Peppol et fraude à la facture : protéger votre comptabilité en 2026

Depuis le 1er janvier 2026, les entreprises belges assujetties à la TVA doivent s'échanger des factures électroniques structurées. Elles passent par le réseau Peppol. Un PDF envoyé par e-mail ne suffit plus entre entreprises. La transition est largement faite. Selon le SPF Finances, 1 059 335 assujettis étaient connectés à Peppol mi-juillet 2026, soit 89 %.

Peppol rend la facturation plus fiable, mais il ne supprime pas la fraude. Febelfin le dit clairement dans sa brochure 2026. Ses conseils contre la fraude à la facture restent valables, y compris pour les factures reçues via Peppol. Voici ce qui a changé, les scénarios de fraude à connaître et une procédure simple pour votre service comptable.

Où en est l'obligation Peppol

Le SPF Finances a accordé une période de tolérance pendant les trois premiers mois de 2026. L'entreprise devait toutefois prouver avoir fait les démarches « en temps utile et raisonnables ». Il a exclu tout report général.

L'arrêté royal du 8 juillet 2025 prévoit des amendes forfaitaires. Elles s'élèvent à 1 500 € pour une première infraction, 3 000 € pour la deuxième et 5 000 € pour les suivantes. Au 3 août 2026, selon Belga, aucune amende n'avait encore été infligée : le SPF dit privilégier un « dialogue constructif ». Environ 12 000 entreprises devaient encore s'inscrire. Selon le SPF, les autres entreprises non connectées n'ont pas d'activité B2B.

Pour les petites entreprises, un incitant fiscal existe. Il s'agit d'une déduction majorée de 120 % des frais d'abonnement à un logiciel de facturation. Elle vaut pour les périodes imposables 2024 à 2027.

Peppol réduit certains risques, pas tous

Peppol supprime un vecteur classique : la facture PDF interceptée dans une boîte mail ou dans le courrier, puis modifiée. Les factures circulent entre points d'accès (access points) identifiés. Mais trois limites subsistent.

L'identité à l'inscription. Peppol ne vérifie pas automatiquement les intentions de ceux qui utilisent le réseau. Banqup Group le rappelle dans un article publié en avril 2026. Ce contrôle revient aux logiciels et aux points d'accès. Si l'inscription d'un fournisseur repose uniquement sur un numéro de TVA, sans contrôle strict, une usurpation d'identité reste possible.

Les identifiants créés automatiquement. Selon Innovate Tax (janvier 2026), l'ancienne plateforme Hermes a généré automatiquement certains identifiants Peppol belges. Elle est hors service depuis le 31 décembre 2025. Des entreprises peuvent donc avoir un identifiant Peppol à leur nom sans le savoir. La même source cite deux sociétés belges de cybersécurité, SalesBridge et SafeByte. Elles ont montré qu'il était techniquement possible d'envoyer via Peppol une fausse facture d'apparence légitime.

Le contenu de la facture. Peppol transporte la facture. Il ne garantit pas que l'IBAN qu'elle contient appartient bien à votre fournisseur.

Trois scénarios de fraude à connaître

1. La fausse facture

Un fraudeur envoie une facture pour une prestation jamais commandée, au nom d'un fournisseur réel ou fictif. Febelfin recommande de ne jamais payer une facture suspecte sans contrôle préalable. Vérifiez que vous êtes bien client de cette entreprise ou que vous avez commandé quelque chose.

2. Le changement d'IBAN

C'est le scénario le plus coûteux. Selon Febelfin, les fraudeurs interceptent une vraie facture ou piratent la messagerie d'un fournisseur. Ils remplacent ensuite le numéro de compte et renvoient le document. Ils joignent parfois un courrier ou un autocollant « Attention, numéro de compte modifié ». La demande peut aussi arriver par un simple e-mail du « service comptable » du fournisseur.

3. Le faux message « Peppol » ou « SPF Finances »

L'obligation Peppol et la menace d'amende forment un prétexte crédible : « finalisez votre inscription Peppol », « régularisez votre situation avant sanction ». Au 14 octobre 2026, nous n'avons trouvé aucune alerte officielle (Safeonweb, SPF Finances) sur un hameçonnage (phishing) ciblant Peppol. En revanche, le SPF Finances signale régulièrement de faux e-mails eBox et de faux SMS réclamant le paiement d'une dette. Il rappelle qu'il ne demande jamais de données bancaires. Ses paiements passent par MyMinfin ou par ses comptes officiels.

La procédure anti-fraude en 7 étapes

Febelfin qualifie le personnel comptable de « première ligne de défense ». Ces sept étapes reprennent ses recommandations et les adaptent au contexte Peppol.

Ce que la comptabilité doit afficher près de l'écran

Ces règles ne demandent aucun investissement. Elles demandent surtout que chacun les connaisse et ose ralentir un paiement. Febelfin recommande d'ailleurs de diffuser ces consignes à la comptabilité et à la direction. Elles concernent aussi toute personne qui dispose d'une procuration sur les comptes. Une courte sensibilisation avec des exemples concrets permet de les ancrer.