Le pays de l’IBAN diffère du pays de TVA

Si une vérification a signalé que le numéro de TVA est immatriculé dans un pays et l’IBAN émis dans un autre, la première chose à savoir est que c’est fréquent et parfaitement légal. La seconde est que cela mérite trente secondes d’attention.

Pourquoi ce n’est généralement rien

Au sein de la zone SEPA, un paiement en euros vers un compte d’un autre État membre coûte le même prix et prend le même temps qu’un paiement national. Une entreprise n’a aucune raison de détenir un compte dans chaque pays depuis lequel elle facture, et beaucoup de raisons de ne pas le faire. Les explications ordinaires incluent :

• La trésorerie de groupe. Une filiale facture sous son immatriculation locale à la TVA tandis que le groupe encaisse de façon centralisée, souvent aux Pays-Bas, en Irlande ou au Luxembourg.
• Les prestataires de paiement. Wise, Revolut, Stripe, Mollie et Airwallex émettent des comptes là où ils sont agréés, pas là où se trouve le client. Un IBAN belge ou lituanien sur une facture venant de n’importe où en Europe signifie généralement cela.
• L’affacturage. Le fournisseur a cédé la créance, et la facture dirige légitimement le paiement vers le compte de la société d’affacturage, souvent à l’étranger.
• L’entreprise a réellement changé de banque sans le mentionner, parce que de son côté cela n’a rien de remarquable.

Rien de tout cela n’est un signal d’alerte, et c’est exactement pourquoi cet outil ne présente pas la différence comme tel. Une vérification qui signalerait chaque IBAN transfrontalier se déclencherait sur une large part des factures européennes honnêtes, et un avertissement le plus souvent injustifié est un avertissement que l’on apprend à ignorer.

Pourquoi cela mérite quand même un coup d’œil

La fraude pour laquelle cela compte n’est pas une société fictive. C’est un vrai fournisseur, que vous avez déjà payé, dont le compte e-mail a été compromis — et la seule chose qui a changé sur la facture est le compte bancaire. Son numéro de TVA est toujours valide. Son domaine passe toujours toutes les vérifications d’authentification. Rien de ce que regarde un vérificateur à usage unique n’a changé, parce que rien n’a changé chez le fournisseur.

Ce qui a changé, c’est la relation entre deux faits : qui ils sont, et où va désormais l’argent. C’est cette différence que signale cette vérification, et c’est la raison pour laquelle l’outil effectue les contrôles de registre et bancaires ensemble plutôt qu’un par un.

La question à poser

Vous n’avez besoin d’interroger personne. Lors de l’appel que vous passez de toute façon pour confirmer les coordonnées bancaires — sur un numéro figurant sur une facture antérieure ou dans vos propres dossiers, jamais celui de l’e-mail devant vous — demandez :

« Votre compte bancaire a-t-il changé depuis la dernière facture ? »

Si la réponse est non et que l’IBAN devant vous n’est pas celui que vous avez payé la dernière fois, arrêtez-vous et faites remonter. Si la réponse est oui, demandez-leur d’énoncer à voix haute le pays du compte et les quatre derniers chiffres, et comparez avec ce que vous avez.

Ce que cela ne vous dit pas

Un pays concordant n’est pas rassurant. Un attaquant qui veut que le virement paraisse correct peut ouvrir un compte dans le pays même du fournisseur, et beaucoup le font. Des pays concordants signifient qu’une bizarrerie précise est absente, rien de plus.

De même, cette comparaison ne s’exécute que si le numéro de TVA a été confirmé par le registre et que l’IBAN a passé sa clé de contrôle. Si l’un des deux manquait, était indisponible ou invalide, la vérification n’a rien à comparer et ne dit rien du tout — plutôt que de deviner.