La règle des deux clés manque à votre trésorerie

Dans un centre de lancement Minuteman, deux officiers sont assis devant deux consoles distantes de plusieurs mètres. Pour armer un tir, chacun tourne sa clé dans un intervalle de deux secondes. La distance est calculée pour qu’un homme seul, même déterminé, même parfaitement entraîné, ne puisse pas atteindre les deux serrures. Un second équipage, dans un autre centre, doit confirmer.

Ce dispositif date du début des années 1960, quand l’administration Kennedy a imposé les verrous électroniques dits PAL sur l’arsenal américain. Il n’a jamais reposé sur la loyauté des équipages. Il part de l’hypothèse inverse : l’individu au poste de commande peut être compromis, retourné, contraint, ou simplement avoir perdu la raison cette nuit-là. Le système est conçu pour que cette hypothèse ne change rien au résultat.

Aujourd’hui, dans la plupart des entreprises de taille intermédiaire, un virement de cinq millions d’euros part sur la décision d’une seule personne, sous la pression d’un appel vidéo.

Ce que la règle verrouille exactement

La règle des deux clés ne demande pas aux officiers d’être vigilants. Elle ne leur demande pas de bien faire leur travail, ni de suivre une procédure rigoureuse. Elle rend l’action unilatérale mécaniquement impossible, quelle que soit la qualité des hommes.

C’est là toute la différence avec une règle interne. Une procédure de double validation décrit un comportement attendu, et un comportement attendu se contourne par l’urgence, la hiérarchie ou l’absence du second valideur un jeudi d’août. Une contrainte d’architecture reste en place quand tout le reste cède.

Votre trésorerie n’a pas d’équivalent

Posez la question dans votre organisation, en excluant les procédures internes et en ne retenant que les contraintes techniques : combien de personnes peuvent déclencher un mouvement de fonds sans qu’un second facteur, indépendant d’elles et hors de leur portée, ait à se prononcer ?

Dans la grande majorité des cas, la réponse est : une.

Cette architecture est le produit d’une organisation bâtie sur trois hypothèses. Que l’identité d’un interlocuteur se reconnaît à sa voix et à son visage. Que l’authenticité d’une communication se lit dans sa forme. Que les procédures resteront stables assez longtemps pour qu’on s’y fie. Les trois ont cessé d’être vraies quand la synthèse d’identité en temps réel est devenue accessible à tout attaquant motivé.

Pourquoi le rappel téléphonique n’est pas une deuxième clé

C’est l’objection immédiate : nous avons un contre-appel, une validation par courriel, une double signature manuelle. Regardons ce que ces mécanismes supposent.

Ils supposent que l’attaquant joue le jeu de la procédure. Il ne le fait pas. Il fournit le canal de confirmation lui-même. Un collaborateur d’Arup l’a appris en janvier 2024 à Hong Kong : il avait douté, il avait refusé d’agir sur un simple courriel, et on lui a proposé une visioconférence où son directeur financier et plusieurs collègues, tous synthétiques, ont levé son doute. Il a ensuite exécuté quinze virements vers cinq comptes, pour environ 25 millions de dollars.

Un contre-appel qui emprunte un canal sous le contrôle de l’attaquant revient à actionner deux fois la même serrure, avec la même main.

Le critère : la compromission de l’exécutant

La question à poser à un dispositif de validation financière tient en une phrase : fonctionne-t-il encore si celui qui l’exécute est lui-même compromis ?

Si votre signature suffit, si votre voix suffit, si votre visage suffit, la réponse est non. Le directeur financier devient alors le nœud de confiance central d’un système qui n’a pas été conçu pour survivre à la compromission de ce nœud. La position est inconfortable sans qu’aucune négligence soit en cause : elle découle de la structure, et elle se corrige au même niveau.

Traduire la règle des deux clés dans un processus de paiement suppose trois choses. Ancrer la validation à un dispositif physique détenu par une personne identifiée. Faire opérer le second facteur par des acteurs indépendants de celui qui exécute le virement. Partager les traces irréfutables produites avec la partie qui reçoit l’instruction, pour qu’elle puisse vérifier sans rappeler personne. Le fonctionnement de Sealfie tient dans ces trois exigences.

Ce que les tribunaux commencent à demander

Le droit avance dans la même direction. Le 19 novembre 2025, la chambre commerciale de la Cour de cassation (n° 24-17.056, 24-17.780, 24-19.776) a retenu que la responsabilité post-fraude pèse sur l’entreprise lorsque des anomalies auraient pu être détectées par un contrôle technique automatisé.

Le standard examiné a changé de nature. Il porte sur des contrôles qui s’exécutent, et le dirigeant qui présente un plan de sensibilisation et des politiques signées documente surtout son espérance que ses équipes feraient mieux que ce que la neurologie permet sous pression.

La question pour le prochain comité de direction

Il existe une asymétrie que peu de directions financières ont intégrée : l’attaquant doit réussir une fois, vous devez réussir à chaque fois. Aucune formation ne referme cet écart, parce que l’écart est structurel.

La règle des deux clés est née de ce constat. Quelqu’un a compris qu’un officier loyal, compétent et bien formé pouvait tout de même être contraint. La réponse apportée a porté sur le système lui-même, en laissant de côté l’idée d’entraîner encore mieux les officiers.

Quelle est votre règle des deux clés ?