Fraude au président : quels recours ?

Bien connue depuis une vingtaine d’années, la fraude au président est une escroquerie qui consiste à usurper l’identité d’un donneur d’ordre pour exiger d’un collaborateur qu’il effectue un virement frauduleux sous prétexte d’une opération urgente ou confidentielle.

Votre société est nécessairement concernée par ce type de fraude, car personne n’est épargné.

Les attaques peuvent cibler les entreprises de toute taille et dans tous les secteurs. Elles ont explosé au cours de la crise sanitaire dans un contexte de baisse de vigilance des entreprises et du développement du télétravail. Le plus souvent, l’escroc, très bien organisé et persuasif, téléphone au comptable ou à l’assistante de direction de l’entreprise ou lui envoie un mail en se faisant passer pour le dirigeant. Sous prétexte d’urgence et de confidentialité absolue de l’opération, il lui demande de virer une grosse somme sur un compte bancaire situé à l’étranger, généralement en Asie ou en Europe de l’Est, en vue de la conclusion d’un contrat stratégique, d’une opération d’acquisition, etc.

Même si certaines entreprises ont mis en place en interne des mesures de sensibilisation de leurs collaborateurs et que les banques intègrent désormais des mesures de sécurité renforcée pour les virements internationaux, les fraudes au président se multiplient et aboutissent au pillage de la trésorerie des entreprises victimes qui restent impuissantes à recouvrer leurs fonds à l’étranger, le plus souvent faute d’identification des auteurs des faits.

Des géants tels Michelin, Coca-Cola, Intermarché, Pathé, KPMG, Eurocopter, etc. en ont fait les frais en perdant plusieurs millions d’euros.

Si vous n’avez que 30 secondes

Au-delà des possibilités de prévenir les risques de fraude ou de mettre en cause votre assurance si votre police vous protège, les chances de réparation sérieuses résident davantage dans la mise en cause de l’établissement bancaire auteur du virement.

En amont et en pratique, il appartient au dirigeant de revoir les habilitations convenues avec sa banque, et d’alerter ses équipes sur les risques encourus avec ce type de fraude.

En cas de fraude, la jurisprudence s’est stabilisée en distinguant deux régimes de responsabilité des banques :

• un régime de responsabilité générale issue du code civil, dans le cadre d’une négligence de la banque dans l’exécution du contrat de dépôt. Ce dispositif peut conduire à un partage de responsabilité entre la banque et l’entreprise conduisant à un remboursement de tout ou partie du virement effectué. Ce régime de responsabilité se heurte de plus en plus au principe de non ingérence reconnu à la banque dans les affaires du client ;
• un régime de responsabilité visant la violation des obligations de la banque dans l’absence de vérification de l’authenticité de l’ordre, de l’auteur et des pouvoirs du demandeur du virement. L’absence de consentement du dirigeant conduit dans ce cas au remboursement du virement dans son intégralité. C’est ce dispositif qui a conduit les banques à mettre en place des dispositifs de virement sécurisés avec double système d’authentification. En cas de fraude réalisée en dehors des dispositifs de virements sécurisés mis en place, les chances de succès d’une mise en cause de la responsabilité de la banque sont sérieuses.

1. La responsabilité civile et pénale de l’auteur de la fraude

La fraude réalisée est constitutive d’une faute civile et matérialise la commission de plusieurs infractions pénales de la part de son auteur.

Le caractère international de l’opération et les difficultés d’identification de l’auteur ne doivent pas vous dissuader de déposer plainte à son encontre, ne serait-ce pour vous prémunir du reproche de ne pas l’avoir fait de la part des entités que vous mettrez en cause sur d’autres plans.

2. La mise en jeu de la garantie souscrite au travers de vos polices d’assurance

Avant de faire valoir votre protection juridique, vous devez lire attentivement votre contrat d’assurance. Il est nécessaire de vérifier dans vos différentes polices d’assurance si les risques numériques et informatiques sont ou non couverts (risques Cyber).

Il peut être judicieux de réaliser un audit juridique de vos contrats d’assurance afin d’évaluer les risques de votre entreprise et les garanties pour y faire face.

Le cas échéant, nous vous invitons à souscrire une garantie spécifique.

L’interprétation des clauses d’un contrat d’assurance étant technique, il est plus que conseillé de se faire accompagner. N’hésitez pas à contacter un expert de ces questions.

3. La mise en cause de votre prestataire informatique

La sécurité des emails est indispensable car l’email est l’un des principaux outils utilisés pour favoriser le déroulement de la fraude.

La sécurité informatique de votre société passe par la sécurité de la messagerie, du réseau et des terminaux.

Votre prestataire informatique externe, ou bien votre directeur des services informatiques en interne, doivent travailler sur la sécurité des emails de l’entreprise en déployant une solution de contrôle des emails et d’analyse de leur contenu, afin d’identifier notamment les emails malveillants et diminuer les risques. La responsabilité de votre prestataire informatique pourra être recherchée en cas de faille de sécurité.

4. La mise en cause de la banque émettrice du virement

Les fraudes au président sont désormais bien connues des établissements bancaires à qui la jurisprudence impose un devoir de vigilance renforcé visant à sanctionner toute négligence de l’établissement bancaire face à ce phénomène.

Car à côté de la responsabilité de l’auteur de la fraude souvent difficilement identifiables et de celle des salariés des entreprises victimes qui participent à la fraude sans le vouloir et sont le plus souvent licenciés, la banque assume la responsabilité de ses préposés qui effectuent les paiements litigieux sans avoir opéré un contrôle rigoureux de l’opération suspecte ou inhabituelle.

Si la jurisprudence retenait jusqu’à peu, généralement, un partage de responsabilité entre l’entreprise et la banque, elle se montre depuis quelques années de plus en plus sévère à l’égard des établissements bancaires, particulièrement informés de ce type de fraude, et dont la responsabilité oscille entre une responsabilité exclusive et une responsabilité partagée avec l’entreprise. La responsabilité de la banque peut être recherchée en justice à plusieurs titres.

En premier lieu, sous l’angle du code civil, les établissements bancaires ont une responsabilité en qualité de dépositaires des fonds qui leurs sont remis et ne doivent « restituer la chose déposée, qu’à celui qui la lui a confiée, ou à celui au nom duquel le dépôt a été fait, ou à celui qui a été indiqué pour le recevoir » (art. 1937 du code civil).

Sur la base de ce texte, la jurisprudence considère que la banque qui exécute un faux ordre de virement engage sa responsabilité de plein droit et doit en rembourser le montant à son client – et ce indépendamment de toute faute dans l’exercice de ses obligations contractuelles ou légales.

Sous l’angle du Code monétaire et financier, toute opération de paiement doit être autorisée par le titulaire du compte. On considère qu’une opération de paiement n’est autorisée que si le client a donné son consentement à son exécution (art. L. 133-6 du Code monétaire et financier). A contrario, en l’absence de consentement, l’opération ou la série d’opérations de paiement est réputée non autorisée. Lorsqu’elle reçoit un ordre de virement, la banque est donc tenue de procéder à des vérifications. Elle doit notamment s’assurer de l’authenticité de l’ordre et que l’émetteur de l’ordre a les pouvoirs suffisants.

Ainsi les tribunaux retiennent que l’exécution d’un ordre de virement qui n’émane pas du titulaire du compte engage la responsabilité de la banque indépendamment même de toute faute dans l’exécution de ses obligations.

Si une telle opération est faite sans le consentement du client, la banque doit lui rembourser le montant de l’opération non autorisée (article L. 133-18 du Code monétaire et financier).

En cas de manquement de la banque aux vérifications qui lui incombent, la jurisprudence retient l’existence d’une faute exclusive de la banque avec une obligation de réparer intégralement le dommage.

En outre, malgré une obligation de non-ingérence qui fait interdiction au banquier de s’immiscer dans les affaires de ses clients, le banquier est tenu à une obligation générale de vigilance, conformément à l’article L. 561-6, al. 2 du Code monétaire et financier, qui lui impose de mettre en garde son client sur toute opération suspecte.

Il appartient ainsi à la banque de déceler, parmi les opérations qu’on lui demande de traiter, celles qui présentent une anomalie apparente, qu’elle soit matérielle ou intellectuelle, et de tout mettre en œuvre pour éviter le préjudice qui résulterait pour le client ou pour un tiers de la réalisation de telles opérations.

Le banquier doit relever l’opération inhabituelle au regard notamment de son montant, de sa fréquence ou du pays de destination des fonds.

A défaut, la banque commet une faute de négligence source de responsabilité. En matière de virement bancaire, la jurisprudence exige notamment des banques qu’elles procèdent à la vérification des habilitations de l’auteur de l’opération.

Elles doivent également solliciter la confirmation de la validité d’un ordre de virement suspect directement auprès du dirigeant, et non pas seulement auprès du comptable de la société, sans que la banque puisse se retrancher derrière son devoir de non-immixtion.

La négligence du client qui n’a pas pris les précautions nécessaires pour vérifier la régularité de l’ordre de virement et les manœuvres frauduleuses commises par l’escroc n’exonèrent pas l’établissement bancaire de sa responsabilité.

En conclusion, le dirigeant victime n’est pas dénué de recours en cas de fraude. Certains supposent en amont une politique de prévention des risques, que ce soit dans les polices d’assurance de l’entreprise, ou dans les contrats des prestataires informatiques ou télécoms.

Enfin, les entreprises victimes sont fondées à engager la responsabilité de leur banque, que ce soit au titre d’un défaut de consentement dans la réalisation du virement, ou encore en cas de manquement de la banque à son obligation de vigilance.

Hubert Mortemard de Boisse, associé
Gaëlle Delaire, avocat