I. La détermination du caractère autorisé de l’opération de paiement et l’obligation de remboursement du prestataire
A. Le consentement du payeur et la forme convenue de l’autorisation
L’article L. 133-6 du code monétaire et financier subordonne le caractère autorisé de l’opération de paiement au consentement du payeur, tandis que l’article L. 133-7 du même code précise que ce consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement. L’arrêt rendu par la chambre commerciale le 1er juillet 2026 dans l’affaire opposant la société Lincotek Tarbes au Crédit lyonnais opère une synthèse de ce dispositif, en rappelant que « une opération de paiement est autorisée si le payeur a donné son consentement à son exécution, et qu’en l’absence d’un tel consentement, donné sous la forme convenue entre le payeur et le prestataire de service de paiement, l’opération est réputée non autorisée » (Cass. com., 1er juillet 2026, n° 25-13.134, publié au Bulletin). Cette décision, rendue sur le dernier lot d’audiences précédant la trêve estivale, confirme que la réunion des conditions formelles d’exécution ne supplée pas l’absence de consentement réel du donneur d’ordre.
La chambre commerciale avait déjà posé, le 1er juin 2023, le principe selon lequel « un ordre de virement régulier lors de sa rédaction mais dont le numéro IBAN du compte destinataire a été ultérieurement modifié par un tiers à l’insu du donneur d’ordre ne constitue pas une opération autorisée » (Cass. com., 1er juin 2023, n° 21-19.289, publié au Bulletin). En l’espèce, un couple avait adressé à la Banque postale deux ordres de virement. Le numéro IBAN avait été substitué par un fraudeur avant leur exécution. La cour d’appel avait jugé que l’opération avait été autorisée, dès lors que l’ordre avait été régulièrement rédigé. La Cour de cassation a censuré cette analyse, en déduisant de la modification frauduleuse du bénéficiaire l’absence de consentement du payeur à l’opération telle qu’exécutée. A cet égard, la fraude au faux RIB, qui consiste à intercepter une facture ou un courriel pour substituer le numéro de compte de l’escroc, ne saurait être neutralisée par la régularité apparente de l’ordre initial.
Le consentement doit porter sur les éléments essentiels de l’opération, au nombre desquels le montant et le bénéficiaire. La cour d’appel d’Orléans a jugé, dans une affaire de fraude au faux conseiller bancaire, que l’opération validée par la génération d’un code ne pouvait être considérée comme autorisée. Le payeur n’avait en effet ni saisi le montant ni désigné le bénéficiaire, ceux-ci n’étant pas visibles sur le jeton d’authentification (CA Orléans, 19 mars 2026, n° 24/01119). La cour d’appel de Riom a pareillement retenu que le seul enregistrement de l’opération ne suffisait pas à établir le consentement du client. Le titulaire contestait en effet être à l’origine de la création des bénéficiaires et des ordres litigieux (CA Riom, 15 janvier 2025, n° 23/01428). La jurisprudence des cours d’appel converge ainsi vers une appréciation concrète de la volonté du payeur, détachée des seules traces techniques de l’exécution.
Par ailleurs, la qualité de société du titulaire du compte ne modifie pas la nature du consentement exigé, mais elle en complique la preuve, dès lors que les ordres sont émis par une pluralité d’intervenants, dirigeants, comptables ou salariés habilités. Dans l’affaire ayant donné lieu à l’arrêt du 1er juillet 2026, la société Lincotek Tarbes soutenait que ses données personnalisées avaient été utilisées à son insu. Trois virements frauduleux avaient été exécutés le 23 novembre 2020. La cour d’appel de Paris avait déduit le consentement de la seule utilisation de l’identifiant, du code d’accès et d’un jeton de validation (Cass. com., 1er juillet 2026, n° 25-13.134). La chambre commerciale a censuré ce raisonnement, estimant que la cour d’appel, « en déduisant le consentement des opérations litigieuses du recours à la forme convenue contractuellement, a inversé la charge de la preuve et violé les textes susvisés » (Cass. com., 1er juillet 2026, n° 25-13.134). Or, cette solution présente un intérêt majeur pour les entreprises, dont la contestation d’opérations frauduleuses ne peut être écartée au seul motif que les ordres ont été techniquement authentifiés.
B. L’obligation de remboursement immédiat et les conditions de sa mise en œuvre
L’article L. 133-18 du code monétaire et financier met à la charge du prestataire de services de paiement une obligation de remboursement immédiat du montant de l’opération non autorisée, « au plus tard à la fin du premier jour ouvrable suivant », et impose le rétablissement du compte débité dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu. Cette obligation constitue le cœur du régime protecteur issu de la transposition de la directive n° 2015/2366 du 25 novembre 2015. Elle ne cède que si le prestataire soupçonne une fraude de l’utilisateur et communique ses raisons par écrit à la Banque de France.
La condition préalable de l’obligation de remboursement réside dans le signalement de l’opération par l’utilisateur dans les conditions et délais prévus à l’article L. 133-24 du code monétaire et financier, qui impose une notification sans tarder, au plus tard treize mois après la date de débit. Les juridictions du fond sanctionnent rigoureusement le prestataire qui oppose un refus de remboursement sans établir l’autorisation de l’opération. La cour d’appel de Reims a ainsi condamné une banque au remboursement de virements frauduleux. Elle a rappelé que l’utilisation de l’instrument de paiement, telle qu’enregistrée par le prestataire, ne suffit pas à prouver l’autorisation de l’opération ou la négligence grave du payeur (CA Reims, 18 novembre 2025, n° 24/01347). La cour d’appel d’Orléans a de même condamné la BNP Paribas à rembourser des opérations non autorisées. Elle a relevé que l’ajout d’un bénéficiaire par une authentification forte ne dispensait pas la banque d’en requérir une nouvelle pour chaque opération ultérieure (CA Orléans, 9 janvier 2025, n° 22/02556).
La nature du régime est exclusivement légale. La cour d’appel d’Orléans a jugé que le régime de responsabilité applicable aux opérations non autorisées, énoncé par les articles L. 133-16 et suivants du code monétaire et financier, « est exclusif de tout autre régime de responsabilité », de sorte que l’utilisateur ne peut rechercher, même à titre subsidiaire, la responsabilité contractuelle de la banque pour manquement au devoir de vigilance au titre des opérations qu’il estime non autorisées (CA Orléans, 19 mars 2026, n° 24/01119). En revanche, lorsque l’opération est autorisée, la victime d’une fraude au président ou au faux fournisseur ne relève pas de ce régime et doit se placer sur le terrain de la responsabilité contractuelle de droit commun de la banque.
Le législateur a assorti l’obligation de remboursement d’un dispositif de pénalités destiné à en garantir l’effectivité. L’article L. 133-18 du code monétaire et financier prévoit en effet que les sommes dues produisent intérêt au taux légal majoré de cinq points en cas de manquement du prestataire. La majoration atteint dix points au-delà de sept jours de retard et quinze points au-delà de trente jours. Cette gradation confère au droit au remboursement une force contraignante que les juridictions du fond appliquent avec constance. A cet égard, le signalement de l’opération litigieuse dans le délai de l’article L. 133-24 du code monétaire et financier conditionne l’ensemble du dispositif, la tardiveté de la contestation privant l’utilisateur du bénéfice du régime protecteur.
Cette distinction emporte des conséquences pratiques considérables pour les sociétés. Dans l’hypothèse d’une opération non autorisée, le remboursement est de droit, sauf preuve par le prestataire d’une fraude ou d’une négligence grave du payeur. Dans l’hypothèse d’une opération autorisée mais viciée par la manœuvre frauduleuse, le remboursement n’est pas automatique et la société doit démontrer une faute du prestataire, telle qu’un manquement à son devoir de vigilance. La cour d’appel de Versailles a appliqué cette distinction à une fraude au président. La société avait émis six ordres de virement d’un montant total de 352 452 euros vers un compte italien. La cour a retenu un manquement de la banque à son devoir de vigilance, tout en imputant à la société une part majeure de responsabilité (CA Versailles, 3 février 2026, n° 25/00812).
II. Les causes d’exonération du prestataire : la fraude et la négligence grave du payeur
A. La charge de la preuve de l’authentification et de la négligence grave
L’article L. 133-23 du code monétaire et financier organise le régime probatoire des opérations contestées, en disposant qu’« il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre » (Cass. com., 1er juillet 2026, n° 25-13.134). Le même texte ajoute que l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire ne suffit pas nécessairement à prouver que l’opération a été autorisée par le payeur ou que celui-ci a commis une négligence grave. La charge de la preuve pèse donc intégralement sur la banque, tant sur l’authentification que sur la faute de l’utilisateur.
L’arrêt du 30 avril 2025 précise l’articulation de cette charge probatoire avec l’exonération fondée sur la négligence grave, en jugeant que « s’il entend faire supporter à l’utilisateur d’un instrument de paiement doté d’un dispositif de sécurité personnalisé les pertes occasionnées par une opération de paiement non autorisée rendue possible par un manquement de cet utilisateur, intentionnel ou par négligence grave, aux obligations mentionnées aux articles L. 133-16 et L 133-17 de ce code, le prestataire de services de paiement doit au préalable prouver que l’opération en cause a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre » (Cass. com., 30 avril 2025, n° 24-10.149, publié au Bulletin). La Cour de cassation a ainsi censuré une cour d’appel qui avait retenu la négligence grave d’un client ayant cliqué sur un courriel frauduleux. Le courriel avait permis l’ajout d’un bénéficiaire et l’émission d’ordres de virement. La cour n’avait pas recherché si les opérations avaient été authentifiées et enregistrées sans déficience technique.
L’exonération du prestataire est subordonnée à la double preuve, d’une part, de la régularité technique de l’exécution, d’autre part, de l’agissement frauduleux ou de la négligence grave du payeur. L’article L. 133-19, IV, du code monétaire et financier prévoit en ce sens que « le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 » (L. 133-19, IV, CMF). La notion de négligence grave est empruntée au droit de la directive n° 2007/64 du 13 novembre 2007. Elle désigne une imprudence manifeste dans la préservation des données de sécurité personnalisées. Elle s’apprécie au regard de la situation du payeur et des avertissements du prestataire.
Le défaut d’authentification forte, imposée par l’article L. 133-44 du code monétaire et financier, constitue une cause d’exonération du payeur, lequel ne supporte aucune conséquence financière si l’opération a été effectuée sans que le prestataire n’exige une telle authentification. Les obligations de l’utilisateur, définies aux articles L. 133-16 et L. 133-17 du code monétaire et financier, se limitent à la prise de mesures raisonnables pour préserver la sécurité de ses données personnalisées et à l’information sans tarder du prestataire en cas de perte, de vol ou de détournement de l’instrument de paiement. A cet égard, la simple circonstance que le payeur a conservé ses codes ne suffit pas à caractériser une négligence grave, la charge de la preuve du manquement incombant au prestataire qui s’en prévaut.
La portée de cette exigence probatoire doit être mesurée à l’aune de la finalité du dispositif, qui est de faire supporter au prestataire, professionnel de l’exécution des paiements, les conséquences des défaillances techniques ou organisationnelles dont il est responsable. La négligence grave ne se confond ni avec la simple imprudence, ni avec l’erreur de manipulation, ni avec la crédulité face à une manœuvre sophistiquée. Or, la frontière entre négligence simple et négligence grave est précisément au cœur des litiges opposant les sociétés à leur banque, car elle détermine le sort de l’obligation de remboursement. En retenant que le prestataire doit prouver préalablement l’authentification et l’enregistrement réguliers de l’opération, la chambre commerciale a entendu éviter que l’exception de négligence grave ne devienne un moyen commode de contourner le principe du remboursement des opérations non autorisées (Cass. com., 30 avril 2025, n° 24-10.149). Cette solution s’inscrit dans le prolongement de l’arrêt du 1er juin 2023, qui avait déjà écarté toute présomption d’autorisation déduite de la régularité apparente de l’ordre de virement (Cass. com., 1er juin 2023, n° 21-19.289).
B. La négligence grave en pratique et le devoir de vigilance du prestataire à l’égard des sociétés
Les juridictions du fond apprécient la négligence grave au regard des circonstances concrètes de la fraude, notamment de la communication des données de sécurité personnalisées. La cour d’appel d’Orléans a retenu une telle négligence à l’encontre de deux sociétés dont la comptable avait divulgué à un faux conseiller bancaire, lors d’un appel provenant d’un numéro masqué, le mot de passe de connexion aux comptes, alors que la banque avait averti ses clients professionnels des fraudes en cours et de la conduite à tenir, jugeant que les sociétés ont « par la divulgation d’un mot de passe de connexion, commis une négligence grave qui les prive de tout droit à remboursement en application de l’article L. 133-19 IV du code monétaire et financier » (CA Orléans, 19 mars 2026, n° 24/01119). La cour a cependant écarté la qualification d’opération autorisée, faute de consentement au montant et au bénéficiaire, mais a neutralisé l’obligation de remboursement par la négligence grave du payeur.
La cour d’appel de Bordeaux a pareillement retenu la négligence grave d’une société victime d’une escroquerie au faux fournisseur. Le relevé d’identité bancaire avait été substitué et les courriels reçus étaient douteux. La banque avait exécuté les ordres dans le respect des prescriptions réglementaires et jurisprudentielles (CA Bordeaux, 18 février 2025, n° 23/02920). La cour d’appel de Versailles a jugé de même à l’égard de sociétés ayant communiqué les codes de leur carte et de leur boîtier à un faux technicien. Les conditions générales prohibaient expressément la communication de ces données (CA Versailles, 18 mars 2025, n° 24/00262). Des considérations identiques ont conduit la cour d’appel de Riom à débouter une cliente qui avait validé des opérations à la demande d’un faux conseiller, sans vérifier l’identité de son interlocuteur (CA Riom, 19 novembre 2025, n° 25/00257).
En sens inverse, le devoir de vigilance du prestataire s’étend aux anomalies apparentes des ordres de paiement émanant d’une société, lorsque celles-ci sont aisément décelables par un professionnel normalement diligent. La cour d’appel de Versailles a ainsi condamné la Banque Populaire Val de France à indemniser une société victime d’une fraude au président, en relevant que les opérations litigieuses présentaient plusieurs anomalies intellectuelles apparentes, tenant à la multiplicité des ordres passés dans la même journée au profit d’un même bénéficiaire, à leur montant cumulé inhabituel et à la dénomination sociale du destinataire sans lien avec l’activité de la cliente, et en énonçant que « ces anomalies auraient dû, à tout le moins le 22 février 2022, conduire tout prestataire de services de paiement normalement diligent à alerter son client, à prendre son attache et à lui demander de confirmer ses ordres de paiement » (CA Versailles, 3 février 2026, n° 25/00812). La cour a néanmoins réduit l’indemnisation à 20 000 euros sur un préjudice de 352 452 euros, en raison des carences de l’organisation interne de la société, dont la responsable administrative et financière disposait seule du pouvoir sur le compte sans contrôle du dirigeant.
Des lors, l’équilibre du régime de la fraude au virement repose sur une répartition rigoureuse des charges probatoires. Le prestataire qui entend refuser le remboursement doit établir la régularité technique de l’exécution, puis démontrer la fraude ou la négligence grave du payeur. La société qui conteste une opération autorisée doit, quant à elle, rapporter la preuve d’une anomalie apparente que la banque aurait dû déceler et d’un manquement du prestataire à son obligation de vigilance. La jurisprudence de la chambre commerciale, du 1er juin 2023 au 1er juillet 2026, consacre ainsi un droit à réparation dont la mise en œuvre suppose une gestion rigoureuse de la preuve, tant par les entreprises victimes que par les établissements de crédit.
La confrontation des arrêts rendus par les cours d’appel entre 2025 et 2026 révèle une gradation subtile des obligations de chaque partie. Lorsque la fraude résulte d’une manipulation par un faux conseiller, la communication des codes de validation emporte presque systématiquement la négligence grave. Cette qualification suppose que le prestataire avait averti sa clientèle des risques et des conduites à tenir (CA Orléans, 19 mars 2026, n° 24/01119). Lorsque la fraude exploite une vulnérabilité organisationnelle de l’entreprise, telle que la concentration des pouvoirs entre les mains d’un seul préposé, la responsabilité du payeur est engagée. Celle du prestataire demeure toutefois si les anomalies des ordres étaient apparentes (CA Versailles, 3 février 2026, n° 25/00812). En revanche, lorsque la banque n’apporte pas la preuve que le client est à l’origine des opérations, le remboursement s’impose sans partage (CA Riom, 15 janvier 2025, n° 23/01428).
Conclusion
La construction jurisprudentielle relative à la fraude au virement, telle qu’elle se dégage des arrêts rendus par la chambre commerciale entre 2023 et 2026, consacre un régime de responsabilité dont l’équilibre dépend de la preuve du consentement et de la négligence grave. L’arrêt du 1er juillet 2026 (Cass. com., 1er juillet 2026, n° 25-13.134) confirme que l’authentification technique d’une opération ne vaut pas preuve de son autorisation, et que la charge de la preuve de la négligence grave du payeur incombe au prestataire de services de paiement. Les sociétés victimes de faux RIB, de faux fournisseurs ou de fraudes au président disposent d’un cadre probatoire protecteur. Cette protection suppose de signaler sans délai les opérations litigieuses et de préserver les données de sécurité personnalisées. En conséquence, la sécurisation des flux de paiement des entreprises suppose une vigilance organisationnelle renforcée, dont l’absence peut être opposée par la banque pour atténuer ou exclure sa responsabilité. Le contentieux de la fraude au virement, en plein développement, offre aux entreprises un recours effectif contre les prestataires négligents. Il les invite également à adopter des procédures internes de contrôle des ordres de paiement adaptées aux risques de manipulation. Un avocat en contentieux commercial à Paris peut les accompagner dans cette démarche.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.