PAIEMENTS · RÉGLEMENTATION

Depuis le 9 octobre 2025, votre banque doit contrôler que le nom du bénéficiaire correspond à l'IBAN avant que vous puissiez autoriser un virement. Depuis le 17 juin 2026, la Cour de cassation juge que payer un faux IBAN ne vous libère pas de votre dette. Ces deux dates, ensemble, déplacent le risque.

Article publié le 27 août 2026

Le prestataire du payeur effectue la vérification immédiatement après que le payeur a fourni les informations sur le bénéficiaire et avant que le payeur ne se voie offrir la possibilité d'autoriser le virement. Ce n'est donc pas un contrôle de sécurité en aval, c'est une information donnée au moment où la décision de payer se prend encore.

La banque du bénéficiaire, saisie par celle du payeur, vérifie si l'identifiant de compte et le nom fournis par le payeur concordent. En cas de discordance, la banque du payeur l'en informe et l'avertit que l'autorisation pourrait conduire à ce que les fonds soient virés sur un compte non détenu par le bénéficiaire indiqué.

Quand le nom fourni et l'IBAN sont, selon les termes du règlement, presque équivalents, la banque du payeur indique le nom réellement associé au compte. C'est le cas qui compte en pratique : un fraudeur ne choisit pas un nom au hasard, il choisit un nom proche.

L'article 5 ter, paragraphe 2, est sans nuance : les services visés à l'article 5 quater sont fournis à tous les utilisateurs à titre gratuit. Aucune banque ne peut facturer la vérification, ni la réserver à une offre supérieure.

Les prestataires situés dans un État membre dont la monnaie est l'euro devaient s'y conformer au plus tard le 9 octobre 2025. Pour les autres, l'échéance est le 9 juillet 2027. La VOP est donc, en France, une obligation en vigueur et non un projet.

La société Petrogarde vend du gazole, par l'intermédiaire d'un courtier italien, Eazybunker, à la société Sea Fleurs, pour un navire à Marseille.

Le 22 mai 2018, Eazybunker reçoit un courriel provenant d'une adresse électronique ne différant que d'une lettre de celle de Petrogarde. Il contient une facture de 103 375,64 euros et un IBAN frauduleux.

Le courtier transmet la facture à Sea Fleurs, qui vire les fonds sur le compte indiqué. Les sommes ne seront jamais récupérées.

Petrogarde réclame son paiement. Sea Fleurs soutient avoir payé de bonne foi un créancier apparent, au sens de l'article 1342-3 du code civil, aux termes duquel le paiement fait de bonne foi à un créancier apparent est valable. La cour d'appel d'Aix-en-Provence lui donne raison le 21 décembre 2023.

« N'est pas créancier apparent, au sens de ce texte, le tiers qui usurpe l'identité du créancier. » Cass. com., 17 juin 2026, n° 24-13.306, publié au bulletin

Le paragraphe 6 de l'article 5 quater oblige les banques à mettre à disposition des utilisateurs qui ne sont pas des consommateurs les moyens de renoncer à la vérification lorsqu'ils soumettent plusieurs ordres sous forme groupée. C'est le point le plus important de tout le dispositif pour une direction financière : les entreprises qui paient leurs fournisseurs par fichiers de virements, c'est-à-dire précisément celles qui sont exposées à la fraude au changement de RIB, sont celles à qui la loi permet de désactiver le contrôle. Le droit de le réactiver à tout moment est garanti, encore faut-il savoir qu'on l'a désactivé.

Le contrôle répond à une seule question : ce nom et cet IBAN vont-ils ensemble ? Il ne dit rien de la question suivante, qui est de savoir si ce bénéficiaire a lieu d'être payé. Un compte réellement ouvert au nom de la société que vous croyez payer passe la VOP sans réserve, y compris lorsque cette société a été rachetée, réactivée ou constituée pour servir de point de rupture. La vérification de concordance et la vérification de légitimité sont deux contrôles différents.

Le paragraphe 8 est explicite : un prestataire n'est pas tenu responsable de l'exécution d'un virement en faveur d'un mauvais bénéficiaire sur la base d'un identifiant inexact, dès lors qu'il a satisfait aux exigences de l'article. La banque ne doit restituer les fonds que si elle a manqué à ses propres obligations. Une fois l'avertissement affiché et passé outre, la perte reste chez le payeur, et l'arrêt du 17 juin 2026 y ajoute la dette qui subsiste.

Lysta rapproche les coordonnées bancaires de l'identité déclarée du tiers et de son immatriculation. L'écart que la VOP signale au moment du virement est ainsi détecté au moment où le tiers est créé ou modifié dans votre référentiel, c'est-à-dire avant que le fichier de virements ne soit constitué.

Le dossier tranché le 17 juin 2026 repose sur une adresse électronique ne différant que d'une lettre de la véritable. Lysta compare les domaines, les adresses et les identités de contact déclarées par un tiers avec celles historiquement observées, et signale les variantes proches d'un domaine légitime, y compris les substitutions de caractères visuellement identiques.

Une demande de changement de RIB s'accompagne presque toujours d'une pièce : en-tête, relevé d'identité bancaire, courrier signé. Les modèles repèrent les documents modifiés, retouchés ou générés artificiellement ainsi que les incohérences internes.

Lysta relie sociétés, dirigeants, bénéficiaires effectifs et adresses. Un compte parfaitement concordant avec le nom d'une société réelle mais dont la société a changé de main récemment, partage une adresse avec des structures signalées ou n'a aucune activité observable, devient visible. C'est exactement le cas que la VOP laisse passer.