Détecter les Faux Documents d'Entreprise avec l'IA (Guide 2026)

Un Kbis retouché, un RC marocain inventé, un bilan « gonflé » pour décrocher du crédit, un faux RIB glissé dans une demande de changement de coordonnées bancaires : la fraude documentaire est devenue l'arme privilégiée des escrocs B2B, parce qu'un PDF se falsifie en quelques minutes et se transmet en un clic. Ce guide propose une typologie complète des faux documents (avec les signaux de détection propres à chaque type), explique ce que l'IA détecte vraiment — et ce qu'elle ne détecte pas — puis détaille un protocole de vérification croisée France + Maroc pour ne plus payer un destinataire fictif.

Pourquoi la fraude documentaire explose en 2026

Trois facteurs convergent. D'abord, la dématérialisation : on ne demande plus l'original papier, on accepte un scan ou un PDF par e-mail, ce qui supprime la plupart des barrières physiques (filigrane, cachet sec, encre). Ensuite, les outils d'édition grand public et les modèles génératifs permettent de produire un document plausible sans compétence technique. Enfin, la fraude documentaire est rarement une fin en soi : elle sert de vecteur à une escroquerie plus large — fraude au virement, fraude au président (FOVI), blanchiment via une société écran, ou détournement de crédit fournisseur.

Sur l'ampleur du phénomène, restons honnêtes : les chiffres publics agrègent des périmètres très différents (fraude interne, externe, cartes, identité). L'ordre de grandeur retenu par l'ACFE dans ses rapports « Report to the Nations » — une perte médiane qui se chiffre en dizaines de milliers de dollars par cas et un coût annuel estimé à plusieurs points de chiffre d'affaires pour les organisations victimes — donne une idée du risque, sans qu'il faille en faire une statistique propre à votre secteur. La leçon opérationnelle est simple : le coût d'un contrôle est dérisoire face au coût d'un paiement perdu.

Typologie des faux documents : 6 familles à connaître

Chaque type de document a sa logique propre, ses mentions obligatoires et donc ses points de faiblesse. Voici les six familles que l'on rencontre le plus souvent en due diligence fournisseur et en onboarding client.

1. Le faux Kbis (France)

Le Kbis est la « carte d'identité » de l'entreprise française. Les falsifications courantes : antidater un extrait périmé pour masquer une procédure collective récente, modifier le dirigeant ou le capital, ou fabriquer un Kbis de toutes pièces pour une société qui n'existe pas.

• Date d'extraction : un Kbis n'est « à jour » que quelques mois ; au-delà, il ne prouve plus rien. Un extrait de 6 mois présenté comme récent est un signal.
• SIREN à 9 chiffres conforme à la clé de Luhn et cohérent avec la dénomination.
• Greffe d'origine incohérent avec l'adresse du siège.
• Absence de code de vérification : les extraits authentiques comportent un identifiant de contrôle vérifiable en ligne.

Pour le détail des sept signes visuels et le contrôle en ligne, voir nos guides dédiés : Faux Kbis : 7 signes pour détecter une falsification et la méthode express détecter un faux Kbis en 30 secondes.

2. Le faux RC / extrait OMPIC (Maroc)

Côté marocain, l'équivalent du Kbis est le modèle J (extrait du Registre du Commerce) délivré par le greffe du tribunal de commerce, adossé au registre central tenu par l'OMPIC. Les faux jouent sur le fait que le document est moins familier aux acheteurs européens.

• Numéro RC attribué localement (par ville) : un RC d'une ville incohérent avec le siège déclaré est suspect.
• ICE à 15 chiffres exactement : l'Identifiant Commun de l'Entreprise est unique et national ; un ICE de longueur incorrecte est un faux évident.
• Cachet et mentions OMPIC manquants, flous ou décalés.
• Incohérence entre le RC, l'ICE et l'IF (Identifiant Fiscal) figurant sur le même document.

La parade est le croisement avec les registres officiels : voir vérifier une entreprise marocaine (RC, ICE, OMPIC), le tutoriel ICE complet et le panorama des 4 registres marocains à connaître.

3. Le faux bilan / liasse fiscale

C'est le faux le plus rentable pour le fraudeur, car il sert à obtenir du crédit, à remporter un marché exigeant une surface financière, ou à rassurer un acheteur. Deux variantes : le bilan entièrement fabriqué, et — plus dangereux — le bilan réel mais retouché (on gonfle le chiffre d'affaires, on efface une perte).

• Incohérences comptables internes : un actif qui n'égale pas le passif, un résultat net positif avec une trésorerie qui s'effondre, des capitaux propres qui ne se raccordent pas d'un exercice à l'autre.
• Montants « trop ronds » (exactement 1 000 000 €) ou ratios aberrants pour le secteur.
• Décalage avec le dépôt officiel : en France, les comptes sont déposés au greffe ; au Maroc, la liasse est transmise à la DGI. Un bilan qui ne correspond pas au document déposé est un faux.
• Absence de cachet/signature de l'expert-comptable ou du commissaire aux comptes, ou cachet incohérent.

Pour lire un bilan comme un analyste, voir du bilan au score de risque et les 7 red flags financiers d'un fournisseur.

4. La fausse facture

La facture falsifiée sert à la surfacturation, au détournement et au blanchiment. Elle est aussi le support classique de la fraude au virement quand l'IBAN a été substitué.

• Mentions légales FR manquantes : numéro séquentiel, date, SIRET, code APE, numéro de TVA, conditions de paiement, mention « TVA non applicable, art. 293 B du CGI » en franchise.
• Mentions légales MA : ICE, IF, RC, patente, et TVA (20 % en taux normal) quand applicable.
• Numérotation non séquentielle ou doublons.
• IBAN du bénéficiaire qui ne correspond pas au pays ou au nom de la société (voir ci-dessous).

5. Le faux RIB / changement de coordonnées bancaires

Le faux RIB est l'aboutissement de beaucoup d'attaques : un e-mail usurpant un fournisseur annonce un « nouveau RIB ». Le document peut être impeccable visuellement — le piège est ailleurs.

• Discordance nom du titulaire / nom du fournisseur : l'IBAN appartient à un particulier ou à une société tierce.
• Pays de l'IBAN incohérent avec l'implantation du fournisseur (un fournisseur marocain payé sur un IBAN d'un pays sans lien).
• Demande urgente et changement de canal (e-mail au lieu du portail habituel).

Aucune IA ne remplace ici le contre-appel sur un numéro connu. Voir arnaque au faux RIB : mécanisme et protection et fraude au virement bancaire en entreprise.

6. Les attestations (CNSS, fiscale, assurance)

Attestations de régularité sociale (CNSS au Maroc, URSSAF en France), attestations fiscales, attestations d'assurance décennale : très demandées en marché public et en sous-traitance, donc très falsifiées.

• Période de validité dépassée ou champ de date retouché.
• QR code / code de contrôle absent ou qui ne renvoie nulle part.
• Incohérence entre le numéro d'affiliation et la raison sociale.

Signaux de détection transversaux

Au-delà des spécificités par type, certains indices valent pour tout document.

Le rôle de l'IA — et ses limites honnêtes

L'intelligence artificielle change l'échelle et la vitesse de la détection, mais elle n'est pas magique. Voici ce qu'elle fait bien, et où elle s'arrête.

Ce que l'IA fait bien

• Extraction (OCR + vision) : lire un scan même médiocre, structurer les champs (identifiants, montants, dates) en quelques secondes — bien plus vite qu'un humain.
• Contrôles de cohérence interne : valider une clé de Luhn, vérifier qu'actif = passif, repérer une date d'échéance antérieure à l'émission, signaler un montant aberrant.
• Détection d'anomalies visuelles : polices mélangées, zones recompressées, cachet manquant.
• Mise à l'échelle : appliquer le même protocole à 500 documents sans fatigue ni biais d'attention.

Ce que l'IA ne fait PAS (et qu'aucun éditeur sérieux ne promet)

• Elle ne « prouve » pas l'authenticité. Un document parfaitement falsifié et cohérent ne déclenchera aucune anomalie interne. La preuve vient du croisement avec la source officielle, pas du document lui-même.
• Elle peut halluciner ou mal lire un champ : un score doit toujours être auditable (quels indices, quelle source) et relu par un humain pour les décisions sensibles.
• Elle ne détecte pas le faux RIB par analyse d'image : seul le contre-appel le neutralise.
• Elle ne remplace pas le registre. L'IA orchestre la vérification ; ce sont l'INSEE, Infogreffe, l'OMPIC, la DGI qui font foi.

La bonne posture, chez RiskSonnar comme ailleurs, est de produire un score d'authenticité 0-100 avec justification (un score < 50 = document à écarter ou à compléter ; > 80 = probablement authentique), et de rappeler que c'est une recommandation, jamais un verdict. La décision finale reste humaine.

Protocole de vérification croisée France + Maroc

Le seul contrôle réellement probant est le recoupement avec les bases officielles. Voici un protocole en 8 étapes, applicable des deux côtés du corridor.

1. Qualifier le scan : résolution et lisibilité ; un flou peut masquer une retouche, exigez mieux.
2. Extraire et valider les identifiants — FR : SIREN/SIRET vs INSEE/Infogreffe ; MA : RC + ICE vs OMPIC.
3. Contrôler les dates : émission, échéance, clôture, immatriculation, validité d'attestation.
4. Vérifier les mentions obligatoires propres au type et au pays.
5. Authentifier cachets et signatures : greffe (FR) ; OMPIC, DGI, CNSS (MA).
6. Croiser bilans et comptes : France au greffe / BODACC pour les procédures collectives ; Maroc via le dépôt DGI.
7. Screener dirigeants et entité contre les listes de sanctions et PEP. Côté Maroc, la source de gel d'avoirs est la CNASNU.
8. Documenter et horodater la vérification pour la défendre en cas d'audit LCB-FT.

Ce protocole s'intègre naturellement dans une démarche plus large d'évaluation du risque fournisseur France & Maroc et de KYC fournisseur. Pour le détail des sources mobilisées, voir notre page sources & méthodologie.

Quand exiger des pièces complémentaires

Si le score est intermédiaire (50-75) ou si un élément manque, demandez sans hésiter :

• Un Kbis original récent (FR) ou un extrait OMPIC avec cachet (MA), pas une simple copie.
• La dernière liasse fiscale avec cachet DGI au Maroc.
• Une attestation bancaire de compte actif au nom exact de la société.
• Une preuve d'adresse physique (bail commercial, facture d'énergie) pour écarter la domiciliation suspecte.

Un partenaire légitime fournit ces pièces sans difficulté. Un refus systématique ou des retards répétés sont, en eux-mêmes, un signal de risque.

FAQ — Détecter les faux documents

Une IA peut-elle garantir qu'un document est authentique ?

Non. Une IA détecte des anomalies et signale un risque, mais un faux parfaitement exécuté peut passer tous les contrôles internes. La seule garantie raisonnable vient du croisement avec la source officielle (INSEE, Infogreffe, OMPIC, DGI). L'IA accélère et fiabilise ce croisement ; elle ne le remplace pas.

Comment repérer un faux bilan rapidement ?

Trois réflexes : vérifier l'équilibre comptable (actif = passif) et la continuité des capitaux propres d'un exercice à l'autre ; comparer le document au dépôt officiel (greffe en France, DGI au Maroc) ; et confronter le cachet de l'expert-comptable ou du commissaire aux comptes. Un résultat positif avec une trésorerie qui s'effondre est un classique des bilans gonflés.

Quelle est la différence de vérification entre la France et le Maroc ?

En France, on s'appuie sur le SIREN/SIRET, Infogreffe, le BODACC et les comptes déposés au greffe. Au Maroc, l'entreprise se vérifie via le RC (par ville), l'ICE à 15 chiffres, l'OMPIC, et les dépôts à la DGI, avec attestations CNSS pour la régularité sociale. Les sanctions/gel d'avoirs côté marocain relèvent de la CNASNU.

Le faux RIB est-il détectable par l'IA ?

Très partiellement. L'IA peut signaler une incohérence nom-titulaire / pays de l'IBAN, mais un RIB visuellement parfait ne déclenchera rien. La seule parade fiable reste le contre-appel du fournisseur sur un numéro déjà connu, jamais celui indiqué dans l'e-mail suspect.

Combien de temps prend une vérification documentaire complète ?

Manuellement, recouper identifiants, registres, dates et listes de sanctions prend facilement 30 à 60 minutes par dossier. Avec une orchestration automatisée des sources, l'extraction et les croisements se font en quelques secondes ; le temps humain se concentre alors sur les cas à score intermédiaire — ce qui est précisément l'objectif.

Conclusion

Détecter un faux document ne se joue pas sur l'œil, mais sur la méthode : connaître la typologie, lire les signaux propres à chaque type, et surtout recouper systématiquement avec les registres officiels des deux pays. L'IA est un excellent copilote — rapide, exhaustif, infatigable — à condition de l'utiliser pour ce qu'elle est : un outil d'aide à la décision, transparent et auditable, pas un juge.

RiskSonnar croise 25 sources officielles France + Maroc et restitue un score d'authenticité documentaire avec justification et liste des pièces manquantes. Vérifiez un dirigeant ou une entreprise, ou découvrez notre couverture France et Maroc. Une recommandation défendable, jamais un verdict.