Fraude au président : quand l’instrument de paiement convenu fait obstacle à la négligence grave

Le 16 décembre 2019, l’assistante administrative du président d’Eleco Panacol, devenue Hoenle Eleco, est contactée par un faux avocat. Sous couvert d’une opération urgente et confidentielle, celui-ci obtient un ordre de virement de 383 268,37 euros vers un compte hongrois. L’ordre, revêtu d’une imitation de la signature du président, est transmis à HSBC par télécopie. La banque ne parvient pas à joindre le président par contre-appel, mais reçoit une confirmation par courriel le lendemain, puis exécute le virement.

Le scénario relève de la « fraude au président », qui consiste, pour le fraudeur, à usurper l’identité d’un haut responsable de l’entreprise ou de l’un de ses représentants dans l’intention d’obtenir d’un membre de l’entreprise un virement sur un compte tiers, celui de l’escroc (contentieux de la « fraude au président »[1])

Or, l’ordre litigieux a été transmis par un procédé de paiement que les parties avaient cessé d’utiliser. De 2009 à mars 2017, la société télétransmettait ses ordres de virement, puis les confirmait par télécopie. Le 10 mars 2017, les parties ont adopté un nouveau dispositif sécurisé « HSBC Connect sous protocole EBICS TS », reposant sur le logiciel Exabanque et une clé numérique « 3S Key ». Certes, aucune clause n’imposait au client l’usage exclusif de ce dispositif, mais la procédure par télécopie n’était plus pratiquée depuis lors.

Le tribunal de commerce de Paris a d’abord condamné la banque à rembourser la société du montant de l’opération. La cour d’appel de Paris a ensuite infirmé cette décision. Elle a retenu la négligence grave de la société au sens de l’article L. 133-16 du Code monétaire et financier (CMF). Saisie d’un pourvoi, la Cour de cassation casse l’arrêt en toutes ses dispositions sur la deuxième branche du premier moyen, sans statuer sur les autres griefs, et renvoie l’affaire devant la cour d’appel de Paris autrement composée. C’est le raisonnement fondant l’exonération de la banque qu’elle censure.

Une opération non autorisée, constat acquis devant les juges du fond

Avant de se demander si l’utilisateur aurait dû déceler le caractère frauduleux de l’opération, il faut déterminer s’il a consenti au paiement et sous quelle forme. Les articles L. 133-6 et L. 133-7 du CMF rattachent l’autorisation de l’opération au consentement donné dans la forme convenue avec le prestataire. À défaut, l’opération est réputée non autorisée et relève du mécanisme de responsabilité sans faute, particulièrement favorable à la victime[2], prévu par l’article L. 133-18 du CMF.

La cour d’appel a constaté que le processus de télétransmission des ordres de virement confirmés par télécopie n’était plus utilisé par la société depuis mars 2017 et que l’ordre litigieux dérogeait au processus sécurisé convenu. Elle en a déduit que le virement n’était pas autorisé.

Cette qualification place le litige sur le terrain des dispositions spéciales du CMF et non sur celui du devoir de vigilance bancaire de droit commun car les régimes de responsabilité sont exclusifs l’un de l’autre. En effet, la Cour de cassation a affirmé, à plusieurs reprises, qu’à partir du moment où la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime défini aux articles L. 133-18 à L. 133-24 du CMF[3].

L’arrêt montre ainsi que les virements effectués à la suite d’une fraude au président, souvent qualifiés d’opérations autorisées lorsque l’ordre émane du payeur manipulé peuvent néanmoins relever du régime des opérations non autorisées [4].

Une articulation contestable des régimes de responsabilité par la cour d’appel

Le raisonnement de la cour d’appel reposait sur une articulation contestable des régimes de responsabilité. Elle avait jugé l’article L. 133-19, IV, du CMF inapplicable au motif que le virement n’avait pas été effectué au moyen de la clé 3S Key tout en autorisant la banque à se prévaloir d’une négligence grave au sens de l’article L. 133-16 du CMF. Elle dissociait ainsi artificiellement deux dispositions complémentaires[5].

La cour d’appel avait en outre retenu la responsabilité de la société en sa qualité de commettante, sur le fondement de l’article 1242, alinéa 5, du Code civil, après avoir pourtant rappelé l’exclusivité du régime spécial à l’égard de tout régime de responsabilité de droit commun.

La négligence grave définie à la lumière de la directive DSP2

La Cour de cassation statue en visant les deux articles précités du CMF, interprétés à la lumière des articles 69 et 74 de la directive (UE) 2015/2366 : « en cas d’opération de paiement non autorisée, le prestataire de services de paiement ne peut s’exonérer de sa responsabilité que lorsque l’utilisateur du service de paiement manque par négligence grave à ses obligations d’utiliser l’instrument de paiement qui lui a été délivré conformément aux conditions régissant sa délivrance et son utilisation ou ne prend pas toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées ».

L’article L. 133-16 du CMF définit ainsi les obligations de sécurité mises à la charge du payeur, tandis que l’article L. 133-19, IV, détermine les conséquences de leur méconnaissance par négligence grave sur la prise en charge des pertes de l’opération non autorisée. La négligence grave ne saurait donc constituer une cause générale d’exonération du prestataire.

Pour écarter la demande de remboursement de la société, la cour d’appel avait relevé plusieurs imprudences de la salariée permettant de caractériser sa négligence grave : le suivi d’instructions « extrêmement lapidaires », l’utilisation d’adresses électroniques inconnues sans les vérifier ni contacter le cabinet prétendument mandaté, l’omission de prévenir le dirigeant malgré le montant du virement, et la confirmation de l’ordre depuis le poste d’un signataire à son insu.

La Cour de cassation ne se prononce pas sur la gravité de ces comportements, contrairement à d’autres espèces dans lesquelles elle a apprécié si les agissements du payeur étaient constitutifs d’une négligence grave[6]. Elle juge, plus radicalement, que la banque ne pouvait pas reprocher une négligence grave à sa cliente. La question n’est donc pas celle de l’intensité de l’imprudence, mais celle de la possibilité même pour le prestataire de l’invoquer.

L’instrument convenu, condition préalable à toute négligence grave

L’article L. 133-4, c), du CMF définit l’instrument de paiement comme un dispositif personnalisé ou un ensemble de procédures convenu entre l’utilisateur et le prestataire et utilisé pour donner un ordre de paiement. Le caractère convenu du procédé constitue l’un des éléments de la qualification de l’instrument. Il ne suffit donc pas qu’un canal permette matériellement de transmettre un ordre. Il faut s’assurer qu’il corresponde à celui convenu par les parties.

Tirant les conséquences des constatations des juges du fond, selon lesquelles la télécopie avait été remplacée depuis 2017 par le dispositif sécurisé « HSBC Connect sous protocole EBICS TS », la Haute juridiction censure la cour d’appel pour violation des articles L. 133-16 et L. 133-19 du CMF. Elle affirme que la cour d’appel « avait relevé que la télécopie n’était plus l’instrument de paiement convenu entre les parties, de sorte que la banque, qui avait accepté d’exécuter une opération de paiement au moyen d’un tel instrument, ne pouvait pas reprocher à la société une négligence grave ».

Si l’obligation de sécurité impose au payeur d’utiliser l’instrument conformément aux conditions régissant sa délivrance et son utilisation, encore faut-il identifier l’instrument auquel cette obligation se rapporte. Or, en l’espèce, celui-ci était le protocole sécurisé EBICS TS et non la télécopie. Ayant accepté et exécuté un ordre reçu en dehors du dispositif convenu, la banque ne pouvait déplacer sur le terrain de la négligence grave les conséquences de son propre choix et faire supporter la perte à sa cliente.

Une solution exigeante pour les banques

L’appréciation de la négligence grave est ainsi circonscrite aux obligations attachées à l’instrument de paiement effectivement convenu entre les parties. Elle empêche par conséquent le prestataire de services de paiement de contourner le régime protecteur des opérations non autorisées en invoquant une imprudence étrangère aux obligations mises à la charge du payeur. Ce faisant, la solution incite les banques à neutraliser les circuits de paiement abandonnés lorsqu’un nouveau dispositif sécurisé a été convenu.

La réponse apportée par la chambre commerciale semble dépasser le seul procédé de paiement en cause en l’espèce, en faisant du caractère convenu de l’instrument de paiement une condition préalable à l’appréciation de la négligence grave. Le prestataire ne peut accepter, pour l’exécution d’un ordre, un canal distinct de celui convenu puis invoquer les défaillances du client dans l’utilisation de ce même canal pour échapper à son obligation de remboursement. La solution vaut alors même qu’aucune clause n’imposait l’usage exclusif du dispositif sécurisé.

Cette décision s’inscrit dans une tendance au renforcement de la protection des utilisateurs de services de paiement, dont témoigne également l’arrêt rendu la même semaine par la Cour de justice de l’Union Européenne. La Cour de justice y précise à son tour l’articulation entre négligence grave du payeur et droit au remboursement d’une opération non autorisée. Ce faisant, elle dissocie l’obligation de remboursement immédiat du prestataire de la détermination ultérieure de la partie devant supporter définitivement la perte.

Eve Monnet
étudiante au sein du master 214 de l’Université Paris Dauphine
(article rédigé sous la supervision du professeur Renaud Salomon)

[1] Dictionnaire permanent Recouvrement de créance – Paiement, Dalloz

[2] « Opération de paiement non autorisée : stricte appréciation de la notion », Merryl Hervieu

[3] Voir aussi Cass. com., 15 janv. 2025, n° 23-13.579 et n° 23-15.437 et Fasc. 151 : Responsabilité civile du banquier, JurisClasseur Droit bancaire et financier.

[4] Voir aussi Cass.com., 19 novembre 2025, 24-17.780 et « Fraude au président : confirmation du régime applicable et précisions sur le devoir de vigilance », Bastien Michalet.

[5] Voir aussi Cass.com., 28 mars 2018, 16-20.018 et « Le virement consécutif à une « fraude au président » peut-il être qualifié d’opération de paiement non autorisée ? », Nicolas Ida.

[6] Voir aussi « Banque – Les opérations de paiement non autorisées ou mal exécutées . – 1er juillet 2024 – 1er juillet 2025 », Jérôme Lasserre Capdeville, ainsi que Cass.com., 18 janvier 2017, 15-18.102.