Signaux de fraude fournisseur qu'un audit doit repérer

Selon l'ACFE (Association of Certified Fraud Examiners), les organisations perdent en moyenne 5 % de leur chiffre d'affaires à la fraude chaque année, et un schéma de fraude reste indétecté en moyenne 12 mois avant d'être découvert. Ce n'est pas un problème de vigilance individuelle — c'est un problème de volume : un fournisseur habituel qui change discrètement d'IBAN, une facture qui revient sous un numéro légèrement différent, personne ne les mémorise tous, encore moins sur un exercice entier.

Pourquoi une revue manuelle échantillonnée rate ces signaux

Un examinateur, même rigoureux, échantillonne. Sous un volume réel, personne ne relit chaque facture d'un fournisseur de confiance — et c'est exactement la confiance que la fraude est construite pour exploiter. Un audit systématique applique chaque contrôle sur chaque document du lot, pas sur un pourcentage de celui-ci, ce qui est la raison structurelle pour laquelle il détecte des schémas qu'une revue échantillonnée ne peut pas voir : la facture frauduleuse qui « paraît normale » isolément se révèle très différente à côté des onze autres factures du même fournisseur.

Les signaux qu'un audit à 55 contrôles vérifie systématiquement

Le doublon de facturation

Deux factures du même fournisseur, même montant HT à quelques pourcents près, dans une fenêtre de quelques mois — parfois sous un numéro légèrement modifié (INV-2024-0891 contre INV-2024-891), en pariant que personne ne s'en souvient d'un exercice sur l'autre.

Le changement d'IBAN en cours d'exercice

Un fournisseur habituel dont les coordonnées bancaires changent sans justification claire est un signal qu'une revue ponctuelle, faite après coup, peut confirmer sur l'ensemble de la période — pas seulement sur la dernière facture reçue.

L'écart de cohérence TVA

Un taux de TVA qui ne correspond pas à la nature de la prestation décrite, ou un avoir émis sans correction de la TVA collectée — un signal de contrôle interne défaillant, pas nécessairement une fraude, mais un point qui mérite vérification.

Le fournisseur qui n'existe pas

Une facture provenant d'une société dont le SIRET ne correspond à aucun format valide, ou dont l'existence même n'est pas vérifiable, est un signal d'alarme majeur qu'un contrôle systématique repère sur chaque pièce du lot.

L'anomalie statistique sur la population de montants

Au-delà des signaux document par document, un contrôle sur l'ensemble de la population peut faire remonter une anomalie qu'aucune facture isolée ne révèle : la loi de Benford, décrite par l'ACFE elle-même (« Using Benford's Law to Detect Fraud », publication n° 02-5410) comme un outil reconnu de détection de fraude, prédit la distribution attendue des premiers chiffres dans un ensemble naturel de montants. Un lot de factures dont la distribution s'écarte nettement de cette attente — trop de montants commençant par un chiffre donné, par exemple — est un signal statistique, pas une preuve, mais un signal qu'aucune lecture facture par facture ne peut produire : il n'existe qu'à l'échelle de la population entière, ce qui exige justement le volume minimal (plusieurs centaines de pièces) qu'un audit ponctuel sur tout un exercice réunit.

Exemple concret : ce que la confiance masque

Imaginons un fournisseur qui facture une entreprise chaque mois depuis trois ans — trente-six factures, toutes réglées sans friction. La trente-septième facture arrive avec un IBAN légèrement différent : les huit premiers chiffres identiques, les quatre derniers changés. Pour un service comptable qui traite ce fournisseur comme acquis depuis longtemps, cette facture ne se distingue en rien des trente-six précédentes — c'est précisément le mécanisme que la fraude par usurpation de fournisseur exploite. Un contrôle systématique, lui, ne traite jamais un fournisseur comme "acquis" : il compare chaque nouvelle pièce à l'historique complet du fournisseur, IBAN inclus, sur les trente-six occurrences précédentes, pas seulement sur la dernière facture reçue.

Le cas particulier du rapprochement fournisseur/employé

Un signal plus délicat à vérifier concerne les factures dont le fournisseur partage des coordonnées bancaires avec un salarié de l'entreprise — un schéma classique de facturation fictive, où un employé se fait payer via une société-écran qu'il contrôle. Ce type de rapprochement ne se fait jamais sur des données personnelles en clair : la comparaison s'appuie sur des empreintes cryptographiques (hashs salés) des coordonnées bancaires, jamais sur l'IBAN ou le nom en clair, et le constat qui en résulte désigne toujours « cette transaction » à vérifier, jamais une personne nommément. C'est un contrôle qui ne se déclenche qu'avec un consentement explicite préalable, précisément parce qu'il touche à des données sensibles au sens du RGPD — il n'est jamais activé par défaut sur un lot.

Ce qu'un audit signale — et ce qu'il ne prétend pas faire

Un audit documentaire signale des indices nécessitant investigation — il ne rend jamais un verdict de fraude avérée. La distinction entre une erreur de saisie et une intention frauduleuse reste un jugement humain ; le rôle du contrôle est de garantir que le signal remonte systématiquement, sur l'ensemble du lot, sans dépendre de la mémoire ou de l'attention d'un relecteur un jour donné.

Pour aller plus loin

• Doublons de paiement : les contrôles qui les arrêtent avant que le virement parte
• Dans les coulisses d'un audit à 55 contrôles : ce qui est vérifié, et sur quel fondement légal

Questions fréquentes

Un audit ponctuel peut-il affirmer qu'une fraude a eu lieu ?

Non — et ce n'est volontairement pas sa fonction. Il signale des indices nécessitant investigation (doublon, changement d'IBAN, incohérence), avec la pièce justificative associée. La qualification (erreur ou fraude) reste un jugement humain, appuyé sur des éléments que l'audit a mis en évidence plutôt que laissés dans le volume.

Pourquoi un audit systématique détecte-t-il plus de signaux qu'une revue humaine sur le même lot ?

Parce qu'il applique chaque contrôle à chaque document, sans fatigue ni échantillonnage — une revue humaine sur un gros volume choisit nécessairement où porter son attention, ce qui laisse structurellement passer les schémas qui ne ressortent qu'en comparant l'ensemble des pièces d'un même fournisseur.

Ces contrôles fonctionnent-ils dès la première facture d'un nouveau fournisseur ?

Les contrôles de cohérence (TVA, format, mentions obligatoires) s'appliquent dès la première pièce. Les contrôles fondés sur l'historique (changement d'IBAN, écart par rapport aux montants habituels) montent en puissance à mesure que l'historique du fournisseur se construit sur la période auditée.