ARRÊT n°

Grosse + copie

délivrées le

à

COUR D’APPEL DE MONTPELLIER

Chambre commerciale

ARRET DU 18 NOVEMBRE 2025

Numéro d’inscription au répertoire général :

N° RG 25/01103 – N° Portalis DBVK-V-B7J-QSER

Décision déférée à la Cour :

Jugement du 03 FEVRIER 2025

TRIBUNAL DE COMMERCE DE MONTPELLIER

N° RG 2023 02231

APPELANTE :

S.A.S. APDMG

[Adresse 3]

[Localité 1]

Représentée par M^e Alexandre SALVIGNOL de la SARL SALVIGNOL ET ASSOCIES, avocat au barreau de MONTPELLIER, avocat postulant

Représentée par M^e Arnaud DIMEGLIO, avocat au barreau de MONTPELLIER, avocat plaidant

INTIMEE :

CAISSE REGIONALE DE CREDIT AGRICOLE MUTUEL DU LANGUEDOC

[Adresse 4]

[Localité 2]

Représentée par M^e Pascal ADDE de la SCP ADDE – SOUBRA AVOCATS, avocat au barreau de MONTPELLIER

Ordonnance de clôture du 09 Septembre 2025

COMPOSITION DE LA COUR :

En application des dispositions des articles 906-5 et 914-5 du code de procédure civile, l’affaire a été débattue le 16 Septembre 2025,en audience publique, devant M^me Danielle DEMONT, présidente de chambre et M. Fabrice VETU, conseiller, chargé du rapport, les avocats ne s’y étant pas opposés.

Ces magistrats ont rendu compte des plaidoiries dans le délibéré de la cour, composée de :

M^me Danielle DEMONT, présidente de chambre

M^me Frédérique BLANC, conseillère

M. Fabrice VETU, conseiller

Greffier lors des débats : M^me Elodie CATOIRE

ARRET :

— Contradictoire ;

— prononcé par mise à disposition de l’arrêt au greffe de la cour le 28 octobre 2025 prorogé au 18 novembre 2025, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l’article 450 du code de procédure civile ;

— signé par M^me Danielle DEMONT, présidente de chambre, et par M^me Elodie CATOIRE, greffière.

FAITS ET PROCEDURE :

Le 17 décembre 2021, la SAS Apdmg a ouvert un compte bancaire auprès de la SA Caisse Régionale de Crédit Agricole Mutuel du Languedoc (ci-après CRCAM du Languedoc) et le 31 août 2022, les parties ont signé un contrat d’échange de données informatisées « service Ediweb » afin de sécuriser les opérations bancaires en ligne.

Dans le cadre d’un projet de construction d’un hôpital, la SAS Apdmg a effectué un virement d’un montant de 102 695 euros en date du 29 novembre 2022 sur un faux RIB de la société TTPM et un virement d’un montant de 134 412,40 euros en date du 20 décembre 2022 sur un faux RIB de la société SMB Construction.

Les 4 et 25 janvier 2023, la société Apdmg a déposé plainte auprès de la gendarmerie de [Localité 5] concernant les virements frauduleux.

Par lettre du 29 juin 2023, la société Apdmg a mis en demeure la CRCAM du Languedoc de lui rembourser le montant de chacun des virements frauduleux en invoquant l’escroquerie dont elle a été victime, et sollicité des informations concernant l’escroc.

Par exploit du 22 novembre 2023, la société Apdmg a assigné la CRCAM du Languedoc en responsabilité délictuelle pour manquement à son obligation d’information et en responsabilité contractuelle, pour manquement à son obligation de mise en garde, et obtenir le versement de dommages et intérêts.

Par jugement contradictoire du 3 février 2025, le tribunal de commerce de Montpellier a rejeté toutes demandes de la société Apdmg,l’a condamnée à payer la somme de 3 000 euros au titre de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens,et écarté la demande visant à écarter l’exécution provisoire.

Par déclaration du 25 février 2025, la société Apdmg a relevé appel de ce jugement.

Par conclusions du 5 mai 2025, la SAS Apdmg demande à la cour, au visa des articles 1104, 1112-1, 1130 et suivants, 1194, 1231-1, 1240, 1241, 1353, 1915, 1927, 1937 du code civil, des articles 4, 5, 12 du code de procédure civile et des articles L. 133-3, L. 133-6, L. 133-18 et L. 133-21 du code monétaire et financier, de :

À titre préliminaire,

prononcer la nullité du jugement entrepris pour non-respect du principe du contradictoire et dénaturation de ses demandes ;

Sur le fond,

l’infirmer en toutes ses dispositions ;

Statuant à nouveau,

Sur la nullité du contrat Ediweb et des opérations litigieuses,

juger que la CRCAM du Languedoc a manqué à son obligation d’information, en ne l’ayant pas informée sur le risque d’escroquerie par usurpation d’identité sur de faux RIB adressés par courriel, sur l’absence de vérification par la banque de l’adéquation du nom du titulaire du compte avec le numéro IBAN alors même qu’elle indique cette information comme obligatoire dans son formulaire, sur l’existence en interne du logiciel SECURIBAN lequel permet de vérifier la cohérence d’un numéro IBAN et sur l’absence d’intégration de SECURIBAN à Ediweb ;

prononcer, par conséquent, la nullité du contrat Ediweb conclu le 31 août 2022 et les virements subséquents de 102 695 euros (TTPM) et de 134 412,42 euros (SMB Construction) ;

Sur la responsabilité délictuelle,

juger que la CRCAM du Languedoc n’a pas respecté son obligation d’information, ce qui lui a causé un préjudice ;

engager, par conséquent, sa responsabilité délictuelle ;

la condamner à lui payer les sommes de 50 000 euros à titre de de dommages et intérêts en réparation de son préjudice financier, et 10 000 euros en réparation de son préjudice moral ;

Sur la responsabilité contractuelle,

juger qu’elle a manqué à son obligation de mise en garde en ne la mettant pas en garde sur les risques inhérents aux opérations conclues à distance, escroqueries en ligne, faux RIB communiqués par courriel avec usurpation d’identité, sur l’absence de vérification de l’IBAN alors même qu’elle dispose d’un outil en interne permettant de faire cette vérification (SECURIBAN) et sur l’absence d’intégration de SECURIBAN à Ediweb ;

juger qu’elle a manqué à son obligation de vigilance en ne l’ayant pas informée sur la nature des anomalies apparentes qu’elle avait détecté lors du premier virement de 102 695 euros (TTPM), en n’ayant pas détecté le changement d’IBAN de la société SMB Construction lors du second virement de 134 412,42 euros alors qu’il s’agissait de sa cliente et en n’ayant pas utilisé son système interne SECURIBAN/DIAMOND malgré le fait qu’elle avait détecté une anomalie lors du premier virement, et que le second virement était également apparemment anormal ;

juger qu’elle a manqué à son obligation de bonne foi en prétendant qu’il existait une impossibilité technique de vérifier l’IBAN alors qu’elle dispose en interne d’un logiciel dénommé SECURIBAN qui permet d’effectuer cette vérification ;

la condamner, par conséquent, à lui payer les sommes de 70 000 euros à titre de dommages et intérêts en réparation de son préjudice financier et 15 000 euros en réparation de son préjudice moral ;

Sur la responsabilité au titre du code monétaire et financier,

Principalement,

juger que les virements de 102 695 euros (TTPM) et de 134 412,42 euros (SMB Construction) effectués sont « non autorisés » au sens de l’article 133-18 du code monétaire et financier en raison du vice de son consentement par erreur et dol ;

juger que la CRCAM du Languedoc a manqué à son obligation de remboursement et la condamner, par conséquent, à lui rembourser la somme de 234 880 euros correspondante aux virements de 102 695 euros (TTPM) et de 134 412,42 euros (SMB Construction), déduction faite du rappel des fonds d’un montant de 2 227 euros ;

Subsidiairement,

juger qu’elle a manqué à son obligation de s’efforcer de récupérer les fonds en s’abstenant de demander aux banques CIC et Bunq les informations pouvant documenter le recours en justice en vue de récupérer les fonds et en ne lui communiquant pas ces informations ;

la condamner, par conséquent, sous astreinte de 500 euros par jour de retard, 8 jours à compter de la signification du jugement, à demander aux banques CIC et Bunq les informations qu’elles détiennent permettant d’identifier la personne physique ou morale ayant bénéficié des virements litigieux et tout élément pouvant documenter le recours en justice en vue de récupérer les fonds et à lui communiquer ces informations ;

la condamner à lui payer les sommes de 50 000 euros à titre de dommages et intérêts en réparation de son préjudice financier et 10 000 euros en réparation de son préjudice moral ;

la condamner à payer la somme de 10 000 euros au titre de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens ;

et la débouter de l’ensemble de ses demandes.

Par conclusions du 19 juin 2025, La CRCAM du Languedoc demande à la cour de :

confirmer le jugement entrepris ;

rejeter l’ensemble des demandes de la société Apdmg ;

À titre reconventionnel,

et la condamner à payer la somme de 10 000 euros au titre de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens.

Il est renvoyé, pour l’exposé exhaustif des moyens des parties, aux conclusions susvisées, conformément aux dispositions de l’article 455 du code de procédure civile.

L’ordonnance de clôture est datée du 9 septembre 2025.

MOTIFS :

Sur la nullité du jugement

Moyens des parties :

1. Au visa de l’article 16 du code de procédure civile, la SAS Apdmg fait valoir que le tribunal de commerce de Montpellier l’a déboutée de ses demandes relatives à l’application du code monétaire et financier en se fondant sur un arrêt de la Cour de cassation daté du 15 janvier 2025, alors que les débats ont eu lieu le 2 décembre 2024, soit plus d’un mois auparavant, de sorte qu’elle n’a pu débattre contradictoirement de cet arrêt.

2. Se prévalant ensuite des dispositions des articles 4 et 5 du code de procédure civile, elle fait valoir que le tribunal de commerce de Montpellier l’aurait déboutée sans tenir compte de ses demandes au titre du code monétaire et financier et, ainsi, aurait traité la demande subsidiaire avant la demande principale, pour ensuite les traiter ensemble, dénaturant ses demandes.

3. L’intimée répond que le tribunal a fait application de l’article L. 133-21 du code monétaire et financier, dont le champ d’application couvre le litige, à savoir, la transmission d’un IBAN litigieux et le nom des sociétés que la SAS Apdmg a désigné comme bénéficiaires, de sorte que l’invocation d’une jurisprudence ne peut invalider son raisonnement.

Réponse de la cour :

4. Aux termes de l’article 16 du code de procédure civile :

« Le juge doit, en toutes circonstances, faire observer et observer lui-même le principe de la contradiction.

Il ne peut retenir, dans sa décision, les moyens, les explications et les documents invoqués ou produits par les parties que si celles-ci ont été à même d’en débattre contradictoirement.

Il ne peut fonder sa décision sur les moyens de droit qu’il a relevés d’office sans avoir au préalable invité les parties à présenter leurs observations. »

5. L’appelante admet elle-même que le moyen de droit tiré de l’application, ou non, du code monétaire et financier était dans les débats. Il s’ensuit que ce moyen n’a pas été relevé d’office par le tribunal de commerce de Montpellier.

6. En revanche, en se fondant sur un arrêt de la Cour de cassation rendu postérieurement à la clôture des débats, dont le contenu n’a pu être contradictoirement débattu, le tribunal de commerce de Montpellier n’a pas observé la règle contenue à l’article 16 du code de procédure civile.

7. Dès lors, le jugement déféré sera annulé sans qu’il ne soit nécessaire d’examiner les autres moyens présentés à cette fin.

8. Cependant, cette annulation ne touchant pas à la saisine même du tribunal, la cour demeure saisie de l’entier litige par l’effet dévolutif de l’appel prévu à l’article 562 du code de procédure civile.

Sur la nullité du contrat de service Ediweb du 31 août 2022

Moyens des parties :

9. La SAS Apdmg fait valoir que son banquier disposait de nombreuses informations déterminantes qui ne lui auraient pas été délivrées et qui concernaient les risques sur les faux RIB, l’absence de vérification du numéro d’IBAN, l’existence de SécurIBAN et l’absence d’intégration de SécurIBAN à Ediweb.

Selon elle, dans le contexte de fraude actuel, la sécurité des opérations et l’investissement de son banquier dans la lutte contre la fraude revêtaient une importance déterminante dans son choix de contracter ou non avec l’intimée ou de souscrire au service SécurIban.

10. L’absence de délivrance de ces informations auraient en outre vicié son consentement. Elle aurait ainsi été induite en erreur par la CRCAM du Languedoc tandis que son consentement aurait été vicié par l’escroc, ceci, en utilisant des man’uvres dolosives consistant à usurper l’identité de ses prestataires. Il en résulterait, selon elle, la nullité de la convention Ediweb mais également des opérations de virement subséquentes.

11. La CRCAM du Languedoc réplique qu’elle n’a d’obligation générale d’information en sa qualité de prestataire de service de paiement dans sa relation avec le payeur.

12. Elle ajoute, plus précisément, que dans le cadre de la négociation et de l’adhésion à un contrat de prestation de service d’échange de données informatisées permettant au client d’échanger avec elle des fichiers de donnés dans un environnement internet sécurisé pour la réalisation d’opérations et de services bancaires, la banque n’est pas astreinte à observer les obligations de l’article 1112-1 du code civil et, notamment :

— de vulgariser, de transmettre l’information ou d’attirer l’attention sur l’existence d’un risque de fraude ou d’arnaque au faux RIB (1er moyen adverse « risque de faux rib »).

— de vérifier la concordance du nom de bénéficiaire renseigné par le payeur avec l’identité du titulaire du compte (2ème moyen « vérification de la cohérence de l’IBAN »).

— de présenter des prestations de services destinées à lutter contre ces fléaux ou de s’abstenir en interne et gratuitement d’utiliser de tels outils (3ème grief « l’outil de vérification de l’IBAN SécurIban »).

13. S’agissant du dol proprement dit, l’intimée ne conclut pas sur ce point.

Réponse de la cour :

14. Il résulte de l’article 1112-1 du code civil que le devoir d’information précontractuelle ne porte que sur les informations qui ont un lien direct et nécessaire avec le contenu du contrat ou la qualité des parties, et dont l’importance est déterminante pour le consentement de l’autre partie.

15. L’appelante ne se prévaut pas de manquement au devoir d’information précontractuel mais allègue, exclusivement, des fautes qui auraient été commises à l’occasion de l’exécution du contrat (vérification spontanée d’un IBAN par la banque ou encore mise en 'uvre d’une solution SécurIBAN) ou, encore, des faits survenus postérieurement à la signature de la convention (information sur la cybercriminalité dans un rapport financier pour l’année 2022).

16. Les manquements reprochés, au demeurant non prouvés, ne peuvent emporter, au fond, nullité de la convention pour défaut d’information précontractuelle.

17. Aux termes de l’article 1130 du code civil, l’erreur, le dol et la violence vicient le consentement lorsqu’ils sont de telle nature que, sans eux, l’une des parties n’aurait pas contracté ou aurait contracté à des conditions substantiellement différentes. Leur caractère déterminant s’apprécie eu égard aux personnes et aux circonstances dans lesquelles le consentement a été donné. L’article 1131 précise que les vices du consentement sont une cause de nullité relative du contrat.

18. La SAS Apdmg, qui se prévaut du dol d’un tiers à la convention qu’elle nomme « l’escroc » et, sans l’énoncer clairement (p. 13 de ses écritures), de l’erreur qui en est résultée puisqu’elle était persuadée de virer des sommes au profit de ses cocontractants habituels, pourrait se prévaloir de la nullité du contrat Ediweb signé avec la CRCAM du Languedoc, à condition, toutefois, que celle-ci porte sur la substance même du contrat et qu’elle soit antérieure à la signature de la convention.

19. Cependant, elle ne soutient aucun moyen précis sur ce point, de sorte que la convention Ediweb n’encourt pas la nullité à ce titre.

20. Il en est de même s’agissant de l’éventuelle nullité des virements pour lesquels aucune explication de fait ou de droit en lien avec les man’uvres du tiers, n’est fournie.

21. Par ailleurs, et de manière surabondante, il sera fait observer que ce moyen de l’appelante est profondément antinomique à celui par lequel elle considère que ces virements n’étaient pas autorisés. Il est difficile, en effet, de plaider l’erreur que l’on aurait commise à l’occasion de l’exécution d’un virement que l’on dit ne pas avoir autorisé.

22. S’agissant de l’erreur sur les bénéficiaires « provenant du caractère trompeur du formulaire de la caisse », il sera retenu que :

— La banque n’est pas tenue à un devoir général d’information sur l’existence de fraudes, ou certains types de fraude, en matière bancaire, comme les premiers juges ont revêtu, de sorte que la preuve d’une erreur résultant d’une absence d’information sur « les risques de faux RIB » n’est pas rapportée ;

— L’appelante avait la possibilité, comme tous les clients, de souscrire à SécurIban, prestation étrangère au service Ediweb, étant précisé que le mécanisme proposé par le service SécurIban prévoit une vérification personnelle par le client, et non par le banquier.

23. Enfin, il est tout aussi inopérant d’alléguer une obligation pour le banquier de vérifier la conformité de l’IBAN au nom du bénéficiaire, qui ne deviendra obligatoire qu’à compter du 9 octobre 2025, en application du règlement européen sur les paiements instantanés, alors que la signature de la convention Ediweb est intervenue le 31 août 2022.

24. Le rejet des demandes de nullité du contrat Ediweb et des opérations litigieuses présentées par l’appelante sur ces fondements sera confirmé.

Sur la responsabilité de la banque

25. Avant exposé des moyens des parties intéressant le litige, il sera rappelé les distinctions opérées par le code monétaire et financier et les conséquences qui en découlent, cette dichotomie ayant un impact sur l’examen, par la cour, de la qualification des opérations litigieuses, laquelle est dans le débat, dès lors que l’appelante se réfère à la responsabilité fondée sur le droit commun (tant délictuelle que contractuelle) mais aussi, à la responsabilité édictée par le code monétaire et financier.

26. Selon le code monétaire et financier, coexistent deux types d’opération qui répondent à des régimes de responsabilité distincts :

— L’opération non autorisée ou mal exécutée, pour laquelle seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier, qui transposent les articles 58, 59 et 60, paragraphe 1, de la directive 2007/64/CE, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national. Cette hypothèse, selon l’article L. 133-23 de ce code, recouvre les cas où « un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement. » ;

— L’opération autorisée, définie comme telle par l’article L. 133-6 du code monétaire et financier, lorsque le payeur a donné son consentement à son exécution, ceci, dans les formes convenues avec le prestataire de services de paiement, ajoute l’article L. 133-7, ledit consentement devant en outre porter sur les éléments essentiels, tels que le montant ou le destinataire de l’opération ; la responsabilité des prestataires de services de paiement à raison d’une opération de paiement autorisée ne peut être engagée que sur le fondement de la responsabilité contractuelle, à l’exclusion du régime de responsabilité du code monétaire et financier issu de la transposition des directives sur les services de paiement 2007/64 puis 2015/2366 (en ce sens, Com., 12 juin 2025, n° 24.10-168, publié ; 12 juin 2025, n° 24.13-697, publié).

27. L’appelante se prévaut de deux opérations « non autorisées » dès lors, selon elle, que l’autorisation visée par l’article L. 133-6 du code monétaire et financier précise que ladite opération porte le consentement du payeur.

28. Elle fait valoir plus précisément que si elle a consenti à un ordre de virement pour un bénéficiaire déterminé, précisé dans l’ordre de virement, son consentement n’a pas été réel, puisque ne correspondant pas à ce qu’elle recherchait, à savoir, de payer son cocontractant et non pas l’escroc ayant reçu les fonds.

29. La banque intimée, pour sa part, plaide l’existence de deux opérations de paiement mal exécutées, et non deux opérations non autorisées, ceci, en « présence d’un faux RIB transmis par l’utilisateur qui est à l’origine de la demande de virement sur ledit RIB », et que l’opération « mal exécutée » serait imputable à la SAS Apdmg au regard des mauvais identifiants uniques qu’elle lui a fournis.

30. Mais, il ressort des productions et des explications des parties que les ordres de paiement ont été passés par un préposé habilité par la SAS Apdmg, au moyen du dispositif de paiement sécurisé mis à sa disposition lui assurant un processus d’authentification renforcée, et, donc, en la forme convenue entre le payeur et son prestataire, le tout, après que ledit préposé eut accepté de modifier l’identifiant unique des bénéficiaires, cocontractants de longue date, déjà en sa possession.

31. La circonstance que ce préposé, en l’espèce, le responsable comptable de la SAS Apdmg ait pu croire que cette modification était réalisée à la demande de l’un de ses cocontractants et sa conséquence (le paiement à des tiers non identifiés et non auxdits cocontractants) sont sans emport sur cette qualification, étant précisé qu’aucun tiers n’a, à l’insu du donneur d’ordre, modifié ultérieurement à la rédaction de l’ordre de virement, l’IBAN du compte destinataire (ce qui est le cas d’espèce de l’arrêt de la chambre commerciale de la Cour de cassation datée du 1er juin 2023, n° 21.19-289, publié, cité par l’appelante dans ses écritures).

Sauf à commettre une négligence grave, il appartenait à un comptable normalement diligent, en présence d’une allégation suspecte de changement d’Iban et de paiements d’un montant aussi important, de prendre attache directement avec son cocontractant pour vérifier auprès de lui la réalité de cette demande soudaine et inhabituelle, avant d’autoriser l’opération.

32. La qualification de virement « mal exécuté » soutenue par l’intimée dans majeure partie de ses écritures ne correspond pas davantage à cette réalité dès lors que la mauvaise exécution, visée par le texte de l’article L. 133-23 du code monétaire et financier, n’est imputable qu’à la banque, et non à l’utilisateur du service, et qu’il n’est pas allégué de mauvaise exécution de la part de la CRCAM du Languedoc.

33. Il sera d’ailleurs fait observer à la CRCAM du Languedoc que, tout en défendant l’hypothèse d’un virement mal exécuté, elle indique en page 24 de ses écritures, dans un paragraphe consacré au « consentement à l’ordre de paiement » que la « société Adpmg a consenti aux deux ordres de virement », que « les ordres de virement de 102.695,00 € du 29/11/2022 et de 134.412,42 € du 20/12/2022 sont des opérations de paiement autorisées par la société Adpmg » et que « dès lors que le consentement à l’opération sous-jacente est indifférent », « l’argument issu du fait que le demandeur ait agi en conséquence des man’uvres d’un usurpateur est inopérant ».

34. Il s’ensuit que les prétentions visant à engager la responsabilité de la CRCAM du Languedoc ne rentrent pas dans le cadre des opérations non autorisées ou mal exécutées comme le soutiennent à titre principal, respectivement, l’appelante et l’intimée mais, dans bien celui des opérations autorisées.

35. Les opérations ayant été autorisées, la responsabilité de la banque ne peut donc pas être recherchée sur le fondement des articles L. 133-18 et L. 133-23 du code monétaire et financier, mais peut l’être, en revanche, en cas de manquement à son obligation de vigilance.

Moyens des parties :

36. La SAS Apdmg fait valoir que la CRCAM du Languedoc aurait manqué à son obligation de mise en garde, de vigilance et de bonne foi.

37. Elle plaide, s’agissant de l’obligation de mise en garde, qu’en tant que société récemment créée, qu’elle n’avait pas d’expérience dans ce type de règlement, de montant important, et qu’elle devait être davantage informée des risques encourus du fait que les virements étaient opérés par des moyens de communication électronique à distance, sans contrôle humain, sans contrôle de la validité des RIB et sans vérification de la concordance du nom du bénéficiaire avec le numéro IBAN. Selon l’appelante, en s’abstenant de la mettre en garde en présence de tels manquements, la CRCAM engagerait sa responsabilité sur le fondement de l’article 1194 du code civil.

38. S’agissant de l’obligation de vigilance, elle soutient qu’au regard de la nature du contrat la liant avec l’intimée (contrat de dépôt), cette dernière était tenue à une obligation de garde des fonds déposés et une obligation de restitution aux personnes qu’elle avait désignées.

Selon la SAS Apdmg, des anomalies apparentes, liées au premier virement de 102 695 euros avaient bien été décelées par la CRCAM qui l’avait alertée, mais non utilement, en se contentant de lui demander si elle était à l’origine du virement.

39. Il en serait de même avec le second virement de 134 412 euros dès lors qu’elle possédait le numéro IBAN de la société SMB Construction, celle-ci étant sa cliente, et qu’en outre, peu de temps auparavant, elle avait instruit un virement de 98 840,58 euros grâce au « bon » numéro IBAN de cette société. L’appelante soutient que l’anomalie, pour ce virement, était d’autant plus apparente que la Bunq était une banque destinée aux « travailleurs indépendants » ou « aux petites entreprises nomades » et non aux sociétés comme SMB construction qui n’était, ni un travailleur indépendant, ni une personne nomade.

40. Résumant sa position sur ce point, la SAS Apdmg fait valoir que la CRCAM du Languedoc a, pour ces deux virements, manqué à son obligation de vigilance en :

— ne décelant pas le caractère apparemment suspect des opérations ;

— n’ayant pas tout mis en 'uvre pour éviter le préjudice ;

— n’ayant pas alerté la société Apdmg et la société SMB Construction sur les anomalies apparentes des demandes de virement à réaliser ;

— n’utilisant pas le service SecurIban qui était pourtant à sa disposition en interne avant les virements.

41. Enfin, selon l’appelante, la CRACAM du Languedoc ferait montre d’une particulière mauvaise foi en soutenant que la vérification d’IBAN était impossible à la date de ces deux virements puisqu’elle était adhérente de ce système « depuis au moins le mois de mai 2022 » et pouvait l’intégrer à EdiWeb.

42. La CRCAM du Languedoc réplique :

— qu’il n’existe aucune obligation, d’origine légale ou prétorienne, de mise en garde du prestataire de paiement contre le risque de substitution frauduleuse du RIB communiqué par le donneur d’ordre et que la demande création d’une règle prétorienne de mise en garde fondée sur l’article 1194 du code civil, adressée à la cour, n’est pas fondée ;

— qu’aucun manquement à son obligation de vigilance ne peut lui être reproché en présence d’un régime de responsabilité reposant exclusivement sur l’application de l’article L. 133-21 du code monétaire et financier mais que, néanmoins, la société Apdmg ne rapporterait pas la preuve que les changements de coordonnées bancaires et les ordres de virements en discussion étaient affectés d’anomalies apparentes qui auraient dû être détectées par elle ;

— sa bonne foi ne saurait être remise en cause dès lors qu’aucune obligation de vérification de l’identité du bénéficiaire n’existe.

Réponse de la cour :

43. Il sera rappelé, conformément aux développements qui précèdent :

qu’aucune vérification systématique de la concordance d’un IBAN à son bénéficiaire n’était obligatoire à l’époque des deux virements litigieux ;

que le système SécurIban auquel adhérait la CRCAM du Languedoc est seulement proposé à la clientèle et qu’il fonctionne sur la base d’une vérification opérée par le client lui-même ;

qu’aucune preuve de l’existence d’une obligation d’intégrer SécurIban au service Ediweb n’est rapportée par l’appelante ;

que l’intimée n’est tenue à aucune obligation générale d’information du risque de fraude bancaire susceptible de survenir à l’occasion d’un ordre de virement.

44. Il s’ensuit que l’ensemble des développements sur ces points sont inopérants à fonder l’existence d’une mise en garde, qui plus est, au regard des dispositions de l’article 1194 du code civil.

45. Concernant l’obligation de vigilance, il est de principe que le banquier est tenu, sur le fondement de la responsabilité de droit commun, d’une obligation de vigilance dans le fonctionnement des comptes de ses clients, limitée à la détection des seules anomalies apparentes, qui s’ajoute à son devoir de vérification formelle de l’ordre de paiement.

46. Cette responsabilité est cependant elle-même limitée par un principe de non-ingérence, qui peut se définir comme l’interdiction faite au banquier de s’immiscer dans les affaires de son client.

47. Au regard des faits constants de l’espèce, une personne se faisant passer pour un employé du service financier de la société SMB Constructions avec laquelle la SAS Apdmg était en relation d’affaires pour la construction d’une clinique vétérinaire, a contacté son responsable comptable le 17 novembre 2022 afin de lui indiquer que l’IBAN jusqu’à présent enregistré par elle avait changé.

48. A la suite, ce responsable comptable a procédé aux modifications d’IBAN demandées par l’usurpateur, sur son espace bancaire sécurisé, comme il y était habilité.

49. A la suite encore, depuis son espace en ligne, après avoir accompli toutes les formalités d’authentification ainsi que les formalités renforcées de confirmation, la SAS Apdmg a initié les ordres de virements en se fondant sur les IBAN qui n’étaient, ni ceux de son locateur d’ouvrage, ni ceux de son autre cocontractant.

50. Le premier des virements de 102 695 euros (ordonné le 28 novembre 2022 par la plateforme Ediweb), adressé à la société TTPM, a fait l’objet d’une vérification par la CRCAM aux termes de laquelle, il a été sollicité du représentant légal de la société qu’il confirme être à l’origine de l’opération, ce qui a été fait. Le second des virements, initié le 20 décembre 2012, pour un montant de 134 412,42 euros, en faveur de la société SMB Construction n’a pas fait l’objet d’échanges particuliers entre les parties.

51. Il sera retenu que la SAS Adpmg ne prouve pas que la CRCAM aurait failli à son obligation de vigilance dès lors que :

la procédure prévue entre les parties, jusqu’à l’authentification renforcée (Article 4.2.2 et Annexe A de la convention) a été suivie de sorte que la vérification formelle des ordres de paiement a été réalisée ;

les destinataire des ordres de virement étaient parfaitement connus (il ne s’agissait pas de nouveaux clients) et étaient en relation d’affaires continues les comptes mais c’est pas grave pour les besoins de la construction d’une hôpital ;

ce mode de paiement était habituel et les montants virés étaient normaux au regard de cette relation d’affaire et il n’avait pas été prévu de plafond dans la convention (art. 4.2.3 de la convention aux termes de laquelle, notamment, « les Parties conviennent que la Caisse Régionale n’est tenue qu’à la vérification des pouvoirs spécifiques prévus aux présentes. La Caisse Régionale traitera les remises authentifiées par certificat de signature personnelle sans ajouter aucun contrôle sur le montant des remises qui ne serait pas prévu à l’annexe Cou D des conditions particulières. En l’absence de détermination de plafond de remises prévu par les présentes, le client, afin de maîtriser ce risque interne, doit mettre en place une organisation et des outils permettant la validation sécurisée des instructions de paiement conformément aux délégations et aux procédures internes, avant leur transmission à la Caisse Régionale. » ;

la destination des paiement était en zone SEPA et hors pays à réputation criminogènes (liste noire tenue par l’AMF) ;

52. Aucune anomalie apparente ne pouvant être décelée par la CRCAM du Languedoc, sa responsabilité ne peut être engagée sur le fondement d’un manquement à son obligation de vigilance.

PAR CES MOTIFS

La cour,

Annule le jugement déféré ;

statuant à nouveau et ajoutant

Rejette toutes demandes de la SAS Apdmg ;

La condamne aux dépens de première instance et appel ;

En application de l’article 700 du code de procédure civile, rejette la demande de la SAS Apdmg, et la condamne à payer la somme de 3 000 € à la CRCAM du Languedoc.

Le greffier La présidente