Comment protéger une facture jusqu’à son paiement ? Pour Damien Girier, Product Manager chez Agicap, la réponse passe par une succession de contrôles : vérifier l’identité des entreprises, sécuriser les accès, contrôler les coordonnées bancaires et séparer les responsabilités. Avec un point de vigilance : les protections proposées doivent aussi être activées et correctement paramétrées.
Spécialiste de la gestion de trésorerie pour les PME et les ETI, Agicap se situe au croisement des flux de facturation et des connexions bancaires. Une position qui place la sécurité au cœur des échanges avec ses clients. Alors que la facture électronique transforme les circuits de transmission, Damien Girier détaille les dispositifs mobilisés pour réduire les risques, de l’entrée en relation jusqu’au règlement.
Les entreprises vous interrogent-elles davantage sur la sécurité de leurs données ?
Oui. Nous sentons une inquiétude et une demande de preuves. Les clients veulent savoir comment leurs données sont protégées, quelles sont les possibilités de piratage et quelles bonnes pratiques ils doivent adopter. Ces questions sont d’autant plus présentes que nous sommes un outil de gestion de trésorerie connecté aux banques.
Il ne suffit donc pas de leur dire que le service est sécurisé. Il faut pouvoir expliquer les contrôles réalisés et les mesures mises en place. Les entreprises cherchent aussi à comprendre ce qui relève de notre responsabilité et ce qu’elles peuvent faire, de leur côté, pour limiter leur exposition.
Quelles preuves concrètes pouvez-vous leur apporter ?
Le risque zéro n’existe pas. Notre démarche consiste à tester la sécurité dans la durée. Nous réalisons chaque année des tests de pénétration, qui permettent de rechercher les failles en reproduisant des tentatives d’intrusion. Nous disposons également d’un programme permanent de bug bounty, qui permet à des chercheurs en sécurité de nous signaler des vulnérabilités.
Ces démarches sont complémentaires. Un test réalisé à une date donnée ne suffit pas à couvrir tous les risques futurs. Il faut continuer à chercher les faiblesses et à les corriger.
Avant même de faire circuler une facture, comment vérifiez-vous qui utilise le service ?
Nous effectuons des contrôles d’identité de la personne et de l’entreprise, ce que l’on appelle le KYC et le KYB. Nous vérifions la pièce d’identité et les informations de l’entreprise, notamment à partir d’Infogreffe. Nous demandons également un extrait Kbis et vérifions l’identité du signataire.
C’est une première barrière à l’entrée. L’objectif est de savoir avec quelle entreprise nous entrons en relation et qui agit pour son compte. La sécurité commence dès cette étape, avant les échanges de factures et les opérations de paiement.
Une fois le compte ouvert, quelles précautions l’entreprise doit-elle prendre ?
La première consiste à verrouiller les accès des collaborateurs. L’authentification multifacteur est proposée en option, mais nous recommandons de l’activer. Il faut également attribuer à chaque utilisateur les droits dont il a besoin, en fonction de son rôle.
Nous proposons une gestion fine des habilitations, avec la création de rôles. Cela permet d’éviter que tous les collaborateurs disposent des mêmes possibilités d’action. Le paramétrage d’une déconnexion automatique après un certain délai contribue aussi à limiter les risques liés à une session laissée ouverte.
Ces réglages peuvent sembler secondaires face aux grandes questions de cybersécurité. Ils sont pourtant très concrets : qui peut accéder au service, consulter les informations ou intervenir dans un circuit de validation ?
Quels contrôles permettent de réduire la fraude au moment du paiement ?
Nous mobilisons plusieurs dispositifs. La vérification des coordonnées bancaires s’appuie sur un outil tiers, notamment pour lutter contre la fraude aux faux fournisseurs. D’autres contrôles portent sur la détection des doublons ou des modifications de documents PDF.
Il faut ensuite organiser les validations. Nous proposons des circuits à plusieurs niveaux, avec une séparation des responsabilités : la personne qui valide une opération n’est pas nécessairement celle qui effectue le paiement.
L’intérêt est de cumuler les contrôles. La vérification d’un IBAN, la recherche d’un doublon et la validation par plusieurs personnes ne répondent pas au même risque. Ensemble, elles permettent de sécuriser différentes étapes du traitement d’une facture.
Comment repérer une activité suspecte sans attendre de découvrir la fraude après le paiement ?
Nous nous appuyons sur un journal d’événements pour suivre les activités et détecter les anomalies, avec le renfort de l’intelligence artificielle. Il peut s’agir d’un comportement inhabituel ou d’un paiement qui sort des habitudes observées.
L’objectif est de détecter ces situations en temps réel. La traçabilité ne doit pas seulement servir à reconstituer les faits après un incident. Elle doit aussi permettre de repérer ce qui mérite une attention au moment où cela se produit.
Que conservez-vous pour retracer le traitement d’une facture ?
Nous nous appuyons sur une piste d’audit scellée et horodatée avec Docaposte. Elle permet de conserver la trace des opérations réalisées.
Les statuts du cycle de vie de la facture apportent également une information précieuse. Ils permettent de savoir où elle en est dans son traitement et facilitent les échanges entre le fournisseur et son client. La facture électronique change la manière d’envoyer les factures, mais son intérêt tient aussi à cette visibilité sur leur parcours.
Enfin, sachez que la DGFiP audite depuis septembre l’ensemble des plateformes agréées et teste leur sécurité. Cette mobilisation traduit un changement de priorité : la protection des données et des échanges n’est plus un sujet secondaire de la réforme. Au-delà de leur capacité à acheminer les factures, les plateformes doivent démontrer qu’elles sont capables de résister aux attaques et de protéger les entreprises qui leur confient leurs flux.
