Un courriel du « président », une offre d’achat confidentielle, un faux avocat de Deloitte et cinq virements vers Hong Kong et la Chine en sept jours. La Cour supérieure du Québec conclut que Desjardins a manqué à son obligation de prudence en posant les mauvaises questions, mais que l’entreprise fraudée doit assumer les trois quarts de sa perte. Une décision détaillée sur ce que l’on peut exiger d’une banque, et de son client, face à la fraude du président.
Le lundi 8 juin 2020 au matin, la chef comptable d’une entreprise québécoise de transport par camion, cliente d’une caisse Desjardins de Drummondville, reçoit un courriel de son président. Il l’a choisie, écrit-il, pour l’aider à conclure une offre publique d’achat (OPA) confidentielle. Elle doit suivre les directives d’un avocat de la firme Deloitte et ne parler de l’opération à personne. Dans les jours qui suivent, elle effectue cinq virements internationaux totalisant 1 750 000 $ US, soit environ 2,38 millions de dollars canadiens. Le président n’a jamais écrit ce courriel. L’avocat n’existe pas.
Six ans plus tard, dans Groupe TYT inc. c. Caisse Desjardins de Drummondville (2026 QCCS 1707), l’honorable David E. Roberge, de la Cour supérieure (district de Drummond), tranche la question qui hante bien des dirigeants d’entreprise : quand un employé se fait berner et que l’argent part à l’étranger, la banque doit-elle payer? Sa réponse, rendue le 11 mai 2026 : oui, en partie seulement.
Les faits : une semaine, cinq virements
Groupe TYT inc. (TYT) est une entreprise de camionnage d’environ 225 employés, cliente de Desjardins depuis 2010 environ. Elle utilise la plateforme en ligne AccèsD. Avant la fraude, elle n’avait jamais fait affaire ailleurs qu’au Canada et aux États-Unis, et ses virements variaient habituellement entre 10 000 $ et 20 000 $, pouvant exceptionnellement atteindre 100 000 $.
Au début de 2020, la directrice des finances part en congé de maternité. La chef comptable la remplace dans plusieurs tâches. Sur AccèsD, elle peut, seule, créer de nouveaux fournisseurs et effectuer des virements internationaux jusqu’à 500 000 $ par jour. Personne d’autre n’a à les approuver.
Les fraudeurs, qui se font passer pour le président de TYT, lui font effectuer cinq virements les 8, 9, 10, 11 et 15 juin 2020, d’environ 330 000 $ US à 357 000 $ US chacun, à trois sociétés de Hong Kong et de Chine. Le système automatisé de détection de Desjardins (appelé Firco) intercepte chacun d’eux. Le 9 juin, une analyste du service Sécurité Prévention Fraude de Desjardins téléphone à la chef comptable pour vérifier les deux premiers. Suivant les consignes reçues des fraudeurs, celle-ci répond qu’il s’agit d’un nouveau fournisseur, que d’autres paiements suivront et que la marchandise a été reçue, ce qui est faux. Les fonds sont libérés. Les virements des 10 et 11 juin sont libérés sans autre analyse, parce qu’ils visent le même bénéficiaire. Le 15 juin, un second appel, très bref, précède la libération du dernier virement.
La fraude est découverte le 16 juin, quand le compte tombe à découvert. Les fonds des deux derniers virements (686 916 $ US) sont récupérés. Ceux des trois premiers, déjà retirés des comptes étrangers, sont perdus : 1 063 044 $ US, soit 1 426 652,62 $ CA. TYT poursuit la Caisse et la Fédération des caisses Desjardins du Québec pour plus de 1,5 M$.
Qu’est-ce que la « fraude du président »?
Un fraudeur usurpe l’identité d’un dirigeant, souvent par un courriel qui semble provenir de sa véritable adresse, et convainc un employé d’effectuer un virement urgent et confidentiel. Il mise sur l’ingénierie sociale : flatterie, urgence, secret imposé, faux avocat pour rassurer la victime.
Ici, chaque doute de la chef comptable a été comblé. Lorsqu’elle s’inquiète que le courriel de son patron ait été piraté, on lui répond que la procédure d’OPA est stricte et que seul l’avocat peut lui parler de vive voix. Lorsqu’elle s’inquiète des liquidités, on lui envoie un faux avis de virement entrant de 1 468 785 $ US. Comme elle l’a dit au procès : « Tout avait l’air tellement vrai. »
Ce stratagème est connu des banques depuis des années. Desjardins disposait même d’une trousse interne, CyberEco, contenant un exemple de courriel quasi identique à celui reçu par la chef comptable.
Le principe : la banque ne se mêle pas de vos affaires… sauf quand ça sent la fraude
La relation entre une banque et son client est d’abord contractuelle. L’institution financière est tenue à une obligation dite « de moyens » : elle ne garantit pas qu’aucune fraude ne surviendra, mais elle doit agir avec la prudence et la diligence d’une institution compétente placée dans les mêmes circonstances.
En temps normal, la banque n’a pas à surveiller vos comptes : c’est le principe de non-ingérence. Mais il cède devant des indices sérieux d’anomalie (opérations inhabituelles, montants hors norme, destination incohérente avec le profil du client). La banque doit alors vérifier et lever le doute, avec une vigilance accrue pour les virements internationaux.
Ici, personne ne contestait que la méfiance de Desjardins était éveillée : montants d’environ 350 000 $ US, jamais vus dans ce compte, vers l’Asie, où TYT n’avait jamais fait affaire, et alertes automatiques à chaque virement. La vraie question était donc de savoir si les vérifications faites étaient raisonnables.
La faute de Desjardins : avoir posé les mauvaises questions
Le cœur du jugement porte sur l’appel du 9 juin. Préférant la version précise et constante de la chef comptable à celle, plus floue, de l’analyste, le tribunal conclut que l’analyste n’a pas expliqué ce qu’est la fraude du président, n’a pas demandé qui avait donné l’ordre de faire les virements et n’a pas fait préciser à qui la chef comptable avait parlé de vive voix. Elle a déduit que les instructions venaient du fournisseur et a orienté toute la conversation vers un autre scénario, celui du faux fournisseur. Selon le tribunal, des démarches simples « auraient suffi à couvrir ce scénario » : une question ciblée aurait révélé que les ordres venaient du « président » par courriel et qu’un « avocat » était dans le portrait, deux signaux classiques.
Le tribunal ajoute deux autres manquements. D’abord, il était « téméraire » de libérer les virements des 10 et 11 juin sur la seule base de l’identité du bénéficiaire, alors que des transferts irréguliers de plus de 300 000 $ US se succédaient chaque jour. Ensuite, Desjardins n’a pas démontré que l’analyste, sans formation ni expérience antérieure en matière de fraude, avait été formée sur la fraude du président avant juin 2020. Les trois analystes chargés de tout le réseau ne disposaient d’aucune procédure ni liste de vérification pour guider leurs appels. Sans dire que l’absence de procédure écrite était à elle seule fautive, le juge conclut que Desjardins ne pouvait omettre à la fois la formation et la procédure.
D’autres reproches de TYT sont toutefois rejetés. Desjardins n’avait pas à joindre un dirigeant plutôt que l’employée que TYT avait elle-même autorisée sur AccèsD : cela aurait transformé la vérification en enquête, et la preuve montrait que les dirigeants n’étaient de toute façon pas joignables ce jour-là. Elle n’avait pas non plus à imposer par défaut une double signature sur AccèsD : l’option existait, c’était au client de l’activer. Enfin, après la découverte de la fraude, Desjardins a agi avec diligence : les demandes de retour des fonds ont été envoyées aux banques étrangères dans les heures suivantes, mais l’argent des trois premiers virements avait déjà quitté les comptes étrangers.
La part de l’entreprise : des déclarations fausses et aucun contrôle interne
Le tribunal refuse de blâmer la chef comptable pour s’être fait duper : ses doutes ont été habilement dissipés par des fraudeurs professionnels, et personne ne l’avait sensibilisée à ce stratagème. L’absence de formation structurée sur la fraude du président n’était pas non plus fautive pour une entreprise de cette taille en 2020.
Deux reproches tiennent cependant la route. Premièrement, la chef comptable a fait des déclarations fausses à l’analyste (nouveau fournisseur, marchandise reçue) précisément pour éviter que la banque bloque les virements. Elle n’était pas complice, mais Desjardins était en droit de s’attendre à des réponses conformes aux faits qu’elle connaissait. Deuxièmement, TYT avait laissé une seule personne créer trois nouveaux fournisseurs et transférer plus de 2 M$ en une semaine, sans double autorisation, sans alerte et sans surveillance. Ironie de l’affaire : l’entreprise exigeait deux signatures pour ses chèques, mais n’avait jamais activé cette option, pourtant offerte sur AccèsD, pour ses virements internationaux.
La clause d’exonération ne sauve pas la banque
Desjardins invoquait aussi sa convention AccèsD, selon laquelle elle ne peut être tenue responsable d’actes frauduleux commis à l’endroit de l’entreprise. Le tribunal reconnaît que la clause avait été portée à la connaissance de TYT, mais refuse de l’appliquer. Une clause qui libérerait la banque de son obligation essentielle de prudence et de diligence ne peut être opposée au client, d’autant moins dans un contrat d’adhésion, c’est-à-dire un contrat dont les clauses sont imposées par une partie sans réelle négociation (art. 1437 et 1474 C.c.Q.). En revanche, l’autre volet de la convention, qui obligeait le client à maintenir ses propres contrôles internes contre la fraude, pèse dans le partage de responsabilité.
Le partage : 25 % pour Desjardins, 75 % pour l’entreprise
Lorsque plusieurs fautes causent un même préjudice, la responsabilité se partage selon la gravité de chacune (art. 1478 C.c.Q.). Dans les deux précédents québécois les plus souvent cités en matière de fraude du président, dont Alfagomma Inc. c. HSBC Bank Canada (2022 QCCS 3655), la banque avait assumé 50 % de la perte, mais elle n’avait fait aucune vérification. Ici, Desjardins est intervenue, mais mal, et a été en partie induite en erreur. Le juge conclut que sa part doit être inférieure à 50 % et retient que la combinaison des fautes de TYT est plus grave.
Résultat : sur une perte de 1 427 027,62 $ (les trois virements non récupérés et 75 $ de frais bancaires pour chacun des cinq virements), la Fédération des caisses Desjardins est condamnée à payer 25 %, soit 356 756,90 $, avec intérêts et indemnité additionnelle depuis la mise en demeure du 30 juin 2020. Seule la Fédération, responsable de la prévention des fraudes pour tout le réseau, est condamnée; l’action contre la Caisse est rejetée. Les frais de justice de TYT sont limités à 25 %.
Pourquoi cette affaire retient l’attention
Les deux précédents québécois les plus cités en matière de fraude du président visaient des banques qui n’avaient posé aucune question. Ici, le tribunal analyse en détail la qualité d’une vérification. Le message est clair : un appel de vérification n’est pas une formalité. Pour écarter la fraude du président, l’institution doit expliquer le stratagème à son interlocuteur et poser des questions précises sur l’origine des instructions. Un appel orienté vers le mauvais scénario ne la met pas à l’abri.
Le jugement comporte aussi un paradoxe qui mérite réflexion. La banque qui vérifie mal se voit attribuer une part de responsabilité moindre (25 %) que celle qui ne vérifie rien du tout (50 % dans les précédents). Le raisonnement du juge se défend : on ne veut pas punir la proactivité, et l’analyste a été trompée par la cliente elle-même. Mais on peut soutenir l’inverse : une vérification superficielle donne à l’entreprise un faux sentiment de sécurité, et une institution qui connaissait le stratagème et en possédait la description exacte dans ses propres outils était mieux placée que quiconque pour le déjouer.
Enfin, la sécurité d’une PME ne peut reposer sur sa seule banque. À l’heure où l’intelligence artificielle permet de cloner une voix en quelques minutes, même l’appel de confirmation devient vulnérable : la double autorisation et la séparation des tâches n’en sont que plus importantes.
Ce qu’il faut retenir
Activez la double autorisation. Si une seule personne peut créer un fournisseur et envoyer des centaines de milliers de dollars à l’étranger, votre entreprise s’expose, et un tribunal vous le reprochera. Vérifiez les options offertes par votre plateforme bancaire et fixez des seuils adaptés à vos activités.
Ne mentez jamais au service de fraude de votre banque. Même si « le président » exige la confidentialité, répondez franchement aux questions de votre institution financière. Dans cette affaire, ces déclarations ont coûté cher.
Confirmez toute demande inhabituelle par un autre canal. Un virement urgent, confidentiel, vers un pays inhabituel, demandé par courriel : rencontrez la personne ou appelez-la à un numéro que vous connaissez déjà, jamais à celui fourni dans le message.
Agissez dans l’heure. Dès qu’une fraude est soupçonnée, avisez votre institution financière et demandez le rappel des fonds. Ici, seuls les virements les plus récents ont pu être récupérés.
Ne tenez pas pour acquise la clause d’exonération. Une banque ne peut pas, par une clause générale, se soustraire à son obligation essentielle de prudence. Si vous êtes victime d’une fraude, faites analyser la conduite de votre institution financière.
Sur la responsabilité des institutions financières envers les entreprises, voir aussi notre chronique Quand la banque coupe le crédit du jour au lendemain : la RBC condamnée envers un entrepreneur.
Pour aller plus loin
- Quand la banque coupe le crédit du jour au lendemain : la RBC condamnée envers un entrepreneur
- Logiciel « craqué » pendant des années : près de 1,9 M$ à payer, plus les dommages punitifs
Cette chronique est publiée à des fins d’information générale et ne constitue pas un avis juridique. Chaque situation étant unique, il est recommandé de consulter un avocat pour obtenir des conseils adaptés à votre dossier. Vous pouvez communiquer avec Virtulex avocats pour discuter de votre situation.
Me William Desrochers, Virtulex avocats — www.virtulexavocats.com
Référence : Groupe TYT inc. c. Caisse Desjardins de Drummondville, 2026 QCCS 1707, Cour supérieure du Québec, district de Drummond, l’honorable David E. Roberge, j.c.s., 11 mai 2026 — lire le jugement sur CanLII.
Autre décision mentionnée : Alfagomma Inc. c. HSBC Bank Canada, 2022 QCCS 3655.
