Le mardi 20 octobre 2026 au matin, des millions de clients d’une banque en ligne européenne se sont retrouvés sans accès à leur argent : application bloquée, cartes refusées, virements, retraits et rechargements impossibles. Selon Euronews, l’application Revolut a subi une panne majeure qui a touché des utilisateurs au Royaume-Uni, en Irlande, en France, en Espagne ou encore au Japon, et l’entreprise a publié un communiqué pour indiquer qu’elle travaillait à résoudre le problème. D’après Libération, la cause serait une coupure de courant dans un centre de données Google Cloud près de Londres, un incident que Google lui-même a reconnu dans une mise à jour de service en évoquant un événement électrique dans sa zone europe-west2, avec un début d’incident à 8 heures, heure de Paris, puis un problème annoncé comme atténué pour la plupart des clients. D’autres établissements britanniques ont fait état de perturbations le même matin. Pour une entreprise qui paie ses salaires, ses fournisseurs ou ses échéances depuis un compte en ligne, une matinée sans banque peut coûter cher : ordres rejetés, pénalités contractuelles, trésorerie bloquée. À la date de rédaction, aucune décision de justice ni aucun constat officiel n’établit les responsabilités nées de cette panne, et les contrats conclus avec chaque prestataire priment sur toute analyse générale : seul le juge, saisi d’un litige précis, dira qui doit quoi. Cet article décrit les faits tels que la presse les rapporte, puis les vérifications utiles et les recours ouverts à une entreprise privée de sa banque.

I. Panne cloud Google du 20 octobre : banque inaccessible, comment établir les faits et exiger l’exécution de vos virements

A. Panne Revolut du 20 octobre : ce que les sources établissent et comment votre entreprise doit en garder la preuve

La chronologie rapportée par la presse est précise sur le déclenchement. D’après Libération, la plateforme Downdetector, qui recense les signalements d’utilisateurs, a enregistré les premiers signalements concernant Revolut peu avant 8 heures, puis plus de 1 500 alertes à 9 heures. Selon le communiqué de Google cité par le journal, l’incident a commencé à 8 heures, heure de Paris, avec un taux d’erreurs élevé et des pannes réseau intermittentes dans la région europe-west2. Un porte-parole de Revolut a indiqué, dans une déclaration transmise à l’AFP et reprise par Libération, que la banque travaillait à la résolution du problème depuis qu’il avait été identifié le mardi matin, et que les fonds comme les données de l’ensemble des clients étaient en sécurité. Selon franceinfo, Google a attribué ces difficultés à un incident électrique, désormais maîtrisé, et le rétablissement de ses services était en cours au moment où ces lignes étaient écrites. L’ampleur du public concerné est considérable : Euronews rapporte que la société affirme compter plus de 80 millions de clients particuliers, dont 5 millions en France, et plus de 750 000 entreprises utilisatrices de son offre Revolut Business. D’autres banques britanniques citées par Libération, Lloyds et HSBC, ont également fait état mardi matin de difficultés d’accès de leurs clients à leurs services, la seconde disant surveiller une situation qui affecte également d’autres organisations. Ces éléments restent des faits rapportés par la presse et par les communications des entreprises concernées : ils décrivent une indisponibilité massive, pas une faute établie.

Pour une entreprise, la première urgence est probatoire. L’article 1353 du code civil pose que « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » Concrètement, conservez dès le 20 octobre des captures d’écran horodatées des messages d’erreur de l’application, les relevés et historiques d’opérations montrant les ordres non exécutés, les notifications de rejet de virements ou de prélèvements, les échanges avec le service client et la page d’état du prestataire de cloud. Les compteurs publics de signalements, comme ceux de Downdetector, fournissent un indice de l’ampleur de l’incident mais ne constituent pas à eux seuls une preuve opposable : un constat dressé le jour même par un commissaire de justice, qui fige l’impossibilité de se connecter et d’ordonner un paiement précis, pèsera davantage devant un juge. Adressez en parallèle une réclamation écrite à votre prestataire, en recommandé avec accusé de réception ou par tout moyen conférant date certaine, en décrivant chaque opération manquée avec son montant, sa date et son destinataire. Cette lettre fixe le point de départ de vos démarches et interrompt toute discussion ultérieure sur une prétendue ignorance de vos difficultés. Signalez chaque opération mal exécutée sans tarder : l’article L. 133-24 du code monétaire et financier impose à l’utilisateur de signaler « sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion », tout en précisant que, sauf pour une personne physique agissant pour des besoins non professionnels, « les parties peuvent convenir d’un délai distinct ». Vérifiez donc votre convention de compte professionnel : elle peut prévoir un délai de contestation plus bref que ces treize mois.

B. Compte Revolut bloqué, carte refusée, virement non exécuté : ce que votre prestataire vous doit

Le droit des services de paiement fait peser sur le prestataire du payeur une obligation de résultat assortie d’un calendrier strict. L’article L. 133-13 du code monétaire et financier dispose que « Le montant de l’opération de paiement est crédité sur le compte du prestataire de services de paiement du bénéficiaire au plus tard à la fin du premier jour ouvrable suivant le moment de réception de l’ordre de paiement », ce délai pouvant être prolongé d’un jour ouvrable supplémentaire pour les opérations ordonnées sur support papier. Un virement saisi dans l’application un jour ouvré doit donc normalement parvenir à la banque du bénéficiaire le jour ouvré suivant. Lorsque l’opération est mal exécutée ou non exécutée, l’article L. 133-22 du même code rend le prestataire du payeur « responsable de la bonne exécution de l’opération de paiement à l’égard du payeur jusqu’à réception du montant de l’opération de paiement » par le prestataire du bénéficiaire, et ajoute que, lorsqu’il est responsable d’une opération mal exécutée, « il restitue sans tarder son montant au payeur » et que, « Si besoin est, il rétablit le compte débité dans la situation qui aurait prévalu si l’opération de paiement mal exécutée n’avait pas eu lieu », la date de valeur du crédit n’étant pas postérieure à celle du débit. Si l’opération est seulement exécutée en retard, le prestataire du bénéficiaire veille, à la demande du prestataire du payeur agissant pour le compte de ce dernier, à ce que la date de valeur attribuée au bénéficiaire ne soit pas postérieure à celle qui aurait résulté d’une exécution correcte. Pour une entreprise dont un virement de salaires, un paiement de fournisseur ou un prélèvement fiscal a été rejeté le 20 octobre, ces textes fondent trois demandes concrètes : la réexécution ou la régularisation de l’ordre, la restitution immédiate des sommes indûment conservées et le rétablissement du compte avec une date de valeur corrigée, afin que les intérêts et les frais calculés sur un solde faussé soient effacés.

Le sort des frais et des pénalités nés du rejet mérite une vigilance particulière. Les frais d’impayé prélevés sur votre compte, les pénalités de retard réclamées par un fournisseur ou les intérêts de retard d’un bail commercial ne s’effacent pas automatiquement : ils constituent un préjudice dont vous devez demander réparation en démontrant le lien avec l’inexécution imputable au prestataire, pièces à l’appui. Conservez chaque facture de pénalité, chaque mise en demeure reçue et chaque relevé faisant apparaître des frais, car le juge n’allouera que les conséquences prouvées de l’incident. La restitution prévue par l’article L. 133-22 couvre le montant de l’opération et le rétablissement du compte, mais l’indemnisation complémentaire suppose d’établir une faute ou un manquement du prestataire et un dommage en relation directe avec lui, comme développé dans la seconde partie. Une erreur fréquente consiste à laisser passer le délai de contestation de sa convention de compte : relisez-la dès maintenant pour vérifier le délai contractuel applicable aux professionnels, qui peut être plus court que le délai légal de treize mois.

La panne appelle enfin une mise en garde contre les fraudes opportunistes. Les périodes d’indisponibilité massive attirent les escrocs, qui adressent aux clients des messages les invitant à « débloquer » leur compte, à valider un nouveau RIB ou à cliquer sur un lien de reconnexion. Or l’article L. 133-21 du code monétaire et financier dispose qu’« Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique » et que, « Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement », même s’il doit s’efforcer de récupérer les fonds et fournir au payeur les informations détenues pour agir en justice. La chambre commerciale de la Cour de cassation vient de le rappeler avec fermeté dans un arrêt du 1er juillet 2026, n° 25-15.283 : des époux avaient adressé deux virements de 29 583 euros et 39 444 euros à partir d’un RIB transmis par un courriel envoyé depuis une adresse controuvée, et la cour d’appel avait condamné la banque au motif que le consentement n’avait été donné qu’à l’égard du véritable bénéficiaire ; la Cour casse, en jugeant que « un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté » et qu’en condamnant la banque alors qu’elle « constatait que les opérations de paiement avaient été exécutées conformément aux identifiants uniques fournis », la cour d’appel « a violé le texte susvisé ». La leçon pour une entreprise est directe : en période de panne, ne modifiez jamais les coordonnées bancaires d’un bénéficiaire sur la foi d’un courriel ou d’un appel, vérifiez tout changement de RIB par un canal déjà connu, et faites valider les virements importants par une seconde personne. Si un virement frauduleux a malgré tout été émis, contestez-le par écrit sans tarder, car le délai de treize mois de l’article L. 133-24 court à compter du débit et son dépassement entraîne la forclusion.

II. Entreprise privée de sa banque : faire reconnaître le préjudice et sécuriser la suite

A. Responsabilité de la banque et force majeure : qui doit prouver quoi après une panne de cloud

En droit commun des contrats, le débiteur qui n’exécute pas son obligation répond du dommage qui en résulte, sauf à démontrer qu’un cas de force majeure l’en a empêché. L’article 1231-1 du code civil dispose que le débiteur est condamné « au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure ». L’article 1218 du même code définit cette dernière comme l’événement qui réunit trois conditions cumulatives : un événement « échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur ». Lorsque l’empêchement est temporaire, l’exécution est seulement suspendue, sauf si le retard qui en résulte justifie la résolution du contrat, et lorsqu’il est définitif, le contrat est résolu de plein droit. Le droit spécial des paiements reprend cette logique : l’article L. 133-5 du code monétaire et financier prévoit que « La responsabilité prévue aux sections 2 à 9 du présent chapitre ne s’applique pas aux cas de force majeure, ni lorsque le prestataire de services de paiement est lié par d’autres obligations légales prévues par des législations nationales ou communautaires ». Une banque dont le système est paralysé par la défaillance de son hébergeur ne peut donc pas être déclarée automatiquement responsable, mais elle ne peut pas non plus se retrancher derrière son sous-traitant sans démontrer, point par point, que la panne échappait à son contrôle, qu’elle était imprévisible lors de la conclusion de la convention de compte et que ses effets ne pouvaient être évités par des mesures appropriées, comme un plan de secours ou un prestataire redondant. C’est à elle, qui se prétend libérée, d’en justifier, conformément à la seconde phrase de l’article 1353 du code civil.

La jurisprudence la plus récente illustre l’exigence de cette démonstration concrète. Dans un arrêt du 5 juillet 2023, n° 22-14.476, la chambre commerciale a approuvé une cour d’appel qui avait retenu la force majeure au profit d’un transporteur dont le camion avait été arrêté par des manifestants : si le mouvement social et le barrage étaient prévisibles, le transporteur ne pouvait prévoir ni un itinéraire d’évitement ni le fait que les manifestants contraindraient le chauffeur à descendre pour dérober la marchandise, de sorte que la Cour a validé l’analyse de la cour d’appel, qui avait déduit de ses constatations un événement imprévisible et irrésistible constitutif d’un cas de force majeure. Transposée à la panne du 20 octobre, cette méthode invite à distinguer deux niveaux : le risque général de défaillance d’un hébergeur, que toute banque diligente connaît et contre lequel le règlement européen sur la résilience opérationnelle numérique lui impose de se prémunir, et la défaillance précise survenue ce jour-là, avec sa cause, sa durée et les parades disponibles. Une coupure de courant chez un fournisseur, fût-elle soudaine, ne présentera pas nécessairement les trois caractères de l’article 1218 si la banque ne disposait d’aucune redondance alors que la réglementation et l’état de l’art l’exigeaient. Chaque dossier s’appréciera donc à ses pièces : convention de compte, engagements de disponibilité, historique des incidents, mesures de secours effectivement déclenchées le 20 octobre.

Le règlement européen dit DORA, entré en application le 17 janvier 2025, renforce ce cadre pour les établissements financiers. Son article 19 oblige les entités financières à déclarer leurs incidents majeurs liés aux technologies de l’information à leur autorité compétente, et son paragraphe 3 leur impose d’informer leurs clients de l’incident majeur et des mesures prises pour en atténuer les effets, sans retard injustifié et dès qu’elles en ont connaissance (règlement (UE) 2022/2554 sur la résilience opérationnelle numérique, dit DORA, applicable depuis le 17 janvier 2025, article 19). Une banque touchée par la panne du 20 octobre serait donc tenue, si l’incident est qualifié de majeur, de le déclarer au superviseur et d’en informer ses clients sans tarder : ces déclarations et communications, une fois publiées, fourniront aux entreprises les premières pièces écrites de leurs dossiers. Le même règlement encadre strictement le recours des banques à des prestataires tiers de technologie : ses considérants relèvent que l’utilisation étendue des services informatiques repose sur des accords complexes dans lesquels les entités financières peinent à négocier des garanties suffisantes et à faire respecter des droits d’accès ou d’audit. Une banque ne pourra dès lors pas opposer à ses clients la seule défaillance de son hébergeur comme une excuse de principe : elle devra expliquer quelles exigences de résilience elle avait imposées à ce prestataire et quels secours elle a activés.

Quant au montant de la réparation, deux garde-fous légaux s’appliquent. L’article 1231-3 du code civil limite en principe la réparation aux dommages « qui ont été prévus ou qui pouvaient être prévus lors de la conclusion du contrat, sauf lorsque l’inexécution est due à une faute lourde ou dolosive », et l’article 1231-4 ajoute que, « Dans le cas même où l’inexécution du contrat résulte d’une faute lourde ou dolosive, les dommages et intérêts ne comprennent que ce qui est une suite immédiate et directe de l’inexécution ». Pour une entreprise, cela signifie que les pénalités contractuelles prévisibles, les frais bancaires directement causés par le rejet et les coûts de régularisation ont vocation à être indemnisés s’ils sont prouvés, tandis que les manques à gagner lointains ou hypothétiques seront écartés. Chiffrez chaque poste avec ses justificatifs : relevés faisant apparaître les frais, lettres de pénalités des cocontractants, attestations de reports de paiement, surcoûts de financement de trésorerie. Si votre société a souscrit une garantie perte d’exploitation ou une assurance cyber couvrant l’indisponibilité des services bancaires, relisez-en sans attendre les conditions de déclenchement, les exclusions et les délais de déclaration, car ces contrats imposent souvent une déclaration rapide du sinistre.

B. Réclamation, médiation fermée aux professionnels, tribunaux : le parcours de recours de votre entreprise à Paris et en Île-de-France

Le parcours commence toujours par une réclamation écrite adressée au service réclamations de l’établissement, dont les coordonnées figurent dans vos documents contractuels et sur son site. La Banque de France recommande d’écrire de préférence par courrier, courriel ou formulaire en ligne, de conserver une copie datée de la demande, d’exposer de manière claire et précise l’objet du litige et de joindre les pièces utiles : relevés, captures d’erreur, ordres rejetés, factures de pénalités. Détaillez chaque opération manquée du 20 octobre, chiffrez chaque préjudice et demandez expressément la régularisation des ordres, la restitution des sommes, le rétablissement du compte avec date de valeur corrigée et l’indemnisation des frais et pénalités directement causés. Adressez cet envoi en recommandé avec accusé de réception afin de disposer d’une date certaine, et conservez la preuve de chaque relance.

Une précision s’impose pour les entreprises : la médiation bancaire de la consommation ne leur est pas ouverte. L’article L. 316-1 du code monétaire et financier réserve le recours au médiateur aux consommateurs, et la Banque de France rappelle que ce médiateur n’est pas compétent pour les litiges d’ordre professionnel. Une société, un commerçant ou un indépendant agissant pour des besoins professionnels ne peut donc pas saisir le médiateur de la consommation désigné par sa banque : il doit privilégier la négociation directe, la médiation conventionnelle ou la conciliation, puis, à défaut d’accord, la voie judiciaire. Avant tout procès, vérifiez si le montant en jeu impose une tentative amiable préalable : l’article 750-1 du code de procédure civile dispose qu’à peine d’irrecevabilité que le juge peut prononcer d’office, la demande en justice est précédée d’une tentative de conciliation par un conciliateur de justice, de médiation ou de procédure participative « lorsqu’elle tend au paiement d’une somme n’excédant pas 5 000 euros », sauf exceptions tenant notamment à l’urgence manifeste ou aux circonstances rendant une telle tentative impossible. Au-delà de ce seuil, vous pouvez saisir directement la juridiction compétente, en respectant les délais de prescription et de contestation propres à chaque demande.

Pour un litige opposant votre société à un établissement de crédit, la compétence revient en principe à la juridiction commerciale : l’article L. 721-3 du code de commerce attribue aux tribunaux de commerce la connaissance « Des contestations relatives aux engagements entre commerçants, entre artisans, entre établissements de crédit, entre sociétés de financement ou entre eux », ainsi que de celles relatives aux sociétés commerciales et aux actes de commerce entre toutes personnes. À Paris et en Île-de-France, cela conduit le plus souvent devant le tribunal de commerce de Paris pour une entreprise francilienne en litige avec sa banque, sauf clause attributive de juridiction ou convention d’arbitrage stipulée dans la convention de compte, qu’il faut relire avant d’agir. En pratique francilienne, faites constater l’indisponibilité par un commissaire de justice exerçant à Paris le jour même de l’incident chaque fois que c’est possible, adressez vos mises en demeure en recommandé avec accusé de réception, et centralisez vos pièces dans un dossier chronologique : relevés du 20 octobre, échanges avec la banque, pénalités reçues, attestations de vos propres créanciers. Si la trésorerie est menacée par le blocage, interrogez votre conseil sur les procédures rapides adaptées à votre situation, sans attendre que les frais et les pénalités s’accumulent.

Enfin, tirez de cette panne les conséquences contractuelles pour l’avenir. Vérifiez les engagements de disponibilité et de secours figurant dans votre convention de compte professionnel, négociez des clauses de niveau de service avec des remèdes précis en cas d’indisponibilité, et organisez la redondance de vos moyens de paiement : un second établissement pour les opérations critiques, des ordres programmés à l’avance pour les échéances fiscales et sociales, une procédure interne de validation des changements de RIB qui neutralise les fraudes opportunistes. Les pannes de grande ampleur se répètent à mesure que les banques concentrent leurs systèmes sur un petit nombre d’hébergeurs : l’entreprise qui documente, chiffre et réclame vite se place dans la meilleure position pour obtenir réparation, tandis que celle qui attend risque de voir ses preuves s’effacer et ses délais passer.

Conclusion

La panne du 20 octobre 2026 rappelle qu’une banque en ligne reste une banque, soumise aux délais d’exécution et aux responsabilités du code monétaire et financier, et que son recours à un hébergeur tiers ne la décharge pas sans démonstration d’un véritable cas de force majeure. Pour votre entreprise, la méthode tient en quatre gestes : figer les preuves de l’indisponibilité, signaler chaque opération manquée par écrit, exiger la régularisation, la restitution et le rétablissement du compte sur le fondement des articles L. 133-13 et L. 133-22, puis chiffrer et réclamer chaque préjudice direct avec ses justificatifs. Les déclarations que la réglementation DORA impose désormais aux établissements financiers et les communications qu’ils adressent à leurs clients fourniront des pièces utiles, sans remplacer votre propre dossier. À ce jour, aucune décision de justice ni aucun constat officiel n’a tranché les responsabilités nées de cette panne, les contrats conclus avec chaque prestataire priment sur toute analyse générale, et seul le juge, saisi d’un litige précis et complet, dira qui doit réparer quoi.