Comment vérifier une attestation de vigilance URSSAF (étapes et erreurs fréquentes)

24 mars 2026

Comment vérifier une attestation de vigilance URSSAF (étapes et erreurs fréquentes)

De quel document parle-t-on exactement

L'attestation de vigilance est délivrée par l'URSSAF sur demande du sous-traitant. Elle atteste que l'organisme a effectué les vérifications prévues à l'article D.8222-5 (situation de l'employeur, déclarations, etc.). Elle se distingue de l'attestation de régularité fiscale et sociale (comptabilité, impôts) et de l'attestation de fourniture de déclarations (DSN). Confondre les trois est l'erreur la plus fréquente en réception Achats.

Le document comporte en général : raison sociale, SIREN, adresse, date d'émission, date de fin de validité, et un code de sécurité permettant de vérifier l'authenticité sur le site de l'URSSAF.

Étape 1 : recevoir le PDF par un canal tracé

Exigez le dépôt via un portail ou un mail générique achats@, pas via le téléphone personnel du conducteur. Horodatez la réception. Si le prestataire envoie un scan flou, demandez un nouveau fichier avant validation. Un PDF non daté ou recadré de façon suspecte mérite un contrôle renforcé du code de sécurité.

Étape 2 : contrôler l'identité (SIREN et raison sociale)

Comparez le SIREN de l'attestation avec le contrat, le bon de commande et une source RNE à jour. Les homonymes et les reprises de fonds de commerce créent des décalages : le SIREN du PDF ne correspond pas à l'entité qui signe. Bloquez dans ce cas, même si le code de sécurité est valide sur une autre entité du groupe.

Vérifiez aussi l'adresse du siège si votre politique interne l'exige pour la lutte contre le travail dissimulé (boîtes aux lettres, domiciliations).

Étape 3 : lire les dates (validité six mois)

La durée de validité courante est de six mois à compter de la date d'émission, sauf mention différente sur le document. Calculez la date de fin et programmez une relance à J-30. Une attestation encore « dans les temps » le jour de la signature mais expirée au démarrage du chantier trois semaines plus tard ne couvre pas la période d'intervention.

Ne validez jamais sur la seule date d'impression du PDF. Seule compte la date figurant sur l'attestation officielle.

Étape 4 : vérifier le code de sécurité sur urssaf.fr

L'URSSAF met à disposition un service de vérification en ligne (saisie du code de sécurité imprimé sur l'attestation). Procédure : ouvrir le site institutionnel, saisir le code, comparer les informations affichées (SIREN, dates) avec le PDF reçu. Conservez une capture ou un log interne daté de ce contrôle.

Proceda ne se connecte pas au compte URSSAF du prestataire : le sous-traitant dépose le PDF et vous gardez la trace du contrôle manuel ou semi-automatisé. C'est conforme au secret des données et à la charte Proceda (pas de scraping des portails sociaux).

Code illisible ou absent : rejet systématique, nouvelle demande au prestataire.
Résultat en ligne incohérent avec le PDF : signalement fraude potentielle, blocage accès site.
Code valide mais SIREN différent du contrat : alignement contractuel avant feu vert.

Étape 5 : croiser avec la liste des salariés étrangers

Si le sous-traitant emploie des salariés étrangers sur votre site, l'attestation de vigilance ne remplace pas la liste nominative ni l'attestation de détachement. Vérifiez que ces pièces couvrent la période d'intervention et les noms des personnes badgeuses.

Faux PDF et signaux d'alerte

Polices incohérentes, fautes dans l'en-tête URSSAF, code de sécurité trop court ou format non reconnu par le site officiel, fichier modifiable sans filigrane. En cas de doute, demandez au prestataire une nouvelle attestation obtenue directement depuis son espace URSSAF, puis revérifiez le code.

Ne vous fiez pas aux attestations « génériques » envoyées par un cabinet comptable sans code de sécurité vérifiable pour la vigilance L.8222-5.

Qui valide en interne

Désignez un rôle unique par site ou par affaire (souvent Achats projets ou QSE). La personne qui vérifie le code n'a pas besoin d'être juriste, mais doit suivre une check-list identique partout. Le DAF contrôle le taux de couverture du panel, pas chaque PDF.

Archivage : une fois validée, l'attestation est liée au prestataire dans le registre. Toute nouvelle version remplace l'ancienne en conservant l'historique.

Modèle de mail de relance (sans jargon)

Objet : [Nom affaire] Attestation de vigilance URSSAF à renouveler avant le [date]. Corps : rappel que l'accès site / la commande suivante est conditionné à une attestation de vigilance valide (L.8222-1), lien de dépôt sécurisé, date limite, contact Achats. Pas de menace inutile, mais date ferme. Conservez le fil mail dans le registre.

Les relances orales seules ne résistent pas à un contentieux. Les relances mail tracées, même sans réponse du prestataire, démontrent une vigilance active.

Si le prestataire conteste la date de fin de validité, la capture d'écran du contrôle code de sécurité sur urssaf.fr fait foi en interne. Archivez-la avec le PDF.

Après validation : renouvellement et relances

La vérification n'est pas un one-shot. Relance automatique avant expiration, blocage ERP ou badge si la nouvelle attestation n'arrive pas. Les juridictions sanctionnent les trous de plusieurs mois entre deux attestations sur des prestations continues.

En période de forte activité (rentrée chantiers, pics maintenance), programmez une revue hebdomadaire des lignes orange plutôt que mensuelle. C'est là que les expirations passent entre les mailles.

Formez deux personnes au contrôle du code de sécurité par site. L'absence du référent unique bloque souvent tout le panel pendant les congés.

Gardez une copie des anciennes attestations même après renouvellement : en contentieux, l'URSSAF peut questionner la couverture à une date passée précise.

Pour industrialiser sans perdre le contrôle humain sur le code de sécurité : registre Proceda, feux tricolores, lien magique prestataire. Essai gratuit · voir aussi obligation de vigilance.