Girovisie-mandaten: beveilig ze met elektronische handtekeningen

Waarom zijn girovisie-mandaten in het vizier van fraudeurs?

Girovisie-mandaten behoren tot een van de meest uitgebuite kwetsbaarsten door cybercriminelen. Volgens het jaarrapport 2025 van de Banque de France over de veiligheid van betalingsmiddelen vertegenwoordigt fraude bij girovisies een schadevergoeding van ongeveer 1,2 miljard euro voor Franse bedrijven. De zogenaamde techniek van de « nepgirovisie » (FOVI) of fraude van de president richt zich precies op de goedkeuringsketen van documenten: een slecht beveiligd mandat, ondertekend met een eenvoudige scan van een paraf of per e-mail zonder verificatie, wordt een ideale ingang.

Gezien deze werkelijkheid is de elektronische handtekening voor bedrijven een robuuste technische en juridische oplossing. Het gaat niet alleen om een handtekeningafbeelding op een PDF: het maakt een unieke cryptografische vingerafdruk, voorzien van een tijdstempel en gekoppeld aan de geverifieerde identiteit van de ondertekenaar. In deze gids analyseren we de specifieke risico's van girovisie-mandaten, de handtekeningsniveaus die moeten worden gebruikt, de rol van bankverificatie en de operationele implementatie in financiële en boekhoudkundige services.

---

De verschillende soorten girovisie-mandaten en hun respectieve risico's

Eenmalige mandaten versus permanente mandaten

Een eenmalig girovisie-mandat autoriseert één enkele overdracht naar een bepaalde begunstigde, voor een gespecificeerd bedrag en een bepaalde datum. Een permanent mandat (ook wel terugkerend bevel genoemd) autoriseert herhaalde girovisies volgens een overeengekomen frequentie. Het risico is niet symmetrisch: een niet ingetrokken permanent mandat, of waarvan de begunstigde frauduleus is gewijzigd, kan gedurende maanden verliezen veroorzaken voordat het wordt opgemerkt.

De SEPA-incasso-mandaten (SDD — SEPA Direct Debit) vormen een bijzonder geval: ze stellen een crediteur in staat direct van de rekening van de debiteur in te dienen na ondertekening van een mandat dat voldoet aan de regels van het SEPA-schema. De SEPA-verordening vereist dat dit mandat gedurende de gehele relatie plus 14 maanden na de laatste incasso wordt gearchiveerd — een sterke documentaire verplichting die pleit voor veilige digitalisering.

Vectoren van documentaire fraude

Drie vectoren concentreren het merendeel van de gerapporteerde incidenten:

1. Vervalsing na ondertekening: wijziging van IBAN of bedrag op een handmatig ondertekend document dat per e-mail is verzonden, zonder cryptografische afsluiting.
2. Identiteitsusurpatie van de ondertekenaar: een mandat verzonden vanaf een gecompromitteerd e-mailadres, zonder real-time identiteitsverificatie.
3. Afwezigheid van controlespoor: onmogelijkheid aan te tonen wie wat en wanneer heeft ondertekend, in geval van geschil met de bank of een derde.

De juridische waarde van elektronische handtekeningen ligt precies in het vermogen deze drie vectoren tegelijk onschadelijk te maken.

---

Welk niveau van elektronische handtekening voor een girovisie-mandat?

De verordening eIDAS (nr. 910/2014) definieert drie niveaus van elektronische handtekeningen: eenvoudig (SES), geavanceerd (AdES) en gekwalificeerd (QES). Voor girovisie-mandaten moet de keuze van het niveau evenredig zijn met het bedrag, de frequentie en het risicoprofiel van de transactie.

Geavanceerde elektronische handtekening (AdES): de operationele standaard

Voor het merendeel van de girovisie-mandaten van bedrijf naar bedrijf is de geavanceerde elektronische handtekening het optimale evenwicht tussen veiligheid en bruikbaarheid. Het voldoet aan de volgende vereisten van eIDAS:

• Ondubbelzinnig gekoppeld aan de ondertekenaar
• In staat de ondertekenaar te identificeren
• Gemaakt op basis van gegevens onder exclusieve controle van de ondertekenaar
• Gekoppeld aan de ondertekende gegevens op een manier die detectie van latere wijzigingen mogelijk maakt

Dit vertaalt zich in de praktijk in multi-factor authenticatie (OTP SMS, mobiele TOTP-app of certificaat van aanzienlijk niveau), PDF-afsluiting conform de PAdES-norm (ETSI EN 319 132), en een gekwalificeerde elektronische tijdstempel die de datum en tijd van ondertekening op onvervalsbare wijze vastlegt.

Gekwalificeerde handtekening (QES): voor gevoelige transacties

Girovisies die bepaalde interne drempels overschrijden (vaak 50.000 € of 100.000 € afhankelijk van het interne controlebeleid van grote groepen) of waarbij gevoelige tegenpartijen betrokken zijn (buitenlandse leveranciers in risicopgebieden, nieuw geregistreerde begunstigden) verdienen een gekwalificeerde handtekening. Deze vereist persoonlijke identiteitsverificatie of video-identificatie bij een gekwalificeerde vertrouwensverlener (QTSP) erkend door de ANSSI.

QES is de enige handtekening met gelijkwaardige waarde aan een handgeschreven handtekening in de hele Europese Unie, zonder mogelijk ervan op deze grond alleen bezwaar te maken. Voor een penningmeester of CFO is dit een onweerlegbare garantie tegen een raad van bestuur of externe auditor.

Sterke bankverificatie als aanvullende laag

De richtlijn DSP2 (herzien naar DSP3 in 2026) verplicht sterke klantverificatie (SCA — Strong Customer Authentication) voor validatie van girovisies aan de bankzijde. Deze verificatie rust op minimaal twee factoren: iets wat de gebruiker weet (wachtwoord), bezit (telefoon) of is (biometrie).

Het is belangrijk onderscheid te maken tussen twee interventieniveaus:

• Ondertekening van het mandat (juridische handeling van document): valt onder eIDAS en contractenrecht.
• Validatie van de betalingsopdracht (bankverordening): valt onder DSP2/DSP3 en de bankovereenkomst.

Deze twee lagen zijn aanvullend, niet vervangbaar. Een platform als Certyneo beveiligt de eerste; uw bank beveiligt de tweede. Samen vormen zij een volledige bewijsketen, van het besluit tot uitgifte van de girovisie tot de uitvoering ervan.

---

Operationele implementatie: elektronische handtekeningen integreren in het validatiecircuit van mandaten

Documentaire stromen in kaart brengen

Voorafgaand aan enige implementatie is het raadzaam bestaande stromen in kaart te brengen: wie initieert het mandat? Wie valideert het? Wie archiveert het? In veel mkb's en midden- en kleinbedrijven gaat dit circuit nog steeds via e-mailverzamelingen, bestanden op het interne netwerk en mondelinge validaties. Deze ondoorzichtigheid is zelf een operationeel risico zoals aangegeven in aanbevelingen van de COSO (Committee of Sponsoring Organizations of the Treadway Commission) over interne controle.

Een vergelijking van elektronische handtekeningoplossingen helpt u het platform te identificeren dat geschikt is voor uw volume en integratiebehoeften (ERP, TMS, leveranciersportaal).

Goedkeuringswerkstromen voor meerdere ondertekenaars configureren

De regel van vier ogen (dubbele validatie) is een aanbevolen interne controlpraktijk door de AMF en registeraccountants voor girovisie-mandaten. Moderne handtekeningsplatforms bieden de mogelijkheid om in te stellen:

• Handtekeningsreeksen (ondertekenaar A moet valideren voordat ondertekenaar B)
• Delegatiedrempels (de financieel directeur ondertekent alleen tot X €, co-ondertekening directeur-generaal daarboven)
• Automatische waarschuwingen en herinneringen met getijdde journalregistratie van elke actie
• Elektronische volmachten voor afwezigheidsperioden, waarvan het beheer wordt behandeld in onze gids over volmacht en mandat

Archivering en controlespoor: vereisten voor documentbeheer

Elk elektronisch ondertekend girovisie-mandat moet worden gearchiveerd met zijn handtekeningsbewijs (certificaatketen, auditrapport, SHA-256-hash van het document). Deze archivering moet bewijsvoerend zijn: leesbaar, intact en toegankelijk gedurende de volledige wettelijke bewaartermijn (10 jaar voor boekhoudkundige documenten volgens artikel L. 123-22 van het Handelscode).

Conforme oplossingen genereren automatisch een bewijsbestand (LTV — Long Term Validation) dat in de ondertekende PDF is geïntegreerd, waardoor de geldigheid van de handtekening kan worden geverifieerd, zelfs na verloop van het oorspronkelijke certificaat. Dit is een vereiste van de ETSI EN 319 132-normen (PAdES-LTV).

---

Meetbare voordelen voor financiële directies

Vermindering van frauderisico en bijbehorende kosten

Volgens een onderzoek van de Association of Certified Fraud Examiners (ACFE) van 2024 registreren organisaties met digitale documentcontrolesystemen gemiddeld 52% minder verliezen door interne en externe fraude dan organisaties die op papiergestuurde processen vertrouwen. Elektronische handtekening elimineert met name de mogelijkheid een document na ondertekening te wijzigen, waardoor vervalsing na verzending van feit wordt opgeheven.

Versnelling van goedkeuringscycli

Een papierengoedkeuringscircuit voor een girovisie-mandat duurt gemiddeld 3 tot 7 werkdagen in een middelgrote onderneming (volgens een Kyriba/Ipsos-enquête van 2025 over bedrijfstreasury). De overstap naar digitaal brengt deze termijn terug tot enkele uren, of zelfs minuten voor routineactiviteiten met voorgeconfigureerde workflow. Voor een penningmeester die in real-time liquiditeitsbehoefte beheert, is deze winst strategisch.

Vereenvoudigde naleving en vereenvoudigd audit

Bij controle door de belastingdienst of een wettelijke audit is het reconstrueren van interne goedkeuringen voor girovisie-mandaten een tijdrovende taak. Met een elektronisch handtekeningensysteem wordt elk mandat vergezeld van een onveranderlijk auditlogboek: datum, uur, IP-adres, ondertekenaar-ID, authenticatieresultaat. Dit traceringsniveau voldoet rechtstreeks aan de verwachtingen van registeraccountants en die van de DGFiP met betrekking tot betrouwbare audittrail (PAF).

Wettelijk kader voor elektronisch ondertekende girovisie-mandaten

Algemeen contractenrecht en bewijskracht

In het Franse recht stelt artikel 1366 van het Burgerlijk Wetboek het algemene beginsel vast: « Elektronische schrift heeft dezelfde bewijskracht als schrift op papier, mits de persoon van wie het afkomstig is naar behoren kan worden geïdentificeerd en het onder omstandigheden is opgesteld en bewaard die de integriteit ervan waarborgen. » Artikel 1367 verduidelijkt dat elektronische handtekening uit het gebruik van een betrouwbaar herkenningsproces bestaat dat zijn verbinding met de handeling waaraan het is gekoppeld waarborgt.

Deze bepalingen worden aangevuld door besluit nr. 2017-1416 van 28 september 2017 over elektronische handtekeningen, die verduidelijkt dat de betrouwbaarheid van een elektronisch handtekeningsproces vermoed wordt tot het tegenbewijs wanneer het een gekwalificeerde elektronische handtekening in de zin van verordening eIDAS implementeert.

Verordening eIDAS nr. 910/2014 en herziening eIDAS 2.0

De verordening eIDAS nr. 910/2014 vormt de Europese regelgevingsbasis. Het stelt een uniek kader in voor wederzijdse erkenning van elektronische handtekeningen in de 27 lidstaten. Artikel 25(1) bepaalt dat een elektronische handtekening geen juridisch gevolg kan worden geweigerd op de enkele grond dat deze zich in elektronische vorm voordoet. Artikel 25(2) geeft de gekwalificeerde handtekening dezelfde juridische waarde als de handgeschreven handtekening. In 2024 heeft verordening eIDAS 2.0 (EU 2024/1183) het kader versterkt door invoering van de Europese digitale identiteitswallet (EUDIW) en uitbreiding van de lijst met gekwalificeerde vertrouwensaanbieders.

Voor SEPA-incasso-mandaten vereisen de Scheme Rules EPC (European Payments Council) een door de debiteur ondertekend mandat, dat door de crediteur wordt bewaard en conform identificatiestandaards. Geavanceerde elektronische handtekeningen worden door EPC-richtlijnen uitdrukkelijk erkend als geldige handtekeningswijze.

Richtlijn DSP2 / DSP3 en sterke authenticatie

De richtlijn DSP2 (2015/2366/EU), omgezet in Frans recht in artikel L. 133-44 van het Monetair en Financieel Wetboek, verplicht sterke authenticatie (SCA) voor validatie van online girovisies boven 30 €. De herziening in DSP3 (wetgevingspakket aangenomen in 2024, progressieve invoering 2025-2026) versterkt de veiligheidseisen en vergroot de verantwoordelijkheid van betalingsdienstaanbieders in geval van niet-gedetecteerde fraude.

AVG en verwerking van verificatiegegevens

De verwerking van biometrische gegevens en verificatiegegevens die tijdens ondertekening worden verzameld, valt onder artikel 9 van Verordening (EU) 2016/679 (gevoelige gegevens) en vereist een expliciete rechtsbasis. Gekwalificeerde aanbieders (QTSP) moeten een gedocumenteerde impactbeoordeling hebben. Handtekeningsgegevens moeten worden geminimaliseerd, versleuteld in rust en onderweg, en worden verwijderd conform bepaalde bewaarperiodesystemen.

ETSI-technische normen

De in Europa erkende handtekeningsindelingen worden bepaald door ETSI EN 319 132 (PAdES voor PDF), ETSI EN 319 122 (CAdES) en ETSI EN 319 162 (XAdES). Voor girovisie-mandaten die voor lange termijn worden gearchiveerd, wordt het PAdES-LTV-formaat (Long Term Validation) aanbevolen omdat het de validatiegegevens insluit die nodig zijn voor toekomstige handtekeningsverificatie, onafhankelijk van de levensduur van het certificaat.

Gebruiksscenario's: girovisie-mandaten beveiligd door elektronische handtekeningen

Scenario 1 — Een midden- en kleinbedrijf met 400 leveranciersmandaten per kwartaal

Een bedrijf in de verwerkingsindustrie met ongeveer 350 medewerkers en ongeveer 120 actieve leveranciers, verwerkte girovisie-mandaten via een hybride proces: initiatief in de ERP, PDF afdrukken, handmatige ondertekening van de financieel directeur of plaatsvervanger, scannen en archivering op een gedeelde server.

Na een poging tot fraude bij girovisie, die op tijd werd opgemerkt (wijziging van IBAN op een niet-afgesloten PDF-bestand dat per e-mail werd verzonden), implementeerde de directie een geavanceerde elektronische handtekeningoplossing geïntegreerd met de ERP via API. Waargenomen resultaten na 6 maanden:

• Gemiddelde validatietermijn: van 4,2 dagen naar 6 uur
• Verwerkingskosten per mandat: met 38% gereduceerd (afschaffing van afdrukken, scans, interne post)
• Volledig controlespoor: real-time beschikbaar voor de registeraccountant, zonder handmatige reconstructie
• Nul fraudeincidenten op het vervolgingsgebied

Scenario 2 — Een gemeenschappelijke groep en subsidiebetalingsmandaten

Een intercommunale groep bestaande uit ongeveer tien gemeenten, beheert girovisie-mandaten met subventiebetalingen aan lokale verenigingen, voor een jaarlijks volume van ongeveer 2.000 transacties. Ondertekening door verantwoordelijke gekozen ambtenaren vond plaats op gemeenschapsraden, met door de verkozenenagenda opgelegde termijnen en risico's op documentverlies.

De digitalisering van mandaten met geavanceerde elektronische handtekeningen, geïntegreerd in publieke boekhoudingsoftware, maakte het mogelijk:

• Externe ondertekening door gekozen ambtenaren vanuit hun beveiligde persoonlijke ruimte, zonder verplichte fysieke aanwezigheid
• Naleving van het Hélios-raamwerk (compatibiliteit met staatsuitwisselingsprotocol voor gemeenten)
• Een vermindering van 60% van de uitbetalingsstermijn van subsidies (van gemiddeld 22 dagen naar 9 dagen)
• Automatische archivering in overeenstemming met de vereisten van regionale comptabiliteitskamers

Scenario 3 — Een vermogensbeheerbureau en de mandaten van haar cliënten

Een onafhankelijk vermogensbeheerbureau (ongeveer 25 medewerkers, 800 actieve cliënten), moest van cliënten ondertekende girovisie-mandaten verzamelen voor arbitrage op effectenrekeningen en levensverzekeringen. Het postprocessus kostte gemiddeld 8 dagen, met een onvolledige retourpercentage van 15% (ontbrekende handtekening, ontbrekende datum, enz.).

Na implementatie van een elektronische handtekeningoplossing met versterkt verificatietraject (identiteitsverificatie + OTP), transformeerden de indicatoren:

• Termijn voor mandaatondertekening: tot minder dan 2 uur gemiddeld
• Percentage onvolledig ingevulde mandaten: tot minder dan 1% dankzij automatische completheidscontroles vóór ondertekening
• Cliënttevredenheid gemeten aan NPS: winst van +18 punten over « eenvoud van administratieve procedures »
• Verhoogde naleving van AMF-vereisten voor klantinstructietracing (artikel 16 MiFID II)

Conclusie

Elektronisch ondertekende girovisie-mandaten zijn niet langer een luxe voorbehouden aan grote bedrijven: ze vormen vandaag de minimale veiligheid- en nalevingsstandaard voor elke organisatie die gevoelige financiële stromen beheert. Door geavanceerde of gekwalificeerde elektronische handtekeningen, sterke verificatie en bewijsvolle tijdstempling te combineren, neutraliseert u de belangrijkste fraudevectoren terwijl u uw goedkeuringscycli versnelt en uw audits vereenvoudigt.

Het Europese juridische kader — eIDAS, DSP2/DSP3, Burgerlijk Wetboek — is nu rijp en erkend door banken, registeraccountants en rechtbanken. Het enige dat ontbreekt is implementatie.

Certyneo begeleidt u bij het beveiligen van uw girovisie-mandaten met een eIDAS-conforme platform, integreerbaar met uw bestaande hulpmiddelen en zonder technische scholing bruikbaar. Ontdek de Certyneo-prijzen of schat uw terugverdientijd om uw project vandaag nog op gang te brengen.