Contrôles de la fraude liée aux modifications bancaires du fichier fournisseurs : Vérification des modifications des coordonnées bancaires des fournisseurs

Qu'est-ce que la fraude aux modifications de coordonnées bancaires du fichier fournisseurs ?

La fraude aux modifications de coordonnées bancaires du fichier fournisseurs amène un acheteur à remplacer le compte bancaire d'un vrai fournisseur par un compte contrôlé par le fraudeur. Dans l'annonce du FBI du 4 mai 2017, en s'appuyant sur les plaintes reçues jusqu'en 2016, l'IC3 a signalé des cas où une demande apparemment usurpée a modifié le lieu de versement d'un fournisseur, redirigeant tous les paiements de factures entrantes. Selon l'annonce du FBI du 14 juin 2016, de telles demandes arrivent par téléphone, par fax ou par e-mail et ressemblent à s'y méprendre à des demandes authentiques.

Ce guide traite des modifications apportées aux fiches fournisseurs existantes. La collecte des coordonnées bancaires d'un nouveau fournisseur est abordée dans le guide de l'intégration des fournisseurs basé sur les risques, et le circuit de paiement qu'il alimente est défini dans le guide de l'architecture procure-to-pay.

Quelles failles de processus cette fraude exploite-t-elle ?

Dans le rapport d'enquête 2026 de l'AFP, fondé sur 465 praticiens de la trésorerie décrivant l'année 2025, les fraudeurs se sont principalement fait passer pour des fournisseurs ou des cadres dirigeants pour obtenir la modification des instructions de paiement. Dans le même rapport, deux répondants anonymes illustrent cette faille : le nouveau compte bancaire d'un fournisseur clé a été saisi avant que la Trésorerie ne le confirme, et dans un autre cas, une personne se faisant passer pour un client a envoyé de nouvelles coordonnées et le service des comptes fournisseurs a téléphoné au numéro indiqué dans cet e-mail.

Dans l'article de l'AFP de mai 2026 portant sur les scénarios de fraude des répondants, plusieurs incidents ont impliqué des équipes qui ont omis de passer l'appel de confirmation ou ont accepté une confirmation par e-mail, parfois au sein même du fil de discussion qui portait la demande.

Dans le rapport d'enquête 2024 de l'AFP des professionnels de la trésorerie, couvrant 2023, les auteurs soulignent qu'un paiement peut provenir d'un employé compromis qui modifie les coordonnées bancaires d'un fournisseur sans validation appropriée dans le processus de gestion des tiers, et un répondant a signalé l'utilisation d'identifiants de connexion dérobés pour tenter de modifier des coordonnées bancaires.

Comment un rappel de confirmation doit-il valider un changement de coordonnées bancaires ?

Selon l'annonce de 2016 par le FBI, les entreprises devraient établir un canal téléphonique au début de la relation et en dehors des e-mails, en utilisant des numéros connus au préalable et non ceux fournis dans la demande. Dans le rapport d'enquête 2026 de l'AFP, 94% des organisations participantes ont déclaré qu'elles vérifiaient les demandes de virement de fonds en appelant un contact autorisé du bénéficiaire à un numéro figurant dans les dossiers officiels, et 63% de ces utilisateurs ont jugé cette méthode très efficace, selon une auto-évaluation.

Selon l'article de l'AFP de mai 2026 consacré aux scénarios de fraude, une tentative impliquant les coordonnées bancaires modifiées d'un client a passé un contrôle téléphonique avant que des incohérences ne la révèlent, une boîte mail de fournisseur compromise a envoyé des documents semblant valides, et un appelant se faisant passer pour une banque a utilisé le vrai numéro de cette banque.

Selon ce guide, l'appel doit être sortant, adressé à un numéro figurant dans les dossiers de l'acheteur qui a été établi au début de la relation ou vérifié pour la dernière fois avant la demande et n'a pas changé depuis, effectué par une personne qui n'a pas reçu la demande, et consigné. Toujours selon ce guide, les courriers et relevés indiquant le nouveau compte étayent le dossier mais n'indiquent pas qui a fait la demande.

Dans l'annonce de mai 2017 du FBI, le FBI note qu'une demande soudaine d'un contact professionnel d'être joint sur une adresse e-mail personnelle pourrait être frauduleuse. Selon ce guide, toute modification des numéros de téléphone, des adresses e-mail ou des contacts désignés d'un fournisseur nécessite le même gel, le même rappel vers un contact préalablement vérifié, la même approbation et le même journal qu'une modification bancaire, puisque quiconque remplace le contact enregistré répondra à l'appel ultérieur.

Qui doit recevoir, vérifier, approuver et valider une modification ?

Dans un modèle de séparation des tâches de 2014 évalué par les pairs, lu pour ce guide uniquement sous forme de résumé, Kevin Kobelsky définit la séparation des tâches comme l'attribution du travail de telle sorte qu'aucun individu ne puisse à la fois commettre et dissimuler une erreur ou une fraude, et son modèle traite l'octroi et l'approbation des accès au système comme des tâches distinctes. Selon le même résumé, le modèle nécessite au moins trois personnes pour une séparation primaire dans le travail assisté par l'informatique et cinq pour une séparation secondaire ; selon ce guide, les petits sites ont par conséquent besoin d'un examen compensatoire.

Dans le résumé du cadre COSO par Deloitte, la séparation des tâches fait généralement partie de la sélection des activités de contrôle, et la direction choisit des contrôles alternatifs lorsque la séparation n'est pas pratique. Selon le même résumé, séparer la saisie des données de l'autorisation ne réduit le risque que si les personnes impliquées ne s'allient pas en secret.

Dans les recommandations de 2016 du FBI concernant les modifications de lieu de paiement, le FBI note qu'une validation secondaire par le personnel de l'entreprise peut servir de second facteur. Selon ce guide, le destinataire, le vérificateur, l'approbateur et la personne qui libère le paiement doivent être quatre personnes différentes, et la manière dont ces rôles se répartissent entre les systèmes est exposée dans le guide des contrôles du processus achat-paiement.

Selon ce guide, un acheteur multi-site a besoin d'un point d'entrée central : quiconque reçoit une demande sur un site ou dans une boîte mail fournisseurs (AP) la transmet telle quelle, sans jamais la saisir ni y répondre. Une seule vérification par fournisseur couvre alors l'ensemble des enregistrements ERP, des codes société, et les modifications apportées aux portails, aux hubs de données maîtresses, aux interfaces et aux chargements massifs font l'objet de la même mise en attente et du même rappel.

Comment faut-il traiter les demandes de modification urgentes ?

Dans le rapport d'enquête 2026 de l'AFP, les auteurs recommandent des politiques claires sur les délais de paiement standard, car un délai plus long avant le règlement peut aider à prévenir la fraude, ainsi qu'un examen attentif des paiements immédiats ou d'urgence. Dans l'annonce de 2017 par le FBI, les demandes de confidentialité ou d'action rapide constituent des signaux d'alerte, et certaines banques ont indiqué retenir plus longtemps les demandes de virement international afin de les vérifier.

Selon ce guide, l'urgence devrait allonger le processus : aucun paiement n'est versé au nouveau compte tant que le rappel et l'approbation ne sont pas effectués, et l'urgence déclenche un second appel à un autre contact enregistré. Toujours selon ce guide, les factures arrivant à échéance entre-temps sont mises en attente ou versées sur le compte déjà vérifié une fois que le contact vérifié du fournisseur confirme qu'il est toujours actif ; aucune source examinée ne fixe de période de suspension.

Que peut montrer la validation automatisée des comptes bancaires ?

Sur la page de validation des comptes de Nacha, lue le 14 novembre 2026, la validation est considérée comme une bonne pratique pour toute personne effectuant des paiements. Selon la même page de Nacha, la règle qui l'exige, en vigueur depuis le 19 mars 2021, couvre les détails des comptes de consommateurs pour un premier usage concernant les prélèvements en ligne sur les comptes des consommateurs ; dans ce domaine, selon la lecture de ce guide, elle ne s'applique pas au nouveau compte d'un fournisseur. En vertu de l'approche neutre vis-à-vis des méthodes de cette règle, les options comprennent les pré-notifications, les micro-écritures et les services commerciaux utilisant des données mutualisées ou des identifiants bancaires en ligne.

Selon la perspective de ce guide, un résultat de validation n'indique pas qui a demandé la modification, il ne peut donc pas remplacer le rappel de confirmation ; archivez-le comme un enregistrement supplémentaire.

Comment faut-il traiter les dossiers fournisseurs inactifs et en double ?

Aucune source officielle ou de recherche examinée ne couvre les enregistrements inactifs ou en double, cette section relève donc de l'analyse propre du guide. Bloquez les enregistrements sans paiement pendant une période définie par l'acheteur, de sorte que la réactivation nécessite la même vérification qu'un changement de coordonnées bancaires, et fusionnez ou bloquez les doublons comportant d'autres coordonnées bancaires une fois qu'un propriétaire désigné a confirmé les bonnes. Effectuez ces contrôles selon un calendrier régulier dans le cadre de la gouvernance du cycle de vie des fournisseurs après l'intégration.

Que doit prouver le journal des modifications à un auditeur ?

Selon le résumé COSO de Deloitte, les politiques de contrôle devraient être documentées, évaluées régulièrement et réexaminées lorsqu'un besoin spécifique se présente, et l'informatique devrait être configurée de manière à restreindre les accès et à favoriser la séparation des tâches. Selon ce guide, le journal des modifications constitue l'enregistrement qu'un acheteur devrait être en mesure de présenter à un auditeur ; le protocole ci-dessous énumère ce que chaque étape laisse derrière elle.

Que doit-il se passer si un compte modifié s'avère frauduleux ?

Sur la page BEC de l'IC3, lue le 14 novembre 2026, le FBI conseille de demander immédiatement à la banque d'origine un rappel des fonds ou une révocation ainsi qu'une lettre d'exonération de responsabilité ou d'indemnisation, et de déposer une plainte détaillée auprès de l'IC3. Selon ce guide, la trésorerie passe cet appel bancaire ; les achats bloquent le fournisseur pour les paiements dans tous les ERP, le retirent des exécutions de paiement en attente, appellent le véritable fournisseur sur son contact vérifié et conservent les preuves pour la finance, la sécurité et le service juridique, qui gèrent le recouvrement et toute action en justice.

Comment les agents AI modifieront-ils la vérification des changements de coordonnées bancaires ?