Détecter un faux PDF d'attestation de vigilance : signaux d'alerte pour le DAF

8 juin 2026

Détecter un faux PDF d'attestation de vigilance : signaux d'alerte pour le DAF

Signaux visuels sur le fichier PDF

Comparez la typographie, les logos et la mise en page avec une attestation authentique déjà validée dans votre registre. Les écarts flagrants incluent : police différente sur l'en-tête URSSAF, logo pixélisé ou déformé, marges irrégulières, numérotation de page absente alors qu'elle figure habituellement.

Un PDF modifiable (champs éditables dans un lecteur) ou un document sans couche d'image cohérente mérite un contrôle renforcé. Les scans légitimes ont une texture uniforme ; les montages copier-coller laissent parfois des zones floues autour des dates ou du SIREN.

La fraude documentaire n'est pas réservée au BTP informel

Les directions financières sous-estiment souvent le risque de faux PDF sur les attestations de vigilance. L'enjeu n'est pas seulement la fraude patente : c'est aussi l'attestation recyclée, retouchée, ou émise pour une autre entité du groupe et présentée comme couvrant votre prestataire contractuel.

Un DAF externalisé ou interne doit traiter tout document social comme une pièce à risque jusqu'à preuve de contrôle inverse. Le PDF « qui a l'air officiel » ne vaut rien sans vérification du code de sécurité sur urssaf.fr et cohérence SIREN avec le contrat.

Les cas remontés en contentieux montrent des montants de solidarité bien supérieurs au coût d'un dispositif de contrôle documentaire. La question n'est pas « avons-nous été victimes d'une fraude sophistiquée », mais « avons-nous appliqué la même rigueur qu'à un virement de trésorerie ».

Les fautes d'orthographe dans les libellés institutionnels, les mentions régionales incohérentes avec le siège du prestataire, ou un code de sécurité visiblement trop court par rapport aux attestations de référence sont des alertes immédiates.

Le code de sécurité comme filtre décisif

Aucun contrôle visuel ne remplace la saisie du code sur le site officiel de l'URSSAF. Un faux PDF peut reproduire une mise en page convaincante ; il ne produit pas un code valide correspondant aux données affichées, sauf dans les cas de réutilisation d'une vraie attestation d'une autre période ou d'une autre entité.

Procédure stricte : code illisible ou absent, rejet sans exception. Code non reconnu en ligne, rejet et escalade interne. Code reconnu mais informations en ligne différentes du PDF reçu, blocage et signalement fraude potentielle.

Documentez chaque rejet : date, nom du valideur, motif, copie du fichier suspect archivée séparément. Cette chronologie démontre une vigilance active si l'URSSAF ou un auditeur interroge par la suite votre registre.

Métadonnées et provenance du fichier

Le nom du fichier, la date de création dans les propriétés du PDF, et l'outil de génération peuvent orienter l'enquête interne. Un fichier nommé « attestation_urssaf_modifie.pdf » ou créé avec un logiciel de retouche graphique n'est pas une preuve de fraude à lui seul, mais justifie un niveau de contrôle maximal.

Demandez systématiquement au prestataire une nouvelle attestation téléchargée depuis son espace URSSAF, transmise via votre canal de dépôt tracé, jamais par messagerie instantanée personnelle.

Faux positifs : ne pas bloquer inutilement

Une attestation authentique peut arriver en scan basse résolution, avec un code difficile à lire mais vérifiable après saisie manuelle soigneuse. Un changement de charte graphique URSSAF peut surprendre les équipes habituées à l'ancien format.

La règle opérationnelle : doute visuel, contrôle code obligatoire. Doute persistant après code valide, comparaison SIREN et dates avec le contrat. En cas d'alignement complet, validation avec mention du contrôle renforcé dans le registre.

Coordination avec Achats, juridique et sécurité site

Achats reçoit le fichier et initie la check-list. Le juridique social intervient si fraude avérée ou litige contractuel (résiliation, clause pénale, signalement). La sécurité site bloque l'accès tant que la ligne registre est rouge.

Le DAF arbitre les cas limites et communique au COMEX si un prestataire stratégique est concerné. Ne minimisez pas un incident : une fraude documentaire sur un lot critique peut révéler un défaut systémique sur tout le panel.

Attestations transmises par un tiers

Lorsque l'attestation transite par un cabinet comptable ou un courtier, le risque de confusion entre pièces augmente. L'attestation de régularité fiscale et sociale n'est pas l'attestation de vigilance L.8222-5. Voir le guide dédié sur l'attestation reçue par le comptable externe.

Exigez contractuellement que le prestataire dépose directement la pièce de vigilance sur votre portail, ou que le tiers transmette le PDF original avec code vérifiable, pas une synthèse interne.

Prévention : politique documentaire et formation

Intégrez une page « documents refusés » dans votre manuel Achats : captures d'écran anonymisées de cas réels, liste des motifs de rejet, lien vers la procédure de vérification du code de sécurité.

Formez deux référents par site chaque année. Un quiz interne de dix minutes (vrai PDF / faux PDF / pièce incorrecte) maintient la vigilance mieux qu'un memo juridique de trois pages.

Registre et preuve en cas de contrôle URSSAF

Conservez l'historique des versions refusées et acceptées. En solidarité financière, l'URSSAF peut questionner la couverture à une date passée précise. Un registre horodaté avec rejets documentés prouve que vous n'avez pas accepté aveuglément des pièmes manifestement douteuses.

Proceda centralise dépôts, relances, feux tricolores et historique sans scraping des comptes URSSAF. Essai 14 jours · pilier comment vérifier une attestation.