Procédure anti-fraude au virement : modèle prêt à adapter

Un comptable reçoit un email de son fournisseur habituel : « Suite au changement de notre établissement bancaire, merci de mettre à jour notre RIB avant le prochain règlement. » L’adresse est la bonne, le ton aussi, le RIB joint a l’air officiel. Il met à jour le fichier fournisseur, et la facture suivante part chez le fraudeur. Ce scénario est banal. Il suffit à l’escroc d’une procédure qui laisse une personne décider seule.

Ce guide fournit un modèle de procédure anti-fraude au virement à copier dans une note de service, puis explique chaque règle : le rappel sortant, les mesures techniques, la formation de l’équipe comptable et la conduite à tenir si un virement frauduleux est déjà parti. Il complète nos deux études sur les fraudes qu’il arrête : la fraude au président et l’arnaque au changement de RIB.

Le modèle de procédure, article par article

Les éléments entre crochets sont à adapter à votre entreprise. Faites signer la note par le dirigeant : la règle s’applique aussi à lui, et c’est ce qui la rend crédible.

Article 1 : objet et périmètre

La présente procédure s’applique à tout paiement sortant (virements SEPA, internationaux, instantanés), à toute création ou modification de bénéficiaire (fournisseur, salarié, client à rembourser) et à toute personne qui a accès aux outils bancaires ou au fichier des tiers, dirigeants compris.

Article 2 : rôles

Initiateur : [comptable fournisseurs], qui prépare le paiement.
Valideur de niveau 1 : [responsable comptable].
Valideur de niveau 2 : [DAF] ou [dirigeant].
Gestionnaire du fichier des bénéficiaires : [nom], seul habilité à créer ou modifier des coordonnées bancaires.

Une même personne ne peut pas créer ou modifier un bénéficiaire et valider un paiement vers ce bénéficiaire. En cas d’absence, le suppléant est désigné à l’avance par écrit : [nom du suppléant].

Article 3 : seuils et validations

Montant du virement	Validation requise	Contrôle supplémentaire
Jusqu’à [5 000 €]	Un valideur distinct de l’initiateur	Aucun si le bénéficiaire est connu depuis plus de [90 jours]
De [5 000 €] à [50 000 €]	Deux valideurs distincts	Rappel sortant si le bénéficiaire est nouveau ou modifié
Au-delà de [50 000 €]	Deux valideurs, dont le [DAF] ou le [dirigeant]	Rappel sortant systématique

Chaque validation se fait dans l’outil bancaire, avec les identifiants personnels du valideur et une authentification forte. Un fractionnement destiné à rester sous un seuil est traité comme un seul virement.

Article 4 : nouveau bénéficiaire et changement de RIB

Une création ou une modification de coordonnées bancaires n’est recevable que par [le formulaire dédié / le portail fournisseur / courrier signé]. Un email seul ne suffit jamais, même s’il vient de l’adresse habituelle.
Le gestionnaire du fichier rappelle le fournisseur ou le salarié sur un numéro déjà enregistré (contrat, bon de commande, facture précédente, dossier du personnel) et note le nom de son interlocuteur, la date et l’heure.
Il contrôle l’IBAN : un code pays qui ne correspond pas à l’activité habituelle du tiers est un signal d’alerte, et le résultat de la vérification du bénéficiaire doit indiquer une correspondance avec le nom attendu.
Les nouvelles coordonnées sont activées après un délai de [72 heures]. Pendant ce délai, aucun paiement ne part vers elles.
Pour un montant important, un premier virement de [1 €] est confirmé par le tiers, sur le numéro connu, avant le paiement principal.
Le tiers reçoit une confirmation du changement à son adresse et à son numéro connus.
Toute modification est tracée dans le fichier : ancien IBAN, nouvel IBAN, auteur, valideur, date et preuve du rappel.

Article 5 : rappel sortant

Le rappel sortant est obligatoire pour tout nouveau bénéficiaire, toute modification de coordonnées bancaires, tout montant hors de la fourchette habituelle et toute demande présentée comme urgente ou confidentielle. Le numéro utilisé vient de notre propre base, jamais du message reçu ni du document joint. Un appel reçu, même affichant un numéro connu, ne remplace pas un appel passé. Si le demandeur est injoignable, le paiement attend.

Article 6 : demandes urgentes ou confidentielles

Toute demande qui invoque l’urgence, la confidentialité ou le contournement de la présente procédure déclenche la procédure complète, y compris quand elle semble venir du dirigeant. Le dirigeant s’engage par écrit à ne jamais demander d’exception : une demande d’exception faite en son nom est traitée comme une tentative de fraude.

Article 7 : canal bancaire et vérification du bénéficiaire

Les ordres de virement sont transmis uniquement par [la banque en ligne avec authentification forte / EBICS TS]. Aucun ordre n’est accepté par email, fax ou téléphone. Nous demandons à notre banque, par écrit, d’appeler [le DAF] en cas d’ordre inhabituel. La vérification du bénéficiaire reste active, y compris pour les virements groupés. En cas de correspondance partielle ou d’absence de correspondance, le paiement est suspendu jusqu’au rappel sortant.

Article 8 : exceptions

Seul [le DAF] peut autoriser une dérogation, par écrit, après un rappel sortant au demandeur. Chaque dérogation est consignée dans un registre relu chaque mois par [le dirigeant].

Article 9 : doute ou incident

Toute personne qui a un doute suspend l’opération et prévient [le DAF] et [le référent sécurité]. Un email suspect est transféré au référent, sans cliquer ni répondre. Si un paiement frauduleux est parti, la personne prévient immédiatement [le DAF], qui appelle le service fraude de la banque. Personne n’est sanctionné pour avoir signalé un doute ou une erreur.

Article 10 : formation et contrôle

Chaque personne concernée lit et signe la procédure à son arrivée et chaque année. L’équipe comptable participe à [une simulation par trimestre]. Une fois par an, [un tiers désigné] teste la procédure par une fausse demande. La procédure est revue après chaque incident.

Les fraudes que ce modèle bloque

La fraude au président : un escroc se fait passer pour le dirigeant et réclame un virement urgent et confidentiel, souvent pour une acquisition qu’il ne faudrait révéler à personne. La filiale néerlandaise de Pathé a perdu 19,2 millions d’euros de cette façon en 2018 (RTS). Les articles 5 et 6 la neutralisent. Les cas et les recours contre la banque sont détaillés dans notre guide de la fraude au président.

La fraude au faux fournisseur : l’escroc usurpe un fournisseur réel, depuis un domaine sosie (fournisseur-sarl.fr au lieu de fournisseur.fr) ou depuis la boîte piratée du fournisseur, et fait changer son RIB quelques jours avant une échéance. L’article 4 la bloque. Qui supporte la perte quand la facture est payée sur un faux IBAN ? Notre étude arnaque au changement de RIB : qui rembourse fait le point.

La fraude à la paie : un faux salarié demande au service RH de verser son salaire sur un nouveau compte. Même règle, côté RH (fraude à la paie et service RH).

La fraude au faux client : un « client » réclame le remboursement d’un trop-perçu sur de nouvelles coordonnées. Le montant, souvent modeste, est calculé pour passer sous les seuils : l’article 4 s’applique aussi aux clients remboursés.

Le rappel sortant, bien fait

Le rappel fonctionne parce qu’il sort du canal que contrôle l’attaquant. Il échoue quand il réutilise ce canal : répondre à l’email, appeler le numéro de la signature ou du RIB joint.

Ce que l’on dit au téléphone : « Bonjour, ici [prénom], comptabilité de [entreprise]. Nous avons reçu aujourd’hui une demande de changement de RIB à votre nom. Pouvez-vous me confirmer qu’elle vient de vous ? » Si l’interlocuteur confirme, notez son nom et l’heure. S’il ne sait rien, vous venez d’éviter une fraude : conservez le message, prévenez le DAF et avertissez le fournisseur que son identité, ou sa boîte mail, est utilisée.

L’escroc anticipe parfois le rappel. Il appelle le premier, se présente comme le fournisseur ou la banque, et donne un « numéro de confirmation ». La règle ne change pas : vous rappelez sur votre numéro. Depuis que des voix de dirigeants sont clonées par IA, une voix familière ne prouve plus rien non plus (deepfake vocal et fraude au président).

La vérification du bénéficiaire, depuis octobre 2025

Depuis le 9 octobre 2025, les banques de la zone euro comparent, avant chaque virement SEPA, le nom du bénéficiaire que vous saisissez et le titulaire réel de l’IBAN. Pour une entreprise, la comparaison porte sur la raison sociale ou le nom commercial. Le résultat peut être une correspondance, une correspondance partielle, une absence de correspondance, ou une vérification impossible. Si vous validez malgré un avertissement, la banque ne peut plus être tenue pour responsable (INC, octobre 2025).

Deux précautions pour la DAF. Saisissez la raison sociale exacte du fournisseur, sinon les alertes perdent leur sens. Et vérifiez le paramétrage des virements groupés : certaines banques permettent de désactiver le contrôle pour les fichiers ou les listes (exemple chez CIC). Une désactivation décidée pour gagner du temps supprime la protection là où passent les plus gros montants.

Les mesures techniques qui réduisent le risque

L’authentification de votre domaine empêche d’envoyer des emails avec votre adresse. Avec SPF, DKIM et une politique DMARC en mode reject, personne ne peut écrire à vos fournisseurs ou à vos équipes « depuis » @votre-entreprise.fr (configurer SPF, DKIM et DMARC). Notre test de sécurité email analyse ces enregistrements en quelques secondes et attribue une note de A à F. Les mêmes protocoles chez vos fournisseurs protègent votre comptabilité : un fournisseur sans DMARC peut être usurpé à volonté.

Les domaines sosies s’enregistrent quelques jours avant l’attaque. Une surveillance des noms proches du vôtre, et de ceux de vos fournisseurs principaux, donne l’alerte avant l’envoi (se protéger du typosquatting).

Les accès à l’ERP, à l’outil de paiement et à la banque en ligne passent par une authentification forte (MFA). Un compte compromis dans l’ERP permet de modifier un RIB sans passer par la messagerie. Des plafonds de virement, au-delà desquels la banque exige une seconde signature, complètent le dispositif.

Former l’équipe comptable

Un module générique sur le phishing ne suffit pas à la comptabilité. Les demandes frauduleuses qu’elle reçoit ressemblent à des demandes métier, sans lien suspect ni faute d’orthographe. Entraînez l’équipe sur ses propres situations :

un fournisseur habituel annonce une « migration bancaire » et demande un nouveau RIB avant le 30 du mois ;
le « PDG », en déplacement, réclame un virement confidentiel pour boucler une acquisition le soir même ;
un « auditeur » mandaté par la banque appelle pour « tester » la procédure avec un virement fictif ;
un fournisseur dont la boîte est piratée répond dans une vraie conversation, avec de vraies factures, et seul le RIB a changé.

Affichez les signaux d’alerte près des postes : une demande de changement de RIB, quelle qu’en soit la source ; une urgence (« avant ce soir », « avant la clôture ») ; une demande de discrétion ; un nouveau numéro de téléphone dans le message ; un IBAN étranger pour un fournisseur français ; un ton légèrement différent de l’habitude.

nophi.sh envoie à l’équipe des simulations de phishing tirées de 80 scénarios en français et en anglais, dont la fraude au président, le changement de coordonnées bancaires fournisseur et les fausses factures. La personne qui clique voit tout de suite une explication de 3 minutes, puis une formation courte lui est assignée, avec des relances avant l’échéance et une escalade au manager si elle reste en attente. Le scénario de l’auditeur au téléphone se travaille en exercice interne. Pour fixer les attentes : le taux de clic moyen passe de 33,1 % avant formation à 4,1 % après 12 mois de simulations et de formation (KnowBe4, Phishing by Industry Benchmarking Report 2025). L’essai gratuit de 14 jours donne accès au produit complet, sans carte bancaire.

Si un virement frauduleux est parti

N’attendez pas un remboursement de la banque : quand un salarié a lui-même validé le virement, l’entreprise garde toute la perte dans plus de la moitié des arrêts d’appel (notre analyse de 170 décisions). Dans les premières heures :

Appelez le service fraude de votre banque. Donnez la référence du virement, le montant, la date et le bénéficiaire. Demandez l’arrêt du paiement s’il est encore en cours, sinon un rappel des fonds auprès de la banque destinataire.
Bloquez dans vos outils tout nouveau paiement vers ces coordonnées.
Conservez les preuves : email d’origine avec ses en-têtes complets, RIB reçu, traces des appels et des validations.
Reconstituez la chaîne : qui a reçu la demande, qui l’a traitée, qui a validé, à quelle heure.

Dans les 72 heures, portez plainte au commissariat ou à la gendarmerie. Si votre contrat d’assurance couvre les pertes causées par une atteinte à votre système informatique, comme une boîte mail piratée, l’indemnisation est subordonnée à une plainte déposée au plus tard 72 heures après la découverte (article L12-10-1 du Code des assurances). Déclarez ensuite le sinistre à votre assureur dans les délais du contrat, avec le récépissé (ce que les assureurs vérifient). Prévenez le fournisseur dont l’identité a été usurpée : sa boîte mail est peut-être compromise, et ses autres clients sont peut-être visés en ce moment.

La récupération des fonds devient difficile après les premières heures. Selon la nature de l’opération, la banque peut toutefois être tenue de rembourser tout ou partie des sommes : le 2 octobre 2024, la Cour de cassation a jugé qu’une banque aurait dû vérifier auprès du dirigeant des ordres manifestement anormaux passés par une comptable trompée (les recours détaillés dans notre guide de la fraude au président). Une procédure écrite, datée et appliquée pèse dans ces dossiers, comme face à l’assureur. Pour la gestion d’incident au sens large, gardez la fiche réflexe cyberattaque à portée de main.

Questions fréquentes

Que doit contenir une procédure anti-fraude au virement ?

Au minimum : les rôles (qui initie, qui valide, qui gère les bénéficiaires), des seuils de double validation, une règle pour tout nouveau bénéficiaire ou changement de RIB, l’obligation de rappeler le demandeur sur un numéro déjà connu, l’interdiction des exceptions pour les demandes urgentes ou confidentielles, le canal bancaire autorisé, la conduite à tenir après une fraude et un rythme de formation et de test. La procédure est écrite, signée par la direction et appliquée au dirigeant lui-même.

Quelle différence entre fraude au président et fraude au faux fournisseur ?

Dans la fraude au président, l’escroc se fait passer pour le dirigeant de votre entreprise et réclame un virement exceptionnel, urgent et confidentiel. Dans la fraude au faux fournisseur, il se fait passer pour un fournisseur et fait modifier ses coordonnées bancaires pour détourner des paiements attendus. La première exploite la hiérarchie, la seconde la routine comptable. La même procédure les arrête : rappel sortant et double validation.

Faut-il vérifier le RIB d’un fournisseur déjà connu ?

Oui, à chaque modification de coordonnées bancaires, quelle que soit l’ancienneté de la relation. La boîte mail d’un fournisseur fidèle peut être piratée du jour au lendemain, et la demande de changement arrive alors depuis sa vraie adresse, dans une vraie conversation. La vérification s’applique à chaque modification ; les paiements suivants vers un RIB vérifié n’en ont pas besoin.

Peut-on récupérer un virement frauduleux ?

Parfois, si vous agissez dans les premières heures. Appelez le service fraude de votre banque pour demander un rappel des fonds et le blocage du bénéficiaire. Portez plainte rapidement : si votre assurance couvre une atteinte à votre système informatique, comme une boîte mail piratée, l’indemnisation suppose une plainte déposée au plus tard 72 heures après la découverte (article L12-10-1 du Code des assurances). Plus le délai s’allonge, plus les fonds ont été dispersés.

Que faire si un collaborateur a exécuté un virement frauduleux ?

Ne le blâmez pas publiquement : ces fraudes trompent des professionnels expérimentés, et la honte pousse à cacher l’incident suivant. Lancez les démarches (banque, plainte, assureur), puis analysez avec lui comment la demande a franchi la procédure. Son témoignage vous servira à écrire la version suivante de la règle.

Thomas Ferreira (CISSP, GCFA, GCIH, GCFE) est ingénieur sécurité chez nophi.sh. Ce guide s’appuie sur les recommandations de cybermalveillance.gouv.fr et de l’ANSSI (cyber.gouv.fr), et sur les textes cités.