Pourquoi les PME suisses sont une cible privilégiée
Les fraudes sur virements et les fausses factures ne touchent pas uniquement les grandes entreprises. Dans les PME helvétiques, où une ou deux personnes gèrent souvent la comptabilité, les paiements et les relations avec les fournisseurs, une seule erreur ou un e-mail frauduleux peuvent provoquer des pertes de dizaines ou centaines de milliers de francs en quelques heures. L'effet combiné de processus allégés, de l'absence d'audit obligatoire et de la digitalisation croissante des paiements amplifie le risque.
Les cas les plus fréquents concernent la fraude au président (CEO fraud) (demande urgente de virement émanant d'un supposé dirigeant), la manipulation des coordonnées bancaires du fournisseur (IBAN modifié sur une facture légitime) et l'émission de factures fictives pour des services jamais rendus. En Suisse, où les paiements e-banking sont rapides et souvent irréversibles, le délai de réaction est minimal : une fois le virement exécuté, la récupération des fonds est difficile et coûteuse.
Ce guide explique comment structurer des contrôles à double signature, des workflows d'approbation et des mesures de protection comptable conformes au Code des obligations (CO) et aux normes comptables suisses, avec une approche pratique pour les entrepreneurs, les responsables administratifs et les fiduciaires qui accompagnent les PME.
Types de fraude sur les paiements et les factures
Connaître les modalités les plus répandues est la première étape pour concevoir des contrôles efficaces. Voici les trois catégories qui concernent le plus fréquemment les PME en Suisse :
CEO fraud et ingénierie sociale
Un message semblant provenir du dirigeant ou du CFO demande un virement urgent et confidentiel, souvent vers un compte à l'étranger. La pression temporelle et la demande de confidentialité servent à contourner les contrôles habituels.
Factures avec IBAN modifié
Un fournisseur réel envoie une facture, mais un attaquant modifie l'IBAN ou joint un PDF contrefait. Le bien ou le service a bien été commandé, ce qui rend la fraude plus difficile à détecter au moment du paiement.
Fournisseurs et factures fictifs
Des sociétés inexistantes ou des collaborateurs internes créent des fournisseurs fictifs, enregistrent des factures pour des services jamais rendus et autorisent des paiements vers des comptes contrôlés par des tiers. Les dommages s'accumulent dans le temps en l'absence de contrôles croisés.
Comparaison entre approche informelle et contrôles structurés
De nombreuses PME suisses s'appuient encore sur des pratiques informelles. La comparaison met en évidence où se concentrent les risques et quelles mesures réduisent l'exposition :
| Aspect | Approche informelle (typique PME) | Contrôles structurés |
|---|---|---|
| Autorisation des paiements | Une seule personne vérifie et paie | Séparation entre enregistrement, approbation et exécution |
| Vérification de l'IBAN | Contrôle visuel sur la facture reçue | Comparaison avec l'annuaire fournisseur approuvé et l'historique des paiements |
| Virements e-banking | Signature unique au-delà d'un seuil élevé ou absente | Double signature électronique avec limites par montant et bénéficiaire |
| Traçabilité comptable | Enregistrement après paiement, documents dispersés | Workflow documenté : commande → réception → approbation → comptabilisation |
| Modification des données fournisseur | Toute personne peut mettre à jour l'IBAN ou l'adresse | Modification soumise à confirmation par une seconde personne |
| Réaction aux demandes urgentes | Paiement immédiat pour éviter les retards | Procédure anti-fraude : rappel téléphonique sur un numéro connu |
| Responsabilité interne | Non définie ou implicite | Rôles et limites de signature formalisés par écrit |
| Révision périodique | Uniquement à la clôture de l'exercice | Rapprochement bancaire mensuel et échantillonnage des paiements |
Le principe des quatre yeux (dual control)
Le dual control, ou principe des quatre yeux, impose qu'aucune opération financière critique ne puisse être achevée par une seule personne. En Suisse, il n'existe pas d'obligation légale uniforme pour toutes les PME d'introduire le dual control, mais l'art. 957a CO exige une comptabilité vérifiable et adaptée à l'entreprise, et l'art. 716a al. 3 CO (SA) ou l'art. 810 al. 2 ch. 3 CO (Sàrl) imposent à l'organe d'administration ou aux gérants de définir l'organisation comptable et le contrôle financier ; les art. 717 CO et 812 CO imposent en outre de surveiller la gestion avec diligence. Des contrôles internes documentés constituent la réponse pratique à ces devoirs.
Séparation des tâches
Idéal : trois rôles distincts — celui qui enregistre la facture, celui qui l'approuve et celui qui exécute le paiement. Dans les PME avec peu de collaborateurs, au moins deux rôles doivent être séparés : celui qui prépare le paiement ne peut pas être le seul signataire.
Exemple : l'assistant administratif enregistre la facture en comptabilité ; le responsable financier ou le dirigeant approuve ; seulement alors le paiement est saisi dans l'e-banking avec signature conjointe.
Double signature bancaire
Configurer l'e-banking avec signature conjointe (Z1/Z2 ou Z1/Z2/Z3) et limites différenciées par montant. Seuils typiques : jusqu'à CHF 5'000 signature unique du dirigeant ; de CHF 5'001 à CHF 50'000 double signature interne ; au-delà de CHF 50'000 double signature avec confirmation téléphonique documentée.
Vérifier périodiquement avec la banque la liste des signataires autorisés et révoquer immédiatement les accès en cas de départ de collaborateurs.
Workflow d'approbation : du document au virement
Un workflow structuré relie chaque paiement à des documents vérifiables et crée une chaîne de responsabilité. Voici les phases recommandées pour une PME suisse :
Réception et enregistrement
La facture arrive par e-mail, portail ou courrier. Elle est enregistrée en comptabilité avec référence au bon de commande ou au contrat. Si la commande est absente, la facture reste en suspens jusqu'à vérification avec le responsable du service concerné.
Vérification de l'annuaire et de l'IBAN
Comparer l'IBAN, le montant et les données du fournisseur avec l'annuaire approuvé. Toute modification de l'IBAN requiert une confirmation écrite du fournisseur sur un canal séparé (appel téléphonique au numéro figurant dans l'annuaire, et non celui indiqué sur la facture suspecte) et l'approbation d'une seconde personne.
Approbation formelle
Le responsable autorisé approuve le paiement selon des limites définies (p. ex. gérant jusqu'à CHF 10'000, dirigeant au-delà). L'approbation est tracée dans le logiciel comptable avec date, utilisateur et éventuelle note. Les paiements hors budget ou vers de nouveaux fournisseurs requièrent une approbation supplémentaire.
Exécution et rapprochement
Le paiement est saisi dans l'e-banking et signé selon les règles de signature. En fin de mois, le rapprochement bancaire vérifie que chaque sortie correspond à une facture approuvée et comptabilisée. Les écarts déclenchent un contrôle approfondi.
Protection comptable : traçabilité et conformité
La prévention des fraudes n'est pas seulement un enjeu IT ou bancaire : la comptabilité constitue le système d'alerte et la base probatoire en cas de contestation. Les normes comptables reconnues (art. 962a CO), en particulier Swiss GAAP FER pour les PME et, le cas échéant, IFRS, exigent des enregistrements complets, compréhensibles et vérifiables.
Conservation documentaire : selon l'art. 958f CO, les documents comptables doivent être conservés pendant dix ans. Factures, commandes, confirmations d'approbation et relevés bancaires forment le dossier de chaque paiement et sont essentiels pour les déclarations à l'assurance, à la police cantonale ou dans le cadre de procédures civiles.
Registre fournisseurs contrôlé : maintenir un annuaire fournisseurs avec IBAN vérifié lors du premier paiement. Les modifications ultérieures doivent générer un journal d'audit. Un logiciel comptable comme Accountex permet de lier chaque facture au fournisseur principal et de signaler les incohérences sur les coordonnées bancaires ou les montants récurrents.
Rapprochement et analyse : le rapprochement bancaire mensuel n'est pas une formalité : il identifie les paiements sans justificatif, les doubles paiements et les montants anormaux. Une analyse trimestrielle des dix premiers fournisseurs par volume de paiements aide à détecter les fournisseurs fictifs ou les concentrations inhabituelles.
Audit et fiduciaire : les PME soumises à un audit ordinaire ou limité bénéficient d'un contrôle externe supplémentaire. Même sans audit obligatoire (opt-out selon l'art. 727a al. 2 CO, si la société ne dépasse pas en moyenne annuelle 10 postes à plein temps et que tous les actionnaires ou associés y consentent), une fiduciaire peut définir un plan de contrôles internes et en vérifier l'application une ou deux fois par an.
Signaux d'alerte à surveiller
Certains indicateurs méritent un contrôle immédiat, quel que soit le montant :
| Signal | Fraude possible | Action recommandée |
|---|---|---|
| Demande de paiement urgente et confidentielle | CEO fraud | Rappeler l'expéditeur sur un numéro officiel ; ne pas payer tant que ce n'est pas confirmé |
| IBAN différent de l'historique du fournisseur | Manipulation de facture | Vérifier avec le fournisseur sur un canal indépendant ; bloquer le paiement |
| Nouveau fournisseur avec montant élevé | Facture fictive | Vérifier l'existence (IDE, RC), le contrat et les références avant le premier paiement |
| Factures en double ou numérotation irrégulière | Double paiement ou fraude interne | Comparer avec le registre des factures reçues ; signaler au responsable |
| Paiements vers des comptes étrangers inhabituels | Transfert frauduleux | Approbation renforcée ; vérification de conformité LBA le cas échéant |
| Résistance aux procédures d'approbation | Fraude interne possible | Enquête interne ; impliquer la fiduciaire ou un avocat si nécessaire |
Mise en œuvre pratique : du papier au numérique
Même une PME avec peu de ressources peut introduire des contrôles efficaces en quelques semaines, en combinant règles internes, outils bancaires et logiciel comptable :
Semaine 1–2 : règles et rôles
- Rédiger une directive interne sur les paiements (limites, signatures, exceptions)
- Définir qui approuve, qui paie et qui rapproche
- Configurer la double signature e-banking avec seuils par montant
- Former le personnel à la CEO fraud et à la vérification de l'IBAN
Semaine 3–4 : digitalisation comptable
- Centraliser les factures fournisseurs dans un flux unique (e-mail dédié, numérisation)
- Lier chaque paiement à la facture et à la commande dans Accountex
- Activer des alertes sur les modifications de l'annuaire fournisseur
- Lancer un rapprochement bancaire mensuel systématique
La digitalisation ne remplace pas le jugement humain, mais réduit les erreurs et crée des traces vérifiables. Un workflow numérique rend visible l'état de chaque facture — reçue, en approbation, prête au paiement, payée — et empêche que des documents suspects échappent au contrôle.
Récupération des fonds et responsabilité
Si une fraude se concrétise, agir rapidement augmente les chances de récupération partielle. Contacter immédiatement la banque pour tenter l'annulation (dans les premières minutes ou heures, selon le type de transfert) et dénoncer l'infraction à la police cantonale. En Suisse, l'escroquerie, l'abus d'un système informatique et l'administration infidèle sont punissables pénalement (CP, art. 146, 147 et 158).
Sur le plan civil, la responsabilité interne dépend des rôles : un collaborateur qui paie sans respecter les procédures peut être tenu responsable pour négligence, surtout si une directive interne formalisée existait. Les membres du conseil ou les gérants qui omettent des contrôles adéquats risquent une responsabilité pour violation du devoir de diligence (art. 754 CO ; pour les Sàrl, art. 827 CO).
Vérifier avec l'assurance de l'entreprise (responsabilité civile, cyber-assurance) si la police couvre les pertes dues à la fraude informatique ou à l'ingénierie sociale : de nombreuses polices standard excluent ce risque, ce qui rend les contrôles préventifs d'autant plus pertinents.
Checklist opérationnelle pour PME suisses
Utilisez cette liste pour vérifier l'état de vos contrôles internes sur les paiements :
- ☐Directive interne sur les paiements rédigée et communiquée à tout le personnel concerné
- ☐Double signature e-banking active avec seuils par montant définis et vérifiés
- ☐Séparation des tâches : celui qui enregistre, celui qui approuve et celui qui paie sont des personnes différentes (dans la mesure du possible)
- ☐Annuaire fournisseurs avec IBAN vérifié ; modifications soumises à double confirmation
- ☐Workflow facture → approbation → paiement tracé en comptabilité
- ☐Procédure anti-CEO fraud : rappel téléphonique obligatoire pour les paiements urgents
- ☐Rapprochement bancaire mensuel complété et documenté
- ☐Formation périodique du personnel sur les fraudes et les signaux d'alerte
- ☐Révision annuelle de la liste des signataires bancaires et des accès IT
- ☐Couverture d'assurance vérifiée pour les pertes dues à la fraude informatique
Conclusion : la prévention comme investissement, et non comme coût
Les fraudes sur virements et fausses factures touchent des PME de tous secteurs et tailles en Suisse. Les contrôles à double signature, les workflows d'approbation et la protection comptable ne sont pas une bureaucratie superflue : ils constituent la barrière la plus efficace entre la liquidité de l'entreprise et des pertes souvent irréversibles.
Partir de quelques règles claires — séparation des tâches, vérification de l'IBAN, double signature bancaire, traçabilité en comptabilité — et les renforcer avec des outils numériques comme Accountex permet de construire des défenses solides sans alourdir excessivement l'organisation. Le coût de mise en œuvre de ces contrôles est négligeable par rapport au dommage moyen d'une seule fraude réussie.
Pour les entrepreneurs et les fiduciaires, la prévention des fraudes sur les paiements fait aujourd'hui partie intégrante d'une gestion d'entreprise responsable et de la conformité comptable prévue par le droit des sociétés suisse.