Authenticité des documents de conformité : collecter ne suffira plus

Le dossier est complet. Attestation de vigilance Urssaf, extrait Kbis, attestation d’assurance : tout est arrivé dans les délais, tout est au bon format, tout a été classé dans le dossier partagé. Et pourtant le donneur d’ordre n’est toujours pas couvert. Car l’attestation portait un code de sécurité qui ne correspond à aucun document émis par l’Urssaf.

Ce cas n’a rien d’exceptionnel. Un PDF se modifie en quelques minutes. Et rien ne distingue visuellement une attestation authentique d’une attestation retouchée. Le seul moyen de faire la différence est de remonter à la source officielle. Jusqu’ici, cette vérification relevait de la bonne pratique. À compter du 26 décembre 2026, elle devient une condition légale : l’article L. 8222-1-1 du Code du travail (créé par la loi n° 2026-534 du 25 juin 2026) subordonne la présomption de vigilance du maître d’ouvrage au fait de s’assurer de l’authenticité des documents remis.

Cet article détaille ce que recouvre précisément cette exigence, comment vérifier concrètement chaque document, quelles failles passent le plus souvent inaperçues, et ce que cela implique quand on suit plusieurs entreprises sous-traitantes.

Ce qu’il faut retenir :

• À compter du 26 décembre 2026, l’authenticité des documents devient une condition de la présomption de vigilance pour le maître d’ouvrage (article L. 8222-1-1 du Code du travail).
• Collecter un document et le classer ne constitue pas une vérification. Un PDF reçu par mail ne prouve rien tant que son origine n’a pas été confirmée auprès de l’émetteur.
• L’attestation de vigilance Urssaf porte un code de sécurité à 15 caractères qui se contrôle gratuitement sur l’outil officiel de l’Urssaf.
• La vérification ne dit pas seulement si le document est vrai, elle dit à qui il appartient. L’outil renvoie les établissements concernés avec leur SIRET, qui doivent correspondre au cocontractant.
• Un document peut être authentique et inopérant : émis pour un autre établissement, périmé, ou couvrant une période qui ne recoupe pas celle du contrat.
• L’obligation se répète tous les 6 mois jusqu’à la fin de l’exécution du contrat, et pour chaque entreprise intervenante.

 

Que change exactement la loi du 25 juin 2026 ?

Le nouvel article L. 8222-1-1 du Code du travail impose au maître d’ouvrage une vérification périodique du sous-traitant qu’il a accepté. Son deuxième alinéa précise à quelles conditions cette obligation est réputée remplie.

Le maître de l’ouvrage est réputé avoir procédé aux vérifications mentionnées au premier alinéa du présent article lorsqu’il se fait remettre les documents dont la liste et les conditions de remise sont déterminées par décret et qu’il s’assure de leur authenticité.

Deux conditions, reliées par un « et » :

• Se faire remettre les documents.
• Et s’assurer de leur authenticité.

Le maître d’ouvrage qui ne remplit que la première ne bénéficie pas de la présomption.

La date d’entrée en vigueur est désormais fixée : Legifrance publie l’article comme applicable à compter du 26 décembre 2026. La liste exacte des documents et leurs conditions de remise seront précisées par décret, de même que le montant minimal de contrat déclenchant l’obligation.

Le texte prévoit une exception unique : il ne s’applique pas au particulier qui contracte pour son usage personnel ou celui de ses proches. Pour toutes les organisations, l’exigence est pleine.

Pour un panorama complet du texte, voir notre résumé de la loi fraudes sociales et fiscales 2026.

Pourquoi la simple collecte n’a jamais vraiment protégé ?

L’exigence d’authenticité n’apparaît pas de nulle part. Elle formalise une faiblesse que le régime existant laissait ouverte.

L’article D. 8222-5 du Code du travail prévoit que le donneur d’ordre est considéré comme ayant procédé aux vérifications imposées par l’article L. 8222-1 s’il se fait remettre, lors de la conclusion du contrat et tous les six mois jusqu’à la fin de son exécution, une attestation de fourniture des déclarations sociales et de paiement des cotisations, ainsi qu’un extrait d’inscription au registre du commerce et des sociétés ou au Registre national des entreprises lorsque l’immatriculation est obligatoire.

La formulation repose sur une présomption : se faire remettre les bons documents vaut vérification. Elle suppose implicitement que les documents remis sont authentiques. Ce qui était une hypothèse raisonnable quand les attestations circulaient sur papier l’est beaucoup moins depuis qu’elles circulent en PDF.

L’Urssaf elle-même formule la règle sans ambiguïté sur sa page consacrée à l’attestation de vigilance : en tant que donneur d’ordre, il faut disposer d’une attestation à la fois valide et authentique.

Le seuil de déclenchement de l’obligation générale reste fixé à 5 000 € HT par contrat (article R. 8222-1 du Code du travail). Le détail de ce régime est traité dans notre article sur le devoir de vigilance du donneur d’ordre.

Comment vérifier l’authenticité de chaque document ?

Chaque pièce a sa source officielle et son mode de contrôle. Les confondre revient à ne vérifier qu’une partie du dossier.

Document	Émetteur	Moyen de vérification	Validité
Attestation de vigilance	Urssaf	Code de sécurité à 15 caractères, saisi dans l’outil officiel	6 mois
Extrait Kbis ou RNE	Greffe / INPI	Recoupement du SIREN, de la dénomination et du représentant légal avec le registre officiel	3 mois en pratique
Attestation d’assurance	Compagnie d’assurance	Confirmation auprès de l’assureur, contrôle de la période et des activités couvertes	Variable, souvent annuelle
Liste nominative des salariés étrangers	Le cocontractant	Recoupement avec les titres autorisant le travail	Mise à jour à chaque évolution

 

Le cas de l’attestation de vigilance

C’est le document central du dispositif, et c’est aussi le seul qui dispose d’un mécanisme d’authentification public et gratuit.

Chaque attestation émise par l’Urssaf porte un code de sécurité composé de 15 caractères. Ce code se saisit dans l’outil de vérification d’attestations de l’Urssaf, sans compte ni authentification préalable.

Le résultat ne se limite pas à un verdict binaire. L’outil renvoie la nature de l’attestation, l’organisme émetteur, la date de certification du document, l’identification du diffuseur et les établissements faisant l’objet de la demande.

C’est cette dernière information qui fait la valeur du contrôle. Un document peut être parfaitement authentique et ne pas concerner l’entreprise avec laquelle vous avez contracté. Le SIRET affiché doit correspondre exactement à celui du cocontractant, pas seulement à un établissement du même groupe.

Si le code ne renvoie aucun résultat, deux explications : soit la saisie est incorrecte, soit aucune attestation valide ne correspond, ce qui signifie que la date de validité est dépassée ou que le document a été modifié.

Le cas des autres pièces

L’extrait Kbis ou l’extrait du Registre national des entreprises ne dispose pas d’un code équivalent. Le contrôle consiste à recouper les informations portées sur le document avec celles du registre officiel : SIREN, dénomination sociale, adresse du siège, représentant légal, activité déclarée et, le cas échéant, mention d’une procédure collective.

Une entreprise en liquidation depuis trois mois présente souvent un extrait parfaitement authentique, mais daté d’avant l’ouverture de la procédure.

L’attestation d’assurance demande une vigilance d’un autre ordre. L’authenticité du document ne dit rien de la pertinence de la garantie. Il faut contrôler que la période couverte recouvre bien celle de l’intervention, et que les activités garanties correspondent aux prestations confiées. Une attestation authentique pour une activité de second œuvre ne couvre pas des travaux de gros œuvre.

Pour la liste nominative des salariés étrangers, le contrôle porte sur la cohérence entre la liste transmise et les titres autorisant le travail. Nous détaillons ce point dans notre article sur la liste nominative des intervenants sur le chantier.

Quelles failles passent le plus souvent inaperçues ?

Un dossier rejeté lors d’un contrôle l’est rarement parce qu’un document manquait. Il l’est parce qu’un document présent ne valait rien.

1. Le code de sécurité absent ou illisible. Une attestation scannée, photographiée ou réimprimée peut perdre son code. Sans code, aucune vérification possible, et donc aucune preuve d’authenticité.
2. Le SIRET qui ne correspond pas. L’attestation est authentique, mais elle a été émise pour un autre établissement ou une autre société du groupe. C’est la faille la plus fréquente, et la plus difficile à repérer à l’œil.
3. Le document authentique mais périmé. L’attestation de vigilance vaut 6 mois. Passé ce délai, elle reste authentique et ne couvre plus rien. La date de délivrance compte autant que le contenu.
4. La couverture d’assurance décalée. La période garantie s’arrête avant la fin du chantier, ou les activités couvertes ne correspondent pas au lot confié.
5. Le document vérifié une fois et jamais revu. La vérification initiale est souvent sérieuse. Celle du sixième mois se perd dans le rythme du chantier.

Un chantier vit. Il bouge. Il se réorganise. Les entreprises changent, les sous-traitants de rang 2 apparaissent, les documents expirent. La photo prise au démarrage ne dit rien de la situation six mois plus tard.

Le vrai problème n’est pas la méthode, c’est l’échelle

Vérifier une attestation prend deux minutes. Le code se saisit, le résultat s’affiche, la capture se classe. Sur une entreprise, la méthode manuelle fonctionne parfaitement.

Prenons maintenant un programme immobilier avec 30 entreprises intervenantes sur 24 mois. Chacune apporte au minimum trois documents à renouveler tous les six mois, et certaines font intervenir leurs propres sous-traitants.

• Volume de vérifications : environ 360 contrôles d’authenticité sur la durée de l’opération, sans compter les rangs inférieurs.
• Échéances à surveiller : chaque document a sa propre date d’expiration, qui ne coïncide avec aucune autre.
• Preuve à constituer : chaque contrôle doit être daté et conservé, puisque c’est lui qui vaut vigilance.

Aucun tableur ne génère d’alerte. Aucun dossier partagé ne distingue un PDF vérifié d’un PDF simplement reçu. Et en cas de contrôle, ce n’est pas le document qui est opposable, c’est la preuve qu’il a été vérifié à une date donnée.

Le manquement expose à la solidarité financière prévue par l’article L. 8222-2 du Code du travail : paiement des cotisations, impôts et rémunérations dus par le cocontractant en infraction. L’Urssaf a redressé 1,6 milliard d’euros de cotisations en 2024 au titre de la lutte contre le travail dissimulé (Bilan national Urssaf 2024).

Comment Othentis traite l’authenticité ?

La distinction entre collecter et authentifier est le point de départ d’Othentis Check. Une plateforme de dépôt range des fichiers. Othentis les confronte à leur source.

Chaque document transmis par une entreprise fait l’objet de contrôles automatiques : vérification de l’authenticité auprès de la source officielle, cohérence entre les informations déclarées et celles portées sur le document, dates de validité, présence des informations obligatoires. Un document qui échoue à l’un de ces contrôles déclenche une relance plutôt que d’entrer dans le dossier.

Le suivi se poursuit ensuite dans la durée. Les échéances sont surveillées, les relances partent avant expiration, et chaque vérification laisse une trace horodatée. Avoir agi ne suffit pas toujours. Il faut aussi pouvoir le démontrer.

L’organisation suit la réalité contractuelle de l’opération, du projet aux lots, des entreprises titulaires à leurs sous-traitants. Savoir qu’une entreprise est conforme ne suffit pas : il faut savoir sur quel marché elle intervient, pour le compte de qui, et depuis quand.

La solution est développée et hébergée en France, conforme au RGPD, et éditée par une équipe fondée par Stéphanie Nock et Walid Zerkouk. Les tarifs démarrent à 15 € HT par mois.

Conclusion

L’exigence d’authenticité n’ajoute pas une pièce au dossier. Elle change la nature de ce qui est demandé au donneur d’ordre : non plus rassembler des documents, mais établir qu’ils sont réels, à jour, et qu’ils concernent bien l’entreprise avec laquelle il travaille.

Pour une organisation qui suit quelques prestataires, c’est une routine de quelques minutes. Pour un maître d’ouvrage qui pilote une opération multi-lots, c’est une charge qui ne tient pas sans outillage.

Le décret précisant la liste des documents et le montant minimal est attendu avant l’entrée en vigueur du 26 décembre 2026. Le temps d’ici là se compte en semaines, pas en trimestres.

Échangez avec un expert Othentis sur l’authentification de vos documents de conformité. Vous pouvez également consulter nos tarifs et démarrer un essai gratuit.

FAQ sur l’authenticité des documents de conformité

Comment vérifier qu’une attestation de vigilance est authentique ?

En saisissant le code de sécurité à 15 caractères figurant sur l’attestation dans l’outil de vérification de l’Urssaf, accessible gratuitement et sans compte. L’outil confirme l’authenticité et la validité du document, et affiche les établissements concernés avec leur SIRET.

Que faire si le code de sécurité ne renvoie aucun résultat ?

Deux causes possibles. Soit la saisie est erronée ou incomplète, le code comptant 15 caractères sans espace. Soit aucune attestation valide ne correspond à ce code, ce qui signifie que la date de validité est dépassée ou que le document a été modifié après son édition. Dans ce second cas, le document ne doit pas être accepté.

Un document authentique suffit-il à couvrir le donneur d’ordre ?

Non. Un document peut être authentique et sans effet : émis pour un autre établissement, périmé, ou couvrant une période qui ne recoupe pas celle du contrat. L’authenticité est une condition nécessaire, pas suffisante. Le SIRET affiché lors de la vérification doit correspondre exactement à celui du cocontractant.

À partir de quand l’authenticité devient-elle une obligation légale ?

À compter du 26 décembre 2026, date d’entrée en vigueur de l’article L. 8222-1-1 du Code du travail créé par l’article 95 de la loi n° 2026-534 du 25 juin 2026. Le maître d’ouvrage n’est réputé avoir procédé à ses vérifications que s’il se fait remettre les documents et s’assure de leur authenticité.

Quels documents sont concernés par cette exigence ?

La liste précise et les conditions de remise seront fixées par décret. En l’état du droit existant, l’article D. 8222-5 du Code du travail vise l’attestation de fourniture des déclarations sociales et de paiement des cotisations, ainsi qu’un extrait d’inscription au registre du commerce et des sociétés ou au Registre national des entreprises lorsque l’immatriculation est obligatoire.

Comment vérifier l’authenticité d’un extrait Kbis ?

Il n’existe pas de code de sécurité équivalent à celui de l’Urssaf. Le contrôle consiste à recouper les informations du document avec le registre officiel : SIREN, dénomination, adresse du siège, représentant légal, activité, et mention éventuelle d’une procédure collective. La date d’édition est déterminante, un extrait ancien pouvant masquer une évolution récente.

À quelle fréquence faut-il renouveler la vérification ?

Tous les six mois jusqu’à la fin de l’exécution du contrat, conformément à l’article D. 8222-5 du Code du travail. Cette fréquence correspond à la durée de validité de l’attestation de vigilance Urssaf. Chaque vérification doit être tracée pour être opposable en cas de contrôle.

Faut-il conserver une preuve de la vérification effectuée ?

Oui. En cas de contrôle, ce qui est opposable n’est pas la détention du document mais la démonstration qu’il a été vérifié à une date donnée. Un historique horodaté des contrôles réalisés, des relances envoyées et des documents reçus constitue une piste d’audit solide, là où un dossier de PDF sans date de réception n’en constitue pas une.