L’exécution des ordres de virement faux ou falsifiés

Nul contentieux bancaire ne met aussi crûment en tension les deux fonctions de l’établissement teneur de compte : celle du mandataire tenu d’exécuter les ordres reçus, et celle du dépositaire tenu de restituer les fonds confiés. Lorsque l’ordre exécuté est faux ou falsifié, cette tension se résout en une question d’imputation pure — du client trompé ou de la banque qui a payé, lequel supportera la perte définitive ?

I) §1: La qualification de l’ordre frauduleux

Le détournement de fonds par ordre de virement frauduleux nourrit aujourd’hui l’un des contentieux les plus denses du droit bancaire. La question qu’il pose est, en apparence, d’une simplicité désarmante : qui, du titulaire du compte débité ou de l’établissement qui a exécuté l’ordre, doit supporter la perte ? Encore faut-il, pour y répondre, savoir de quelle fraude l’on parle. Car sous l’unité du résultat — des fonds sortis d’un compte au profit d’un escroc — se dissimulent des situations juridiques hétérogènes, dont chacune commande un régime propre. L’ordre entièrement fabriqué par un faussaire, l’ordre régulièrement émis puis altéré dans ses coordonnées, l’ordre émis par le titulaire lui-même abusé par une mise en scène : ces trois figures n’engagent ni les mêmes qualifications, ni les mêmes fondements, ni la même répartition du risque.

Il faut donc commencer par là. Non par le régime, mais par la qualification qui le déclenche — car c’est elle, et elle seule, qui décide de tout ce qui suivra.

A) Les figures de l’ordre frauduleux

Les modes opératoires observés dans la pratique se laissent ramener à trois types, que distingue moins la technique employée que la place occupée par le titulaire du compte dans le processus frauduleux. Selon qu’il est resté totalement étranger à l’émission de l’ordre, qu’il l’a émis sans savoir qu’il serait altéré, ou qu’il l’a émis lui-même sous l’empire d’une tromperie, sa situation juridique diffère radicalement. Cette gradation dans l’implication du payeur constitue la clé de lecture de toute la matière.

1. L’ordre faux ab initio

La première figure est celle de l’ordre intégralement fabriqué : un tiers, dépourvu de tout pouvoir sur le compte, adresse à l’établissement teneur un ordre qu’il présente comme émanant du titulaire ou d’une personne habilitée. Faux document, signature contrefaite, usurpation de l’identité d’un mandataire social, accès frauduleux à l’espace de banque en ligne au moyen d’identifiants dérobés : peu importe le procédé, la structure demeure. À aucun moment le titulaire du compte n’est intervenu.

La conséquence en est décisive et mérite d’être aperçue dès ce stade, quitte à n’en développer le régime que plus loin : aucun mandat n’a été conféré au banquier. Le mandat est un contrat, il suppose un consentement ; un ordre émanant d’un faussaire n’exprime que la volonté du faussaire. L’établissement qui l’exécute n’agit donc pas comme mandataire du titulaire, faute de mandat, et ne saurait invoquer la qualité qu’il n’a jamais eue pour s’exonérer. Sa situation ne peut être appréciée qu’au regard des obligations qu’il tient de la seule détention des fonds — celles du dépositaire irrégulier.

La jurisprudence des cours d’appel avait, de longue date, tiré cette conséquence avec une netteté que le temps n’a pas émoussée, en jugeant indifférente l’absence de faute du banquier : celui-ci supporte la perte parce qu’il détenait les fonds, non parce qu’il aurait mal agi. Cette solution, éprouvée en matière de chèque faux, a ensuite été transposée au virement par la chambre commerciale au tournant des années deux mille, avant d’être réaffirmée à plusieurs reprises dans la décennie suivante. La formule retenue est constante : quand bien même aucun manquement professionnel ne serait imputable à l’établissement dans le traitement des ordres litigieux, cette seule circonstance ne peut le libérer de son obligation de ne restituer les fonds qu’au déposant ou à son représentant dûment habilité.

2. L’ordre régulier falsifié

La deuxième figure est plus subtile, et c’est elle qui a connu la mutation la plus profonde. Un ordre de virement est régulièrement émis par le titulaire du compte, ou par une personne qu’il a habilitée ; il est ensuite altéré par un tiers avant son exécution. L’altération porte le plus souvent sur les coordonnées du bénéficiaire : le fraudeur substitue à l’identifiant du créancier véritable celui d’un compte qu’il contrôle, généralement domicilié à l’étranger. Le montant, la date, la cause de l’opération demeurent inchangés. Seule la destination des fonds a basculé.

Le procédé se rencontre sous des formes variées. Il peut résulter de l’interception matérielle d’un document papier, dont les mentions sont grattées ou surchargées. Il procède plus souvent, aujourd’hui, de la captation d’une correspondance électronique : le fraudeur, installé dans la messagerie d’un fournisseur ou d’un client, intercepte une facture en transit et n’en modifie que le relevé d’identité bancaire, laissant intact tout le reste. Le comptable qui reçoit ce document n’a aucune raison de le suspecter — il l’attendait.

La difficulté juridique tient à ce qu’un mandat de payer a bel et bien existé. Le titulaire a voulu payer, il a voulu payer cette somme, et il a manifesté cette volonté. Sous l’analyse classique, cette circonstance suffisait à cantonner le débat sur le terrain du mandat : l’établissement n’était tenu qu’au titre de ses obligations de mandataire et ne pouvait être inquiété que sur la preuve d’un manquement concret — insuffisance des contrôles, inattention devant une anomalie décelable. La charge de cette preuve pesait sur le donneur d’ordre, qui se trouvait ainsi dans une position singulièrement défavorable : il lui revenait d’établir que le banquier aurait dû déceler une falsification que lui-même n’avait pas vue.

C’est cette analyse que la chambre commerciale a renversée par un arrêt du 1^er juin 2023, d’une portée considérable. La Cour n’a pas raisonné en termes de faute, mais en termes de consentement : dès lors que le payeur n’a pas consenti au bénéficiaire réellement crédité, l’opération exécutée n’est pas celle qu’il a autorisée. La falsification, fût-elle postérieure à l’émission, prive donc l’ordre de son caractère autorisé — et fait basculer le litige du droit du mandat vers le régime spécial des opérations de paiement non autorisées.

Le renversement est d’autant plus notable qu’il ne procède d’aucune loi nouvelle : il résulte d’une lecture plus exigeante de textes inchangés depuis 2009. C’est en cela que la solution mérite d’être qualifiée de revirement au sens propre — la Cour n’a pas appliqué une règle nouvelle, elle a reconnu que l’ancienne disait autre chose que ce qu’on lui avait fait dire.

3. L’ordre du mandataire infidèle

La troisième figure se distingue des deux précédentes en ce que l’ordre émane d’une personne réellement investie du pouvoir d’agir sur le compte. Le préposé titulaire d’une délégation de signature, le mandataire social, le comptable habilité à initier les virements de l’entreprise disposent d’un pouvoir authentique ; ils en usent à des fins étrangères à l’intérêt de leur mandant. Le détournement n’affecte alors ni l’existence de l’ordre, ni la régularité formelle de son émission, mais la seule finalité poursuivie par son auteur.

À l’égard du banquier, l’ordre est ici pleinement valable : il émane de celui à qui le pouvoir a été conféré, et la banque n’a ni qualité ni titre pour scruter les mobiles de l’habilité. Le principe de non-immixtion, sur lequel il faudra revenir, le lui interdit même. Le titulaire du compte ne peut donc, en règle, se retourner contre l’établissement : sa perte trouve sa source dans le choix qu’il a fait d’un mandataire indigne, non dans une défaillance bancaire. Son recours est dirigé contre l’infidèle, sur le terrain contractuel de la reddition de comptes comme sur le terrain pénal de l’abus de confiance.

Une variante mérite d’être isolée, car elle occupe une place à part dans le contentieux contemporain : la fraude dite « au Président ». Le procédé repose sur l’ingénierie sociale appliquée aux structures décisionnelles de l’entreprise. Le fraudeur, préalablement documenté sur l’organigramme, les usages et parfois le calendrier de la société ciblée, contacte le service comptable en se présentant comme un dirigeant ou un interlocuteur de confiance, et fait ordonner un virement — souvent d’un montant considérable — vers un compte étranger, en invoquant une opération confidentielle et urgente. La ruse tient tout entière dans le décor : elle emprunte les canaux internes ordinaires de l’entreprise.

La particularité juridique de ce mécanisme est capitale : c’est le donneur d’ordre lui-même, ou son préposé habilité, qui procède au virement. Il s’agit donc, au sens du Code monétaire et financier, d’une opération autorisée — dont le consentement a été vicié par la tromperie, mais qui n’en demeure pas moins une opération voulue par une personne ayant le pouvoir de la vouloir. Le vice affecte la formation de la volonté ; il n’en affecte pas l’existence. Cette distinction, qui paraîtra byzantine au profane, décide pourtant du sort du litige : le régime protecteur des opérations non autorisées ne s’applique pas, et la victime ne peut rechercher son établissement que sur le terrain du droit commun, en démontrant un manquement au devoir de vigilance devant une anomalie apparente. C’est ce qu’a confirmé la chambre commerciale au cours de l’année 2025, à deux reprises.

Deux autres techniques doivent enfin être décrites, car elles alimentent aujourd’hui l’essentiel du contentieux des particuliers et occupent, dans l’échelle des qualifications, une position instable qu’il faudra examiner en détail.

Leur différence n’est pas de degré mais de nature, et elle tient au rôle assigné à la victime. Dans l’hameçonnage, le fraudeur capte des identifiants puis ordonne lui-même les virements : la victime n’a jamais émis d’ordre, l’opération est non autorisée, et l’on retrouve la première figure. Dans l’usurpation de numéro d’appel, la victime est amenée à valider elle-même les opérations sur son application bancaire, croyant les neutraliser : elle a manipulé l’instrument, mais pour une opération dont elle ignorait tout du contenu réel. La qualification y est donc variable, et c’est précisément cette instabilité qui explique l’abondance du contentieux.

B) L’absence de consentement du payeur

Ces figures une fois distinguées, il reste à identifier le critère qui commande leur régime. Il n’est ni dans la technique de la fraude, ni dans le préjudice subi, ni même dans la faute du banquier : il est dans le consentement du payeur. Toute l’architecture du droit des paiements repose sur cette notion, dont le Code monétaire et financier fait la clé de voûte de la répartition des risques.

Le texte est laconique : il pose l’équivalence entre autorisation et consentement, sans dire sur quoi ce consentement doit porter. C’est ce silence que la jurisprudence a comblé, par touches successives, en dégageant les objets sur lesquels la volonté du payeur doit s’être fixée pour que l’opération puisse être tenue pour autorisée.

1. Le consentement à l’opération

Le premier objet du consentement est l’opération elle-même, entendue comme le mouvement de fonds dans son principe et dans sa mesure. Le payeur doit avoir voulu qu’un transfert soit opéré, et l’avoir voulu à hauteur d’un certain montant. Cette exigence, qui semble aller de soi, a dû être affirmée : la chambre commerciale a jugé, en novembre 2022, qu’une opération de paiement n’est réputée autorisée que si le payeur a également consenti au montant de l’opération.

La solution éclaire la première figure d’un jour nouveau. Lorsque l’ordre est faux ab initio, le défaut de consentement est total : le payeur n’a voulu ni le transfert, ni son montant, ni rien de ce qui l’entoure. Il n’est pas besoin d’analyser finement l’objet du consentement — il est absent tout entier. La qualification d’opération non autorisée s’impose alors sans discussion possible.

2. Le consentement au bénéficiaire

Le second objet du consentement est le bénéficiaire, et c’est en cela que réside l’apport majeur de l’arrêt du 1^er juin 2023. Payer, ce n’est pas seulement se dessaisir d’une somme : c’est se dessaisir au profit de quelqu’un. La volonté du payeur porte indissociablement sur ces deux éléments, et l’accord donné à l’un ne vaut pas accord à l’autre. Un ordre exécuté au profit d’un destinataire que le payeur n’a jamais voulu créditer n’est pas l’exécution imparfaite de sa volonté : c’est l’exécution d’une volonté qui n’est pas la sienne.

La lecture combinée de ce texte et de l’article L. 133-6 fonde l’exigence : l’opération de paiement se définit par la relation qu’elle établit entre un payeur et un bénéficiaire déterminé ; le consentement, qui porte sur l’opération, porte donc nécessairement sur cette relation dans les deux termes qui la composent. La falsification des coordonnées du destinataire, en substituant un terme à l’autre, ne dégrade pas l’opération voulue : elle en fabrique une autre.

Cette analyse doit être conciliée avec une règle qui paraît la contredire, celle de l’identifiant unique. L’article L. 133-21 du Code monétaire et financier répute dûment exécuté, quant au bénéficiaire, l’ordre exécuté conformément à l’identifiant fourni par l’utilisateur, et décharge le prestataire lorsque cet identifiant est inexact. On pourrait croire la banque à l’abri dès lors qu’elle a viré vers le relevé d’identité bancaire qu’on lui a transmis. Il n’en est rien, et l’articulation des deux textes est claire : l’article L. 133-21 régit la mauvaise exécution d’un ordre autorisé, non l’exécution d’un ordre qui ne l’était pas. Il présuppose une opération autorisée dont l’identifiant se révèle erroné ; il ne saurait valider une opération dont le vice tient précisément à ce que le payeur n’a pas consenti au destinataire réel. Confondre les deux reviendrait à faire d’une règle de répartition des erreurs matérielles un instrument de validation de la fraude.

3. Le consentement extorqué

Reste l’hypothèse la plus délicate, celle où le payeur a bien consenti — mais sous l’empire d’une tromperie. Il a voulu l’opération, il en a voulu le montant, il a même voulu ce bénéficiaire ; simplement, sa volonté a été façonnée par la mise en scène du fraudeur. C’est le domaine de la fraude au Président et, pour partie, celui de l’usurpation de numéro d’appel.

La tentation est grande d’assimiler le consentement extorqué au consentement absent : n’est-ce pas, dans les deux cas, la fraude qui a produit le mouvement de fonds ? La réponse du droit positif est négative, et elle repose sur une distinction rigoureuse. Le régime des articles L. 133-18 et suivants ne connaît que l’alternative binaire de l’opération autorisée et de l’opération non autorisée ; il ignore la catégorie du consentement vicié, qui relève du droit des obligations et se sanctionne par la nullité de l’acte, non par le remboursement du paiement. Or nul ne songe à demander la nullité d’un virement exécuté : les fonds sont partis, et c’est leur restitution que l’on veut.

La ligne de partage se trace donc ainsi : est autorisée l’opération que le payeur a voulue, quels que soient les ressorts psychologiques de cette volonté ; est non autorisée celle qu’il n’a pas voulue, quelle qu’ait été sa diligence. La qualité de la volonté est indifférente ; seule compte son existence, appréciée sur les objets que la jurisprudence a identifiés.

Cette rigueur n’abandonne pas pour autant la victime d’une manipulation. Elle la renvoie simplement au droit commun de la responsabilité, où elle devra établir un manquement de son établissement au devoir de vigilance — la banque ayant exécuté sans réagir un virement présentant une anomalie apparente. Le contentieux se déplace, il ne disparaît pas ; mais il change de charge probatoire, et cela suffit à en modifier l’issue dans un grand nombre de cas.

Encore faut-il ajouter que l’usurpation de numéro d’appel résiste à ce classement. La victime qui valide sur son téléphone une opération qu’on lui présente comme l’annulation d’une fraude n’a pas voulu le virement : elle a voulu l’empêcher. Elle a manipulé l’instrument d’authentification, non consenti à l’opération authentifiée. La chambre commerciale l’a jugé en juin 2025, écartant la négligence grave d’une société dont la salariée avait agi à la demande d’un prétendu technicien de la banque dont le numéro avait été usurpé.

C) La ligne de partage des qualifications

De ce qui précède se dégage une summa divisio, dont il faut mesurer la portée exacte : elle ne se contente pas de classer les situations, elle détermine le corps de règles applicable, la charge de la preuve, et par voie de conséquence l’issue économique du litige.

1. L’opération autorisée

Est autorisée l’opération à laquelle le payeur a consenti, dans son principe, dans son montant et dans son bénéficiaire. La catégorie couvre l’ordre régulier ordinaire, mais aussi — et c’est là que le classement devient contre-intuitif — l’ordre émis par le titulaire abusé, ainsi que l’ordre du mandataire infidèle, régulier à l’égard du banquier bien qu’illégitime à l’égard du mandant.

Dans cette catégorie, l’établissement a exécuté ce qui lui était demandé. Il a rempli son mandat. Le titulaire du compte ne peut donc lui reprocher l’exécution elle-même : il ne peut lui reprocher, le cas échéant, que de n’avoir pas décelé ce qu’un professionnel avisé aurait aperçu. Le fondement est celui de la responsabilité pour faute prouvée, la charge de la preuve pèse sur le client, et le principe de non-immixtion oppose au demandeur une résistance sérieuse.

2. L’opération non autorisée

Est non autorisée l’opération à laquelle le consentement du payeur fait défaut sur l’un quelconque de ses objets. La catégorie réunit l’ordre faux ab initio, l’ordre falsifié dans les coordonnées du bénéficiaire depuis 2023, et le virement ordonné par le fraudeur au moyen d’identifiants captés par hameçonnage.

Ici, l’établissement n’a pas exécuté ce que son client lui demandait : il a exécuté autre chose. Le raisonnement ne passe plus par la faute, mais par l’obligation de restituer — celle du dépositaire, en droit commun, celle du prestataire de services de paiement, dans le régime spécial. Le remboursement est dû par principe, et c’est à l’établissement qu’il revient de s’en exonérer en établissant la fraude ou la négligence grave de son client.

3. L’incidence sur le régime applicable

La conséquence de cette division dépasse la simple élégance taxinomique : elle décide de qui perd. Dans l’opération autorisée, le titulaire supporte la perte à moins qu’il n’établisse une faute de son banquier ; dans l’opération non autorisée, l’établissement supporte la perte à moins qu’il n’établisse une faute qualifiée de son client. Le renversement de la charge probatoire n’est pas un aménagement technique — c’est, dans un contentieux où la preuve est presque toujours difficile à rapporter, ce qui détermine l’issue.

Il faut souligner, avant d’aborder les régimes eux-mêmes, que cette division ne recouvre pas exactement celle du droit commun et du droit spécial. Le droit commun de la restitution, fondé sur les articles 1342-2 et 1937 du Code civil, conserve son domaine pour les opérations qui échappent au champ des services de paiement, et l’analyse en termes de dépôt irrégulier demeure le socle théorique sur lequel s’est bâtie la sévérité à l’égard du banquier payeur. Le régime spécial du Code monétaire et financier vient s’y superposer, avec ses délais propres, sa charge de la preuve organisée et ses causes d’exclusion limitativement énumérées. C’est l’articulation de ces deux corps de règles, et les recours qu’ils ménagent à l’établissement qui a dû restituer, qu’il convient maintenant d’examiner.

II) §2: Le régime de droit commun de la restitution

Une fois l’ordre qualifié, reste à savoir qui en supporte le poids. La distinction entre l’opération autorisée et celle qui ne l’est pas commande le régime applicable, mais elle ne dit encore rien de la mécanique par laquelle les fonds détournés reviennent, ou ne reviennent pas, au titulaire du compte. Cette mécanique, le droit spécial des services de paiement ne l’a pas inventée : il l’a recouverte. Avant que les directives européennes n’imposent leur grille, la jurisprudence avait construit, à partir des seules catégories du Code civil, un régime d’une remarquable fermeté — et ce régime n’a pas disparu. Il continue de gouverner ce que le droit spécial n’atteint pas, il explique pourquoi la protection légale a la physionomie qu’on lui connaît, et il fournit au juge, lorsque le texte se tait, la ressource conceptuelle dont il a besoin. Au vrai, on ne comprend l’article L. 133-18 du Code monétaire et financier qu’en ayant d’abord compris l’article 1937 du Code civil.

Ce régime classique repose tout entier sur une prémisse : le banquier teneur de compte n’intervient pas à un seul titre mais à deux, et ces deux titres n’engendrent pas les mêmes obligations. C’est de cette dualité que découlent l’obligation de restituer et, en contrepoint, les recours dont le banquier dispose contre ceux qui ont profité de la fraude ou l’ont commise.

A) La double qualité du banquier

Le compte de dépôt met le banquier dans une position singulière, que le droit des contrats spéciaux peine à ramener à une figure unique. L’établissement reçoit des fonds et les conserve : le voilà dépositaire. Il exécute les instructions de son client et paie pour lui : le voilà mandataire. Ces deux qualités coexistent, se superposent même, et la difficulté commence lorsqu’il faut décider laquelle commande la solution. Or ce choix n’a rien d’académique — il décide de la charge des pertes.

1. Le mandat de payer

L’ordre de virement est une instruction : le titulaire du compte enjoint à son banquier de transférer une somme déterminée au profit d’une personne désignée. En droit commun, cette instruction s’analyse en un mandat de payer, dont le banquier est le mandataire et le donneur d’ordre le mandant. Le régime qui en découle est celui de l’obligation de moyens : le mandataire doit exécuter la mission reçue avec la diligence attendue d’un professionnel, mais il n’est pas garant du résultat. Sa responsabilité suppose donc qu’un manquement lui soit imputé — un contrôle omis, une vérification bâclée, une anomalie décelable et pourtant ignorée.

Encore faut-il qu’un mandat existe. C’est ici que la distinction opère toute sa force. Lorsque l’ordre a été régulièrement émis par le titulaire du compte et n’a été falsifié qu’ensuite, un mandat de payer a bien été conféré : le banquier agit en vertu d’un pouvoir réel, fût-il dévoyé dans son exécution. Sous l’empire du droit antérieur, le donneur d’ordre ne pouvait alors l’inquiéter qu’en établissant sa faute — l’insuffisance du contrôle exercé sur le document falsifié, l’inattention devant une surcharge visible, la légèreté devant un changement soudain de coordonnées bancaires. La charge de la preuve pesait sur la victime, ce qui la plaçait dans une position peu enviable : comment démontrer qu’un professionnel a mal regardé, lorsqu’on n’a accès ni à ses procédures ni à ses écrans ? Les décisions du fond en portaient témoignage, qui admettaient la responsabilité du teneur de compte lorsque la falsification était grossière et l’écartaient lorsqu’elle ne l’était pas.

Lorsque, en revanche, l’ordre émane d’un tiers dépourvu de tout pouvoir sur le compte, aucun mandat n’a jamais existé. Le banquier a cru en recevoir un ; il n’en a reçu aucun. La qualité de mandataire lui fait alors défaut, et avec elle le confort du régime de la faute prouvée. Il ne reste plus qu’à l’apprécier dans l’autre qualité qui est la sienne, celle de dépositaire — et cette qualité-là est autrement exigeante.

2. Le dépôt irrégulier des fonds

Les fonds inscrits en compte ne sont pas conservés comme le serait un objet confié à un garde-meuble. La monnaie scripturale est fongible : le banquier ne restitue pas les billets reçus, il restitue une somme équivalente, ayant entre-temps librement disposé des fonds pour les besoins de son activité. Le dépôt est donc irrégulier, au sens que le droit civil donne à ce terme, et son trait décisif tient au transfert de propriété qu’il emporte : les sommes portées au crédit d’un compte deviennent la propriété de l’établissement, le déposant ne conservant contre lui qu’une créance de restitution.

De ce transfert de propriété découlent deux conséquences que la jurisprudence a exploitées avec rigueur. La première tient à la charge des risques : la chose périt pour son propriétaire, et le propriétaire des fonds, c’est le banquier. Que les sommes s’évanouissent entre les mains d’un faussaire ne modifie en rien l’étendue de sa dette envers le déposant, laquelle demeure entière. La perte est la sienne parce que la propriété était la sienne. On aperçoit ici toute la portée de l’analyse : le débat ne porte plus sur ce que le banquier a bien ou mal fait, mais sur ce qu’il doit — et il doit une somme, indépendamment du sort de celle qu’il a laissé partir.

La seconde conséquence tient à la personne du destinataire. Le dépositaire n’est pas quitte pour avoir payé n’importe qui : il n’est libéré que s’il a remis les fonds à celui qui les lui a confiés, à celui pour le compte de qui le dépôt a été fait, ou à celui que le déposant a expressément désigné pour les recevoir. La règle du paiement libératoire dit exactement la même chose, sous une autre plume.

Ces deux textes se rejoignent en un point : le paiement n’est libératoire que s’il parvient à qui de droit. Le faussaire n’est ni le déposant, ni son représentant, ni la personne indiquée pour recevoir : le banquier qui s’est dessaisi entre ses mains n’a pas payé, il s’est appauvri. La nuance est capitale, car elle explique que la restitution ne soit pas une réparation. Le banquier ne répare pas un dommage qu’il aurait causé ; il exécute une obligation qu’il n’a jamais éteinte.

B) L’obligation de restituer les fonds

Cette analyse produit un résultat d’une grande netteté : le compte doit être rétabli dans l’état où il se serait trouvé si l’ordre frauduleux n’avait pas été exécuté. Il reste à préciser ce que cette obligation recouvre exactement, à quel moment elle s’exécute, et pourquoi la conduite du banquier y est en principe étrangère.

1. L’effet libératoire écarté

Le débit passé au compte du client n’est que l’écriture par laquelle le banquier constate qu’il s’est acquitté de sa dette de restitution à hauteur du montant transféré. Encore faut-il que cette dette ait effectivement été éteinte. Or elle ne l’est pas lorsque les fonds sont parvenus à un tiers non habilité : l’écriture est alors privée de cause, et elle doit être effacée. C’est en cela que le débat sur l’effet libératoire est décisif — il ne s’agit pas de savoir si le banquier est fautif, mais si l’inscription au débit repose sur un paiement valable.

La chambre commerciale a transposé au virement, au tournant des années deux mille, le régime qu’elle appliquait de longue date au chèque faux, en jugeant que le banquier ayant exécuté un ordre émanant d’un tiers non habilité ne pouvait opposer ce paiement à son client. Elle a réaffirmé cette position à plusieurs reprises au cours de la décennie suivante, avec une constance qui interdit d’y voir une solution d’espèce. Les juridictions du fond en avaient d’ailleurs posé les jalons bien avant, dans une série de décisions qui, dès le milieu des années soixante-dix, faisaient peser sur l’établissement le poids intégral de l’opération irrégulière.

Il faut mesurer combien cette solution s’écarte de l’intuition commune. Le banquier a pu déployer tous les contrôles imaginables ; il a pu être trompé par un faux d’une perfection telle qu’aucune vigilance humaine n’en serait venue à bout ; peu importe. Sa dette envers le déposant n’a pas été payée, et rien ne l’éteint. On objectera que la sévérité confine à l’injustice ; l’objection tombe dès lors qu’on se souvient que le banquier dispose de recours, et que le risque de fraude est précisément l’un de ceux que la profession assume et mutualise.

2. Le recrédit du compte débité

L’obligation ainsi caractérisée appelle une exécution, et cette exécution prend la forme la plus simple qui soit : la contre-passation de l’écriture, c’est-à-dire le rétablissement de la somme au crédit du compte. Le client doit retrouver son solde tel qu’il aurait été. Cela suppose que le recrédit porte non seulement sur le montant détourné, mais aussi sur les frais et les intérêts débiteurs que le débit indu a pu engendrer — sans quoi le rétablissement resterait incomplet, et le client supporterait encore une part de la fraude.

Surtout, cette restitution ne souffre aucun délai d’attente. Le banquier ne saurait subordonner le recrédit à l’issue d’une instance en responsabilité, ni à l’aboutissement des recherches qu’il entend mener contre le fraudeur ou le bénéficiaire. Une jurisprudence ancienne du fond, rendue au sortir de la seconde guerre, tenait déjà pour abusive l’attitude de l’établissement qui retenait les fonds dans l’attente d’une décision de justice — et l’ancienneté de la solution n’en atténue pas la pertinence, tant elle exprime une évidence : celui qui doit une somme ne peut se faire juge de sa propre dette. Le droit spécial des services de paiement n’a fait, sur ce point, que fixer un calendrier à une exigence que le droit commun formulait déjà.

Reste que la restitution laisse parfois subsister un préjudice distinct. L’entreprise privée de sa trésorerie pendant plusieurs semaines, l’engagement manqué faute de provision, la ligne de crédit sollicitée en urgence : autant de dommages que le recrédit, à lui seul, ne répare pas. Ces chefs relèvent d’une action en responsabilité de droit commun, qui suppose alors la démonstration d’une faute — le retard fautif dans l’exécution de l’obligation de restituer, le plus souvent.

3. L’indifférence de la faute du banquier

Le trait le plus remarquable de ce régime tient à ce qu’il fait l’économie de toute appréciation du comportement de l’établissement. Il ne s’agit pas d’une présomption de faute, que le banquier pourrait renverser en établissant sa diligence ; il s’agit d’une obligation qui ignore la faute. La distinction n’est pas verbale : une présomption se combat, une obligation de restitution ne se combat qu’en prouvant qu’elle a été exécutée.

La chambre commerciale l’a dit dans les termes les plus explicites, en jugeant que l’absence de manquement professionnel imputable à l’établissement dans le traitement des ordres litigieux ne le libère pas de son obligation de ne restituer les fonds qu’au déposant ou à son mandataire habilité. Le banquier irréprochable doit comme le banquier négligent. La différence entre eux se joue ailleurs — dans le sort des recours, et dans l’appréciation du comportement du client.

Car cette indifférence n’est pas absolue, et il serait trompeur de la présenter comme telle. Elle vise la faute du banquier, non celle du titulaire du compte. De longue date, les juges admettent que l’imprudence du déposant, lorsqu’elle a rendu la fraude possible, réduise à due proportion son droit à restitution intégrale, voire l’anéantisse. Le fondement en est le droit commun de la responsabilité contractuelle : la victime qui a concouru à son propre dommage n’en obtient pas la réparation entière. Les comportements en cause sont d’une grande banalité — la communication imprudente au faussaire du numéro de compte ou de l’état du solde, la remise d’un spécimen de signature, l’abandon de relevés d’identité bancaire ou de relevés de compte à la portée de qui les convoite, le défaut de surveillance des mouvements du compte qui a laissé les détournements se répéter des mois durant. Lorsque la fraude est l’œuvre d’un salarié du titulaire, celui-ci en répond au surplus comme commettant du fait de son préposé, sauf à établir un manquement concurrent de l’établissement de nature à en atténuer la part.

Cette exception de faute du client a survécu au droit spécial, où elle a pris une forme plus exigeante et mieux bornée. Le Code monétaire et financier ne se contente plus d’une imprudence : il requiert la fraude ou la négligence grave, c’est-à-dire un comportement dont la gravité dénote une indifférence caractérisée aux obligations élémentaires de sécurité. On y reviendra, la matière méritant des développements propres. Qu’il suffise ici d’observer que le seuil légal se situe très au-dessus de la simple imprudence, et que les décisions retenant l’imprudence caractérisée du payeur en matière de virement demeurent rares — la transmission délibérée à une assistante comptable, sans le moindre encadrement, d’un code confidentiel permettant d’ordonner seule des virements depuis l’interface bancaire du client compte parmi les hypothèses où elle a été admise.

On mesure, à lire ce texte, tout ce qu’il doit au régime classique : le rétablissement du compte dans son état antérieur n’est rien d’autre que l’obligation de restitution du dépositaire, assortie d’un délai. Le droit spécial n’a pas renversé le droit commun ; il l’a discipliné.

C) Les recours du banquier payeur

Que le banquier doive restituer ne signifie pas qu’il doive supporter définitivement la perte. Il l’avance, ce qui est tout autre chose. Ayant payé une somme qu’il ne devait pas à celui qui l’a reçue, il dispose contre lui, et contre l’auteur de la fraude, d’actions qui déplacent la charge finale du détournement vers ceux qui l’ont provoqué ou en ont profité. La solidité de ces recours est la contrepartie de la rigueur de l’obligation : c’est parce qu’ils existent que la sévérité du régime ne confine pas à l’arbitraire.

1. La répétition de l’indu

Le fondement premier du recours réside dans la répétition de l’indu. Le banquier a versé des fonds sans y être tenu, puisque aucun ordre valable ne l’obligeait envers le destinataire : il a payé ce qu’il ne devait pas, et celui qui a reçu sans droit doit rendre. L’action appartient à celui qui a effectué le paiement — le banquier, non son client, lequel n’a rien payé du tout. C’est là une conséquence directe de l’analyse par le dépôt irrégulier : les fonds sortis étaient la propriété de l’établissement, et c’est lui qui s’est appauvri.

L’étendue de la restitution varie selon la conscience du destinataire. Celui qui a reçu de bonne foi ne rend, en principe, que ce qui subsiste entre ses mains et n’est tenu des fruits qu’à compter de la demande ; celui qui a reçu de mauvaise foi doit la somme entière, augmentée des intérêts depuis le jour du paiement. En matière de fraude au virement, la distinction est moins théorique qu’il n’y paraît : le bénéficiaire est tantôt le complice du faussaire, tantôt un tiers dont le compte a servi de relais à son insu, tantôt encore un fournisseur authentique dont les coordonnées ont été usurpées et qui n’a rien reçu du tout.

2. L’action contre le bénéficiaire

Encore faut-il pouvoir atteindre le bénéficiaire, et c’est ici que la pratique oppose ses résistances. Les fonds détournés transitent rarement par un compte identifiable et disponible : ils sont virés vers un compte de passage, souvent ouvert sous une fausse identité, puis dispersés en quelques heures vers l’étranger ou convertis en actifs difficilement saisissables. L’action existe en droit ; elle se heurte à un débiteur introuvable ou insolvable.

D’où l’importance pratique de la voie que représente le prestataire du bénéficiaire, dont il est tentant d’attendre qu’il annule l’écriture par laquelle il a crédité son propre client. La Cour de cassation a fermement borné cette tentation.

La solution mérite l’approbation. Admettre la contre-passation unilatérale reviendrait à faire du teneur de compte le juge de la fraude et à priver le bénéficiaire, fût-il de mauvaise foi, de toute contradiction. Elle emporte une conséquence pratique lourde : c’est bien une action judiciaire qu’il faut engager, avec les délais et les aléas qui s’y attachent, et l’urgence commande alors d’user des mesures conservatoires plutôt que d’attendre.

Une réserve doit être faite, qui concerne l’identifiant unique. Lorsque l’ordre a été exécuté conformément aux coordonnées fournies par le client, le prestataire est réputé l’avoir dûment exécuté quant au bénéficiaire désigné, et l’inexactitude de l’identifiant ne lui est pas imputable — le texte lui imposant seulement de s’efforcer de récupérer les fonds. Cette règle, souvent invoquée en défense, ne couvre cependant pas l’hypothèse de la falsification : elle suppose que l’identifiant émane de l’utilisateur, et non qu’il ait été substitué à son insu.

3. L’action contre l’auteur de la fraude

Contre le faussaire lui-même, le fondement est celui de la responsabilité délictuelle : la falsification d’un ordre, l’usurpation d’identité, la manœuvre destinée à provoquer un transfert de fonds constituent autant de fautes dont l’auteur doit réparation à celui qui en a supporté le poids. L’action civile se greffe le plus souvent sur la poursuite pénale, l’escroquerie et le faux offrant à la victime la ressource de l’instruction pour identifier ce que ses propres moyens ne lui permettraient pas d’établir.

Ce recours, cependant, n’a d’utilité que si le fraudeur est retrouvé et solvable, ce qui décrit une minorité de cas. L’organisation même de la fraude au virement — comptes de passage, relais internationaux, dispersion rapide — est conçue pour rendre ce recours illusoire. Il faut en tirer la conclusion qui s’impose : la répartition des pertes se joue en réalité entre le banquier et son client, le fraudeur étant, pour l’ordinaire, insolvable ou hors d’atteinte. C’est ce constat qui donne son enjeu véritable aux règles de charge de la preuve du droit spécial, sur lesquelles tout se décide.

Une dernière hypothèse doit être réservée, celle du préposé infidèle. Lorsque le détournement est l’œuvre d’un salarié du titulaire du compte, l’action de l’établissement peut se doubler d’une action contre l’employeur, tenu comme commettant des fautes commises par son préposé dans l’exercice de ses fonctions. La configuration s’inverse alors : c’est le client qui doit démontrer un manquement de son banquier pour échapper à la charge finale, et l’on retrouve la question des anomalies apparentes que la répétition des mouvements irréguliers aurait dû faire apercevoir.

Ainsi se dessine l’économie du régime classique. Le banquier restitue parce qu’il n’a pas payé ; il se retourne parce qu’il a payé sans devoir. Entre ces deux propositions, toute la construction tient. Elle a montré ses vertus — la fermeté de la protection, l’indifférence à des preuves impossibles à rapporter — et ses limites, tenant à ce qu’elle ne s’appliquait de plein droit qu’à l’ordre faux ab initio, laissant l’ordre falsifié dans le régime moins favorable de la faute prouvée. C’est cette dissymétrie que le droit issu des directives sur les services de paiement est venu réduire, en unifiant le traitement des opérations non autorisées quel que soit l’instrument employé.

III) §3: Le régime spécial des services de paiement

Les développements qui précèdent décrivent un édifice bâti par la jurisprudence à partir des catégories du droit civil : le mandat, le dépôt, la répétition de l’indu. Cet édifice n’a pas disparu, mais il est aujourd’hui recouvert par un corps de règles d’origine européenne qui, pour l’essentiel des virements de la vie courante, en commande seul la solution. Les ordonnances n° 2009-866 du 15 juillet 2009 et n° 2017-1252 du 9 août 2017, transposant successivement les deux directives sur les services de paiement, ont reconfiguré de fond en comble l’architecture de la responsabilité en matière d’opérations non autorisées. Le déplacement est double : le fondement change — on quitte le contrat pour un statut légal impératif —, et la charge du risque change avec lui, puisque le prestataire doit désormais rembourser d’abord et discuter ensuite.

A) L’unification du droit des paiements

Le trait le plus saillant de la réforme tient à son ambition unificatrice. Là où le droit antérieur traitait chaque instrument selon sa physionomie propre — la carte bancaire suivant son régime protecteur, le chèque le sien, le virement demeurant abandonné au droit commun des obligations —, le législateur européen a posé une catégorie unique, l’opération de paiement, à laquelle il attache un régime unique. La neutralité à l’égard du support devient le principe directeur : peu importe que les fonds circulent par une carte à puce, un prélèvement ou un ordre scriptural transmis depuis une interface en ligne, la protection due au payeur est la même.

1. Le champ de l’opération de paiement

La définition légale frappe par son abstraction assumée : elle ne retient que le mouvement de fonds, à l’exclusion de toute considération tirée de la cause qui le commande.

L’indifférence à l’obligation sous-jacente n’est pas une commodité de rédaction : elle est la clef de voûte du système. Le prestataire n’a pas à connaître la dette que le virement acquitte, ni même à savoir s’il en existe une ; il n’exécute qu’un transfert. C’est cette abstraction qui permet au régime d’embrasser d’un même trait le virement d’un particulier vers son bailleur et le règlement d’un fournisseur par une société commerciale. Encore faut-il que l’opération entre dans le champ personnel et territorial du dispositif, lequel a été considérablement élargi en 2017 : le régime s’applique désormais quelle que soit la devise et alors même que l’un des prestataires est établi hors de l’Espace économique européen, la protection étant alors limitée à la portion de l’opération réalisée dans l’Union.

Cette généralisation n’a pas été sans coût. Un corpus pensé pour des instruments matériels, susceptibles d’être perdus ou dérobés, se transpose malaisément à un ordre dématérialisé qui n’a pas de support préhensible. La franchise de cinquante euros mise à la charge du payeur en cas de perte ou de vol de l’instrument en offre l’illustration la plus nette : elle n’a guère de sens pour un virement, dont nul ne saurait soustraire le support. Une lecture propose d’y voir un dispositif au sens de l’article L. 133-4, c, du Code monétaire et financier, et d’appliquer la franchise ; une autre, plus convaincante, retient la qualification de détournement des données liées à l’instrument, hypothèse pour laquelle le texte ouvre au payeur un remboursement intégral. La seconde analyse doit être préférée, car elle épouse la réalité du procédé : celui qui capte à distance les identifiants de connexion d’un titulaire ne lui soustrait rien de matériel, il usurpe une identité numérique. Aussi bien, lorsque les éléments de sécurité personnalisés ont été détournés à l’insu du payeur — ce qui est la définition même de l’hameçonnage —, l’exonération totale s’impose.

2. L’articulation avec le droit commun

Reste à savoir ce qu’il advient des solutions civilistes exposées plus haut. Elles ne sont pas abrogées : elles sont refoulées dans le domaine résiduel que le régime spécial laisse subsister. Le principe est celui de la spécialité — specialia generalibus derogant —, de sorte que, dès lors qu’une opération de paiement au sens de l’article L. 133-3 est en cause, les articles L. 133-18 et suivants absorbent la question du remboursement et en excluent le traitement par le seul jeu des articles 1937 et 1342-2 du Code civil.

Ce refoulement n’est toutefois ni total ni définitif. Le droit commun conserve trois terrains. D’abord, celui des opérations exclues du champ, au premier rang desquelles le chèque, demeuré étranger à l’harmonisation européenne et toujours régi par la jurisprudence du dépositaire irrégulier. Ensuite, celui des questions que le régime spécial ne tranche pas : la restitution obtenue du prestataire ne dit rien des recours de celui-ci contre le bénéficiaire enrichi ou contre l’auteur de la fraude, qui continuent d’emprunter les voies de la répétition de l’indu et de la responsabilité délictuelle. Enfin, celui de l’indemnisation qui excède le remboursement, sur lequel on reviendra.

Au vrai, l’articulation la plus délicate se noue autour du fondement même de l’obligation de rembourser. On a vu que le banquier qui exécute un ordre faux ne paie pas parce qu’il a fauté, mais parce qu’il n’a jamais été libéré de sa dette de restitution. Le régime spécial ne dit pas autre chose, et c’est en cela que la continuité entre les deux corps de règles est plus profonde qu’il n’y paraît : l’un et l’autre rattachent la charge du risque à la qualité du prestataire, non à son comportement. La différence tient au rythme et à la preuve, non au principe.

3. Le caractère impératif du régime

Un régime protecteur que les parties pourraient écarter d’un trait de plume dans les conditions générales ne protégerait personne. Aussi le législateur a-t-il verrouillé l’essentiel du dispositif, en le rendant indisponible lorsque le payeur est une personne physique agissant pour des besoins non professionnels. Les clauses limitatives ou élusives de responsabilité que les banques insèrent volontiers dans leurs conventions de compte peuvent bien y figurer : elles sont inopposables au consommateur, que l’article L. 133-22 du Code monétaire et financier place sous un régime de responsabilité du prestataire à l’égard de la bonne exécution de l’opération qui ne se discute pas.

La symétrie est rompue lorsque l’utilisateur est un professionnel ou une personne morale. Le législateur a alors ouvert la porte à la liberté contractuelle, permettant d’écarter par convention un nombre significatif de dispositions — dont le délai de contestation, sur lequel on reviendra. Ce dualisme se justifie moins par une différence de vulnérabilité que par la faculté reconnue au professionnel de négocier le prix de sa protection ; il n’en demeure pas moins que l’entreprise victime d’une fraude au virement découvre souvent, à cette occasion, l’étendue exacte de ce qu’elle avait accepté.

Une réserve mérite d’être faite sur l’identifiant unique. L’article L. 133-21 du Code monétaire et financier répute dûment exécuté l’ordre conforme à l’IBAN fourni par l’utilisateur, et décharge le prestataire lorsque cet identifiant est inexact — fût-il accompagné d’informations complémentaires qui le contredisent, comme un nom de bénéficiaire divergent.

La portée de ce texte doit être exactement mesurée, car il est fréquemment invoqué à contretemps. Il régit la mauvaise exécution d’un ordre autorisé, non l’exécution d’un ordre qui ne l’était pas. Lorsque le titulaire a lui-même saisi un IBAN erroné — parce qu’il a été trompé par une fausse facture, par exemple —, l’ordre demeure le sien et le prestataire n’a pas à en répondre ; il lui incombe seulement de tenter raisonnablement de récupérer les fonds et, en cas d’échec, de transmettre au payeur les informations utiles pour agir contre le bénéficiaire. Mais lorsque les coordonnées ont été substituées à l’insu du client, l’ordre exécuté n’est plus celui qu’il a donné, et l’on retombe dans l’opération non autorisée, dont le régime va être exposé.

B) Le remboursement de l’opération non autorisée

La qualification une fois acquise, le dispositif se déploie selon une séquence rigoureuse, dont chaque étape conditionne la suivante. Le payeur signale, la charge de la preuve bascule, le remboursement s’impose, et les seules exceptions admises supposent que le prestataire démontre une faute qualifiée du titulaire.

Le point de départ est une obligation qui pèse sur le payeur lui-même. L’article L. 133-17 du Code monétaire et financier lui impose d’informer son prestataire sans tarder dès qu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, aux fins de blocage. Cette diligence n’est pas une formalité : une fois l’opposition notifiée, le titulaire cesse de supporter les conséquences des opérations passées en dépit d’elle, et l’inertie se paie au contraire très cher.

On mesure la sévérité de la solution : deux mécanismes de déchéance se superposent, l’un lié à l’écoulement du temps, l’autre à l’attitude du titulaire une fois qu’il sait. Le payeur qui découvre le débit en février et attend novembre pour réclamer se trouve dans le délai, mais s’expose à voir sa négligence lui être opposée.

1. Le remboursement immédiat

Le signalement effectué, l’obligation du prestataire est immédiate et son exécution n’est subordonnée à aucune instruction, à aucune enquête préalable, à aucune décision de justice.

Le terme est d’une brièveté délibérée : la fin du premier jour ouvrable suivant. Le législateur a voulu que le contentieux se noue après le rétablissement du compte, et non avant. C’est un renversement complet de la position des parties : dans le droit commun, le titulaire dépossédé devait agir pour recouvrer ; ici, c’est au prestataire qui a remboursé de se retourner contre qui de droit. L’unique échappatoire — le soupçon de fraude de l’utilisateur — est étroitement encadrée, puisqu’elle n’opère qu’à la condition que les raisons du soupçon soient communiquées par écrit à la Banque de France. Un doute que l’établissement garde pour lui ne le dispense de rien.

2. La remise du compte en l’état

L’obligation ne s’épuise pas dans le versement d’une somme égale au montant détourné. Le texte impose de rétablir le compte dans l’état où il se serait trouvé si l’opération litigieuse n’avait pas eu lieu : reconstitution fictive qui commande de restituer non seulement le principal, mais aussi tout ce que le débit indu a produit par ricochet. Les agios, les commissions d’intervention, les frais de rejet des prélèvements que le solde amputé n’a pu honorer, les intérêts débiteurs — tout cela doit être effacé, et la date de valeur du recrédit ne peut être postérieure à celle du débit contesté.

La précision est loin d’être académique. Une fraude de quelques milliers d’euros sur un compte de particulier entraîne, en cascade, le rejet des échéances de prêt et des prélèvements domestiques, chacun facturé ; l’inscription au fichier central des chèques y a parfois été ajoutée. La remise en l’état exige que ces conséquences secondaires soient neutralisées sans que le payeur ait à les réclamer une par une.

3. L’indemnisation complémentaire

Il se peut, pourtant, que la remise en l’état ne répare pas tout. Le préjudice subi peut excéder ce que la reconstitution du solde efface : marché perdu faute de trésorerie, crédit refusé, atteinte à la réputation commerciale d’une entreprise dont les fournisseurs ont été impayés. Le régime spécial ne fait pas obstacle à ce que ces chefs de préjudice soient réparés, et l’article L. 133-18 réserve expressément l’indemnisation complémentaire éventuellement due en application du contrat ou du droit commun de la responsabilité.

La différence de nature entre les deux obligations mérite d’être soulignée. Le remboursement est dû de plein droit, sans faute et sans preuve d’un dommage ; l’indemnisation complémentaire suppose au contraire que soient établis un manquement du prestataire, un préjudice distinct et le lien qui les unit. C’est là que le devoir de vigilance retrouve son empire : il ne conditionne pas la restitution, mais il fonde la réparation de ce qui excède la restitution.

C) La preuve de l’autorisation

Tout le dispositif repose sur une question de fait : l’opération était-elle autorisée ? Le régime spécial ne se contente pas d’y attacher des conséquences, il désigne celui qui devra la trancher à ses risques. Et c’est peut-être là, plus encore que dans la célérité du remboursement, que réside l’apport décisif de la réforme.

1. La charge pesant sur le prestataire

Lorsque l’utilisateur nie avoir autorisé une opération, l’article L. 133-23 du Code monétaire et financier met à la charge du prestataire la démonstration que l’opération a été authentifiée, dûment enregistrée et comptabilisée, et qu’elle n’a été affectée d’aucune déficience technique ou autre. Le renversement est radical : ce n’est pas au payeur d’établir un fait négatif — n’avoir pas consenti —, mais à l’établissement de prouver le fait positif dont il se prévaut.

Cette charge est en outre préalable à toute discussion sur le comportement du titulaire. Le prestataire qui entend faire supporter la perte à son client au motif d’une négligence grave doit d’abord franchir cette première marche ; s’il échoue, la question de la négligence ne se pose même pas.

Cette solution n’est ni isolée ni nouvelle. La chambre commerciale l’avait énoncée dans les mêmes termes quelques mois plus tôt (Cass. com., 20 nov. 2024, n° 23-15.099l'arrêt▾), et elle la tenait déjà sous l’empire de la rédaction issue de l’ordonnance de 2009 (Cass. com., 12 nov. 2020, n° 19-12.112l'arrêt▾). La continuité mérite d’être relevée : la réforme de 2017 a renforcé la protection du payeur sans rien changer à l’économie probatoire, ce qui rend la jurisprudence antérieure pleinement transposable.

2. L’insuffisance de l’authentification enregistrée

Encore faut-il s’entendre sur ce que prouve la preuve exigée. Le texte prend soin de préciser que l’utilisation de l’instrument telle qu’enregistrée par le prestataire ne suffit pas nécessairement à établir que l’opération a été autorisée par le payeur, ni qu’il a agi frauduleusement ou manqué à ses obligations. La distinction est capitale, et elle est trop souvent perdue de vue : les journaux techniques établissent qu’un dispositif de sécurité a fonctionné, non qu’il a été actionné par celui à qui il était confié.

Autrement dit, l’authentification prouve un fait de machine ; le consentement est un fait de personne. Entre les deux, il y a précisément l’espace dans lequel prospère la fraude contemporaine, où l’usurpateur ne force aucun verrou mais obtient du titulaire lui-même qu’il l’ouvre. Le prestataire qui se borne à produire l’horodatage d’une validation par code à usage unique n’a rien établi de plus que ce que le client concède déjà : que quelqu’un a validé.

3. L’office du juge du fond

Il revient dès lors aux juges du fond d’apprécier souverainement si les éléments produits emportent la conviction, sous le contrôle de la Cour de cassation sur la méthode. Et ce contrôle porte moins sur le résultat que sur la démarche : la cassation intervient lorsque les juges ont dispensé le prestataire de la preuve qui lui incombait, ou lorsqu’ils ont déduit le consentement du seul fonctionnement du dispositif de sécurité. La motivation qui se contente de relever que l’opération a été validée au moyen des identifiants personnels du client encourt la censure, faute d’avoir recherché ce que cette validation démontre réellement.

Le juge doit ainsi conduire un raisonnement en deux temps, dont l’ordre ne peut être inversé : d’abord vérifier que la régularité technique est établie, puis seulement, si elle l’est, examiner le comportement du payeur. Un arrêt qui statue d’emblée sur la négligence sans avoir constaté la première condition est privé de base légale.

D) Le devoir de vigilance du prestataire

Indépendamment du régime spécial, et parallèlement à lui, le banquier auquel un ordre est adressé demeure tenu d’une obligation générale de vérification. Mandataire à titre onéreux, il répond des manquements même légers commis dans le traitement des instructions reçues ; il lui incombe de contrôler que l’ordre émane d’une personne habilitée à mouvementer le compte et qu’il ne recèle aucune irrégularité. Lorsque les circonstances n’imposent aucune exécution immédiate, ce contrôle doit être conduit avec plus de rigueur encore que celui pratiqué pour le chèque, et toute circonstance inhabituelle commande de solliciter la confirmation du client avant d’exécuter.

Ce devoir se décline concrètement en plusieurs vérifications, qui se cumulent sans se confondre. La signature apposée sur un ordre papier doit être rapprochée du spécimen déposé — sans qu’on attende du banquier une compétence de graphologue, mais avec la diligence d’un professionnel normalement prudent. Les ordres transmis en ligne appellent la mise en œuvre effective des mesures d’authentification convenues avec le client. Les pouvoirs de celui qui prétend représenter une personne morale doivent être contrôlés, et un doute impose des investigations approfondies. Enfin, l’établissement doit détecter les anomalies décelables : montant sans rapport avec l’usage du compte, destination incohérente avec l’activité du titulaire, coordonnées bancaires inexactes, circonstances suspectes.

1. Le principe de non-immixtion

Cette vigilance rencontre pourtant une borne, et cette borne est de principe. Le banquier n’a pas à s’immiscer dans les affaires de son client : il ne lui appartient ni de juger de l’opportunité des opérations qu’on lui commande, ni de s’enquérir des mobiles qui les inspirent. Le devoir de non-immixtion n’est pas une faveur faite aux établissements, il protège d’abord le client, dont l’autonomie serait illusoire si chaque virement devait être justifié.

La chambre commerciale en a fait une application marquante en jugeant que la vulnérabilité personnelle du client procédant à des transferts depuis le compte de la société qu’il dirige vers son patrimoine personnel ne constitue pas une anomalie apparente, le banquier n’étant pas astreint à enquêter sur les motifs personnels de l’opération (Cass. com., 2 mai 2024, n° 22-17.233l'arrêt▾). La solution est exigeante pour les victimes, mais elle est cohérente : ce qui n’est pas décelable dans l’ordre lui-même ne peut fonder un reproche.

2. L’anomalie apparente

Le devoir de vigilance se réveille au seuil de l’anomalie apparente, notion dont la fraude au président a précisé les contours. Confronté à des virements affectés d’irrégularités perceptibles et entourés de circonstances inhabituelles évoquant une manipulation, l’établissement doit vérifier la légitimité des instructions directement auprès du dirigeant (Cass. com., 2 oct. 2024, n° 23-13.282l'arrêt▾). À l’inverse, aucune responsabilité n’est encourue lorsque rien ne dépasse : opérations conformes aux plafonds convenus, solde créditeur, destination non suspecte (Cass. com., 12 juin 2025, n° 24-10.168l'arrêt▾).

Le critère est ainsi celui de la perceptibilité, non celui de la gravité du préjudice. Ce qui est reproché au banquier n’est jamais de n’avoir pas deviné la fraude, mais de n’avoir pas vu ce qui se voyait. Il faut ajouter que la responsabilité du banquier du fraudeur peut elle-même être recherchée sur le terrain délictuel, notamment lorsqu’il a omis les vérifications légales lors de l’ouverture du compte ayant servi de réceptacle aux fonds détournés — recours d’autant plus utile que l’auteur de la fraude demeure le plus souvent introuvable.

3. L’exigence d’authentification forte

La seconde directive a ajouté à ces devoirs classiques une obligation d’une tout autre nature, technique et impérative : celle d’exiger une authentification forte du payeur, c’est-à-dire une vérification reposant sur au moins deux éléments indépendants relevant de catégories distinctes — ce que l’utilisateur sait, ce qu’il détient, ce qu’il est —, dont la compromission de l’un ne remet pas en cause la fiabilité des autres. La sanction de son omission est d’une rigueur remarquable.

La portée de cette solution est considérable. Elle neutralise par avance l’argumentation la plus fréquemment développée par les établissements — la négligence du client —, en la rendant inopérante dès lors que le dispositif d’authentification requis n’a pas été mis en œuvre. Un prestataire qui a manqué à sa propre obligation technique ne peut plus reprocher au payeur d’avoir manqué à la sienne.

IV) §4: Les limites de la protection du payeur

Le régime que l’on vient d’exposer offre au payeur une protection dont la vigueur surprend : dès lors que le prestataire échoue à prouver l’autorisation, il rembourse, et il rembourse immédiatement. Encore cette protection n’est-elle pas inconditionnelle. Le législateur l’a bornée de trois manières, et ces bornes ne se ressemblent pas. La première est purement temporelle et joue sans égard au comportement : passé un certain délai, la contestation est éteinte, quelque fondée qu’elle fût. Les deux autres tiennent au comportement du titulaire lui-même : sa fraude, qui le prive de tout, et sa négligence grave, qui produit le même effet quand elle est établie. Ce sont là des exceptions au sens strict, et le contentieux contemporain se joue presque tout entier sur la dernière — car l’ingénierie sociale a déplacé la fraude du système d’information vers la personne, et transformé une question de sécurité informatique en une question de standard de comportement.

A) La forclusion de la contestation

Avant même d’examiner ce que le payeur a fait ou n’a pas fait, une question préalable se pose : a-t-il agi à temps ? La protection légale n’a pas vocation à demeurer indéfiniment disponible. Un prestataire ne saurait rester exposé, des années durant, à la contestation d’écritures dont les traces techniques ont disparu et dont les fonds sont irrémédiablement partis. D’où un délai bref, qui n’est ni un délai de prescription susceptible d’interruption et de suspension, ni un simple délai d’ordre, mais une véritable forclusion : son écoulement éteint le droit d’agir lui-même.

1. Le délai de treize mois

L’article L. 133-24 du Code monétaire et financier impartit à l’utilisateur qui entend contester une opération non autorisée ou mal exécutée un délai de treize mois, décompté de la date d’inscription de l’opération en compte, à peine de forclusion. Le point de départ mérite l’attention : ce n’est pas le jour où le titulaire découvre la fraude, ni celui où il aurait raisonnablement pu la découvrir, mais celui du débit. Le délai court donc contre celui qui ignore, et c’est là toute sa rigueur. Il en résulte que la victime d’un détournement discret — quelques virements de faible montant noyés dans un relevé abondant — supporte le risque de son inattention, non parce qu’elle serait fautive, mais parce que le texte fait du relevé le point d’ancrage objectif du décompte.

Cette sévérité est le pendant exact de l’obligation de vigilance que l’article L. 133-17 fait peser sur l’utilisateur. Puisqu’il lui est demandé d’informer son prestataire sans tarder de toute utilisation non autorisée dont il a connaissance, il est cohérent que la loi lui oppose un terme au-delà duquel il est réputé avoir accepté ses écritures.

La chambre commerciale a rappelé récemment la rigueur de cette déchéance temporelle, en refusant d’en atténuer les effets par des considérations tirées de la découverte tardive de la fraude. La solution se comprend : une forclusion dont le point de départ se déplacerait au gré de la connaissance subjective de chaque titulaire ne serait plus une forclusion, mais une prescription glissante — exactement ce que le texte a voulu écarter. Encore faut-il observer que le délai ne joue que sur le terrain du régime spécial : forclos dans son action en remboursement, le payeur conserve, contre l’auteur de la fraude comme contre le bénéficiaire enrichi, les actions de droit commun précédemment décrites, soumises à leurs propres prescriptions.

2. L’aménagement contractuel du délai

Le délai de treize mois n’a pas la même autorité selon la qualité de celui auquel il s’applique. Pour la personne physique agissant en dehors de son activité professionnelle, il est d’ordre public : aucune stipulation ne peut l’abréger, et une clause des conditions générales qui enfermerait la contestation dans un mois ou un trimestre serait réputée non écrite. La protection serait illusoire si le prestataire pouvait, par sa documentation contractuelle, la vider de sa substance en réduisant à néant le temps de la réclamation.

Il en va autrement du professionnel et de la personne morale. Le régime leur est applicable par défaut, mais l’article L. 133-24 les range parmi ceux qui peuvent y déroger par convention, et la pratique bancaire ne s’en prive pas : les conventions de compte professionnelles ramènent couramment le délai à quelques semaines, parfois à quelques jours pour les opérations de gros montant. L’entreprise victime d’un détournement découvre alors, au moment où elle songe à réclamer, qu’elle a signé sa propre forclusion. C’est un point que l’on ne saurait trop signaler : la première vérification à opérer, avant toute discussion sur l’autorisation, porte sur la clause de contestation de la convention de compte.

Un troisième cas de figure, plus confidentiel, achève le tableau. Lorsque le prestataire du payeur est situé à Saint-Pierre-et-Miquelon ou à Saint-Barthélemy et que celui du bénéficiaire se trouve hors de France, le délai tombe à soixante-dix jours, les parties pouvant l’étendre jusqu’à cent vingt jours au plus. La brièveté s’explique par les contraintes du traitement transfrontalier de ces flux ; l’extension conventionnelle en corrige la rudesse.

B) L’agissement frauduleux du payeur

La contestation formée dans les délais, il reste au prestataire une seconde ligne de défense, tirée cette fois du comportement de son client. Le texte en distingue deux formes, et il ne faut pas les confondre : la fraude et la négligence grave, si elles produisent le même effet, ne se prouvent pas de la même manière et ne se réfutent pas avec les mêmes arguments. La première suppose une intention de tromper, la seconde une simple imprudence — mais une imprudence d’un degré tel que le droit refuse de la couvrir.

1. La fraude du titulaire

L’hypothèse est celle du client qui, ayant en réalité consenti à l’opération, la conteste ensuite en se prétendant victime d’un tiers. Elle se rencontre plus souvent qu’on ne l’imagine : le titulaire qui a viré des fonds à un proche, à une plateforme d’investissement fantaisiste ou à sa propre société en difficulté, puis qui, mesurant sa perte, redirige le risque vers son banquier en criant à la fraude. Il y a là un mensonge sur le consentement, non un défaut de consentement — et la distinction commande tout.

Le régime en tire deux conséquences. En amont, l’article L. 133-18 autorise le prestataire à surseoir au remboursement immédiat lorsqu’il a de bonnes raisons de soupçonner une fraude de l’utilisateur, à charge pour lui de communiquer ces raisons par écrit à la Banque de France. Le mécanisme est notable : la suspicion ne suffit pas à elle seule à bloquer le remboursement, elle doit être motivée et extériorisée auprès d’un tiers institutionnel, ce qui interdit au prestataire d’invoquer un soupçon de pure convenance pour différer une restitution qu’il doit. En aval, l’article L. 133-19 prive le payeur frauduleux de tout remboursement, sans plafond ni pondération.

2. La déchéance de tout remboursement

La sanction est radicale, et sa radicalité est délibérée. Là où la négligence grave suppose une démonstration circonstanciée et se heurte, on le verra, à un standard exigeant, la fraude emporte déchéance intégrale : le payeur supporte l’entier montant, sans franchise, sans partage, sans que le juge dispose d’un pouvoir de modération. La règle n’est que l’application au droit des paiements de l’adage selon lequel la fraude corrompt tout ; elle serait autrement une prime au mensonge, puisque le fraudeur risquerait au pire de ne rien gagner.

Encore la déchéance suppose-t-elle sa preuve, et cette preuve incombe au prestataire. Il ne lui suffit donc pas de relever que l’opération contestée présente des caractéristiques inhabituelles ou que le bénéficiaire entretient des liens avec le titulaire : il lui faut établir l’intention. En pratique, la démonstration s’appuie sur des éléments matériels convergents — bénéficiaire lié au payeur, réitération d’opérations analogues antérieurement assumées, contestation formée seulement après l’échec d’un placement, absence de plainte pénale ou plainte tardive et dépourvue de suite. La difficulté probatoire explique que le contentieux se déplace le plus souvent sur le terrain, plus accessible, de la négligence.

C) La négligence grave du payeur

C’est ici que se joue l’essentiel. La négligence grave n’exige aucune intention ; elle se contente d’un manquement aux obligations de sécurité, pourvu qu’il présente un certain degré de gravité. Elle offre au prestataire une échappatoire dont l’enjeu financier est considérable, puisqu’elle ne réduit pas le remboursement, elle le supprime : établie, elle fait peser sur la victime de la fraude l’intégralité de la perte. On comprend que la jurisprudence se soit attachée à en circonscrire rigoureusement les contours.

1. La notion d’imprudence caractérisée

Les obligations dont la méconnaissance est sanctionnée sont limitativement définies. L’article L. 133-16 impose à l’utilisateur de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés ; l’article L. 133-17 lui commande d’alerter sans tarder son prestataire dès qu’il a connaissance d’une utilisation non autorisée. La négligence grave se définit donc par référence à ces deux devoirs, et à eux seuls : le payeur qui a communiqué ses identifiants sous l’effet d’une manœuvre manque au premier, celui qui découvre le débit et laisse s’écouler des semaines avant d’alerter manque au second. En revanche, l’imprudence qui n’atteindrait aucun de ces deux devoirs — l’usage d’un mot de passe faible sur un service tiers, l’imprudence dans le choix d’un cocontractant — demeure hors du champ de la déchéance.

Quant au degré, l’adjectif fait tout le travail. Le texte ne vise pas la négligence, mais la négligence grave — ce que l’on peut traduire par une imprudence caractérisée, c’est-à-dire un écart de comportement d’une évidence telle qu’il ne s’explique ni par la maladresse ni par l’inattention ordinaire. Le seuil est haut, et il doit l’être : une négligence simple suffisant à priver du remboursement, la protection instituée par les directives se réduirait à peu de chose, puisque toute fraude réussie suppose, par hypothèse, une faille quelque part.

De là un principe fondateur, posé de longue date par la chambre commerciale et jamais démenti depuis : la seule circonstance que les éléments d’authentification du payeur aient été effectivement utilisés par un tiers ne suffit pas à caractériser son imprudence. La règle est décisive, car elle interdit le raisonnement circulaire qui tenterait tout prestataire — la fraude a eu lieu, donc les données ont fui, donc le client les a mal gardées. Être victime d’un hameçonnage n’emporte pas, à soi seul, manquement aux obligations de sécurité. Le prestataire doit dire ce que le client a fait, et non se borner à constater ce qui lui est arrivé.

2. L’appréciation in concreto

Reste à savoir comment la gravité s’apprécie. La réponse est double, et c’est ce qui rend la matière délicate. Elle est concrète en ce qu’elle porte sur les circonstances de l’espèce : le juge examine le message reçu, l’interface consultée, la teneur de l’échange téléphonique, la chronologie de la manœuvre. Elle est objective en ce que l’étalon de mesure ne varie pas avec la personne : ce n’est pas le client tel qu’il est, avec sa culture numérique et sa sensibilisation propres, qui sert de mesure, mais l’utilisateur normalement vigilant placé dans la même situation.

Le critère qui s’est dégagé de ce double mouvement est celui des signaux d’alerte objectifs. Commet une imprudence caractérisée l’utilisateur qui livre ses identifiants en répondant à un message comportant des anomalies de nature à éveiller les soupçons d’une personne raisonnablement vigilante, et cela indépendamment de sa connaissance préalable des risques d’hameçonnage. La précision est capitale : elle évacue la discussion sur le niveau d’expertise du client. Nul n’est admis à se dire trop ignorant pour avoir dû s’inquiéter, mais nul n’est non plus déchu pour avoir été peu formé, dès lors que le message ne présentait rien d’insolite.

On reconnaît ici, en filigrane, la notion d’anomalie apparente qui irrigue le devoir de vigilance du banquier — à cette différence près qu’elle change de destinataire. Ce qui est demandé au professionnel dans le traitement de l’ordre est demandé au titulaire dans la réception de la sollicitation. La symétrie n’est pas fortuite : dans les deux cas, le droit ne sanctionne pas le défaut de perspicacité, mais l’indifférence à ce qui saute aux yeux.

3. La preuve à la charge du prestataire

La négligence grave est une exception, et il appartient à celui qui l’invoque de l’établir. La charge pèse donc entièrement sur le prestataire, en parfaite continuité avec l’article L. 133-23, qui lui impose déjà de prouver l’authentification, l’enregistrement et l’absence de déficience technique. Le doute profite au payeur : si le dossier ne permet pas de reconstituer la manœuvre, si le message frauduleux n’est pas produit, si la teneur de l’échange demeure incertaine, la déchéance ne peut être prononcée.

Cette exigence a conduit à écarter les raccourcis probatoires. Ainsi le détournement d’une adresse de connexion numérique ne constitue-t-il pas un élément suffisant pour imputer au titulaire de l’ordinateur correspondant la paternité de l’opération contestée : un tel indice technique établit tout au plus qu’une machine a été employée, non que son titulaire a consenti ni qu’il a mal gardé ses données. L’établissement ne saurait, sur ce seul fondement, reporter la charge du virement frauduleux sur son client. Le prestataire doit rapporter la preuve d’un comportement, et cette preuve est nécessairement circonstanciée.

D) L’épreuve de l’ingénierie sociale

Les principes posés, il faut les confronter à la réalité du contentieux, laquelle a profondément changé. Les fraudes contemporaines ne forcent plus les systèmes, elles contournent l’utilisateur : c’est lui, désormais, que l’on attaque, par la persuasion plutôt que par l’effraction. Le droit de la négligence grave se trouve ainsi sommé de tracer une frontière qu’aucun texte ne dessine — celle qui sépare le client qui aurait dû voir de celui qui ne pouvait pas voir.

1. L’hameçonnage du titulaire

L’hameçonnage classique est le terrain d’élection du critère des signaux d’alerte. Un message se présentant comme émanant de la banque, un lien conduisant vers une page d’authentification imitée, et le titulaire qui saisit ses identifiants : la question est de savoir si le leurre était grossier ou soigné. Quand il porte les marques de l’improvisation, la déchéance est encourue ; quand l’imitation est fidèle, elle ne l’est pas.

Une tendance nette se dessine toutefois dans les juridictions du fond depuis quelques années, et il serait déloyal de la taire. Les campagnes de sensibilisation, les avertissements répétés par les établissements eux-mêmes — jamais nous ne vous demanderons vos identifiants par courriel ou par téléphone — ont élevé le niveau de méfiance exigible. Ce qui pouvait passer, il y a dix ans, pour une confiance excusable, s’analyse aujourd’hui plus volontiers en imprudence caractérisée, la défiance élémentaire face à ce type de sollicitation étant tenue pour un comportement attendu de tout utilisateur. Le standard est objectif, mais il n’est pas immobile : il se déplace avec l’état commun de la connaissance du risque.

2. L’usurpation du numéro d’appel

Le spoofing change la donne, et il la change parce qu’il supprime précisément ce sur quoi repose le critère : l’anomalie perceptible. Lorsque le fraudeur usurpe le numéro d’appel de l’établissement, l’appel entrant s’affiche sous l’identité du conseiller habituel ; le seul indice dont dispose ordinairement l’utilisateur pour douter — l’origine de la sollicitation — le conforte au contraire dans sa confiance. La manœuvre ne se contente pas de tromper : elle retourne contre la victime le dispositif de vérification qu’elle était en droit d’employer.

Les juges du fond avaient ouvert cette voie, en jugeant qu’aucune imprudence caractérisée ne saurait être imputée au payeur lorsque le stratagème repose sur un dispositif de spoofing sophistiqué, susceptible de tromper un particulier exerçant une méfiance raisonnable — le fraudeur, ou son complice, endossant l’identité d’un agent de l’établissement. La chambre commerciale l’a consacrée. Il faut mesurer ce que la solution comporte de remarquable : la victime avait ici composé elle-même les opérations, de ses propres mains, sur son propre espace en ligne. Elle n’avait pas livré ses identifiants, elle avait exécuté l’ordre. Et pourtant la négligence grave est écartée, parce que la question n’est pas de savoir qui a manipulé le clavier, mais si l’utilisateur disposait d’un motif objectif de douter.

3. La vraisemblance de la sollicitation

De l’ensemble se dégage un critère unique, dont les deux branches ne s’opposent qu’en apparence : la déchéance se mesure à la vraisemblance de la sollicitation. Plus la mise en scène est crédible — numéro officiel reproduit, interface fidèlement imitée, connaissance par le fraudeur d’informations que seule la banque était censée détenir, scénario cohérent avec une opération en cours —, moins le reproche d’imprudence peut prospérer. Moins elle l’est, plus il s’impose. Le juge ne demande pas au client d’avoir été perspicace ; il lui demande de n’avoir pas ignoré ce qui clochait.

Deux conséquences en découlent, qui achèvent le tableau. La naïveté, d’abord, n’est plus en soi une circonstance exonératoire : le standard étant objectif, celui qui s’est laissé abuser par un leurre visiblement défectueux ne peut se retrancher derrière son inexpérience. La sophistication, ensuite, n’est plus une fatalité pour le payeur : elle devient le principal argument de sa défense, et impose au prestataire de démontrer ce que, concrètement, son client aurait dû apercevoir. Le contentieux s’en trouve déplacé vers un terrain plus sain — celui de la reconstitution matérielle de la manœuvre — et la charge en pèse sur celui qui, disposant des enregistrements, des journaux de connexion et des dispositifs d’authentification, est le mieux placé pour l’assumer.