La réponse courte : une vérification de l'inscription ICO confirme si une organisation figure au registre des redevables de l'Information Commissioner's Office (ICO) britannique - autrement dit, si elle a déclaré à l'ICO qu'elle traite des données personnelles et a payé la redevance de protection des données qui va avec. Elle ne confirme pas que l'organisation est financièrement solide, qu'elle est titulaire du compte bancaire figurant sur sa facture, ni qu'un paiement à son profit est sûr.
Cette distinction compte parce que les deux questions arrivent ensemble. Une équipe achats qui étudie un nouveau fournisseur veut savoir que l'entreprise existe et qu'elle est conforme. Une équipe trésorerie veut savoir que l'argent arrive sur le bon compte. Le registre ICO ne répond qu'à la première question, et seulement pour la partie protection des données.
Ce que confirme réellement une vérification de l'inscription ICO
L'ICO est l'autorité indépendante britannique de protection des données. En vertu du Data Protection (Charges and Information) Regulations 2018, la plupart des organisations qui traitent des données personnelles doivent verser une redevance annuelle à l'ICO - généralement appelée redevance de protection des données - sauf si une exemption s'applique. Le registre des redevables est la liste publique des organisations qui l'ont fait.
Un résultat positif confirme donc une chose étroite et factuelle : l'organisation figure dans ce registre, avec un numéro d'inscription, un tier de redevance et un statut. C'est un signal de conformité utile lorsque vous confiez des données personnelles à un fournisseur - prestataires de paie, agences marketing, éditeurs de logiciels, bref toute personne qui traite des dossiers de clients ou de salariés pour votre compte.
L'inscription concerne les données, pas l'argent
Le registre ICO recense qui a payé une redevance de protection des données. Il ne dit rien des comptes bancaires, des factures, de la propriété ou de la solvabilité. Traitez-le comme une ligne dans un dossier fournisseur, pas comme un contrôle de paiement.
Comment vérifier une inscription ICO, étape par étape
La vérification est rapide et gratuite. Utilisez la recherche officielle de l'ICO plutôt qu'un site de consultation tiers, car le registre officiel est la source que tous les autres outils recopient.
- 1 Rendez-vous sur la recherche du registre de l'ICO, sur ico.org.uk - le champ de recherche du registre des redevables.
- 2 Cherchez par la raison sociale de l'organisation telle qu'elle figure sur le contrat ou la facture, pas par un nom commercial ni une marque.
- 3 Si le nom est courant, affinez les résultats avec le numéro d'inscription si vous l'avez déjà, ou avec l'adresse de l'organisation.
- 4 Ouvrez l'entrée et lisez trois éléments : le numéro d'inscription, le tier de redevance et le statut.
- 5 Enregistrez une capture d'écran ou une note datée de ce que vous avez trouvé, pour que la vérification reste auditable plus tard.
Si rien n'apparaît, ne tirez pas de conclusions hâtives. Essayez la dénomination sociale enregistrée à Companies House, essayez la société mère, et essayez des variantes avec et sans forme juridique. Beaucoup d'organisations exercent sous un nom différent de l'entité qui paie la redevance.
Un avertissement qui mérite d'être répété : plusieurs sites commerciaux proposent un service payant de « détermination ICO » ou de « certificat d'inscription ». L'outil d'auto-évaluation et la recherche du registre de l'ICO sont gratuits, et payer un tiers ne rend pas une inscription plus valable.
Lire le résultat : numéro d'inscription, tier et statut
Un numéro d'inscription ICO s'écrit généralement ZA suivi de six chiffres - par exemple ZA123456. Il identifie l'entrée dans le registre. Ce n'est ni un numéro de société, ni un numéro de TVA, ni une référence de paiement, et il ne doit jamais servir à identifier un compte bancaire.
Le tier de redevance décrit la taille et le type de l'organisation, selon la définition de l'ICO. L'ICO publie trois tiers, et la redevance augmente avec le tier :
- Le tier 1 couvre les plus petites organisations - les micro-organisations, appréciées principalement selon l'effectif et le chiffre d'affaires.
- Le tier 2 couvre les petites et moyennes organisations.
- Le tier 3 couvre les grandes organisations.
Le tier vous indique en gros la taille du redevable. Ce n'est pas une note de sécurité, de qualité ou de fiabilité, et une entrée de tier 3 n'est pas « plus sûre » qu'une entrée de tier 1 - elle signifie simplement une organisation plus grande qui paie une redevance plus élevée.
Le statut est la partie que l'on lit mal. Une entrée peut apparaître comme inscrite, ou comme en cours de traitement pendant qu'un paiement ou un renouvellement est traité. « En cours » n'est pas un signal d'alerte en soi : les renouvellements sont annuels et il y a un décalage entre le paiement et la mise à jour du registre. Ce qui compte, c'est de savoir si l'organisation peut expliquer ce statut et si l'entrée est à jour plutôt qu'expirée.
Ce qu'une vérification ICO ne vous dit pas
C'est là que la due diligence fournisseur dérape. Une entrée ICO impeccable est souvent capturée en image sur une page de confiance comme si c'était un gage de légitimité. Ce n'en est pas un. Une vérification ICO ne confirme pas :
- Qui détient ou contrôle la société - c'est le domaine de Companies House, où vous voyez les dirigeants, les dépôts et les comptes.
- Si la société est solvable ou en activité - là encore les comptes et l'historique des dépôts, pas le registre ICO.
- Si la société est titulaire du compte bancaire imprimé sur sa facture - aucun registre public ne le contient.
- Si la facture elle-même est authentique, ni si l'e-mail qui l'a transmise venait du vrai fournisseur.
- Si l'organisation traite bien les données - l'inscription est une redevance, pas un audit.
Autrement dit, le registre ICO répond à une question de conformité. La question « est-ce le bon compte à payer ? » trouve sa réponse ailleurs - dans une vérification nom-IBAN réalisée par un prestataire de services de paiement.
Inscription ICO et Verification of Payee : deux vérifications différentes
La Verification of Payee (VoP) est la vérification du nom UE/SEPA exigée par le règlement sur les paiements instantanés. Avant l'envoi d'un virement en euros, le prestataire de services de paiement (PSP) du payeur demande au PSP du bénéficiaire si le nom fourni correspond au titulaire du compte, et reçoit l'un des quatre résultats : correspondance, correspondance partielle, absence de correspondance ou non disponible. Le Royaume-Uni a sa propre version, la Confirmation of Payee, construite autour des sort codes et des numéros de compte.
Mettez les deux côte à côte et la différence saute aux yeux :
- La vérification ICO demande : cette organisation s'est-elle inscrite comme responsable de traitement et a-t-elle payé sa redevance ? La réponse vient d'un registre public, une fois, à l'onboarding.
- La vérification du bénéficiaire demande : ce compte appartient-il à la partie que j'ai désignée ? La réponse vient de la banque du bénéficiaire, au moment du paiement.
- La vérification ICO porte sur la conformité en protection des données. La vérification du bénéficiaire porte sur l'endroit où arrive l'argent.
Ni l'une ni l'autre ne remplace l'autre. Un fraudeur peut s'inscrire auprès de l'ICO - c'est une redevance, pas un processus de contrôle - et un fournisseur parfaitement conforme peut malgré tout voir son e-mail compromis et sa facture remplacée par une autre, avec des coordonnées bancaires différentes. Si vous voulez le contexte du dispositif européen, commencez par ce qu'est la Verification of Payee ; la mécanique de la vérification d'un titulaire de compte est détaillée dans comment vérifier le titulaire d'un IBAN.
Où se situe la vérification ICO dans l'onboarding fournisseur
La réponse pratique : comme une étape parmi d'autres, dans un ordre fixe. Une séquence qui fonctionne pour un nouveau fournisseur ressemble à ceci.
- 1 Contrôle de la société : confirmez l'entité juridique, les dirigeants et l'historique des dépôts à Companies House, et faites correspondre le nom figurant sur le contrat.
- 2 Contrôle protection des données : recherchez l'entité dans le registre ICO et notez le numéro d'inscription, le tier et le statut.
- 3 Contrôle des coordonnées bancaires : lancez une vérification nom-IBAN sur le compte que vous allez payer, et conservez le nom vérifié renvoyé.
- 4 Gestion des changements : relancez la vérification des coordonnées bancaires à chaque changement des coordonnées du fournisseur, et confirmez le changement par téléphone sur un numéro que vous déteniez déjà.
Ce sont les troisième et quatrième étapes qui empêchent l'argent de partir sur le mauvais compte. Pour le processus dans son ensemble, y compris la gestion des données de bénéficiaires stockées, voyez le guide d'onboarding des fournisseurs et prestataires et la page Verification of Payee pour les entreprises.
Ne prenez jamais une entrée ICO pour une preuve de coordonnées bancaires
Un numéro d'inscription sur l'en-tête d'un fournisseur vous dit que l'organisation a payé une redevance de protection des données. Il ne vous dit rien du numéro de compte qui se trouve en dessous. Vérifiez le compte séparément, à chaque changement de coordonnées.
Confusions courantes et réponses rapides
L'essentiel de la confusion autour des vérifications ICO vient de trois questions, alors les voici clairement.
- Quand l'inscription est-elle obligatoire ? La plupart des organisations qui traitent des données personnelles doivent payer la redevance, mais des exemptions existent - par exemple certaines petites organisations qui ne traitent des données que pour des finalités limitées. L'outil d'auto-évaluation gratuit de l'ICO vous dit si votre propre organisation doit s'inscrire.
- Comment retrouver mon propre numéro de référence ICO ? Cherchez dans le registre par la raison sociale de votre organisation, ou consultez la confirmation envoyée par l'ICO lors du paiement de la redevance. Le numéro figure sur ce document.
- Un numéro ICO est-il un numéro d'immatriculation de société ? Non. Un numéro de société vient de Companies House et identifie l'entité juridique. Un numéro ICO identifie une entrée de redevable dans le registre de protection des données. Ils sont délivrés par des organismes différents pour des finalités différentes.
RoxPay fournit la Verification of Payee sur le schéma SEPA via une seule API REST et un tableau de bord, en renvoyant les résultats standardisés - correspondance, correspondance partielle, absence de correspondance et non disponible - en bien moins d'une seconde, avec le nom vérifié en cas de correspondance partielle, pour un paiement unique ou tout un fichier de paiement.