Un comptable ouvre une facture, compare le RIB à celui du dernier paiement, hésite une seconde, puis valide. C’est lent, parfois redondant, mais ça marche. Ce doute d’une seconde est la première ligne de défense contre la fraude au virement. Mais la facturation électronique s’apprête à la supprimer.

A partir de septembre 2026, chaque facture B2B transitera par une plateforme agréée, au format structuré, contrôlée par des schémas de validation stricts. Tout semblera plus fiable. Pourtant, un champ continuera d’échapper à ces contrôles : l’IBAN.

 

Trois formats, trois publics cibles

Pour rappel, la réforme autorise plusieurs formats de facture électronique, chacun pensé pour un profil d’entreprise différent.

Le premier format est la Factur-X. Ce format combine un PDF lisible par un humain et un fichier XML (Extensible Markup Language) intégré au même document. C’est le format hybride par excellence : il rassure les petites entreprises encore attachées à une lecture visuelle de leurs factures, tout en permettant l’automatisation côté ERP. Il vise en priorité les PME, les TPE et les entreprises peu informatisées.

Le second format est l’UBL (Universal Business Language). C’est un format structuré, sans habillage PDF, fait pour les échanges automatisés à grande échelle. Il s’adresse aux ETI et aux grands groupes internationaux, dont les systèmes d’information dialoguent directement entre eux.

Le troisième format est le CII (Cross Industry Invoice). C’est également un format 100% structuré, plutôt utilisé par les grandes entreprises et dans le commerce international, notamment via les plateformes de dématérialisation partenaires (PDP).

Ces trois formats partagent une même architecture : un ensemble de champs normalisés, l’identité du vendeur, le montant, la TVA et les coordonnées de paiement.

 

Dans le format XML d’une facture Factur-X, deux informations cohabitent dans la même structure de données : le SIRET du vendeur et son compte de paiement, c’est-à-dire l’IBAN à utiliser pour le virement. Ce champ BT-84 fait d’ailleurs partie des champs les plus souvent oubliés ou mal renseignés lors du passage d’un ERP au format XML.

C’est là que se joue tout l’enjeu : le SIRET et l’IBAN sont contenus dans le même document, structurés de la même façon, mais ils ne sont pas contrôlés avec la même rigueur.

 

Ce que la réforme vérifie et ce qu’elle laisse passer

Le parcours de validation d’une facture électronique est bien rigoureux. La plateforme agréée contrôle la conformité du XML selon les règles EN16931, vérifie le SIRET dans le répertoire SIRENE et s’assure du bon acheminement de la facture jusqu’à son destinataire. Ces vérifications portent sur la structure du document et l’identité déclarée des parties.

Le champ BT-84, lui, ne bénéficie que d’un contrôle de forme : la plateforme vérifie qu’un IBAN est présent, qu’il respecte le bon format, qu’il est placé au bon endroit dans le fichier XML. Elle ne vérifie jamais s’il s’agit réellement du compte du fournisseur. Un IBAN frauduleux, parfaitement bien formé, passe tous les contrôles automatiques sans déclencher la moindre alerte.

 

C’est précisément cette faille que l’automatisation transforme en porte d’entrée. En supprimant la relecture humaine du RIB, elle retire le seul filtre capable de repérer une incohérence que la machine, elle, ne verra jamais. Les schémas de fraude au RIB reposent presque tous sur la même mécanique : un fraudeur intercepte une facture réelle, en modifie les coordonnées bancaires et la retransmet à son destinataire habituel. Deux scénarios reviennent le plus souvent :

  • Le faux ordre de virement : l’escroc se fait passer pour un dirigeant ou un cadre de l’entreprise et demande directement au service comptable d’exécuter un virement vers un compte qu’il désigne,
  • Le faux technicien : le fraudeur se présente comme un prestataire informatique annonçant une migration ou un incident sur l’outil de gestion des virements. Il profite de la prise en main à distance pour modifier discrètement un RIB fournisseur.

Dans les deux cas, la facture elle-même reste authentique. Seul le bénéficiaire du paiement a changé. C’est exactement ce type de situation qu’un contrôle de conformité Factur-X ne détecte pas.

 

Ce que les entreprises doivent mettre en place elles-mêmes

La conformité Factur-X n’a jamais eu vocation à sécuriser les paiements : elle sécurise le flux fiscal et documentaire. La vérification du bénéficiaire reste et restera un sujet à part entière, que la réforme ne prend pas en charge.

Deux réflexes doivent donc être intégrés en amont du paiement, indépendamment de toute conformité réglementaire :

  • Vérifier l’IBAN et le bénéficiaire avant tout virement, en particulier lors d’un changement de coordonnées bancaires signalé par un fournisseur.

Cette vérification gagne à être automatisée grâce à une API de vérification IBAN. Intégrée à l’ERP ou au CRM, elle contrôle en temps réel la structure des 27 caractères dès la saisie, avant l’ordre de paiement. Aussi, elle valide la forme de l’IBAN, un contrôle utile, mais qui ne remplace pas la vérification du bénéficiaire.

  • Structurer un processus de KYB (Know Your Business)

Cette recommandation concerne les tiers fournisseurs et elle implique de vérifier le SIREN, l’immatriculation au RCS, le statut juridique et l’identité des dirigeants. Ce travail suppose de collecter, contrôler et rapprocher des données issues de multiples sources documentaires et systèmes internes. Le sujet ne se limite donc pas à une vérification ponctuelle, mais engage une gestion continue des données. Ce processus permet de détecter une anomalie avant qu’elle ne se transforme en virement irréversible.

 

La facturation électronique va indéniablement fiabiliser la structure des échanges B2B. Mais elle ne remplace pas la vérification de la seule information qui compte vraiment au moment de payer : celle du bénéficiaire du paiement. Les entreprises qui l’auront compris seront aussi celles qui auront transformé une contrainte réglementaire en réflexe de sécurité.