Le relevé du compte professionnel affiche un virement que personne dans la société n’a ordonné, un prélèvement inconnu ou une série d’opérations carte que le dirigeant découvre au moment de payer les salaires. Le réflexe de la banque consiste alors à laisser entendre que la société a été imprudente, qu’un code a circulé ou qu’un poste n’était pas sécurisé, et à différer le remboursement jusqu’au bout d’une enquête interne. Deux décisions rendues en 2026 changent le rapport de force. Le 15 octobre 2026, la Cour de justice de l’Union européenne a jugé, dans l’affaire C-70/25, qu’un prestataire de services de paiement ne peut pas refuser de rembourser immédiatement le montant d’une opération non autorisée au motif que le payeur aurait rendu possible cette opération par une négligence grave. Quelques mois plus tôt, le 4 février 2026, la chambre commerciale de la Cour de cassation a rappelé, à propos du compte d’une société par actions simplifiée, que seul le régime du code monétaire et financier s’applique aux opérations non autorisées, à l’exclusion du droit commun de la responsabilité contractuelle. Pour une société dont le compte professionnel est débité sans son accord, la méthode tient donc en deux temps : exiger le remboursement immédiat sans se laisser opposer la négligence, puis discuter, dans un second temps seulement, du partage final de la perte. Cet article expose les textes applicables, les preuves à réunir et la contestation d’un refus de la banque à Paris.

I. Exiger de la banque le remboursement immédiat du compte de la société

A. Faire reconnaître une opération de paiement non autorisée sur le compte professionnel

Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution. Telle est la définition posée par l’article L. 133-6 du code monétaire et financier, qui ajoute qu’une série d’opérations, notamment sous la forme d’un mandat de prélèvement, n’est autorisée que si le payeur a donné son consentement à l’exécution de la série. Pour une société, le payeur est la personne morale elle-même, qui agit par ses représentants et selon les délégations de signature qu’elle a organisées. Un virement émis depuis la messagerie d’un salarié sans délégation, un ordre falsifié ou une opération carte déclenchée après piratage des accès n’engagent pas le consentement de la société. La première tâche du dirigeant consiste donc à établir que l’opération litigieuse est sortie du circuit d’autorisation interne : qui pouvait ordonner un virement, avec quel plafond, avec quelle double validation, et où l’opération litigieuse a rompu cette chaîne.

La loi place ensuite la charge de la preuve sur la banque. Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. C’est ce qu’énonce l’article L. 133-23 du code monétaire et financier, qui précise que l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur. Concrètement, la banque ne peut pas se contenter d’afficher ses journaux informatiques : elle doit fournir des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur. Pour la société, cela signifie qu’une contestation écrite, précise et rapide suffit à renverser la charge du débat : c’est à l’établissement de démontrer l’authentification et le consentement, traçabilité des validations à l’appui.

La contestation doit intervenir vite, et le dirigeant doit mesurer un piège propre aux comptes professionnels. L’article L. 133-17 du code monétaire et financier impose à l’utilisateur qui a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement d’en informer sans tarder son prestataire, aux fins de blocage de l’instrument. Par ailleurs, l’article L. 133-24 du code monétaire et financier dispose que l’utilisateur signale sans tarder à son prestataire une opération non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion, à moins que le prestataire ne lui ait pas fourni les informations relatives à l’opération. Mais la même phrase ajoute une réserve décisive pour les entreprises : sauf dans les cas où l’utilisateur est une personne physique agissant pour des besoins non professionnels, les parties peuvent convenir d’un délai distinct de celui prévu au présent article. Autrement dit, la convention de compte professionnel peut réduire le délai de contestation en dessous de treize mois. Le dirigeant qui découvre un débit suspect doit donc relire immédiatement la convention de compte de la société : le délai contractuel qui y figure conditionne la recevabilité de toute la suite. En pratique, faire opposition et adresser une réclamation écrite le jour même de la découverte, avec accusé de réception, met la société à l’abri de toute discussion sur la tardiveté.

Il faut enfin distinguer deux situations que les banques mélangent volontiers. Quand un salarié, abusé par un faux ordre ou une usurpation d’identité du dirigeant, valide lui-même le virement dans les règles internes, l’opération a été techniquement autorisée par la société, même si le consentement a été surpris par une fraude : les recours relèvent alors d’un autre raisonnement, proche de celui décrit dans l’article consacré à l’arnaque au président et au faux ordre dans l’entreprise. Quand, au contraire, personne n’a validé l’opération dans le circuit de la société, c’est le régime des opérations non autorisées qui s’applique, avec son remboursement immédiat. Qualifier correctement l’opération dès la réclamation conditionne tout le contentieux : la société doit écrire à la banque, pièces internes à l’appui, pourquoi l’opération litigieuse n’a jamais reçu le consentement de la personne morale.

B. La négligence grave alléguée n’autorise plus la banque à garder les fonds : l’arrêt de la Cour de justice du 15 octobre 2026

Le texte français ne laisse déjà aucune place à l’attentisme bancaire. L’article L. 133-18 du code monétaire et financier énonce : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » Le même article ajoute que le prestataire rétablit, le cas échéant, le compte débité dans l’état où il se serait trouvé si l’opération non autorisée n’avait pas eu lieu. Le remboursement intervient donc au plus tard à la fin du premier jour ouvrable suivant la réclamation, et la seule échappatoire admise tient à la fraude du payeur lui-même, soupçonnée pour de bonnes raisons et signalée par écrit à la Banque de France. La négligence, même grave, ne figure pas dans cette exception.

C’est exactement ce que la Cour de justice de l’Union européenne a tranché le 15 octobre 2026 dans l’arrêt C-70/25, rendu sur renvoi du tribunal d’arrondissement de Koszalin dans un litige opposant une cliente à la banque polonaise PKO BP. L’établissement refusait de rembourser une opération non autorisée au motif que la cliente avait rendu possible cette opération par une négligence grave, en manquant à son obligation de conserver avec diligence son instrument de paiement. La Cour devait articuler deux règles de la directive 2015/2366 sur les services de paiement, dite DSP2 : l’article 73, qui impose le remboursement immédiat, et l’article 74, qui fait supporter au payeur les pertes résultant de sa négligence grave. Par ces motifs, la Cour dit pour droit que l’article 73, paragraphe 1, et l’article 74, paragraphe 1, de la directive 2015/2366 doivent être interprétés en ce sens qu’un prestataire de services de paiement ne peut pas refuser de rembourser immédiatement à un payeur le montant d’une opération de paiement non autorisée au motif que ce payeur aurait rendu possible cette opération par une négligence grave, en violation de ses obligations au titre de l’article 69 de la directive. La négligence grave relève du partage final de la perte, dans un second temps, devant le juge : elle ne peut jamais justifier un refus immédiat de rembourser.

La Cour de cassation avait déjà fermé, côté français, la porte aux refus déguisés en procès de la victime. Le 30 septembre 2026, la chambre commerciale a cassé un arrêt qui rejetait la demande de restitution d’une cliente dont le compte avait été débité en exécution d’un ordre de virement constituant un faux établi par le bénéficiaire. Dans l’arrêt du 30 septembre 2026, pourvoi n° 25-16.643, la Cour vise l’article L. 133-18 du code monétaire et financier et rappelle : « Selon ce texte, en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » La Cour casse parce que la cour d’appel avait retenu un caractère frauduleux de la contestation alors même qu’elle constatait que la cliente avait validé le virement pour exécuter une condamnation civile et non pour payer les honoraires du bénéficiaire, « ce qui excluait le caractère frauduleux de sa demande de restitution des fonds ». L’enseignement vaut pour les sociétés : la fraude qui autorise la banque à ne pas rembourser immédiatement, c’est la fraude du payeur en lien avec l’opération contestée, dûment soupçonnée et déclarée à la Banque de France, pas une lointaine imprudence de gestion ni un différend avec un tiers.

Face à un refus motivé par une prétendue négligence, la réponse de la société tient donc en trois lignes : rappeler le délai du premier jour ouvrable suivant prévu par l’article L. 133-18 du code monétaire et financier, citer le dispositif de l’arrêt C-70/25 du 15 octobre 2026, et demander à la banque soit le remboursement immédiat, soit la copie du signalement écrit adressé à la Banque de France exposant les bonnes raisons de soupçonner une fraude de la société elle-même. Une banque qui ne produit ni l’un ni l’autre s’expose à une condamnation dont la jurisprudence récente montre qu’elle est assortie des dépens et d’une indemnité de procédure.

II. Le partage final de la perte et la contestation d’un refus à Paris

A. Qui supporte finalement la perte : cinquante euros, négligence grave, fraude et authentification forte

Obtenir le remboursement immédiat ne clôt pas le débat : la banque peut ensuite, devant le juge, demander que la perte soit remise à la charge de la société. Ce second temps obéit à une échelle précise fixée par l’article L. 133-19 du code monétaire et financier. En cas d’opération non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information aux fins de blocage, les pertes liées à l’utilisation de cet instrument dans la limite d’un plafond de 50 euros. Cette franchise ne s’applique déjà plus dans plusieurs hypothèses protectrices, notamment quand l’opération a été effectuée sans utilisation des données de sécurité personnalisées ou en détournant l’instrument à l’insu du payeur. Au-delà de ce premier niveau, le même article dispose : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » Ces obligations sont celles de conserver l’instrument avec diligence et d’alerter sans tarder aux fins de blocage. Pour une société, la négligence grave s’apprécie au regard de son organisation : codes partagés entre collaborateurs, absence de double validation, poste comptable sans contrôle d’accès, retard à faire opposition après la découverte.

Deux garde-fous protègent toutefois la société jusque dans ce second temps. D’abord, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération non autorisée a été effectuée sans que le prestataire exige une authentification forte du payeur, comme le prévoit l’article L. 133-19 du code monétaire et financier. Une banque qui a laissé passer une opération sensible sans authentification renforcée ne peut donc pas reporter la perte sur la société, même imprudente. Ensuite, et c’est l’apport majeur de la jurisprudence 2026 pour les entreprises, la banque ne peut pas contourner ce régime en invoquant le droit commun. Dans l’arrêt du 4 février 2026, pourvoi n° 24-22.320, la chambre commerciale juge, au visa des articles L. 133-6, L. 133-7 et L. 133-18 du code monétaire et financier : « Il résulte de la combinaison de ces textes qu’en cas d’opération de paiement non autorisée, seul s’applique le régime de responsabilité du prestataire de services de paiement prévu par le code monétaire et financier, exclusif du droit commun de la responsabilité contractuelle. » Et la Cour ajoute : « dès lors que la responsabilité d’un prestataire de services de paiement est recherchée en raison d’une opération de paiement non autorisée ou mal exécutée, seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 précités, qui transposent les articles 58, 59 et 60, paragraphe 1, de la directive 2007/64/CE, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national. »

Les faits de cet arrêt parlent directement aux dirigeants. La société Établissements [3], société par actions simplifiée, avait vu son compte débité sur un ordre qui n’émanait pas de son dirigeant. La cour d’appel avait écarté la responsabilité de la banque en relevant que l’opération ne présentait aucune anomalie apparente, que la banque ne pouvait se voir reprocher un défaut de vigilance, mais qu’il existait des défaillances certaines au sein de la société, dont les échanges internes n’étaient pas sécurisés et qui n’avait mis en place aucun processus de contrôle. La Cour de cassation, dans l’arrêt du 4 février 2026, censure ce raisonnement : « En statuant ainsi, alors qu’elle avait relevé que l’opération de paiement n’avait pas été autorisée, la cour d’appel, qui n’a pas tiré les conséquences légales de ses constatations, a violé les textes susvisés. » Dès lors que l’opération n’est pas autorisée, la désorganisation interne de la société ne suffit pas à exonérer la banque sous couvert de faute de la victime ou de partage de responsabilité de droit commun : seul le régime des articles L. 133-18 à L. 133-24 s’applique, avec sa charge de la preuve sur le prestataire et son remboursement immédiat. Pour le dirigeant, la leçon est double : sécuriser les processus internes reste indispensable pour le second temps du débat sur la négligence grave, mais aucune faille d’organisation ne permet à la banque d’échapper au remboursement immédiat ni de faire juger l’affaire sur le terrain du droit commun.

En synthèse, l’ordre des questions devant le juge est fixe. L’opération était-elle autorisée au sens de l’article L. 133-6 du code monétaire et financier ? Si non, la banque a-t-elle remboursé au plus tard à la fin du premier jour ouvrable suivant, comme l’exige l’article L. 133-18 du code monétaire et financier ? Si elle refuse, a-t-elle de bonnes raisons de soupçonner une fraude du payeur, communiquées par écrit à la Banque de France, comme l’exige le même texte éclairé par l’arrêt du 30 septembre 2026 ? Enfin, à qui incombe définitivement la perte selon l’échelle de l’article L. 133-19 du code monétaire et financier, en tenant compte de l’authentification forte et de la preuve de la négligence grave qui pèse sur la banque en vertu de l’article L. 133-23 du code monétaire et financier ? Toute argumentation bancaire qui inverse cet ordre ou qui mélange les deux temps doit être écartée, avec l’appui de l’arrêt C-70/25 du 15 octobre 2026.

B. Contester le refus de la banque à Paris : preuves, délais, juridiction et pièces à réunir

Quand la banque maintient son refus après la réclamation, la société doit construire un dossier de contestation méthodique, adapté aux juridictions parisiennes. La première pièce est la réclamation initiale elle-même : courrier recommandé ou message via l’espace sécurisé de la banque, daté, décrivant chaque opération contestée avec sa date, son montant et son mode, affirmant l’absence de consentement de la société et exigeant le remboursement au plus tard à la fin du premier jour ouvrable suivant en visant l’article L. 133-18 du code monétaire et financier et l’arrêt C-70/25 du 15 octobre 2026. La date de cet envoi fait courir le délai de remboursement et servira de point de comparaison devant le juge. Joindre le récépissé d’opposition et, en cas de piratage des accès ou d’intrusion dans la messagerie, le dépôt de plainte, qui objective la thèse de l’opération subie.

Le deuxième bloc de pièces concerne l’organisation interne de la société, car c’est sur ce terrain que la banque tentera de plaider la négligence grave au second temps. Il faut réunir les délégations de signature et de pouvoirs bancaires en vigueur au jour des faits, la convention de compte professionnel avec le délai de contestation qu’elle stipule, les journaux de connexion et les traces d’authentification, les procédures internes de validation des paiements, les attestations des collaborateurs sur le circuit réel des ordres, et tout élément montrant que l’opération litigieuse est sortie de ce circuit. L’objectif n’est pas de démontrer une organisation parfaite, que l’arrêt du 4 février 2026 ne requiert pas pour le remboursement, mais de priver la banque d’indices faciles de négligence grave et de documenter, si besoin, que l’authentification forte n’a pas été exigée. Les relevés de compte annotés, les échanges avec le conseiller et les réponses écrites de la banque complètent le dossier : chaque affirmation bancaire non prouvée devient un moyen, puisque l’article L. 133-23 du code monétaire et financier impose au prestataire de prouver l’authentification et l’absence de déficience technique.

À Paris et en Île-de-France, le parcours contentieux suit un chemin balisé. Après l’échec de la réclamation, la société saisit le médiateur bancaire, dont les coordonnées figurent dans la convention de compte et sur les relevés : cette étape, gratuite dans son principe procédural, suspend rarement les délais mais pèse dans l’appréciation ultérieure du comportement de chaque partie. En cas d’échec de la médiation ou de refus persistant, l’action en remboursement se porte devant le tribunal judiciaire de Paris pour les sociétés dont le litige s’y rattache, pôle bancaire et financier selon la distribution interne des chambres, avec représentation par avocat. Le dirigeant parisien y trouve un avantage pratique : la proximité des juridictions, des experts en traçabilité informatique et des études d’huissiers pour les constats de journaux de connexion. Les demandes articulent le remboursement du montant des opérations avec remise en état du compte, les intérêts à compter de la mise en demeure, et, lorsque le découvert provoqué par les débits frauduleux a entraîné des frais, des rejets de prélèvements ou une rupture de concours, l’indemnisation de ces préjudices distincts sur le fondement du régime légal. Pour les sociétés établies à Paris, l’accompagnement par un avocat en droit des sociétés à Paris permet d’articuler la contestation bancaire avec les questions de gouvernance qu’elle révèle : délégations à revoir, assurance à mobiliser, information des associés sur un incident qui affecte la trésorerie.

Deux erreurs doivent être évitées. La première consiste à attendre la fin de l’enquête pénale ou de l’investigation interne avant de réclamer : le délai de signalement de l’article L. 133-24 du code monétaire et financier, éventuellement réduit par la convention de compte professionnel, court indépendamment de toute plainte, et la forclusion qu’il prévoit éteint le droit au remboursement. La seconde consiste à accepter un remboursement partiel assorti d’une reconnaissance de négligence : signer une transaction qui impute la perte à la société avant que la banque ait prouvé la négligence grave devant le juge fait perdre le bénéfice du rapport de force créé par l’arrêt C-70/25 du 15 octobre 2026 et par la jurisprudence commerciale de 2026. Mieux vaut exiger le remboursement intégral immédiat, laisser la banque assumer la charge de la preuve au second temps, et ne transiger qu’en connaissance de ses éléments.

Conclusion

Le compte professionnel débité sans l’accord de la société n’est plus une fatalité que la banque peut faire durer au prétexte d’une imprudence supposée. L’article L. 133-18 du code monétaire et financier impose le remboursement au plus tard à la fin du premier jour ouvrable suivant la réclamation, l’arrêt C-70/25 du 15 octobre 2026 interdit de refuser ce remboursement au motif d’une négligence grave, l’arrêt du 30 septembre 2026 limite l’exception de fraude à la fraude du payeur en lien avec l’opération, et l’arrêt du 4 février 2026 enferme tout le litige dans le seul régime du code monétaire et financier. Pour le dirigeant, l’urgence consiste à qualifier l’opération, à réclamer par écrit en visant ces textes, à vérifier le délai de contestation stipulé dans la convention de compte, et à réunir les preuves du circuit d’autorisation avant de saisir le médiateur puis le tribunal judiciaire de Paris si le refus persiste.