La fraude au changement de coordonnées bancaires provoque chaque année des pertes de plusieurs millions de dirhams dans les entreprises marocaines. Un email bien rédigé, un faux ordre de changement de RIB, et le virement part vers un compte frauduleux. Pourtant, la vraie question n'est pas de sensibiliser les équipes (même si c'est important), mais de concevoir le contrôle applicatif qui rend cette fraude impossible à réaliser, sans paralyser les opérations.
Cet article s'adresse aux directeurs financiers, trésoriers et auditeurs internes qui doivent garantir qu'aucun paiement ne peut partir vers un compte bancaire qui n'a pas été validé formellement, tout en préservant la fluidité des cas légitimes (second compte, changement réel, mandat ponctuel).
La fraude au changement de coordonnées bancaires, vue depuis le système
La fraude typique suit ce scénario : un escroc envoie un email se faisant passer pour un fournisseur habituel, avec un nouveau RIB et une demande urgente de mise à jour. Le comptable fournisseurs reçoit la demande, modifie la fiche dans l'ERP, et le prochain virement part vers le compte frauduleux. L'entreprise découvre l'escroquerie deux semaines plus tard, quand le vrai fournisseur relance pour un impayé.
Du point de vue du système, le problème est simple : le RIB d'un fournisseur est une donnée sensible, qui détermine le bénéficiaire final de chaque virement. Modifier cette donnée sans contrôle équivaut à autoriser un paiement vers n'importe quel compte. Les conséquences dépassent la perte financière directe : responsabilité du DAF, rupture de confiance avec le fournisseur, audit interne, plainte pénale, communication de crise.
En 2025, une grande entreprise de distribution au Maroc a perdu 480 000 MAD en trois virements successifs vers un compte frauduleux. L'audit a révélé que les coordonnées avaient été modifiées cinq fois en deux mois, toujours par la même personne, sans aucune validation formelle. Le système permettait le changement sans restriction.
Rattacher un compte à une fiche fournisseur validée, une fois
Le premier principe du contrôle est le rattachement unique : chaque compte bancaire doit être attaché à une fiche fournisseur validée une seule fois, au moment de la création ou lors d'un changement formellement approuvé. Ce rattachement doit inclure une piste d'audit complète : qui a demandé le rattachement, qui l'a validé, quand, sur quelle base documentaire (RIB original, attestation bancaire, confirmation téléphonique).
Dans un ERP correctement paramétré, le RIB n'est pas un simple champ texte modifiable à tout moment. C'est une entité à part entière, avec son propre cycle de vie : en attente de validation, validé, suspendu, historisé. Chaque changement de statut génère une ligne dans la table d'audit. La création d'un nouveau RIB pour un fournisseur existant déclenche un workflow de validation, avec notification au trésorier ou au responsable achats.
Concrètement, cela signifie que la saisie d'un nouveau compte bancaire (IBAN, BIC, titulaire) dans la fiche fournisseur ne suffit pas. Le système crée une demande de rattachement, en statut « en attente de validation », et bloque tout paiement vers ce compte tant que la validation n'est pas obtenue. Le compte précédent reste actif jusqu'à approbation du nouveau.
Exemple de paramétrage technique pour un système ERP ou de gestion des achats : table supplier_bank_accounts avec colonnes account_id, supplier_id, iban, status (pending, validated, suspended), validated_by, validated_at, supporting_document_id. La contrainte applicative interdit tout enregistrement de paiement (payment table) dont le recipient_account_id pointe vers un compte en statut autre que validated.
Le verrou : interdire tout paiement vers un compte non rattaché
Le verrou applicatif est le deuxième principe : aucun virement ne peut être exécuté vers un compte bancaire qui n'est pas rattaché à une fiche fournisseur validée. Ce verrou doit être technique, pas procédural. Il ne suffit pas de demander aux comptables de vérifier le statut, le système doit refuser physiquement l'opération.
Dans la pratique, cela se traduit par une contrainte de clé étrangère ou une règle métier au niveau du moteur de paiement. Au moment de la création d'un ordre de virement, le système vérifie que le compte bénéficiaire figure bien dans la liste des comptes validés pour le fournisseur concerné. Si le compte est en statut « en attente » ou « suspendu », le paiement est rejeté automatiquement avec un message d'erreur explicite : « Compte bénéficiaire non validé, virement impossible ».
Ce verrou protège contre les deux vecteurs de fraude les plus courants : la modification directe du RIB dans la fiche fournisseur (le nouveau compte n'étant pas validé, aucun paiement ne passe), et la création d'un faux fournisseur avec un RIB frauduleux (la fiche doit être validée avant tout paiement, ce qui déclenche les contrôles habituels sur l'existence réelle du tiers).
Un système bien conçu offre aussi une visibilité en temps réel : un tableau de bord trésorerie affiche le nombre de comptes en attente de validation, avec ancienneté et montant des factures bloquées. Cela permet au DAF de piloter les validations sans ralentir les paiements.
Le vrai sujet : la procédure d'exception pour les cas légitimes
Le verrou strict crée une contrainte opérationnelle : comment traiter les changements de coordonnées légitimes, l'ajout d'un second compte pour un fournisseur qui diversifie ses banques, ou le paiement ponctuel vers un compte différent (mandat, sous-traitant) ?
La réponse est une procédure d'exception formalisée, qui définit trois éléments : qui peut demander l'exception, qui doit valider, et quelle preuve est exigée avant déblocage. Sans cette procédure, le verrou devient un obstacle que les équipes contournent (saisie d'un faux fournisseur, modification manuelle en base, désactivation temporaire du contrôle), et le risque revient par la porte de service.
Cas typiques nécessitant une exception :
- Second compte bancaire : le fournisseur ouvre un compte dans une nouvelle banque et demande à répartir les paiements. Preuve requise : attestation bancaire originale, signée et tamponnée, confirmant que le compte appartient au fournisseur.
- Changement de banque : le fournisseur ferme son ancien compte et transfère ses opérations. Preuve requise : notification écrite du fournisseur, accompagnée du nouveau RIB, plus un contre-appel au service comptable du fournisseur pour confirmer.
- Mandat ou sous-traitant : le fournisseur demande un paiement vers un tiers (facture de sous-traitance, règlement d'une dette). Preuve requise : lettre de mandat signée par le fournisseur, identifiant le bénéficiaire et le montant, plus validation écrite du donneur d'ordre interne.
Chaque exception doit suivre le même workflow : demande formelle avec pièces justificatives, validation par une personne différente de celle qui a reçu la demande (séparation des tâches), enregistrement dans le système avec référence aux documents, notification au trésorier. Le compte reste en attente de validation jusqu'à ce que toutes les preuves soient fournies.
Qui valide un changement, et pourquoi jamais celui qui l'a reçu
La séparation des tâches est le principe fondamental de tout contrôle anti-fraude. La personne qui reçoit une demande de changement de RIB ne doit jamais être celle qui valide le changement dans le système. Si c'est le cas, un simple email frauduleux suffit à contourner le contrôle.
Organisation recommandée pour une grande entreprise :
- Demandeur : comptable fournisseurs, acheteur, ou responsable administratif qui reçoit la demande de changement.
- Valideur niveau 1 : responsable achats ou contrôleur de gestion, qui vérifie la cohérence de la demande avec le dossier fournisseur (historique des paiements, contrats en cours, montants à venir).
- Valideur niveau 2 : trésorier ou DAF, qui valide le déblocage du nouveau compte après réception des preuves documentaires et du contre-appel.
Dans les entreprises de taille moyenne (50 à 200 salariés), où les rôles sont parfois cumulés, il est acceptable que le responsable achats soit à la fois demandeur et valideur niveau 1, à condition qu'un valideur niveau 2 indépendant (DAF ou auditeur interne) approuve tout changement avant activation.
Un système correctement paramétré ne permet pas à un utilisateur de valider une demande qu'il a lui-même créée. La matrice des habilitations dans l'ERP doit refléter cette séparation : profil « Demandeur » avec droit de saisie, profil « Valideur » avec droit d'approbation, et exclusion mutuelle des deux droits pour une même personne.
Contre-appel et preuve : ce que le système exige avant déblocage
Le contre-appel est la brique de sécurité finale avant validation d'un changement de coordonnées. Il consiste à appeler le fournisseur sur un numéro connu (celui enregistré dans la fiche fournisseur, pas celui figurant dans l'email reçu) et à confirmer la demande avec le service comptable ou le dirigeant.
Procédure de contre-appel structurée :
- Récupérer le numéro de téléphone dans le dossier fournisseur, ou sur le site web officiel de l'entreprise (section contact ou mentions légales), jamais dans l'email de demande.
- Appeler le service comptable du fournisseur et demander confirmation du changement de RIB. Noter le nom de l'interlocuteur et l'heure de l'appel.
- Demander l'envoi d'un RIB original par courrier postal ou par email depuis une adresse officielle du fournisseur (domaine vérifiable).
- Vérifier la cohérence entre le RIB reçu par contre-appel et celui fourni dans la demande initiale. Toute divergence entraîne un rejet immédiat.
- Enregistrer la trace du contre-appel dans le système : date, heure, interlocuteur, résultat de la vérification.
Le système doit exiger la saisie de ces informations avant de permettre la validation finale du compte. Un champ obligatoire « Référence contre-appel » dans le workflow de validation, avec date et nom de la personne jointe chez le fournisseur, garantit que l'étape n'est pas sautée.
Exemple de pièces justificatives acceptables pour un changement de RIB :
- Attestation bancaire originale : document officiel de la banque du fournisseur, confirmant le titulaire du compte et l'IBAN. Doit porter cachet et signature de la banque.
- Extrait Kbis ou certificat d'immatriculation (pour les nouveaux fournisseurs) : permet de vérifier l'existence légale de l'entreprise et de croiser avec les informations du RIB.
- Copie d'un chèque annulé : certaines entreprises fournissent un chèque barré portant la mention « annulé », avec RIB imprimé, comme preuve de compte.
- Courrier signé par le représentant légal : pour les changements de banque, une lettre signée par le gérant ou le directeur général, accompagnée du nouveau RIB, constitue une preuve acceptable.
Chaque pièce doit être numérisée et archivée dans le dossier électronique du fournisseur. La politique d'archivage doit prévoir une durée de conservation minimale de cinq ans (délai de prescription pénale pour l'escroquerie au Maroc).
La piste d'audit d'un changement de coordonnées bancaires
L'audit interne ou l'expert-comptable doit pouvoir reconstituer l'historique complet d'un changement de RIB à partir du système. Cette piste d'audit doit inclure :
- Date de la demande : quand le changement a été saisi dans le système.
- Auteur de la demande : nom de l'utilisateur qui a créé la demande de rattachement du nouveau compte.
- Valideurs successifs : liste des personnes qui ont approuvé la demande, avec date et heure de chaque validation.
- Documents justificatifs : référence aux fichiers numérisés (RIB, attestation, lettre de mandat).
- Contre-appel : trace écrite de la vérification téléphonique (date, interlocuteur, résultat).
- Ancien et nouveau compte : IBAN précédent et IBAN actuel, avec date de bascule.
- Premier paiement vers le nouveau compte : date et montant du premier virement exécuté après validation.
Cette piste doit être conservée dans une table d'audit horodatée, non modifiable par les utilisateurs de l'ERP. Chaque ligne enregistre un événement (création, validation niveau 1, validation niveau 2, activation, suspension), avec utilisateur et timestamp. En cas de fraude, l'auditeur peut retracer le parcours complet de la demande frauduleuse et identifier le point de défaillance (absence de contre-appel, validation par la même personne, pièce justificative manquante).
Un rapport d'audit standard pourrait lister tous les changements de RIB sur les douze derniers mois, avec un indicateur de conformité pour chaque cas : vert si toutes les preuves sont présentes, orange si une pièce manque, rouge si la validation a été faite par le demandeur ou si aucun contre-appel n'est enregistré. Ce rapport permet au DAF de piloter la conformité du processus et d'identifier les dérives avant qu'elles ne causent une perte.
Cinq questions à poser à un éditeur sur ce point précis
Si vous envisagez de déployer un ERP ou une solution de gestion des achats, voici les cinq questions à poser à l'éditeur pour évaluer la robustesse du contrôle des coordonnées bancaires :
1. Le système permet-il de bloquer un paiement vers un compte bancaire qui n'est pas validé ?
Attendu : oui, par une règle métier obligatoire et non désactivable. Le système doit refuser techniquement tout virement vers un compte en statut « en attente » ou « suspendu ».
2. Peut-on configurer un workflow de validation avec séparation des tâches ?
Attendu : oui, avec au moins deux niveaux de validation distincts, et interdiction pour un utilisateur de valider une demande qu'il a créée lui-même. La matrice des habilitations doit permettre cette séparation.
3. Le système conserve-t-il une piste d'audit complète des changements de RIB ?
Attendu : oui, dans une table horodatée et non modifiable, avec enregistrement de chaque événement (demande, validation, activation). Export possible pour analyse externe.
4. Peut-on attacher des pièces justificatives numérisées à chaque demande de changement ?
Attendu : oui, avec possibilité de rendre certains types de documents obligatoires avant validation (RIB, attestation bancaire, lettre de mandat). Les fichiers doivent être archivés dans le dossier fournisseur.
5. Le système offre-t-il un tableau de bord des comptes en attente de validation ?
Attendu : oui, avec visibilité en temps réel du nombre de demandes en cours, ancienneté, montant des factures bloquées, et possibilité de filtrer par fournisseur ou par demandeur.
Si l'éditeur répond non à l'une de ces questions, demandez à voir le plan de développement ou envisagez une solution alternative. Un ERP qui ne contrôle pas les coordonnées bancaires des tiers expose l'entreprise à un risque financier et pénal majeur.
Pour aller plus loin, vous pouvez consulter nos services de conseil digital ou explorer nos solutions d'intégration de systèmes au Maroc, qui incluent l'audit de vos processus de contrôle interne et la configuration de workflows adaptés à votre organisation.
FAQ
Comment détecter qu'une demande de changement de RIB est frauduleuse ?
Plusieurs signaux d'alerte : demande urgente sans explication, email provenant d'une adresse légèrement différente de celle habituelle (faute de frappe dans le domaine), RIB vers une banque étrangère alors que le fournisseur est local, absence de réponse au contre-appel sur le numéro connu, incohérence entre le nom du titulaire du compte et la raison sociale du fournisseur. En cas de doute, suspendez la demande et demandez une confirmation écrite du représentant légal du fournisseur, envoyée depuis une adresse officielle.
Que faire si le fournisseur refuse de fournir une attestation bancaire pour un changement de RIB ?
Un fournisseur légitime accepte toujours de fournir une attestation bancaire ou une pièce justificative équivalente. Si le refus persiste, proposez une alternative : envoi du RIB par courrier postal avec signature du gérant, ou contre-appel avec confirmation écrite envoyée depuis l'adresse email officielle. Si aucune de ces solutions n'est acceptée, maintenez les paiements sur l'ancien compte jusqu'à régularisation, en expliquant que votre politique de contrôle interne l'exige.
Peut-on automatiser le contre-appel pour gagner du temps sur les changements de RIB ?
Non, le contre-appel doit rester manuel. Les systèmes automatisés de vérification téléphonique (IVR, reconnaissance vocale) sont facilement contournables par un fraudeur qui a accès au numéro du fournisseur. Le contre-appel humain permet de poser des questions ouvertes (montant de la dernière facture, nom du responsable achats chez vous, référence du dernier contrat signé) pour confirmer que l'interlocuteur est bien un membre de l'entreprise fournisseur. Cette étape manuelle prend cinq minutes et prévient des pertes de plusieurs centaines de milliers de dirhams.
Combien de temps faut-il conserver les pièces justificatives d'un changement de RIB ?
Au Maroc, la prescription pénale pour l'escroquerie est de cinq ans à compter de la découverte des faits. Il est donc recommandé de conserver les pièces justificatives (RIB, attestation bancaire, trace du contre-appel, courrier du fournisseur) pendant au moins cinq ans après le changement de coordonnées. Pour les besoins de l'audit comptable et fiscal, une durée de dix ans est préférable, alignée sur la conservation des pièces comptables.
Que faire si un virement frauduleux est déjà parti vers un compte non validé ?
Agir immédiatement : contacter la banque émettrice pour tenter un rappel de fonds (efficace seulement dans les premières heures), déposer plainte auprès de la Brigade Nationale de la Police Judiciaire (BNPJ) ou la gendarmerie, informer le vrai fournisseur pour qu'il confirme la fraude par écrit, geler le compte frauduleux via une demande judiciaire si le compte est au Maroc, et lancer un audit interne pour identifier comment le contrôle a été contourné. Informer aussi votre assureur si vous disposez d'une couverture cyber-risques ou fraude informatique.