Le règlement européen (UE) 2024/886, applicable depuis le 9 octobre 2025, a rendu obligatoire la vérification du nom du bénéficiaire associé à un IBAN pour les virements en euros dans la zone SEPA. Cette obligation modifie en profondeur les pratiques de contrôle, mais elle ne supprime pas les limites structurelles liées au secret bancaire et à la couverture géographique du dispositif.
Verification of Payee SEPA : ce que le règlement change concrètement
Le mécanisme imposé par le règlement repose sur une comparaison automatisée entre le nom du bénéficiaire saisi par l’émetteur et celui enregistré auprès de la banque réceptrice. Le prestataire de services de paiement doit proposer ce contrôle gratuitement, aussi bien pour les virements classiques que pour les virements instantanés.
Le résultat renvoyé se limite à quatre réponses possibles : correspondance, correspondance proche, absence de correspondance ou vérification impossible. Aucune identité complète n’est transmise à l’émetteur. Le dispositif avertit, mais ne bloque pas automatiquement le virement.
Nous retrouvons régulièrement des informations sur Guide Banque qui détaillent les cas pratiques de cette vérification pour les particuliers comme pour les professionnels.
Un point technique que la plupart des articles grand public n’abordent pas : les délais d’application sont échelonnés selon le pays et le type de prestataire. Tous les établissements de la zone euro ne sont pas encore opérationnels sur ce contrôle, ce qui crée des disparités temporaires selon la banque du bénéficiaire.
Périmètre réel de la vérification IBAN hors zone SEPA
L’obligation de vérification nom-IBAN concerne exclusivement les prestataires établis dans l’Union européenne ou l’EEE, pour des virements libellés en euros et relevant du cadre SEPA. Un virement vers un compte détenu auprès d’un établissement situé hors de ce périmètre peut ne bénéficier d’aucune comparaison automatisée.
En pratique, cela signifie qu’un virement en euros vers un IBAN suisse, britannique post-Brexit, ou émis par un prestataire de monnaie électronique non-EEE, échappe potentiellement à toute vérification de bénéficiaire. Le risque de virement frauduleux reste donc entier dans ces cas de figure.
Pour les entreprises qui traitent des flux internationaux, nous recommandons de ne pas s’appuyer uniquement sur le dispositif réglementaire SEPA. Les solutions de vérification par interrogation bancaire directe (SWIFT gpi, par exemple) ou par open banking couvrent un périmètre plus large, mais ne sont pas normalisées et dépendent des accords bilatéraux entre établissements.
Limites du contrôle d’IBAN face à la fraude par manipulation
Le rapport 2025 de l’Observatoire de la sécurité des moyens de paiement met en lumière une hausse marquée des fraudes par manipulation. Le scénario classique reste l’arnaque au faux fournisseur ou au faux conseiller bancaire, où la victime transmet elle-même un IBAN frauduleux après avoir été trompée par ingénierie sociale.
La vérification du nom du bénéficiaire ne protège pas contre ce type de fraude lorsque le fraudeur a ouvert un compte à son propre nom (ou au nom d’une société-écran). Le couple nom-IBAN est alors techniquement cohérent, et le contrôle renvoie une correspondance positive.
Trois situations où la vérification automatisée est insuffisante :
- Le fraudeur utilise un IBAN virtuel émis par un prestataire de monnaie électronique, rattaché à une identité vérifiée mais détournée de son usage initial.
- Le bénéficiaire légitime a changé de banque récemment et l’ancien IBAN est recyclé ou réattribué, ce qui génère une correspondance proche trompeuse.
- Le virement cible un pays où le prestataire récepteur n’a pas encore déployé le mécanisme de vérification, renvoyant systématiquement « vérification impossible ».
Un résultat « vérification impossible » ne signifie pas que l’IBAN est frauduleux, mais il impose une vigilance renforcée : appel direct au bénéficiaire sur un numéro connu, recoupement avec un justificatif d’identité bancaire (RIB) obtenu par un canal distinct.
Contrôle manuel de l’IBAN : ce que la structure technique révèle
Avant toute vérification de bénéficiaire, la structure même de l’IBAN permet d’éliminer les coordonnées manifestement invalides. Les deux premières lettres identifient le pays (FR pour la France), suivies de deux chiffres de contrôle calculés selon la norme ISO 7064 (modulo 97). Un IBAN dont la clé de contrôle ne correspond pas à la séquence du numéro de compte est nécessairement erroné.
En France, les caractères suivants permettent d’identifier l’établissement bancaire (code banque sur cinq chiffres) et le guichet (cinq chiffres). Ces informations sont publiques et consultables dans les annuaires d’établissements de la Banque de France. Identifier la banque ne revient pas à identifier le titulaire, mais cela permet de détecter un IBAN incohérent avec les informations déclarées par un fournisseur ou un partenaire.
Pour les IBAN étrangers, la longueur varie selon le pays. Un IBAN allemand comporte un nombre de caractères différent d’un IBAN espagnol. Vérifier la longueur attendue par rapport au code pays détecte les erreurs de saisie grossières avant même de solliciter un service de validation.
Stratégie de vérification IBAN en entreprise : combiner les couches
Nous observons que les entreprises les mieux protégées superposent plusieurs niveaux de contrôle plutôt que de s’appuyer sur un seul mécanisme :
- Contrôle syntaxique automatisé (validité de la clé, longueur, code pays) à la saisie dans l’ERP ou le logiciel de trésorerie.
- Vérification du bénéficiaire via le dispositif SEPA obligatoire pour les virements en euros intra-EEE.
- Recoupement documentaire : demande d’un RIB signé ou cacheté, comparaison avec les coordonnées bancaires historiques du tiers.
- Contre-appel systématique lors de tout changement de coordonnées bancaires, sur un numéro de téléphone préalablement enregistré.
Le changement de coordonnées bancaires est le moment le plus critique du cycle de paiement. La majorité des fraudes au faux fournisseur interviennent précisément lors de cette étape, quand la vigilance se relâche face à une demande qui semble administrative.
Le dispositif réglementaire SEPA représente un filet de sécurité supplémentaire, pas un substitut au contrôle interne. Les résultats de type « correspondance proche » ou « vérification impossible » doivent déclencher un processus d’investigation, jamais être ignorés pour accélérer un paiement.
