Votre gouvernance peut fonctionner parfaitement et envoyer quand même l’argent à un criminel. Les règles vérifient qu’un processus a été suivi. Elles ne vérifient pas que la personne qui l’a déclenché était réelle.
Un mardi ordinaire
Le directeur financier est entre deux réunions quand son téléphone sonne. L’écran affiche le numéro du PDG. La voix est calme, un peu pressée, et tout à fait juste. Le PDG est à l’étranger, la ligne est mauvaise, et une transaction confidentielle doit être approuvée aujourd’hui. Les actionnaires ont déjà donné leur accord.
Rien de tout cela n’est étrange. Le voyage est connu en interne. Des décisions urgentes, il y en a déjà eu. Le directeur financier vérifie les documents, obtient la seconde approbation et libère le paiement. Chaque étape du processus est respectée.
Quelques jours plus tard, l’entreprise apprend que le PDG n’a jamais appelé. La voix avait été générée par un logiciel à partir d’enregistrements publics. Les attaquants connaissaient le voyage et savaient comment les deux dirigeants se parlent.
Cette scène ouvre un article récent de deux auditeurs forensiques de Rödl, paru dans Der Betrieb (Meinrad/Riexinger, DB 2026, 2408). Elle s’appuie sur une affaire réelle, rendue publique.
Le processus était correct. La prémisse était fausse.
Regardez ce qui a échoué. Le principe des quatre yeux n’a pas échoué : deux personnes ont approuvé. La matrice des délégations de pouvoir n’a pas échoué : le directeur financier peut libérer ce montant. Le circuit de validation n’a pas échoué : chaque champ a été rempli et chaque signature est archivée. Un auditeur ne trouverait rien à redire.
L’échec s’est produit avant la première étape. Chaque contrôle supposait que l’ordre venait du PDG. Personne n’a vérifié cette hypothèse, parce que rien dans le processus ne le demande.
Le second approbateur aggrave la situation. Cette personne n’a pas parlé au « PDG ». Elle a approuvé parce que le directeur financier le lui a demandé, et que le directeur financier a sa confiance. Une seule fausse identité au départ devient deux vraies signatures à l’arrivée. Le principe des quatre yeux vérifie la transaction. Il ne vérifie pas la personne qui est derrière.
Les auteurs de Rödl le formulent ainsi : les systèmes de contrôle interne se demandent si une action a été dûment autorisée. Les attaques par deepfake agissent un niveau plus tôt, sur l’hypothèse que la personne perçue est bien celle que l’on croit. Les référentiels de contrôle classiques n’en font pas un objectif de contrôle à part entière. Cette question n’apparaît donc souvent pas non plus dans les analyses de risques.
C’est le point inconfortable pour un conseil d’administration. Après un tel sinistre, la documentation montre un processus irréprochable. Personne n’a enfreint de règle ; la question devient : pourquoi nos règles ont-elles permis cela ?
Ce qui a changé : la familiarité ne prouve plus rien
La fraude au président n’est pas nouvelle. La seule compromission de messagerie professionnelle a causé environ 55,5 milliards de dollars US de pertes dans le monde entre octobre 2013 et décembre 2023, d’après les signalements reçus par le FBI, les autres services de police et les banques.
Ce qui est nouveau, c’est l’outil. Une voix, un visage en visioconférence et un style d’écriture familier suffisaient autrefois comme preuve. Aujourd’hui, l’IA générative peut copier les trois à partir de contenus publics : une keynote sur YouTube, un podcast, une conférence téléphonique sur les résultats. L’attaquant n’a besoin d’aucune compétence particulière et de peu d’argent.
L’article de Rödl cite les phrases qui révèlent le problème : « Je l’ai eu moi-même au téléphone. » « Elle était dans la visioconférence. » Dans les deux cas, un sentiment de familiarité a été pris pour une identité vérifiée.
Les paiements ne sont que la cible évidente. La même ruse fonctionne pour un changement de coordonnées bancaires, de nouveaux droits d’accès, des informations confidentielles, une décision de fusion-acquisition ou une décision concernant le personnel.
La conclusion des auteurs est nette : la gouvernance, la conformité et le contrôle interne restent nécessaires, mais ils doivent être étendus. La vérification de l’identité doit devenir un objectif de contrôle à part entière, dans chaque processus où une fausse identité peut causer un dommage grave. La nouvelle question directrice qu’ils proposent pour la culture d’entreprise : non plus « Pourquoi l’ordre a-t-il été remis en question ? », mais « Comment l’identité a-t-elle été vérifiée ? ».
Un contrôle que personne n’applique n’est pas un contrôle
La réponse habituelle est une règle de rappel : raccrocher, chercher le numéro, rappeler. Sur le papier, cela fonctionne. En pratique, cela échoue précisément aux moments qui comptent.
Chaque étape supplémentaire qui fait sortir quelqu’un de la conversation en cours est une interruption. Le directeur financier doit mettre fin à l’appel, trouver un numéro, joindre un PDG occupé dans un autre fuseau horaire et expliquer pourquoi. Sous la pression du temps, et face à un supérieur haut placé, la plupart des gens sauteront cette étape « juste pour cette fois ». Les attaquants le savent et créent cette pression à dessein.
Les auteurs de Rödl disent la même chose : une procédure ne compte que si les gens l’appliquent de façon fiable au quotidien, aussi sophistiquée soit-elle. Les procédures jugées peu pratiques sont contournées. Et la règle doit s’appliquer quels que soient le rang, la fonction et la pression du temps, car ce sont justement les attaquants qui créent les situations exceptionnelles.
Un PDG a donc ici deux tâches. D’abord, rendre la vérification d’identité obligatoire dans les processus critiques. Ensuite, la rendre si simple que personne n’ait de raison de la sauter. Quand les gens sautent un contrôle, la faute revient à sa conception.
La vérification au sein de la conversation
Trusted Codes donne à deux personnes, ou à toute une équipe, un code commun de trois mots qui change à un intervalle défini. Seuls les vrais membres d’une connexion l’ont. La vérification tient en une phrase : « Quel est notre code ? »
Retour au mardi. Le « PDG » appelle. Le directeur financier demande le code, pendant le même appel. Un vrai PDG lit trois mots sur son téléphone. Un deepfake n’a rien à lire. Le paiement s’arrête avant même que le processus commence.
La vérification fonctionne sur tous les canaux, car elle a lieu entre deux personnes : au téléphone, en visioconférence, dans une messagerie, par e-mail et en face à face. Et les mots vous disent qui parle : tapez ce que vous avez entendu, et l’application indique à quelle connexion ils appartiennent, par exemple « PDG – Validations trésorerie ». La différence avec une application d’authentification est expliquée dans un article séparé.
Deux exemples d’utilisation en entreprise :
- Un projet de fusion-acquisition. L’équipe de l’opération, les avocats et la banque partagent une connexion. Quiconque appelle au sujet de l’opération doit donner le code. Quand l’opération est conclue, la connexion est fermée.
- Les paiements de plus de 50 000 euros. Le service financier et toutes les personnes qui peuvent ordonner ou approuver ces paiements partagent une connexion. L’entreprise fait de la vérification du code une étape obligatoire de l’approbation : pas de code, pas de validation. Le journal de vérification montre ensuite que la vérification a eu lieu.
La preuve que la vérification a eu lieu
Une règle ne vaut que par la preuve qu’on la respecte. Un rappel ne laisse aucune trace. Personne ne peut montrer, des semaines plus tard, qui a appelé qui et ce qui a été confirmé.
Avec les offres Business, Trusted Codes consigne chaque vérification dans un journal : qui a vérifié qui, dans quelle connexion, quand, et si le code correspondait. Les mots eux-mêmes ne sont jamais enregistrés. Pour une direction, cela change trois conversations :
- Avec l’auditeur. La vérification d’identité devient une activité de contrôle documentée, et non une promesse dans une politique interne.
- Après un incident. L’enquête voit tout de suite où une identité a été vérifiée et où elle a seulement été supposée. Les auteurs de Rödl en font la question clé de toute enquête.
- Sur la responsabilité. La direction doit démontrer que son organisation et ses contrôles étaient à la mesure des risques connus. Un journal qui montre une vérification d’identité opérationnelle et effectivement utilisée en apporte la preuve.
À faire ce trimestre
Gardez votre gouvernance. Ajoutez le contrôle qui lui manque.
- Listez les processus où une fausse identité coûte cher. Paiements au-delà d’un seuil, changements de coordonnées bancaires, droits d’accès, fusions-acquisitions, restructurations, décisions concernant le personnel.
- Repérez les raccourcis informels. Où un appel téléphonique remplace-t-il une confirmation formelle ? Où des ordres venant de personnes haut placées sont-ils acceptés en dehors du circuit ?
- Faites de la vérification d’identité une étape obligatoire dans ces processus. Elle s’applique à tous, PDG compris, et surtout sous la pression du temps.
- Choisissez une méthode que les gens utiliseront vraiment. Elle doit fonctionner au sein de la conversation, sur tous les canaux, en quelques secondes, et laisser une trace.
- Dites-le vous-même. Dites à votre équipe que vous vous attendez à ce qu’on vous demande le code, et que vous ne vous en offusquerez jamais. Cette phrase, venant du PDG, fait plus que n’importe quelle politique interne.
La confiance entre collègues reste essentielle. Dans les processus critiques, elle a désormais besoin d’un second facteur.
Sources
- Alexander Meinrad et Jonas Riexinger, « Wenn Identität zur Schwachstelle wird: Deepfakes als Herausforderung für Compliance und Interne Kontrollsysteme », Der Betrieb 2026, 2408 (numéro 39).
- FBI Internet Crime Complaint Center, « Business Email Compromise: The $55 Billion Scam », annonce de service public, 11 septembre 2024 : ic3.gov