Ordres de virement frauduleux et pouvoir du dirigeant : précisions sur le devoir de vigilance du banquier

I – La caractérisation classique d’anomalies apparentes affectant les ordres de virement

Contrairement au devoir de non-ingérence2 qui impose au banquier de ne pas s’immiscer dans les affaires de ses clients, qui sont libres de disposer de leurs actifs, le devoir de vigilance désigne son obligation « de déceler, parmi les opérations qu’on lui demande de traiter, celles qui présentent une anomalie apparente et, en présence d’une telle anomalie, de tout mettre en œuvre pour éviter le préjudice qui résulterait pour le client, pour la banque elle-même, ou pour un tiers, de la réalisation de cette opération »3. Le manquement à l’obligation de vigilance requiert, en conséquence, de faire état d’anomalies apparentes. Il est admis que celles-ci sont de deux ordres. Elles sont intellectuelles lorsqu’elles résultent des circonstances de l’opération4. Elles sont matérielles, lorsqu’elles affectent la régularité même du titre qui peut, par exemple, comporter une imitation de signature ou avoir été falsifié5. Dans ce sens, il a été retenu que des anomalies matérielles résultaient de la présence sur les ordres de virement de signatures exactement identiques qui différaient du spécimen détenu par la banque6. En revanche, ne constitue pas une anomalie apparente appelant des vérifications particulières la signature du dirigeant apposée sur les ordres qui ne présentait aucune différence significative par rapport à celle figurant sur sa carte nationale d’identité datant de plus de 19 ans, l’ancienneté du document étant sans incidence sur la pertinence de la vérification du teneur de compte7.

Il s’ensuit que l’appréciation des irrégularités obéit à une logique casuistique. Elle se reflète dans la solution étudiée, qui fait état d’anomalies d’ordre intellectuel, la motivation se concentrant sur les circonstances de passation des ordres. Elle se démarque à cet effet d’une précédente décision, qui avait exclu l’existence d’anomalies apparentes, malgré le caractère illogique des demandes de rachat d’un livret épargne détenu par un dirigeant. La chambre commerciale avait précisé que les virements initiés par le gérant associé unique – en situation de vulnérabilité – des comptes de la société vers ses comptes personnels n’appelaient pas une vigilance particulière8. Et ce, en dépit du montant inhabituel du virement car le gérant était le bénéficiaire économique de l’ordre de paiement9. La situation est sensiblement différente dans l’affaire du 2 octobre 2024, en ceci que les virements litigieux n’ont pas été effectués au bénéfice du dirigeant, mais au profit d’une société tierce, avec l’implication d’un usurpateur.

Si les circonstances entourant la passation des ordres justifient la décision d’engager la responsabilité du banquier pour méconnaissance de son devoir de vigilance, certains éléments ne sont pas sans susciter la discussion. Il s’agit notamment de l’argument selon lequel le bénéficiaire ne faisait pas partie des relations d’affaires du payeur et qu’il était situé en Chine, zone géographique inhabituelle de son activité commerciale. Il n’est pourtant pas invraisemblable que le banquier ait pu considérer que la société ait entre-temps entrepris de commercer dans ce périmètre géographique, au regard de la portée internationale de ses activités principales. Les statuts de la société indiquent en effet qu’elle « a pour objet en France et dans tous pays : le négoce, l’importation, l’exportation, la distribution et le courtage de tous produits métallurgiques ». Dès lors, qu’il y a-t-il de surprenant qu’une société spécialisée dans l’importation et l’exportation dans tous pays ordonne des virements au bénéfice d’une entité située en Chine ? On peut certes avancer que ces ordres étaient singuliers, en cela qu’il s’agissait d’une première série d’opérations vers ce pays. Toutefois, l’anormalité retenue quant à cet aspect n’était pas aussi saillante qu’il y paraît. Pareille solution n’est pas sans interroger le fardeau qu’induit l’exigence de vigilance pour la banque qui tendrait à lui imposer « une surveillance de tous les instants et de toutes les opérations pour en détecter les éventuelles anomalies, et ce en arrière-plan, alors que l’opération a souvent déjà été effectuée »10. La banque ne s’y est d’ailleurs pas trompée en arguant que son obligation de détecter les anomalies apparentes n’exigeait pas qu’elle procède à une analyse approfondie des habitudes du compte détenu par la société dans ses livres ; opération qui l’aurait menée à méconnaître son devoir de non-immixtion. Le raisonnement n’a cependant pas convaincu la Cour de cassation, qui retient l’existence d’anomalies apparentes par la combinaison d’une pluralité de facteurs susceptibles d’attirer l’attention de la banque quant à la nature potentiellement frauduleuse des ordres de virements.

Au regard du cumul des éléments tenant au montant élevé des transactions, à leur caractère rapproché et répété, ainsi qu’à la localisation du bénéficiaire, la banque ne pouvait pas se contenter d’un contrôle superficiel et aurait dû procéder à une analyse plus fouillée du fonctionnement habituel du compte du payeur en se renseignant pertinemment11. Cette idée du cumul des facteurs et de concentration des ordres dans un intervalle de temps réduit se retrouve dans un arrêt de la cour d’appel de Rennes relatif à la même escroquerie. Dans cette affaire, la comptable d’une société avait effectué en l’espace de 6 jours, 6 virements pour près de 500 000 € au bénéfice d’une société dont les comptes étaient domiciliés en Hongrie et pour laquelle le payeur n’avait initié aucun ordre antérieur. Il avait été jugé que son activité internationale justifiait que la banque n’ait pas détecté l’anomalie dès le premier virement et que seul le cumul de virements en un laps de temps très court était de nature à attirer l’attention de la banque12. La responsabilité de celle-ci avait alors été limitée aux deux derniers virements qui lui étaient apparus suspects.

En rejetant ici la prétention du prestataire de services de paiement relative à son devoir de non-immixtion, la Cour de cassation s’inscrit dans une logique d’encadrement du comportement du banquier13. Elle donne ainsi la priorité au principe d’action que représente le devoir de vigilance plutôt qu’au principe d’abstention qu’incarne le devoir de non-ingérence14. La solution doit en cela être approuvée, qui s’inscrit dans le sillage de décisions antérieures portant sur la même fraude dans lesquelles les juges du fond ont retenu la responsabilité du banquier pour ne pas avoir procédé à de telles vérifications15. Au-delà de cet aspect, la solution se distingue par la précision qu’elle apporte sur l’exécution de l’obligation de renseignement en présence d’anomalies apparentes. C’est ce qu’il convient d’envisager à présent.

II – L’inadéquation des diligences du banquier au regard du mode opératoire de la fraude

L’insuffisance des vérifications de la banque. La première réaction du banquier qui souhaite écarter sa responsabilité en présence d’anomalies apparentes est de réagir en s’informant auprès de son client16. En l’espèce, le banquier avait entamé des vérifications, en contactant la comptable de la société. Il lui est cependant reproché de ne pas être allé au bout de ses diligences. Le reproche est justifié : d’une part, la comptable ne disposait pas du pouvoir d’engager la société par un virement. D’autre part et en plus de l’inadéquation du destinataire de l’alerte, les diligences du prestataire de services de paiement étaient déconnectées et vaines car des indices concordaient sur une possible escroquerie au président.

Ce procédé, qui peut avoir plusieurs variantes, consiste pour le tiers fraudeur à se faire passer pour le dirigeant d’une société afin d’inciter par son habileté un préposé de celle-ci, généralement le comptable, à passer des ordres de virement au profit d’un tiers. Le préposé s’exécute alors dans la croyance qu’il agit selon les indications de son employeur. Dans ce contexte, le contre-appel effectué par la banque auprès du comptable ne paraissait pas être la mesure la plus idoine, puisque ce dernier aurait nécessairement confirmé que les ordres de paiement émanaient du président. La réalité des anomalies étant avérée, la banque devait tout mettre en œuvre pour éviter la réalisation du préjudice résultant des débits frauduleux en sursoyant à l’exécution des virements jusqu’à leur confirmation par le président de la SAS. Il faut comprendre que le destinataire de l’alerte du banquier en cas de soupçon d’une « fraude au président » doit être la société prise en la personne de son dirigeant ayant pouvoir de valider les virements. Toute autre alerte destinée à une personne ne disposant pas de tels pouvoirs est inopérante. La seule vérification des ordres ne suffit donc pas. Encore faut-il que celle-ci soit adaptée au mode opératoire utilisé par le tiers fraudeur et qu’elle soit destinée au dépositaire du pouvoir de passer des ordres de virement. En l’espèce, cette exécution s’est révélée imparfaite de sorte qu’elle s’assimile à un défaut d’exécution. La responsabilité du banquier ne pouvait dès lors qu’être engagée pour violation de son obligation de vigilance.

La faute de la société. La ruse par usurpation de l’identité du dirigeant ne semblait toutefois pas si aisément décelable. Le paiement avait en effet été authentifié par le préposé via le dispositif de sécurité personnalisé du dirigeant, tenu de préserver la sécurité de ses données selon l’article L. 133-16 du Code monétaire et financier. La convention liant les parties prévoyait pourtant que le préposé ne disposait que d’une délégation de saisir et de consulter les virements, ce qui exclut tout pouvoir de valider des transactions. Comment dès lors serait-il parvenu à autoriser les ordres litigieux, s’il n’existait pas de faille dans la garde des données de sécurité personnalisées du payeur ? Il résulte de l’arrêt d’appel17 que le préposé était en possession de tous les outils permettant de réaliser les virements ; le dirigeant avait donc nécessairement transmis les données, à savoir les identifiants et codes permettant à la comptable de valider des opérations dont l’autorisation lui incombait en sa qualité de représentant légal. La procédure d’autorisation prévue par la convention ayant été respectée, l’opération ne pouvait être considérée comme non autorisée18, même si elle ne provenait pas du dirigeant. La référence à la convention n’est pas sans rappeler une autre affaire dans laquelle la banque avait contacté, comme en l’espèce, la comptable de la société, alors qu’il était prévu qu’elle n’était tenue qu’à la vérification des pouvoirs auprès des deux dirigeants titulaires des codes19. Le banquier avait méconnu son devoir de vigilance, en effectuant une vérification inefficace de l’autorisation auprès de l’employé alors qu’il était flagrant que l’escroquerie au président vise les comptables. Les dirigeants avaient aussi remis leurs codes au comptable en violation de leur obligation de préserver leurs données de sécurité personnalisées20.

L’opportun partage des responsabilités. La mise en place du système de gestion non vertueux, dans lequel le dirigeant se dépossède de ses données sécurisées pour les confier au préposé, a facilité la fraude du tiers par l’augmentation du risque d’exposition du comptable à l’escroquerie alléguée. La société a elle-même, en quelque sorte, « communiqu[é] l’arme du délit »21 et participé à la réalisation de son propre préjudice. Il est dès lors heureux que la décision commentée retienne un partage du risque entre le payeur et le banquier. Le manquement de la société à ses obligations légales et contractuelles de protéger ses dispositifs de sécurité engage sa responsabilité, de la même manière que la banque engage la sienne pour l’insuffisance des vérifications dans l’exécution de son devoir de vigilance. Il s’ensuit que si le banquier ne peut « faire enquête sur tous ceux avec qui il contracte »22 et qu’il est tenu de vérifier les pouvoirs des dirigeants en présence d’ordres de virements potentiellement frauduleux, il n’a pas à supporter les conséquences des manquements du payeur à l’origine de la dissipation des fonds.