Par un arrêt du 4 mars 2026, la chambre commerciale juge que le régime de l’article L. 133-21 du code monétaire et financier ne protège pas la banque lorsqu’elle ne s’est pas bornée à exécuter l’ordre de paiement. Si la banque a elle-même préparé l’ordre de virement à partir d’un RIB comportant des anomalies manifestes, elle peut être condamnée sur le fondement de la responsabilité contractuelle pour manquement à son devoir de vigilance.

Cour de cassation, chambre commerciale, financière et économique, 4 mars 2026, n° 25-11.959

Les faits relèvent d’un schéma classique de fraude au faux RIB dans le cadre d’une acquisition immobilière.

Des clients de BNP Paribas avaient transmis à leur banque un relevé d’identité bancaire reçu d’une adresse électronique imitant frauduleusement celle d’une étude notariale. La banque avait alors établi un ordre de virement reprenant ces coordonnées, avant de le faire signer par les clients. Le virement avait finalement crédité un compte dont le bénéficiaire est demeuré inconnu. Les clients ont alors recherché la responsabilité de la banque pour manquement à son obligation de vigilance.

La banque soutenait que le litige devait relever exclusivement du régime spécial des services de paiement. Elle invoquait l’article L. 133-21 du code monétaire et financier, selon lequel un ordre exécuté conformément à l’identifiant unique fourni par l’utilisateur est réputé dûment exécuté, de sorte que le prestataire n’est pas responsable si cet identifiant est inexact.

La Cour de cassation rappelle d’abord cette logique, en visant également la jurisprudence de la Cour de justice de l’Union européenne sur le caractère harmonisé de ce régime. Mais elle introduit une limite claire :

« si la responsabilité contractuelle de droit commun fondée sur l’article 1231-1 du code civil n’est pas applicable à l’exécution par le prestataire de services de paiement d’un ordre de paiement conformément à l’identifiant unique fourni par l’utilisateur, tel n’est pas le cas lorsque le prestataire de services de paiement ne s’est pas borné à exécuter l’ordre de paiement. »

Le régime spécial demeure exclusif lorsque la banque exécute simplement l’ordre reçu. En revanche, il cesse de faire obstacle au droit commun de la responsabilité lorsque la banque a joué un rôle actif dans l’opération litigieuse.

Or, en l’espèce, la Cour approuve les juges du fond d’avoir retenu que le RIB litigieux présentait des anomalies évidentes :

« l’identité bancaire figurant sur l’ordre de paiement établi par la banque pour être ensuite soumis à la signature de M. et Mme [K] comportait des incohérences apparentes et manifestes qui ne pouvaient laisser aucun doute, pour un professionnel normalement diligent, sur le fait que l’identifiant était un faux grossier »

Pour la Cour de cassation, la banque ne pouvait plus se retrancher derrière une exécution purement technique de l’ordre, puisqu’elle l’avait elle-même rédigé. La Cour valide donc la condamnation prononcée contre elle :

« la banque ne s’étant pas bornée, en sa qualité de prestataire de services de paiement, à exécuter un ordre de virement conformément à l’identifiant unique fourni par M. et Mme [K], mais avait elle-même rédigé cet ordre, cette dernière était tenue d’indemniser, sur le fondement du droit commun, ses clients du préjudice causé par ce manquement à son devoir de vigilance. »

Cette décision ne remet pas en cause le principe selon lequel la banque n’a pas, en principe, à contrôler la concordance entre le nom du bénéficiaire et l’IBAN communiqué. En revanche, il rappelle que cette protection suppose que l’établissement soit resté dans son rôle d’exécutant. Dès lors qu’il participe lui-même à la préparation de l’ordre et qu’il laisse passer un faux grossier, sa responsabilité peut être engagée sur le terrain du droit commun.

Rappelons que depuis le 9 octobre 2025, toutes les banques de la zone euro doivent mettre en œuvre un nouveau service de Vérification du Bénéficiaire (VoP – Verification of Payee) avec le Règlement européen 2024/886. Ce dispositif vise à sécuriser les virements bancaires en vérifiant que le nom du bénéficiaire renseigné par le client correspond bien à l’IBAN du compte destinataire.

En pratique, la décision incitera les banques à sécuriser davantage les opérations dans lesquelles elles assistent activement leurs clients, en particulier lors de virements liés à des ventes immobilières.

Il faudra donc en pratique déterminer si la banque s’est bornée à exécuter un ordre ou si elle a contribué à formaliser une opération dont les incohérences étaient immédiatement décelables. De cette distinction dépendra le régime de responsabilité de la banque.

Par Olivier VIBERT, SELARL KBESTAN

Paris et Evreux