Les effets de l’ordre de virement à l’égard du banquier payeur

Le virement paraît l’acte le plus neutre du droit bancaire : une écriture qui quitte un compte pour en rejoindre un autre, sans que le banquier ait à connaître la cause du paiement qu’il dénoue. Cette apparente simplicité dissimule pourtant une tension permanente, celle d’un professionnel tenu de contrôler l’instruction sans s’immiscer dans l’opération, de l’exécuter dans un délai désormais compté en heures, et de supporter le poids de la fraude lorsqu’il apparaît que l’ordre n’avait jamais été donné.

I) §1: La nature de l’obligation du banquier payeur

Le virement est de ces opérations dont la simplicité apparente dissimule mal la complexité juridique. Une somme quitte un compte, une somme apparaît sur un autre : le mouvement paraît si mécanique qu’on oublierait volontiers qu’entre ces deux écritures s’interpose un professionnel, tenu d’obligations dont il répond. Or c’est précisément là que tout se joue. Le banquier du payeur n’est pas le simple rouage d’une chaîne comptable ; il est un mandataire à titre onéreux, débiteur d’une prestation qu’il exécute pour le compte d’autrui, avec des fonds qui ne lui appartiennent pas et sur l’instruction d’un donneur d’ordre dont il doit s’assurer qu’il est bien celui qu’il prétend être. Comprendre les effets du virement à son égard suppose donc d’identifier d’abord la nature exacte de ce qui l’oblige.

Cette nature s’est stratifiée. Au fondement demeure le socle civiliste — mandat, dépôt, convention de compte — que la pratique bancaire a façonné pendant plus d’un siècle et que la jurisprudence a affiné arrêt après arrêt. Par-dessus s’est déposée, à compter de 2009, une couche d’origine européenne : le régime des services de paiement, transposé aux articles L. 133-1 et suivants du code monétaire et financier, qui a saisi l’opération de virement dans un statut d’ordre public. La difficulté tient à ce que ces deux strates ne se sont pas substituées l’une à l’autre. Elles coexistent, se recouvrent partiellement, et le contentieux contemporain porte pour une large part sur la délimitation de leurs domaines respectifs. Encore faut-il, pour tracer cette frontière, avoir compris ce que chacune commande.

A) Le fondement contractuel de l’exécution

Avant d’être une opération de paiement au sens du droit européen, le virement est l’exécution d’un contrat. Trois qualifications civilistes se superposent pour en rendre compte : le mandat, qui explique que le banquier agisse pour autrui ; la convention de compte, qui explique qu’il soit tenu d’agir ; le dépôt, qui explique qu’il détienne les fonds sans en être propriétaire au sens où il pourrait en disposer librement. Aucune de ces qualifications ne suffit isolément ; leur combinaison, en revanche, épuise la question du fondement.

1. Le mandat de payer

L’ordre de virement est un mandat de payer. Le titulaire du compte charge son banquier d’accomplir en son nom un acte juridique — l’extinction d’une dette par transfert de fonds — et le banquier, en l’exécutant, agit pour le compte de son client, non pour le sien propre. Cette qualification n’est pas une commodité doctrinale : elle emporte des conséquences que le contentieux bancaire décline sans relâche.

La première tient à l’intensité de la diligence exigée. Le mandat bancaire est un mandat salarié — le prestataire perçoit une rémunération, directe ou indirecte, pour le service de caisse qu’il assure. Or le droit du mandat gradue la responsabilité du mandataire selon qu’il agit gratuitement ou à titre onéreux : celui qui reçoit un salaire répond de toute faute, fût-elle légère, quand la faute du mandataire bénévole s’apprécie avec moins de rigueur. Le banquier payeur relève de la première catégorie. Il en résulte qu’une négligence même modeste dans le traitement de l’ordre — une signature mal confrontée, un pouvoir non vérifié, une anomalie non relevée — suffit à engager sa responsabilité contractuelle et l’oblige à recréditer le compte débité à tort. Cette sévérité n’a rien d’arbitraire : elle rémunère la confiance que le déposant place dans un professionnel dont c’est le métier de manier les fonds d’autrui.

La deuxième conséquence tient au régime des clauses limitatives. Rien n’interdit en principe au mandataire d’aménager conventionnellement sa responsabilité, et les conditions générales bancaires ne s’en privent pas. Mais l’aménagement rencontre deux limites, l’une tenant à la qualité du cocontractant, l’autre à la nature de l’opération. À l’égard du consommateur, la clause qui écarterait ou plafonnerait la responsabilité du prestataire se heurte au régime impératif institué par le code monétaire et financier, lequel fait peser sur l’établissement une responsabilité qui ne se négocie pas. Dans les rapports entre professionnels, au contraire — que le client soit une personne morale ou une personne physique agissant pour ses besoins professionnels —, la stipulation limitative retrouve son empire, sous la réserve classique qu’elle ne contredise pas l’obligation essentielle du contrat ni ne couvre la faute lourde ou dolosive.

La troisième conséquence est plus discrète mais tout aussi déterminante : le mandataire ne peut agir que dans les limites de son mandat. Le banquier qui exécute un ordre qui n’émane pas de son client, ou qui excède les pouvoirs de celui qui l’a donné, n’exécute pas le mandat — il agit sans titre. Le débit qu’il opère alors est dépourvu de cause à l’égard du titulaire du compte, lequel est fondé à en demander la contre-passation sans avoir à démontrer une faute. C’est en cela que la qualification de mandat, loin d’être seulement descriptive, structure toute la matière du contrôle de l’ordre reçu.

2. La convention de compte et le service de caisse

Le mandat explique que le banquier agisse pour autrui ; il n’explique pas qu’il soit tenu d’agir. Car le mandataire de droit commun est libre d’accepter ou de refuser la mission qu’on lui propose, et cette liberté, le banquier ne l’a pas. Il faut donc chercher ailleurs la source de son obligation d’exécuter : elle réside dans la convention de compte elle-même.

En ouvrant un compte au profit d’un client, l’établissement souscrit un engagement tacite de service de caisse — engagement en vertu duquel il s’oblige, pour la durée de la relation, à recevoir les fonds qui lui seront remis et à exécuter les ordres de paiement qui lui seront adressés. Cette obligation-cadre préexiste à chaque instruction particulière : elle n’est pas contractée à l’occasion du virement, elle en constitue le présupposé. Le code monétaire et financier en a repris la substance en énonçant que le consentement à l’opération se donne « sous la forme convenue entre le payeur et son prestataire », formule qui suppose acquise l’existence d’un cadre conventionnel préalablement défini.

Il ne faudrait pas pour autant confondre cet engagement général avec un consentement anticipé à chaque opération déterminée. Le prestataire qui a ouvert le compte n’a pas, par avance, agréé tous les virements que son client ordonnera : chaque instruction appelle de sa part une acceptation ponctuelle, laquelle se manifeste non par une déclaration mais par le passage à l’exécution. La distinction est loin d’être théorique. Elle commande la question de savoir à quel moment le prestataire s’engage, et donc à partir de quand il ne peut plus se dédire — question que l’irrévocabilité de l’ordre viendra bientôt trancher.

De cette obligation de service de caisse découle une conséquence rigoureuse : le refus injustifié d’exécuter un ordre régulier engage la responsabilité du prestataire, et peut même le conduire à être judiciairement contraint à l’exécution. Le législateur a d’ailleurs verrouillé ce point en énonçant que, dès lors que les conditions convenues sont réunies, l’établissement ne dispose d’aucune marge d’appréciation pour opposer un refus. Il n’a pas à juger l’opération ; il a à l’exécuter. Cette absence de discrétion n’est pas seulement l’envers de son obligation contractuelle : elle est le corollaire du devoir de non-ingérence, dont on verra qu’il lui interdit d’apprécier l’opportunité de ce qu’on lui demande.

Encore faut-il que l’ordre soit régulier. Quatre conditions cumulatives commandent que suite lui soit donnée. L’instruction doit émaner d’un auteur habilité, investi du pouvoir d’engager le compte — titulaire, mandataire régulièrement désigné, ou représentant légal de la personne morale. Elle doit porter sur des fonds disponibles au compte à débiter, la provision devant exister au moment de l’exécution. Elle doit être suffisamment précise, tant quant à la désignation du bénéficiaire et de son identifiant qu’au regard des dispositifs de sécurité convenus. Elle ne doit enfin se heurter à aucun obstacle réglementaire — réglementation des changes, mesures restrictives, gel des avoirs. Le défaut de l’une quelconque de ces conditions autorise le refus, mais ne l’autorise qu’à charge pour le prestataire de motiver sa décision et d’indiquer au client la marche à suivre pour corriger le vice constaté. Le droit de refuser s’accompagne ainsi d’un devoir d’expliquer, ce qui interdit le refus muet.

La souplesse conventionnelle demeure du reste entière quant aux modalités. Le donneur d’ordre peut subordonner l’exécution à des réserves — remise préalable de documents, vérification d’une condition particulière —, auquel cas l’instruction se trouve affectée d’une condition suspensive qui accroît corrélativement les diligences exigées du prestataire : celui-ci ne peut plus se borner à constater la régularité formelle de l’ordre, il doit vérifier que l’événement stipulé s’est réalisé. L’ordre peut aussi être donné à échéance, le donneur d’ordre fixant lui-même la date à laquelle le virement devra être exécuté ; l’instruction est alors reçue immédiatement mais ne se dénoue qu’au terme convenu.

Reste l’hypothèse où plusieurs ordres se présentent ensemble alors que la provision ne suffit pas à les honorer tous. La tentation serait de raisonner comme en matière de chèque et de servir les instructions dans l’ordre de leur arrivée jusqu’à épuisement du solde. Ce serait méconnaître la nature du virement. Le banquier ne peut ni épuiser la provision par ordre chronologique, ni choisir discrétionnairement lequel des virements sera honoré — car ce choix reviendrait à préférer un créancier à un autre, arbitrage qui n’appartient qu’au débiteur. La jurisprudence a d’abord admis une exécution au marc le franc, chaque bénéficiaire recevant une fraction proportionnelle à sa créance ; la solution la plus sûre demeure toutefois de surseoir à l’exécution de l’ensemble et de solliciter de nouvelles instructions du donneur d’ordre, seul maître de l’imputation. Le concours d’un chèque présenté simultanément obéit en revanche à une règle propre : le porteur du chèque l’emporte sur le bénéficiaire du virement, quand bien même le chèque aurait été émis postérieurement, la provision du chèque étant, par l’effet de l’émission, transférée au porteur.

3. Le dépôt des fonds et leur restitution

Une troisième qualification vient parachever l’édifice, et c’est peut-être la plus éclairante quant à la charge finale du risque. Les fonds inscrits au crédit du compte ont été déposés ; le banquier en est devenu propriétaire, comme il est de règle pour le dépôt de choses fongibles, mais il en demeure débiteur d’une obligation de restitution dont le droit civil fixe rigoureusement les conditions.

La portée de ce texte, transposée au compte bancaire, est considérable. Le banquier qui se dessaisit des fonds au profit d’une personne autre que celle que son client a désignée ne s’est pas libéré : il n’a pas exécuté son obligation de restitution, et celle-ci subsiste tout entière. Le raisonnement est le même en droit du paiement, où il est acquis que le paiement doit être fait au créancier ou à la personne désignée pour le recevoir, celui qui paie à qui n’avait pas qualité ne s’acquittant qu’à la double condition que le créancier ratifie ou en ait profité.

On aperçoit ici l’articulation qui gouverne toute la matière du virement frauduleux. Lorsque l’ordre est faux ou falsifié, le banquier n’a pas exécuté un mandat — il n’y en avait pas — et il ne s’est pas libéré de son obligation de restitution — il a remis les fonds à qui n’avait pas qualité pour les recevoir. La conséquence s’impose d’elle-même : le débit est inopposable au titulaire, dont le compte doit être rétabli, sans qu’il ait à établir la moindre faute de l’établissement. La faute n’intervient qu’ensuite, et du côté du client, pour justifier éventuellement un partage. Cette économie, on le verra, a été largement reprise par le régime légal des opérations non autorisées, lequel n’a pas tant innové qu’il n’a codifié et durci une solution que le droit du dépôt commandait déjà.

On observera enfin que le terme de l’opération obéit au même critère : le débiteur n’est délié qu’au jour où la somme a été portée au crédit du compte ouvert au nom du créancier ou de la personne habilitée à recevoir pour lui, tel l’huissier de justice qui encaisse pour le compte du saisissant. Ce n’est ni l’émission de l’ordre, ni le débit du compte du payeur qui éteint la dette : c’est l’inscription en compte du destinataire, seule à traduire la mise effective des fonds à sa disposition.

B) L’ordre de virement comme instruction

Des qualifications qui fondent l’obligation, il faut à présent passer à l’acte qui la déclenche. L’ordre de virement n’est pas un contrat distinct : c’est une instruction, acte juridique unilatéral par lequel le titulaire du compte exerce le droit que la convention lui a reconnu. Son régime tient en trois questions — comment le consentement se manifeste-t-il, quand l’ordre produit-il ses effets, jusqu’à quand peut-il être rétracté — auxquelles le droit contemporain apporte des réponses d’une précision que le droit commun du mandat ne connaissait pas.

1. Le consentement du payeur à l’opération

Tout repose sur le consentement, et le législateur l’a placé au sommet du dispositif : à défaut de consentement donné dans la forme convenue, l’opération est réputée non autorisée — qualification qui, on le verra en son temps, déclenche à elle seule le remboursement du payeur. La sanction est donc considérable, ce qui rend décisive la question de savoir comment le consentement se manifeste et se prouve.

La liberté contractuelle gouverne la forme. Les parties conviennent du canal — ordre écrit et signé, saisie sur l’espace en ligne avec authentification forte, transmission par un canal télématique dédié pour les entreprises —, et c’est cette forme convenue qui fait loi entre elles. Encore ne faut-il pas donner à la stipulation une rigidité qu’elle n’a pas. La chambre commerciale a admis que le consentement puisse résulter d’ordres donnés oralement alors même que les conditions générales stipulaient la voie écrite, dès lors que la convention réservait la possibilité d’un accord des parties sur une autre forme et que la preuve du consentement se déduisait d’éléments postérieurs aux ordres eux-mêmes. La solution mérite qu’on s’y arrête : elle enseigne que la forme convenue n’est pas une condition de validité au sens strict, mais un mode de preuve dont les parties peuvent s’écarter, et que le consentement — fait juridique autant qu’acte — peut se démontrer par des indices tirés du comportement ultérieur du titulaire.

Le consentement peut par ailleurs transiter par un tiers. Le texte prévoit expressément qu’il soit donné par l’intermédiaire du bénéficiaire — mécanisme du prélèvement et du mandat de débit — ou par l’entremise d’un prestataire fournissant un service d’initiation de paiement. Cette dernière figure, née de la seconde directive sur les services de paiement, a ouvert la chaîne du virement à des acteurs tiers qui, sans jamais détenir les fonds, déclenchent l’opération depuis le compte tenu par un autre établissement. Elle complique sensiblement l’imputation des responsabilités, sans altérer le principe : c’est toujours au payeur qu’il appartient de consentir, et l’initiateur n’est que le canal par lequel ce consentement chemine.

2. La réception de l’ordre et ses effets

La réception de l’ordre est le moment charnière de l’opération. C’est d’elle que court le délai d’exécution ; c’est elle qui marque, en principe, le terme du droit de rétractation ; c’est encore par référence à elle que s’apprécient la disponibilité de la provision et la régularité de l’instruction. Le droit des services de paiement l’a donc définie avec soin : l’ordre est reçu lorsqu’il parvient au prestataire du payeur, étant entendu qu’une instruction reçue un jour non ouvrable est réputée reçue le jour ouvrable suivant, et que les parties peuvent convenir d’une heure limite au-delà de laquelle l’ordre bascule sur le jour suivant.

Cette définition n’est pas une commodité d’organisation interne. Elle fixe le point de départ d’obligations dont l’inexécution est sanctionnée, et interdit corrélativement au prestataire de faire courir le délai à sa guise en différant l’enregistrement de l’instruction. Lorsque l’ordre est donné à échéance, le point de départ se déplace au jour convenu — l’instruction ayant été reçue plus tôt, mais n’étant exécutable qu’au terme fixé.

La réception emporte enfin une conséquence pratique dont on mesure mal l’importance : elle cristallise l’objet du contrôle. C’est l’ordre tel qu’il a été reçu, et lui seul, que le banquier doit vérifier — non l’opération économique sous-jacente, non les mobiles du donneur d’ordre. Cette délimitation prépare le devoir de non-ingérence, qui n’est au fond que la traduction négative de la même idée : le prestataire contrôle l’instruction, il ne contrôle pas l’affaire.

3. L’irrévocabilité de l’instruction

Le mandat, en droit commun, est révocable ad nutum : le mandant peut retirer sa mission tant qu’elle n’a pas été accomplie. Transposée telle quelle au virement, la règle serait ruineuse, car elle exposerait le bénéficiaire et les prestataires intermédiaires à voir remise en cause une opération déjà engagée dans les circuits de règlement. Aussi le droit des paiements a-t-il substitué à la révocabilité de principe une irrévocabilité de principe : une fois l’ordre reçu par le prestataire du payeur, il ne peut plus être révoqué.

La règle connaît des tempéraments qui en dessinent la logique. Lorsque l’ordre a été donné à échéance, la révocation demeure possible jusqu’à la fin du jour ouvrable précédant le jour convenu — l’opération n’étant pas encore engagée, rien ne justifie de figer le consentement. Lorsque le consentement a été donné par l’intermédiaire du bénéficiaire ou d’un initiateur de paiement, le payeur perd son droit de rétractation dès qu’il a transmis cet ordre ou donné son consentement à l’exécution, l’irrévocabilité protégeant alors la confiance du bénéficiaire. Au-delà de ces bornes, une révocation reste concevable, mais elle change de nature : elle n’est plus un droit, elle suppose l’accord du prestataire — et, dans certaines configurations, celui du bénéficiaire —, l’établissement étant en droit de facturer ce service supplémentaire.

L’irrévocabilité éclaire rétrospectivement la question du consentement du prestataire à chaque opération. Si l’engagement de celui-ci se manifeste par le passage à l’exécution, et si le donneur d’ordre ne peut plus se dédire dès la réception, c’est que le point d’équilibre a été déplacé en faveur de la sécurité de l’opération : la chaîne du paiement, une fois amorcée, ne se remonte pas. Le corollaire est sévère pour le payeur trompé, qui ne peut compter sur la rétractation pour effacer un virement frauduleux — d’où l’importance du régime de remboursement des opérations non autorisées, seul remède véritable.

C) L’emprise du statut de prestataire de paiement

Les qualifications civilistes qui viennent d’être exposées n’ont pas disparu, mais elles ont été recouvertes. Depuis la transposition des directives européennes sur les services de paiement, le banquier qui exécute un virement n’agit plus seulement comme mandataire et dépositaire : il agit comme prestataire de services de paiement, statut qui lui impose un régime d’ordre public dont il ne peut s’affranchir et qui, dans son domaine, évince le droit commun. Reste à savoir jusqu’où s’étend ce domaine — question qui commande aujourd’hui l’essentiel du contentieux.

1. Le domaine des directives européennes

La première directive sur les services de paiement, adoptée en 2007 et transposée en 2009, a poursuivi un dessein d’unification : construire un marché intérieur des paiements où l’opération obéirait aux mêmes règles quel que soit l’État membre traversé, et où l’utilisateur bénéficierait d’une protection homogène. La seconde directive, en 2015, a étendu ce dispositif à de nouveaux acteurs — initiateurs de paiement, agrégateurs d’informations sur les comptes — et renforcé les exigences d’authentification. Le mouvement a profondément reconfiguré l’obligation du banquier payeur, en substituant à une appréciation casuistique de sa diligence un système de règles précises assorties de responsabilités objectives.

Nulle part cette reconfiguration n’est plus visible qu’en matière d’identification du bénéficiaire. Avant la transposition, le prestataire qui exécutait un virement, fût-il électronique, ne pouvait se contenter d’un traitement automatisé fondé sur le seul numéro de compte : il lui incombait de vérifier que l’identifiant du compte à créditer correspondait bien au nom du bénéficiaire désigné par le donneur d’ordre, dès lors que cette information figurait dans les enregistrements reçus. La méconnaissance de ce devoir de concordance engageait sa responsabilité, et la chambre commerciale l’a rappelé à plusieurs reprises. Le régime issu des directives a renversé la solution : l’ordre exécuté conformément à l’identifiant unique fourni par l’utilisateur est réputé dûment exécuté, et l’inexactitude de cet identifiant n’est pas imputable au prestataire.

L’exonération n’est toutefois ni gratuite ni absolue. Elle a pour contrepartie une obligation de moyens renforcée : le prestataire doit déployer des efforts raisonnables pour récupérer les fonds mal dirigés, service qu’il est en droit de facturer, et l’établissement du bénéficiaire doit lui communiquer les informations utiles à cette récupération. Elle suppose surtout, et c’est là sa limite décisive, que l’identifiant ait été fourni par l’utilisateur. Lorsque le prestataire ne s’est pas borné à exécuter l’ordre mais l’a lui-même rédigé avant sa réalisation, il ne peut se réfugier derrière l’identifiant unique : c’est son propre fait, non celui de son client, qui a déterminé la destination des fonds.

2. L’impérativité du régime légal

Le régime issu des directives n’est pas supplétif. Sa vocation protectrice serait vaine si les conditions générales pouvaient l’écarter, et le législateur l’a donc revêtu d’une impérativité dont l’intensité varie selon la qualité de l’utilisateur. À l’égard de la personne physique agissant pour des besoins non professionnels, les règles s’imposent sans dérogation possible : ni la répartition des responsabilités, ni les délais de contestation, ni les obligations d’information ne se négocient. Entre professionnels, en revanche, le code ménage des facultés de dérogation expressément énumérées — les parties peuvent notamment convenir d’écarter certaines dispositions ou d’aménager le délai de signalement des opérations non autorisées.

Cette impérativité graduée explique la survivance des clauses limitatives dans les conventions destinées aux entreprises, et leur inefficacité dans celles destinées aux particuliers. Elle explique aussi que la même négligence du banquier reçoive un traitement différent selon la personne du client : là où le professionnel devra composer avec les stipulations qu’il a acceptées, le consommateur bénéficie d’un régime de responsabilité objective auquel nulle clause ne peut porter atteinte.

L’impérativité a une seconde face, plus redoutable encore : l’exclusivité. Le régime légal n’entend pas seulement s’imposer, il entend occuper seul le terrain qu’il couvre. Dès lors que la responsabilité d’un prestataire est recherchée à raison d’une opération de paiement non autorisée ou mal exécutée, seules les dispositions des articles L. 133-18 à L. 133-24 sont applicables — à l’exclusion du droit commun de la responsabilité contractuelle. L’utilisateur ne peut donc contourner les conditions du régime spécial, ni ses limites, en invoquant l’article 1231-1 du code civil. Cette éviction, qui sera examinée pour elle-même, forme le point d’aboutissement de l’emprise du statut.

3. Les opérations demeurées hors du régime

L’emprise du statut, si large soit-elle, n’est pas universelle. Le régime des services de paiement connaît un domaine délimité, hors duquel les qualifications civilistes reprennent tout leur empire — et c’est dans cet interstice que se loge une part notable du contentieux bancaire contemporain.

Certaines opérations en sont exclues par nature. Les paiements en espèces de la main à la main, les opérations réalisées au moyen d’un chèque ou d’un effet de commerce, celles qui se dénouent entre prestataires pour leur propre compte, ou encore les mouvements internes qui ne quittent pas la sphère d’un même groupe, échappent aux articles L. 133-1 et suivants. D’autres exclusions tiennent à la localisation : le régime déploie sa pleine vigueur pour les opérations réalisées au sein de l’Espace économique européen et libellées dans la monnaie d’un État membre, l’extension aux opérations extra-européennes ou libellées en devises tierces demeurant partielle et ne couvrant que les parties de l’opération exécutées dans l’Union.

Surtout — et c’est la ligne de partage la plus disputée —, le régime ne saisit que ce qui touche à l’exécution de l’opération de paiement elle-même. Il ne régit pas les obligations que le banquier assume à un autre titre : devoir de mise en garde, obligation d’information et de conseil, devoir de vigilance au titre de la lutte contre le blanchiment, responsabilité née de la rupture abusive du concours. Ces obligations subsistent dans leur régime propre, et l’utilisateur qui les invoque ne se heurte pas à l’exclusivité, dès lors qu’il n’articule pas son grief autour d’une opération non autorisée ou mal exécutée. La qualification du manquement invoqué devient ainsi le véritable enjeu procédural : selon qu’il est rattaché à l’exécution du paiement ou à une obligation distincte, le demandeur relève du régime spécial ou du droit commun — avec, dans chaque cas, des conditions de preuve, des délais et des plafonds différents.

Cette délimitation n’est pas seulement technique. Elle explique que le devoir de vérification et le devoir de non-ingérence, qui seront maintenant examinés, aient conservé leur physionomie prétorienne alors même que le régime légal en recouvre certaines applications. Le contrôle de l’ordre reçu procède en effet du mandat autant que du statut, et c’est de leur combinaison — non de la substitution de l’un à l’autre — que naissent les solutions du contentieux contemporain.

II) §2: Le contrôle de l’ordre reçu

Que l’ordre de virement s’analyse en une instruction adressée à un mandataire salarié commande une conséquence immédiate : le banquier ne saurait exécuter aveuglément ce qu’il reçoit. Encore faut-il déterminer jusqu’où va ce contrôle. Car le prestataire est ici pris entre deux exigences dont chacune, poussée à son terme, ruinerait l’autre : vérifier trop peu, c’est prêter la main à la fraude et manquer à son mandat ; vérifier trop, c’est s’immiscer dans les affaires de son client et paralyser un service dont l’utilité tient précisément à sa rapidité. Tout le droit du contrôle se construit dans cet intervalle — et c’est de la manière dont la jurisprudence l’a borné que dépend, en définitive, la charge du risque lorsque l’ordre s’avère faux.

A) L’étendue du devoir de vérification

Le point de départ ne fait pas difficulté : celui qui confie à son établissement la mission d’exécuter un virement est fondé à attendre que celui-ci s’assure de la valeur de l’instruction avant d’y donner suite. L’exigence ne procède d’aucun texte spécial ; elle découle du mandat lui-même, dont on a vu qu’il est ici conféré à titre onéreux. Le mandataire salarié répond de sa faute la plus légère, et le banquier ne fait pas exception : une négligence même vénielle dans le traitement de l’ordre suffit à engager sa responsabilité contractuelle, sauf clause limitative valablement stipulée. Encore une telle clause n’a-t-elle qu’un domaine étroit. À l’égard du consommateur, elle se heurte au régime objectif institué par l’article L. 133-22 du Code monétaire et financier, auquel il ne peut être dérogé ; elle ne retrouve sa pleine licéité que dans les rapports entre professionnels, qu’il s’agisse d’une personne morale ou d’une personne physique agissant pour les besoins de son activité. La dualité des régimes traverse ainsi toute la matière : ce que le droit commun du mandat autorise à aménager, le statut de prestataire de services de paiement le verrouille dès que l’utilisateur est un particulier.

Le contrôle qui s’impose au prestataire dès la réception de l’instruction se décompose en trois temps, qui répondent à trois questions distinctes : l’ordre émane-t-il de qui il prétend émaner, présente-t-il quelque irrégularité décelable, et celui qui l’a donné avait-il qualité pour le faire ? À quoi s’ajoute, lorsque l’exécution menace de porter le compte en position débitrice, l’obligation d’en référer préalablement au donneur d’ordre plutôt que de créer d’autorité une avance que rien n’autorise.

1. L’authenticité de l’instruction

La première vérification porte sur l’origine de l’ordre : le banquier doit s’assurer que l’instruction provient bien du titulaire du compte. La consistance de ce contrôle n’est pourtant pas uniforme — elle épouse le canal par lequel l’ordre parvient au prestataire, et c’est là une donnée que la dématérialisation des paiements a considérablement déplacée.

Pour l’ordre transmis par écrit, la diligence attendue est classique : vérifier que la signature existe et qu’elle concorde avec le spécimen déposé à l’ouverture du compte. La jurisprudence n’exige pas du guichetier qu’il se fasse expert en écritures ; elle attend de lui la vigilance d’une personne normalement diligente, laquelle doit déceler une imitation grossière mais peut se laisser abuser par une contrefaçon habile. Le partage est raisonnable : au-delà de cette limite, le contrôle deviendrait une expertise que le service de caisse ne peut supporter.

Pour le virement initié en ligne, l’objet du contrôle se déplace entièrement. Il n’y a plus de trait de plume à comparer : ce qui est vérifié, c’est le fonctionnement du dispositif de sécurité personnalisé — identifiants, codes d’accès, authentification forte du client. La vérification devient ainsi moins un acte qu’un système, et la faute du prestataire se loge moins dans le geste du préposé que dans la conception ou le maintien de l’architecture de sécurité. Il en résulte un déplacement du débat probatoire dont on mesurera la portée lorsqu’il s’agira de savoir qui, du payeur ou de son prestataire, supporte la charge de l’opération non autorisée.

Reste l’ordre donné de vive voix, par téléphone. La jurisprudence ancienne se montrait accommodante : elle admettait que le banquier n’eût pas à solliciter de confirmation écrite lorsque l’instruction présentait un caractère d’urgence, l’usage bancaire tolérant cette souplesse. Cette tolérance ne saurait plus s’entendre aujourd’hui dans les mêmes termes. L’industrialisation des fraudes par usurpation d’identité téléphonique a rendu le canal vocal, à lui seul, impropre à établir l’identité de l’interlocuteur : il n’est plus concevable de donner suite à une instruction verbale sans recourir à un appel sécurisé, seul procédé qui garantisse que celui qui parle est bien celui qu’il dit être. L’évolution n’est pas un durcissement arbitraire ; elle tire simplement les conséquences du fait que le moyen de preuve d’hier est devenu le vecteur de fraude d’aujourd’hui.

2. La régularité formelle de l’ordre

Authentique, l’ordre peut n’être pas régulier. Le deuxième temps du contrôle porte sur l’instruction elle-même, considérée dans sa matérialité et dans son économie. On distingue traditionnellement deux ordres d’irrégularités, dont le régime est le même mais dont la détection ne mobilise pas les mêmes facultés.

L’anomalie matérielle affecte le support : ratures, surcharges, grattage, discordance des mentions entre elles, signature dont le tracé hésite ou dont l’encre diffère, formulaire dont la numérotation ne suit pas la série remise au client. Elle se voit — c’est sa définition même — et sa méconnaissance caractérise une négligence dans l’examen que le mandataire devait à l’ordre reçu.

L’anomalie intellectuelle est d’une autre nature : rien, dans le document, ne cloche ; c’est l’opération qu’il porte qui détonne au regard de ce que le banquier sait de son client. Un virement d’un montant sans commune mesure avec les mouvements habituels du compte, une destination étrangère alors que le titulaire n’entretient aucune relation d’affaires hors de France, une instruction émanant d’un professionnel réglementé assortie de la demande insolite d’adresser l’avis de débit non à son étude mais à un hôtel : autant de discordances qui ne se lisent pas sur le papier mais dans le rapprochement du papier et du dossier. La chambre commerciale a retenu la faute du banquier dans de telles configurations, et le raisonnement se comprend : la connaissance que le prestataire tire de la tenue du compte n’est pas une information dont il pourrait se dire ignorant. Elle lui est acquise, elle fait partie de ce qu’il détient, et l’ignorer volontairement serait fermer les yeux.

Reste que l’anomalie intellectuelle porte en elle un risque de dérive, et c’est celui d’un contrôle qui, de proche en proche, deviendrait un jugement porté sur les affaires du client. C’est pourquoi son domaine est étroitement contenu par le devoir de non-ingérence, dont il faudra dire aussitôt les termes.

3. Le pouvoir du donneur d’ordre

La troisième vérification est d’un ordre différent des deux premières : elle ne porte ni sur l’origine de l’ordre ni sur sa régularité, mais sur la qualité de celui qui l’a émis. L’hypothèse est quotidienne lorsque le compte appartient à une personne morale, laquelle ne s’exprime jamais que par le truchement d’un représentant. Le banquier doit alors s’assurer que celui qui se présente comme tel détient un pouvoir régulier — mandat social, délégation de signature, procuration déposée — et que ce pouvoir couvre l’opération demandée.

Le contrôle n’est pas illimité : il ne s’agit pas d’exiger du prestataire qu’il refasse à chaque ordre l’analyse des statuts et des délibérations. Il s’agit qu’il ne passe pas outre à ce qui devait le faire douter. La faute apparaît donc dans deux configurations : lorsque l’irrégularité du pouvoir était décelable à l’examen des pièces mêmes que le banquier détenait, et lorsque celui-ci disposait, par ailleurs, d’informations propres à faire naître un doute — révocation notifiée, contestation portée à sa connaissance, litige entre associés dont il avait été instruit. Dans l’un et l’autre cas, ce qui est reproché n’est pas de n’avoir pas su, mais de n’avoir pas tenu compte de ce qu’il savait ou pouvait savoir sans investigation.

Ce contrôle des pouvoirs prolonge d’ailleurs la logique des articles 1937 et 1342-2 du Code civil, dont on a vu qu’ils commandent la restitution des fonds déposés : le dépositaire n’est libéré qu’en restituant à celui qui a qualité pour recevoir, et le débiteur qu’en payant au créancier ou à la personne désignée pour le recevoir. Exécuter un virement ordonné par qui n’avait pas le pouvoir de disposer du compte, c’est se dessaisir des fonds sans se libérer — l’articulation prendra tout son sens à propos des ordres faux.

B) La limite tenant à la non-ingérence

Le devoir de vérification aurait tôt fait de devenir un droit de regard si rien ne l’arrêtait. Or le banquier n’est pas le tuteur de son client, et le compte n’est pas placé sous sa surveillance : il exécute des instructions, il ne juge pas des projets qu’elles servent. Cette contre-limite porte un nom — le devoir de non-ingérence, ou de non-immixtion — et elle n’est pas une simple faculté d’abstention offerte au prestataire. C’est une obligation, dont la violation est elle-même fautive : le banquier qui bloque, retarde ou subordonne à des explications une opération régulière engage sa responsabilité aussi sûrement que celui qui exécute un ordre suspect.

1. La neutralité quant à l’opportunité du paiement

Le principe se formule simplement : il n’appartient pas au prestataire d’enquêter sur l’origine des fonds, sur le motif de l’opération ni sur son opportunité. Le sens économique du virement, sa sagesse, l’identité de celui qui en profite et la contrepartie que le client en attend échappent à son office. La raison en est double. D’une part, le banquier n’a ni les moyens ni la qualité pour apprécier l’intérêt de son client mieux que celui-ci ; d’autre part, le service de caisse suppose une exécution prompte que des investigations systématiques rendraient impraticable. La neutralité n’est donc pas une indifférence de complaisance : c’est la condition de fonctionnement du service.

La chambre commerciale en a récemment donné une application dont la netteté mérite d’être soulignée, dans une affaire où l’on faisait grief à une banque d’avoir laissé passer des virements nombreux, élevés et dirigés vers l’étranger.

L’enseignement vaut d’être médité, car il coupe court à une tentation contentieuse répandue : celle qui consiste, une fois la perte consommée, à reconstruire a posteriori le caractère suspect d’opérations qui ne l’étaient pas au moment où elles ont été exécutées. Le même raisonnement commande la solution retenue à propos d’un client vulnérable ordonnant des virements du compte de sa société vers son compte personnel : la fragilité personnelle du donneur d’ordre, si réelle soit-elle, ne constitue pas en elle-même une anomalie apparente, et le banquier n’est pas tenu d’engager pour ce motif des investigations que la non-ingérence lui interdit précisément de conduire.

2. L’anomalie apparente comme seuil

Comment concilier alors le devoir de vigilance et l’interdiction de s’immiscer ? Par un seuil, et ce seuil est l’anomalie apparente. En deçà, le prestataire doit exécuter sans questionner ; au-delà, l’exécution passive devient fautive. Toute la difficulté — et tout le contentieux — tient à la fixation du point de bascule.

L’adjectif porte l’essentiel du régime. Est apparente l’anomalie qui se manifeste au banquier normalement diligent sans qu’il ait à rechercher quoi que ce soit : celle qui saute aux yeux sur le document, ou celle qui ressort du seul rapprochement de l’ordre avec ce que la tenue du compte lui a déjà appris. Le critère est ainsi doublement relatif. Relatif au professionnel d’abord, dont on attend l’attention ordinaire d’un banquier avisé et non la sagacité d’un enquêteur. Relatif au client ensuite, car une opération n’est jamais anormale dans l’absolu : le virement international massif est banal pour l’exportateur et singulier pour le retraité qui n’a jamais quitté son département. C’est dire que le seuil se calcule sur le dossier, et que la même opération peut être une anomalie chez l’un et la routine chez l’autre.

On aperçoit alors que non-ingérence et vigilance ne sont nullement contradictoires : la première interdit de chercher, la seconde impose de voir. Le banquier n’a pas à enquêter, mais il ne peut se retrancher derrière l’absence d’enquête pour ignorer ce qui s’offrait à son regard. La ligne est fine, elle est parfois délicate à tracer en fait, mais elle est théoriquement nette — et elle explique que l’immense majorité des litiges se joue sur la qualification, non sur le principe.

3. Le devoir d’alerte du titulaire

Que doit faire le banquier qui a décelé l’anomalie ? Non pas se substituer à son client dans l’appréciation de l’opportunité — ce serait retomber dans l’immixtion —, mais l’informer et recueillir sa décision. Le devoir de vigilance ne débouche pas sur un pouvoir de refus discrétionnaire : il débouche sur une obligation d’alerte, qui restitue au titulaire du compte la maîtrise d’un choix qui lui appartient.

Le mécanisme est cohérent avec l’économie du mandat. Le mandataire qui rencontre une difficulté imprévue dans l’exécution en réfère au mandant ; il ne tranche pas à sa place. Ainsi le banquier qui relève une signature douteuse, une mention surchargée ou une destination sans rapport avec les habitudes du compte doit-il en aviser le client et solliciter confirmation. S’il obtient cette confirmation par un canal sûr, l’exécution redevient légitime, et la perte éventuelle ne saurait plus lui être imputée. S’il l’exécute sans avoir alerté, il assume le risque. La même logique gouverne l’hypothèse, plus prosaïque, du virement qui rendrait le compte débiteur : le prestataire doit en référer avant d’exécuter, car consentir une avance non convenue serait décider seul d’un crédit que nul ne lui a demandé.

Le devoir d’alerte remplit ainsi une fonction d’articulation : il est le débouché naturel de la vigilance et la sauvegarde de la non-ingérence. Il permet au banquier de signaler sans s’immiscer, et au client de conserver une décision dont l’anomalie détectée ne le dépossède pas.

C) Les ordres faux ou falsifiés

C’est lorsque l’ordre s’avère frauduleux que le devoir de vérification livre toute sa portée, car la question cesse d’être disciplinaire pour devenir patrimoniale : la perte est consommée, les fonds sont partis, et il faut dire qui la supporte. Entre le titulaire du compte dépouillé, son prestataire qui a exécuté, l’établissement qui a ouvert le compte au faussaire et celui du bénéficiaire apparent, la répartition a longtemps été recherchée dans les règles générales de la responsabilité civile, au prix d’un exercice délicat consistant à identifier et à pondérer les manquements de chacun. Les textes issus de la transposition des directives sur les services de paiement ont simplifié la solution au bénéfice des consommateurs, sans pour autant frapper de caducité la jurisprudence antérieure, qui conserve son empire dans les rapports entre professionnels et pour tout ce que le régime légal ne couvre pas.

1. La fabrication et l’altération de l’instruction

Deux hypothèses doivent être tenues pour distinctes, encore que leur régime converge. L’ordre faux est celui qui n’a jamais été émis par le titulaire : fabriqué de toutes pièces par un faussaire, signé d’une main qui n’est pas la sienne, ou déclenché depuis un accès usurpé. L’ordre falsifié procède au contraire d’une instruction authentique, mais altérée après son émission — le montant majoré, le bénéficiaire substitué, l’identifiant du compte destinataire remplacé. Dans les deux cas, le résultat est identique : le mouvement débité ne correspond à aucun consentement du titulaire, et c’est cette absence de consentement qui commande tout le reste.

Le fondement de la responsabilité du prestataire du donneur d’ordre est contractuel, et il est double. Comme mandataire, il devait vérifier la signature ou le dispositif d’authentification, et il a manqué à cette obligation en exécutant un ordre dont l’examen dû aurait révélé la fausseté. Comme dépositaire, il est tenu d’une obligation plus radicale encore, qui ne suppose aucune faute : les fonds déposés en compte étant fongibles, il en est devenu propriétaire, et c’est à lui qu’incombe le risque de leur perte selon la règle res perit domino. Le dépositaire supporte la disparition de ce qui lui appartient ; il n’en demeure pas moins débiteur envers le déposant.

La difficulté atteint son point le plus aigu lorsque nulle négligence ne peut être imputée ni au client ni au banquier — l’imitation était parfaite, le client irréprochable dans la garde de ses moyens d’accès. La double qualité du prestataire conduit alors à un arbitrage dont l’issue n’allait pas de soi. Considéré comme mandataire, le banquier devrait être exonéré : il n’a pas commis de faute, et le mandataire ne répond que de ses manquements. Considéré comme dépositaire irrégulier, il demeure propriétaire des fonds et débiteur de la restitution, laquelle n’est libératoire qu’entre les mains de celui qui a qualité pour la recevoir.

C’est en faveur de la qualité de dépositaire que la chambre commerciale a progressivement tranché, alignant ainsi le régime du virement sur celui, plus anciennement fixé, du chèque faux. La règle qui s’en dégage est d’une grande fermeté : le prestataire ne se libère pas en exécutant un ordre frauduleux, quand bien même aucune faute ne pourrait lui être reprochée. Le virement n’a pas éteint la dette de restitution parce qu’il n’a pas été fait à qui avait qualité pour recevoir ; le compte doit donc être recrédité. La responsabilité ainsi conçue n’est pas véritablement une responsabilité pour faute — c’est l’exécution d’une obligation de restitution qui n’a jamais été satisfaite.

Un tempérament vient cependant en corriger la rigueur, et il est décisif en pratique : lorsque l’établissement du faux a été facilité par la négligence du client ou de l’un de ses salariés, la responsabilité objective cède, et seul un manquement propre du prestataire permet encore d’engager sa responsabilité envers le déposant. Le renversement est complet — de tenu quoi qu’il arrive, le banquier redevient débiteur d’une simple obligation de diligence, dont la violation doit être établie par celui qui s’en prévaut.

2. La fraude au dirigeant et l’apparence

La fraude dite au président — ou au dirigeant — occupe une place à part, parce qu’elle ne consiste pas à contrefaire un ordre mais à obtenir qu’un ordre authentique soit donné. L’escroc se présente comme le dirigeant de l’entreprise, ou comme le mandataire d’une autorité qu’il invoque, et convainc un comptable de procéder à un virement urgent et confidentiel vers un compte qu’il désigne. L’ordre reçu par le banquier est alors parfaitement régulier : il émane d’une personne habilitée, il porte une signature authentique, il respecte les procédures internes. Le vice n’est pas dans l’instruction, il est en amont, dans le consentement extorqué à celui qui l’a émise.

La conséquence est que la responsabilité du prestataire ne peut plus se fonder sur un défaut de vérification de l’authenticité — il n’y avait rien à déceler de ce côté. Elle ne peut se rechercher que sur le terrain de l’anomalie apparente : le montant, le pays de destination, le caractère inhabituel du bénéficiaire, la précipitation de l’opération étaient-ils, rapportés au fonctionnement ordinaire du compte, des signaux que le banquier ne pouvait ignorer ? C’est dire que la solution retenue à propos de la non-immixtion gouverne aussi ce contentieux, et qu’elle y est plutôt protectrice du prestataire : ni le montant élevé ni la destination étrangère ne suffisent en eux-mêmes.

Du côté de l’entreprise victime, le détournement opéré par un comptable abusé relève des règles de la responsabilité du commettant du fait de son préposé, que porte l’article 1242, alinéa 5, du Code civil : la personne morale répond des actes de celui qu’elle a chargé d’exécuter les paiements. Elle peut néanmoins obtenir une atténuation si le banquier a lui-même manqué à sa vigilance, l’existence d’anomalies apparentes non relevées ouvrant alors la voie à un partage.

Une troisième figure doit être mentionnée, car elle déplace le contentieux vers un autre établissement : celui qui a ouvert le compte destiné à recueillir les fonds détournés. Le prestataire du faussaire n’est lié au titulaire spolié par aucun contrat ; sa responsabilité ne peut donc être que délictuelle. Elle se fonde sur la méconnaissance des vérifications légales imposées à l’ouverture d’un compte — contrôle de l’identité du demandeur, vérification de son domicile, diligences relatives à la connaissance de la clientèle. L’établissement qui a ouvert un compte à un faussaire sans procéder à ces contrôles a fourni à la fraude son instrument indispensable, et la faute est en relation directe avec le préjudice. Cette voie présente un intérêt pratique considérable lorsque le prestataire du payeur est exonéré ou que le faussaire est introuvable.

3. La faute du titulaire et le partage

Le titulaire du compte n’est pas toujours une victime irréprochable, et le droit de la fraude aux virements réserve une place notable à sa propre négligence. Celle-ci s’apprécie sur trois terrains, qui correspondent à trois moments de la relation.

La garde, d’abord : conserver sans précaution des formulaires vierges, laisser accessibles des dispositifs de sécurité, communiquer des données confidentielles en réponse à un courriel d’hameçonnage sont autant de manquements qui rendent la fraude possible. Le signalement, ensuite : celui qui a perdu un portefeuille contenant une pièce d’identité, ou qui constate la disparition de ses moyens d’accès, doit en aviser son prestataire, et son abstention pèse d’un poids déterminant dans l’appréciation des responsabilités. La surveillance, enfin : le titulaire reçoit ses relevés, et le défaut d’examen des mouvements portés à sa connaissance constitue une négligence dont le banquier peut se prévaloir — d’autant que le régime légal enferme la contestation dans un délai que l’article L. 133-24 du Code monétaire et financier fixe à treize mois.

L’articulation de ces fautes avec la responsabilité objective du dépositaire mérite d’être précisée, car elle n’obéit pas à la logique ordinaire du partage. La négligence du client ne vient pas réduire proportionnellement une créance de restitution qui subsisterait : elle change le régime applicable. Dès lors que la faute du titulaire ou de son préposé a facilité l’établissement du faux, l’obligation objective de restituer s’efface, et la victime doit désormais établir un manquement propre du prestataire pour obtenir quoi que ce soit. Le partage n’intervient qu’ensuite, entre deux fautes concurrentes, selon leur gravité respective et leur rôle causal dans la réalisation du dommage.

Il en résulte, pour le prestataire assigné, une stratégie de défense en deux temps que la pratique judiciaire a parfaitement identifiée : établir d’abord la négligence du titulaire — dans la garde de ses données, dans la surveillance de ses relevés ou dans le contrôle de ses préposés — afin de sortir du terrain de la responsabilité objective ; contester ensuite l’existence d’un manquement qui lui soit personnellement imputable, afin d’obtenir une exonération qui pourra être totale, ou à défaut partielle.

Il faut souligner, pour finir, que cette construction prétorienne ne s’applique désormais qu’à ce que le régime légal laisse subsister. Lorsque l’opération contestée entre dans le champ des services de paiement et que l’utilisateur est un consommateur, c’est le dispositif issu des directives qui commande, avec son remboursement de principe, ses causes limitatives de décharge et son architecture probatoire propre — dispositif dont il reste à mesurer l’exclusivité.

III) §3: L’exécution de l’ordre de virement

Le contrôle achevé et l’ordre reconnu authentique, régulier et émanant d’une personne ayant qualité pour l’émettre, le banquier n’a plus à délibérer : il doit exécuter. Encore faut-il déterminer ce que l’exécution exige de lui. Trois questions s’y logent, que le droit positif traite séparément mais qui forment un tout : à quelles conditions le prestataire est-il tenu de dénouer l’opération, dans quel délai doit-il le faire, et que se passe-t-il lorsqu’il manque à l’un ou à l’autre. Une quatrième s’y ajoute, moins spectaculaire mais non moins contraignante : celle du compte qu’il doit rendre de sa mission. C’est en cela que le virement se distingue d’un simple mouvement d’écriture — il est l’exécution d’un mandat, et le mandataire doit à son mandant la preuve qu’il s’en est acquitté.

A) Les conditions du dénouement

L’obligation d’exécuter n’est jamais inconditionnelle. Le prestataire ne s’engage à transférer des fonds que pour autant qu’il en détienne, que l’instruction lui soit parvenue dans la forme dont il est convenu avec son client, et que le bénéficiaire lui ait été désigné de manière opérationnelle. Ces trois conditions ne sont pas de même nature : la première tient à la substance de l’opération, la deuxième à la loi du contrat, la troisième à la technique du traitement de masse. Leur défaut ne produit pas non plus les mêmes effets — et c’est précisément dans cette dissymétrie que se logent les difficultés contentieuses les plus fréquentes.

1. La provision disponible

Nul ne transfère ce qu’il ne détient pas. Le virement suppose, à sa racine, que le compte à débiter présente un solde créditeur suffisant, ou qu’une ouverture de crédit permette de le porter au-delà. La provision n’est pas ici une notion cambiaire empruntée au droit de la lettre de change : elle désigne simplement la disponibilité des fonds au moment où l’ordre doit recevoir exécution. Le dépositaire ne restitue que ce qui lui a été confié, et l’article 1937 du Code civil, déjà rencontré, ne l’oblige à remettre les fonds qu’à concurrence de ce qu’il en détient.

Deux conséquences s’en déduisent, symétriques. D’un côté, l’insuffisance de provision autorise le refus : le banquier qui n’exécute pas un ordre que le solde ne couvre pas ne commet aucune faute, et il serait paradoxal de lui reprocher de ne pas avoir consenti d’office un découvert qu’il n’a jamais promis. De l’autre, lorsque l’exécution ferait basculer le compte en position débitrice, la seule attitude conforme au devoir d’information est d’en référer au donneur d’ordre avant d’agir. Le prestataire se trouve alors devant une alternative dont aucun terme ne lui appartient : accorder une facilité de caisse relève de sa liberté d’établissement de crédit, refuser l’ordre relève de son obligation de ne pas engager le patrimoine de son client au-delà de ce que celui-ci a voulu. Entre les deux, l’avertissement préalable est la seule voie qui respecte l’un et l’autre.

Reste que la disponibilité s’apprécie à un instant, non dans l’abstrait. Un compte peut être crédité au moment de la réception de l’ordre et ne plus l’être au moment de son traitement, singulièrement lorsque plusieurs opérations concourent sur la même journée. La pratique de l’imputation par ordre d’arrivée, comme celle du traitement par lots en fin de journée, produit des résultats différents dont le client supporte les effets sans toujours en avoir conscience. La convention de compte gagne à s’en expliquer : à défaut, le contentieux se déplace sur le terrain probatoire, où le prestataire devra établir l’état exact du solde à l’heure où il a refusé.

2. La forme convenue de l’instruction

Le consentement du payeur ne vaut que s’il est exprimé dans la forme dont les parties sont convenues — la règle a été posée plus haut, elle commande ici les conditions de l’exécution.

La formule est brève, ses effets considérables. Elle érige la convention en loi de la forme : ce qui a été stipulé — signature manuscrite déposée, dispositif d’authentification forte, canal téléphonique sécurisé, protocole d’échange de fichiers pour les remises d’entreprise — devient la condition de validité de l’instruction, et non un simple mode de preuve. Un ordre transmis hors du canal convenu n’est pas un ordre imparfaitement exprimé : c’est un ordre que le prestataire n’a pas à exécuter, et qu’il exécuterait à ses risques.

On mesure l’importance pratique de la règle en songeant aux instructions transmises par simple courriel. Longtemps traitées avec une souplesse que l’urgence semblait justifier, elles se heurtent aujourd’hui à une objection dirimante : le courriel n’est un canal convenu que si la convention l’a expressément retenu, et il ne l’est jamais lorsqu’elle a stipulé un dispositif d’authentification personnalisé. Le prestataire qui donne suite à une instruction reçue par cette voie ne peut se retrancher derrière la vraisemblance de l’apparence — il a exécuté sans consentement au sens du texte, et le compte a été débité sans titre. La symétrie est rigoureuse : la forme protège le client contre l’usurpation, elle protège le banquier contre la contestation, et celui qui s’en affranchit perd le bénéfice de l’une et de l’autre.

Encore faut-il réserver l’hypothèse de la ratification. Le titulaire qui, informé d’une exécution intervenue hors des formes, s’en accommode et en tire profit ne saurait ensuite exiger la reconstitution de son compte : l’article 1342-2 du Code civil, dont il a été fait état plus haut à propos du destinataire du paiement, gouverne aussi cette situation par la faveur qu’il fait au paiement profitable. Mais la ratification ne se présume pas d’un silence bref, et l’on verra que le mécanisme du relevé non contesté ne comble pas à lui seul le défaut de consentement initial.

3. L’identifiant unique du bénéficiaire

Reste à désigner celui qui doit recevoir les fonds. Ici, le droit issu des directives sur les services de paiement a opéré un renversement dont il faut mesurer la portée. Sous l’empire du droit antérieur, le banquier chargé d’un virement — fût-il traité par voie électronique — ne pouvait se contenter du numéro de compte : il lui incombait de vérifier la concordance entre l’identifiant du compte à créditer et le nom du bénéficiaire désigné par le donneur d’ordre, en sorte que la discordance des deux mentions lui était imputable. Le texte a inversé la charge.

La règle est double et son économie limpide. D’une part, l’identifiant fait foi : exécuté conformément à l’IBAN communiqué, l’ordre est réputé dûment exécuté, quand bien même les fonds auraient abouti chez un tout autre que celui que le payeur avait en vue. D’autre part, l’erreur de l’identifiant est imputée à celui qui l’a fournie : le prestataire n’en répond pas. Ce n’est pas là une faveur gratuite faite au banquier — c’est la contrepartie nécessaire d’un traitement automatisé de masse, dont les délais impératifs examinés ci-après seraient inatteignables si chaque virement devait faire l’objet d’un rapprochement nominatif.

L’exonération n’est pourtant pas une décharge. Le texte greffe sur elle une obligation de faire : le prestataire du payeur « s’efforce de récupérer les fonds engagés ». L’obligation est de moyens, elle n’en est pas moins réelle et son inexécution se sanctionne — on y reviendra, car elle constitue le dernier maillon du régime de l’exécution défectueuse.

B) Le délai d’exécution

L’histoire du délai d’exécution est, à elle seule, le récit de la transformation qu’ont subie les services de paiement sous l’impulsion du législateur européen. D’un standard souple confié à l’appréciation du juge, on est passé à une norme chiffrée, impérative et brève. Le déplacement n’est pas seulement technique : il change la nature du grief. Reprocher au banquier une lenteur, c’était naguère lui reprocher une faute qu’il fallait caractériser ; c’est aujourd’hui lui opposer le dépassement d’un terme que la loi a fixé.

1. La promptitude du droit antérieur

Avant toute intervention normative, aucun texte n’assignait de terme au banquier : la jurisprudence exigeait seulement qu’il exécutât « avec promptitude », formule dont la souplesse laissait aux juges du fond une latitude considérable. Le caractère raisonnable du délai s’appréciait au cas par cas, au regard de la nature de l’opération, de son montant, du canal de transmission et des usages de la place. Un délai de huit jours passait généralement pour acceptable ; vingt-quatre jours ont été tenus pour manifestement excessifs. Entre ces deux bornes s’étendait une zone d’incertitude que nul ne pouvait réduire a priori.

Le premier encadrement est venu de la directive du 27 janvier 1997 sur les virements transfrontaliers, qui a substitué à cette appréciation un maximum de cinq jours ouvrables pour que les fonds parviennent au compte de l’établissement du bénéficiaire, augmenté d’un jour ouvrable pour leur mise à disposition effective. La profession a devancé la suite : en 2002, sous l’égide de l’European Payment Council, les établissements européens se sont engagés à traiter en trois jours au plus les virements transfrontaliers inférieurs à douze mille cinq cents euros, dès lors que les codes IBAN et BIC avaient été communiqués. L’engagement était conventionnel et non légal — il n’en a pas moins préparé les esprits à la contrainte qui allait suivre.

2. Le crédit au premier jour ouvrable

La transposition de la première directive sur les services de paiement, opérée par l’ordonnance du 15 juillet 2009, a fait entrer dans le Code monétaire et financier la règle dite du J+1. Le prestataire du payeur doit créditer le compte de son homologue — celui du prestataire du bénéficiaire — avant l’expiration du jour ouvrable suivant la réception de l’instruction. Le terme court de la réception, laquelle obéit aux règles examinées plus haut : lorsqu’elle intervient un jour non ouvrable, l’ordre est réputé parvenu le premier jour ouvré qui suit.

Deux tempéraments accompagnent la règle. Le premier tient au support : l’instruction transmise sur papier ouvre droit à une journée ouvrée supplémentaire, la matérialité du traitement justifiant ce supplément de temps. Le second tient à la liberté contractuelle, mais elle est étroitement bridée : les parties peuvent convenir d’une durée plus longue, sans jamais pouvoir dépasser quatre jours ouvrables. Au-delà, la stipulation est inefficace — l’impérativité du régime, déjà rencontrée, interdit d’y déroger au détriment de l’utilisateur.

La compression ne s’est pas arrêtée là. L’apparition des virements instantanés, dénoués en quelques secondes et désormais offerts comme un service courant, marque l’aboutissement du mouvement : le délai maximal n’est plus qu’un filet de sécurité pour les opérations qui empruntent encore les circuits traditionnels. Il en résulte une conséquence peu commentée mais réelle — l’écart entre ce que la technique permet et ce que la loi tolère nourrit les attentes du client, et le banquier qui use de tout le délai légal sur une opération que ses concurrents dénouent en l’instant ne s’expose pas à une sanction, mais bien à une contestation.

3. La date de valeur et la mise à disposition

Fixer un délai d’exécution ne suffit pas si l’établissement conserve la faculté de décaler la date à laquelle l’opération produit ses effets sur le compte. C’était la pratique des dates de valeur, par laquelle le débit était rétroactivement daté d’avant le mouvement réel et le crédit reporté au-delà, la différence se muant en jours d’intérêts au bénéfice de la banque. Le régime issu des directives y a mis un terme par une règle d’une simplicité qui la rend difficile à contourner.

La date de valeur du débit ne peut en aucun cas être antérieure au jour où le compte du payeur est effectivement débité. Symétriquement, le prestataire du bénéficiaire doit mettre les fonds à disposition immédiatement après qu’ils ont été portés au crédit de son propre compte, et la valeur retenue pour ce crédit ne saurait être postérieure à cet événement. Ainsi encadrée des deux côtés, la date de valeur cesse d’être un instrument de rémunération occulte pour redevenir ce qu’elle n’aurait jamais dû cesser d’être : la traduction comptable d’un fait.

Le mécanisme se prolonge dans une règle de remise en état. Lorsqu’une opération fautive ou annulée doit être défaite, la date de valeur de la contre-passation est celle qui aurait résulté d’une exécution conforme — rétroactivement, donc, et non au jour de la correction. La précision n’est pas de pure technique : sans elle, le client dont le compte a été débité à tort supporterait les agios nés d’une position débitrice qu’il n’a pas causée, et la restitution du principal lui laisserait un préjudice résiduel. C’est l’idée même de remise en l’état antérieur qui commande la solution.

C) L’inexécution et la mauvaise exécution

Le régime de l’exécution serait sans portée s’il n’était assorti d’une sanction. Celle-ci existe, et elle est sévère : le prestataire répond de la bonne exécution de l’opération sans qu’il soit besoin de lui imputer une faute. Encore cette responsabilité connaît-elle des bornes — celles que dessinent le refus légitime d’exécuter et l’erreur de désignation imputable au payeur.

1. La responsabilité de plein droit du prestataire

Le texte fait plus que désigner un responsable : il découpe la chaîne du paiement en deux segments et affecte à chacun son garant. Jusqu’à la réception des fonds par le prestataire du bénéficiaire, c’est celui du payeur qui répond ; à compter de cette réception, c’est celui du bénéficiaire. La ligne de partage est un fait matériel — l’arrivée des fonds — que le premier segment doit atteindre dans le délai du J+1. On aperçoit la cohérence de l’ensemble : le délai n’est pas une obligation isolée, il est la mesure même de l’étendue temporelle de la garantie.

Cette responsabilité est objective. L’utilisateur n’a ni à établir une négligence, ni à discuter des diligences accomplies : il lui suffit de démontrer que l’ordre a été donné et que l’opération n’a pas été exécutée, ou l’a été mal — retard, montant erroné, destinataire autre que l’établissement désigné. La conséquence est immédiate : le prestataire doit rétablir le compte dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu, ce qui inclut, on l’a dit, la reconstitution des dates de valeur. Il ne s’agit pas d’indemniser un dommage au sens du droit commun mais de défaire une écriture qui n’aurait pas dû exister.

Les réserves que le texte ménage lui-même en dessinent les seules issues : l’article L. 133-5 pour le cas où l’ordre n’a pas été reçu, les alinéas de l’article L. 133-21 relatifs à l’identifiant inexact, et l’article L. 133-24 pour le signalement tardif. Hors ces cas, le prestataire ne peut s’exonérer en démontrant sa diligence — c’est là toute la différence entre une obligation de résultat et une obligation de moyens renforcée. La règle produit d’ailleurs un effet vertueux : elle contraint l’établissement à conserver la trace de chaque opération, faute de quoi il ne pourra jamais établir avoir atteint le résultat promis.

2. Le refus légitime d’exécuter

Le prestataire n’est pas pour autant condamné à exécuter tout ce qu’on lui présente. Le refus lui est ouvert, mais il n’est jamais discrétionnaire : il doit être fondé sur un motif que la loi ou le contrat reconnaît. Trois catégories se dégagent, dont l’énoncé suffit à marquer qu’elles n’ont rien de commun.

La première tient aux conditions d’exécution qui viennent d’être exposées : provision insuffisante, forme non conforme à celle qui a été convenue, mentions incomplètes ou identifiant manifestement inutilisable. Le refus n’est ici que le constat d’un défaut de condition. La deuxième tient à la licéité de l’opération : compte frappé d’indisponibilité par une saisie ou une mesure de blocage, obligations de vigilance en matière de lutte contre le blanchiment et le financement du terrorisme, sanctions internationales. Le banquier n’apprécie pas alors l’opportunité du paiement — apprécier l’opportunité lui est précisément interdit par le devoir de non-ingérence dont il a été traité plus haut — il constate un empêchement extérieur. La troisième, plus délicate, tient à l’anomalie apparente : le seuil au-delà duquel la neutralité cesse d’être une vertu pour devenir une négligence.

Quel que soit le motif, le refus est assorti d’une obligation d’information. Le prestataire doit aviser l’utilisateur de son refus et, dans la mesure du possible, lui en indiquer la raison ainsi que la procédure permettant de corriger l’erreur qui l’a causé. La règle a son revers : un ordre refusé est réputé non reçu, ce qui reporte le point de départ du délai d’exécution — le client qui régularise ne peut prétendre au bénéfice du terme couru depuis la première présentation.

3. La récupération des fonds mal dirigés

Lorsque les fonds ont abouti chez un autre que celui que le payeur avait en vue, la seule irresponsabilité du prestataire laisserait le client sans recours praticable — il lui faudrait identifier lui-même le destinataire, ce dont les règles du secret bancaire le rendent incapable, puis agir en répétition contre un inconnu. C’est pourquoi l’article L. 133-21 assortit l’exonération d’un devoir de concours : le prestataire du payeur « s’efforce de récupérer les fonds engagés dans l’opération de paiement ».

L’obligation est de moyens, la formule ne laisse aucun doute. Mais elle n’est pas verbale. Elle impose des diligences précises : saisir l’établissement teneur du compte crédité, lui transmettre les éléments d’identification de l’opération, solliciter le concours du bénéficiaire indu, et rendre compte au client des démarches entreprises. Celui qui reste inerte manque à son obligation, et il en répond — non du montant du virement, dont il n’est pas garant, mais de la perte de chance de récupération que son inaction a causée. La distinction est essentielle : elle explique que le préjudice réparable soit rarement égal au montant transféré, et qu’il faille apprécier ce que des diligences promptes auraient vraisemblablement permis d’obtenir.

Le fondement de la restitution, du côté du bénéficiaire indu, ne fait quant à lui pas difficulté : celui qui reçoit ce qui ne lui était pas dû doit le rendre, et il ne peut opposer au payeur la libération que l’article 1342-2 du Code civil réserve au paiement fait à la personne qualifiée pour le recevoir. Encore faut-il qu’il soit solvable et qu’il n’ait pas dissipé les fonds — hypothèse fréquente lorsque le détournement procède d’une fraude, et qui ramène à ce constat trivial mais déterminant : en matière de virement, la promptitude de la réaction vaut mieux que la solidité du droit.

D) Le compte rendu de l’opération

L’exécution ne clôt pas la mission du prestataire : il lui reste à en rendre compte. L’obligation paraît secondaire, elle ne l’est pas — c’est par elle que le client apprend ce qui a été fait de ses fonds, et c’est donc d’elle que dépend l’exercice de tous les droits examinés jusqu’ici, à commencer par celui de contester. Un régime de responsabilité qui court à compter d’un signalement n’a de sens que si l’information nécessaire à ce signalement a été délivrée.

1. Le devoir de rendre compte du mandataire

L’obligation procède d’un double fondement, et cette dualité n’est pas une redondance : chacun des deux titres lui donne un contenu distinct. En tant que mandataire, le prestataire est astreint au devoir de rendre compte que prescrit l’article 1993 du Code civil : il doit informer le mandant de la manière dont il s’est acquitté de sa mission. En tant que dépositaire, il doit justifier de la restitution des fonds conformément aux instructions reçues — non pas seulement dire ce qu’il a fait, mais établir qu’il l’a fait. En pratique, cette obligation se matérialise par la transmission au titulaire d’un avis de débit, puis par le relevé périodique des opérations.

La portée probatoire de ce second fondement mérite qu’on s’y arrête. Lorsque le donneur d’ordre réclame en soutenant que le bénéficiaire n’a pas été crédité, ce n’est pas à lui d’établir la carence : c’est au prestataire de produire la pièce attestant la bonne exécution de sa mission. Faute d’y parvenir, l’écriture de débit ne peut être maintenue — le compte doit être reconstitué, non par sanction d’une faute, mais parce que le dépositaire qui ne justifie pas de la restitution demeure tenu de restituer. Le régime des services de paiement a durci cette exigence : le prestataire doit retrouver immédiatement la trace de toute opération contestée et en aviser son client.

À ce compte rendu s’ajoute un devoir d’alerte de portée plus générale. Il appartient au banquier d’informer spontanément son client de tout obstacle rencontré dans l’exécution — rejet par l’établissement destinataire, blocage du compte crédité, suspension pour vérification. Le silence gardé sur une difficulté prive le client de la faculté de réagir, et cette privation lui est imputable indépendamment du sort final de l’opération.

2. L’information sur support durable

Les normes européennes ont considérablement étoffé le contenu de cette information, en distinguant deux régimes selon la nature de l’opération. Pour les opérations isolées, des renseignements préalables, concomitants et postérieurs doivent être fournis : identification de l’opération, délai d’exécution, frais applicables et, le cas échéant, taux de change retenu. Pour les opérations rattachées à un contrat-cadre — lequel constitue le plus souvent un élément de la convention de compte —, l’économie est différente : certaines de ces informations n’ont à être délivrées qu’une fois, à l’entrée en relation, seules les variables propres à chaque paiement devant être communiquées à l’occasion de chacun d’eux, à savoir la référence, le montant et les frais prélevés.

La notion de support durable mérite qu’on s’y arrête, car elle commande l’effectivité de tout le dispositif. Est durable le support qui permet à l’utilisateur de stocker les informations qui lui sont adressées personnellement, d’y accéder ultérieurement pendant une durée adaptée à leur finalité, et de les reproduire à l’identique. Le papier y satisfait, le fichier téléchargé aussi ; une page consultable en ligne dont l’établissement conserve la maîtrise du contenu n’y satisfait qu’à la condition d’être figée et accessible durablement. L’exigence n’est pas formaliste : c’est la conservation de l’information qui rend possible la contestation ultérieure, et il serait singulier que le point de départ du délai de forclusion court d’une information que le client ne peut ni retrouver ni produire.

3. Le silence du client sur le relevé

Reste à mesurer ce que vaut le silence de celui qui reçoit son relevé sans rien dire. La question est ancienne et sa réponse a longtemps été gouvernée par la seule pratique bancaire, qui stipulait dans ses conditions générales une approbation tacite des écritures passé un bref délai. La solution classique est nuancée : l’absence de protestation dans le délai convenu fait présumer l’approbation du relevé, mais cette présomption est simple, et elle ne fait pas obstacle à la contestation ultérieure d’une écriture dont le client établit qu’elle était injustifiée. Le silence dispense le banquier d’établir l’accord ; il ne le dispense pas de justifier l’opération lorsque cet accord est utilement combattu.

Le droit des services de paiement a superposé à cette construction un mécanisme d’une tout autre rigueur, mais dont l’objet est distinct.

Trois observations s’imposent, qui achèvent de relier l’obligation de rendre compte au régime de la contestation. D’abord, le délai de treize mois est un délai de forclusion et non de prescription : son expiration éteint le droit d’agir sans que le juge puisse en relever le titulaire, et il court de la date de débit, non de la connaissance de l’opération. Ensuite, ce délai est expressément subordonné à la délivrance de l’information : le prestataire qui n’a pas fourni les renseignements exigés ne peut opposer la forclusion — la sanction du défaut d’information n’est pas seulement indemnitaire, elle est la privation du bénéfice du délai. Enfin, le texte impose au-delà de ce plafond une diligence immédiate : signaler « sans tarder ». La tardiveté du signalement, quoique intervenue dans les treize mois, n’est donc pas sans conséquence — elle produit ses effets sur la charge du risque de l’opération non autorisée, dont il reste à exposer le régime.

IV) §4: La charge du risque de l’opération non autorisée

Vérifier, exécuter, rendre compte : les trois obligations qui viennent d’être décrites dessinent la mission du banquier payeur telle que le mandat la façonne. Reste la question que le droit commun ne résout pas de manière satisfaisante — celle du sort des fonds lorsque l’ordre n’émanait pas du titulaire du compte. Le débit a été passé, les fonds ont quitté le compte, le bénéficiaire les a reçus : qui, du client dépouillé ou de l’établissement qui a exécuté, supporte la perte ? Sur ce terrain, le législateur européen a rompu avec la logique de la faute pour lui substituer une logique d’imputation du risque. Les textes de transposition des directives sur les services de paiement — dont la dernière refonte procède de l’ordonnance du 9 août 2017 — instaurent un mécanisme protecteur de l’utilisateur qui joue uniformément pour les cartes, les virements et les prélèvements. Son architecture repose sur une inversion : il n’appartient plus au client de prouver la faute de sa banque, mais à la banque de prouver que l’opération contestée a été dûment authentifiée, enregistrée et comptabilisée, sans déficience technique. À défaut, le remboursement s’impose, et il s’impose immédiatement.

Le dispositif se structure autour de deux blocs normatifs complémentaires, qu’il faut distinguer pour comprendre la mécanique. Les articles L. 133-18 à L. 133-20 du Code monétaire et financier règlent les conditions du remboursement du payeur et les hypothèses dans lesquelles celui-ci demeure indemne ; les articles L. 133-23 et L. 133-24 du même code organisent la charge de la preuve et enferment la contestation dans un délai. L’ensemble s’applique à tout instrument de paiement fondé sur des dispositifs de sécurité personnalisés et sur des procédures convenues pour l’émission d’ordres de paiement — ce qui recouvre aujourd’hui l’essentiel des virements initiés en ligne. Encore faut-il mesurer la portée de cette construction : depuis l’arrêt Beobank, rendu par la Cour de justice le 16 mars 2023, elle présente un caractère exclusif, en ce sens qu’aucun fondement alternatif tiré du droit national — la responsabilité contractuelle de droit commun au premier chef — ne peut lui être substitué.

A) Le principe du remboursement du payeur

Le principe se laisse énoncer en une phrase : l’opération non autorisée est à la charge du prestataire, qui rembourse. Encore faut-il que le payeur la conteste, que le prestataire échoue à prouver ce que la loi lui commande de prouver, et que la restitution intervienne sans délai. Ces trois moments — la contestation, la preuve, la restitution — forment la trame du régime.

1. La contestation de l’opération

Tout commence par un signalement. Le titulaire qui découvre sur son relevé un débit auquel il n’a pas consenti doit en informer son prestataire, et cette démarche n’est pas laissée à sa convenance : elle est enfermée dans un double délai. Le premier tient à la promptitude — le signalement doit intervenir « sans tarder », formule volontairement souple qui invite le juge à apprécier la diligence au regard des circonstances, notamment de la date à laquelle le client a été mis en mesure de connaître l’opération. Le second est un délai butoir de treize mois à compter de la date de débit, dont l’expiration éteint la prétention.

La qualification de ce délai n’est pas indifférente. Lorsque l’utilisateur est une personne physique agissant pour des besoins non professionnels, il s’agit d’un délai de forclusion, que le juge doit relever et qui ne souffre ni interruption ni suspension au gré des pourparlers amiables. Le texte ménage toutefois une réserve dont l’importance pratique est considérable : la forclusion ne joue que si le prestataire a fourni ou mis à disposition les informations relatives à l’opération dans les conditions prévues par le livre III. La sanction du silence rejoint ici l’obligation de rendre compte examinée plus haut — l’établissement qui n’a pas informé son client ne peut lui opposer l’inertie qu’il a lui-même rendue inévitable. Le manquement au devoir d’information ne se contente donc pas d’engager une responsabilité : il prive le prestataire de la fin de non-recevoir tirée du délai.

Une nuance sépare le professionnel du consommateur. Hors du cas de la personne physique agissant à des fins étrangères à son activité, les parties peuvent convenir d’un délai plus bref, et les conventions de compte des entreprises usent largement de cette faculté — un mois, parfois moins. Le professionnel qui néglige de rapprocher ses relevés s’expose ainsi à voir sa contestation déclarée irrecevable pour un retard que le consommateur aurait pu se permettre. Un régime voisin, quoique distinct, gouverne les prélèvements dont le montant excède ce à quoi le payeur pouvait raisonnablement s’attendre : la restitution peut alors être réclamée, mais dans un délai de huit semaines suivant l’inscription au débit.

2. La preuve de l’authentification

Le signalement effectué, la discussion se déplace sur le terrain probatoire, et c’est là que le régime révèle sa singularité. Il n’incombe pas au client de démontrer qu’il n’a pas consenti — preuve négative dont on mesure l’impossibilité pratique. C’est au prestataire d’établir que l’opération a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a été affectée d’aucune déficience technique ou autre. L’inversion n’est pas seulement procédurale : elle traduit un choix de politique juridique, celui de faire peser sur l’établissement, maître du système d’information, le risque de ce que ce système ne permet pas d’élucider.

Encore faut-il saisir la portée exacte de cette charge, car une confusion la guette. Prouver l’authentification n’est pas prouver le consentement. Le texte le dit sans ambiguïté et la jurisprudence y veille : l’utilisation de l’instrument de paiement, telle qu’enregistrée par le prestataire, ne suffit pas nécessairement à établir que l’opération a été autorisée par le payeur, ni que celui-ci a manqué intentionnellement ou par négligence grave à ses obligations. Le journal technique atteste qu’un identifiant a été présenté et qu’un code a été saisi ; il n’atteste pas que la main qui les a présentés était celle du titulaire. Cette distinction commande tout le contentieux du hameçonnage : la banque qui se borne à produire ses traces informatiques n’a rien prouvé de ce qui lui importe.

Le prestataire qui n’a pas exigé l’authentification forte là où elle s’imposait se trouve dans une position singulièrement défavorable : non seulement il échoue à démontrer la régularité technique de l’opération, mais il perd le bénéfice de l’exception de négligence grave, ainsi qu’on le verra. L’exigence probatoire et la carence de sécurité se conjuguent alors contre lui.

3. L’immédiateté de la restitution

La preuve manquant, le remboursement est dû — et il est dû tout de suite. Le législateur n’a pas voulu que le client attende l’issue d’une instruction interne ou d’un contentieux : le compte doit être rétabli d’abord, la discussion vient ensuite.

Trois enseignements se dégagent de ce texte. D’abord, le remboursement porte sur le montant de l’opération, mais la remise en état ne s’y limite pas : le compte doit être rétabli dans la situation qui aurait été la sienne si le débit n’avait pas eu lieu, ce qui emporte restitution des frais et des intérêts que ce débit a engendrés — agios d’un découvert provoqué par la fraude, commissions d’intervention, incidents de paiement en cascade. Ensuite, la date butoir est d’une brièveté qui ne laisse place à aucune temporisation : la fin du premier jour ouvrable suivant la connaissance de l’opération. Enfin, la seule échappatoire tient au soupçon de fraude de l’utilisateur lui-même, et ce soupçon n’est pas discrétionnaire — il doit reposer sur de bonnes raisons et celles-ci doivent être communiquées par écrit à la Banque de France. La suspension du remboursement se paie ainsi d’une dénonciation formalisée, dont l’auteur assume la charge s’il se trompe.

Le mécanisme mérite d’être rapproché du régime de la mauvaise exécution étudié plus haut. Dans un cas comme dans l’autre, le prestataire répond de plein droit ; mais la responsabilité de l’article L. 133-22 sanctionne un ordre régulier mal acheminé, tandis que celle de l’article L. 133-18 répare un ordre qui n’a jamais existé. La première suppose un consentement dont l’exécution a dévié ; la seconde, l’absence même de consentement.

B) Les causes de décharge du prestataire

Un régime qui ferait du prestataire l’assureur inconditionnel de toutes les fraudes serait ruineux et, surtout, désinciterait le titulaire à protéger ses données. Aussi le législateur a-t-il ménagé des causes de décharge. Elles sont peu nombreuses, d’interprétation stricte, et leur preuve incombe à celui qui les invoque — c’est-à-dire au prestataire lui-même, qui doit ainsi établir deux fois : la régularité technique de l’opération d’abord, le comportement fautif du client ensuite.

1. La négligence grave de l’utilisateur

La première cause, et de loin la plus disputée, tient à la négligence grave. Le payeur supporte l’intégralité des pertes lorsqu’il est établi qu’il n’a pas satisfait, intentionnellement ou par négligence grave, aux obligations de conservation de son dispositif de sécurité personnalisé. Hors cette hypothèse, la loi limite sa contribution : le remboursement s’effectue sous réserve d’une franchise de cinquante euros — ramenée de cent cinquante à cinquante par l’ordonnance du 9 août 2017 —, franchise elle-même écartée lorsque les données de l’instrument ont été détournées à l’insu du titulaire, auquel cas la restitution est intégrale.

La jurisprudence a donné corps à cette notion, et elle s’est d’abord montrée sévère envers le titulaire qui livre ses données de sécurité en réponse à une sollicitation frauduleuse. A été jugée gravement négligente la communication des éléments confidentiels du dispositif d’authentification en réponse à un courriel qui portait des indices propres à éveiller le doute : une adresse d’expéditeur manifestement inexacte, des fautes d’orthographe, un numéro de contrat incohérent. L’appréciation se fait in concreto, au regard des circonstances propres à l’espèce, et elle ne dépend pas de la qualité — avertie ou profane — de l’utilisateur : ce que l’on scrute, ce n’est pas la compétence du client, c’est le caractère décelable de la supercherie.

C’est précisément par ce critère que la rigueur initiale s’est infléchie. Dans l’hypothèse du spoofing bancaire — l’escroc usurpe le numéro d’appel de l’établissement pour se faire passer pour un conseiller —, la chambre commerciale a jugé, le 23 octobre 2024, qu’aucune négligence grave ne pouvait être imputée au client piégé dès lors que les circonstances de la fraude, et singulièrement l’affichage du véritable numéro de la banque sur le terminal, étaient de nature à le convaincre de l’authenticité de la demande. La solution ne procède d’aucune indulgence : elle applique le critère du décelable. On ne saurait reprocher à un client de ne pas avoir déjoué une apparence que l’établissement lui-même avait construite et que la technique rendait indétectable. Cette lecture vaut indifféremment pour les personnes physiques et pour les salariés d’entreprises victimes de procédés analogues, ainsi qu’un arrêt du 12 juin 2025 l’a confirmé.

2. L’agissement frauduleux du titulaire

Au-delà de la négligence, il est une hypothèse où le titulaire perd toute protection : celle où il est lui-même l’auteur de la fraude. Le client qui conteste une opération qu’il a en réalité voulue, espérant se faire rembourser un paiement dont il regrette l’objet, ne peut prétendre au bénéfice d’un régime conçu contre les tiers. L’agissement frauduleux fait obstacle au remboursement, et il fait aussi obstacle à la décharge qui suit l’opposition : le payeur qui a bloqué son instrument ne supporte plus aucune conséquence financière de son utilisation ultérieure, sauf fraude de sa part.

Ce texte porte un enseignement pratique de première importance : l’opposition préventive. Le titulaire qui soupçonne une fraude avant même que le virement ne soit exécuté a tout intérêt à faire bloquer son instrument sans attendre, car ce signalement trace une frontière temporelle nette — en deçà, la discussion sur la négligence grave demeure ouverte ; au-delà, elle est close, et le prestataire supporte seul le risque de toute utilisation postérieure. La rapidité de l’opposition est donc, pour le client, la mesure conservatoire par excellence.

Symétriquement, la loi énumère les situations dans lesquelles le titulaire se trouve intégralement déchargé, quelle qu’ait été sa vigilance. Elles se comprennent toutes comme des carences imputables au système de paiement lui-même plutôt qu’à son utilisateur.

L’articulation de ces cas mérite qu’on s’y arrête, car le deuxième d’entre eux est redoutable pour les établissements : le prestataire qui n’a pas exigé l’authentification forte ne peut opposer au payeur sa négligence, quand bien même celui-ci aurait communiqué son code. La faute du client est comme absorbée par celle de la banque, qui a privé le dispositif de la protection que la loi lui imposait de mettre en place. Le prestataire ne peut davantage se retrancher derrière la carence de ses employés ou de ses sous-traitants, dont il répond comme des siennes propres. Il lui reste, il est vrai, deux échappatoires étrangères à la conduite du client : la force majeure au sens de l’article L. 133-5, et l’erreur d’identifiant unique, l’article L. 133-21 exonérant le prestataire de la mauvaise exécution imputable au renseignement inexact fourni par le donneur d’ordre — sous la réserve, déjà rencontrée, qu’il s’efforce de récupérer les fonds.

3. La tardiveté du signalement

La dernière cause de décharge n’est pas une exonération au sens propre : c’est une fin de non-recevoir. Le signalement tardif ferme la porte du régime protecteur, et il la ferme quel que soit le mérite de la contestation au fond. Le client dont l’opération n’était assurément pas autorisée, mais qui découvre le débit quatorze mois après son inscription, n’obtiendra rien — non parce qu’il aurait consenti, mais parce que la loi a voulu que les écritures de paiement se consolident.

Cette forclusion doit être maniée avec discernement. Elle ne joue, on l’a dit, que si le prestataire a rempli son devoir d’information ; elle ne joue pas non plus contre celui qui a signalé dans le délai, fût-ce imparfaitement. Surtout, elle ne se confond pas avec l’appréciation du signalement « sans tarder », qui relève d’un tout autre registre : le manquement à la promptitude n’emporte pas déchéance automatique, mais il peut nourrir la démonstration d’une négligence, voire caractériser un préjudice propre au prestataire — celui d’avoir été privé de la chance de récupérer les fonds auprès du bénéficiaire. Enfin, le silence prolongé du client sur ses relevés, examiné plus haut sous l’angle du compte rendu, n’a jamais valu approbation tacite d’une opération non autorisée : il alimente au mieux un débat probatoire, jamais une ratification.

C) L’exclusivité du régime légal

Reste à déterminer ce que ce régime laisse subsister du droit commun. La question n’est pas théorique : elle décide si le juge peut, comme il y était naturellement porté, pondérer les torts respectifs du client négligent et de la banque défaillante. La réponse, désormais acquise, est négative.

1. L’éviction du droit commun de la responsabilité

Depuis les arrêts rendus par la chambre commerciale le 15 janvier 2025, dans le sillage de la jurisprudence Beobank de la Cour de justice, il est acquis que la responsabilité d’un prestataire recherchée à raison d’une opération de paiement non autorisée ne peut être appréhendée que sur le fondement du régime spécial du Code monétaire et financier. Aucun fondement alternatif — responsabilité contractuelle de droit commun, manquement au devoir de vigilance, faute quasi délictuelle — ne peut lui être substitué ni s’y ajouter.

La conséquence est radicale, et c’est elle qui heurte le plus l’intuition : il n’est pas loisible au juge d’opérer un partage de responsabilité entre le client négligent et la banque fautive. Le système fonctionne selon une logique binaire, sans dosage ni gradation. Ou bien la négligence grave du payeur est établie, et celui-ci supporte l’intégralité des pertes ; ou bien elle ne l’est pas, et le prestataire rembourse la totalité de l’opération. Ce tout ou rien peut sembler brutal ; il est le prix de l’harmonisation. Un régime destiné à valoir uniformément dans l’Union ne pouvait tolérer que chaque droit national vînt en corriger les effets par ses propres catégories de responsabilité — la protection annoncée au consommateur européen se fût dissoute dans autant de variantes qu’il existe d’ordres juridiques.

Il faut prendre garde à ne pas surinterpréter cette exclusivité. Elle vaut pour la question de savoir qui supporte la perte née de l’opération non autorisée ; elle ne prive pas le client de toute action pour des manquements distincts, dès lors qu’ils sont détachables de l’opération elle-même et qu’ils lui ont causé un dommage propre.

2. Le domaine résiduel de l’action contractuelle

C’est ici que la frontière se révèle décisive, car tout dépend d’une qualification préalable : l’opération était-elle, ou non, autorisée ? De la réponse dépend le régime tout entier, et la ligne de partage passe là où on ne l’attend pas toujours.

L’hypothèse de la fraude au dirigeant, examinée plus haut, en offre la démonstration la plus nette. Le virement ordonné par une personne effectivement habilitée à faire fonctionner le compte, mais abusée par un tiers usurpant l’identité d’un dirigeant ou d’un partenaire commercial, est une opération formellement autorisée : le consentement a bien été donné, dans la forme convenue, par qui avait le pouvoir de le donner. Que ce consentement ait été extorqué par un mensonge n’en efface pas l’existence au sens de l’article L. 133-7 — le vice affecte la volonté du donneur d’ordre, non l’imputabilité de l’instruction. Il en résulte que ces virements échappent aux articles L. 133-18 à L. 133-24 pour relever du droit commun de la responsabilité contractuelle, ainsi que la chambre commerciale l’a confirmé en novembre 2025.

Le renversement est complet, et il est cruel pour l’entreprise victime. La charge de la preuve, qui pesait sur le prestataire, revient au client ; le remboursement de plein droit cède la place à la démonstration d’une faute ; et cette faute ne peut résider dans l’exécution même de l’ordre, que le devoir de non-ingérence commandait au banquier d’exécuter. Elle ne peut consister que dans le défaut de détection d’une anomalie apparente — critère dont on a vu qu’il est rarement retenu par les juridictions, tant l’ordre falsifié par ingénierie sociale se présente sous les dehors d’une instruction ordinaire. Hors ce cas, l’action contractuelle subsiste pour d’autres manquements : l’inexécution de la demande de récupération des fonds, la carence dans le blocage d’un instrument après opposition, le défaut d’information ayant privé le client d’une chance de réagir.

3. La charge finale du risque entre prestataires

Le remboursement effectué, tout n’est pas dit. Le prestataire du payeur qui a recrédité le compte de son client a supporté une perte dont il n’est pas nécessairement l’auteur : la défaillance peut se loger chez le prestataire du bénéficiaire, qui a accepté d’ouvrir un compte à un fraudeur, négligé ses obligations de vigilance à l’entrée en relation, ou refusé l’authentification forte que le payeur avait mise en œuvre. Le régime légal, après avoir réglé les rapports entre l’établissement et son client, organise alors la circulation de la charge entre professionnels.

Le principe directeur est celui d’une responsabilité en chaîne, calquée sur celle que l’article L. 133-22 institue en matière de mauvaise exécution : chacun répond du segment qu’il maîtrise, et celui qui a indemnisé se retourne contre celui dont la carence est à l’origine du dommage. Ce recours n’est pas une faveur mais la contrepartie logique de l’imputation immédiate : si la loi a fait du prestataire du payeur le premier payeur du risque, c’est pour que le client soit désintéressé sans attendre l’élucidation des responsabilités — non pour que la perte demeure définitivement où le hasard de la relation de compte l’a placée.

Au terme de ce parcours, l’unité du régime apparaît. Le banquier du payeur est tenu d’un triptyque indissociable : vérifier l’authenticité et la régularité de chaque instruction, exécuter fidèlement et promptement le transfert ordonné, rendre compte de sa mission par une information complète. Les textes issus des directives sur les services de paiement ont profondément renforcé la protection de l’utilisateur en faisant peser sur le prestataire l’obligation de démontrer la régularité de chaque opération contestée et celle de rembourser immédiatement à défaut de cette preuve — tout en préservant, par la sanction de la négligence grave, l’incitation du titulaire à la vigilance. Cette architecture, désormais d’application exclusive, interdit toute combinaison avec les fondements du droit commun lorsque le litige porte sur une opération non autorisée. Il en résulte une répartition du risque qui n’est plus une question de faute mais de qualification : reste seulement à savoir, de part et d’autre de la frontière du consentement, dans quel régime l’on se trouve.