La comptable d'un cabinet d'architecture de 12 personnes reçoit un email qui ressemble exactement à un message de l'associé gérant : virer $47 000 vers un nouveau compte fournisseur aujourd'hui, c'est urgent, on doit régler les frais de permis. Elle l'envoie. Vingt minutes plus tard, le véritable associé passe devant son bureau et demande pourquoi les frais de permis n'ont toujours pas été payés. L'argent a disparu, viré vers un compte dans un autre État, converti en crypto-monnaie en moins d'une heure. Elle appelle la banque en s'attendant à la même protection que celle dont elle bénéficierait si sa carte de débit personnelle avait été utilisée frauduleusement dans une station-service. Cette protection n'existe pas pour les virements bancaires professionnels — et la raison juridique de cette absence est quelque chose que presque aucun propriétaire de petite entreprise n'a jamais entendu.
Les consommateurs bénéficient du Regulation E, la règle fédérale qui met en œuvre l'Electronic Fund Transfer Act, laquelle plafonne la responsabilité d'un consommateur en cas de transferts non autorisés et oblige les banques à créditer provisoirement les montants contestés pendant leur enquête. Les entreprises n'ont pas cette protection. Les virements bancaires commerciaux sont régis par un corpus juridique différent, plus ancien et bien moins clément : l'article 4A du Uniform Commercial Code. Comprendre l'écart entre les deux — et ce qu'il faut réellement faire pour reporter la responsabilité sur la banque — fait toute la différence entre récupérer un virement frauduleux et essuyer la perte.
Pourquoi le Regulation E ne s'applique pas ici
Les protections du Regulation E reposent entièrement sur un seul mot : « consommateur ». La règle couvre les transferts électroniques de fonds impliquant un compte d'actifs de consommateur — compte chèques personnel, épargne personnelle, et comptes similaires utilisés principalement à des fins personnelles, familiales ou domestiques. Dès qu'un compte est un compte professionnel et que le transfert de fonds est un virement bancaire, l'EFTA et le Regulation E s'effacent entièrement et c'est l'article 4A de l'UCC qui s'applique.
L'article 4A a été rédigé spécifiquement pour le système commercial de transfert de fonds — Fedwire, CHIPS, et le réseau de banques correspondantes qui déplace des milliers de milliards de dollars par jour entre entreprises. Il s'applique exclusivement aux ordres de paiement commerciaux, et il a été rédigé avec un arbitrage politique délibéré : parce que les virements bancaires déplacent des sommes énormes de façon quasi instantanée et que le caractère définitif des opérations compte énormément pour le système bancaire, la loi fait porter une plus grande part du fardeau de la prévention de la fraude sur le client professionnel que le droit de la consommation n'en fait porter sur les particuliers. Il n'existe aucun droit de rétrofacturation (« chargeback »). Aucun crédit provisoire obligatoire pendant l'instruction d'un litige. Aucun plafond réglementaire sur le montant d'un transfert non autorisé dont une entreprise peut être tenue responsable.
La règle qui décide qui essuie la perte
La disposition centrale de l'article 4A en matière de responsabilité — souvent citée comme l'UCC § 4A-202 — paraît neutre sur le papier et se révèle brutale en pratique. Si une banque et son client professionnel ont convenu à l'avance d'une procédure de sécurité pour autoriser les instructions de virement, que cette procédure est « commercialement raisonnable », et que la banque l'a effectivement suivie de bonne foi lorsqu'elle a traité le virement frauduleux, la perte retombe sur le client — même si le virement n'a en réalité jamais été autorisé par qui que ce soit au sein de l'entreprise.
Il existe une seule échappatoire : le client peut éviter d'être tenu responsable en prouvant que la fraude a été commise par une personne n'ayant absolument aucun lien avec son entreprise — aucun identifiant d'employé compromis, aucune implication d'un initié, rien qui provienne des systèmes ou du personnel de l'entreprise elle-même. Dans une escroquerie par compromission de messagerie professionnelle, cela s'avère généralement impossible à prouver, car la fraude fonctionne précisément en compromettant ou en usurpant quelque chose à l'intérieur de l'entreprise (la boîte de réception d'un employé, une relation avec un fournisseur, le style de communication habituel d'un dirigeant). La loi part essentiellement du principe que si la banque a fait son travail et que la faille s'est produite quelque part dans l'orbite du client, c'est le client qui supporte la perte.
Ce que « commercialement raisonnable » signifie réellement
C'est l'expression que tout propriétaire d'entreprise se battant contre une perte due à une fraude par virement doit comprendre, car c'est tout l'enjeu du combat. Les tribunaux ne se demandent pas si la procédure de sécurité de la banque était la meilleure technologie disponible — ils se demandent si elle était raisonnable compte tenu des habitudes de transaction propres à ce client précis, des options de sécurité réellement proposées par la banque, et de ce qu'utilisent des banques et des clients dans une situation comparable.
L'affaire de référence, Patco Construction Co. v. People's United Bank (1st Cir. 2012), mérite d'être connue ne serait-ce que dans ses grandes lignes. Les identifiants de banque en ligne d'une entreprise de construction avaient été compromis, et le système de la banque — bien qu'il disposait d'outils capables de signaler ces transactions comme inhabituelles — a approuvé une série de virements frauduleux parce qu'il appliquait la même procédure de sécurité générique et peu contraignante à tous les clients, indépendamment de la taille ou du schéma habituel des transactions de ce client. La Cour d'appel du premier circuit a jugé que les procédures de la banque n'étaient pas commercialement raisonnables, précisément parce qu'une approche uniforme ne satisfait pas à l'exigence de l'article 4A selon laquelle la sécurité doit être évaluée à la lumière de la situation particulière de chaque client — pas seulement « une méthode d'authentification a-t-elle été utilisée », mais « était-ce le bon niveau de friction pour ce que ce client fait habituellement ».
La leçon pratique joue dans les deux sens. Si ta banque t'a proposé une authentification renforcée — double autorisation, vérification par rappel téléphonique, alertes de plafond de transaction, confirmation hors bande pour les nouveaux bénéficiaires — et que tu l'as refusée par souci de commodité, cette décision affaiblit ta position si tu es victime d'une fraude plus tard et que tu tentes de faire valoir que les procédures de la banque étaient inadéquates. Les entreprises qui acceptent chaque couche de sécurité optionnelle proposée par leur banque se constituent le dossier dont elles auront besoin si elles doivent un jour se battre dans un litige au titre de la 4A-202.
Le délai qui tue la plupart des réclamations avant même qu'elles ne soient déposées
Même une réclamation pour fraude légitime et prouvable peut échouer pour une simple question de délai : l'article 4A accorde aux clients jusqu'à un an à compter de la notification pour contester un virement bancaire, mais il s'agit d'un délai par défaut que les parties peuvent raccourcir par contrat — et c'est ce que font la plupart des conventions bancaires de virement, généralement en le ramenant à 30 ou 60 jours. Si ce délai est dépassé, la transaction devient définitive, quelle que soit la clarté avec laquelle elle était non autorisée.
C'est autant une question de comptabilité et de processus internes qu'une question juridique. Une entreprise qui rapproche ses comptes bancaires mensuellement, plutôt qu'hebdomadairement ou quotidiennement, peut facilement épuiser un délai contractuel de notification de 30 jours avant même que quiconque ne remarque le virement frauduleux sur un relevé. La fréquence de rapprochement bancaire est un véritable contrôle de la responsabilité en matière de fraude, pas seulement un exercice de précision — plus vite un écart apparaît, plus il reste d'options juridiques disponibles pour le récupérer.
Le piège du numéro de compte à l'origine de la plupart des pertes liées au BEC
Une disposition de l'article 4A explique pourquoi les stratagèmes de compromission de messagerie professionnelle sont si efficaces et si difficiles à annuler. Lorsqu'une instruction de virement mentionne à la fois un nom de bénéficiaire et un numéro de compte, et que les deux ne correspondent en réalité pas du côté de la banque réceptrice, celle-ci a légalement le droit de se fier uniquement au numéro de compte — elle n'a aucune obligation de vérifier que le nom correspond au compte. Les fraudeurs exploitent constamment cette faille : un email usurpé indique le vrai nom du fournisseur mais un numéro de compte frauduleux, le virement part sous un nom d'apparence légitime, et il atterrit sur un compte contrôlé par l'attaquant. Comme la banque réceptrice n'a rien fait d'incorrect au regard de la loi, il existe très peu de recours contre elle, et le combat revient alors à déterminer si les procédures de sécurité de la banque émettrice étaient, à l'origine, commercialement raisonnables.
L'Internet Crime Complaint Center du FBI a enregistré 24 768 plaintes pour compromission de messagerie professionnelle en 2025, pour $3,05 milliards de pertes déclarées — contre $2,77 milliards l'année précédente — et 86 % de ces paiements frauduleux sont passés par virement bancaire ou par ACH, ce qui signifie qu'ils ont franchi tous les contrôles bancaires en amont sans déclencher d'alerte. Ce volume existe précisément parce que le cadre juridique rend la récupération d'une fraude par virement si difficile une fois que l'argent a été transféré.
Ce que cela signifie pour ta façon de comptabiliser et de contrôler les paiements par virement
Parce que la loi accorde tant d'importance au processus, les contrôles internes portant sur qui peut initier un virement et comment il est vérifié ne sont pas seulement une bonne pratique opérationnelle — ce sont les preuves dont tu aurais besoin dans un litige au titre de la 4A-202. Quelques pratiques comptent plus que ne le pensent la plupart des propriétaires :
- Utilise chaque couche d'authentification proposée par ta banque, même les plus contraignantes. Refuser une sécurité renforcée par souci de rapidité est, à elle seule, la situation qui compromet le plus systématiquement une réclamation pour fraude ultérieure.
- Exige une double autorisation pour tout nouveau bénéficiaire ou toute modification des coordonnées bancaires d'un bénéficiaire existant, vérifiée par un canal autre que l'email — un appel téléphonique à un numéro connu, et non à un numéro fourni dans le message suspect lui-même.
- Rapproche les comptes bancaires au moins chaque semaine pour toute entreprise qui envoie régulièrement des virements. Un délai contractuel de notification de 30 jours n'est pas un problème de clôture mensuelle ; c'est un problème de milieu de mois si la fraude survient tôt dans le cycle.
- Conserve un registre clair et daté de chaque décision d'autorisation de virement — qui l'a approuvée, par quel canal, sur la base de quelle vérification. Si un litige finit par se résumer à « la procédure de la banque était-elle commercialement raisonnable, et as-tu suivi ton propre processus convenu », une entreprise disposant de registres clairs a des arguments à faire valoir ; une entreprise qui n'en a aucun n'en a pas.
Des registres de transactions propres et bien étiquetés comptent aussi pour une raison plus prosaïque : savoir exactement quand un virement a été envoyé, depuis quel compte, et rapproché de quelle facture, c'est ce qui permet à une comptable de repérer l'anomalie en quelques jours plutôt qu'en plusieurs semaines. Les grands livres en texte brut et versionnés de Beancount.io font de chaque transaction — y compris les virements sortants — une écriture datée et auditable, plutôt qu'une ligne perdue dans un PDF de relevé bancaire mensuel, ce qui offre exactement le type de visibilité qui réduit le délai entre « la fraude a eu lieu » et « nous l'avons détectée ». Commence gratuitement et garde des registres financiers assez précis pour détecter les problèmes avant qu'un délai contractuel de notification ne referme la porte sur toute possibilité de correction.