Détection des fraudes à la facturation : comment bloquer les factures frauduleuses avant leur paiement

La fraude à la facture est particulièrement dangereuse, car un paiement frauduleux peut ressembler de très près à un paiement légitime. Une facture peut sembler provenir d’un fournisseur reconnu, mentionner des produits ou services familiers et être transmise par un canal de communication auquel l’équipe chargée des comptes fournisseurs fait déjà confiance. La seule différence peut se limiter à un numéro de compte bancaire modifié.

Le FBI décrit la « Business Email Compromise » (BEC) comme l’une des formes de cybercriminalité les plus préjudiciables sur le plan financier et met particulièrement en garde contre les criminels qui se font passer pour des fournisseurs connus et demandent des modifications des informations de paiement. Une détection efficace de la fraude à la facturation doit donc intervenir avant que les fonds ne soient transférés, en combinant l’analyse des documents, la vérification des fournisseurs, les contrôles de paiement et les signaux comportementaux, plutôt que de compter sur un employé pour repérer une anomalie.

Qu'est-ce que la fraude à la facturation ?

On parle de fraude à la facture lorsqu'une facture frauduleuse, falsifiée ou non autorisée conduit une entreprise à verser de l'argent à un pirate informatique ou à effectuer un paiement illégitime d'une autre manière. Cette fraude peut provenir de l'extérieur de l'organisation ou impliquer une personne qui abuse de processus métier légitimes.

Parmi les exemples courants, on peut citer les attaquants qui se font passer pour des fournisseurs existants, modifient les coordonnées bancaires figurant sur des factures légitimes, soumettent des factures en double, créent des fournisseurs fictifs, altèrent les montants des factures et piratent des comptes de messagerie professionnels afin de rediriger les paiements.

L'IA générative apporte une nouvelle dimension. Les fraudeurs peuvent désormais créer à grande échelle des documents, des courriers, des logos et d'autres éléments justificatifs d'aspect professionnel. De ce fait, l'aspect visuel ne constitue plus à lui seul un indicateur fiable pour déterminer si une facture ou le fournisseur qui la présente est digne de confiance.

Comment détecter les factures frauduleuses avant le paiement

Le meilleur moment pour détecter une fraude à la facturation est avant que la facture ne soit définitivement validée pour paiement. Plutôt que de se fier à un seul contrôle anti-fraude, les entreprises peuvent recouper les informations figurant sur la facture avec celles contenues dans les dossiers des fournisseurs, les bons de commande, l'historique des paiements et des sources externes.

Commencez par rechercher les incohérences. Un changement soudain des coordonnées bancaires doit faire l'objet d'un examen plus approfondi, en particulier lorsqu'il s'accompagne d'une demande de paiement urgente. Parmi les autres signes avant-coureurs, on peut citer des montants de factures inhabituels, des montants arrondis de manière inattendue, des coordonnées inconnues, des numéros de facture en double, des incohérences entre la facture et le bon de commande, ou encore des instructions de paiement qui diffèrent des informations enregistrées pour ce fournisseur.

Les recoupements à deux et à trois niveaux constituent un autre niveau de contrôle important. La comparaison des factures avec les bons de commande et, le cas échéant, avec les justificatifs attestant de la réception des biens ou des services, permet de détecter les anomalies avant le paiement. L'historique des paiements peut apporter des éléments de contexte supplémentaires : une facture qui s'écarte de manière significative du montant habituel, de la fréquence, de la provenance géographique ou de la destination du paiement d'un fournisseur peut justifier une enquête plus approfondie.

Surtout, toute modification concernant des informations de paiement sensibles doit faire l'objet d'une vérification indépendante. Le FBI recommande de confirmer les changements de numéros de compte ou de modalités de paiement directement auprès de la personne ou de l'entreprise à l'origine de la demande, en utilisant des coordonnées fiables plutôt que celles fournies dans un message potentiellement frauduleux.

Ne vous contentez pas de la facture pour vérifier la fiabilité du fournisseur

Une facture parfaitement rédigée peut tout de même provenir d'un fournisseur inexistant ou frauduleux. C'est pourquoi la vérification de l'identité du fournisseur dans le cadre de la lutte contre la fraude à la facture ne doit pas se limiter à l'analyse du document lui-même.

Lors de la mise en place d'une relation avec un fournisseur, les entreprises peuvent recouper les informations avec des sources fiables telles que les registres du commerce, les numéros d'identification fiscale, les informations sur les bénéficiaires effectifs le cas échéant, les listes de sanctions et de surveillance, ainsi que les informations connues relatives aux comptes bancaires. Une vérification d'identité peut également s'avérer nécessaire pour les personnes habilitées à établir ou à modifier les relations avec les fournisseurs.

Cela revêt une importance particulière à mesure qu’il devient de plus en plus facile de créer des identités fictives et des entreprises « sosies ». Un pirate peut ainsi se faire passer pour un fournisseur en apparence légitime en combinant des informations inventées de toutes pièces, des identifiants volés, des comptes piratés et des documents générés par l’intelligence artificielle. Le fait de recouper plusieurs sources indépendantes rend plus difficile pour un seul élément de preuve frauduleux, aussi convaincant soit-il, d’instaurer à lui seul un climat de confiance.

Des logiciels performants de numérisation de documents et d'extraction de données peuvent contribuer à automatiser la collecte et la structuration des informations utilisées dans ces processus de vérification.

Détecter les factures falsifiées, modifiées ou générées par l'IA

Les contrôles traditionnels des factures visent souvent à vérifier si les champs obligatoires sont bien renseignés. Les systèmes modernes de détection des fraudes sur les factures doivent également déterminer si le document lui-même a été falsifié.

Les organisations peuvent évaluer la structure des documents et leurs métadonnées, identifier les incohérences entre les champs, rechercher des signes de manipulation d'images et comparer les informations extraites avec des enregistrements fiables. Les systèmes automatisés peuvent également identifier les factures en double et les schémas anormaux qu'il serait difficile pour les analystes de repérer de manière systématique parmi d'importants volumes de paiements.

Mais aucun modèle d'IA ni aucun détecteur de manipulation ne devrait être considéré comme la seule source de vérité. Un document suspect prend beaucoup plus de poids lorsque ses coordonnées bancaires ont également changé, que le paiement s'écarte des habitudes passées, que les informations relatives au fournisseur ne peuvent être corroborées de manière indépendante ou que l'identité de la personne demandant la modification ne peut être vérifiée.

Ce même principe de stratification s'applique à d'autres formes de fraude aux paiements, de la « fraude amicale » aux escroqueries qui s'intensifient lors d'événements tels que le Black Friday.

Automatiser la détection des fraudes sur les factures sans augmenter le nombre de faux positifs

La vérification manuelle reste utile pour les cas ambigus et à haut risque, mais demander aux employés de contrôler manuellement chaque facture n'est pas une solution évolutive. Cela peut également poser un autre problème : les vérificateurs, submergés par des alertes de routine, risquent de passer à côté des cas qui nécessitent réellement leur attention.

L'automatisation permet d'effectuer des contrôles répétitifs, tels que l'extraction des données des factures, la détection des doublons, la mise en correspondance des factures avec les bons de commande, la comparaison des informations de paiement avec les fiches fournisseurs et l'identification de schémas inhabituels. L'évaluation des risques peut ensuite combiner ces signaux pour déterminer quelles factures peuvent être validées et lesquelles nécessitent une vérification supplémentaire.

L'objectif ne doit pas être de rejeter tout ce qui sort un tant soit peu de l'ordinaire. Les systèmes efficaces font la distinction entre un véritable signal de fraude et une exception commerciale légitime. Des indicateurs explicables, des seuils basés sur le risque et des règles claires pour les vérificateurs permettent aux organisations de concentrer leurs efforts manuels là où l'incertitude ou le risque de perte est le plus élevé.

Ces contrôles doivent également s'intégrer à l'infrastructure de paiement globale de l'organisation. Que les paiements transitent finalement par des prestataires de paiement traditionnels ou par des systèmes plus récents, tels qu'une passerelle de paiement cryptographique, la meilleure décision en matière de lutte contre la fraude est généralement celle qui est prise avant que les fonds ne quittent l'organisation.

Intégrer la détection des fraudes à la facturation aux contrôles KYC et AML

La fraude à la facturation peut mettre en évidence des failles qui vont au-delà de la gestion des comptes fournisseurs. Un fournisseur fictif, un compte fournisseur compromis ou une destination de paiement inexpliquée peuvent également soulever des problèmes de conformité, en particulier pour les organisations soumises à des exigences en matière de KYC, de lutte contre le blanchiment d'argent, de sanctions ou de risques liés aux tiers.

La mise en place d'un processus d'intégration des fournisseurs permet d'établir une base de référence fiable. Les organisations peuvent ainsi vérifier les informations d'identité et les données commerciales pertinentes, sélectionner les parties concernées, consigner les éléments justifiant la décision et conserver une piste d'audit. Une surveillance continue permet ensuite d'identifier les changements significatifs, tels que de nouvelles coordonnées bancaires ou des activités inhabituelles, qui justifient un examen plus approfondi.

Cette approche permet de mettre en place un modèle plus solide que si l'on considérait l'intégration des fournisseurs, la vérification des factures et la fraude aux paiements comme des problèmes totalement distincts. Les signaux liés à l'identité, aux documents, aux transactions et au comportement peuvent se renforcer mutuellement tout au long de la relation.

Que faire si une facture frauduleuse est réglée ?

La rapidité est essentielle dès qu'un paiement frauduleux a été détecté. Les organisations doivent contacter immédiatement leur établissement bancaire afin de déterminer si le paiement peut être bloqué ou récupéré, conserver les factures, e-mails, informations de compte et journaux système pertinents, et suivre les procédures internes applicables en matière de réponse aux incidents et de signalement.

Aux États-Unis, les cas présumés de BEC et de fraudes en ligne associées peuvent également être signalés au Centre de signalement des crimes sur Internet (IC3) du FBI. Les organisations doivent ensuite déterminer comment la facture a pu contourner les contrôles en place. Un fournisseur légitime a-t-il été piraté ? Un nouveau fournisseur a-t-il fait l'objet d'une vérification insuffisante ? Des employés ont-ils ignoré une alerte ? Le système n'a-t-il pas détecté un changement dans les habitudes de paiement ?

La réponse permet de déterminer si la véritable faiblesse résidait dans la technologie, dans les processus, ou dans les deux.

Mettre en place un système de détection des fraudes à la facturation fondé sur la confiance, et non uniquement sur les documents

Les factures frauduleuses sont en fin de compte le signe d'un problème plus vaste : une organisation s'est fiée à des informations, à un fournisseur, à un compte ou à une demande erronés au moment où le virement était sur le point d'être effectué.

Une détection efficace de la fraude à la facturation ne se limite donc pas à l’examen des factures à la recherche de signes évidents de falsification. Les entreprises doivent recouper les informations figurant sur les documents, vérifier l’identité des fournisseurs, surveiller les changements dans les habitudes de paiement, valider de manière indépendante les demandes sensibles et automatiser les contrôles répétitifs afin que les équipes chargées de la lutte contre la fraude puissent se concentrer sur les cas réellement suspects.

À mesure que l'IA facilite la création de documents et d'identités frauduleux, cette approche à plusieurs niveaux gagne encore en importance. La question n'est pas simplement de savoir si une facture semble authentique, mais si les éléments justificatifs qui l'accompagnent donnent à l'entreprise suffisamment d'assurance pour faire confiance au fournisseur et autoriser le paiement.