Cybersécurité

Retour sur Financium 2022 – Le dirigeant financier face aux risques de cyberfraude

financium - Le dirigeant financier face aux risques de cyberfraude

Le risque de cyberfraude est reconnu comme un risque majeur. S’il a longtemps était du ressort de la Direction technique (DSI), il est aujourd’hui important de s’appuyer sur un responsable polyvalent, entraînant les collaborateurs dans la prise en compte de ces risques. La Direction financière se positionne comme acteur de l’appréhension des risques et de la sécurisation des flux financiers.

Trustpair vous propose de revenir sur la conférence FinanciumLe dirigeant financier face aux risques de cyberfraude – Focus sur la sécurisation des flux financiers“, elle-même basée sur le cahier technique homonyme publié par la DFCG, afin d’adresser les enjeux de la cybersécurité, et de partager les bonnes pratiques.

Etaient présents :

1. Identifier le risque de cyberfraude

Cyber menaces et cyber-fraude : de quoi parle-t-on ?

Selon le site du gouvernement français, il existe quatre grandes familles de cyber menaces :

  • la cybercriminalité,
  • l’atteinte à l’image,
  • l’espionnage,
  • le sabotage.

Notre groupe d’experts se positionnent sur la dimension “cybercriminalité”, et plus particulièrement sur la cyber-fraude.

Les conséquences d’une cyber-fraude varient d’une entreprise à l’autre : les impacts économiques peuvent aller de quelques milliers d’euros à la disparition de l’entreprise, et les répercussions peuvent s’inscrire sur le long-terme.

On observe alors plusieurs risques liés à la cyber-fraude, à savoir les risques : financiers, opérationnels, concurrentiels, réputationnels, de ressources humaines et juridiques.

La cyber-fraude peut avoir différentes typologies : fraude au virement, ransomware, phishing, usage abusif de droits d’accès, cybersquatting, vol de données, typosquatting, fraude au faux clients, chantage.

“Quand on parle de la cyber-fraude, on fait d’abord un focus sur les flux financiers : le DAF est impacté par la qualité des flux de paiements. C’est fondamental d’apporter cette sécurité. La fraude au virement fait partie du top 5 des fraudes, et est l’une des principales sources de revenu pour les fraudeurs.” – José Teixeira, Sage

La Direction financière face aux menaces

“La trésorerie est le poumon de l’organisation : elle inspire, cash-in , et expire, cash-out. Ne pas sécuriser les flux financiers est synonyme d’étouffement.” – Nicolas Soulié, UNIVI

Si la vulnérabilité du SI finance est bien réelle, autant sur les aspect de paiements – order-to-cash – que sur la gestion des processus, 70% des fraudes avérées proviennent d’une vulnérabilité humaine. Il faut sécuriser les SI via des règles métiers comme la ségrégation des tâches ou le principes des 4 yeux.

“Il faut cartographier les risques et les flux par rapport à l’organisation : par où circulent les flux, lesquels sont à risque ? Il faut aussi limiter le nombre de rupture entre l’ajout d’un tiers et l’envoi des fichiers de paiements en banque.” – José Teixeira, Sage

La fraude résulte d’une usurpation d’identité, il est donc important d’identifier les tiers et les flux, et ainsi de monitorer l’ensemble de la chaîne de paiements jusqu’à l’interaction avec la banque.

“Dans l’ERP par exemple, on peut mettre plusieurs workflow pour valider la demande d’achat via la double vérification, la double signature, ou encore la signature électronique.” – Catherine Maameri, Sage

New call-to-action

2. Prévenir le risque de cyber-fraude

Sensibilisation des collaborateurs et culture cyber

“L’humain est central en terme de lutte contre la fraude, et sa sensibilisation est essentielle. Peu importe le niveau de sécurité des outils et des processus, c’est par l’humain que passe les fraudes.” – Catherine Maameri, Sage

Catherine Maameri explique que Sage a mis en place des formations ludiques, interactives, et concises sur les risques de cyber-fraude ou encore la RGPD.

“Chaque module de e-learning se finit par un test. La vigilance et permanente, car une erreur humaine peut avoir de lourdes conséquences (…) La formation continue est essentielle.” – Catherine Maameri, Sage

Pour faire face au phishing, Sage a mis en place une icône de “poisson” dans les boites mail, pour appeler à la vigilance. En cas de doute, les collaborateur activent l’icône pour signaler le mail, puis reçoivent une réponse :

  • ce n’est pas une menace,
  • c’est bien une menace, félicitation,
  • ceci était un test, merci pour votre vigilance.

Politique de sécurité : un autre moyen de prévenir

La généralisation du télétravail a eu pour répercussion l’ouverture des systèmes. Les équipes IT doivent être vigilantes, et gérer les ouvertures des systèmes à l’extérieur.

“Dans une ETI, on utilise des outils sécurisés via des comptes et les logiciels de Trésorerie. La première chose est de séparer les pouvoirs : saisie des données, des paiements, pouvoir de signature, distinction des montants, double signatures… C’est de l’humain, c’est contraignant, mais il faut respecter ces règles.” – François-Xavier Cardon, Global Concept/ Paritel

François-Xavier Cardon ajoute que bien qu’il soit contraignant de mettre en place des règles métiers, les escrocs misent tout sur la faiblesse humaine, comme en cas de fraude au président. La séparation des pouvoirs apporte une meilleure visibilité et appréhension des risques.

“La question est : jusqu’où l’automatisation est bonne, et à partir de quand devient-elle une faiblesse ?” – François-Xavier Cardon, Global Concept/ Paritel

Quel monitoring efficace pour prévenir des fraudes ?

La prévention des fraudes commence par l’intégrité des données et la qualité du référentiel tiers. En effet, si les flux passent par la trésorerie, il faut vérifier qu’ils ne soient pas altérés et les surveiller en continu. Avoir une base maître saine permet d’évincer les risques d’erreur ou de fraude.

“Au regard des normes européennes, dont l’identité numérique, il faut savoir à qui l’on s’adresse, et si cette personne fait partie du réseau de confiance. Cette double authentification permet de séparer les tâches et de tracer les actions des collaborateurs.” – José Teixeira, Sage

“On manipule des bases avec des données sensibles : flux financiers, RIB, adresses. Si les données doivent circuler, il faut définir : qui peut le faire, par où sa passe, et est-ce que le chemin est sécurisé ? On est détenteur d’information de tiers – clients, salariés – la sécurité est primordiale.” – Catherine Maameri, Sage

Data Management et lutte contre la fraude au virement - Livre Blanc Trustpair et Altares

Quelles vison pour une bonne gouvernance ?

“La cyberfraude est un risque d’entreprise. La maitrise du risque doit venir de la Direction générale. C’est important de mettre en place une politique de gouvernance en accord avec l’ensemble des parties prenantes : juridique, informatique, financière, opérationnelle.” – Nicolas Soulié, UNIVI

Le financier a une vison transverse et fluide sur l’entreprise, ce qui lui procure une bonne visibilité et une meilleure gestion des risques. Il peut coordonner les différentes actions.

“La cartographie des risques est une obligation. C’est important de connaître ses processus, outils, Business Units, données traitées. Une fois établie, on a un niveau de priorisation des risques et un plan d’action clair (qui, quoi, comment, où, quels objectifs chiffrés).” – Nicolas Soulié, UNIVI

3. Réagir au risque de cyber-fraude

Afin d’avoir une surveillance accrue des risques, José Teixeira dresse la liste des processus pouvant être outillés, à savoir :

En plus de l’outillage, Catherine Maameri ajoute que de bonnes pratiques sont aussi à mettre en place :

  • faire un diagnostique des risques encourus par l’entreprise
  • fermer les comptes et communiquer en interne en cas d’usurpation d’identité et de perte de droit d’accès
  • Etre vigilance et analyser finement chaque situation de crise

Prenons deux exemples de cas de fraude

Nicolas Soulié partage deux situation :

1. Fraude au faux fournisseur

Dans cet exemple, l’entreprise reçois une demande de changement de RIB de la part d’un fournisseur. Pour savoir si cette demande est vraie, le département comptable a collaboré avec le service achat afin qu’il contacte leur interlocuteur habituel. Cette vérification a confirmé que le fournisseur n’avait pas fait de telle demande : c’était bien une tentative de fraude.

“Cela prouve l’importance d’avoir plusieurs personnes qui interviennent dans un processus.” – Nicolas Soulié, UNIVI

2. Fraude au président

Le patron pays d’une filiale italienne reçoit un mail du nouveau Directeur général, basé aux Etats-Unis, lui demandant de faire un virement “urgent” dans le cadre d’un rachat en Pologne. Etant donné que le patron disposait de tous les pouvoirs, et n’a pas concerté l’équipe. Il a réalisé le paiement de plusieurs milliers d’euros. C’était une fraude avérée.

“Il faut toujours bien être au courant des projets en court dans l’entreprise.” – Nicolas Soulié, UNIVI

Pour conclure :

Quels sont les bons réflexes en cas de cyber attaque ?

“Il faut prévenir tout le monde, même si c’est les montagnes russes.” – François-Xavier Cardon, Global Concept/ Paritel

Plusieurs étapes sont à respecter pour gérer au mieux la situation de crise :

  • Communiquer en interne et en externe,
  • Déposer plainte auprès de la brigade anti-fraude,
  • Assurer la poursuite de l’activité et continuer “à vivre”, même dans des conditions dégradées.

Focus sur le circuit des flux et les workflow proposés par Sage

“Le flux sort de l’ERP et de la comptabilité. Si vous vous avez mis en place un contrôle des tiers, ça permet d’avoir des bases référentielles. Il rentre ensuite dans un module qu’on appelle “anti-fraude”, qui va le vérifier via la mise en place de workflow. Si vous payez des tiers identifiés, il y a des services connectés, des sociétés pouvant garantir ou scorer l’adéquation entre le RIB et le nom d’une société, qui mettront un tampon sur votre liste blanche. En France, vous pouvez vous appuyer sur des sociétés comme Trustpair pour valider cette adéquation.” – José Teixeira, Sage

Ce module anti-fraude assure des workflows spécifique, permettant même de traiter les cas particuliers comme les faux-négatifs. S’il y a un paiement suspect vers un tiers non identifié, un workflow de validation est mis en place.

D’autre processus peuvent être déployés en plus de ce workflow, comme la signature interne, la signature électronique, les 4 yeux, ou la transfert. Le but est d’empêcher toutes rupture dans la chaîne, pour garantir l’intégrité des fichiers de paiements.

Nouveau call-to-action

Suivez nos dernières actualités

Inscrivez-vous à la Newsletter Trustpair et recevez chaque semaine des conseils…

Pour tout savoir sur la manière dont nous traitons vos données, consultez notre Charte de confidentialité.

newsletter-icone

Articles liés

Le sujet vous intéresse ? Retrouvez l’ensemble des contenus autour de cette thématique.