Vérifier un fournisseur français avant de payer

Trois situations amènent à la même question. Un fournisseur inconnu vous adresse sa première facture. Un fournisseur habituel vous écrit que ses coordonnées bancaires ont changé. Ou bien une facture arrive d’un nom que personne dans l’équipe ne reconnaît, avec un délai de règlement court et un ton pressant. Dans les trois cas, la question est la même : que peut-on établir, tout de suite, à partir des seuls éléments écrits sur la facture. La réponse est utile mais bornée, et il vaut mieux connaître la borne avant de s’appuyer dessus.

Ce que la facture doit déjà porter

La fiche officielle des mentions obligatoires sur une facture, dans sa version relue le 11 août 2026, distingue selon la forme juridique du vendeur.

Pour un entrepreneur individuel, la facture porte ses nom et prénom précédés ou suivis de la mention « Entrepreneur individuel ou EI », son adresse et son numéro SIREN. Pour une société, elle porte la dénomination sociale, le numéro SIREN, l’adresse du siège social, la forme juridique et le montant du capital social.

Une facture française conforme vous donne donc déjà tout ce qu’il faut pour interroger le répertoire : un numéro à neuf chiffres et un nom censé lui correspondre. C’est ce couple que l’on contrôle, et non le numéro seul. Si l’un des deux manque, le contrôle ne peut pas commencer, et c’est déjà une information : la fiche officielle range ces mentions parmi les obligations, pas parmi les usages.

Les cinq contrôles qu’une fiche permet

Tapez le numéro à neuf chiffres, ou le nom de l’entreprise, dans la recherche pour ouvrir la fiche. Si vous avez un identifiant sous les yeux et un doute sur ce qu’il désigne, le décodeur d’identifiants sépare le SIREN du SIRET et du numéro de TVA.

Le SIREN résout vers la dénomination portée par la facture. L’INSEE définit le SIREN comme « un identifiant de neuf chiffres attribué à chaque unité légale », l’unité légale étant « une entité juridique de droit public ou privé » et « l’unité principale enregistrée dans Sirene ». Le nom retourné par le répertoire et le nom imprimé sur la facture doivent désigner la même personne juridique. Une différence de casse ou d’enseigne n’est pas un problème ; une dénomination sans rapport en est un. Cette valeur vient du registre de l’État et pas d’un calcul fait ici, ce que la pastille Enregistrement officiel dit sur la ligne du SIREN dans le tableau des identifiants.

L’adresse correspond au siège ou à un établissement. Le SIRET est « un identifiant d’établissement » de quatorze chiffres dont la première partie « est le numéro Siren de l’unité légale ». Une entreprise a donc autant d’adresses que d’établissements, et une adresse de facturation différente du siège n’a rien d’anormal. Ce qui compte est qu’elle corresponde à quelque chose d’enregistré.

L’état administratif est actif. Le répertoire suit l’état administratif des unités qu’il référence, fermé ou actif, et l’INSEE y enregistre les créations, les modifications et les cessations. La fiche affiche cet état tel qu’il est reçu.

La clé du numéro de TVA tombe juste. En France, indique la fiche officielle, « le numéro est constitué du code FR, d’une clé informatique (2 chiffres) et du numéro Siren de l’entreprise (9 chiffres) ». La clé se recalcule à partir du SIREN, ici, sans interroger personne : c’est un calcul, et il porte donc la pastille Format valide, non vérifié. Si le numéro que vous avez saisi ne correspond pas à celui du registre, la pastille Ne correspond pas le dit. Seule une réponse VIES positive, horodatée, fait passer la valeur sous la pastille Validé par VIES, et cette réponse porte sa date d’obtention parce qu’elle ne vaut que pour l’instant où elle a été donnée.

La date de création est lisible telle quelle. Une entreprise créée la semaine dernière n’est pas suspecte, mais elle explique beaucoup de choses, à commencer par un numéro de TVA pas encore actif. Cette date est affichée comme le répertoire la donne.

Si le numéro ne renvoie à rien, la pastille Aucun enregistrement trouvé apparaît : un numéro à neuf chiffres bien formé qui ne correspond à aucun enregistrement n’est pas un numéro mal recopié.

Ce qu’une fiche ne prouve pas

Quatre limites, et elles sont exactement celles qui comptent le jour où une fraude est en cours.

Une fiche n’affiche aucune coordonnée bancaire. Une fiche parfaitement conforme est donc compatible avec un RIB frauduleux.

Une fiche ne dit pas que la personne qui vous écrit est l’entreprise. Elle établit qu’une entreprise portant ce nom et ce numéro est enregistrée, et rien entre cet enregistrement et l’adresse électronique qui vous a envoyé le document.

Une fiche ne dit pas que la facture est authentique. Un numéro réel, appartenant à une entreprise réelle et active, peut figurer sur un document que cette entreprise n’a jamais émis. C’est le mode opératoire décrit par Cybermalveillance.gouv.fr : « une variante consiste à usurper l’identité d’un fournisseur pour communiquer de nouvelles coordonnées bancaires (changement de RIB) sur lesquelles il faut effectuer un règlement ».

S’y ajoute une limite de fraîcheur, que l’INSEE énonce à propos des cessations d’activité : « cette information n’arrive que très tardivement à l’Insee, quand elle arrive ». Un état actif est un état reçu du répertoire à la date affichée, et non une garantie sur la situation d’aujourd’hui.

La règle du RIB

Elle tient en une phrase, et elle est écrite noir sur blanc par le dispositif public d’assistance : « contactez directement votre créancier pour toute demande de virement sur un nouveau RIB reçu par message », en l’appelant « sur son numéro habituel pour lui faire confirmer le message et les coordonnées du RIB reçus ».

Le point important est le canal. La confirmation ne vaut que si elle emprunte un chemin que vous connaissiez avant la demande : le numéro de votre fiche fournisseur, pas celui de la signature du courriel. Répondre au message pour demander confirmation revient à demander à l’escroc s’il est bien l’escroc.

Tracfin liste les signaux qui accompagnent ces demandes : une « demande inhabituelle dans le but d’obtenir un traitement urgent et confidentiel », une « demande de modification de coordonnées bancaires correspondant à un compte tenu dans une néo-banque ou une banque étrangère », une « discordance entre les informations du RIB et le BIC », un « défaut de vérification de l’identité des interlocuteurs ». Aucun de ces signaux ne se lit sur une fiche d’entreprise, et c’est pourquoi les deux contrôles sont complémentaires plutôt que substituables.

Le même dispositif recommande « une procédure de vérification et de validation hiérarchique interne non dérogeable » pour les demandes de virement imprévues et les changements de coordonnées bancaires. C’est une mesure d’organisation : elle ne dépend d’aucun registre.

Passer au registre officiel

Le contrôle décrit ici lit des données publiques et les affiche avec leur origine. Pour un dossier qui doit tenir devant un tiers, la pièce officielle existe et elle est gratuite : l’avis de situation au répertoire Sirene, délivré par le service de l’INSEE.

C’est aussi le bon réflexe quand une donnée vous paraît fausse. Les demandes de modification passent par le guichet unique des formalités, et l’INSEE « enregistrera automatiquement et gratuitement au répertoire Sirene les informations déclarées ». Rien ne se corrige ici, et rien ne devrait s’y corriger.

Si le doute porte sur la TVA plutôt que sur l’identité, la fiche officielle rappelle qu’« il est recommandé de vérifier le numéro de TVA intracommunautaire qui figure obligatoirement sur les factures avant chaque transaction ». Le contrôle de forme se fait ici ; la validation appartient au service européen et arrive avec sa date.