Un IBAN bien formé n'est pas un IBAN sûr. C'est toute la difficulté du contrôle d'IBAN : la plupart des outils gratuits confirment qu'une suite de caractères respecte une norme, pas qu'elle appartient à la personne ou à l'entreprise que vous croyez payer. En 2025, le virement est devenu le premier moyen de paiement fraudé en France en valeur, avec 485 millions d'euros détournés, soit 39,1 % du montant total de la fraude aux paiements (Observatoire de la sécurité des moyens de paiement, Banque de France).

Ce guide détaille les quatre méthodes de vérification réellement disponibles, ce que chacune couvre et ne couvre pas, et pourquoi le sujet bascule rapidement du champ du paiement vers celui du KYC et de la conformité LCB-FT.

‍

‍

Qu'est-ce qu'un IBAN et que peut-on vraiment vérifier ?

La structure d'un IBAN

L'IBAN (International Bank Account Number) est normalisé par l'ISO 13616. Sa longueur varie de 15 à 34 caractères selon le pays, et il se décompose toujours de la même manière :

• Code pays (2 lettres, ISO 3166) : FR — le pays de tenue du compte.
• Clé de contrôle (2 chiffres) : 14 — le contrôle mathématique de l'ensemble.
• BBAN (identifiant national) : 20041 01005 0500013M026 06 — banque, guichet, numéro de compte, clé RIB.

Un IBAN français complet fait 27 caractères : FR14 2004 1010 0505 0001 3M02 606. En Allemagne il en fait 22, en Belgique 16, à Malte 31. Cette variabilité explique pourquoi un simple contrôle de longueur ne suffit pas : il faut connaître le format attendu pour chaque pays.

Ce que l'IBAN ne dit pas

Un IBAN identifie un compte, pas un titulaire. Il ne contient aucune information sur l'identité du détenteur, sur le fait que le compte soit ouvert ou clôturé, ni sur sa capacité à recevoir un virement SEPA. C'est précisément l'angle mort que les fraudeurs exploitent : un IBAN parfaitement valide peut appartenir à une mule bancaire ouverte la veille.

C'est pourquoi la question pertinente n'est pas « cet IBAN est-il valide ? » mais « ce compte appartient-il bien à la contrepartie que je crois payer ? ». Quatre méthodes permettent d'y répondre, chacune avec son périmètre propre.

Les quatre méthodes de vérification d'un IBAN

1. La validation syntaxique (modulo 97)

C'est le contrôle que réalisent la quasi-totalité des vérificateurs d'IBAN gratuits en ligne. L'algorithme, défini par l'ISO 7064 (MOD 97-10), tient en quatre étapes :

1. Déplacer les quatre premiers caractères (code pays + clé) à la fin de la chaîne.
2. Remplacer chaque lettre par sa valeur numérique (A = 10, B = 11, … Z = 35).
3. Interpréter le résultat comme un grand entier.
4. Diviser par 97 : le reste doit être égal à 1.

Ce contrôle est instantané, gratuit et sans appel réseau. Il détecte la totalité des erreurs de saisie sur un caractère et l'écrasante majorité des inversions de chiffres — la cause la plus fréquente d'un IBAN mal recopié. S'y ajoute généralement un contrôle de format national : longueur attendue et structure du BBAN pour le pays indiqué.

Sa limite est structurelle : il ne prouve rien sur l'existence du compte. Un IBAN généré artificiellement avec la bonne clé passera le test sans difficulté. La validation syntaxique est un filtre de qualité de donnée, pas un contrôle anti-fraude.

2. Le contrôle du compte par l'open banking (DSP2)

La deuxième méthode interroge directement la banque teneuse du compte via les interfaces ouvertes imposées par la DSP2. Un prestataire agréé d'information sur les comptes (AISP) se connecte au compte et restitue l'IBAN réel, le BIC et l'identité du titulaire telle qu'elle figure chez la banque.

C'est la méthode la plus fiable pour une raison simple : la donnée vient de la source, pas d'un référentiel. Elle confirme à la fois que le compte existe, qu'il est actif, et à qui il appartient.

Sa contrainte est tout aussi structurelle : elle exige le consentement et l'authentification forte du titulaire du compte. Elle fonctionne donc très bien à l'onboarding, quand c'est votre client qui connecte son propre compte pour prouver qu'il en est le détenteur. Elle ne fonctionne pas pour contrôler unilatéralement le RIB d'un fournisseur qui vous a envoyé un PDF : vous ne pouvez pas vous connecter à son compte.

3. La vérification de titularité par SEPAmail DIAMOND

En France, le contrôle de titularité sans consentement du titulaire repose sur SEPAmail DIAMOND, un dispositif interbancaire porté par l'association SEPAmail.eu et distribué par les grands groupes bancaires — Société Générale, BPCE, Crédit Mutuel-CIC, BNP Paribas, Crédit Agricole, La Banque Postale. Certaines banques le commercialisent sous leur propre marque, comme SécurIBAN au Crédit Agricole.

Le principe : vous soumettez un IBAN accompagné de l'identité supposée du titulaire, et le réseau interroge la banque teneuse du compte. DIAMOND traite aussi bien les personnes morales (rapprochement avec le SIREN/SIRET et la raison sociale) que les personnes physiques, et restitue généralement un résultat en trois couleurs : concordance confirmée, doute (homonymie, variante orthographique, dénomination multiple) ou discordance avérée.

C'est la méthode adaptée au contrôle d'un référentiel fournisseurs : elle s'exerce sur un stock comme sur un nouvel entrant, elle couvre les prélèvements comme les virements, et elle ne demande rien à la contrepartie. Sa limite est géographique : elle porte sur les IBAN français.

4. L'OCR documentaire et la détection de falsification

Les trois premières méthodes partent du principe que l'IBAN saisi est bien celui du document reçu. Or, dans la fraude au changement de RIB, c'est le document lui-même qui a été modifié — et l'IBAN frauduleux est authentique, rattaché à un compte réel ouvert au nom d'une mule.

Cette quatrième méthode porte donc sur le support, pas sur le compte. Elle consiste à :

• extraire les données du RIB par OCR — IBAN, BIC, nom du titulaire, banque émettrice — plutôt que de faire confiance à une saisie manuelle ou à un copier-coller ;
• analyser le document pour détecter une falsification : retouche pixel, incohérence de polices ou d'interlignage, superposition de calques, métadonnées de génération suspectes, écart avec le gabarit connu de la banque émettrice ;
• contrôler la cohérence interne entre l'IBAN extrait, le BIC, le code banque et l'établissement affiché sur le document ;
• horodater et conserver le résultat comme preuve opposable.

C'est la seule méthode indépendante de toute infrastructure bancaire : elle fonctionne sur n'importe quel pays, y compris hors zone SEPA, et sur n'importe quel format de document. En revanche, elle ne dit rien de l'existence réelle du compte — elle doit être combinée, pas substituée.

‍

Pourquoi la fraude au RIB progresse

Les chiffres de l'Observatoire de la sécurité des moyens de paiement éclairent le déplacement du risque. Sur l'année 2025 :

• la fraude totale aux moyens de paiement atteint 1,241 milliard d'euros ;
• le virement en concentre 39,1 % (485 M€), devant la carte bancaire (34,9 %, 475 M€) ;
• le nombre de transactions frauduleuses recule de 7,6 %, mais le montant unitaire d'un virement frauduleux reste sans commune mesure avec celui d'une fraude à la carte ;
• la fraude par manipulation — où la victime valide elle-même l'opération — pèse 516 millions d'euros, en hausse de 34 % sur un an, dont 376 millions sur le seul virement.

La mécanique est toujours la même : le fraudeur n'attaque pas le système de paiement, il attaque le référentiel de coordonnées bancaires. Facture interceptée et modifiée, faux courrier de changement de RIB, faux conseiller bancaire, compromission d'une boîte mail fournisseur. L'IBAN transmis est authentique, le virement est régulier, et la généralisation du virement instantané rend l'opération irréversible en quelques secondes.

C'est pourquoi le contrôle doit intervenir en amont, au moment où la coordonnée bancaire entre dans votre référentiel — et non au moment du paiement, quand il est déjà trop tard.

De la vérification d'IBAN au KYC : le vrai sujet, c'est le titulaire

KYC banque et réglementation : ce qu'impose la LCB-FT

Le KYC (Know Your Customer) désigne l'ensemble des contrôles d'identification et de vérification qu'un organisme assujetti applique à ses clients. En France, le socle figure aux articles L. 561-1 et suivants du Code monétaire et financier, transposant les directives européennes anti-blanchiment, sous la supervision de l'ACPR et de Tracfin.

La réglementation KYC se structure autour de quatre obligations :

1. Identifier le client et, pour une personne morale, ses bénéficiaires effectifs.
2. Vérifier cette identité sur la base de documents, de données ou d'informations de source fiable et indépendante.
3. Comprendre la nature et l'objet de la relation d'affaires, puis exercer une vigilance constante dans la durée.
4. Conserver les éléments de vérification et les déclarer à Tracfin en cas de soupçon.

Le cadre se durcit. Le règlement (UE) 2024/1624 (AMLR), directement applicable à partir du 10 juillet 2027, harmonise ces obligations dans toute l'Union et les rend beaucoup plus prescriptives. La nouvelle autorité européenne AMLA sélectionnera les premières entités supervisées à compter de juillet 2027, pour une supervision directe à partir du 1er janvier 2028. Les dispositifs KYC construits sur des contrôles manuels et des pièces jointes stockées dans des dossiers partagés ne passeront pas cette échéance.

Procédure KYC : les documents et les contrôles

Une procédure KYC bancaire s'appuie sur un socle documentaire relativement stable. Pour une personne physique : pièce d'identité en cours de validité, justificatif de domicile, et de plus en plus une vérification biométrique de présence réelle. Pour une personne morale : extrait Kbis (ou RCCM dans l'espace OHADA), statuts à jour, registre des bénéficiaires effectifs, pièce d'identité des dirigeants.

Le RIB fait partie intégrante de ces KYC documents, et c'est pourtant souvent le maillon le plus faible de la chaîne. Il est fourni en PDF ou en photo, rarement analysé, jamais rapproché de l'identité vérifiée quelques écrans plus tôt — alors même que tout le dossier KYC vient d'établir qui est la contrepartie.

C'est ce rapprochement entre le compte et l'identité qui transforme un simple contrôle d'IBAN en véritable contrôle de conformité KYC — et c'est aussi ce qui le rend opposable en cas d'audit, puisqu'il est horodaté et rattaché au dossier client.

IBAN, KYB et score de solvabilité

Pour une contrepartie professionnelle, le contrôle s'élargit au KYB (Know Your Business). Vérifier l'entreprise, sa structure capitalistique et ses bénéficiaires effectifs permet de répondre à la question qui compte vraiment : la société qui figure sur la facture est-elle bien celle qui détient le compte à créditer ?

Ces mêmes données alimentent l'analyse de risque financier. Un score de solvabilité ou un modèle de credit scoring construit sur des données d'entreprise vérifiées — existence juridique, ancienneté, comptes déposés, dirigeants, liens capitalistiques — est nettement plus fiable qu'un score fondé sur des informations déclaratives. Conformité et gestion du risque crédit s'appuient sur le même socle : une contrepartie correctement identifiée.

Mettre en place un contrôle IBAN de bout en bout

Une checklist opérationnelle, applicable aussi bien à l'onboarding client qu'à la gestion d'un référentiel fournisseurs :

1. Valider systématiquement la syntaxe à la saisie (modulo 97 + format national), côté interface comme côté serveur.
2. Analyser tout RIB reçu en pièce jointe : extraction OCR et détection de falsification, avant toute saisie dans le référentiel.
3. Contrôler la titularité du compte pour tout nouveau bénéficiaire — open banking si la contrepartie coopère, SEPAmail DIAMOND sinon.
4. Rapprocher le titulaire du compte de l'identité vérifiée en KYC/KYB : c'est le contrôle qui arrête réellement la fraude au changement de RIB.
5. Traiter tout changement de coordonnées bancaires comme un événement à risque : contre-appel sur un numéro connu du référentiel, jamais sur celui figurant dans le message entrant.
6. Séparer les rôles : la personne qui saisit un RIB ne doit pas être celle qui le valide ni celle qui déclenche le paiement.
7. Déclencher une alerte sur les virements suivant de peu un changement de RIB.
8. Conserver la preuve de chaque contrôle, horodatée et rattachée au dossier.
9. Réexaminer périodiquement les coordonnées bancaires des contreparties actives, dans le cadre de la vigilance constante.

Vérifier le compte et la contrepartie, dans le même flux

La vérification d'IBAN isolée atteint vite sa limite : elle valide une chaîne de caractères quand l'enjeu est d'authentifier une contrepartie. Dataleon traite le RIB comme n'importe quelle autre pièce d'un dossier de conformité : extraction structurée des données bancaires, contrôle de la cohérence de l'IBAN, détection de falsification documentaire, et rapprochement automatique avec l'identité ou l'entreprise vérifiée en KYC/KYB — en France, en Europe et dans l'espace OHADA.

Demander une démo →

‍