Votre comptable vient de virer 180 000 euros sur un RIB qui semblait venir de votre fournisseur historique. Le courriel reprenait le logo, la signature, le numéro de facture, le ton exact de votre interlocuteur habituel. Quelques heures plus tard, le vrai fournisseur relance pour impayé. Le faux RIB a détourné les fonds vers un compte qui se vide déjà. La même semaine, une autre variante frappe : un faux dirigeant presse votre collaborateur par téléphone et par courriels, exige des virements confidentiels et urgents vers Hong Kong ou un autre compte lointain, en interdisant de prévenir quiconque. Ce scénario n’a rien d’exceptionnel. La fraude au faux RIB et la fraude au président constituent aujourd’hui l’escroquerie reine visant la trésorerie des entreprises françaises, des PME aux ETI, avec des montants qui atteignent souvent plusieurs centaines de milliers d’euros en quelques jours. Cybermalveillance.gouv.fr décrit d’ailleurs ce mécanisme sans détour : l’escroc usurpe l’identité d’un créancier en relation avec la victime afin de lui faire réaliser un virement vers un compte détenu par l’escroc. Face à ce choc, les réflexes des premières heures décident de tout : rappel des fonds auprès des deux banques, opposition et traçage, dépôt de plainte avec les pièces techniques, contestation écrite adressée à votre banque dans les délais légaux, et mise en cause argumentée de la responsabilité bancaire quand l’opération présente des anomalies que la banque aurait dû détecter. Cet article vous donne la méthode complète : comprendre qui paie entre vous, votre banque et la banque du fraudeur, activer le remboursement des opérations non autorisées, exploiter le devoir de vigilance de la banque mis en lumière par la Cour de cassation le 2 octobre 2024, et organiser la plainte pénale pour escroquerie afin de récupérer vos fonds et obtenir réparation. Chaque étape indique les textes applicables, les décisions de justice à citer dans vos courriers, les délais à ne jamais dépasser et les pièces à réunir, avec un focus pratique pour les entreprises installées à Paris et en Île-de-France.

I. Virement parti sur un faux RIB ou un faux ordre du président : stopper l’hémorragie et qualifier l’opération

A. Faux RIB, faux président, faux conseiller : reconnaître l’attaque et lancer les mesures d’urgence bancaires

La fraude au faux RIB suit un mode opératoire stable. Vous attendez une facture d’un fournisseur connu. Un courriel presque identique à l’original vous annonce un changement de coordonnées bancaires, avec un nouveau RIB en pièce jointe. Le message invoque un contrôle fiscal, un audit, une fusion ou une simple mise à jour de la banque du fournisseur. Votre équipe exécute le virement de bonne foi. L’argent part vers le compte de l’escroc. La fraude au président obéit à une logique voisine mais plus psychologique : un individu se présente comme le dirigeant, un auditeur, un avocat ou un représentant d’une autorité, impose le secret et l’urgence, et fait exécuter une série de virements vers des comptes étrangers. Dans les deux cas, le droit pénal retient la même qualification de départ : l’article 313-1 du code pénal dispose que « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » Ce texte fonde votre plainte et votre constitution de partie civile.

Dès la découverte, chaque minute compte. Appelez immédiatement votre banque, votre conseiller entreprises et la cellule fraude, par téléphone puis par courriel confirmé, pour demander le rappel des fonds, en anglais recall, auprès de la banque du bénéficiaire, ainsi que le gel des sommes si elles sont encore présentes. Demandez le numéro d’incident, le nom de l’interlocuteur et une confirmation écrite. Adressez en parallèle un courriel à la banque du bénéficiaire si vous l’identifiez sur l’avis d’opération, en joignant l’ordre de virement, le faux message et le vrai RIB du fournisseur. Prévenez votre fournisseur par écrit afin qu’il alerte ses autres clients et conserve ses propres journaux de messagerie. Changez les mots de passe des boîtes courriels exposées, verrouillez les règles de transfert automatique que les escrocs ajoutent souvent, et conservez les en-têtes techniques complets des courriels frauduleux. Déposez plainte sans attendre auprès du commissariat, de la gendarmerie ou du procureur de la République, en visant l’escroquerie, et signalez les faits sur la plateforme officielle de signalement de Cybermalveillance. Pour une entreprise, la plainte doit être déposée par le représentant légal ou un porteur de pouvoir, avec l’extrait Kbis, les factures concernées, les RIB vrai et faux, les relevés bancaires, les courriels avec en-têtes, et le récépissé du signalement bancaire. Cette plainte ne sert pas seulement la répression. Elle documente la fraude vis-à-vis de votre banque, de votre assureur et du juge civil, et elle permet de demander des réquisitions pour identifier le titulaire du compte de rebond avant que les fonds ne soient dispersés.

Sur le plan civil, la première bataille porte sur la nature de l’opération. Si votre collaborateur a validé lui-même le virement dans votre espace bancaire, votre banque objectera que l’opération a été autorisée et que seul l’IBAN était erroné. Le régime applicable distingue alors deux situations. Quand un tiers a utilisé votre instrument de paiement à votre insu, sans validation de votre part, le régime des opérations non autorisées s’applique et le remboursement est en principe immédiat. Quand votre équipe a elle-même saisi et validé l’IBAN du fraudeur, l’opération est formellement autorisée mais affectée d’une erreur sur le destinataire. L’article L133-21 du code monétaire et financier prévoit qu’« Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique. » Votre banque se retranchera derrière ce texte pour refuser le remboursement automatique. Le même article ajoute toutefois une obligation souvent négligée : « le prestataire de services de paiement du payeur s’efforce de récupérer les fonds engagés dans l’opération de paiement. » Exigez donc par écrit la preuve de ces efforts, la transmission de votre demande à la banque du bénéficiaire, et la communication des informations détenues pour agir en justice en récupération. Si la banque du bénéficiaire tarde à restituer des fonds encore disponibles, sa responsabilité peut également être recherchée. Dans les deux hypothèses, autorisée ou non, la question décisive devient celle des manquements de votre banque à son devoir de vigilance et à ses obligations de sécurité, car c’est sur ce terrain que les entreprises obtiennent des condamnations substantielles.

B. Opération non autorisée ou virement validé par erreur : exiger le remboursement et verrouiller les délais

Quand l’opération peut être qualifiée de non autorisée, le droit au remboursement est formulé en termes impératifs. L’article L133-18 du code monétaire et financier dispose que « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » Le même article ajoute que le compte débité est rétabli dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu, et que tout retard déclenche des intérêts majorés. Adressez donc une contestation écrite précise, distincte du simple appel téléphonique, qui mentionne la référence de chaque opération, sa date, son montant, son bénéficiaire apparent, et la formule selon laquelle vous contestez l’autorisation donnée à un tiers ou vous signalez le détournement de votre instrument. Envoyez ce courrier en recommandé avec accusé de réception et par courriel à votre interlocuteur entreprises, en conservant les preuves de dépôt. Réclamez le remboursement au plus tard à la fin du premier jour ouvrable suivant et le rétablissement du solde avec date de valeur corrigée.

Votre banque ne peut pas se contenter d’invoquer l’enregistrement informatique de l’ordre pour échapper à ce remboursement. La Cour de cassation a jugé à plusieurs reprises que la preuve de l’enregistrement ne suffit pas à établir l’autorisation ni la faute du client. Dans un arrêt du 22 janvier 2020, la chambre commerciale a rappelé que, selon l’article L133-23 du code monétaire et financier, « l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière ». Concrètement, si votre banque se borne à produire ses journaux internes ou à évoquer un hypothétique hameçonnage de votre collaborateur sans démontrer une négligence grave précise de votre société, sa contestation reste insuffisante. Citez ce passage dans votre courrier de mise en demeure et demandez à la banque d’identifier exactement le manquement intentionnel ou la négligence grave qu’elle vous reproche, avec les pièces correspondantes.

Le régime protecteur comporte aussi une exigence de sécurité à la charge des banques. L’article L133-19 du code monétaire et financier prévoit que « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 ». Vérifiez donc si vos virements litigieux ont été validés avec une authentification forte conforme, double facteur avec code unique, biométrie ou boîtier dédié, ou par un simple mot de passe. Si la banque a laissé passer des virements sensibles sans authentification forte, ajoutez ce manquement à votre réclamation. Enfin, surveillez le délai de contestation. L’article L133-24 du code monétaire et financier dispose que « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». Pour une personne morale agissant pour des besoins professionnels, la convention de compte peut aménager ce délai, parfois à la baisse. Contrôlez votre convention d’entreprise dès le premier jour et contestez par écrit au plus vite, sans attendre l’issue de l’enquête pénale. Une contestation tardive, même de quelques semaines au-delà du délai conventionnel, peut suffire à faire échec à votre demande de remboursement automatique et à vous renvoyer vers le seul terrain de la faute bancaire, plus exigeant.

II. Faire payer la banque défaillante et obtenir réparation : vigilance, faute et procès

A. Devoir de vigilance de la banque : l’anomalie apparente qui fait condamner même en cas de fraude au président

Même quand votre collaborateur a lui-même validé les virements, votre banque reste tenue d’un devoir de vigilance qui porte sur les anomalies apparentes des opérations. La formule de principe est rappelée dans chaque contentieux : la banque reste soumise à la non-ingérence dans les affaires de son client, principe que discute l’arrêt de la chambre commerciale du 2 octobre 2024, mais ce principe ne la dispense pas de détecter les signaux visibles de fraude. L’affaire jugée par la Cour de cassation le 2 octobre 2024 illustre parfaitement l’articulation. Selon l’arrêt, « entre le 11 et le 22 décembre 2017, la comptable de la société Le Cerf & Bachelet (la société) a adressé à la société banque CIC Nord-Ouest (la banque) sept ordres de virement d’un montant total de 2 121 903,81 euros au profit du compte d’une société située à Hong-Kong. » La salariée agissait en exécution de courriels d’un tiers usurpant l’identité du dirigeant. La société a assigné sa banque en restitution. La cour d’appel de Douai a condamné la banque à payer 1 060 951,90 euros, soit la moitié du préjudice, en retenant un partage de responsabilités. La banque s’est pourvue en cassation en soutenant que les juges avaient exigé une analyse approfondie des habitudes du compte, incompatible avec le contrôle seulement prima facie imposé par le devoir de vigilance.

La Cour de cassation a rejeté le pourvoi. Elle a validé le raisonnement des juges du fond qui avaient relevé le caractère rapproché et répété des ordres, la période de fin d’année, des montants très supérieurs aux virements habituels hors groupe, et des bénéficiaires étrangers sans relation d’affaires avec la société. Pour le praticien, l’enseignement est direct : une série de virements inhabituels par leur fréquence, leur calendrier, leur montant et leur destination géographique constitue une anomalie apparente qui impose à la banque de surseoir et de se renseigner directement auprès du signataire avant d’exécuter. Dans votre dossier, construisez le même faisceau. Produisez vos relevés sur vingt-quatre ou trente-six mois, un tableau des virements habituels par montant et par zone, la liste de vos bénéficiaires récurrents, et la démonstration que les ordres litigieux rompent brutalement avec ces habitudes. Ajoutez les circonstances calendaires, ordres passés pendant les congés du dirigeant, en fin de journée, à quelques heures d’intervalle, vers des pays avec lesquels vous ne travaillez jamais. Demandez la production des procédures internes de la banque, seuils d’alerte, contre-appels, vérifications des nouveaux bénéficiaires, et vérifiez si elles ont été respectées. Si la banque a exécuté sans le moindre contre-appel alors que ses propres règles l’imposaient, ce manquement renforce la faute.

La responsabilité retenue sur ce fondement est contractuelle. L’article 1231-1 du code civil dispose que « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » La banque qui manque à son devoir de vigilance engage sa responsabilité et doit réparer la part du préjudice liée à sa faute. Le partage avec votre propre faute éventuelle, défaut de formation du personnel, absence de procédure de double validation, système de messagerie mal sécurisé, reste fréquent. Dans l’affaire de 2024, la condamnation à la moitié des sommes montre que le juge répartit. Pour limiter votre part, documentez vos procédures internes : double signature au-delà d’un seuil, vérification téléphonique des changements de RIB sur un numéro connu et non sur celui du courriel suspect, validation du dirigeant pour tout nouveau bénéficiaire étranger, et sensibilisation écrite de l’équipe comptable. Ces pièces ne servent pas seulement à convaincre le juge. Elles permettent de négocier avec la banque et avec votre assureur cyber ou responsabilité civile, qui conditionne souvent sa garantie à l’existence de telles procédures.

Un autre arrêt éclaire la répartition quand la banque invoque une clause de convention de compte pour échapper au remboursement. Le 9 octobre 2019, la chambre commerciale a rejeté le pourvoi d’une banque qui contestait sa condamnation à restituer des fonds détournés par un ordre revêtu d’une signature apocryphe. La Cour a confirmé que la banque ne pouvait se retrancher derrière sa clause d’exonération alors qu’elle n’avait pas respecté ses propres règles prudentielles, notamment en manquant d’effectuer un contre-appel avant d’exécuter l’ordre litigieux. Ce précédent reste précieux pour les entreprises dont la convention de compte professionnel contient des clauses restrictives. Lisez votre convention, identifiez les clauses qui limitent le remboursement ou qui raccourcissent les délais, et confrontez-les aux dispositions impératives du code monétaire et financier et aux manquements concrets de la banque. Une clause ne couvre jamais une faute caractérisée de vigilance ni l’inexécution des propres procédures de la banque.

Face à un refus persistant de remboursement amiable, la voie judiciaire s’organise en deux branches complémentaires. Devant le tribunal judiciaire ou le tribunal de commerce selon la qualité des parties et la nature du compte, demandez la restitution des opérations non autorisées et, à titre subsidiaire, des dommages et intérêts pour manquement au devoir de vigilance et aux obligations de sécurité. Le tribunal judiciaire de Paris et plusieurs cours d’appel appliquent strictement la charge de la preuve pesant sur la banque en matière d’autorisation et de négligence grave du client. Joignez la mise en demeure, la contestation dans les délais, les relevés comparatifs, les courriels frauduleux, la plainte pénale et les échanges avec les deux banques. Sollicitez une expertise si le débat porte sur la sécurité du système d’authentification. Parallèlement, suivez la procédure pénale : la constitution de partie civile devant le juge d’instruction ou à l’audience permet de demander réparation contre l’escroc identifié et, en cas de faute détachable, de discuter la responsabilité d’intermédiaires. L’article 1240 du code civil rappelle que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Ce fondement vise l’escroc, ses complices et les titulaires de comptes de rebond qui ont prêté leur concours en connaissance de cause.

B. Dossier gagnant à Paris et en Île-de-France : juridictions, délais pratiques et pièces qui récupèrent l’argent

Pour une entreprise parisienne ou francilienne, le traitement du dossier présente des particularités utiles. La plainte peut être déposée au commissariat de votre arrondissement, à la brigade financière ou auprès du parquet de Paris si les montants et la dimension organisée le justifient. Conservez le récépissé et demandez que la plainte mentionne chaque virement avec sa date, son montant, son IBAN de destination et sa référence. Les réquisitions bancaires partent plus vite quand ces éléments sont précis dès le dépôt. Côté civil, les litiges entre sociétés relèvent en principe du tribunal de commerce de Paris, tandis que les demandes fondées sur les opérations de paiement d’une personne morale contre sa banque peuvent aussi être portées devant le tribunal judiciaire de Paris selon la rédaction de votre convention et la stratégie choisie. Vérifiez la clause attributive de juridiction de votre convention de compte entreprises avant d’assigner. En pratique parisienne, comptez quelques semaines pour obtenir une date en référé quand des fonds restent identifiables et qu’un séquestre ou une mesure conservatoire est envisageable, et douze à dix-huit mois au fond pour un dossier complet avec expertise. Ces délais justifient de mener de front le rappel amiable des fonds, la contestation écrite immédiate et l’assignation sans attendre la fin de l’enquête pénale.

Votre dossier de pièces doit être exhaustif dès la mise en demeure. Rassemblez l’extrait Kbis, les pouvoirs du signataire de la réclamation, la convention de compte entreprises avec ses conditions de sécurité, les ordres de virement litigieux avec références et horodatage, les relevés de douze à trente-six mois, le tableau comparatif des montants et destinations habituels, la facture attendue avec le vrai RIB du fournisseur, le faux courriel avec en-têtes complets et pièces jointes, le faux RIB, les attestations du fournisseur et du dirigeant, les échanges avec les deux banques avec numéros d’incidents, le récépissé de plainte, et vos procédures internes de validation des paiements. Ajoutez les justificatifs du préjudice : agios, frais de découvert, coût du crédit relais souscrit pour payer les salaires et les vrais fournisseurs, perte de marge liée aux retards de livraison, et temps interne consacré à la gestion de crise. Chiffrez chaque poste avec pièces. Les juges indemnisent mieux un préjudice documenté qu’une demande globale. Si votre entreprise dispose d’une assurance fraude, cyber ou homme clé, déclarez le sinistre dans le délai de la police, souvent cinq jours ouvrés, en joignant la plainte et la contestation bancaire. L’assureur peut prendre en charge une partie des pertes et exercer un recours contre la banque ou les fraudeurs, ce qui renforce votre position dans la négociation.

La négociation avec la banque suit une gradation. Premier courrier de contestation et de demande de remboursement avec rappel des fonds. Deuxième courrier de mise en demeure visant les textes, L133-18, L133-19, L133-21 et L133-24 du code monétaire et financier, et les arrêts du 2 octobre 2024, du 9 octobre 2019 et du 22 janvier 2020, avec un délai de quinze jours. Recours au médiateur bancaire si la convention le prévoit, sans laisser passer les délais judiciaires. Assignation avec demande de provision si les anomalies sont manifestes. Dans les dossiers de fraude au président avec des virements multiples vers Hong Kong ou des destinations sans lien avec votre activité, la jurisprudence récente offre un levier réel, car les juges admettent que la banque, professionnelle des paiements, connaît le mécanisme de cette fraude et doit appliquer ses propres seuils d’alerte. Ne laissez pas la banque renvoyer toute la faute sur votre collaborateur trompé. Rappelez que la tromperie du salarié par un escroc habile ne vaut pas à elle seule négligence grave de la société, surtout quand la banque a laissé passer des signaux visibles sans le moindre contrôle. Cette articulation entre la faute de l’escroc, votre organisation interne et la vigilance bancaire constitue le cœur du débat judiciaire et le point sur lequel se gagnent les partages favorables.

Conclusion

Un virement parti sur un faux RIB ou sur un faux ordre du président n’est jamais une fatalité comptable. Les premières heures imposent le rappel des fonds, la contestation écrite et la plainte avec des pièces techniques complètes. Les semaines suivantes décident du remboursement : qualification exacte de l’opération, délais de treize mois ou du délai conventionnel respecté, preuve exigée de la banque sur l’autorisation et sur votre prétendue négligence grave, et contrôle de l’authentification forte réellement appliquée. Le devoir de vigilance de la banque, confirmé par la Cour de cassation le 2 octobre 2024 dans un dossier de fraude au président à plus de deux millions d’euros, permet d’obtenir réparation même quand votre équipe a validé les ordres, dès lors que la fréquence, les montants et les destinations rompaient visiblement avec vos habitudes et que la banque a exécuté sans vérification. Constituez dès maintenant votre dossier avec relevés comparatifs, vrais et faux RIB, en-têtes de courriels, échanges bancaires et chiffrage du préjudice, déclarez le sinistre à votre assureur, et adressez une mise en demeure qui cite les textes et les arrêts applicables. À Paris et en Île-de-France, articulez la plainte financière, le rappel des fonds et l’assignation devant la juridiction compétente sans attendre l’issue de l’enquête. Une fraude bien documentée et contestée vite se récupère. Une fraude traitée tard, sans écrits ni délais, devient une perte sèche.