Domiciliation : signature du mandat SEPA et preuve d'audit en 5 minutes

Pour une société de domiciliation, la signature du mandat SEPA ne se résume pas à collecter une signature électronique. Elle suppose d’intégrer la génération de la RUM et de l’ICS directement dans le flux de travail, d’imposer une signature électronique eIDAS de niveau avancé (AES) pour les mandats B2B, puis de relier chaque mandat au dossier LCB-FT du domicilié avec un archivage horodaté et exportable à tout moment. C’est ce triptyque, et pas la simple case cochée sur un formulaire, qui protège l’agrément préfectoral.

---

En bref:

• La génération automatique de RUM et d’ICS, l’utilisation d’une signature eIDAS de niveau avancé, et un archivage horodaté sont indispensables pour garantir la conformité d’un mandat SEPA.
• La gestion rigoureuse du registre, la cohérence des ICS, et le rattachement précis des mandats aux dossiers sont essentiels pour conserver l’agrément préfectoral et éviter des sanctions sévères.
• La conservation légale d’un mandat doit durer au minimum 13 mois, mais il est recommandé de prévoir jusqu’à 10 ans pour résister à un contrôle ou une contestation.
• La plateforme Adryo offre une solution centralisée intégrant signature, gestion, archivage et conformité, simplifiant la préparation d’audits et de contrôles préfectoraux.

---

Table des matières

• Quelles obligations légales et sanctions pèsent sur le domiciliataire
• AES ou QES : quel niveau de signature électronique choisir pour un mandat SEPA
• RUM, ICS et données obligatoires d’un mandat SEPA dans votre logiciel
• Combien de temps archiver un mandat SEPA, et comment prouver sa conformité
• Comment déployer la gestion des mandats SEPA dans votre plateforme
• Les failles fréquentes avant un audit, et comment les repérer
• Que faire en cas de révocation ou de modification d’un mandat SEPA
• Pourquoi centraliser la gestion des mandats change la donne pour les domiciliataires
• Adryo : une plateforme unique pour vos mandats, votre registre et votre conformité
• Sources

Quelles obligations légales et sanctions pèsent sur le domiciliataire

Une société de domiciliation agréée doit tenir un registre rigoureux des entreprises domiciliées et de leurs mandats, avec un lien direct vers le dossier de vigilance de chaque client. Ce n’est pas une simple bonne pratique : c’est une condition de maintien de l’agrément préfectoral, et le contrat de domiciliation lui-même obéit à des règles précises, notamment une durée minimale de trois mois et des obligations strictes de réception du courrier.

Le risque en cas de manquement n’est pas théorique. Les sociétés de domiciliation qui négligent leurs obligations de suivi ou d’agrément s’exposent à six mois d’emprisonnement et 7 500 € d’amende, un rappel qui justifie à lui seul d’automatiser la tenue du registre plutôt que de la confier à un tableau Excel.

Le SEPA interentreprises (B2B) ajoute ses propres contraintes, souvent mal comprises :

• une Référence Unique de Mandat par mandat, sans doublon possible ;
• la notification obligatoire de la banque du débiteur avant le premier prélèvement, faute de quoi l’opération peut être rejetée ;
• une irrévocabilité relative une fois le mandat exécuté, ce qui impose une identification fiable du signataire dès la signature.

Ces règles viennent directement de la brochure CFONB sur le prélèvement SEPA interentreprises, la référence technique du secteur.

AES ou QES : quel niveau de signature électronique choisir pour un mandat SEPA

Le règlement eIDAS distingue plusieurs niveaux de signature électronique, et le choix n’est pas cosmétique : il détermine la force probante du mandat en cas de litige ou de contrôle. La signature électronique avancée (AES) bénéficie d’une présomption de fiabilité reconnue par le règlement européen, à condition qu’elle repose sur une identification vérifiable du signataire et un lien technique avec le document signé.

Pour l’immense majorité des mandats SEPA B2B gérés par une société de domiciliation, l’AES suffit. La signature électronique qualifiée (QES), plus lourde à mettre en œuvre car elle exige un certificat qualifié délivré par un prestataire de confiance, se réserve aux cas à enjeu exceptionnel où la contestation est probable.

Trois points distinguent un mandat AES solide d’un mandat fragile :

• une authentification forte du signataire, typiquement par SCA ou OTP envoyé par SMS ;
• un horodatage certifié de l’acte de signature ;
• un lien cryptographique entre le document final et la preuve de consentement.

Conseil de pro : ne validez jamais un mandat B2B sur la seule base d’un clic « j’accepte ». Exigez systématiquement une vérification par code à usage unique : c’est ce détail qui fait la différence devant un juge ou un contrôleur préfectoral.

RUM, ICS et données obligatoires d’un mandat SEPA dans votre logiciel

Un mandat SEPA numérisé n’a de valeur que si les champs obligatoires sont complets et cohérents avec le fichier d’envoi bancaire. Le guide GoCardless sur les mandats SEPA rappelle la liste minimale : ICS du créancier, RUM, IBAN du débiteur, type de prélèvement (récurrent ou ponctuel), date, et signature.

Trois points techniques méritent une attention particulière dans votre plateforme :

1. Unicité de la RUM : chaque référence doit être générée automatiquement et ne jamais être réattribuée, même après résiliation d’un contrat.
2. Cohérence ICS et créancier : un domiciliataire gérant plusieurs entités juridiques doit s’assurer que l’ICS utilisé correspond bien à la structure émettrice du prélèvement.
3. Liaison au dossier client : le mandat doit être rattaché non seulement au contrat de domiciliation, mais aussi aux fichiers d’envoi bancaire pour permettre une réconciliation automatique en cas d’anomalie.

Sans cette rigueur, un simple rejet bancaire peut se transformer en heures de recherche manuelle dans des dossiers dispersés.

Combien de temps archiver un mandat SEPA, et comment prouver sa conformité

La durée légale minimale de conservation d’un mandat SEPA est de 13 mois après le dernier prélèvement, pour couvrir le délai de contestation, comme le précise le guide GoCardless. Mais dans les faits, une société de domiciliation a intérêt à viser plus large.

13 mois vs 10 ans : la conservation réglementaire minimale pour traiter une contestation est de 13 mois. La pratique recommandée pour résister à un audit comptable ou fiscal complet grimpe à 10 ans.

Trois exigences techniques structurent un archivage réellement audit-proof :

• un horodatage certifié à chaque étape (signature, notification, exécution) ;
• une immutabilité garantie du PDF signé, sans possibilité de modification a posteriori ;
• une exportabilité immédiate, pour produire en quelques clics le mandat et sa piste d’audit complète lors d’un contrôle préfectoral ou d’une demande Tracfin.

La dématérialisation change concrètement la donne sur ce dernier point : elle accélère la réponse aux demandes d’audit et réduit le risque de documents perdus ou mal classés, un problème encore fréquent avec les archives papier.

Comment déployer la gestion des mandats SEPA dans votre plateforme

Structurer ce chantier en cinq étapes évite les angles morts les plus coûteux.

1. Préparer des modèles de mandat conformes. Chaque modèle doit intégrer les mentions obligatoires (ICS, type de prélèvement, clause d’irrévocabilité B2B) et le parcours de signature associé, sans champ à remplir manuellement par l’opérateur.
2. Automatiser la génération de la RUM et de l’ICS. La plateforme doit produire ces identifiants au moment de la création du mandat, sans intervention humaine, et stocker les métadonnées (date, signataire, canal) dans le dossier client.
3. Intégrer la notification bancaire pour le SEPA B2B. Le format d’export vers la banque du débiteur doit respecter les délais réglementaires avant le premier prélèvement, avec une trace de l’envoi conservée dans le registre.
4. Mettre en place l’archivage sécurisé. Contrôle d’accès par rôle, journalisation horodatée de chaque consultation, et export du PDF signé accompagné de son audit trail complet.
5. Définir un processus de validation interne. Qui valide le mandat, quelles preuves conserver, et comment simuler un audit avant qu’un vrai contrôle n’arrive.

Conseil de pro : simulez un contrôle préfectoral en interne une fois par trimestre. Demandez à un collaborateur non impliqué dans la gestion quotidienne de retrouver, en moins de cinq minutes, le mandat d’un client au hasard et sa piste d’audit complète. Si ça prend plus de temps, votre registre a un problème structurel.

Les failles fréquentes avant un audit, et comment les repérer

Certaines lacunes reviennent sans cesse dans les dossiers de domiciliation, souvent parce qu’elles restent invisibles au quotidien.

• Mandats manquants ou incomplets : un client migré d’un ancien système sans reprise intégrale des mandats historiques.
• RUM non unique : un bug d’import ou une génération manuelle qui réutilise une référence déjà attribuée.
• Signature non fiable : un mandat validé par simple case cochée, sans authentification forte ni horodatage certifié.
• Archivage non certifié : des PDF stockés sur un partage réseau classique, sans piste d’audit ni protection contre la modification.

Face à ces risques, quatre contrôles limitent l’exposition : une revue périodique du registre, des conciliations régulières entre mandats et prélèvements exécutés, l’examen des journaux d’accès, et le respect de la vérification triennale imposée par le dispositif LCB-FT. Devant un contrôleur, la capacité à produire en quelques minutes un mandat, son audit trail et le dossier de vigilance associé reste la meilleure preuve de sérieux.

Que faire en cas de révocation ou de modification d’un mandat SEPA

Un mandat SEPA n’est pas figé dans le temps. Un client change de compte bancaire, résilie son contrat de domiciliation, ou demande la modification d’un type de prélèvement. Chacun de ces événements doit déclencher une traçabilité aussi rigoureuse que la signature initiale.

La révocation d’un mandat de prélèvement classique reste possible à tout moment côté débiteur, mais un mandat B2B exécuté conserve un caractère irrévocable pour les opérations déjà lancées : c’est là que la distinction entre mandat récurrent et mandat B2B prend tout son sens opérationnel. Votre registre doit donc distinguer clairement l’état d’un mandat (actif, révoqué, expiré, modifié) et conserver l’historique complet des changements, sans jamais écraser une version antérieure.

Trois règles pratiques limitent les erreurs :

• Ne jamais réutiliser une RUM révoquée. Une nouvelle demande de prélèvement, même pour le même client, doit générer une nouvelle référence.
• Horodater chaque modification. Un changement d’IBAN ou de périodicité doit produire un nouvel enregistrement daté, pas une simple édition du mandat existant.
• Notifier la banque du débiteur en cas de changement substantiel, en particulier pour les mandats B2B où l’irrévocabilité impose une rigueur accrue sur les modifications en amont.

Un registre qui conserve cet historique complet transforme une opération administrative banale en preuve supplémentaire de sérieux devant un contrôleur.

Pourquoi centraliser la gestion des mandats change la donne pour les domiciliataires

Le vrai gain n’est pas la signature elle-même, mais ce qu’elle permet ensuite : une piste d’audit qui remonte instantanément du mandat au dossier LCB-FT, sans ressaisie ni recherche dans trois outils différents. C’est cette continuité, plus que la technologie de signature, qui rassure un contrôleur préfectoral. Une plateforme comme Adryo réunit précisément ce registre des mandats, la conformité LCB-FT et la signature eIDAS dans un seul dossier client, ce qui vaut la peine d’être testé sur un périmètre restreint avant généralisation.

— Aimen

Adryo : une plateforme unique pour vos mandats, votre registre et votre conformité

Adryo remplace l’empilement Excel, papier et outil de signature séparé par un dossier client unique où mandat, contrat et dossier de vigilance ne font qu’un. Concrètement, la génération automatique de la RUM et de l’ICS, la signature électronique eIDAS de niveau AES, le registre des mandats tenu sans intervention manuelle et l’archivage horodaté sortent du casse-tête administratif pour devenir un flux qui tourne seul.

La plateforme s’adresse spécifiquement aux sociétés de domiciliation agréées : hébergement des données en France, conformité RGPD, et facturation au nombre de dossiers gérés avec des tarifs dégressifs selon le volume. Que vous gériez cinquante ou cinq mille domiciliés, la logique de tarification reste la même, sans surprise à l’échelle.

Si votre équipe passe encore des heures à réconcilier des mandats papier avec des tableurs de suivi, le moment est venu de comparer cette charge à ce qu’une plateforme centralisée peut absorber. Découvrez les fonctionnalités détaillées sur la page produit Adryo et évaluez ce qu’un déploiement pilote apporterait à votre prochain contrôle préfectoral.

Sources

• CFONB — Brochure prélèvement SEPA interentreprises
• GoCardless — Guide mandats SEPA
• Tracfin / Économie.gouv — Dispositif LCB-FT