La solution pour déjouer les fraudes au virement

En 2021, 2 entreprises sur 3 ont subi au moins une fraude. L’usurpation d’identité est la technique privilégiée par les fraudeurs, la fraude au faux président étant la plus subie par les entreprises (+9 points par rapport au Baromètre Fraude et Cybercriminalité 2020 de Euler Hermès).   

Heureusement, des solutions existent pour contrer ce risque. Voici donc quelques moyens de se protéger contre l’usurpation d’identité bancaire. 

L’usurpation d’identité bancaire : qu’est ce que c’est ? 

Dans son acception générale, l’usurpation d’identité est définie comme le fait d’utiliser le nom d’un tiers en vue de commettre des actes portant atteinte à son honneur. 

En entreprise, l’usurpation d’identité bancaire consiste à utiliser à son insu l’identité et les données personnelles d’une personne interne à l’entreprise, ou d’un tiers tel qu’un fournisseur. Pour le fraudeur, l’objectif est d’extorquer des fonds et d’obtenir un virement sur son compte. Pour usurper l’identité d’un tiers, le fraudeur va recourir à de fausses factures, de faux RIB, de faux comptes bancaires, etc. 

L’usurpation d’identité est un délit pénal passible d’un an d’emprisonnement et de 15 000 euros d’amende par l’article 226-4-1 du Code pénal. 

Comment les malfaiteurs construisent-ils leurs attaques ? 

A l’heure de la digitalisation, il est important de rappeler que tout compte créé sur Internet et toute transaction comportent un risque d’usurpation. Le risque 0 n’existe pas, puisque les processus impliquant des choix humains sont nécessairement faillibles. 

Cependant, il existe des moyens de se prémunir de la fraude et plus particulièrement de l’usurpation d’identité bancaire. 

Usurpation d’identité bancaire : les signes avant-coureurs à repérer 

• Vous recevez des lettres ou des messages inconnus émanant d’agents de recouvrement (pour des factures par exemple) ; 
• Vous recevez un mail d’un fournisseur alors que vous n’êtes pas censé en recevoir de sa part ;
• Vous recevez une relance de facture impayée suspecte (parce que vous avez déjà fait le virement, par exemple) ;
• Vous repérez une activité ou un mouvement suspect sur votre compte bancaire. 

Les méthodes les plus courantes 

• Le phishing : aussi appelée hameçonnage, cette technique consiste pour le fraudeur à se faire passer pour un organisme ou un tiers connu de l’entreprise pour extorquer des fonds. 
• Le spoofing : il s’agit d’une technique d’usurpation d’identité qui consiste à induire en erreur le destinataire d’un message, grâce à une adresse mail quasi-identique à celle d’un expéditeur connu.
• Le FOVI : cette arnaque au faux ordre de virement bancaire vise à pousser la victime à réaliser un virement non planifié.
• La fraude au faux fournisseur : cette technique consiste à usurper l’identité d’un fournisseur et à contacter une entreprise cliente en prétendant un changement de coordonnées bancaires. 
• La fraude documentaire : il s’agit d’un terme générique qui recouvre plusieurs techniques différentes, comme la contrefaçon, la falsification de documents, l’usurpation d’identité, etc. 

Les conséquences de l’usurpation d’identité bancaire 

Elles sont multiples, tant pour l’entreprise que pour le fournisseur.  

Pour l’entreprise : 

• La défense contre les fausses demande est souvent coûteuse et fastidieuse ;
• Les équipes qui contrôlent l’identité des tiers font face à une perte de temps et d’énergie ;
• La fraude à l’identité menace la réputation de l’entreprise ;
• Les conséquences juridiques sont potentiellement lourdes.  

Pour les fournisseurs 

• Il est possible d’être sanctionné par une mesure d’interdiction bancaire et d’être fiché au FCC (Fichier central des chèques) ;
• L’effet réseau s’enclenche, c’est-à-dire que la fraude se propage et atteint l’ensemble des clients du fournisseur. 

Que faire en cas d’usurpation d’identité bancaire avérée ?

En premier lieu, il est important de prévenir tous les établissement financiers dont vous êtes client. Ensuite, il convient de vérifier dans le FICOBA (Fichier des comptes bancaires) si des comptes ont été ouverts à votre nom par l’usurpateur. Enfin, si la fraude est avérée, il est important de déposer une plainte pour enclencher d’éventuelles poursuites judiciaires. 

Comment s’assurer de ne pas être victime d’usurpation d’identité bancaire ?

Des mesures peuvent être mises en place pour réduire (et prévenir) le risque d’usurpation d’identité bancaire. Les trois conseils suivants doivent ainsi être appliqués en tout temps : 

1. Protégez vos informations personnelles ;
2. Assurez la cybersécurité de vos systèmes ;
3. Contrôlez l’accès à vos comptes. 

Pour être sûre de toujours traiter avec le bon fournisseur, et de le régler sur le bon compte bancaire, la Direction financière doit impérativement contrôler les coordonnées bancaires de tous ses tiers. Comment ? Voici quelques conseils supplémentaires : 

• Effectuez des contrôles systématiques et réguliers ; 
• Renforcez la sécurité des processus ;
• Ne payez jamais en urgence, même sous la menace ou la pression ;
• Abandonnez les vérifications manuelles, trop faillibles ; 
• Cartographiez les risques et sensibilisez les équipes aux risques de fraude, via des formations régulières. 

Enfin, privilégiez l’automatisation des processus de contrôle et la fiabilisation en temps réel des données tiers, en faisant appel notamment à une solution de sécurisation des paiements telle que Trustpair. 

POINT À RETENIR :

• L’usurpation d’identité est définie comme le fait d’utiliser le nom d’un tiers en vue de commettre des actes portant atteinte à son honneur.
• L’objectif est d’extorquer des fonds et d’obtenir un virement sur le compte du fraudeur.
• Plusieurs méthodes existent pour usurper l’identité bancaire d’un tiers : phishing, spoofing, FOVI, fraude au faux fournisseur, fraude documentaire.
• La fraude à l’identité bancaire a plusieurs conséquences : perte de temps, d’énergie, d’argent, réputation de l’entreprise menacé, conséquence juridique lourde, …
• Il est important de se protéger contre l’usurpation d’identité bancaire !

Le risque fournisseurs peut être défini comme la dégradation ou l’arrêt de l’activité économique d’une entreprise « suite à un dysfonctionnement dans ses relations avec ses fournisseurs et prestataires » (Afnor). Ce dysfonctionnement peut être de deux ordres :

•       Interne : une action volontairement entreprise par le fournisseur impacte négativement la relation, comme un abus de position dominante, une faille de RSE ou un retard de livraison.
•       Externe : des conditions extérieures au fournisseur impacte son activité et, par voie de conséquence, celle de l’entreprise. Il peut s’agir, par exemple, d’une crise, comme la crise sanitaire.

Depuis la crise de covid-19, effectivement, le risque fournisseur est devenu un enjeu majeur. Les productions, d’abord à l’arrêt, doivent maintenant faire face à la reprise économique, qui entraîne une hausse de la demande sans que l’offre ne suive. S’ensuivent des ruptures d’approvisionnement, qui impactent donc l’activité économique des entreprises.

Une mauvaise gestion des risques fournisseurs a donc un impact négatif plus ou moins lourd sur la productivité et l’évolution de l’entreprise. Il est important d’en identifier les différents types afin d’avoir une approche globale.

Quels sont les différents types de risques fournisseurs ?

On retrouve plusieurs types de risques fournisseurs, parmi lesquels :

•       Risques économiques : livraison, gestion des stocks, etc.
•       Risques réglementaires : la RSE, le défaut de conformité sur les délais de paiement, le devoir de vigilance, le RGPD, etc.
•       Risques métiers : réputation, image, échange avec le bon interlocuteur, etc.

Deux autres risques particulièrement conséquents méritent que l’on s’y attarde : les risques financiers et les risques cyber.

Les risques financiers sont illustrés par de nombreuses pratiques faillibles, comme une commande erronée, des virements sur les mauvais comptes bancaires et / ou avec un mauvais montant, ou encore des retards dans les paiements. Ces processus désorganisés et erronés sont autant de portes d’entrée pour les fraudeurs. Ceux-ci peuvent, par exemple, profiter de la confusion ambiante pour usurper l’identité d’un fournisseur.

Les risques cyber sont relatifs à la communication à distance, les échanges par email, et les tentatives de fraude, comme le phishing ou l’usurpation d’identité. Avec la crise sanitaire, les risques cyber sont devenus proéminents. Le recours généralisé au télétravail a entraîné une digitalisation à marche forcée des entreprises, non sans failles technologiques et humaines.

Dans ce contexte, la relation client-fournisseur est devenue une cible privilégiée pour les fraudeurs. Pour se prémunir de tels risques comme la fraude au faux fournisseur, les ransomware, etc., il est essentiel d’adopter de bonnes pratiques.

Gestion des risques fournisseurs : les bonnes pratiques

Il est nécessaire de mettre en place un plan d’action afin de gérer les tiers et leurs risques associés.

Identifier les facteurs de risque

Plusieurs facteurs reviennent fréquemment quant aux risques dans la relation entreprise – fournisseur ; sans exhaustivité :

•       Une différence d’objectifs entre les deux parties ;
•       Un déséquilibre dans la relation (par ex. abus de position de dominante) ;
•       Un fournisseur unique
•       Des imprécisions quant à la relation contractuelle

Cartographier les risques fournisseurs

Une fois les facteurs de risques identifiés, il est possible d’établir une cartographie des risques fournisseurs.

Le but de la cartographie des risques est d’identifier les différents types de risques pesant sur les processus « Achats Fournisseurs », selon plusieurs catégories :

•       Risques financiers : un fournisseur partiellement ou totalement à l’arrêt ;
•       Risques industriels : un retard sur la production ou la livraison ;
•       Risques métiers : sur le pilotage de la stratégie, sur les portefeuilles, sur les processus internes de l’entreprise ;
•       Risques légaux : tentatives de fraude, défaut de conformité ;
•       Risques sociétaux : un impact négatif sur la RSE d’un fournisseur (travail d’enfants par ex.) ;
•       Risques politico-économiques : évolution des marchés et des prix, des politiques domestiques et étrangères, de la météorologie et de l’environnement, etc.
•       Risques cyber : phishing, malware, ransomware, usurpation d’identité et autres tentatives de fraudes dans les communications à distance.

Cette cartographie doit être établie pour chaque étape de la relation entreprise-fournisseur : elle détermine par ailleurs l’importance du risque et les actions préventives et postérieures à prendre.

Respecter les processus KYS

Les processus KYS et KYC désignent le fait pour l’entreprise de vérifier l’identité de ses tiers. Ceux-ci peuvent être :

•       Des fournisseurs (Know Your Supplier) ;
•       Des clients (Know Your Customer).

Ces processus s’inscrivent dans le cadre de la lutte contre le blanchiment d’argent et le financement du terrorisme. Ils reposent principalement sur deux textes législatifs :

•       La loi « Sapin II » (2016), qui s’applique à toute entreprise de plus de 500 salariés avec un CA supérieur ou égal à 100M€ ;
•       La loi sur le devoir de vigilance (2017), qui concerne toute société par action ayant au moins 5000 salariés en France ou 10 000 salariés dans le monde.

Les impératifs légaux sont multiples, mais il est nécessaire d’établir un code de conduite ainsi qu’une cartographie des risques (sur le modèle précédent). Il faut également mettre en place des mécanismes d’alerte interne (en cas de violations détectées) ainsi que des actions de surveillance et de formation pour l’évaluation des tiers.

Suivre les délais de paiement

Les délais de paiement sont fixés par la loi et ne pas les respecter constitue donc un risque légal, entre autres.

Ils ont été introduits par la Loi de Modernisation de l’Economie (2008) :

1.     Par défaut, le délai est de 30 jours ;
2.     Après accord, il peut être porté à 45 jours ;
3.     Dans tous les cas, il ne peut pas excéder 60 jours calendaires.

Des mesures rectificatives – la loi Hamon (2014) et la loi Sapin II (2016) – viennent introduire une plus grande souplesse, par exemple en instaurant des délais dérogatoires pour des secteurs déterminés, comme l’alimentation. Le cœur des mesures des délais de paiement loi LME demeure cependant : c’est donc tant un enjeu légal que de sécurité.

Adopter des solutions technologiques contre le risque de fraude

Pour terminer, au vu de leur ampleur, les risques cyber doivent faire l’objet d’une action spécifique. En plus de former les collaborateurs aux bonnes pratiques de cybersécurité, il est important pour l’entreprise de s’équiper d’une solution technologique anti-fraude, comme Trustpair.

Ce logiciel SaaS vérifie en temps réel les données du référentiel tiers. Connecté à des sources  bancaires françaises et internationales, la solution contrôle automatiquement et systématiquement chaque ajout ou changement de tiers. Le couple identité d’entreprise / identité bancaire est vérifié et l’entreprise se prémunit donc des risques de fraude, de délais ou d’erreur de paiements. Trustpair vous permet ainsi de lutter contre les risques cyber, proéminents dans la gestion des risques fournisseurs. 

POINT À RETENIR :

• Le risque fournisseurs peut être défini comme la dégradation ou l’arrêt de l’activité économique d’une entreprise « suite à un dysfonctionnement dans ses relations avec ses fournisseurs et prestataires » (Afnor)
• Le dysfonctionnement peut être interne ou externe
• Une mauvaise gestion des risques fournisseurs a un impact négatif plus ou moins lourd sur la productivité et l’évolution de l’entreprise
• Il existe différents types de risques fournisseurs : économique, réglementaire, métier, financier, cyber
• Il est nécessaire de mettre en place un plan d’action afin de gérer les tiers et leurs risques associés
• Adopter une solution technologique contre le risque de fraude telle que Trustpair est une bonne pratique

Il existe d’abord un risque inhérent à établir un partenariat avec un fournisseur, à savoir le risque de dysfonctionnements et de dégradation de l’activité économique : c’est ce qu’on appelle les risques fournisseurs. La gestion des risques fournisseurs est dès lors essentielle pour assurer la continuité de l’activité économique de l’entreprise.

La décision et l’acte d’achat, spécifiquement, sont particulièrement à risque. Puisqu’il y a achat, il y a évidemment paiement, et c’est donc une opportunité évidente pour les fraudeurs. Les risques cyber (phishing, ransomware, malware, etc.) et le risque de fraude au virement doivent donc être pris en considération. La fraude au virement peut prendre plusieurs formes :

•       Fraude au faux client ou au faux fournisseur ;
•       Fraude au président (ou au FOVI) ;
•       Fraude interne, etc.

Il est dès lors nécessaire d’adopter des solutions afin de se prémunir contre ce risque de fraude.

Comment prévenir la fraude au virement dans le processus d’achat ?

Les risques de fraude et les risques cyber résultent souvent de l’erreur humaine et, dans un premier temps, il est donc essentiel de former les collaborateurs aux bonnes pratiques numériques et de cybersécurité. Cela est d’autant plus vrai pour les services critiques les plus à risque, comme les Directions Financières.

Il convient, en plus, d’équiper l’entreprise avec une solution technologique anti-fraude, ainsi de Trustpair. Ce logiciel SaaS permet de sécuriser l’ensemble des paiements lors du processus d’achat, grâce à la vérification du référentiel tiers. Trustpair contrôle le couple coordonnées bancaires / identité de l’entreprise automatiquement et en temps réel. L’entreprise se protège dès lors contre le risque de fraude au virement.