Mandats de virement : securitzeu-los amb la firma electrònica...

Per què els mandats de virement són en el punt de mira dels defraudadors?

Els mandats de virement constitueixen un dels punts de vulnerabilitat més explotats pels ciberdelinqüents. Segons l'informe anual 2025 del Banc de França sobre la seguretat dels mitjans de pagament, la fraude als transferències bancàries representa un perjudici estimat de 1,2 milió d'euros per a les empreses franceses. La tècnica anomenada « fals ordre de virement » (FOVI) o fraude al president es dirigeix precisament a la cadena d'aprovació documentària : un mandat mal securitzat, signat per un simple escanneig de parafle o enviat per correu electrònic sense autenticació, es converteix en una porta d'entrada ideal.

Front a aquesta realitat, la firma electrònica per a les empreses s'imposa com una resposta tècnica i jurídica robusta. No es limita a posar una imatge de firma en un PDF : crea una empremta criptogràfica única, amb segell horari, vinculada a la identitat verificada del signant. En aquesta guia, analitzem les qüestions pròpies dels mandats de virement, els nivells de firma a moure, el paper de l'autenticació bancària i la implementació operacional en els serveis financers i comptables.

---

Els diferents tipus de mandats de virement i els seus riscos respectius

Mandats puntuals vs mandats permanents

Un mandat de virement puntual autoritza una única transferència vers un beneficiari definit, per a un import i una data precisos. Un mandat permanent (també anomenat ordre recurrent) autoritza transferències repetides segons una freqüència convinguda. El risc no és simètric : un mandat permanent no revocat, o del qual el beneficiari ha estat modificat fraudulentament, pot generar pèrdues durant mesos abans de ser detectat.

Els mandats de devolució SEPA (SDD — SEPA Direct Debit) constitueixen un cas particular : permeten a un creditor deduir directament del compte del deutor després de la firma d'un mandat conforme a les regles del Scheme SEPA. La regulació SEPA imposa que aquest mandat sigui arxivat durant tota la durada de la relació comercial augmentada de 14 mesos després de l'última deducció — una restricció documentària forta que argumenta a favor de la desmaterialització securizida.

Els vectors de fraude documentària

Tres vectors concentren l'essència dels incidents declarats:

1. Falsificació post-firma : modificació del RIB o de l'import en un document signat manualment i transmès per correu electrònic, sense segell criptogràfic.
2. Usurpació d'identitat del signant : un mandat enviat des d'una adreça de correu electrònic compromesa, sense verificació d'identitat en temps real.
3. Absència de pista d'auditoria : impossibilitat de provar qui va signar què i quan, en cas de litigi amb el banc o un tercer.

La valor jurídica de la firma electrònica resideix precisament en la seva capacitat de neutralitzar aquests tres vectors simultàniament.

---

Quin nivell de firma electrònica per a un mandat de virement?

El reglament eIDAS (núm. 910/2014) defineix tres nivells de firma electrònica : simple (SES), avançada (AdES) i qualificada (QES). Per als mandats de virement, l'elecció del nivell ha de ser proporcional a l'import, a la recurrència i al perfil de risc de l'operació.

Firma electrònica avançada (AdES) : l'estàndard operacional

Per a la majoria dels mandats de virement d'empresa a empresa, la firma electrònica avançada constitueix l'equilibri òptim entre seguretat i practicabilitat. Respon als requisits següents definits per eIDAS :

• Vinculada de manera unívoca al signant
• Capaç d'identificar el signant
• Creada a partir de dades sota el control exclusiu del signant
• Vinculada a les dades signades de forma que detecti qualsevol modificació posterior

En la pràctica, això es tradueix en una autenticació multifactor (OTP SMS, aplicació mòbil TOTP o certificat de nivell substantiu), un segell PDF conforme a l'estàndard PAdES (ETSI EN 319 132), i un segell horari electrònic qualificat que fixa la data i l'hora de firma de forma infalsificable.

Firma qualificada (QES) : per a operacions de fort enjeu

Els transferències que superen certs llindar interns (sovint 50 000 € o 100 000 € segons les polítiques de control intern dels grans grups) o que impliquen contraparts sensibles (proveïdors estrangers en zones de risc, beneficiaris recentment registrats) mereixen una firma qualificada. Aquesta última requereix una verificació d'identitat cara a cara o per videidentificació davant d'un prestador de confiança qualificat (QTSP) reconegut per l'ANSSI.

La QES és l'única firma amb valor equivalent a la firma manuscrita a tota la Unió Europea, sense que sigui possible de contestar-la en aquest sol fonament. Per a un tresorer o un DAF, és una garantia irrefutable davant d'un consell d'administració o d'un auditor extern.

L'autenticació bancària forta com a capa complementària

La directiva DSP2 (revisada en DSP3 el 2026) imposa una autenticació forta del client (SCA — Strong Customer Authentication) per a la validació dels transferències pel costat del banc. Aquesta autenticació es basa en almenys dos factors entre : quelcom que l'usuari sap (contrasenya), posseeix (telèfon) o és (biometria).

És important distingir dos nivells d'intervenció :

• La firma del mandat (acte jurídic documentari) : rellevant per a eIDAS i al dret dels contractes.
• La validació de l'ordre de pagament (instrucció bancària) : rellevant per a DSP2/DSP3 i al contracte bancari.

aquestes dues capes són complementàries, no substituïbles. Una plataforma com Certyneo securitza la primera ; el vostre banc securitza la segona. Juntes, formen una cadena de prova completa, de la decisió d'emetrà l'ordre de transferència fins a la seva execució.

---

Implementació operacional : integrar la firma electrònica al circuit de validació dels mandats

Cartografiar els fluxos documentaris existents

Abans de qualsevol desplegament, convé cartografiar els fluxos : qui inicia el mandat? Qui el valida? Qui l'arxiva? En moltes pimes i ETI, aquest circuit continua passant per un muntatge d'emails, de fitxers compartits en xarxa interna i validacions verbals. Aquesta opacitat és en sí mateixa un risc operacional senyalat en les recomanacions del COSO (Committee of Sponsoring Organizations of the Treadway Commission) sobre el control intern.

Un comparatiu de solucions de firma electrònica us ajudarà a identificar la plataforma adaptada al vostre volum i a les vostres restriccions d'integració (ERP, TMS, portal de proveïdors).

Configurar els fluxos d'aprovació multisignant

La regla dels quatre ulls (doble validació) és una bona pràctica de control intern recomanada per l'AMF i pels comissaris de comptes per als mandats de virement. Les plataformes de firma modernes permeten configurar :

• Seqüències de firma (el signant A ha de validar abans que el signant B)
• Llindar de delegació (el director financer signa sol fins a X €, co-firma director general més enllà)
• Alertes i relançaments automàtics amb journalització amb segell horari de cada acció
• Procuracions electrònicas per a períodes d'absència, la gestió de les quals és detallada en la nostra guia sobre la procuració i el mandat

Arxivament i pista d'auditoria : les exigències documentàries

Cada mandat de virement signat electrònicament ha de ser arxivat amb la seva prova de firma (certificate chain, informe d'auditoria, hash SHA-256 del document). Aquest arxivament ha de ser probatori : llegible, íntegre i accessible durant tota la durada legal de conservació (10 anys per als documents comptables segons l'article L. 123-22 del Codi de comerç).

Les solucions conformes generen automàticament un fitxer de prova (LTV — Long Term Validation) integrat al PDF signat, que permet verificar la validesa de la firma fins i tot després de l'expiració del certificat inicial. Es una exigència de les normes ETSI EN 319 132 (PAdES-LTV).

---

Els beneficis mesurables per a les direccions financeres

Reducció del risc de fraude i dels costos associats

D'acord amb un estudi de la Association of Certified Fraud Examiners (ACFE) de 2024, les organitzacions amb controls documentaris digitals registren en mitjana 52 % menys de pèrdues relacionades amb la fraude interna i externa que aquelles que es recolzen en processos de paper. La firma electrònica avançada elimina en particular la possibilitat de modificar un document després de la firma, eliminant de facto la falsificació post-enviament.

Acceleració dels cicles d'aprovació

Un circuit de validació de paper per a un mandat de virement tarda en mitjana 3 a 7 dies laborals en una empresa de mida intermèdia (segons una enquesta Kyriba/Ipsos 2025 sobre la tresoreria empresarial). El pas al digital redueix aquest retard a pocs d'hores, fins i tot minuts per a operacions rutinàries amb flux de treball preconfigurats. Per a un tresorer que gestiona necessitats de liquiditat en temps real, aquest guany és estratègic.

Conformitat facilitada i auditoria simplificada

En un control fiscal o en una auditoria legal, la reconstrucció de les validacions internes sobre mandats de virement és una tasca que consumeix temps. Amb un sistema de firma electrònica, cada mandat va acompanyat d'un diari d'auditoria immutable : data, hora, adreça IP, identificador del signant, resultat de l'autenticació. Aquest nivell de traçabilitat respon directament a les expectatives dels comissaris de comptes i a les de la DGFiP en matèria de pista d'auditoria fiable (PAF).

Marc legal aplicable als mandats de virement signats electrònicament

Dret comú dels contractes i força probatòria

En dret francès, l'article 1366 del Codi civil planteja el principi general : « L'escrit electrònic té la mateixa força probatòria que l'escrit en suport paper, amb la condició que pugui ser correctament identificada la persona de la qual prové i que sigui establert i conservat en condicions que en garanteixin la integritat. » L'article 1367 precisa que la firma electrònica consisteix en l'ús d'un procediment fiable d'identificació que en garanteix el vincle amb l'acte al qual s'adjunta.

Aquestes disposicions es complementen amb el decret núm. 2017-1416 de 28 de setembre de 2017 relatiu a la firma electrònica, que precisa que la fiabilitat d'un procediment de firma electrònica es presumeix fins a prova en contrari quan implementa una firma electrònica qualificada en el sentit del reglament eIDAS.

Reglament eIDAS núm. 910/2014 i la seva revisió eIDAS 2.0

El reglament eIDAS núm. 910/2014 constitueix la base reguladora europea. Estableix un marc únic per al reconeixement mutu de les signatures electròniques als 27 estats membres. L'article 25(1) estableix que una firma electrònica no pot se li refusar un efecte jurídic únicament pel motiu que es presenta sota una forma electrònica. L'article 25(2) confereix a la firma qualificada el mateix valor jurídic que la firma manuscrita. El 2024, el reglament eIDAS 2.0 (reglament UE 2024/1183) va reforçar el marc introduint la cartera europea d'identitat digital (EUDIW) i ampliant la llista dels prestadors de confiança qualificats.

Per als mandats de devolució SEPA, les Scheme Rules EPC (European Payments Council) exigeixen un mandat signat pel deutor, conservat pel creditor, conforme als estàndards d'identificació. La firma electrònica avançada és expressament reconeguda per les directrius EPC com a mode de firma vàlid.

Directiva DSP2 / DSP3 i autenticació forta

La directiva DSP2 (2015/2366/UE), transposada en dret francès a l'article L. 133-44 del Codi monetari i financer, imposa l'autenticació forta (SCA) per a la validació dels transferències en línia que superen 30 €. La revisió en DSP3 (paquet legislatiu adoptat el 2024, entrada en vigència progressiva 2025-2026) reforça els requisits de seguretat i amplia la responsabilitat dels prestadors de serveis de pagament en cas de fraude no detectada.

RGPD i tractament de dades d'autenticació

El tractament de dades biomètriques i de dades d'autenticació col·lectades durant la firma rellevant de l'article 9 del RGPD núm. 2016/679 (dades sensibles) i requereix una base legal explícita. Els prestadors qualificats (QTSP) han de disposar d'una anàlisi d'impacte (AIPD/DPIA) documentada. Les dades de firma han de ser minimitzades, xifrades en repòs i en trànsit, i suprimit conforme a les duracions de conservació definides.

Normes tècniques ETSI

Els formats de firma reconeguts a Europa es defineixen per les normes ETSI EN 319 132 (PAdES per a PDF), ETSI EN 319 122 (CAdES) i ETSI EN 319 162 (XAdES). Per als mandats de virement arxivats a llarg termini, el format PAdES-LTV (Long Term Validation) es recomana perquè integra les informacions de validació necessàries per a la verificació futura de la firma, independentment de la durada de vida del certificat.

Escenaris d'ús : mandats de virement securitzats per firma electrònica

Escenari 1 — Una ETI industrial que gestiona 400 mandats de proveïdors per trimestre

Una empresa de mida intermèdia del sector manufacturador, amb aproximadament 350 empleats i una base de 120 proveïdors actius, tractava els seus mandats de virement mitjançant un procés híbrid : iniciació en l'ERP, impressió PDF, firma manuscrita del director financer o del seu adjunt, escaneig i arxivament en un servidor compartit.

Després d'un intent de fraude al fals virement identificat a temps (modificació del RIB en un fitxer PDF no segellat transmès per correu electrònic), la direcció va desplegar una solució de firma electrònica avançada integrada a l'ERP per mitja d'API. Resultats observats després de 6 mesos :

• Retard mitjà de validació : passat de 4,2 dies a 6 hores
• Cost de tractament per mandat : reduït en un 38 % (eliminació d'impressions, escanneigs, correus interns)
• Pista d'auditoria completa : disponible en temps real per al comissari de comptes, sense reconstrucció manual
• Cero incident de fraude documentària en el període de seguiment

Escenari 2 — Un agrupament de col·lectivitats locals i els seus mandats de subvenció

Un agrupament intercomunal que agrupa una desena de municipis gestionava mandats de virement de subvencions destinats a associacions locals, per a un volum anual d'aproximadament 2 000 operacions. La firma dels consellers responsables es realitzava en consells comunitaris, amb retards imposats pels calendaris dels consellers i riscos de pèrdua documentària.

La desmaterialització dels mandats amb firma electrònica avançada, integrada al programari de gestió comptable pública, va permetre :

• La firma a distància pels consellers des del seu espai personal securitzat, sense presència física obligatòria
• La conformitat al marc Hélios (compatibilitat amb el protocol d'intercanvi de l'Estat per a les col·lectivitats)
• Una reducció de 60 % del retard de posada en pagament de les subvencions (de 22 dies en mitjana a 9 dies)
• Un arxivament automatitzat conforme als requisits de les cambres regionals de comptes

Escenari 3 — Un gabinet de gestió de patrimoni i els mandats dels seus clients

Un gabinet de gestió de patrimoni independent (aproximadament 25 col·laboradors, 800 clients actius) havia de recull mandats de virement signats dels seus clients per a l'execució d'arbitratges en comptes-títols i contractes d'assegurança de vida. El procés postal trigava en mitjana 8 dies, amb una taxa de retorn incomplet de 15 % (firma absenta, data absenta, etc.).

Després del desplegament d'una solució de firma electrònica amb curs d'identificació reforçada (verificació de document d'identitat + OTP), els indicadors es van transformar :

• Retard de col·lecció del mandat signat : reduït a menys de 2 hores en mitjana
• Taxa de mandats incomplets : caiguda a menys de l'1 % gràcies als controls de complecció automàtics abans de la firma
• Satisfacció del client mesurada per NPS : guany de +18 punts en el criteri « simplicitat dels tràmits administratius »
• Conformitat reforçada als requisits de l'AMF sobre la traçabilitat de les instruccions dels clients (article 16 MiFID II)

Conclusió

Els mandats de virement signats electrònicament ja no són un luxe reservat per a les grans empreses : constitueixen avui l'estàndard mínim de seguretat i conformitat per a qualsevol actor que gestiona fluxos financers sensibles. En combinar firma electrònica avançada o qualificada, autenticació forta i segell horari probatori, neutralitzeu els principals vectors de fraude mentre accelereu els vostres cicles d'aprovació i simplifiqueu les vostres audities.

El marc jurídic europeu — eIDAS, DSP2/DSP3, Codi civil — és ara madur i reconegut pels bancs, pels comissaris de comptes i per les jurisdiccions. Només mancat la implementació.

Certyneo us acompanya en la securització dels vostres mandats de virement amb una plataforma conforme a eIDAS, integrable als vostres outils existents i utilitzable sense formació tècnica. Descobriu els preus de Certyneo o estimeu el vostre retorn de la inversió per a llançar el vostre projecte avui mateix.