FRAUDE AUX MOYENS DE PAIEMENT

Transcription

1 FRAUDE AUX MOYENS DE PAIEMENT COMMENT S EN PRÉMUNIR? LIVRE BLANC Février 2016

2 p1 INTRODUCTION La fraude aux moyens de paiements, un fléau d aujourd hui La fraude aux moyens de paiement explose en France. Pas une semaine sans que le nom d une entreprise ne fasse la une des journaux. Faux ordre de virement international, fraude aux coordonnées bancaires, fraude au président, les sources diffèrent sur les montants, mais ce sont plusieurs centaines de millions qui seraient désormais ainsi détournées chaque année. Mais comment s en prémunir? Dernièrement euros ont été détournés des caisses d un célèbre club de foot phocéen, euros pour un des plus grands constructeurs de voitures de sport au monde, 1,6 million d euros pour un leader mondial de pneumatique et jusqu à 17 millions d euros pour un géant, producteur de maïs dans le sud-ouest de la France. 300millions d Euros de préjudice durant les 5 dernières Impressionnants par leurs ampleurs, ces montants annoncés ne sont que la face visible de l iceberg, les entreprises touchées ne communiquant que rarement sur les cas de fraude avérés. Selon la police judiciaire, les escroqueries aux ordres de virements auraient touché en 5 ans, plusieurs centaines d entreprises de toutes tailles, implantées en France ou des filiales dans l Union européenne avec plus de300 millions d euros de préjudices. années Un des objectifs de ce livre blanc est de passer en revue les fraudes aux paiements les plus connues, mais aussi celles, qui risquent de se développer avec l avènement de nouveaux moyens de paiements tels que le prélèvement SEPA, qui a déplacé le contrôle de la banque vers l entreprise. Nous vous proposons d exposer les meilleures pratiques pour combattre la fraude aux moyens de paiements, que ce soit sur des problématiques liées aux systèmes d information ou à l organisation, pour des fraudes externes ou internes à l entreprise.

3 p2 FRAUDE AU PRESIDENT LA PLUS MEDIATISEE DES FRAUDES Un escroc se fait passer pour le dirigeant de la société et obtient d un responsable comptable ou fi nancier, en feintant l urgence (vendredi soir, week-end), au moyen de pressions ou fl atteries, un virement bancaire conséquent vers un établissement fi nancier situé à l étranger, en général hors de l Union européenne. Le «président» exige le secret, en prétextant par exemple une OPA ou un contrôle fi scal en cours, et n hésite pas à évoquer des autorités comme l AMF ou à mettre en avant de soi-disant avocats. Ces escrocs, véritables experts en Ingénierie sociale (ou social engineering en anglais) parviennent à obtenir des informations, en exploitant la confi ance, l ignorance ou la crédulité de salariés de la société, mais se nourrissent aussi des réseaux sociaux, des publications de l entreprise pour rendre crédible leurs discours. Un processus de double validation obligatoire pour les paiements «sensibles» Quelle organisation pour lutter contre cette fraude qui s appuie sur le facteur humain, maillon faible de la chaîne de la sécurité? Un processus de double validation obligatoire pour les paiements «sensibles» (transferts vers pays étrangers, virement domestique d un montant supérieur à un seuil défi ni par l entreprise), que ce soit par un simple clic de validation et/ou par une signature électronique, un ordre de paiement dématérialisé ne doit jamais pouvoir partir du fait d une seule personne.

4 p3 FRAUDE AUX ORDRES DE VIREMENT INTERNATIONAL UNE TECHNOLOGIE DEPASSEE TOUJOURS UTILISEE Le fraudeur se procure les coordonnées bancaires et un modèle de papier à entête de la société ciblée. Avec les outils bureautiques modernes, rien de plus simple alors que de créer un faux ordre de virement international qui sera directement faxé au back-offi ce de la banque. La signature du Président ou celle du Directeur Général? C est bien la leur, scannée du rapport annuel aux actionnaires, recopiée d un acte déposé au Registre du Commerce et des Sociétés, accessible à tous sur Infogreffe. La parade, pourtant simple, existe, l abandon de l utilisation du fax qui ne garantit en rien l origine de l ordre envoyé. Tout ordre doit être dématérialisé et signé electroniquement via EBICS Tout ordre doit être dématérialisé, issu du logiciel comptable ou alors saisi dans le logiciel de trésorerie et de paiement de la société. L envoi de ces ordres signés électroniquement, via le protocole Ebics TS (Transport et Signature), permettra de s affranchir de la confi rmation par fax ou sur la plateforme de banque à distance (Web Banking).

5 p4 FRAUDE AUX COORDONNEES BANCAIRES LA PLUS SUBTILE DES FRAUDES Pour reprendre le cas de ce groupe français fabricant de pneumatique, leader sur son marché, ce groupe a été sollicité par une personne se présentant comme le directeur fi nancier d un ses fournisseurs. Cette personne a alors demandé à ce que les règlements destinés à sa société soient effectués dorénavant sur le compte d une banque en République tchèque. Cet homme connaissait parfaitement la procédure à suivre et la personne à contacter au sein des services fi nanciers pour pouvoir effectuer cette modifi cation. Souvent l escroc a même pris soins d obtenir auparavant les véritables numéros et montants des factures du fournisseur, ce qui crédibilise sa demande de changement de coordonnées bancaires auprès de son interlocuteur. Le temps, précieux allié de l escroc, joue ici en sa faveur. Car il faut attendre que le fournisseur relance son client de ses factures impayées, pour que la supercherie soit découverte et il est alors bien tôt tard. Un double workfl ow de validation pour créer modifi er un IBAN Mais alors, comment se protéger de cette fraude? Par la mise en place de procédure pour la création et le changement de coordonnées bancaires d un fournisseur dans l ERP dans l entreprise. Si ce dernier le permet, un double workfl ow de validation nécessitant deux personnes différentes pour créer modifi er un IBAN. S assurer aussi de la véracité de la demande faite par son «fournisseur» par un contre-appel systématique auprès d un référent désigné lors de la mise en place de la relation commerciale.

6 p5 FRAUDE AUX PRELEVEMENTS SEPA UNE FRAUDE EN DEVENIR? Depuis l avènement du prélèvement SDD (Sepa Direct Debit) la banque du débiteur ne contrôle plus la demande de prélèvement qui se présente sur le compte de son client. Donc en théorie, toute société ayant la possibilité d émettre des prélèvements, s il elle possède vos coordonnées bancaires, peut venir prélever librement sur votre compte. Même si théoriquement la loi vous protège, avec la possibilité de contester durant 13 mois un prélèvement non autorisé, cela peut se montrer chronophage que de gérer ce type de procédure! Donc vous l aurez compris, protégez les coordonnées bancaires de votre entreprise. Elles sont précieuses. Et ne les communiquez qu avec parcimonie qu à des tiers dument identifi és. A fortiori les retirer du net, où des milliers de demande et autorisations de prélèvements domestiques perdurent avec les références bancaires du créancier! Etablir la liste des créanciers autorisés à débiter votre compte de société Il peut être aussi nécessaire de se rapprocher de sa banque pour savoir si elle propose, d établir une liste de créanciers autorisés à venir débiter le compte de votre société. De même, il est possible d être averti de 1 à 5 jours avant sa présentation sur votre compte de l ordre de prélèvement adressé à votre banque. Tout nouvel Identifi ant Créancier SEPA (ICS) devra alors être correctement vérifi é.

7 p6 Parce que la fraude ne vient pas que de l'extérieur Il est aussi nécessaire de se protéger d un acte malveillant commis par un salarié de l entreprise. Ainsi un comptable ne devrait pouvoir seul changer les coordonnées bancaires d un fournisseur. Si le logiciel comptable ne l autorise pas ou si la taille des effectifs de l entreprise ne le permet pas, il alors nécessaire de mettre en place une ségrégation des tâches. Ainsi une même personne ne doit pouvoir réaliser seule la comptabilisation d une facture, l enregistrement des coordonnées bancaires du tiers, la mise en paiement, et le rapprochement bancaire et comptable. La circulation du fichier de paiement de l ERP au logiciel de paiement et jusqu à la banque doit se faire automatiquement. Ce processus doit s effectuer sans qu à aucun moment le fichier de paiement puisse être modifié, falsifié. Selon le degré de criticité du fichier, celui-ci devra être crypté sur les réseaux de l entreprise. Les codes d accès aux logiciels sensibles de l entreprise (base de données tiers, logiciel de trésorerie et de paiement, Web Banking) doivent être uniquement connus des personnes habilitées à s y connecter. Ils doivent rester strictement confidentiels et ne pas être reportés sur un quelconque document ou communiqués à qui que ce soit. Les mots de passe doivent être suffisamment complexes et régulièrement modifiés pour rester efficaces.

8 p7 Les personnes habilitées à effectuer des ordres de paiements doivent recevoir une formation sur la procédure à respecter. La bonne mise en œuvre de cette procédure doit être contrôlée régulièrement. Les collaborateurs doivent être conscients que leur entreprise peut à tout moment être la cible de tentatives d escroquerie. Il est nécessaire de présenter des exemples d escroquerie ou tentatives d escroquerie. La diffusion de cet article est bon moyen de sensibilisation aux pratiques frauduleuses. Renforcer le contrôle de mouvements financiers La vérification, quotidiennement, des opérations financières effectuées par virement et votre situation de trésorerie permet de détecter les fraudes, d avertir dans les délais les plus brefs votre organisme bancaire. FORMER ET INFORMER Enfin, si malgré tous les bons conseils prodigués dans ce livre blanc, une escroquerie (ou tentative) est avérée, il est nécessaire de contacter sa banque au plus vite. Elle pourra alors examiner avec vous les possibilités pour éventuellement récupérer les fonds dans le cadre de relations interbancaires, en sachant qu en pratique un ordre de virement est irrévocable. Le temps qui passe joue en faveur de l escroc. La division économique et financière du Service Régional de Police Judiciaire (SRPJ) doit également être saisie et une plainte doit être déposée. Un maximum d éléments constitutifs de l escroquerie doit être apporté en appui : courriers électroniques, fax, enregistrements de conversation, numéros de téléphone des correspondants... pour être transmis aux enquêteurs.

9 p8 À PROPOS Créée en 2004, Avizo est une société de conseil opérationnel et d intégration de systèmes informatiques, spécialisée dans la Gestion de trésorerie et des fl ux fi nanciers. La vocation opérationnelle de l accompagnement proposé par Avizo est garantie par ses équipes de consultants expérimentés disposant : d une véritable expérience professionnelle antérieure de trésorier d entreprise, d une connaissance réelle des aspects techniques et fonctionnels des logiciels du marché, d un fort savoir-faire en termes de conduite de projets. Capitalisant sur ses retours d expériences, Avizo a développé une offre construite autour de trois thématiques majeures : Conseils : conseil opérationnel, formation Systèmes : conseil logiciel, intégration solution Ressources : recrutement, transition. Avizo développe tout particulièrement ses offres de services auprès des trésoriers et directeurs fi nanciers des PME et ETI, nationales ou internationales. Avizo a été fondée par Éric DESQUATREVAUX, diplômé du Master Finance Trésorerie de L IGR-IAE de Rennes, qui a exercé auparavant comme Trésorier Groupe de grands comptes comme VIVARTE, BPI SHISEIDO, TRADER CLASSIFIED MEDIA. NOS SERVICES Albioma, Agrogénération, Alain Afflelou Franchiseur, Auxia, le Conservateur, Coty, Econocom, le groupe Essec, France Active, Isochem, le groupe Monnoyeur, Poweo, Réside Etudes, SolaireDirect, Sphère, Transavia, Technicolor font confi ance à Avizo.