Vérifier une facture fournisseur avant paiement : montants, faux RIB et fausses factures

Avant de payer une facture fournisseur, rapprochez la commande, la réception ou l’acceptation de la prestation, les avoirs et les règlements déjà effectués. Vérifiez ensuite que le bénéficiaire est autorisé à recevoir le solde. Une facture plausible et un total exact ne suffisent pas : la validation repose sur les pièces de l’opération et, en cas de changement de RIB, sur une confirmation obtenue par un canal déjà connu.

Ce guide s’adresse à la comptabilité fournisseurs, aux achats, au contrôle interne et à la trésorerie, au moment de décider s’il faut libérer un paiement précis. Il couvre les montants modifiés, les livraisons partielles, les avoirs, les doublons de paiement, les changements de coordonnées bancaires et la façon de vérifier un RIB, les fausses factures, les faux RIB et les faux IBAN, avec les changements intervenus en France depuis 2025 : la vérification du bénéficiaire et la réforme de la facturation électronique. Le cas pratique suit une livraison partielle, un avoir et une demande de nouveau RIB jusqu’au paiement.

L’essentiel en cinq points :

1. Rapprochez la facture, la commande et la réception.
2. Recalculez HT, TVA et TTC.
3. Traitez tout changement de RIB par un contre-appel à un numéro déjà connu.
4. Utilisez la vérification du bénéficiaire (VoP) comme un signal, pas comme une autorisation.
5. Identifiez la facture examinée par son empreinte SHA-256.

Définir le paiement que vous validez

Partez d’une fiche de dossier qui identifie la société acheteuse, la fiche tiers du fournisseur, le numéro de facture, la devise, le montant proposé au paiement et l’échéance. Conservez la facture reçue et le message qui l’accompagne. Rattachez le bon de commande ou le contrat, le bon de réception ou le procès-verbal de réception, les avoirs et l’historique des règlements, plutôt que de vous fier au résumé qu’en donne un courriel.

Distinguez le montant de la facture du montant proposé pour ce paiement. Acomptes, échéances déjà réglées, avoirs et retenues peuvent les rendre différents. Un relevé de compte fournisseur peut récapituler plusieurs factures : établissez quelle dette précise est réglée avant d’utiliser ce relevé comme justificatif de paiement.

Si la facture est illisible ou incomplète, demandez-la en entier par le canal habituel du fournisseur. Contrôlez les champs extraits sur la source visible avant d’ouvrir une anomalie : une lecture OCR qui prend 60 unités pour 80 relève d’une erreur d’extraction tant que rien d’autre n’est établi. Le guide comment savoir si un PDF a été modifié traite la comparaison de fichiers et la validation des signatures lorsque le document lui-même pose question.

Confiez chaque question à ceux qui peuvent y répondre. Les achats confirment les conditions commerciales autorisées ; le magasin ou le responsable de la prestation confirme la réalisation ; la comptabilité fournisseurs rapproche les montants et l’historique des paiements ; les gestionnaires du fichier fournisseurs et les approbateurs de paiement traitent les changements de coordonnées. Bien connaître un fournisseur ne remplace pas ces validations distinctes.

Fausse facture ou faux RIB : reconnaître le scénario

« Fausse facture » recouvre des situations qui ne se règlent pas par le même contrôle. Une facture authentique peut servir d’appât à un faux RIB ; une facture entièrement inventée peut ne demander aucun changement de coordonnées. Identifier le scénario indique la vérification qui tranche :

Les deux premiers scénarios sont les variantes de faux ordre de virement (FOVI) que décrit Cybermalveillance.gouv.fr : une demande de virement non planifié, présentée comme urgente et confidentielle, qui fait souvent suite au piratage de la messagerie de la personne ou de l’entité usurpée. La DGCCRF décrit la fraude au président comme une prise de contact par courriel ou par téléphone, quelques échanges pour instaurer la confiance, puis la demande d’un virement international non planifié (DGCCRF, « Se prémunir contre l’escroquerie aux faux ordres de virement »). Pour les courriers d’apparence officielle, elle conseille de comparer l’origine de l’offre avec le logo des véritables organismes et de lire en détail tout document qui réclame une signature (DGCCRF, « Les annuaires professionnels »).

Les signes qui justifient de suspendre le paiement et de vérifier :

• un changement de coordonnées bancaires, surtout s’il arrive par courriel ou en même temps qu’une relance ;
• une pression sur le délai, une demande de discrétion ou une consigne de contourner le circuit habituel ;
• une facture sans commande ni réception, ou hors de la relation habituelle avec ce fournisseur ;
• une adresse d’expéditeur ou un interlocuteur qui ne figure pas dans la fiche tiers ;
• un titulaire du compte dont le nom diffère de la raison sociale du fournisseur ;
• des différences de police ou de caractères sur le RIB ou dans le bloc de paiement de la facture.

Aucun de ces signes ne prouve une fraude, et leur absence ne prouve rien. Une fausse facture soignée ne présente aucune maladresse : le SIREN, la dénomination et l’adresse d’une entreprise sont pour l’essentiel publics, et la DGFiP invite à la vigilance sur l’usage que des escrocs peuvent faire de ce type de données pour crédibiliser une tentative. Elle relève aussi que la prévalence de la fraude commerciale est « nettement augmentée par l’utilisation des outils d’intelligence artificielle » (impots.gouv.fr, FAQ pour les professionnels, 24 août 2026). L’apparence du document ne départage donc pas : ce sont la commande, la réception, le solde et l’autorisation du bénéficiaire qui le font.

Rapprocher commande, réception et facture

Le rapprochement à trois voies compare la facture au bon de commande (prix, conditions) et au bon de réception (quantités effectivement reçues). C’est un contrôle de l’obligation, pas un verdict d’authenticité. Adaptez la comparaison à l’achat :

Pour une prestation de services, précisez la pièce d’acceptation : procès-verbal de réception daté, relevé d’activité validé, confirmation de la période de service par son responsable. Un bon de commande autorise un achat ; il ne démontre pas que la prestation a été réalisée. Pour une dépense sans bon de commande, appuyez-vous sur le contrat et sur la procédure d’exception de votre entreprise, plutôt que de créer un bon de commande après coup pour que le rapprochement paraisse complet.

Examinez les quantités de façon cumulée sur les factures et réceptions liées. Une réception valide ne peut pas justifier deux fois les mêmes unités. Notez quelles lignes de réception ont déjà été imputées et si des articles refusés ou retournés réduisent la quantité acceptée. Une facture couvrant toute la commande peut être prématurée même si ses prix unitaires sont exacts.

Traitez une tolérance comme une règle d’approbation au périmètre défini. Un écart d’arrondi admis n’autorise pas un nouveau bénéficiaire. Consignez la règle applicable et la personne habilitée à approuver une exception ; ne modifiez pas la tolérance pour faire passer une facture.

Recalculer HT, TVA et TTC

Reconstituez le total à partir des quantités, des prix, des remises, des frais et de la TVA affichée par taux. Vérifiez si les remises s’appliquent à la ligne ou au sous-total, et si le port est inclus dans la base de TVA. Si la base est incertaine, demandez une clarification au fournisseur et au responsable comptable. Un calcul cohérent n’établit pas que le traitement de TVA est le bon.

Depuis le 1er septembre 2026, quatre nouvelles mentions obligatoires s’ajoutent aux factures : le numéro SIREN du client, la catégorie de l’opération (livraison de biens, prestation de services ou les deux), l’option pour le paiement de la TVA d’après les débits le cas échéant, et l’adresse de livraison des biens si elle diffère de l’adresse de facturation (impots.gouv.fr, FAQ « Je découvre la facturation électronique », question 3.4). Le SIREN qui figure comme client doit être celui de votre société acheteuse : c’est un contrôle simple qui écarte les factures mal adressées.

Indiquez toujours la devise par son code. Lorsque le paiement se fait dans une autre devise que la facture, conservez séparément le montant dû dans la devise de facturation, le cours retenu et le montant payé. Ne qualifiez pas une différence de change de total modifié sans avoir rapproché la conversion.

Corrections : avoir et nouvelle facture

En France, une facture erronée ne se corrige pas par une « nouvelle version » qui portera le même numéro. Le BOFiP indique que la rectification s’entend généralement de l’envoi d’une facture nouvelle annulant et remplaçant la précédente, ou d’une note d’avoir ; dans les deux cas, le document doit faire référence de manière explicite à la facture initiale, par son numéro et sa date, et l’avoir doit indiquer le montant hors taxes et la TVA correspondante (BOFiP, BOI-TVA-DECLA-30-20-20-20, §§ 210 à 260). Dans le circuit de la facturation électronique, une facture réémise après un refus doit porter un nouveau numéro, afin d’éviter toute confusion avec la facture refusée (impots.gouv.fr, guide pratique de démarrage, question 12).

Pour la comptabilité fournisseurs, la règle pratique est la suivante : rattachez la facture initiale, l’avoir ou la facture de remplacement à la même dette, et assurez-vous qu’ils ne créent pas deux soldes à payer. Une date changée ou un suffixe ajouté au numéro ne doit pas générer automatiquement une seconde dette.

Le cycle de vie des factures électroniques distingue deux situations. Le statut « refusée » est définitif et motivé ; il est réservé aux motifs prévus par la norme (non-conformité réglementaire, facture mal adressée, non-respect de conditions contractuelles empêchant son traitement) et ne doit pas servir à un simple litige commercial. Lorsque la facture ne correspond pas à la commande, à la livraison ou à la prestation, des statuts provisoires permettent d’informer le fournisseur du litige (FAQ, question 3.2 ; guide pratique, question 12). Une facture qui facture 100 unités pour 80 reçues relève du litige, pas du refus.

Recherchez les doublons au-delà du seul numéro de facture : même fournisseur, même montant, même date, même référence de commande. Vérifiez ce que votre logiciel contrôle réellement et sur quels registres. Pour chaque doublon possible, examinez la dette sous-jacente et l’état des paiements. Des factures récurrentes semblables peuvent être valables ; des fichiers aux noms différents peuvent représenter la même facture. Incluez les paiements comptabilisés, en attente et programmés, et vérifiez qu’une annulation annoncée a bien été exécutée. « Pas encore réglée » ne suffit pas si un virement est déjà programmé.

Changement de RIB : vérifier par un canal connu

Un montant exact peut être versé à un bénéficiaire non autorisé. Comparez le bénéficiaire, l’IBAN et le mode de paiement demandés avec la fiche tiers approuvée. Traitez un changement de coordonnées séparément des écarts de prix ou de quantité, pour que la résolution du litige commercial ne valide pas en silence l’ordre de virement.

Le rapport annuel de l’Observatoire de la sécurité des moyens de paiement (OSMP) décrit la fraude au changement de coordonnées bancaires comme l’un des deux principaux modes opératoires des faux ordres de virement (FOVI) visant les entreprises : l’escroc usurpe l’identité d’un fournisseur et prétexte un changement de RIB pour détourner le paiement des factures. L’autre est la fraude au président, qui invoque un virement urgent et confidentiel vers un nouveau compte. En 2025, la fraude au virement a atteint 485 millions d’euros, en hausse de 37 % en valeur (Banque de France, rapport annuel 2025 de l’OSMP, septembre 2026).

La fiche réflexe de Cybermalveillance.gouv.fr sur les FOVI recommande de diffuser des procédures claires d’authentification des émetteurs et de mettre en place une procédure de vérification et de validation hiérarchique interne non dérogeable pour les changements de coordonnées bancaires. Le dépliant de la DGFiP sur les tentatives d’escroquerie, rédigé pour les organismes publics mais transposable, décrit la procédure de contre-appel : contacter l’interlocuteur habituel avec les coordonnées déjà connues de la société, en saisissant soi-même l’adresse ou le numéro habituel. Il précise qu’un numéro à l’indicatif français ou un compte domicilié en France n’est pas une garantie.

Le même dépliant décrit une variante à connaître : le faux contrat d’affacturage. Des factures falsifiées par l’ajout de fausses mentions d’affacturage renvoient le paiement vers une prétendue société d’affacturage. Le dépliant recommande d’obtenir du fournisseur, joint par ses coordonnées déjà connues, une confirmation écrite du contrat d’affacturage. Une mention d’affacturage légitime modifie elle aussi le bénéficiaire du paiement : faites confirmer le contrat par le fournisseur et par le factor, chacun par ses coordonnées déjà connues.

Utilisez le canal établi lors du référencement ou un autre canal approuvé de façon indépendante. Ne prenez jamais le numéro de rappel sur la facture contestée ni dans le message qui l’accompagne. Vérifiez que l’interlocuteur joint est habilité à demander ce changement, puis achevez le circuit de validation du fichier fournisseurs. Une voix familière ou une personne qui reconnaît la facture ne suffit pas à établir l’autorisation.

Consignez la date du contre-appel, l’origine du numéro utilisé, le nom et la fonction de l’interlocuteur, les champs confirmés, la référence du changement et l’approbateur interne. Conservez l’IBAN complet dans la fiche tiers maîtrisée ; dans les notes de dossier, utilisez des références ou des IBAN masqués. Si l’interlocuteur habituel est indisponible, laissez le changement en suspens jusqu’à ce qu’un autre interlocuteur habilité soit identifié. L’urgence ne remplace pas l’autorisation manquante.

En pratique : établissez l’obligation, déduisez les règlements effectués pour obtenir le solde, tenez compte des virements déjà programmés avant d’en créer un autre, puis validez le bénéficiaire. Laissez tout verrou non levé visible pour l’approbateur final.

Comment vérifier un RIB

Pour vérifier un RIB, ne vous fiez pas au document : confirmez-le par un contre-appel au fournisseur, à un numéro que vous connaissiez déjà, puis contrôlez que le titulaire est bien le fournisseur et que le pays de l’IBAN s’explique. Un RIB se reproduit à partir de n’importe quel modèle ; seuls le fournisseur, joint par un canal connu, et sa banque peuvent dire que le compte lui appartient.

1. Comparez le RIB reçu à celui de la fiche tiers, titulaire du compte et code pays de l’IBAN compris. S’il est identique et que rien d’autre n’a changé, le contrôle s’arrête là ; s’il diffère, ouvrez une demande de changement de coordonnées bancaires, distincte de la facture. Un code pays qui ne s’explique ni par le siège du fournisseur ni par son historique de paiements est une alerte à faire expliquer, pas une preuve de fraude.
2. Rappelez le fournisseur au numéro de la fiche tiers ou d’un autre canal approuvé indépendamment, jamais à celui de la facture, du courriel ou de sa signature. Faites confirmer par un interlocuteur habilité le nom du titulaire et l’IBAN.
3. Faites valider le changement dans le fichier fournisseurs par une autre personne que celle qui l’a reçu.
4. Saisissez le virement et lisez le résultat de la vérification du bénéficiaire, en suivant le tableau plus bas.
5. Consignez la date du rappel, le numéro utilisé, l’interlocuteur et le résultat dans le dossier.

Quand vous demandez un RIB au fournisseur, préférez le document tel que sa banque le délivre (espace bancaire en ligne, agence) à un tableau retapé, et vérifiez qu’il ne présente pas d’altérations visibles : espaces, polices ou caractères incohérents, BIC qui ne correspond pas au logo de la banque (Banque de France, « RIB, IBAN et BIC »). Ce contrôle visuel ne remplace pas le contre-appel : un RIB sans défaut visible peut quand même être un faux.

Reconnaître un faux RIB ou un faux IBAN

Un faux RIB, ou un faux IBAN, ne se reconnaît pas à son apparence. Un relevé d’identité bancaire se reproduit à partir de n’importe quel modèle ; le nom d’une banque connue, un IBAN commençant par FR ou un compte domicilié en France ne sont pas une garantie, comme le rappelle le dépliant de la DGFiP cité plus haut. Les questions utiles portent sur la demande, pas sur le document :

• Le titulaire du compte porte-t-il exactement la raison sociale du fournisseur ? Le nom d’un particulier ou d’une autre société suspend le changement.
• La demande vient-elle du canal et de l’interlocuteur enregistrés ? Un message envoyé depuis la véritable adresse du fournisseur ne suffit pas, puisque ces fraudes font souvent suite au piratage de sa messagerie.
• Le changement a-t-il été confirmé par contre-appel, puis validé dans le fichier fournisseurs par une autre personne que celle qui l’a reçu ?

Un faux IBAN est le plus souvent un IBAN valide. La clé de contrôle qui suit le code pays détecte les fautes de saisie, mais ne dit ni si le compte existe, ni à qui il appartient : un compte réel, ouvert ailleurs que chez votre fournisseur, passe tous les validateurs d’IBAN en ligne. Deux contrôles restent utiles : le titulaire du compte et le code pays. Un fournisseur établi en France dont le nouvel IBAN commence par un autre code pays doit expliquer ce choix lors du contre-appel, car il peut avoir une raison légitime, par exemple un compte tenu par une filiale étrangère ; à l’inverse, un IBAN commençant par FR n’est pas une garantie.

Côté banques, depuis mai 2026, les prestataires de services de paiement partagent les IBAN qu’ils signalent pour risque de fraude dans un fichier national tenu par la Banque de France, le FNC-RF (Banque de France, communiqué de lancement). Ce fichier aide votre banque à repérer certains comptes ; l’absence de signalement ne valide pas un compte, et il ne remplace pas votre contre-appel.

Si un paiement est déjà parti vers un faux RIB, la fiche de Cybermalveillance.gouv.fr indique la marche à suivre : identifier tous les virements frauduleux, y compris ceux qui sont programmés, et faire bloquer les coordonnées frauduleuses dans vos outils ; contacter immédiatement votre banque pour demander le retour des fonds ; conserver les messages, ordres de virement et factures ; déposer plainte au plus vite, ce qui augmente les chances de récupération. Si la messagerie a été piratée, changez le mot de passe et activez la double authentification.

Ce que vérifie la vérification du bénéficiaire (VoP)

Depuis le 9 octobre 2025, la réglementation européenne (règlement (UE) n° 260/2012 modifié par le règlement (UE) 2024/886) impose la vérification du bénéficiaire pour les virements SEPA, classiques et instantanés, émis vers la France et les autres pays de la zone euro ; les autres pays de l’espace SEPA, comme les pays de l’Union européenne hors zone euro, suivront au plus tard en 2027. Avant l’exécution, votre banque vérifie auprès de la banque du bénéficiaire que le nom saisi correspond au titulaire de l’IBAN ; pour une entreprise, la vérification porte sur la raison sociale ou le nom commercial saisi. Le résultat peut être une concordance, une concordance partielle (la banque vous indique alors le nom connu), une absence de concordance ou une vérification impossible. Le service est gratuit. Ces éléments figurent dans le guide d’utilisation de la vérification du bénéficiaire de la Banque de France et du CNMP (septembre 2025), qui précise aussi :

• les personnes morales peuvent renoncer au service uniquement pour les virements groupés transmis par fichier ; un fichier ne contenant qu’un seul ordre y reste soumis ;
• certaines banques permettent une vérification sur un identifiant d’entreprise (SIREN, numéro de TVA intracommunautaire, LEI) plutôt que sur le nom, ce qui donne une réponse sans ambiguïté ;
• la vérification n’est pas prévue pour les virements internationaux hors SEPA, et les pays SEPA hors Espace économique européen, comme le Royaume-Uni et la Suisse, n’y sont pas soumis pour l’instant ;
• pour un virement programmé ou permanent saisi à partir du 9 octobre 2025, la vérification a lieu une seule fois, à la saisie, et n’est pas renouvelée lors des exécutions suivantes ;
• en cas d’absence de concordance, vous pouvez encore autoriser le virement, mais vous en assumez alors le risque.

Pour la comptabilité fournisseurs, chaque résultat appelle une conduite précise :

La VoP est donc un signal utile, pas une autorisation. Une concordance indique que le nom saisi correspond au titulaire du compte ; si ce nom a été repris de la demande contestée, elle ne dit rien de l’accord du fournisseur. Une concordance partielle ou une absence de concordance doit suspendre le paiement jusqu’au contre-appel. Au Québec et pour les paiements en dollars canadiens, ce guide ne décrit pas de dispositif équivalent : le contre-appel reste le contrôle principal, et le recalcul porte sur la TPS et la TVQ.

Pièces sur le fournisseur : vigilance et identité

Pour tout contrat d’un montant égal ou supérieur à 5 000 € HT, le donneur d’ordre doit obtenir une attestation de vigilance lors de la conclusion du contrat, puis tous les six mois jusqu’à la fin de son exécution, et en vérifier la validité et l’authenticité en saisissant son code de sécurité dans l’outil de l’Urssaf (Urssaf, « Obtenir et vérifier une attestation de vigilance » ; Entreprendre.Service-Public, fiche F31422, vérifiée le 6 juillet 2026). Le seuil s’apprécie sur le montant global de la prestation, même si elle donne lieu à plusieurs factures. Si aucune attestation ne correspond au code saisi, l’Urssaf indique que sa validité est dépassée ou qu’elle a été modifiée de manière frauduleuse (Urssaf, « Vérification d’attestations »).

Pour l’identité du fournisseur, le guide VoP de la Banque de France rappelle que le nom d’un professionnel doit figurer sur sa facture et qu’il peut être vérifié dans le registre national des entreprises ou sur infogreffe.fr. Il conseille aussi, pour un premier virement, de vérifier que le RIB ou la facture transmis ne présentent pas d’altérations (différence de caractères, de police) et, au moindre doute, d’effectuer un contre-appel au numéro habituel du bénéficiaire.

Ces pièces établissent que le fournisseur existe et qu’il est à jour de certaines obligations. Elles ne prouvent pas qu’un changement de RIB émane de lui.

Facturation électronique : ce qui change et ce qui ne change pas

La réforme est entrée en vigueur le 1er septembre 2026. Depuis cette date, toutes les entreprises doivent pouvoir recevoir des factures électroniques par une plateforme agréée, et les grandes entreprises et ETI doivent en émettre ; les PME et micro-entreprises y seront tenues au plus tard le 1er septembre 2027 (economie.gouv.fr ; impots.gouv.fr, fiche 3, mise à jour octobre 2026). La plateforme agréée émet, transmet et reçoit les factures, et transmet certaines de leurs données à l’administration (impots.gouv.fr, « Facturation électronique et plateformes agréées »).

Pendant le démarrage, vous recevrez encore des factures par courriel, en PDF ou sur papier. Le guide pratique de la DGFiP indique qu’une telle facture ne doit pas être écartée pour ce seul motif lorsqu’elle correspond à une opération réelle et comporte les éléments nécessaires à son traitement ; il précise que la réforme modifie les modalités de transmission, et non les règles de fond relatives à l’existence de l’opération, à la dette commerciale ou au paiement (guide pratique de démarrage au 1er septembre 2026).

La plateforme agréée apporte elle-même des contrôles. Selon la DGFiP, elle doit garantir l’authenticité de l’origine, l’intégrité du contenu et la lisibilité des factures, et contrôler les données reçues : présence des informations obligatoires, validité des identifiants, cohérence entre montants hors taxes, taux et TVA, détection des doublons, respect des formats et adressage du destinataire (impots.gouv.fr, FAQ pour les professionnels, 24 août 2026). Ces contrôles écartent une partie des factures irrégulières, mais ils portent sur la facture, pas sur la décision de payer : une facture conforme peut facturer des unités jamais reçues, et un faux RIB annoncé par courriel passe à côté de la plateforme.

Ce qui change pour vous : des données structurées plus fiables à rapprocher, un cycle de vie avec des statuts, des mentions supplémentaires. Ce qui ne change pas : la nécessité de rapprocher la facture de la commande et de la réception, de suivre le solde, et de vérifier que le bénéficiaire est autorisé. Les coordonnées bancaires d’un fournisseur, et leur changement, se vérifient toujours dans votre propre circuit.

Identifier exactement la facture examinée : l’empreinte SHA-256

Les rapports d’analyse Fileverity consignent l’empreinte SHA-256 du fichier examiné. Ce mécanisme répond à un problème de contrôle élémentaire : après l’examen d’une pièce jointe, comment un analyste ultérieur établit-il que le résultat porte sur la même suite d’octets, et non sur un autre fichier du même nom ?

SHA-256 associe à toute entrée une empreinte de 256 bits, notée sous forme de 64 caractères hexadécimaux. L’algorithme est conçu pour qu’il soit en pratique impossible de trouver deux entrées différentes ayant la même empreinte ; deux empreintes égales sont un élément fort d’identité des octets, pas une garantie mathématique d’absence de collision. La norme NIST FIPS 180-4 définit l’algorithme et son usage pour détecter la modification d’un message.

Les deux courts enregistrements ASCII ci-dessous illustrent le calcul. Chacun se termine par un octet de saut de ligne LF, noté \n :

Le changement d’un seul caractère du montant produit une empreinte entièrement différente. Un changement de fin de ligne, ou de tout autre octet, la modifie aussi, même si le texte affiché paraît identique. Une empreinte différente signifie donc des octets différents, pas nécessairement un montant modifié ou une fraude. Un PDF exporté de nouveau peut s’afficher à l’identique tout en contenant d’autres métadonnées.

La limite inverse compte autant : une facture fabriquée de toutes pièces possède, elle aussi, une empreinte stable. Le calcul ne prouve ni qui l’a émise, ni que les marchandises sont arrivées, ni que le bénéficiaire est autorisé. Ce n’est pas une signature électronique : une empreinte ordinaire ne contient aucune déclaration authentifiée d’un signataire. Il faut une référence de comparaison fiable : calculer l’empreinte d’une pièce contestée et accepter une empreinte identique fournie par le même expéditeur contesté n’apporte aucune garantie.

En comptabilité fournisseurs, conservez l’empreinte avec la pièce reçue, la référence du dossier et le résultat de l’examen. Lorsqu’une facture de remplacement ou un avoir arrive, identifiez-le séparément et refaites les contrôles requis ; ne reportez pas une approbation antérieure au seul motif que le nom de fichier est inchangé. Si l’empreinte change, la comparaison du document et les registres du fournisseur diront ce qui compte. Si elle est identique, le lien entre les octets examinés et le résultat consigné est plus solide, mais l’autorisation de paiement reste à obtenir. Pour calculer l’empreinte d’un fichier sous Windows, macOS ou Linux et vérifier l’horodatage certifié d’un rapport, voir le guide horodatage certifié et empreinte SHA-256.

Cas pratique : livraison partielle, avoir et nouveau RIB

Ce cas est fictif ; les montants sont en euros, avec une TVA à 20 % sur les marchandises et le port. Le contrat ne permet de facturer que les unités réceptionnées et prévoit un port forfaitaire de 150,00 € HT sur la première livraison seulement. Aucun acompte ni remise ne s’applique.

Le bon de commande BC-482 porte sur 100 unités à 75,00 € HT, plus le port forfaitaire. Le bon de réception BR-77 enregistre 80 unités réceptionnées et 20 en attente. La facture FA-632 facture pourtant les 100 unités :

La facture est arithmétiquement juste, mais elle dépasse le montant justifié de 1 800,00 € TTC : 1 500,00 € HT pour les 20 unités non réceptionnées et 300,00 € de TVA. C’est un écart de quantité et de calendrier de facturation, pas une erreur de calcul. L’entreprise dispose des éléments d’une dette réelle de 7 380,00 €, sous réserve des autres contrôles.

Résoudre l’écart commercial : l’avoir AV-115

Les achats confirment qu’aucune condition approuvée ne permet de facturer d’avance les unités en attente. Le magasin confirme que BR-77 est complet et qu’aucune deuxième livraison n’est arrivée. Sur la plateforme ou le portail habituel, la comptabilité fournisseurs signale un litige au fournisseur ; celui-ci reconnaît l’erreur et émet l’avoir AV-115 de 1 800,00 € TTC (1 500,00 € HT et 300,00 € de TVA), qui fait référence à FA-632, son numéro et sa date.

La comptabilité fournisseurs rattache FA-632 et AV-115 à la même dette. Les 20 unités restantes restent ouvertes sur la commande ; une réception et une facture ultérieures feront l’objet de leur propre rapprochement. Le port ne pourra pas être facturé une seconde fois au motif que la livraison a été scindée.

L’écart de quantité est réglé. Cela n’établit pas que le solde de 7 380,00 € est entièrement impayé, et cela ne valide pas les nouvelles coordonnées bancaires annoncées par un courriel distinct, reçu après l’avoir.

Déterminer le solde restant à payer

La recherche de paiements fait apparaître un règlement partiel de 2 200,00 € déjà exécuté au titre de FA-632, et un virement programmé de 5 180,00 € en attente de libération. Le règlement partiel a été imputé sur la même dette ; le virement programmé a été saisi pour le montant corrigé, vers l’IBAN de la fiche tiers, avant l’arrivée du courriel de changement de RIB. La trésorerie confirme que le premier règlement a été exécuté et n’a pas été annulé.

Le solde restant dû est de 7 380,00 € − 2 200,00 € = 5 180,00 €. Ce solde est déjà entièrement couvert par le virement programmé. La comptabilité fournisseurs ne doit donc pas créer un second virement de 5 180,00 €, et encore moins un virement de 9 180,00 € sur la base de la facture initiale. Le virement programmé est suspendu le temps de traiter la question du bénéficiaire.

Traiter séparément la demande de changement de RIB

Le courriel reçu après l’avoir demande que le paiement soit adressé à un nouvel IBAN, différent de celui de la fiche tiers. La comptabilité fournisseurs effectue un contre-appel auprès du contact comptable du fournisseur, au numéro enregistré lors du référencement, vérifie sa fonction et l’interroge précisément sur FA-632, AV-115 et le changement de coordonnées. Dans cet exemple, l’interlocuteur confirme la facture et l’avoir, mais dément avoir demandé un changement de RIB. Le fournisseur le confirme ensuite par écrit depuis son adresse habituelle, et cette confirmation est versée au dossier.

La comptabilité fournisseurs conserve le courriel contesté et transmet la demande démentie à la cellule fraude ou au responsable sécurité désigné. Le constat est étroit : le fournisseur reconnaît la facture et l’avoir, mais n’autorise pas le nouveau compte. Il n’établit ni qui a envoyé le courriel ni comment il a été produit. Si un paiement était déjà parti vers le compte contesté, les étapes de la fiche de Cybermalveillance.gouv.fr s’appliqueraient : demande immédiate de retour des fonds à la banque, conservation des éléments, dépôt de plainte.

L’approbateur de paiement vérifie ensuite que le bénéficiaire du virement programmé est bien l’IBAN de la fiche tiers, sans s’en remettre à la vérification du bénéficiaire, qui n’a lieu qu’à la saisie. Il libère un seul virement de 5 180,00 € vers ce compte. Les autres anomalies sont closes avec leurs pièces. Si le contre-appel n’avait pas abouti, le virement serait resté suspendu malgré un montant justifié.

Le dossier final montre trois issues distinctes : une erreur de quantité corrigée par avoir, un doublon de paiement évité grâce au virement déjà programmé, et une demande de changement de RIB non autorisée transmise pour traitement. Qualifier toute la facture de « fausse » aurait masqué la dette réelle et la véritable décision de paiement.

Variante : une facture reçue en scan. Si FA-632 arrivait en scan ou en photo, le contrôleur la soumettrait à l’analyse d’image avant le rapprochement. Le rapport de Fileverity présenterait, le cas échéant, les zones suspectes détectées autour des montants et du bloc IBAN, et consignerait l’empreinte SHA-256 du fichier examiné et la date d’émission du rapport ; il guiderait la demande de copie au fournisseur, sans se substituer au rapprochement ni au contre-appel.

Matrice des anomalies et conditions de sortie

Limitez la suspension à l’action concernée, selon votre politique. Un paiement partiel n’est envisageable que si la part justifiée, le traitement contractuel, l’imputation et l’approbation sont explicites. N’improvisez pas une réduction de paiement en retirant une ligne contestée si la TVA, les avoirs ou l’accord du fournisseur sur l’imputation restent incertains.

Attribuez à chaque point ouvert un responsable et un délai. Une demande de pièce doit nommer l’écart : « FA-632 facture 100 unités ; BR-77 en enregistre 80. Merci de confirmer la base de facturation ou d’émettre un avoir faisant référence à FA-632. » Cette demande se règle plus vite qu’une question sur l’authenticité de la facture.

Fiche d’approbation de paiement

Actualisez l’état des paiements juste avant la libération si l’examen a pris du temps : un collègue a pu programmer un autre virement entre-temps. Consignez le montant réellement libéré et la référence du bénéficiaire, pas seulement l’intention d’approuver.

Questions fréquentes

Comment vérifier qu’un RIB est authentique ?

Un RIB ne s’authentifie pas par son apparence : il se confirme par un contre-appel au fournisseur, à un numéro déjà enregistré dans votre fiche tiers, auprès d’un interlocuteur habilité. Contrôlez ensuite que le titulaire du compte porte la raison sociale du fournisseur, que le code pays de l’IBAN s’explique et que la vérification du bénéficiaire ne signale aucun écart. Aucun de ces contrôles ne remplace la confirmation du fournisseur : le document seul ne prouve rien.

Un IBAN valide peut-il être faux ?

Oui. La clé de contrôle d’un IBAN détecte les fautes de saisie ; elle ne prouve ni que le compte existe ni qu’il appartient à votre fournisseur, si bien qu’un IBAN frauduleux passe en général les validateurs en ligne. Un IBAN commençant par FR ou un compte domicilié en France n’est pas non plus une garantie, comme le rappelle le dépliant de la DGFiP. Ce qui départage, c’est le titulaire du compte et l’origine de la demande, que vérifient le contre-appel et la vérification du bénéficiaire.

Que signifie une absence de concordance lors de la vérification du bénéficiaire ?

Elle signifie que, pour la banque du bénéficiaire, le nom saisi ne correspond pas au titulaire de l’IBAN ; la banque n’en dit pas davantage, et certaines banques parlent de « non-concordance » pour le même résultat. La cause peut être une faute de saisie ou un compte qui n’est pas celui du fournisseur. Vous pouvez techniquement autoriser le virement, mais vous en assumez le risque (Banque de France et CNMP) : suspendez-le, contrôlez la saisie et confirmez l’IBAN par contre-appel avant toute libération.

Que faire après un virement vers un faux RIB ?

Prévenez sans délai votre banque et demandez-lui un retour de fonds (« recall ») au motif de la fraude, sans garantie de récupération (Banque de France). Conservez les messages, les ordres de virement et les factures, et faites bloquer les coordonnées frauduleuses dans vos outils, y compris pour les virements encore programmés. Déposez plainte au commissariat, à la gendarmerie ou par écrit auprès du procureur de la République, ce qui, selon Cybermalveillance.gouv.fr, augmente les chances de récupérer les fonds ; la plainte en ligne THESEE est réservée aux particuliers, les professionnels se déplaçant en commissariat ou en brigade de gendarmerie.

Où l’analyse d’image apporte une réponse

Dans ce circuit, Fileverity traite un point précis : l’image des factures scannées, photographiées ou reçues en capture d’écran. L’analyse de la vérification d’images localise avec des coordonnées en pixels les zones retouchées autour des montants et du bloc de coordonnées bancaires, relève les retouches masquées par un nouvel enregistrement et indique quelle pièce demander au fournisseur. Le rapprochement, le contre-appel et la validation du bénéficiaire restent dans votre processus.

Par exemple, supposons que le rapprochement concorde, mais qu’une analyse d’image signale une zone retouchée autour du bloc IBAN d’un scan. Ce constat permet de demander au fournisseur sa propre copie de la facture et de comparer les champs de paiement. Si la copie concorde, consignez-le et traitez la question de l’autorisation par le circuit habituel de changement de coordonnées. Si l’analyse ne donne pas de résultat exploitable, poursuivez par les pièces et le contre-appel.

Pour une facture isolée, vous pouvez analyser l’image ou demander une analyse (prix sur la page Tarifs). Pour des volumes de comptabilité fournisseurs, l’API, le traitement par lots et l’intégration à vos outils sont proposés sur demande dans le cadre d’un contrat Entreprise : parcourez des cas réels de votre processus avec notre équipe, en précisant vos formats, votre volume d’anomalies et les champs en litige. Les fichiers sont supprimés après l’analyse et ne servent jamais à entraîner les modèles (Sécurité). Le guide Fraude documentaire et IA aide à répartir les contrôles entre rédaction, image, fichier et confirmation par l’émetteur ; le guide Fausses notes de frais applique la même logique de rapprochement aux dépenses des collaborateurs.

Par Yang Zheng · Relu par Bill Liu