Fraude au président : quand la banque doit-elle rembourser le virement frauduleux ?

Publié le 15 octobre 2026 · Droit commercial et des affaires

Une entreprise victime d'une fraude au président n'obtient pas automatiquement le remboursement du virement frauduleux. Tout dépend d'abord d'une question souvent négligée : le paiement a-t-il été autorisé dans la forme convenue avec la banque ? Par un arrêt publié au Bulletin le 8 octobre 2026, la Cour de cassation précise qu'une banque ayant exécuté un ordre transmis par un instrument qui n'était plus convenu ne peut ensuite opposer à sa cliente une négligence grave dans l'utilisation de cet instrument. La solution renforce l'intérêt d'un audit immédiat de la convention bancaire, des habilitations et du canal réellement utilisé.

Fraude au président : ce que change l'arrêt du 8 octobre 2026

Dans l'affaire jugée, l'assistante administrative du président d'une société avait été contactée par une personne se présentant comme l'avocat de l'entreprise. Elle avait adressé à la banque, par télécopie, un ordre de virement international revêtu d'une fausse signature. Le paiement devait financer une prétendue opération confidentielle. L'entreprise, découvrant l'escroquerie, avait demandé à sa banque le remboursement du virement frauduleux.

La difficulté venait de l'évolution du dispositif de paiement. Un premier contrat avait permis la télétransmission d'ordres confirmés par télécopie. Mais, depuis mars 2017, les parties utilisaient un protocole sécurisé permettant les virements internationaux à distance au moyen d'un logiciel et d'une clé numérique. La télécopie n'était donc plus le canal convenu lorsque la banque a exécuté l'ordre litigieux en décembre 2019.

La cour d'appel avait constaté que l'opération n'était pas autorisée. Elle avait néanmoins admis que la banque puisse se prévaloir d'une négligence grave de sa cliente. La Cour de cassation censure ce raisonnement : puisque la télécopie n'était plus l'instrument de paiement convenu, la banque qui avait accepté d'exécuter l'opération par ce moyen ne pouvait reprocher à la société une négligence grave dans son utilisation [1].

La décision ne signifie pas que toute fraude au président doit être remboursée. Son apport est plus précis : une banque ne peut pas choisir un instrument obsolète pour exécuter le paiement, puis utiliser le comportement du client relatif à cet instrument pour s'exonérer.

Le remboursement dépend d'abord du caractère autorisé ou non du virement

L'analyse commence par les articles L. 133-6 et L. 133-7 du Code monétaire et financier. Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. Ce consentement doit être exprimé dans la forme convenue entre le payeur et son prestataire de services de paiement. À défaut, l'opération est réputée non autorisée [2].

Cette qualification commande le régime applicable. Elle impose de distinguer deux situations qui, en pratique, sont souvent confondues.

L'ordre est falsifié ou transmis par un canal non convenu

Lorsque la signature est imitée, que l'auteur n'est pas habilité ou que l'ordre a été transmis par un instrument qui n'était plus contractuellement admis, l'entreprise peut soutenir que l'opération est non autorisée. L'article L. 133-18 prévoit alors, sous réserve des conditions légales, le remboursement du montant de l'opération et le rétablissement du compte. Le remboursement doit intervenir immédiatement et, au plus tard, à la fin du premier jour ouvrable suivant la prise de connaissance, sauf soupçon de fraude de l'utilisateur communiqué par écrit à la Banque de France [3].

Dans ce contentieux, il faut produire la version de la convention bancaire applicable à la date du paiement, ses avenants, la matrice des pouvoirs, les habilitations et les règles de validation. L'intitulé interne « fraude au président » ne suffit pas. Le juge doit pouvoir déterminer qui pouvait ordonner le paiement, par quel canal et avec quelle authentification.

Un salarié habilité a réellement validé le virement sous l'effet de la tromperie

La situation est différente lorsqu'un salarié disposant des pouvoirs nécessaires utilise le canal convenu et valide lui-même le paiement après avoir été manipulé. Le consentement technique peut alors avoir été donné, même si la volonté économique a été viciée par l'escroquerie.

Dans plusieurs décisions du 12 juin 2025, la chambre commerciale a rappelé que la responsabilité de la banque peut alors être recherchée au regard de son devoir de vigilance, notamment lorsque l'ordre présente des anomalies apparentes. Le contrôle doit toutefois tenir compte de l'habilitation contractuelle du salarié. Une banque n'est pas automatiquement tenue de vérifier chaque ordre directement auprès du dirigeant si la personne qui l'a transmis était habilitée à le faire [4].

La distinction est donc déterminante :

Deux régimes de responsabilité bancaire à ne pas confondre

En droit bancaire, la qualification ne relève pas d'une simple préférence rédactionnelle. Une opération de paiement non autorisée appelle le régime spécial du Code monétaire et financier. Lorsque le titulaire du compte, ou son salarié habilité, a lui-même validé l'ordre de paiement par le canal convenu, la discussion peut se déplacer vers la responsabilité bancaire de droit commun et l'obligation de vigilance face aux anomalies apparentes.

Cette distinction explique que deux fraudes au faux ordre de virement puissent recevoir des solutions différentes. Dans une première espèce, l'entreprise cliente n'a jamais consenti selon la procédure contractuelle. Dans une seconde, le service comptable a utilisé les identifiants et la validation attendus, mais sous l'emprise de l'escroc. Le juge ne recherche alors pas les mêmes faits et la banque n'oppose pas les mêmes moyens.

L'arrêt du 8 octobre 2026 concerne la première configuration. La Cour de cassation casse l'arrêt de la cour d'appel de Paris parce que celle-ci avait constaté que la télécopie n'était plus l'instrument convenu. Les virements litigieux ne pouvaient donc pas être analysés comme si ce canal restait la procédure normale du compte bancaire.

La banque peut-elle opposer la négligence grave de l'entreprise ?

L'article L. 133-16 impose à l'utilisateur d'employer l'instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation, et de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées [5]. L'article L. 133-19, IV, met à la charge du payeur les pertes résultant d'une opération non autorisée lorsque celui-ci a agi frauduleusement ou a manqué intentionnellement, ou par négligence grave, à certaines obligations [6].

La Cour de cassation interprète ces dispositions à la lumière des articles 69 et 74 de la directive européenne sur les services de paiement. Dans son arrêt du 8 octobre 2026, elle énonce que le prestataire ne peut s'exonérer que lorsque l'utilisateur manque par négligence grave à l'obligation d'utiliser l'instrument de paiement qui lui a été délivré, conformément aux conditions qui le régissent, ou à l'obligation de préserver ses données de sécurité personnalisées.

Cette articulation explique la cassation. La banque avait reçu une télécopie alors que le dispositif convenu était devenu un protocole sécurisé. Elle ne pouvait transformer l'utilisation de ce canal abandonné en faute exonératoire de sa cliente.

La négligence grave ne se présume pas du seul succès de la fraude

Une entreprise peut avoir commis des erreurs internes sans que celles-ci caractérisent nécessairement la négligence grave visée par le Code monétaire et financier. Le simple fait qu'un escroc ait réussi à convaincre un salarié ne suffit pas, à lui seul, à trancher le litige. L'appréciation dépend notamment :

• du canal de paiement contractuellement prévu ;
• de la personne ayant saisi ou validé l'ordre ;
• de l'usage éventuel de données de sécurité personnalisées ;
• du contenu des messages frauduleux et des indices d'usurpation ;
• des alertes adressées par la banque et des formations suivies ;
• de la chronologie entre la demande, la validation et le signalement ;
• des stipulations applicables aux clients professionnels.

La décision du 8 octobre 2026 ne neutralise donc pas toute faute de l'entreprise. Elle interdit une défense incohérente : invoquer la mauvaise utilisation d'un instrument que les parties n'avaient plus convenu d'utiliser.

Les conventions professionnelles doivent être relues intégralement

L'article L. 133-2 du Code monétaire et financier permet, hors le cas de la personne physique agissant pour des besoins non professionnels, de déroger par contrat à plusieurs dispositions du régime des services de paiement, dont les articles L. 133-19 et L. 133-23 [7]. En revanche, l'article L. 133-18 ne figure pas dans la liste des dispositions ainsi écartables.

Pour une société, la convention de compte et les conventions de banque à distance ne sont donc pas des pièces accessoires. Elles peuvent modifier la répartition de certaines obligations ou de la preuve. Avant toute mise en demeure, il faut identifier :

• le contrat principal et tous ses avenants ;
• le dispositif de paiement en vigueur au jour du virement ;
• les personnes habilitées et les plafonds associés ;
• les procédures dérogatoires ou de secours ;
• les clauses relatives à la preuve, aux délais et aux réclamations ;
• les historiques d'activation, de révocation ou de remplacement des instruments.

Quelles preuves réunir pour obtenir le remboursement de la banque ?

Lorsqu'un utilisateur nie avoir autorisé une opération, l'article L. 133-23 met en principe à la charge du prestataire la preuve que l'opération a été authentifiée, dûment enregistrée et comptabilisée, sans déficience technique ou autre [8]. Pour une entreprise, il faut néanmoins vérifier les éventuelles dérogations contractuelles admises par l'article L. 133-2.

Le dossier doit être constitué avant que les traces numériques ne disparaissent. Les pièces les plus utiles sont les suivantes :

1. La convention de compte, les contrats de banque à distance et leurs avenants à la date exacte de l'opération.
2. La matrice des pouvoirs, délégations, habilitations et plafonds de paiement.
3. L'ordre litigieux, les journaux de connexion, les validations et les accusés d'exécution.
4. Les courriels complets avec leurs en-têtes techniques, les messages, les numéros appelants et les fichiers joints.
5. Les échanges avec la banque avant et après le virement, y compris les alertes et demandes de confirmation.
6. Le relevé bancaire, l'heure du débit, l'identité du bénéficiaire et les coordonnées du compte destinataire.
7. Les preuves du signalement, de la demande de rappel des fonds et de la plainte.
8. Les procédures internes de double validation, les formations et les alertes diffusées aux salariés.

Il est prudent de préserver une copie intègre des boîtes de messagerie et des journaux informatiques. Une simple capture d'écran ne restitue pas toujours l'adresse réelle d'expédition, le routage du message ou les connexions suspectes. Un constat ou une extraction technique peut être utile si l'authenticité des échanges est susceptible d'être discutée.

Que faire immédiatement après la découverte du virement frauduleux ?

La réaction doit être organisée dans les premières heures. L'objectif est double : tenter de récupérer les fonds et préserver les droits de l'entreprise.

1. Alerter la banque et demander le rappel des fonds

Il faut contacter sans délai le service fraude par un canal officiel, demander le gel ou le rappel du virement et obtenir un numéro de dossier. La demande doit être confirmée par écrit. Si les fonds ont été transférés vers une autre banque, la rapidité peut déterminer la possibilité de les bloquer.

2. Contester formellement l'autorisation de l'opération

La réclamation doit préciser que l'entreprise conteste avoir autorisé l'opération dans la forme convenue. Elle doit identifier l'instrument contractuel applicable et expliquer, pièces à l'appui, pourquoi le canal, la signature ou l'auteur de l'ordre n'était pas valable.

L'article L. 133-24 impose de signaler l'opération non autorisée sans tarder et, au plus tard, dans les treize mois suivant le débit, sous réserve de l'information mise à disposition par la banque [9]. Attendre ce délai maximal serait dangereux : le rappel des fonds, la preuve technique et l'appréciation du comportement des parties exigent une réaction immédiate.

3. Sécuriser le système d'information

L'entreprise doit déterminer si une messagerie, un poste de travail ou un compte a été compromis. Les mots de passe et accès sensibles doivent être renouvelés, les sessions actives révoquées et les règles de transfert automatique vérifiées. Cybermalveillance.gouv.fr rappelle que les faux ordres de virement peuvent être précédés d'un piratage de messagerie permettant au fraudeur de connaître les interlocuteurs, les factures et les périodes d'absence [10].

4. Déposer plainte et notifier les assureurs

Une plainte contre X permet de documenter l'escroquerie et de transmettre les éléments utiles aux enquêteurs. Elle ne remplace pas la réclamation adressée à la banque. Il faut parallèlement relire les contrats d'assurance fraude, cyber et responsabilité, puis déclarer le sinistre dans le délai contractuel applicable.

5. Adresser une mise en demeure juridiquement structurée

En cas de refus de remboursement, la mise en demeure doit éviter les qualifications contradictoires. Elle doit distinguer l'opération non autorisée, le défaut de respect du canal convenu, la preuve d'authentification, la négligence grave éventuellement alléguée et, si le paiement a été autorisé, les anomalies apparentes susceptibles de caractériser un manquement au devoir de vigilance.

Si la banque maintient son refus, une action en justice peut demander la restitution des fonds et, selon le fondement retenu, la réparation des préjudices complémentaires. Le recours doit être construit à partir des documents contractuels et techniques, sans attendre l'issue de l'enquête pénale lorsque les délais civils imposent d'agir.

Un avocat en contentieux commercial à Versailles peut auditer la convention bancaire, organiser la conservation des preuves et déterminer le fondement adapté. Le droit commercial et le droit des affaires permettent également d'appréhender les conséquences contractuelles, assurantielles et organisationnelles de l'incident.

Quand le devoir de vigilance de la banque devient-il décisif ?

Le banquier doit concilier deux exigences. Il ne doit pas s'immiscer dans les affaires de son client ni apprécier l'opportunité économique de chaque paiement. Mais il doit réagir devant une anomalie apparente.

Selon les circonstances, peuvent appeler une vérification :

• un montant sans rapport avec les habitudes du compte ;
• une succession rapprochée de virements internationaux ;
• un nouveau bénéficiaire situé dans une zone inhabituelle ;
• l'emploi soudain d'un canal abandonné ;
• une signature ou une présentation différente des ordres antérieurs ;
• une demande urgente et confidentielle étrangère au fonctionnement normal ;
• une incohérence entre l'habilitation de l'émetteur et l'opération demandée.

Ces indices ne produisent pas mécaniquement la responsabilité de la banque. Les juges du fond apprécient la situation concrète, les usages du compte, le contrat et les pouvoirs. L'arrêt du 12 juin 2025, pourvoi n° 24-13.697, illustre cette méthode : la Cour de cassation a reproché aux juges de ne pas avoir recherché si la salariée ayant transmis les ordres était contractuellement habilitée [4].

Pour l'entreprise, l'enjeu est de comparer l'ordre litigieux avec l'historique réel du compte. Un tableau des montants, pays, bénéficiaires, horaires, canaux et validateurs peut rendre visibles les anomalies que la banque était en mesure de détecter.

Comment prévenir une nouvelle fraude au président ?

La prévention ne se limite pas à une sensibilisation générale. Elle doit transformer la procédure de paiement en contrôle vérifiable.

Mettre en place une confirmation hors bande

Tout ordre inhabituel doit être confirmé par un canal indépendant, connu à l'avance. Il ne faut pas rappeler le numéro contenu dans le courriel suspect. La personne sollicitée utilise le numéro enregistré dans l'annuaire interne ou contacte physiquement le décideur.

Séparer la saisie et la validation

Le principe de double contrôle réduit le risque qu'une personne isolée exécute un faux ordre de virement. Les habilitations doivent être nominatives, limitées et révisées à chaque changement de poste ou absence prolongée.

Le responsable financier et le dirigeant de l'entreprise doivent aussi définir un seuil à partir duquel le service comptable effectue un contre-appel. Cette règle protège l'entreprise, mais facilite également l'analyse de la cause de l'incident et de la personne responsable de chaque étape de validation.

Interdire les procédures d'exception implicites

L'urgence, la confidentialité ou la prétendue intervention d'un avocat ne doivent jamais permettre de contourner le canal bancaire convenu. Toute procédure de secours doit être écrite, validée par la banque et testée.

Contrôler les changements de coordonnées bancaires

Un nouveau RIB doit être confirmé auprès du fournisseur ou du partenaire par un contact déjà connu. Les équipes comptables doivent être alertées sur les changements reçus juste avant une échéance importante.

Conserver la preuve des contrôles

Les validations, contre-appels et alertes doivent laisser une trace. Cette discipline améliore la prévention, mais aussi la capacité de l'entreprise à démontrer ses diligences en cas de contentieux bancaire.

Le ministère de l'Économie recommande notamment de rompre la chaîne de courriels, de contacter directement le donneur d'ordre supposé et de sensibiliser régulièrement les salariés aux demandes présentant un caractère international, urgent ou confidentiel [11]. Un audit juridique de l'entreprise peut compléter le diagnostic technique en rapprochant délégations de pouvoirs, processus comptables et contrats bancaires. Pour la dimension cyber, le guide consacré à la protection de l'entreprise contre les cyberattaques fournit des mesures complémentaires.

FAQ sur la fraude au président et le remboursement bancaire

La banque doit-elle toujours rembourser une fraude au président ?

Non. Il faut d'abord déterminer si l'opération était autorisée dans la forme convenue. Si un salarié habilité a réellement validé le virement, le litige peut porter sur le devoir de vigilance de la banque et les anomalies apparentes. Si l'ordre était falsifié ou transmis par un canal non convenu, le régime des opérations non autorisées peut s'appliquer.

Quel est le délai pour contester un virement frauduleux ?

L'article L. 133-24 impose un signalement sans tarder et prévoit, en principe, un délai maximal de treize mois à compter du débit. Cette limite ne doit pas être comprise comme un délai d'attente : le rappel des fonds et la conservation des preuves nécessitent d'agir immédiatement.

Une erreur du salarié suffit-elle à exonérer la banque ?

Non. La banque doit établir les conditions de l'exonération qu'elle invoque. L'arrêt du 8 octobre 2026 précise qu'elle ne peut reprocher une négligence grave liée à l'utilisation d'un instrument qui n'était plus celui convenu entre les parties.

Qui doit prouver que le paiement a été autorisé ?

L'article L. 133-23 place en principe sur la banque la preuve de l'authentification, de l'enregistrement et de la comptabilisation de l'opération. Pour une clientèle professionnelle, la convention peut toutefois déroger à cet article. Elle doit donc être relue avant d'arrêter la stratégie probatoire.

Une authentification forte prouve-t-elle toujours le consentement ?

Non. L'utilisation technique d'un dispositif constitue un élément de preuve, mais l'article L. 133-23 précise que l'enregistrement de l'utilisation de l'instrument ne suffit pas nécessairement, à lui seul, à prouver que l'opération a été autorisée ou que l'utilisateur a commis une négligence grave. Le contrat et les circonstances restent déterminants.

Faut-il déposer plainte avant de réclamer le remboursement ?

La plainte est utile et doit être déposée rapidement, mais elle ne remplace pas le signalement immédiat à la banque. Les deux démarches doivent être menées parallèlement avec la déclaration à l'assureur et la conservation des preuves.

Une stratégie contentieuse à construire dès les premières heures

L'arrêt du 8 octobre 2026 offre aux entreprises un argument important lorsque la banque a exécuté un ordre par un canal non convenu. Il ne crée pourtant aucun droit automatique au remboursement de toute fraude au président. Le résultat dépend de la qualification du paiement, de la convention bancaire, des habilitations, de la preuve technique et des anomalies apparentes.

La première urgence est opérationnelle : alerter la banque, tenter de rappeler les fonds et sécuriser les accès. La seconde est juridique : figer les preuves, identifier l'instrument de paiement applicable et formuler une contestation cohérente. Ces deux temporalités ne doivent pas être dissociées.

Le cabinet peut intervenir pour analyser la convention, structurer la demande de remboursement et conduire le litige commercial si la banque oppose un refus.

Sources officielles

1. Cour de cassation, chambre commerciale, 8 octobre 2026, n° 25-17.510, publié au Bulletin, ECLI:FR:CCASS:2026:CO00582.
2. Code monétaire et financier, articles L. 133-6 et L. 133-7.
3. Code monétaire et financier, article L. 133-18.
4. Cour de cassation, chambre commerciale, 12 juin 2025, n° 24-13.697, publié au Bulletin, ECLI:FR:CCASS:2025:CO00320.
5. Code monétaire et financier, article L. 133-16.
6. Code monétaire et financier, article L. 133-19.
7. Code monétaire et financier, article L. 133-2.
8. Code monétaire et financier, article L. 133-23.
9. Code monétaire et financier, article L. 133-24.
10. Cybermalveillance.gouv.fr, Fraude au virement bancaire ou faux ordre de virement.
11. Ministère de l'Économie, Se prémunir contre l'escroquerie aux faux ordres de virement.
12. Directive (UE) 2015/2366 du 25 novembre 2015, articles 69 et 74.