Vérifier qu’une facture est authentique

Une facture est arrivée d’un fournisseur que vous ne reconnaissez pas, ou d’un que vous reconnaissez mais qui demande quelque chose de différent. Voici l’ordre à suivre et — tout aussi utile — l’endroit où s’arrête la part vérifiable.

La plupart des fausses factures sont interceptées par l’une des deux premières étapes. Presque aucune ne l’est en fixant le PDF plus intensément.

La vérification en dix points

Si vous voulez la version courte, la voici. Les points 1 à 3 attrapent presque tout ; les autres méritent une minute chacun sur une facture importante, inhabituelle ou différente de la précédente.

1. Y a-t-il une commande ? Rapprochez la facture d’un bon de commande, d’une livraison ou d’une personne qui confirme l’avoir demandée. Pas de commande, pas de paiement, quelle que soit la qualité des documents.
2. Les coordonnées bancaires ont-elles changé depuis la dernière fois ? Comparez avec la facture précédente, pas avec l’e-mail que vous avez sous les yeux.
3. Avez-vous appelé un numéro que vous aviez déjà ? Obligatoire pour tout changement de compte. Pas le numéro figurant sur la facture, ni celui de la signature.
4. Le numéro de TVA est-il immatriculé, et au nom de qui ? Un numéro immatriculé prouve que l’immatriculation existe, pas qu’elle appartient à l’expéditeur.
5. Le nom du registre correspond-il à celui de la facture ? Noms commerciaux et sociétés de groupe expliquent la plupart des écarts ; interrogez le fournisseur sur les autres.
6. L’IBAN passe-t-il sa clé de contrôle, et est-il émis là où vous l’attendez ? La clé détecte les fautes de frappe quasiment toujours et ne dit rien du titulaire.
7. Le domaine expéditeur authentifie-t-il son propre courrier, et quel âge a-t-il ? Un domaine enregistré il y a trois semaines n’a rien à voir avec un domaine de vingt ans.
8. Le nom ressemble-t-il à une inscription sur une liste de sanctions ? Une ressemblance invite à regarder sérieusement, ce n’est jamais une conclusion.
9. Les mentions obligatoires sont-elles présentes et les calculs justes ? Numéro de facture, date, nom et adresse du fournisseur, numéro de TVA, description, montant HT, taux et montant de TVA.
10. Le fournisseur est-il toujours en activité ? Une société en liquidation conserve un numéro de TVA et un compte bancaire fonctionnels, souvent pendant des mois.

Les points 4 à 8 sont ceux qu’un ordinateur fait mieux qu’un humain, et le vérificateur de factures les exécute tous les cinq d’un coup : déposez le PDF, le numéro de TVA, le compte bancaire et le domaine de messagerie en sont extraits dans votre navigateur — le fichier lui-même n’est jamais téléversé — puis vérifiés en une seule passe.

1. Quelqu’un a-t-il réellement commandé cela ?

Avant de vérifier que la société existe, vérifiez que l’achat existe. Rapprochez la facture d’un bon de commande, d’une livraison, ou d’une personne de votre organisation capable de dire « oui, je l’ai demandé ».

Cette seule étape intercepte la plus grande catégorie de fausses factures, qui n’ont rien de sophistiqué : des demandes plausibles pour des fournitures de bureau, des inscriptions en annuaire, des renouvellements de domaine ou des « enregistrements de conformité », envoyées en masse aux entreprises dans l’espoir que l’une soit payée sans que personne ne demande. Elles reposent entièrement sur le fait que personne ne vérifie s’il y a jamais eu une commande.

Les factures d’annuaire et d’enregistrement méritent une mention particulière. Elles sont souvent rédigées techniquement comme une offre plutôt qu’une facture — les petits caractères le disent — et conçues pour être confondues avec le renouvellement de quelque chose que vous avez déjà.

2. Est-ce un changement par rapport à d’habitude ?

Si vous avez déjà payé ce fournisseur, comparez avec la dernière facture :

• Même compte bancaire ?
• Même entité juridique et même numéro de TVA ?
• Même adresse d’expédition et même domaine ?
• Montant et conditions dans la fourchette habituelle ?

Un changement de coordonnées bancaires est le plus important, et il a son propre guide : un fournisseur demande à changer ses coordonnées bancaires.

3. Vérifiez les affirmations d’identité

Ce sont les éléments qu’un ordinateur peut vérifier, et vous pouvez tous les lancer en une fois sur la page d’accueil. Si la facture est devant vous au format PDF, le vérificateur de factures y lit le numéro de TVA, le compte bancaire et le domaine expéditeur dans votre navigateur et lance les mêmes vérifications : rien à ressaisir. Chacun répond à une question étroite :

• Numéro de TVA. Est-il actuellement immatriculé, et au nom de qui ? Un numéro valide prouve que l’immatriculation existe ; il ne prouve pas que l’expéditeur en est titulaire, car les numéros de TVA sont publics. Voir numéro de TVA valide, nom différent.
• IBAN. Est-il correctement formé et émis dans le pays attendu ? La clé de contrôle attrape les fautes de frappe pratiquement toujours. Elle ne dit rien du titulaire du compte — presque aucune source publique ne le peut. Voir le pays de l’IBAN diffère du pays de TVA.
• Contrôle des sanctions. Le nom ressemble-t-il à une entrée de la liste consolidée de l’UE ? Une similarité, pas une décision. Voir ce que signifie une correspondance possible.
• Domaine d’envoi. Authentifie-t-il son propre courrier, et quel âge a-t-il ? Un domaine enregistré il y a trois semaines qui ne publie aucune politique DMARC est une tout autre proposition qu’un domaine existant depuis dix ans. Voir aucune politique DMARC.

4. Lisez le document lui-même

Cela vaut un coup d’œil, mais c’est une preuve faible dans les deux sens — une contrefaçon compétente réussit tout cela, et de petites entreprises légitimes en ratent beaucoup.

• Mentions obligatoires. Une facture soumise à la TVA dans l’UE ou au Royaume-Uni doit porter un numéro de facture, une date, le nom, l’adresse et le numéro de TVA du fournisseur, une description, le montant HT, le taux et le montant de TVA. En manquer plusieurs sur une grosse facture justifie une question.
• L’arithmétique. La TVA est-elle réellement égale au taux annoncé appliqué au HT ?
• La cohérence. Le préfixe pays du numéro de TVA correspond-il à l’adresse ? La devise correspond-elle au pays ? Le numéro de facture est-il plausible par rapport aux précédents ?
• Le bloc des coordonnées bancaires. Cherchez des signes d’une modification séparée du reste — police, alignement ou espacement différents.

5. Décrochez le téléphone

Pour tout ce qui est important, et pour chaque changement de coordonnées bancaires, appelez le fournisseur sur un numéro que vous aviez déjà — d’une facture antérieure, de votre logiciel comptable, ou de son site web auquel vous avez accédé vous-même. Jamais le numéro figurant sur la facture ou dans l’e-mail.

C’est l’étape qui attrape la fraude qui passe tous les autres tests : un vrai fournisseur, un vrai numéro de TVA, un vrai domaine, une vraie facture, et le compte bancaire de quelqu’un d’autre.

Trois factures, et ce qui les a trahies

Toutes trois sont des compositions de schémas qui existent réellement, avec des données inventées. Ce qui compte, c’est la forme de chacune et l’étape ci-dessus qui l’attrape.

1. Le renouvellement qui n’a jamais été un abonnement

« Renouvellement d’inscription à l’annuaire — 987 EUR, payable sous 7 jours. » Adressée à l’entreprise sous sa dénomination sociale et son adresse exactes. Avec un numéro de référence d’allure authentique. En petits caractères en bas : ceci est une offre, pas une facture.

Ce qui était vrai : l’expéditeur existait et était assujetti à la TVA. Le nom et l’adresse étaient exacts parce que les deux sont publics. Rien n’était falsifié.

Ce qui l’a trahie : le point 1. Il n’y avait pas de commande. Toutes les vérifications d’identité la passent, parce que rien ne cloche dans l’identité de l’expéditeur — ce qui cloche, c’est l’hypothèse qu’un document arrivé au service comptable correspond à quelque chose que quelqu’un a acheté.

2. Le fournisseur authentique avec le compte d’un autre

Une vraie facture d’un fournisseur connu depuis deux ans, dans le même fil de discussion que les quatre précédentes, même numéro de commande, même mise en page, même signature. Un champ diffère de la facture précédente : l’IBAN. Le message d’accompagnement s’excuse du changement et évoque un audit.

Ce qui était vrai : presque tout. La boîte aux lettres avait été compromise des semaines plus tôt. Le domaine était authentique, donc SPF et DKIM passaient. Le numéro de TVA était authentique. L’IBAN était bien formé et correspondait à un compte réel, récemment ouvert.

Ce qui l’a trahie : les points 2 et 3, et rien d’autre n’aurait pu. C’est le cas autour duquel tout ce site est construit — voir un fournisseur demande de changer ses coordonnées bancaires.

3. La société qui avait cessé son activité

Une facture ordinaire de conseil, émise par une société dont le numéro de TVA se résout proprement dans VIES, dont le nom correspond exactement au registre et dont l’IBAN provient du même pays.

Ce qui était vrai : toutes les vérifications passaient, parce que toutes portaient sur l’immatriculation. La société était en liquidation depuis quatre mois. Le numéro de TVA était toujours actif — radiation et insolvabilité sont des procédures distinctes, aux calendriers distincts — et le compte toujours ouvert, désormais contrôlé par une procédure collective.

Ce qui l’a trahie : le point 10, c’est-à-dire le registre national plutôt que VIES. VIES répond si un numéro est immatriculé et rien d’autre ; le registre répond dans quel état se trouve la société. Voir ce qu’une société en liquidation signifie pour votre paiement.

Ce que rien de tout cela ne peut vous dire

Il vaut la peine d’être clair sur la limite, car les outils qui la brouillent sont la raison pour laquelle on finit par trop se fier à une coche verte :

• À qui appartient un compte bancaire. Non public dans l’UE ni au Royaume-Uni. La Pologne est la seule exception, et cette vérification l’utilise.
• Si les biens ou services ont été livrés. Seuls vos propres dossiers y répondent.
• Si la société est solvable, ou compte livrer. Une société immatriculée aux données irréprochables peut rester une mauvaise contrepartie.
• Si la personne qui vous écrit est bien celle qu’elle prétend être. L’authentification e-mail prouve qu’un message vient d’un domaine. Elle ne peut pas prouver qui était au clavier, ce qui est précisément pourquoi une boîte compromise la met en échec.

C’est aussi pourquoi l’outil de ce site renvoie un résultat indépendant par vérification et jamais un verdict unique « sûr à payer ». Chaque vérification répond honnêtement à sa propre question étroite. Les combiner en un seul chiffre laisserait entendre une garantie qu’aucune d’elles, ensemble ou séparément, ne peut donner.