Vérifier le code de sécurité d'une attestation URSSAF : procédure DAF et Achats

5 août 2026

Vérifier le code de sécurité d'une attestation URSSAF : procédure DAF et Achats

Où trouver le code sur le document

Le code figure en général en bas de la première page de l'attestation de vigilance, sous forme alphanumérique. Sa longueur et son format peuvent varier selon les campagnes de l'URSSAF. Un code absent, tronqué ou illisible sur un scan impose un rejet systématique et une nouvelle demande au prestataire.

Ne confondez pas le code de sécurité de l'attestation de vigilance avec d'autres références présentes sur des documents sociaux distincts : attestation de régularité fiscale et sociale, attestation de fourniture de déclarations, numéro de dossier employeur. Chaque pièce a sa logique propre. Mélanger les contrôles crée des faux positifs rassurants mais juridiquement inutiles.

Pourquoi le code de sécurité n'est pas optionnel

L'attestation de vigilance URSSAF comporte un code de sécurité unique, vérifiable sur le site institutionnel de l'organisme. Ce code est le seul moyen fiable de confirmer qu'un PDF reçu par mail ou déposé sur un portail correspond bien à un document émis par l'URSSAF, et non à une reconstitution graphique.

Pour un DAF, le contrôle du code n'est pas une formalité réservée au service juridique. C'est un point de contrôle interne au même titre que la validation d'un avenant de prix ou la revue d'un contrat de change. Sans trace datée de cette vérification, le registre L.8222-1 reste fragile en cas de solidarité financière invoquée par l'URSSAF.

Le responsable Achats ou le référent conformité site exécute la saisie. Le DAF définit la fréquence, les critères de rejet et l'archivage des preuves. Cette répartition évite que la vérification soit implicite, déléguée à la mémoire d'un seul collaborateur, ou supposée parce que « le PDF a l'air officiel ».

Si le prestataire transmet plusieurs attestations pour des établissements différents, chaque PDF possède son propre code. Vérifiez le code de la pièce liée au SIREN figurant sur le bon de commande, pas celui d'une autre entité du groupe.

Procédure pas à pas sur urssaf.fr

Ouvrez le service de vérification en ligne depuis le site officiel de l'URSSAF, jamais depuis un lien fourni dans le corps d'un mail du prestataire. Saisissez le code tel qu'il apparaît sur le PDF, sans espace superflu ni caractère substitué.

Comparez point par point les informations affichées en ligne avec le document reçu : raison sociale, SIREN, date d'émission, date de fin de validité. Toute divergence, même mineure sur l'adresse, mérite une investigation avant validation. Le code peut être authentique tout en ne correspondant pas à l'entité contractuelle : voir le guide sur le SIREN différent du contrat.

Conservez une preuve du contrôle : capture d'écran horodatée, log dans votre outil registre, ou mention structurée dans le dossier prestataire. En contentieux, l'URSSAF et les tribunaux examinent si vous avez exercé une vigilance effective, pas seulement si vous déteniez un fichier PDF.

Qui contrôle, qui valide, qui archive

Le modèle qui fonctionne en PME et ETI multi-sites repose sur trois rôles distincts. Le référent opérationnel (Achats projets, QSE, ou assistant administratif site) saisit le code et remplit la check-list. Le valideur métier confirme la cohérence avec le contrat et autorise le feu vert dans le registre. Le DAF ou le contrôle interne audite un échantillon mensuel et suit l'indicateur de couverture.

Cette séparation limite le risque de contournement : une personne seule ne doit pas à la fois recevoir le PDF par WhatsApp, le valider sans contrôle en ligne, et déclarer le prestataire conforme pour débloquer un badge.

Formez au moins deux personnes par site au contrôle du code. L'absence du référent unique pendant les congés est l'une des causes les plus fréquentes de trous de couverture sur un trimestre.

Cas de rejet et conduite à tenir

Code non reconnu par le site officiel : rejet, signalement interne possible, demande d'une nouvelle attestation obtenue depuis l'espace URSSAF du prestataire.
Code valide mais dates expirées : ligne rouge dans le registre, blocage accès ou commande jusqu'à renouvellement.
Code valide mais SIREN différent du contrat : suspension, alignement contractuel ou mise à jour du RNE avant feu vert.
Scan de mauvaise qualité empêchant la lecture du code : nouvelle demande, pas d'interprétation au jugé.

En cas de suspicion de fraude documentaire, documentez les échanges et consultez votre guide de détection des faux PDF. Ne validez jamais « pour dépanner » en attendant une pièce corrigée : la période sans couverture reste exposée.

Intégration dans le registre et l'ERP

Le résultat du contrôle code de sécurité doit alimenter un statut exploitable : vert, orange (expiration proche), rouge (manquant, expiré, ou code invalide). L'ERP ou la badgeuse ne stocke pas le PDF URSSAF : un indicateur binaire « conformité sociale » suffit, alimenté par le registre.

Proceda structure ce flux sans se connecter au compte URSSAF du prestataire. Le sous-traitant dépose le PDF via un lien sécurisé ; votre équipe enregistre le contrôle du code et l'historique des versions. Cette approche respecte le secret des données et évite tout scraping des portails sociaux.

Pour les groupes, harmonisez la procédure sur toutes les filiales tout en conservant un registre par site d'exécution. Le DAF groupe consolide les indicateurs ; le contrôle du code reste local et daté.

Indicateurs pour le COMEX et le comité d'audit

Quatre chiffres suffisent en revue mensuelle : taux de prestataires actifs avec code vérifié et attestation valide, nombre de lignes rouges, délai médian entre relance et régularisation, part des contrôles audités sur échantillon sans anomalie.

Un taux de couverture stagnant sous 92 % malgré les relances signale souvent un problème de blocage opérationnel (pas de conséquence réelle sur les commandes), pas un manque de documentation juridique.

Erreurs fréquentes observées en audit interne

Valider sur la base d'une ancienne capture de code sans revérifier à la réception d'une nouvelle version. Accepter une attestation transmise par le cabinet comptable du prestataire sans code vérifiable pour la vigilance L.8222-5. Supposer que le code vérifié une fois à l'entrée couvre toute la durée du contrat sans renouvellement semestriel.

Relire le pilier vérification attestation pour la check-list complète. Industrialiser les relances et le dépôt tracé : portail prestataire vs email. Essai Proceda 14 jours, panel illimité : démarrer.