Vol de salaire : un nouveau risque RH à ne pas sous-estimer

9 janvier 2025

L’évolution des modes de travail et la généralisation du télétravail ont ouvert la voie à de nouvelles menaces pour les entreprises. Parmi elles, le vol de salaire – une fraude encore méconnue mais en forte progression – constitue un risque sérieux pour les services RH. Cette arnaque ne vise pas uniquement les salariés : elle engage potentiellement la responsabilité directe de l’employeur si des précautions élémentaires ne sont pas prises.

Une fraude simple mais redoutablement efficace

Le principe du vol de salaire repose sur une usurpation d’identité, généralement à l’aide de données dérobées par hameçonnage, piratage de comptes ou faux sites administratifs. L’escroc récupère des informations personnelles appartenant à un salarié, puis contacte le service des ressources humaines ou la paie, en se faisant passer pour ce salarié.

Il demande un changement de coordonnées bancaires, souvent en invoquant un déménagement ou un changement de banque. Le nouveau RIB fourni est en réalité celui du fraudeur, et il est fréquent qu’il soit rattaché à une banque étrangère, compliquant toute récupération ultérieure.

Une fois la demande validée par l’entreprise, le salaire est versé directement sur le compte frauduleux. La victime découvre généralement l’arnaque à la fin du mois, en constatant qu’elle n’a pas été payée. Pour l’entreprise, il est alors trop tard pour annuler le virement.

La responsabilité de l’employeur peut être engagée

Beaucoup d’entreprises pensent, à tort, que l’arnaque relève uniquement de la sphère privée du salarié. Or ce n’est pas le cas. En cas de contentieux, la justice peut considérer que l’employeur a fait preuve de négligence s’il n’a pas procédé à une vérification suffisante avant de modifier les coordonnées de paiement.

Il est rappelé que le salarié doit être titulaire ou co-titulaire du compte bancaire où est versé son salaire. En dehors d’un mandat de protection juridique (curatelle ou tutelle), le fait d’effectuer un virement sur un compte tiers non vérifié expose l’entreprise à un risque financier et juridique.

Un simple courriel ne peut en aucun cas suffire pour justifier une modification de RIB. La jurisprudence et la doctrine administrative tendent à considérer que l’entreprise doit mettre en œuvre des moyens de contrôle rigoureux proportionnés au risque.

Des procédures RH à renforcer sans délai

Pour prévenir cette fraude, il est impératif de revoir les protocoles internes liés aux modifications de données sensibles. Voici les pratiques recommandées :

• Exiger systématiquement une validation en présentiel ou en visioconférence avec présentation d’une pièce d’identité originale.
• Instaurer une double validation pour toute modification de coordonnées bancaires (par exemple, un accord écrit signé du salarié + validation hiérarchique).
• Refuser toute demande provenant d’adresses mail non professionnelles ou de canaux non authentifiés.
• Mettre en place une procédure formalisée avec trace écrite pour chaque changement, à archiver dans le dossier du salarié.
• Sensibiliser les équipes RH aux risques liés au phishing et aux faux profils d’interlocuteurs.

Il est également recommandé d’informer régulièrement les collaborateurs qu’ils ne doivent jamais transmettre de pièces sensibles (RIB, carte d’identité, fiche de paie, avis d’imposition) à des adresses ou interlocuteurs non vérifiés.

Un enjeu de sécurité sociale, juridique et financière

Le vol de salaire n’est pas une simple escroquerie ponctuelle. Il s’agit d’un signal d’alerte sur la vulnérabilité des systèmes RH à l’ère de la dématérialisation. Une entreprise victime de ce type de fraude peut être contrainte de verser à nouveau le salaire détourné, tout en absorbant le coût administratif et juridique lié à la gestion du litige. À cela s’ajoute le risque d’image et de démobilisation interne.

Au cas où votre entreprise en a besoin, voici une procédure visant à encadrer de manière sécurisée toute demande de modification des coordonnées bancaires d’un salarié, afin de prévenir les risques de fraude et de détournement de salaire.

Procédure interne de modification des coordonnées bancaires d’un salarié

1. Modalités de réception de la demande

• Toute demande de changement de RIB doit être transmise exclusivement via l’adresse e-mail professionnelle du salarié concerné.
• Les demandes transmises depuis une adresse personnelle ou par messagerie instantanée (type WhatsApp, SMS, etc.) sont systématiquement refusées.
• La demande doit être formalisée à l’aide d’un formulaire de modification de coordonnées bancaires (référencé RH-BQ1), dûment complété et signé par le salarié.

2. Justificatifs requis

Le salarié doit fournir les documents suivants :

• Un relevé d’identité bancaire (RIB) au format PDF ou papier, émis par la banque destinataire.
• Une pièce d’identité en cours de validité, au même nom que le titulaire du compte.
• En cas de compte joint, un justificatif de co-titularité peut être demandé.

Aucune modification ne sera effectuée sans ces documents.

3. Vérification d’identité

Une vérification en présentiel est systématiquement privilégiée. En cas d’impossibilité (ex. télétravail à distance prolongé), une visioconférence via un outil interne sécurisé est organisée.

Lors de cette vérification, le collaborateur RH :

• Contrôle visuellement la pièce d’identité.
• Confirme oralement avec le salarié les nouvelles coordonnées bancaires.
• Vérifie que le RIB est au nom du salarié ou de son co-titulaire.

4. Double validation obligatoire

Une fois la demande vérifiée, la modification doit être validée par :

• Le référent RH du salarié concerné.
• Le responsable paie ou le responsable administratif (selon l’organisation interne).

Un accusé de réception signé (ou certifié par voie électronique) est envoyé au salarié.

5. Archivage et traçabilité

• Tous les éléments (formulaire, RIB, pièce d’identité, historique de la demande, validation) sont archivés dans le dossier personnel numérique du salarié pendant 5 ans.
• Un journal de suivi des modifications de coordonnées bancaires est tenu à jour par le service RH (référentiel RH-JCB1).

6. Cas particuliers

• En cas de tutelle, curatelle ou représentation légale, la demande doit être accompagnée de la décision de justice ou d’un mandat valable, et les mêmes vérifications s’appliquent à la personne désignée.