Au cours du siècle dernier, les livres de comptes sont devenus extrêmement complexes, soutenus par la technologie, la mondialisation et un cadre juridique sophistiqué. Plus la complexité a augmenté, plus les opportunités pour les employés malhonnêtes de détourner de l’argent ont grandi. Les professionnels de la comptabilité et les organismes de réglementation y ont répondu en développant des contrôles internes, qui sont devenus essentiels au bon fonctionnement des entreprises dès les années 60, et maintenant plus que jamais. 

Au cours des 15 dernières années, les menaces externes se sont très fortement développées. L’augmentation de la sophistication criminelle, l’importance croissante de la technologie dans les entreprises et la transition vers des paiements électroniques rapides ont tous contribué au développement mondial de l’arnaque, des rançons et du vol contre les entreprises.

L'appel venait de l'intérieur

La façon la plus efficace de prévenir ces nouvelles menaces externes est de renforcer la gouvernance de vos collaborateurs car, croyez-moi, votre plus grand risque vient de « l’intérieur de la maison ». 

« Vous me dites que mes employés ne sont pas dignes de confiance ? »

Non – pas toujours, et pas volontairement.

Autrefois, le risque de fraude aux paiements résultait surtout d’une combinaison d’opportunités, de besoins et d’accès pour les employés. Un salarié qui a accès aux fonds de l’entreprise peut être tenté d’en profiter, surtout si cela résout un gros problème personnel. Il finit par frauder l’entreprise et, s’il ne se fait pas prendre, cela devient souvent une habitude dont il ne se défait plus.

L’augmentation de la fraude externe ajoute une autre dimension : la vulnérabilité de vos équipes de bonne foi à la manipulation. Le « hacking » n’est pas de la sorcellerie technologique capable de faire apparaître magiquement de l’argent sur un compte ; cela donne simplement à un fraudeur malveillant un accès en trompant des personnes ou des systèmes.

Même si vous pouvez former vos collaborateurs à être plus sensibles aux attaques, renforcer le contrôle financier sur leur travail et leurs systèmes reste l’un des meilleurs moyens de prévenir la fraude, quelle qu’en soit l’origine.

Stratégies générales

À mesure que les tendances de fraude évoluent, les contrôles traditionnels et internes se sont rassemblés autour de trois grandes stratégies pour lutter contre la fraude aux paiements.

Comme tout investissement, commencez toujours par une bonne gestion des risques : Quelles sont les menaces les plus probables et les plus dommageables pour votre entreprise ?

1. Réduire les points de défaillance uniques

Il s’agit de la version « ingénierie » de notre bon vieil ami, la séparation des tâches (SoD), en étendant le principe au-delà des personnes pour inclure les systèmes et les outils. Prenons le cas classique de la SoD : si un employé peut à la fois effectuer des paiements et modifier les écritures du grand livre, cela représente un risque majeur : il est un point de défaillance unique pour la fraude aux paiements. Après tout, il suffit qu’une seule chose échoue (lui et son éthique) pour qu’une fraude réussisse.

Avec les menaces actuelles, tout ce qui peut les imiter est aussi un point unique de défaillance : son mot de passe, son ordinateur portable ou même la prise de contrôle de sa boîte mail.

Pour éliminer ces points de défaillance, partagez-les entre plusieurs membres de l’équipe et ajoutez des étapes dans les processus.

Ce principe va loin. Vous trouverez plus loin dans cet article des exemples concrets de points de défaillance courants et comment y remédier.

2. Réduire l’exposition

Il y a deux grands axes pour réduire votre exposition à la fraude aux paiements : cibler la source et limiter l’impact potentiel. 

Travailler à la source des menaces consiste à diminuer la probabilité qu’elles surviennent ; limiter l’impact, c’est réduire les pertes potentielles si elles se produisent. 

Considérez deux exemples classiques dans le contrôle de la fraude : les plafonds d’approbation réduisent la perte potentielle due à des dépenses frauduleuses (impact), et le principe du moindre privilège réduit la probabilité de la fraude en limitant le nombre de personnes pouvant l’initier (sources).

Le secteur de la cybersécurité possède une idée similaire appelée surface d’attaque, souvent utilisée pour décrire les systèmes. C’est une combinaison entre le degré de vulnérabilité d’un système et le nombre d’éléments pouvant s’y connecter et donc l’attaquer. Les équipes cybersécurité ont généralement la meilleure connaissance des méthodes classiques d’attaque de systèmes ; leur défi principal est souvent de relier cette notion à des pertes financières réelles. Des avancées à ce sujet se sont accélérées lors de la dernière décennie.

D’après mon expérience, la mise en œuvre de cette stratégie constitue souvent l’opportunité la plus facile à saisir pour la plupart des organisations pour améliorer leur sécurité. La plupart des escroqueries nécessitent au moins cinq étapes, et les fraudeurs doivent réussir chacune d’entre elles pour atteindre leur but ; pour les contrecarrer, il suffit de les stopper à l’une ou l’autre étape. Pour chaque étape envisageable dans un scénario de fraude, réfléchissez à comment réduire les sources et l’impact. Habituellement, il existe plusieurs opportunités à toutes les étapes du processus qui sont gratuites (ou presque).

La réussite de cette stratégie requiert de la rigueur (pour découvrir et documenter les processus) et de la créativité (pour imaginer des solutions). L’exercice s’adapte parfaitement à un atelier d’équipe encadré et débouche souvent sur des gains d’efficacité.

3. Créer des alertes actionnables

Intégrer des alertes et des indicateurs dans les processus et systèmes peut stopper la fraude avant qu’il ne soit trop tard. En un sens, c’est le plus vieux conseil du monde : la comptabilité en partie double, le rapprochement à trois voies, et la plupart des normes GAAP reposent sur des mécanismes d’enregistrement indépendants pour révéler les problèmes. 

Cette approche a entraîné des transformations monumentales dans de nombreux autres secteurs au siècle dernier – de la révolution manufacturière de Toyota à la gestion de produit moderne – avec les entreprises technologiques en première ligne, prônant cette méthode ces 15 dernières années. Selon mon expérience et les retours de leaders d’opinion en finance, ce n’est que le début d’une adoption massive. Ces cinq dernières années, de nombreuses PME ont adopté le pilotage par les indicateurs, confiant généralement cette transformation au CFO. Chanceux, n’est-ce pas ?

Mais prenez garde : il existe un revers aux indicateurs, tableaux de bord et alertes. De nos jours, les données sont partout. Les KPI, SLA et autres statuts sont pré-construits, prêts à l’emploi, sur de jolis tableaux de bord. Mais si un indicateur ou une alerte ne débouche pas sur une action concrète (ou pire, conduit à la mauvaise décision), cela peut être pire que de ne rien avoir.

Cela arrive de deux façons. Tout d’abord, si les fausses alertes sont trop nombreuses, les équipes deviennent insensibles et les ignorent.

Ensuite, certains choisissent des indicateurs qui ne mènent à aucune action concrète. On les appelle souvent des indicateurs de vanité et, dans le pire des cas, ils donnent une fausse impression de sécurité et détournent l’attention des véritables problèmes. Comme diraient les avocats…

Lors de la création d’alertes, sélectionnez des événements susceptibles de révéler un véritable problème. Une règle simple consiste à ne suivre que les indicateurs et à ne lancer d’alerte que si toutes les parties prenantes jugent que le risque vaut l’effort d’y consacrer du temps. 

Rejoignez notre communauté

Rejoignez le collectif de CFO tech le plus innovant d'Amérique du Nord.

Sign up with:

LinkedInGoogleMicrosoft

Or sign up with email:

Name*

First name Last name

Seniority*

Select an optionExecutive / C-suiteVPDirectorManagerIndividual ContributorOther

Business email*

Create Password*

This field is hidden when viewing the form

Free Account Module

Bottom BarLanding PageFooterInlinePop UpSidebarSSO

This field is hidden when viewing the form

Company's AI adoption maturity

Select an optionExploring opportunitiesRunning pilotsScaling adoptionEmbedded in the business model

This field is hidden when viewing the form

LinkedIn profile

By submitting this form, you agree to receive our newsletter, and occasional emails related to The CFO Club. You can unsubscribe at any time. For more details, please review our Privacy Policy.

Tactiques pour prévenir la fraude au paiement

Bien que les contrôles internes conventionnels, éprouvés, soient toujours extrêmement utiles, certains peuvent s’avérer prohibitifs pour toutes les entreprises sauf les plus grandes. J’ai trouvé les mécanismes suivants particulièrement efficaces pour stopper la fraude moderne dans les petites structures, souvent avec étonnamment peu d’efforts. Ces contrôles sont classés de façon approximative, mais leur valeur et effort requis varient fortement selon les sociétés. 

1. Segmentez les comptes

Stratégie : réduire l’exposition

C’est un incontournable, mais il reste sous-exploité dans les entreprises en croissance. Isoler les comptes bancaires réservés aux paiements permet d’éviter des pertes graves. Conservez un compte dédié pour les paiements exceptionnels, un autre pour les charges mensuelles prévisibles et un compte de trésorerie pour le reste des fonds. 

Maintenez un solde réduit sur le compte prévisible, approvisionnez manuellement le compte pour paiements exceptionnels, et ne payez jamais rien depuis le compte de trésorerie. Toute fraude affectant l’un des comptes fournisseurs entraînera une perte mineure, voire un échec total de la tentative.

Ce contrôle peut être facilement mis en œuvre via des plateformes d’automatisation des comptes fournisseurs.

2. Inscription auprès d’agences de crédit professionnel

Stratégie : Réduire l’exposition

Celle-ci est simple et concerne un autre type de fraude : l’usurpation d’identité de votre entreprise. Un faux crédit peut être contracté au nom de votre entreprise et le nettoyage peut s’avérer fastidieux. S’enregistrer en premier auprès des agences d’évaluation de crédit professionnel peut rendre la tâche beaucoup plus difficile aux criminels qui souhaiteraient agir de la sorte.

3. Quittez l’email

Stratégie : Réduisez les points de défaillance uniques

L’e-mail facilite une quantité immense de fraudes et de délits. Cela n’a rien d’étonnant, car beaucoup d’organisations font presque tout par ce biais. Si c’est le cas dans votre entreprise, l’e-mail constitue probablement un point de défaillance unique : si un fraudeur accède à vos messages, il peut causer énormément de dégâts tout en effaçant ses traces.

La solution est simple : utilisez uniquement des systèmes dédiés pour effectuer des activités à haut risque.  

4. Authentification unique et authentification multifacteur

Stratégie : Réduisez les points de défaillance uniques

Celle-ci est un peu plus technique, mais elle en vaut la peine. La meilleure façon de gérer les mots de passe, la fédération, élimine de nombreux points de défaillance uniques pour l’usurpation d’identité sur vos systèmes. L’idéal est de mettre en place un système centralisé et moderne agissant comme fournisseur d’identité pour votre personnel ; vous indiquerez alors à chaque système utilisé de lui faire confiance. Les employés se connectent au fournisseur d’identité, puis tout le reste se connecte automatiquement. 

Comme mentionné, c’est technique, donc votre équipe informatique devra créer les connexions.

Les mots de passe sont un point de défaillance courant, donc exiger une authentification multifacteur (MFA) robuste élimine ce problème. Tout fournisseur de fédération sérieux vous conseillera également de l’exiger fortement.

5. Leurres (honeypots)

Stratégie : Alertes exploitables

Les honeypots (parfois appelés « canary tokens ») sont une méthode qui vous informe si un cybercriminel parvient à franchir toutes vos protections et à accéder à des éléments auxquels il ne devrait pas. Les leurres sont des pièges qui envoient des alertes automatiques dès qu’ils sont utilisés. C’est surtout utilisé dans la tech, mais il est également possible d’en créer pour les informations de paiement. Cette méthode fonctionne particulièrement bien avec les plateformes financières automatisées, dont je parle dans la tactique n°10.

Les leurres techniques sont faciles et gratuits à mettre en place. 

6. Externaliser à un prestataire

Stratégie : Réduisez les points de défaillance uniques

Faire appel à un prestataire est bien souvent non seulement moins coûteux qu’une gestion interne, mais également plus résilient. L’externalisation élimine de nombreux points de défaillance uniques en répartissant les besoins de l’entreprise sur une équipe et un système plus larges. 

Beaucoup d’entreprises constatent qu’un service de gestion des comptes fournisseurs devient plus économique lorsque la gestion AP prend la moitié du temps de travail d’un employé. Comme cette estimation ne tient pas compte du coût de la fraude, je recommande souvent d’y penser bien plus tôt. Certaines plateformes d’automatisation permettent à une équipe financière d’augmenter son volume de 100 fois sans embaucher ni perdre le contrôle. 

Externaliser vos systèmes informatiques vers une plateforme web peut aussi être une excellente manière d’éliminer les points de défaillance uniques. Ces prestataires garantiront souvent une bien meilleure gestion du chiffrement, de l’identification des logiciels malveillants et des failles de sécurité, de la résistance aux violations de données et de la prévention du phishing que ce que vous pouvez généralement mettre en œuvre en interne.

Cela n’est valable que si la solution externalisée comporte peu ou pas de points de défaillance uniques. Beaucoup de prestataires en finance proposent un comptable attitré, fractionné, qui travaille sur vos systèmes selon vos processus : ce n’est pas un bon choix pour réduire le risque. De même, bon nombre de plateformes web continuent de fonctionner avec les mêmes conceptions fragiles qu’en 2006, ajoutent quelques mots-clés liés au cloud à leur marketing, et espèrent que personne ne regarde les détails techniques. Inutile de dire qu’aucune de ces approches n’apporte de bénéfices en matière de sécurité. 

7. Cartes virtuelles

Stratégie : Réduire l’exposition

Utiliser un fournisseur de cartes virtuelles permet de contrôler précisément qui vous payez et combien vous pouvez leur verser. J’ai déjà abordé les cartes virtuelles dans mon article expliquant comment sécuriser les paiements B2B. La plupart des plateformes AP automatisées proposent des cartes virtuelles.

8. Validation des fournisseurs et rapprochement en 3 étapes

Stratégie : Réduire l’exposition

Restreindre les paiements à une liste de fournisseurs autorisés, valider les informations de paiement et rapprocher les factures avec les bons de commande peut aider à éliminer beaucoup de fraudes moins sophistiquées. De nombreux fournisseurs effectuent des rapprochements avec une liste de vendeurs vérifiés ; cela peut parfois s’avérer étonnamment peu coûteux.

9. Positive Pay

More Articles

• 14 conseils d’experts pour sécuriser les paiements B2B que vous pouvez appliquer ce mois-ci
• Les risques de ChatGPT préparent une croissance record de la cybercriminalité
• Audit des processus métier : guide en 5 étapes pour les directeurs financiers

Stratégie : Réduire l’exposition

Cette fonctionnalité vous permet d’envoyer à votre banque chaque mois une liste de bons de commande autorisés. La banque bloque ensuite les paiements ACH et par chèque qui ne correspondent pas et informe l’entreprise lorsqu’elle le fait. Ce mécanisme avait acquis la réputation d’être très chronophage il y a 20 ans, mais la plupart des offres ont désormais grandement simplifié le processus.

10. Finances automatisées

Stratégie : Alertes exploitables & Réduction des points de défaillance uniques

Une plateforme de finances automatisées peut vous permettre d’exercer un contrôle extrêmement granulaire sur la circulation des fonds dans votre organisation, avec une fraction du personnel. Cela peut représenter une valeur considérable, mais se traduit souvent par une transition coûteuse. À considérer :

• Paiements automatiques pour les fournisseurs réguliers et de longue date. Vous pouvez généralement configurer les détails de paiement dans la fiche fournisseur.
• Facturation automatique et relance
• Virements automatisés et créances
• Alertes pour transactions et soldes inattendus
• Traitement automatisé du rapprochement des factures et du rapprochement en 3 étapes ou en 2 étapes
• Détection d’anomalies/IA (voir informations ci-dessous)

Certaines plateformes vous alertent de façon intelligente sur les transactions risquées, basées sur les menaces actuelles du secteur et sur l’activité normale du grand livre comptable de votre entreprise. Mon conseil ? Si vous souhaitez un produit pour sa fonctionnalité de détection d’anomalies, testez-le d’abord. Les produits IA fonctionnent toujours comme des boîtes noires, donc il est impossible de mesurer objectivement la qualité. L’efficacité de ces produits boîte noire a également tendance à décliner avec les années, à mesure que les menaces et conditions évoluent.

Produits technologiques pour le traitement des comptes fournisseurs

Voici une sélection de plateformes de comptes fournisseurs, nouvelles ou établies, avec les fonctionnalités évoquées dans cet article. Les banques proposent également des services externalisés d’AP et d’AR (souvent vendus comme traitement de remise), généralement en marque blanche auprès d’un prestataire spécialisé.

La fraude peut être évitée

Vous pouvez éliminer de nombreux dommages liés à la criminalité en ligne en mettant en place des contrôles internes robustes sur les comptes fournisseurs. Alors que les menaces externes ont explosé au cours de la dernière décennie, les outils pour les détecter et les prévenir se sont aussi améliorés (un des avantages des applications de paiement mobile est justement de contribuer à cela).

Pour plus de conseils à destination des responsables financiers, y compris comment protéger votre entreprise des menaces en ligne, abonnez-vous dès aujourd’hui à la newsletter The CFO Club.

J’aimerais avoir votre avis : quels contrôles se sont révélés les plus efficaces pour prévenir la fraude ? Avez-vous déjà mis en place certaines de ces pratiques ? Dites-le-moi en commentaire ou sur les réseaux sociaux.