Presque tout ce qu’une entreprise décaisse en dehors de la paie, de l’impôt et de la dette sort par le cycle achats-fournisseurs. C’est le flux le plus exposé de la fonction finance, et le contenu disponible en français le traite presque exclusivement comme un chantier de dématérialisation. L’étude Occupational Fraud 2026 de l’ACFE, portant sur 2 402 cas dans 143 pays, relève un détournement d’actifs dans environ 90 % des cas de fraude interne, catégorie qui recouvre la fausse facturation. Or les contrôles du cycle P2P sont pour l’essentiel des rapprochements documentaires, et le rapprochement suppose que les documents sont honnêtes.
Qu’est-ce que le processus purchase to pay ?
Le purchase to pay est le cycle complet qui va de l’identification d’un besoin jusqu’au règlement du fournisseur et à son enregistrement comptable. Dans un flux avec bon de commande, il compte sept étapes : demande d’achat, validation, bon de commande, réception, facture, rapprochement, paiement.
Ce qui le rend difficile à contrôler, c’est qu’aucune fonction ne le possède de bout en bout. Les achats négocient les contrats, le métier fait valider la demande, l’exploitation confirme la réception, la comptabilité fournisseurs traite la facture, la trésorerie libère le paiement. Chaque passage de relais est un point où la responsabilité devient floue.
Le cycle a aussi une version parallèle : les achats hors bon de commande sautent l’engagement, et la facture est payée sur la seule signature d’un valideur. Tous les contrôles adossés au bon de commande sont inopérants sur ce flux.
Purchase to pay et procure to pay : la nuance
Dans l’usage courant, les deux termes sont interchangeables. Là où une distinction est faite, le procure to pay désigne le cycle large, qui démarre avec le sourcing et la négociation contractuelle, tandis que le purchase to pay démarre à la demande d’achat, une fois qu’un fournisseur et un prix existent.
Cette distinction relève de la convention, pas d’une norme. Une seule question compte : le référencement des fournisseurs entre-t-il dans le périmètre que vous contrôlez ? Il le devrait, car les schémas les plus coûteux de ce cycle commencent par la création d’une fiche fournisseur, pas par un achat.
Les étapes du cycle P2P
Chaque étape produit un enregistrement, et ce sont ces enregistrements qu’un contrôle ultérieur rapprochera. Les points de contrôle vivent sur ces passages de relais.
Demande d’achat
Un utilisateur métier enregistre son besoin, le montant estimé et le centre de coûts concerné. C’est le premier moment où la dépense devient attribuable à une personne nommée.
Validation
La demande suit un workflow déterminé par les seuils d’autorisation. Ces seuils ne tiennent que si le montant présenté ne peut pas être façonné pour passer dessous, et si les délégations en cas d’absence sont tracées et bornées dans le temps.
Bon de commande
La demande validée devient un engagement auprès d’un fournisseur précis, pour une quantité, un prix et des conditions de règlement. Les achats passés hors de cette étape sont des achats sauvages.
Réception
Quelqu’un confirme que ce qui est arrivé correspond à ce qui a été commandé. Pour une prestation, il n’y a pas de livraison physique : la réception devient une attestation que le travail a été fait, preuve nettement plus faible. Elle doit être saisie par une autre personne que le demandeur.
Facture
La facture est captée, imputée, puis rattachée à son bon de commande. Les factures hors commande n’ont aucun rattachement à créer : la seule preuve de légitimité est le jugement du valideur.
Rapprochement
La facture est rapprochée du bon de commande et de la réception, dans une tolérance admettant de faibles écarts. Ce qui y entre passe. Le reste part en exception, traitée manuellement, dans une file d’attente où la nécessité de la résorber entre en concurrence avec la raison pour laquelle l’exception a été levée.
Paiement
Une campagne de règlement sélectionne les factures validées, récupère les coordonnées bancaires dans le référentiel fournisseurs et libère les fonds. Le montant vient de la facture, la destination vient de la fiche fournisseur, souvent maintenue par une autre équipe. C’est cet écart que la fraude au virement exploite.
Les points de contrôle à chaque étape
Un contrôle n’est pas l’étape, c’est la contrainte qui pèse sur elle. Il ne vaut que si les fonctions sont séparées, de sorte qu’une même personne ne puisse pas créer une obligation et l’éteindre, et s’il laisse une trace testable. Un contrôle dont personne ne peut rapporter la preuve est indiscernable d’un contrôle désactivé.
Étape |
Ce qui peut mal tourner |
Contrôle |
Comment le tester |
|---|---|---|---|
Demande d’achat |
Dépense engagée sans demandeur identifié |
Demande obligatoire au-delà d’un montant, rattachée à un propriétaire de centre de coûts |
Part des factures sans demande rattachée, par entité et centre de coûts |
Validation |
Montants façonnés pour passer sous un seuil ; validation par le demandeur |
Matrice d’autorisation appliquée ; délégations tracées et limitées dans le temps |
Distribution des montants validés juste sous chaque seuil ; cas où demandeur et valideur sont le même utilisateur |
Bon de commande |
Fournisseur hors contrat ou non référencé ; prix différent du tarif négocié |
Bon de commande obligatoire sur les catégories concernées ; prix issu du contrat |
Lignes de commande hors tarif contractuel ; commandes vers des fournisseurs sans contrat actif |
Réception |
Réception saisie par le demandeur ; réception sans livraison |
Séparation demande et réception ; exigence de preuve pour les prestations |
Réceptions saisies par le demandeur ; réceptions enregistrées le même jour que la facture |
Facture |
Double saisie ; imputation sur la mauvaise période ou le mauvais compte |
Contrôle de doublon sur fournisseur, montant, date et numéro |
Doublons exacts et quasi-doublons sur toute la population de factures |
Rapprochement |
Écarts absorbés par une tolérance trop large ; exceptions soldées pour vider la file |
Tolérance définie par catégorie et revue ; validation des exceptions par un tiers |
Montant des écarts se logeant juste sous la tolérance ; exceptions closes par celui qui les a levées |
Paiement |
Règlement vers des coordonnées bancaires modifiées ; paiement sans facture rapprochée |
Double validation des changements de RIB ; rappel du fournisseur sur un numéro connu |
Changements de RIB suivis d’un paiement à bref délai ; paiements sans facture rapprochée |
Les risques du cycle achats-fournisseurs
Les schémas qui fonctionnent ici ont un point commun : ils produisent des transactions qui ont l’air correctes. La facture porte un numéro, le montant est plausible, le valideur est le bon. Ce qui les trahit, c’est la régularité qu’ils laissent apparaître à l’échelle de la population entière.
Schéma |
Mode opératoire |
Signal détectable |
|---|---|---|
Fournisseurs fictifs |
Une fiche est créée pour une entité qui ne réalise aucune prestation, et des factures sont émises contre elle |
Adresse ou RIB identique à ceux d’un salarié ; fournisseur créé et payé en quelques jours ; aucun historique de commande ni de réception |
Doublons de paiement |
La même facture est réglée deux fois, par deux canaux ou contre deux commandes |
Mêmes fournisseur, montant et date avec des références différentes ; numéros transposés ; une facture payée sur commande puis hors commande |
Fractionnement de commandes |
Un achat est découpé en lots passant chacun sous un seuil de validation |
Plusieurs demandes vers un même fournisseur, même période, même centre de coûts, chacune juste sous une limite |
Achats sauvages |
Achats hors fournisseurs référencés et hors contrats négociés |
Dépense concentrée sur des fournisseurs non contractualisés ; prix unitaires supérieurs aux tarifs négociés ; part élevée de hors commande sur certains centres de coûts |
Modification de coordonnées bancaires |
Le RIB d’un fournisseur réel est remplacé par celui du fraudeur, souvent après une demande par courriel |
Changement de RIB suivi de près par un paiement ; demande reçue hors canal officiel ; même compte bancaire sur plusieurs fournisseurs |
Surfacturation par un fournisseur réel |
Un fournisseur existant gonfle ses factures ou facture des prestations non réalisées |
Montants en hausse à volumes stables ; montants ronds ; factures systématiquement juste sous la limite du valideur |
C’est en bout de chaîne, au moment du règlement, que la pression extérieure est la plus forte. Selon le rapport 2025 de l’Observatoire de la sécurité des moyens de paiement de la Banque de France, la fraude par manipulation, qui regroupe la fraude au président et la substitution d’IBAN, atteint 516 millions d’euros, en hausse de 34 % sur un an, dont 376 millions sur le seul virement. Le courriel frauduleux n’est que le préalable : le contrôle qui compte porte sur le référentiel fournisseurs, pas sur le fichier de paiement. Voir les chiffres clés de la fraude.
Le rapprochement trois voies et ses limites
Le rapprochement trois voies compare le bon de commande, la réception et la facture. Quantité, prix et conditions doivent concorder sur les trois avant mise en paiement. Le rapprochement deux voies abandonne la réception, pratique courante pour les prestations et les petites catégories d’achat.
C’est un bon contrôle, et on lui fait porter plus qu’il ne peut. La tolérance d’abord : il laisse passer tout ce qui entre dans l’écart configuré, et une tolérance assez large pour garder la file d’exceptions gérable l’est aussi pour qu’une surfacturation régulière de faible montant passe sans revue.
Ensuite, il teste des documents les uns contre les autres, pas contre la réalité. Si le fournisseur est fictif, les trois documents sont produits par le même schéma. Il ne détecte pas davantage les doublons, la même prestation facturée sous deux numéros se rapprochant proprement les deux fois, et il accepte le prix qu’on lui donne, de sorte qu’un tarif gonflé négocié en amont figure sur la commande et la facture y concorde.
Enfin, la réception ne vaut que ce que vaut la séparation des fonctions autour d’elle : quand le demandeur confirme lui-même la réception, le troisième document n’apporte aucune preuve indépendante.
Ce que Sapin II exige sur ce cycle
Le 5° du II de l’article 17 de la loi du 9 décembre 2016 impose « des procédures de contrôles comptables, internes ou externes, destinées à s’assurer que les livres, registres et comptes ne sont pas utilisés pour masquer des faits de corruption ou de trafic d’influence ». Sont visées les sociétés d’au moins 500 salariés dont le chiffre d’affaires, social ou consolidé, dépasse 100 millions d’euros, et l’obligation pèse sur les dirigeants.
Le cycle achats-fournisseurs est l’endroit où elle se matérialise, parce que c’est par lui que sortent les flux susceptibles d’habiller un paiement indu : prestations immatérielles sans livrable vérifiable, intermédiaires, fournisseurs créés pour l’occasion. L’Agence française anticorruption a publié en avril 2022 un guide pratique dédié, Les contrôles comptables anticorruption en entreprise, élaboré avec la CNCC, l’Ordre des experts-comptables, la DFCG et l’IFACI, qui détaille des exemples de contrôles sur le processus comptabilité fournisseurs. Ses recommandations prévoient trois niveaux : les personnes qui saisissent et valident les écritures, des personnes indépendantes des premières, puis l’audit interne.
L’AFA relevait dans son rapport d’activité 2024 que ces contrôles étaient mal définis dans les entreprises contrôlées, et sa commission des sanctions peut prononcer jusqu’à 1 million d’euros contre une personne morale. Voir le guide Sapin II et contrôle interne.
Facturation électronique : ce qui change
Depuis le 1er septembre 2026, toutes les entreprises assujetties à la TVA doivent pouvoir recevoir des factures électroniques, et les grandes entreprises et ETI les émettre et transmettre leurs données de transaction. Les PME et micro-entreprises émettront à partir du 1er septembre 2027.
Pour le cycle achats, le changement est double. Les factures arrivent sous format structuré via une plateforme agréée, donc directement exploitables : les contrôles de doublon, de cohérence de prix et de rattachement à une commande n’ont plus à être reconstitués depuis des PDF océrisés. En sens inverse, l’administration reçoit les mêmes données, ce qui rend les incohérences entre facturation, comptabilité et déclarations plus visibles.
La réforme ne supprime pas la piste d’audit fiable. L’obligation de mettre en place « des contrôles documentés et permanents » établissant le lien entre une facture et la prestation qui la fonde reste posée par l’article 289, VII du Code général des impôts. C’est la démonstration même que le rapprochement trois voies est censé produire.
Outil P2P et analytique : la complémentarité
Les plateformes P2P et de dématérialisation font quelque chose d’utile : elles imposent le workflow. Les demandes sont acheminées vers le bon valideur, les commandes sont générées à partir des demandes validées, les factures sont captées sans ressaisie, le rapprochement s’exécute dans les tolérances configurées, et chaque action laisse une trace horodatée.
Ce qu’elles ne font pas, c’est vérifier leur propre paramétrage. Une plateforme appliquera une tolérance fixée trop large il y a trois ans par quelqu’un qui a quitté l’entreprise, enverra la validation à un délégataire dont l’habilitation temporaire n’a jamais été révoquée, et rapprochera une facture d’une commande passée à un fournisseur qui n’aurait jamais dû être référencé, parce que la légitimité d’un fournisseur n’est pas une question de rapprochement.
Elle ne voit par ailleurs qu’un seul système. Les schémas décrits plus haut laissent des traces réparties entre le référentiel fournisseurs, le journal des achats, le grand livre, les fichiers de paiement et les données du personnel : un RIB fournisseur identique à celui d’un salarié est invisible pour un outil qui ne détient qu’un seul des deux enregistrements.
La répartition des rôles est donc simple : l’outil impose le workflow, l’analytique vérifie qu’il a été respecté, sur toute la population. Contrôler cinquante factures par trimestre confirme qu’un contrôle existe, mais ne trouvera pas les onze paiements partis vers un compte ajouté le mois dernier.
L’étude ACFE 2026 chiffre l’écart : la surveillance proactive des données est associée à une réduction de 53 % de la perte médiane, et un schéma dure 12 mois en médiane avant d’être détecté, contre une perte médiane de 40 000 dollars lorsqu’il est découvert dans les six premiers mois. Supervizor exécute sa bibliothèque de contrôles sur 100 % des transactions à chaque extraction, en lisant ensemble le journal des achats, le référentiel fournisseurs, le grand livre et les données de paiement. Voir la plateforme, le logiciel d’audit analytics et l’analyse des données comptables.
FAQ
Frequently Asked Questions
Le cycle qui va de l’identification d’un besoin au règlement du fournisseur et à son enregistrement comptable.
Sept dans un flux avec bon de commande. Le référencement fournisseur se situe en amont, ce qui explique qu’il soit souvent absent de la conception des contrôles.
En pratique, aucune. Là où la distinction est faite, le procure to pay inclut le sourcing et la contractualisation.
Une vérification que le bon de commande, la réception et la facture concordent sur la quantité, le prix et les conditions avant mise en paiement. Le rapprochement deux voies omet la réception.
Fournisseurs fictifs, doublons de paiement, fractionnement sous les seuils, achats sauvages, substitution de coordonnées bancaires et surfacturation par un fournisseur réel.
En testant toute la population sur les régularités que ces schémas produisent : changements de RIB suivis d’un paiement, comptes bancaires partagés entre fournisseurs ou avec un salarié, montants concentrés juste sous les seuils, réceptions saisies par le demandeur, factures quasi identiques.
Séparation des fonctions entre demande, réception, validation de facture et mise en paiement ; seuils d’autorisation appliqués ; double validation des changements de RIB ; tolérance de rapprochement revue ; contrôle de doublons avant règlement.
La question utile à poser sur un processus achats n’est pas combien de factures il traite par personne. C’est de quelle part des paiements du dernier trimestre vous pourriez démontrer qu’ils sont allés à un fournisseur réel, à un prix contractuel, pour une prestation effectivement reçue, validée par quelqu’un qui en avait le droit. Si y répondre suppose de tirer un échantillon, la réponse ne couvre que l’échantillon. Le choix de l’outil P2P compte, tester ce qu’il produit aussi.
Alban Clot a débuté sa carrière dans le conseil pendant plusieurs années, où il a exercé en tant que Partner spécialisé dans la mise en qualité de processus financiers auprès de grandes entreprises. Il a ensuite fondé Supervizor en 2016, où il occupe aujourd'hui le poste de Co-CEO en charge de la stratégie produit. Alban est diplômé de l'ESCP Business School.
.jpg){kind=icon}