 05 Validation par un second utilisateur

Séparer celui qui modifie de celui qui valide

Personne ne devrait pouvoir modifier seul les coordonnées bancaires d’un fournisseur puis autoriser le paiement. Le principe des quatre yeux, où une personne saisit la modification et une autre la valide, réduit fortement les erreurs comme les risques d’abus internes.

De même, les données bancaires ne doivent pas être visibles par tous ceux qui consultent les données de référence. La logistique a besoin des contacts et des sites, pas de l’IBAN. Des rôles et des droits bien définis limitent l’exposition des informations et clarifient qui est responsable de quoi.

Dans les petites structures, cela peut sembler excessivement formel, puisque les équipes sont réduites et que tout le monde se connaît. Il suffit alors que la validation vienne d’une autre personne que celle qui a reçu la demande, même s’il s’agit du dirigeant : la valeur du contrôle tient au second regard, pas à la taille de l’organisation.

Un seul utilisateur

• Modifie et valide seul
• Données bancaires visibles de tous
• Aucun contrôle croisé

Quatre yeux

• Qui saisit ne valide pas
• Accès réservé aux rôles autorisés
• Chaque modification validée deux fois

Traçabilité et signaux d’alerte

Chaque modification des coordonnées bancaires doit laisser une trace : qui l’a demandée, qui l’a vérifiée, avec quel document, qui l’a validée et quand. L’historique ne sert pas seulement en cas de litige ; il aide aussi à repérer des schémas suspects, comme plusieurs modifications rapprochées pour un même fournisseur. Le passer en revue régulièrement, même par sondage, permet de vérifier que les règles sont réellement appliquées.

Il est utile de partager avec l’équipe quelques signaux d’alerte récurrents : une urgence inhabituelle, un compte dans un autre pays que celui du siège, un titulaire qui ne correspond pas, une adresse e-mail légèrement différente de l’habituelle, une demande qui arrive juste avant un paiement important. Aucun de ces éléments ne prouve une fraude, mais chacun justifie un contrôle supplémentaire.

Signaux d’alerte

• Urgence inhabituelle
• Compte dans un autre pays
• Titulaire différent
• E-mail proche mais pas identique
• Demande juste avant un paiement

Des contrôles intégrés au processus

Les règles ne fonctionnent vraiment que lorsqu’elles font partie de l’outil utilisé au quotidien. Si la vérification repose sur une procédure rédigée dans un document à part, tôt ou tard quelqu’un la sautera dans la précipitation. Le meilleur moyen de l’éviter est que le système n’autorise pas l’enregistrement d’une modification non vérifiée.

Dans le CRM Innovaq, les coordonnées bancaires disposent d’un onglet dédié dans le dossier de référencement, visible uniquement par les rôles autorisés. Des contrôles automatiques vérifient le format de l’IBAN et la correspondance avec le titulaire, l’IA signale les incohérences avant l’enregistrement et chaque modification est tracée dans la fiche. Lorsque le fournisseur transmet lui-même de nouvelles coordonnées via son lien de saisie, la modification passe malgré tout par le circuit de vérification et de validation.