La réforme de la facture électronique a ouvert un boulevard aux fraudeurs — les 7 vérifications que j’impose depuis le 1er septembre

Le dirigeant m’a montré l’écran avec une certaine fierté : le raccordement était fait, les premières factures fournisseurs arrivaient au bon format, et la comptable n’avait plus rien à ressaisir. Puis je lui ai posé une question : « si l’un de vos fournisseurs change son RIB demain, qui le vérifie ? » Silence. Le flux est désormais automatique de bout en bout, et le seul contrôle qui existait auparavant — quelqu’un qui trouvait un courriel bizarre — venait d’être supprimé au nom de la modernisation.

Voici la méthode en sept étapes que nous appliquons depuis l’entrée en vigueur de l’obligation de réception, et ce qu’elle coûte réellement.

Ce qui a changé, et ce que cela déplace

Depuis le 1er septembre 2026, toutes les entreprises établies en France et assujetties à la TVA doivent être en mesure de recevoir leurs factures au format électronique, via une plateforme agréée par l’administration. L’obligation d’émettre suit un calendrier distinct, fondé sur la taille de l’entreprise : elle s’applique déjà aux grandes entreprises et aux entreprises de taille intermédiaire, et l’échéance des PME et microentreprises est fixée au 1er septembre 2027.

L’objectif affiché de la réforme est la lutte contre la fraude à la TVA, et de ce point de vue elle fonctionne : un format structuré transitant par des plateformes identifiées est incomparablement plus difficile à falsifier qu’un PDF envoyé en pièce jointe. Mais du point de vue de l’entreprise qui reçoit, quelque chose d’important disparaît au passage.

Ce qui disparaît, c’est l’étape où un être humain regardait la facture. Cette étape était lente, imparfaite et coûteuse, et elle attrapait tout de même les anomalies : un montant inhabituel, un fournisseur inconnu, un RIB qui n’était pas celui de d’habitude. En automatisant le trajet de bout en bout, on supprime la friction et le contrôle en même temps. Toute la question est de réintroduire le contrôle au seul endroit où il est indispensable.

Étape 1 — Situer précisément votre entreprise dans le calendrier

Écrivez noir sur blanc deux réponses : à quelle date vous devez pouvoir recevoir, et à quelle date vous devrez émettre. La première réponse est la même pour tout le monde et elle est déjà échue. La seconde dépend de votre catégorie d’entreprise, qui se détermine sur des seuils d’effectif et de chiffre d’affaires et non sur l’intuition du dirigeant.

Cette étape paraît administrative ; elle conditionne tout le reste. Une entreprise qui se croit concernée seulement en 2027 n’a pas raccordé sa réception, et ses fournisseurs émettent déjà. Les factures arrivent alors dans un canal que personne ne surveille, avec les impayés et les relances que cela suppose.

Étape 2 — Vérifier l’immatriculation de la plateforme, pas sa plaquette

Consultez la liste officielle des plateformes agréées publiée par l’administration fiscale, et vérifiez-y le nom exact de votre prestataire. Puis conservez une copie datée de cette vérification dans votre dossier fournisseur, au même titre qu’une attestation de vigilance.

Le piège n’est pas la fraude, il est sémantique. Beaucoup d’éditeurs annoncent être « conformes à la réforme » ou « prêts pour 2026 », ce qui est exact et n’a pas le sens qu’on lui prête : leur logiciel produit le bon format, mais la transmission passera par une plateforme agréée, qui peut être la leur, celle d’un partenaire, ou une que vous devrez choisir vous-même.

Profitez-en pour appliquer à ce fournisseur la même grille qu’aux autres prestataires critiques : c’est exactement le raisonnement décrit dans notre méthode d’évaluation du risque fournisseur. Une plateforme de facturation est, du jour au lendemain, l’un des trois ou quatre tiers les plus critiques de votre entreprise.

Étape 3 — Cartographier le nouveau flux et ses points de confiance

Dessinez sur une page le trajet complet d’une facture entrante : arrivée sur la plateforme, récupération par votre logiciel de gestion, rapprochement avec la commande, validation, mise en paiement, exécution du virement. Puis marquez d’une croix chaque endroit où une donnée est acceptée sans qu’un humain la regarde.

Dans la majorité des installations que nous auditons, il y a désormais une seule croix qui compte réellement, et c’est celle des coordonnées bancaires. Le montant est contrôlé par le rapprochement avec la commande. L’identité du fournisseur est contrôlée par son immatriculation. Le RIB, lui, est souvent repris tel qu’il se présente.

Cette cartographie prend une heure et elle a une vertu supplémentaire : elle rend visible la dépendance nouvelle. Si la plateforme est indisponible, que se passe-t-il ? Nous y revenons à la septième étape, et c’est la question que personne ne se pose avant d’y être confronté.

Étape 4 — Traiter la fraude au changement de coordonnées bancaires

C’est l’étape décisive, et c’est la seule de cette liste dont l’absence peut coûter, à elle seule, plusieurs dizaines de milliers d’euros en un virement.

Le scénario n’a rien de sophistiqué. Un fraudeur se fait passer pour un fournisseur connu et annonce un changement de compte bancaire. Dans un circuit papier, la demande arrivait par courriel et pouvait éveiller les soupçons. Dans un circuit automatisé où les factures sont réputées fiables parce qu’elles transitent par une plateforme agréée, la confiance accordée au canal se reporte indûment sur le contenu.

La règle à instaurer tient en une phrase, et elle ne souffre aucune exception :

• Canal différent. Toute modification de coordonnées bancaires est validée par un moyen distinct de celui qui l’a transmise — un appel au numéro que vous détenez déjà dans votre fiche fournisseur, jamais celui indiqué sur le document.
• Personne différente. Celui qui valide n’est pas celui qui paie. La séparation des rôles est le seul contrôle qui résiste à un employé pressé.
• Trace écrite. Date, interlocuteur, numéro appelé. En cas de litige avec la banque, cette trace est ce qui distingue une négligence d’une fraude subie.
• Seuil de double validation. Au-delà d’un montant que vous fixez, deux personnes valident. Ce seuil doit être un chiffre écrit, pas une appréciation.

Ces attaques s’appuient désormais sur des contenus générés automatiquement, y compris vocaux, ce qui rend la vérification par rappel d’autant plus importante — nous détaillons ces modes opératoires dans notre note sur l’usurpation d’identité et la fraude au virement, et la sensibilisation associée dans notre programme de formation des équipes.

Étape 5 — Verrouiller les accès à la plateforme

Votre plateforme contient désormais l’intégralité de vos flux commerciaux : qui sont vos clients, qui sont vos fournisseurs, à quels prix et selon quels délais. Un accès à cet outil vaut un accès à votre comptabilité complète, et il est en général protégé par un mot de passe partagé entre trois personnes.

• Comptes nominatifs. Un compte par personne, jamais de compte « comptabilité » partagé. Sans cela, aucune trace n’est exploitable après un incident.
• Authentification multifacteur activée pour tous les comptes sans exception, selon la démarche décrite dans notre guide de déploiement du MFA en entreprise.
• Séparation des rôles entre celui qui saisit et celui qui valide, y compris lorsque l’équipe est réduite : c’est précisément dans les petites structures que la fraude interne passe inaperçue.
• Revue trimestrielle des habilitations, en n’oubliant pas les comptes de l’expert-comptable et des prestataires, qui survivent régulièrement à la fin de la mission.

Étape 6 — Encadrer la sous-traitance de vos données

La plateforme traite des données personnelles pour votre compte : elle est sous-traitant au sens du RGPD, et l’article 28 impose que cette relation soit encadrée par un contrat comportant des garanties précises. Quatre points doivent figurer noir sur blanc.

• Le lieu d’hébergement des données et, le cas échéant, les transferts hors Union européenne avec leur base juridique.
• La durée de conservation et le sort des données à la fin du contrat : restitution dans un format exploitable, puis suppression attestée.
• La liste des sous-traitants ultérieurs, car votre plateforme en emploie, et la procédure d’information en cas de changement.
• Le délai de notification en cas de violation, chiffré en heures. Une clause qui prévoit une notification « dans les meilleurs délais » ne vous permet pas de tenir vos propres obligations.

Ce dernier point mérite une insistance particulière, parce qu’il est systématiquement découvert au pire moment : si votre plateforme subit une fuite, c’est vous qui restez responsable de traitement vis-à-vis de vos clients et fournisseurs. La procédure à suivre est alors celle que nous décrivons pour réagir à une fuite de données, avec un délai qui court dès que vous en avez connaissance.

Étape 7 — Écrire la procédure de repli

Une page suffit, et elle doit exister avant d’en avoir besoin. Trois scénarios, trois réponses écrites.

• La plateforme est indisponible plusieurs jours. Qui prévient les fournisseurs, comment les factures urgentes sont traitées, et à partir de quand vous considérez qu’il faut un canal de secours.
• La plateforme signale un incident de sécurité. Qui décide de suspendre les paiements en cours — c’est la décision la plus coûteuse à improviser — et qui vérifie les coordonnées bancaires des règlements récents.
• Vous changez de plateforme. Comment vous récupérez l’historique, sous quel format, et en combien de temps. Vérifiez-le une fois, en conditions réelles, plutôt que de le lire dans le contrat.

Si votre entreprise entre par ailleurs dans le champ de la directive NIS 2, ces éléments alimentent directement votre dossier : notre audit de périmètre NIS 2 permet de savoir en quelques jours si vous êtes concerné et à quel titre.

Ce que la démarche coûte réellement

Comptez environ deux jours de travail répartis sur trois semaines : une heure pour la cartographie, une demi-journée pour la règle de validation des coordonnées bancaires et sa communication à l’équipe, une demi-journée pour les accès, et le reste en échanges avec la plateforme sur les clauses contractuelles.

C’est à comparer à un virement frauduleux de cinq chiffres, qui est l’issue normale de l’absence d’étape 4. La réforme de la facturation électronique est, à terme, une bonne nouvelle pour la sécurité des échanges commerciaux. Elle l’est à condition de ne pas confondre la fiabilité du canal avec la fiabilité de ce qui y circule.