Référentiel fournisseurs externalisé : qui crée les fiches et change les RIB

En 2025, la fraude au virement a atteint 485 millions d’euros en France, selon l’Observatoire de la sécurité des moyens de paiement. Elle a progressé de 37 % en un an. Deux fraudes visent le référentiel fournisseurs des entreprises : un RIB remplacé sur la fiche d’un fournisseur réel, ou une fiche ouverte pour un fournisseur fictif.

Le prestataire travaille parfois depuis Madagascar, le Maroc ou l’Inde, directement dans l’outil comptable de son client. Ce dernier doit alors décider qui crée et valide une fiche, qui peut changer un IBAN et qui signe le virement.

Depuis le 9 octobre 2025, la banque vérifie aussi le nom du bénéficiaire. Ce contrôle compare le nom saisi au titulaire du compte avant chaque virement en euros, sans confirmer que le fournisseur a changé de banque. Cette confirmation passe par un appel à un numéro déjà connu.

Ce que contient une fiche du référentiel fournisseurs

Transparence : le fondateur d’ExternFlow a aussi fondé LAPLUME.MG, prestataire établi à Madagascar dont l’offre comprend la saisie et le back-office de facturation. Aucun prestataire n’est cité en exemple ni recommandé ici, et notre déclaration d’intérêts détaille ce point.

Le référentiel fournisseurs, aussi appelé fichier des tiers, rassemble une fiche par fournisseur. Chaque fiche contient la raison sociale, le numéro SIREN ou de TVA, l’adresse, les contacts, les conditions de paiement et les coordonnées bancaires. Le logiciel comptable s’en sert pour rattacher chaque facture à un tiers connu, puis pour générer les virements.

Dans une comptabilité fournisseurs externalisée, plusieurs personnes ouvrent ces fiches, de l’opérateur du prestataire qui reçoit les factures au trésorier qui envoie les paiements. Le référentiel reste pourtant la propriété du client, même quand le prestataire l’alimente. Notre guide sur l’externalisation des achats indirects demande d’inscrire ce point au contrat, avec un export régulier dans un format ouvert.

Une erreur d’adresse retarde un courrier, alors qu’un IBAN modifié détourne le paiement suivant, puis tous les autres. La fraude se découvre souvent le jour où le vrai fournisseur relance pour une facture impayée. Le tail spend multiplie ces fiches pour de petits montants.

Deux fraudes visent la fiche fournisseur

La fraude dite au faux fournisseur vient de l’extérieur. Un escroc se présente comme un fournisseur réel, par courriel ou par courrier, et annonce un changement de coordonnées bancaires. La Banque Postale décrit des demandes appuyées sur de vraies factures, tirées d’une messagerie piratée. Certaines arrivent même par lettre recommandée.

La seconde fraude naît à l’intérieur. Une personne autorisée à créer des tiers ouvre la fiche d’un fournisseur fictif, puis saisit une facture à son nom. Cette fraude suppose des droits trop larges, chez le client ou chez le prestataire.

Allianz Trade a publié le 16 juin 2026 son baromètre fraude, réalisé avec l’institut Odoxa. Parmi les entreprises visées par au moins une tentative, 42 % citent le faux fournisseur et 37 % une fraude interne.

La Direction nationale de la police judiciaire a été informée de 640 affaires de faux ordres de virement visant des personnes morales en 2025. Le préjudice atteint 43 millions d’euros, selon le rapport de l’Observatoire.

Les deux fraudes et le contrôle qui les arrête

Les deux fraudes passent par une écriture dans le référentiel. Le contrôle se place donc au moment où la fiche change, avant la préparation du virement.

La matrice des droits entre client et prestataire

La règle de base du contrôle interne s’applique sans changement. La personne qui crée ou modifie une fiche ne la valide pas et n’autorise pas le paiement. L’externalisation complique son application, car une partie des rôles passe chez le prestataire. La matrice suivante répartit les droits entre les trois acteurs de la chaîne de paiement, du prestataire au trésorier.

Matrice des droits sur le référentiel fournisseurs

Matrice ExternFlow, à adapter à la taille de l’équipe et aux droits que l’outil comptable permet de séparer.

Dans une PME où la comptabilité interne se résume à une personne, le dirigeant devient le second valideur. Le droit de modifier un IBAN est le plus sensible de la matrice. Si l’outil le permet, aucun compte du prestataire ne reçoit ce droit.

Sinon, un journal des modifications d’IBAN, relu par le client avant chaque lot de paiements, compense ce droit trop large. Le contrat décrit la matrice et les dérogations admises.

Changement de RIB : la procédure de rappel en 5 étapes

Selon le même baromètre, 41 % des entreprises rappellent leur client ou leur fournisseur quand ses coordonnées bancaires changent. Elles sont 55 % à vérifier les RIB et IBAN. Dans une comptabilité externalisée, la procédure suivante s’écrit au contrat et s’applique à chaque demande, quel que soit son canal d’arrivée.

1. Geler la demande reçue par courriel ou par courrier. L’opérateur du prestataire ne saisit rien et la transmet au client, même si l’expéditeur annonce une urgence.
2. Rappeler sur un numéro connu, relevé dans le contrat ou sur la fiche avant la demande, jamais dans le message qui annonce le changement.
3. Faire confirmer les deux IBAN par l’interlocuteur habituel, avec la date et le motif du changement. Il envoie ensuite une attestation de RIB émise par sa banque.
4. Faire valider par une autre personne que celle qui a appelé. Elle relit le compte rendu d’appel, puis valide la modification dans l’outil.
5. Contrôler le premier paiement en envoyant un avis de changement à l’adresse habituelle du fournisseur, qui confirme ensuite la réception du premier virement.

Le compte rendu d’appel se conserve avec la fiche. Il indique la date, l’heure, le numéro composé, le nom de l’interlocuteur et celui du valideur. En cas de litige, il prouve le contrôle.

Un nouvel IBAN enregistré la veille d’un lot de paiements attend le lot suivant. Ce délai laisse au vrai fournisseur le temps de réagir à l’avis de changement.

Vérification du bénéficiaire : ce que la banque contrôle depuis 2025

Le règlement (UE) 2024/886 sur les virements instantanés a inséré un article 5 quater dans le règlement SEPA. Depuis le 9 octobre 2025, les banques de la zone euro comparent gratuitement le nom du bénéficiaire saisi et le titulaire du compte. Ce contrôle a lieu avant l’autorisation du virement, quel que soit le canal utilisé.

Quatre réponses avant l’autorisation du virement

La banque répond par une correspondance, une correspondance partielle accompagnée du nom réel du titulaire, une absence de correspondance ou une vérification impossible. Pour une entreprise, la comparaison porte sur sa dénomination, et certaines banques acceptent aussi un identifiant comme le SIREN ou le LEI.

Le payeur peut autoriser le virement malgré l’alerte. La banque n’est pas responsable si elle a respecté l’article 5 quater. Le guide du CFONB précise que le donneur d’ordre assume les conséquences de ce choix.

La qualité du référentiel entre ici en jeu, car le nom transmis à la banque dans un fichier de virements est celui de la fiche. Une raison sociale mal saisie déclenche une alerte à chaque paiement, et les opérateurs prennent l’habitude de passer outre. Le CFONB recommande de fiabiliser les noms et les IBAN des bénéficiaires.

Les virements que la vérification ne couvre pas

• Les remises groupées échappent au contrôle quand le client professionnel y a renoncé, comme le permet le paragraphe 6. Un fichier de paiements préparé par le prestataire peut alors partir sans vérification.
• Les virements hors zone euro, internationaux ou en devises, ne sont pas vérifiés. Dans l’Union, les banques des États qui n’ont pas adopté l’euro ont jusqu’au 9 juillet 2027.

Un titulaire différent du fournisseur pose un autre problème, quand un affactureur ou une société du groupe encaisse pour lui. L’alerte revient alors à chaque paiement et ne distingue plus le cas légitime d’une fraude.

La vérification agit donc au paiement, sur une partie des virements seulement, alors que le rappel au fournisseur intervient dès que la fiche change. Notre article sur la saisie de factures externalisée conseille de demander à la banque si les fichiers de l’opérateur passent par ce contrôle.

Les accès et les traces à exiger d’un prestataire offshore

Un opérateur offshore travaille le plus souvent à distance, dans l’ERP ou le logiciel comptable du client. Chacun reçoit un compte à son nom, sur le modèle des comptes nominatifs ouverts pour une durée définie en support technique. Un identifiant partagé par plusieurs opérateurs empêche de savoir qui a modifié une fiche.

Le contrat précise aussi les traces à conserver.

• Le journal des fiches, horodaté, qui garde pour chaque création ou modification le nom de l’opérateur et l’ancienne valeur.
• Les demandes reçues, courriels ou courriers annonçant un changement, conservées avec leur canal d’arrivée.
• Un export avant paiement des fiches créées ou modifiées depuis le dernier lot, envoyé au client avant qu’il signe.
• La liste des comptes ouverts dans l’outil, que le client compare chaque mois aux départs de l’équipe du prestataire.

La séparation des tâches s’applique aussi dans l’équipe du prestataire. Un opérateur capable de créer un tiers puis de préparer le lot qui le paie réunirait toute la chaîne. Le contrat demande donc au prestataire de décrire ses propres règles de séparation.

Les coordonnées bancaires d’un fournisseur entrepreneur individuel sont des données personnelles, et le prestataire agit alors comme sous-traitant au sens de l’article 28 du RGPD. Un accès depuis un pays hors de l’Union européenne relève en plus des règles de transfert.

Le partage de la perte après un virement détourné

Le 17 juin 2026, la chambre commerciale de la Cour de cassation a jugé une affaire très proche de la situation d’une comptabilité fournisseurs externalisée. Un courtier avait transmis à l’acheteur une facture et un RIB reçus d’une fausse adresse du fournisseur. L’acheteur avait payé l’escroc (pourvoi n° 24-13.306).

La cour d’appel avait jugé le paiement libératoire, puisque l’acheteur était de bonne foi. La Cour de cassation a cassé cet arrêt. L’escroc qui usurpe l’identité du créancier n’est pas un créancier apparent au sens de l’article 1342-3 du Code civil. Le paiement ne libère pas le débiteur, qui doit encore la facture au vrai fournisseur.

La banque, elle, a exécuté le virement sur l’IBAN reçu, et l’article L133-21 du Code monétaire et financier répute ce virement correctement exécuté. Il oblige toutefois la banque à s’efforcer de récupérer les fonds. L’article 5 quater écarte aussi sa responsabilité si elle a fourni la vérification du bénéficiaire dans les règles.

Si l’opérateur du prestataire a saisi un IBAN sans suivre la procédure, sa responsabilité dépend du contrat. La procédure signée et la clause limitative de responsabilité fixent ce que le client peut lui réclamer. Seules 30 % des entreprises sont assurées contre la fraude, selon Allianz Trade, qui vend ce type de garantie.

Relire les droits sur les IBAN avant le prochain lot de paiements

Avant le prochain lot, demandez à votre outil comptable deux listes : les utilisateurs autorisés à modifier un IBAN, et les RIB changés depuis 3 mois. Chaque changement sans compte rendu d’appel se vérifie avant de payer.

La répartition des autres tâches se fixe ensuite avec la matrice des 8 étapes de l’externalisation de la facturation.

Sources et références

Cet article s’appuie notamment sur le règlement (UE) 2024/886 sur les virements instantanés en euros, qui insère l’article 5 quater dans le règlement SEPA, sur le guide du CFONB consacré à la vérification du bénéficiaire, sur le rapport 2025 de l’Observatoire de la sécurité des moyens de paiement et sur l’arrêt de la chambre commerciale de la Cour de cassation du 17 juin 2026. Il repose aussi sur l’étude fraude 2026 d’Allianz Trade, sur l’analyse des fraudes au RIB publiée par La Banque Postale et sur la fiche de l’Institut national de la consommation sur la vérification du bénéficiaire.