Double validation virement : 7 règles pour une PME
La double validation virement empêche qu’une demande urgente, un faux RIB ou une messagerie compromise suffisent à déclencher un paiement. La procédure doit rester simple, écrite et applicable lorsque le dirigeant, le comptable ou le responsable habituel est absent.
Vérifiez si votre procédure de virement résiste à une demande frauduleuse.
Double validation virement : le principe en 60 secondes
La double validation virement consiste à séparer la préparation du paiement et son autorisation finale. Une personne saisit ou prépare l’opération. Une seconde personne contrôle le bénéficiaire, le montant, le motif et les coordonnées bancaires avant de valider.
Cette règle s’applique en priorité aux nouveaux bénéficiaires, aux changements de RIB, aux montants inhabituels et aux demandes urgentes. Elle ne doit pas pouvoir être contournée par un simple courriel, même lorsque le message semble provenir d’un dirigeant.
Cybermalveillance.gouv.fr recommande une procédure interne de vérification et de validation hiérarchique non dérogeable pour les virements imprévus et les changements de coordonnées bancaires. Cette procédure reste le dernier contrôle humain lorsque l’attaquant connaît déjà l’entreprise ou utilise une messagerie compromise.
Pour comprendre les signaux qui précèdent la demande, consultez aussi notre dossier sur la fraude au virement et les nouvelles techniques d’usurpation.
Les 7 règles d’une procédure de virement fiable
- Définir les opérations concernées. La double validation doit couvrir les nouveaux bénéficiaires, les changements de RIB, les virements urgents et les montants dépassant le seuil fixé par l’entreprise.
- Séparer la préparation et l’autorisation. La personne qui saisit l’opération ne doit pas être la seule à pouvoir l’exécuter.
- Vérifier le bénéficiaire par un second canal. Le rappel doit utiliser un numéro déjà connu, jamais celui indiqué dans le message reçu.
- Prévoir les absences. Chaque valideur doit avoir un remplaçant identifié, habilité et formé avant les congés.
- Tracer les contrôles. Notez la date, la personne jointe, le numéro utilisé et le résultat de la vérification.
- Interdire les dérogations par courriel. L’urgence, la confidentialité ou le statut hiérarchique ne doivent pas supprimer la procédure.
- Tester la procédure. Un exercice annuel ou semestriel permet de vérifier que chacun sait qui appeler et comment bloquer un paiement.
Une procédure de double validation virement trop complexe sera contournée. Une règle trop vague sera interprétée différemment selon les personnes. Le bon format tient sur une page et indique clairement les opérations à contrôler, les rôles, les remplaçants et les contacts d’urgence.
Procédure de double validation virement en PME
À retenir : implémentez une procédure simple, écrite et applicable à votre contexte. Elle doit rester compréhensible par tous et respecter les urgences et les absences.
La double validation virement ne nécessite pas toujours un logiciel supplémentaire. Elle peut commencer avec les fonctions proposées par la banque, un tableau d’habilitations et une fiche interne. L’objectif est d’empêcher qu’une personne isolée décide et exécute seule une opération sensible.
| Étape | Contrôle attendu | Responsable | Preuve à conserver |
|---|---|---|---|
| Réception | Identifier le demandeur, le motif, le montant et l’échéance | Comptabilité ou administration | Message, facture ou demande initiale |
| Vérification | Confirmer le bénéficiaire et le RIB par un canal connu | Personne distincte du préparateur | Nom du contact, numéro appelé et date |
| Préparation | Saisir le montant, le compte et la référence | Préparateur habilité | Brouillon ou journal de l’outil bancaire |
| Validation | Comparer le RIB, le justificatif et le seuil interne | Second valideur | Historique d’approbation |
| Contrôle après paiement | Vérifier le statut et signaler toute anomalie | Comptabilité | Avis d’exécution et rapprochement |
Le seuil de validation dépend de l’activité, du volume de paiements et des délégations bancaires. Il n’existe pas de montant universel. Une PME peut prévoir plusieurs niveaux, mais chaque niveau doit désigner au moins deux personnes et un remplaçant.
Double validation virement : gérer l’absence du responsable
Les périodes de congés fragilisent souvent les contrôles. Les remplaçants connaissent moins bien les fournisseurs, les habitudes et les circuits de validation. Un attaquant peut exploiter une absence publiée sur un réseau social, une réponse automatique ou une information obtenue dans une messagerie.
La double validation virement doit donc fonctionner sans dépendre d’une seule personne. Avant chaque période sensible, vérifiez les délégations, les accès bancaires, les numéros de rappel et la disponibilité des remplaçants.
- Nommer un titulaire et un remplaçant pour chaque rôle.
- Limiter les droits bancaires à ce qui est nécessaire.
- Interdire le partage d’identifiants entre collègues.
- Conserver les contacts fournisseurs dans un annuaire maîtrisé.
- Prévoir un numéro interne pour signaler une demande suspecte.
- Révoquer les délégations temporaires après le retour du titulaire.
La cartographie SI d’une TPE ou PME aide à recenser les comptes, les accès, les prestataires et les personnes capables d’agir en urgence. Elle évite que la procédure repose uniquement sur la mémoire du responsable habituel.
Double validation virement et changement de RIB
Un changement de coordonnées bancaires reçu par courriel ne doit jamais être validé sans confirmation indépendante. Appelez le fournisseur avec le numéro déjà enregistré dans votre logiciel, votre contrat ou votre annuaire. N’utilisez ni le numéro ni le lien fournis dans le message suspect.
Demandez à votre interlocuteur de confirmer le nom du bénéficiaire, l’IBAN et le contexte du changement. Une anomalie ne prouve pas automatiquement une fraude, mais elle impose de suspendre l’opération.
La double validation virement doit également bloquer la création immédiate d’un nouveau bénéficiaire suivie d’un paiement. Lorsque l’outil bancaire le permet, ajoutez un délai, une alerte ou une autorisation distincte pour cette étape.
Conservez la preuve du rappel. Une note simple indiquant la date, l’heure, le numéro utilisé et le nom de la personne jointe suffit souvent à démontrer que le contrôle a été effectué.
Double validation virement et MFA sur la messagerie
La procédure bancaire traite le dernier moment de l’attaque. La sécurisation de la messagerie agit plus tôt. Une boîte mail compromise peut révéler les factures attendues, les absences, les signatures, les fournisseurs et les personnes habilitées à payer.
Activez l’authentification multifacteur sur les comptes de messagerie, en priorité pour la direction, la comptabilité, les achats et les administrateurs. Contrôlez aussi les règles de transfert, les appareils connectés et les applications autorisées.
Le FBI classe la compromission de messagerie professionnelle, ou Business Email Compromise, parmi les fraudes numériques les plus coûteuses. Les données publiées par l’IC3 font état de plus de 55,49 milliards de dollars de pertes exposées à l’échelle mondiale entre octobre 2013 et décembre 2023.
Une attaque de phishing en entreprise peut fournir le mot de passe initial. Une protection de messagerie, la double authentification et la sensibilisation réduisent alors le risque que l’attaquant observe les échanges avant de préparer un faux ordre.
Que faire si un virement suspect a été préparé ou exécuté ?
La double validation virement réduit le risque, mais aucun contrôle n’est infaillible. Si le paiement n’est pas encore exécuté, suspendez-le immédiatement. Prévenez la banque, le cabinet comptable ou la personne disposant du pouvoir de blocage. Ne poursuivez pas la conversation dans le fil de courriel suspect.
Si le virement est parti, contactez la banque sans attendre pour demander le rappel ou le retour des fonds. Alertez le créancier dont l’identité a été usurpée, conservez les preuves et déposez plainte rapidement.
- Bloquer ou rappeler le virement. Transmettez à la banque le montant, l’heure, le bénéficiaire et la référence.
- Préserver les preuves. Conservez les courriels, en-têtes, factures, captures et journaux de connexion.
- Sécuriser la messagerie. Changez les mots de passe, déconnectez les sessions et contrôlez les règles de transfert.
- Analyser les postes. Recherchez un logiciel malveillant ou un accès non autorisé avant de rouvrir les comptes.
- Évaluer la fuite de données. Identifiez les messages et documents consultés par l’attaquant.
- Documenter l’incident. Notez les décisions, les délais et les mesures correctives.
Une messagerie compromise peut aussi constituer une fuite de données dans une PME. Les postes concernés doivent être contrôlés avant la réouverture des accès. Notre comparatif sur l’antivirus pour entreprise et notre analyse de la protection Kaspersky au-delà de Windows Defender détaillent cette couche technique.
Checklist avant d’activer la double validation virement
- Le mot-clé « urgent » ne permet jamais de contourner la procédure.
- Les changements de RIB sont confirmés avec un numéro déjà connu.
- Le préparateur et le valideur sont deux personnes différentes.
- Chaque valideur possède un remplaçant identifié.
- Les seuils et les délégations sont écrits.
- Les accès bancaires sont nominatifs et protégés par une authentification forte.
- Les preuves de vérification sont conservées.
- Les règles de transfert de la messagerie sont contrôlées.
- La banque et les contacts d’urgence sont accessibles hors messagerie.
- La procédure est testée au moins une fois par an.
Cette checklist doit être adaptée à votre banque, à votre logiciel comptable et à votre organisation. Elle doit surtout rester compréhensible par un remplaçant qui découvre une demande urgente pendant l’absence du responsable.
Pour commencer : débutez simplement avec deux validations par email, documentez la procédure, puis améliorez-la progressivement selon vos besoins et votre maturité.
Former la direction et la comptabilité aux fraudes au virement
Questions fréquentes sur la double validation virement
La double validation est-elle obligatoire pour toutes les PME ?
Il n’existe pas une obligation générale imposant la même procédure à toutes les PME. Elle constitue néanmoins une mesure de prévention recommandée pour les virements imprévus, les nouveaux bénéficiaires et les changements de RIB. Les règles doivent être adaptées aux risques et aux délégations de l’entreprise.
Deux validations par courriel suffisent-elles ?
Non. Si la messagerie est compromise, l’attaquant peut lire les réponses ou se faire passer pour plusieurs interlocuteurs. La vérification du bénéficiaire doit utiliser un canal indépendant, comme un appel vers un numéro déjà connu.
Peut-on appliquer la procédure sans DSI ?
Oui. Une PME peut commencer avec les fonctions de double signature de sa banque, une fiche d’habilitation, un annuaire vérifié et une procédure d’une page. La difficulté principale n’est pas technique : elle consiste à maintenir la règle pendant les urgences et les absences.
La MFA remplace-t-elle la double validation bancaire ?
Non. La MFA protège l’accès au compte de messagerie ou au service bancaire. La double validation contrôle la légitimité de l’opération. Les deux mesures répondent à des risques différents et doivent être utilisées ensemble.
La règle à retenir
Le virement frauduleux ne commence pas au moment du paiement. Il commence souvent lorsque l’attaquant obtient des informations fiables sur vos échanges. La double validation virement reste le dernier filet avant la perte.
Articles connexes de la série FOVI
- Fraude au virement : 3 contrôles essentiels – les trois questions à se poser avant de valider tout virement bancaire.
- FOVI entreprise : 7 réflexes pour prévenir et réagir – le guide complet, comprendre, détecter, se protéger et réagir.
Pour aller plus loin
Règle numéro 1 : si je ping, j’ai du réseau.
Règle numéro 2 : voir règle numéro 1.
Eur’Net est référencée sur Cybermalveillance.gouv.fr, activatrice France Num et partenaire Gold Kaspersky. À titre personnel et bénévole, je suis également engagé comme aidant MonAideCyber au sein de l’association Assistic.
Mon credo : un sinistre cyber, ce n’est plus « si », mais « quand ». La vraie question est donc la suivante : regardez-vous le tsunami arriver depuis la plage, ou apprenez-vous à surfer en préparant vos plans A, B et C ?
Chez Eur’Net, le numérique reste artisanal. Nous utilisons de l’IA, de l’I-B - prononcez « eBay », de l’I-C - comme au lycée, et surtout beaucoup d’I-D… autrement dit, des idées.
Nos contenus sont imaginés, travaillés, relus et validés par des humains, parfois assistés par quelques outils 2.0 : claviers, écrans, ordinateurs, traitements de texte, intelligences artificielles et autres joyeusetés numériques.
Certaines illustrations présentes sur ce site peuvent également être créées ou retouchées à l’aide d’outils d’intelligence artificielle. Elles sont utilisées à des fins d’illustration de nos contenus.
Nous n’utilisons presque plus de papier, de stylo ni de crayon : ici, l’IA peut tenir le tournevis, mais l’humain garde toujours la main.
Plus d’informations sur notre utilisation de l’intelligence artificielle sont disponibles dans les mentions légales du site.
Entre deux diagnostics, j’élève aussi des IA bio au grand air.
- Test sécurité site web : 5 outils gratuits pour votre site - 17 août 2026
- Piratage DGFiP : 7 mesures urgentes pour protéger votre PME - 14 août 2026
- Attaque ransomware PME : 7 phases et plan de défense - 13 août 2026
