1. En résumé
- ➜ Depuis le 1er septembre 2026, les entreprises françaises assujetties à la TVA concernées doivent pouvoir recevoir des factures électroniques, tandis que les grandes entreprises et les ETI doivent également les émettre et transmettre les données requises ; cette obligation d’émission s’étendra aux PME, TPE et micro-entreprises le 1er septembre 2027.
- ➜ Une facture électronique conforme n’est pas un simple PDF : elle doit respecter un format normé, comporter les données obligatoires et transiter par une plateforme agréée, choisie notamment selon sa compatibilité, son coût, sa disponibilité, son assistance et ses conditions de réversibilité.
- ➜ La dépendance accrue aux logiciels et plateformes crée des risques opérationnels : une panne prolongée peut bloquer l’émission ou la réception des factures, retarder les encaissements et affecter la trésorerie, d’où l’importance de prévoir des procédures de secours, des exports de données et une organisation adaptée.
- ➜ La réforme ne supprime pas les risques de fraude et de cyberattaque : fraude au changement de RIB, hameçonnage, compromission de messageries ou vol de données nécessitent notamment une double validation des changements bancaires, l’authentification multifacteur, des droits d’accès limités, des sauvegardes et une procédure de gestion des incidents.
- ➜ Les entreprises doivent enfin vérifier précisément leurs contrats avec les prestataires et leurs assurances, car RC Pro, multirisque professionnelle et assurance cyber ne couvrent pas automatiquement les pannes, fraudes, pertes d’exploitation ou incidents informatiques ; il est recommandé d’obtenir de l’assureur une confirmation écrite des garanties applicables à chaque scénario.
2. Ce qui a changé le 1er septembre 2026
Le calendrier dépend de la taille de votre entreprise.
Depuis le 1er septembre 2026 :
- ● les entreprises établies en France et assujetties à la TVA relevant du dispositif doivent être en mesure de recevoir les factures électroniques entrant dans son champ d’application ;
- ● les grandes entreprises et les entreprises de taille intermédiaire doivent émettre leurs factures électroniques et transmettre à l’administration les données requises lorsqu’elles relèvent du dispositif.
À partir du 1er septembre 2027, les PME, TPE et micro-entreprises devront à leur tour émettre sous forme électronique les factures entrant dans le champ de l’obligation et transmettre les données de transaction et de paiement requises.
Les micro-entrepreneurs bénéficiant de la franchise en base de TVA sont également concernés. Ils ne facturent généralement pas la TVA, mais restent assujettis à cette taxe. Ils doivent donc être en mesure de recevoir des factures électroniques depuis le 1er septembre 2026 et devront, à compter du 1er septembre 2027, émettre sous forme électronique les factures entrant dans le champ de l’obligation.
L’administration a annoncé une phase d’accompagnement et de tolérance pendant toute la fin de l’année 2026 : les entreprises rencontrant des difficultés dans la mise en œuvre de la réforme ne se verront pas appliquer de sanctions pendant cette phase de démarrage. Cette tolérance ne remet toutefois pas en cause l’entrée en vigueur des obligations. Les entreprises doivent donc poursuivre leurs démarches de mise en conformité.
3. Une facture électronique n’est pas un simple PDF
Un document PDF joint à un courriel ne constitue pas, à lui seul, une facture électronique conforme à la réforme.
La facture doit respecter une forme électronique normée, contenir les données obligatoires dans les champs prévus et être transmise par l’intermédiaire d’une plateforme agréée. Vous pouvez utiliser directement cette plateforme ou passer par une solution compatible, par exemple votre logiciel de facturation ou de comptabilité. Cette solution devra toutefois s’appuyer sur une plateforme agréée pour assurer les transmissions obligatoires.
Le portail public de facturation ne constitue pas un service gratuit permettant aux entreprises d’émettre et de recevoir directement leurs factures. Vous devez désigner une plateforme agréée, éventuellement par l’intermédiaire de votre éditeur de logiciel, de votre expert-comptable, de votre banque ou d’un autre prestataire proposant une solution compatible.
La réforme impose également la transmission de nouvelles données dans le cadre de la facturation électronique.
Pour les factures électroniques émises à compter du 1er septembre 2026, les données requises comprennent notamment :
- ● le numéro SIREN du client ;
- ● la catégorie de l’opération : livraison de biens, prestation de services ou opération constituée à la fois de livraisons de biens et de prestations de services ;
- ● l’indication de l’option pour le paiement de la TVA d’après les débits, lorsque cette option s’applique.
À compter du 1er septembre 2027, d’autres données devront également être présentes sous un format structuré, notamment l’adresse de livraison des biens lorsqu’elle diffère de l’adresse du client.
Vous devez vérifier que votre outil collecte correctement les informations requises et les place dans les champs attendus. Une donnée obligatoire manquante ou erronée peut provoquer une anomalie dans le traitement de la facture, voire son rejet selon la nature du contrôle concerné, et ainsi retarder son traitement ou son règlement.
Une plateforme agréée est un opérateur immatriculé par l’administration fiscale. Elle assure notamment l’émission, la transmission et la réception des factures électroniques. Elle extrait également les données qui doivent être adressées à l’administration et transmet les données de transaction ou de paiement requises.
La liste des plateformes agréées est publiée et actualisée sur le site impots.gouv.fr. L’immatriculation confirme que l’opérateur répond aux exigences prévues par le dispositif, mais elle ne vous dispense pas de comparer les offres.
Examinez notamment :
- ● la compatibilité avec vos logiciels actuels ;
- ● les formats pris en charge ;
- ● le prix et les éventuels coûts liés au volume de factures ;
- ● l’assistance proposée ;
- ● les engagements de disponibilité ;
- ● la gestion des droits d’accès ;
- ● les possibilités d’export et de restitution des données ;
- ● les conditions de changement de prestataire.
Vous devez également préciser qui réalise chaque opération dans votre organisation : création de la facture, contrôle des données, validation, transmission, traitement des factures reçues et suivi des paiements.
Votre processus de facturation dépend désormais davantage de plusieurs intermédiaires techniques : votre logiciel, sa connexion avec la plateforme agréée, la plateforme utilisée par votre client et les services servant à authentifier vos collaborateurs.
Une indisponibilité peut vous empêcher d’envoyer une facture, de la recevoir ou de suivre son statut. Elle peut aussi désorganiser votre rapprochement comptable et le traitement des règlements.
L’effet financier dépendra de la durée de l’incident et de votre organisation. Un blocage de quelques heures pourra généralement être absorbé. Une indisponibilité prolongée au moment où vous facturez une part importante de votre chiffre d’affaires peut, en revanche, décaler plusieurs encaissements et tendre votre trésorerie.
Avant de choisir votre solution, vérifiez notamment :
- ● ses engagements de disponibilité et d’assistance ;
- ● les procédures prévues en cas d’incident ;
- ● la possibilité d’exporter vos factures, leurs statuts et vos données ;
- ● les modalités de réversibilité si vous changez de prestataire ;
- ● l’existence d’un mode dégradé ou d’une procédure de reprise ;
- ● la répartition contractuelle des responsabilités entre la solution compatible et la plateforme agréée.
Il peut également être prudent de conserver une marge de trésorerie adaptée à votre cycle d’encaissement. La réforme doit améliorer la traçabilité des factures, mais elle ne supprime pas le risque d’une interruption technique.
6. La fraude au changement de RIB ne disparaît pas
La transmission des factures par des plateformes agréées doit renforcer la sécurité et la traçabilité des échanges. Elle ne rend cependant pas toutes les étapes du paiement invulnérables.
Un fraudeur peut compromettre une messagerie, usurper l’identité d’un fournisseur ou d’un collaborateur et demander une modification des coordonnées bancaires. Il peut également profiter de la période de transition pour envoyer un faux message invitant vos équipes à se connecter à une prétendue plateforme de facturation.
Le scénario est souvent crédible : l’escroc connaît l’existence d’une relation commerciale ou d’un paiement attendu, puis transmet des coordonnées bancaires frauduleuses. Si le virement est exécuté, les fonds sont versés sur le compte de l’escroc et peuvent être rapidement transférés ailleurs.
Pour limiter ce risque :
- ● confirmez toute modification de RIB par un autre canal, en appelant votre interlocuteur sur un numéro déjà connu ;
- ● n’utilisez pas les coordonnées figurant dans le message demandant la modification ;
- ● imposez une double validation pour les nouveaux bénéficiaires et les virements importants ;
- ● activez l’authentification multifacteur sur les messageries, logiciels et plateformes ;
- ● limitez les droits de chaque utilisateur à ce qui est nécessaire ;
- ● sensibilisez vos collaborateurs aux faux messages liés à la facturation électronique ;
- ● contrôlez régulièrement les règles de redirection et de filtrage des messageries.
Si vous découvrez une fraude, contactez immédiatement votre banque afin de tenter de suspendre le virement ou de demander le retour des fonds. Prévenez le fournisseur dont l’identité a été usurpée, conservez les preuves, sécurisez les comptes potentiellement compromis et déposez plainte dans les meilleurs délais.
7. La compromission des accès et des données
Les factures contiennent des informations sensibles : identité des clients et fournisseurs, montants, prestations réalisées, coordonnées de contact et parfois données bancaires. Leur centralisation accroît l’intérêt des comptes de facturation pour les attaquants.
Un accès compromis peut permettre de consulter ou d’extraire des données, de modifier certains paramètres, d’usurper un utilisateur ou de préparer une fraude. Lorsqu’il constitue une violation de données à caractère personnel, l’incident peut également entraîner des obligations de documentation et, selon le niveau de risque, de notification à la CNIL, voire de communication aux personnes concernées.
Vous devez donc organiser la sécurité du processus dans son ensemble, et pas uniquement celle de la plateforme :
- ● utilisez des mots de passe uniques et robustes ;
- ● activez l’authentification multifacteur dès qu’elle est proposée ;
- ● supprimez rapidement les accès des personnes quittant l’entreprise ;
- ● révisez périodiquement les habilitations ;
- ● installez les mises à jour de sécurité ;
- ● sauvegardez les données et testez leur restauration ;
- ● formalisez une procédure de réaction à un incident ;
- ● identifiez les interlocuteurs à joindre chez votre prestataire, votre banque, votre expert-comptable et votre assureur.
8. Votre prestataire peut-il être tenu responsable ?
Une panne ou une erreur imputable à un logiciel, une solution compatible ou une plateforme agréée peut vous causer un préjudice. Cela ne signifie pas que vous serez automatiquement indemnisé.
La responsabilité du prestataire dépendra notamment de la cause de l’incident, de ses obligations contractuelles, de la preuve d’un manquement, du lien entre ce manquement et votre dommage, ainsi que des exclusions ou limitations de responsabilité prévues au contrat et juridiquement opposables.
Lisez donc attentivement les conditions proposées avant de vous engager. Intéressez-vous en particulier aux plafonds de responsabilité, aux exclusions portant sur les pertes indirectes, aux engagements de service, à la sauvegarde, à la restitution des données et au traitement des incidents de sécurité.
Si vous êtes vous-même expert-comptable, éditeur de logiciel, intégrateur ou prestataire chargé de la facturation de clients, la réforme peut aussi faire évoluer votre exposition professionnelle. Une mauvaise configuration, une transmission défaillante ou un conseil inadapté peuvent donner lieu à une réclamation. Vous devez déclarer précisément vos prestations à votre assureur et vérifier que votre contrat correspond à vos missions réelles.
9. Votre RC Pro couvre-t-elle ces incidents ?
La responsabilité civile professionnelle couvre, dans les limites du contrat, certaines conséquences financières des dommages causés à des tiers dans le cadre de votre activité. Elle peut être pertinente lorsqu’un client vous reproche une faute dans l’exécution d’une prestation liée à la facturation.
Elle ne doit toutefois pas être présentée comme une garantie générale contre les pertes que votre propre entreprise subit. Un virement envoyé vers un faux compte, une impossibilité de facturer ou les frais engagés après la compromission de vos accès ne relèvent pas automatiquement de la RC Pro.
Le contrat doit être examiné au regard de votre activité, de la nature de la réclamation, du type de préjudice et des exclusions applicables. Une attention particulière doit être portée aux dommages immatériels non consécutifs, aux actes frauduleux, aux prestations informatiques et aux événements cyber.
10. Votre multirisque professionnelle suffit-elle ?
Une assurance multirisque professionnelle peut couvrir vos locaux, votre matériel, vos marchandises et certaines pertes d’exploitation, selon les garanties souscrites.
Dans de nombreux contrats, la garantie pertes d’exploitation est subordonnée à la survenance d’un dommage matériel garanti, par exemple un incendie ou un dégât des eaux. Une interruption causée uniquement par une panne logicielle, une cyberattaque ou l’indisponibilité d’une plateforme peut donc ne pas être couverte par une garantie classique de pertes d’exploitation.
Vérifiez si votre contrat comporte une extension couvrant les incidents informatiques ou une perte d’exploitation sans dommage matériel. Examinez également les délais de carence, franchises, plafonds, durées d’indemnisation et exclusions.
11. Quand une assurance cyber peut-elle intervenir ?
Une assurance cyber peut prévoir, selon le contrat, des garanties portant sur :
- ● l’assistance technique et la gestion de crise ;
- ● la recherche de la cause et de l’étendue de l’incident ;
- ● la restauration de données ;
- ● les frais de notification et d’accompagnement juridique ;
- ● la responsabilité liée à une atteinte aux données ou à la sécurité informatique ;
- ● certaines pertes d’exploitation consécutives à un incident cyber ;
- ● certaines fraudes ou pertes financières, lorsqu’une garantie spécifique est prévue.
Tous les contrats cyber ne couvrent pas la fraude par ingénierie sociale ou le virement effectué volontairement par un collaborateur trompé. Certains exigent une compromission préalable du système informatique de l’assuré ; d’autres proposent une extension distincte assortie de sous-plafonds et de procédures de contrôle précises.
Demandez donc une réponse écrite à des scénarios concrets : que se passe-t-il si votre messagerie est piratée, si un faux RIB vous est transmis, si votre plateforme devient indisponible ou si des données de facturation sont extraites ?
