# 89 millions d'euros de pertes : ce que révèlent les failles des contrôles de risques TIC > SwissGRC® analyse le rapport 2025 de l'Oesterreichische Nationalbank sur la fraude aux paiements. L'article montre pourquoi l'audit interne doit tester l'efficacité des contrôles des risques TIC sous DORA, au lieu de se fier à leur seule documentation. - URL: https://swissgrc.com/fr/pertes-89-millions-controles-risques-tic-dora/ - Éditeur: SwissGRC® - Publié: 2026-08-21 - Dernière mise à jour: 2026-08-21 ## Points clés - L'Oesterreichische Nationalbank a enregistré pour 2025 une fraude aux paiements de 115,4 millions d'euros, en hausse de 17,6 % par rapport à l'année précédente. - Les virements ne représentaient que neuf pour cent des cas de fraude, mais ont causé environ 89 millions d'euros, soit 78 % des pertes totales. - Les attaques d'ingénierie sociale sont responsables de 83 % des pertes sur virements. - La perte moyenne s'élève à environ 3'000 euros par virement frauduleux, contre environ 75 euros par cas de fraude par carte. - Selon l'article 6, paragraphe 4, de DORA, les entités financières doivent garantir l'indépendance de leur fonction de contrôle des risques TIC. - Trois éléments de contrôle sont à examiner en priorité : l'obligation de rappel par un second canal, la logique des seuils et le circuit d'escalade. L’Oesterreichische Nationalbank a enregistré pour 2025 un montant total de fraude aux paiements de 115,4 millions d’euros, en hausse de 17,6 % par rapport à l’année précédente. Les virements ne représentaient que neuf pour cent des cas de fraude, mais ont causé environ 89 millions d’euros, soit 78 % des pertes totales. Les attaques d’ingénierie sociale, dans lesquelles les victimes autorisent elles-mêmes le paiement, étaient responsables de 83 % de ces cas. Pour les contrôles des risques TIC sous DORA, cela renferme un enseignement que la seule documentation des contrôles ne révèle pas. En bref Un rapport récent sur la fraude montre que les attaques d’ingénierie sociale visant les virements sont rares mais particulièrement coûteuses. La leçon pour le dispositif de contrôle : des contrôles documentés comme le principe des quatre yeux ne disent rien sur leur tenue effective sous la pression du temps. L’efficacité ne peut être vérifiée que par des tests réalistes, pas par de simples descriptions de processus. 89millions EUR Pertes dues aux virements frauduleux en Autriche en 2025 Oesterreichische Nationalbank, cité par Meinbezirk.at 83% Part des pertes sur virements attribuable à l’ingénierie sociale Oesterreichische Nationalbank, cité par Meinbezirk.at 3’000EUR Perte moyenne par virement frauduleux en 2025 Oesterreichische Nationalbank, cité par Leadersnet.at ## Pourquoi si peu de cas de virement causent-ils la plus grande part des pertes ? Parce que la perte moyenne par virement frauduleux, environ 3’000 euros, dépasse largement celle d’un paiement par carte, et atteint dans certains cas plus d’un million d’euros. Selon l’Oesterreichische Nationalbank, neuf cas de fraude sur dix concernaient des paiements par carte, avec une perte moyenne d’environ 75 euros par cas. Pour les virements, la moyenne s’élevait à environ 3’000 euros, et a dépassé un million d’euros dans certains cas. Mesuré en volume de transactions, le taux de fraude sur virements de l’Autriche, à 0,004 %, est deux fois supérieur à la moyenne de l’UE. Cette répartition suit un schéma souvent sous-représenté dans de nombreux registres de risques : forte fréquence à faible perte unitaire contre faible fréquence à forte perte unitaire. Les catalogues de contrôle calibrés principalement sur le nombre de cas ont tendance à sous-estimer le second schéma, même s’il représente la plus grande part des pertes totales. ## Quel est le lien entre l’ingénierie sociale et le cadre de gestion des risques TIC de DORA ? DORA exige une fonction de contrôle des risques TIC indépendante, mais cette fonction surveille avant tout des contrôles techniques et procéduraux, non le moment où une personne autorisée valide elle-même un paiement. Selon l’article 6, paragraphe 4, du règlement DORA, les entités financières doivent garantir un niveau d’indépendance approprié pour leur fonction de contrôle des risques TIC, mise en œuvre par une séparation des fonctions de gestion des risques, de contrôle et d’audit selon le modèle des trois lignes de défense, comme l’explique l’Autorité des marchés financiers autrichienne (FMA). L’ingénierie sociale contourne cette structure sans la violer formellement : la personne qui valide le paiement agit dans le cadre de ses attributions, trompée par un sentiment d’urgence fabriqué. Comme le décrit l’article « ISMS : les personnes, les processus et la technologie sont déterminants », un contrôle technique n’est efficace qu’à la mesure du comportement de la personne qui l’applique lors d’un incident réel. ## Pourquoi la documentation ne révèle-t-elle pas une lacune de contrôle ? Parce qu’un principe des quatre yeux documenté paraît complet dans chaque dossier d’audit, mais ne dit rien sur son respect effectif sous la pression du temps et un sentiment d’urgence perçu. Un registre de contrôle confirme l’existence d’une étape de processus, pas son effet dans un scénario d’attaque concret. Comme le souligne l’article « La gestion des risques sert les objectifs, pas elle-même », un dispositif manque son objectif lorsqu’il paraît complet sur le papier mais n’a jamais été testé opérationnellement dans des conditions réelles. Seul un examen ciblé montre si l’obligation de rappel en cas de modification des coordonnées bancaires est réellement respectée, ou si les approbations d’exception sous la pression du temps deviennent discrètement la norme. Cette différence précise entre contrôle documenté et contrôle vécu passe souvent inaperçue dans un audit standard. ## Quels éléments de contrôle spécifiques faut-il examiner dès maintenant ? Trois éléments sont les plus susceptibles de révéler, lors d’un incident réel, si la chaîne de validation tient : le canal de rappel, la logique des seuils et le circuit d’escalade. Ces trois éléments peuvent être examinés individuellement et fournissent donc des constats plus fiables qu’une simple description de processus. - Obligation de rappel : existe-t-il une obligation de vérifier les coordonnées de paiement modifiées via un second canal indépendant, et cette obligation est-elle contrôlée par échantillonnage ? - Seuils : les virements dépassant un montant défini font-ils l’objet d’une contre-vérification manuelle, indépendamment de l’heure ou d’un sentiment d’urgence fabriqué ? - Escalade : les employés peuvent-ils arrêter un paiement sans que cela soit perçu comme une rupture de confiance envers un supérieur apparent ? ## Quelle est la prochaine étape pour son propre dispositif de contrôle ? L’audit interne devrait réaliser un cas de test simulé d’ingénierie sociale pour la validation des paiements lors du prochain cycle d’audit, plutôt que de se limiter à confirmer la documentation des processus. L’idée développée dans « Communication de surveillance FINMA 05/2025 : un signal d’alarme pour la résilience dès la conception » — intégrer la résilience dans les processus dès le départ plutôt que de la vérifier après coup — s’applique directement à la validation des paiements. Une première étape concrète consiste en un cas de test simulé de fraude au président lors du prochain cycle de revue du SCI, porté conjointement par l’audit interne et l’équipe des paiements, évaluant les temps de réaction réels et les circuits d’escalade plutôt que la seule documentation des processus. En pratique ## Points clés - Un petit nombre de cas à forte perte unitaire causent la plus grande part des pertes totales liées à la fraude sur virements, pas la masse des petits cas de fraude. - Une fonction de contrôle des risques TIC documentée au titre de DORA ne couvre l’ingénierie sociale que si des processus comme le rappel et l’escalade sont régulièrement testés dans des conditions réalistes. - L’audit interne devrait intégrer des tests d’efficacité pour la validation des paiements, plutôt que de simples revues documentaires, lors du prochain cycle d’audit. - Les seuils et les obligations de rappel ne sont robustes qu’à la mesure de leur application effective sous la pression du temps. FAQ ## Questions fréquentes À combien s’élevait la fraude aux paiements totale en Autriche en 2025 ? L’Oesterreichische Nationalbank a enregistré des pertes totales de 115,4 millions d’euros pour 2025, en hausse de 17,6 % par rapport à l’année précédente. Les virements ne représentaient que neuf pour cent des cas, mais ont causé environ 89 millions d’euros, soit 78 % des pertes totales. Quelle est la différence entre la perte moyenne en cas de fraude par carte et de fraude par virement ? Les paiements par carte représentaient neuf cas de fraude sur dix, avec une perte moyenne d’environ 75 euros par cas. Pour les virements, la moyenne s’élevait à environ 3’000 euros, et a dépassé un million d’euros dans certains cas, ce qui explique pourquoi un petit nombre de cas cause la plus grande part des pertes totales. Pourquoi un principe des quatre yeux documenté ne prévient-il pas fiablement l’ingénierie sociale ? La personne qui valide le paiement agit formellement dans le cadre de ses attributions, mais est trompée par un sentiment d’urgence fabriqué. Un registre de contrôle confirme uniquement l’existence de l’étape de processus, pas son respect effectif sous la pression du temps dans un scénario d’attaque concret. Quel rôle l’audit interne devrait-il jouer dans l’examen des validations de paiement ? L’audit interne devrait réaliser, lors du prochain cycle d’audit, un cas de test simulé d’ingénierie sociale pour la validation des paiements, en collaboration avec l’équipe des paiements, en évaluant les temps de réaction réels et les circuits d’escalade plutôt qu’en se contentant de confirmer la documentation des processus. Quels sont les trois éléments de contrôle qui révèlent, lors d’un incident réel, si une chaîne de validation tient ? Les éléments décisifs sont l’obligation de rappel pour les coordonnées de paiement modifiées via un second canal, la logique des seuils pour la contre-vérification manuelle au-delà d’un montant défini, et un circuit d’escalade permettant aux employés d’arrêter un paiement sans rupture de confiance. Sources 1. [DORA – ICT Risk Management](https://www.fma.gv.at/querschnittsthemen/dora/dora-ikt-risiko-management/)Austrian Financial Market Authority (FMA) 2. [OeNB Report: Payment Fraud Caused EUR 115 Million in Losses Last Year](https://www.meinbezirk.at/c-wirtschaft/zahlungsbetrug-verursachte-im-vorjahr-115-millionen-euro-schaden_a8857823)MeinBezirk.at ## Questions fréquentes ### Quel était le montant de la fraude aux paiements en Autriche en 2025 ? L'Oesterreichische Nationalbank a enregistré 115,4 millions d'euros de fraude aux paiements pour 2025, soit 17,6 % de plus que l'année précédente. Les virements ont causé environ 89 millions d'euros, soit 78 % des pertes totales. ### Quelle est la perte moyenne d'une fraude par virement par rapport à une fraude par carte ? Pour les virements, la perte moyenne est d'environ 3'000 euros et dépasse un million d'euros dans certains cas. Pour les paiements par carte, elle est d'environ 75 euros par cas. ### Pourquoi le principe des quatre yeux documenté ne protège-t-il pas de l'ingénierie sociale ? Un registre de contrôle confirme l'existence d'une étape de processus, pas son respect effectif sous la pression du temps. La personne qui valide le paiement agit dans le cadre de ses attributions, mais elle est trompée par un sentiment d'urgence fabriqué. ### Quels éléments de contrôle faut-il examiner pour limiter la fraude par virement ? Trois éléments sont à examiner : l'obligation de vérifier les coordonnées modifiées via un second canal indépendant, la contre-vérification manuelle au-delà d'un seuil défini et un circuit d'escalade permettant d'arrêter un paiement sans que cela soit perçu comme une rupture de confiance. ### Que doit faire l'audit interne lors du prochain cycle d'audit ? L'audit interne devrait réaliser, avec l'équipe des paiements, un cas de test simulé d'ingénierie sociale, par exemple une fraude au président. Ce test évalue les temps de réaction réels et les circuits d'escalade, plutôt que la seule documentation des processus.