Le téléphone sonne sur le bureau du dirigeant ou du comptable. Le numéro qui s’affiche est celui de la banque de l’entreprise. L’interlocuteur se présente comme un membre du service fraude : des opérations suspectes auraient été détectées sur le compte professionnel, et il faudrait agir vite pour bloquer les paiements. Quelques minutes plus tard, des codes reçus par SMS ont été dictés, des bénéficiaires ajoutés, des virements validés. Quand l’entreprise s’aperçoit de la manipulation, le compte est vide de plusieurs dizaines de milliers d’euros. La banque répond alors que le dirigeant a communiqué lui-même ses codes, qu’il a validé les opérations et que sa négligence grave exclut tout remboursement. Ce scénario, qui vise autant les comptes des sociétés que ceux des particuliers, est au coeur de l’actualité de la semaine du 12 octobre 2026 : le 15 octobre 2026, la Cour de justice de l’Union européenne a jugé, dans une affaire enregistrée sous le numéro C-70/25, que la banque ne peut pas refuser le remboursement immédiat d’une opération de paiement non autorisée au motif que le client aurait été gravement négligent. Le sujet s’est imposé dans les recherches des internautes français, avec la requête de crise qui porte la question de droit, et la presse nationale a relayé la décision dès sa publication. Reste une question que les dirigeants se posent immédiatement : ces règles protègent-elles aussi le compte professionnel de la société, et que doit faire l’entreprise, concrètement, pour obtenir le remboursement ? Cet article répond à ces deux questions, textes et décisions en main, pour le dirigeant, l’associé et le comptable confrontés à une fraude au faux conseiller sur un compte d’entreprise.

I. Le remboursement immédiat des opérations non autorisées protège aussi le compte professionnel de l’entreprise

A. Que faire pour obtenir le remboursement immédiat du compte professionnel après une opération non autorisée ?

Le point de départ est une règle simple, qui figure dans le Code monétaire et financier et qui s’applique aux comptes professionnels comme aux comptes personnels. « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » (article L. 133-18 du Code monétaire et financier). Le texte ne distingue pas selon que le payeur est un particulier ou une société : dès qu’une opération de paiement n’a pas été autorisée, la banque du payeur rembourse immédiatement, et au plus tard à la fin du premier jour ouvrable qui suit le signalement. Le compte débité doit être rétabli dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu, et la date de valeur du crédit ne peut pas être postérieure à celle du débit.

La seule exception prévue par ce texte vise la fraude du client lui-même : la banque ne peut différer le remboursement que si elle a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement, et à condition de communiquer ces raisons par écrit à la Banque de France. Une simple négligence, même qualifiée de grave par la banque, n’entre pas dans cette exception. C’est exactement ce que la Cour de justice de l’Union européenne vient de confirmer le 15 octobre 2026 : la négligence grave du client ne dispense pas la banque du remboursement immédiat d’une opération non autorisée, tout en précisant que la banque peut ensuite réclamer au client les pertes résultant d’une négligence grave avérée (arrêt de la Cour du 15 octobre 2026, affaire C-70/25). La presse a aussitôt mesuré la portée de cette solution : selon Le Parisien du 15 octobre 2026, les victimes d’opérations non autorisées, comme l’hameçonnage, doivent être remboursées par leurs banques, même en cas de négligence grave, et Les Echos du 16 octobre 2026 résument la décision en ce sens que la négligence grave alléguée ne dispense pas la banque du remboursement immédiat. (article L. 133-18 du Code monétaire et financier). Chaque jour de retard coûte donc à la banque, ce qui donne à l’entreprise un levier réel dans ses relances écrites : chiffrer les intérêts encourus à chaque courrier montre que le dossier est suivi et que le retard sera payé.

Une précision de vocabulaire s’impose, car les banques l’exploitent souvent dans leurs lettres de refus. Une opération est non autorisée quand le payeur n’a pas donné son consentement à son exécution. Le fait que le dirigeant a dicté un code reçu par SMS ou validé l’ajout d’un bénéficiaire sous la pression d’un escroc ne transforme pas les virements qui suivent en opérations autorisées : la victime croyait sécuriser son compte, elle ne consentait à aucun transfert vers des inconnus. C’est la qualification d’opération non autorisée qui déclenche le remboursement immédiat de l’article L. 133-18. En revanche, si le dirigeant ou le comptable a lui-même ordonné un virement vers un escroc en croyant payer un vrai fournisseur ou obéir à un vrai dirigeant, comme dans la fraude dite au président, l’opération a été autorisée par son auteur et relève d’un autre régime, celui de la responsabilité pour manquement au devoir de vigilance, pas celui du remboursement automatique. Vérifier cette frontière est la première tâche du dossier : relever, opération par opération, ce que l’entreprise a réellement validé et ce que les escrocs ont exécuté à son insu.

B. Pourquoi la banque ne peut-elle pas opposer la négligence grave du dirigeant pour refuser le remboursement ?

Les lettres de refus des banques suivent presque toujours le même plan : le client aurait communiqué ses données de sécurité, validé des opérations qu’il n’avait pas initiées, méconnu les consignes de prudence de la convention de compte, et cette négligence grave justifierait le refus de remboursement. Ce raisonnement confond deux temps que le droit sépare strictement. Au stade du remboursement, la négligence alléguée ne compte pas : la banque rembourse d’abord. Au stade du contentieux, la banque peut tenter de démontrer que le client supporte définitivement les pertes parce qu’il a manqué gravement à ses obligations, mais c’est à elle d’en rapporter la preuve, et le juge apprécie concrètement, au cas par cas. L’arrêt européen du 15 octobre 2026 verrouille le premier temps, et la jurisprudence française encadre sévèrement le second.

Sur la preuve, la règle est posée par le Code : « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. » (article L. 133-23 du Code monétaire et financier). Le même article ajoute une mise en garde que les banques préfèrent oublier : « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière. » (article L. 133-23 du Code monétaire et financier). Autrement dit, les journaux de connexion montrant que les codes de l’entreprise ont été utilisés ne prouvent ni le consentement ni la négligence grave. La banque doit établir positivement le manquement, et le simple fait que l’instrument a fonctionné ne suffit pas.

La Cour de cassation a appliqué cette exigence avec constance dans les affaires de faux conseiller avec usurpation du numéro de la banque, ce que les techniciens appellent le spoofing. Dans un arrêt du 23 octobre 2024 publié au Bulletin, la chambre commerciale a jugé : qu’aucune négligence grave ne peut être imputée au client contacté par téléphone par un faux préposé de la banque dont le numéro s’affichait, qui a utilisé à sa demande son dispositif de sécurité pour supprimer puis réinscrire des bénéficiaires de virements afin d’éviter des opérations malveillantes (Cass. com., 23 octobre 2024, n° 23-16.267). Dans cette affaire, le client avait pourtant saisi lui-même son code confidentiel pour valider des ajouts de bénéficiaires, à hauteur de 54 500 euros, en restant en ligne avec l’escroc. La Cour approuve les juges d’appel : « il incombe au prestataire de services de paiement de rapporter la preuve d’une négligence grave de son client », constate que le numéro affiché était celui de la conseillère et que le client croyait valider une opération sécurisée sur son application, puis conclut : « De ces constatations et appréciations, la cour d’appel a pu déduire que la négligence grave de M. [J] n’était pas caractérisée. » (Cass. com., 23 octobre 2024, n° 23-16.267). Pour l’entreprise, l’enseignement est direct : quand l’appel affiche le vrai numéro de la banque et que l’interlocuteur connaît déjà les références du compte, le fait d’avoir suivi ses instructions ne constitue pas automatiquement une négligence grave.

Mais l’excès inverse serait tout aussi faux. Le 9 septembre 2026, la même chambre a cassé un arrêt qui excluait par principe toute négligence grave dès lors que l’escroc s’était fait passer pour la banque au téléphone. Dans cette affaire, le client avait communiqué ses identifiant et mot de passe réinitialisés puis validé un virement de 9 000 euros présenté comme un test, avant de découvrir un virement externe et des retraits pour un total réclamé de 10 200 euros. La Cour énonce d’abord le cadre : énonce d’abord le cadre, en visa des articles L. 133-19, IV, et L. 133-16 : « Il résulte du premier de ces textes que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations, imposées par le second, d’une part de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées, d’autre part d’utiliser l’instrument de paiement conformément aux conditions régissant son utilisation. » Puis elle censure la cour d’appel : « sans rechercher, concrètement, si la divulgation volontaire par M. [V] de son identifiant et de son code d’accès au service de paiement en ligne et la validation des opérations de paiement qu’il n’a pas initiées ne constituaient pas une telle négligence grave, la cour d’appel n’a pas donné de base légale à sa décision. » (Cass. com., 9 septembre 2026, n° 25-15.038). La négligence grave s’apprécie donc concrètement, opération par opération, en confrontant ce que la victime a divulgué et validé aux circonstances de la manipulation. Pour l’entreprise, cela signifie qu’il faut documenter finement le déroulé de l’appel : numéro affiché, identité prétendue de l’interlocuteur, informations qu’il détenait déjà, urgence invoquée, formulation exacte des consignes, captures d’écran des SMS reçus. Ce récit précis fera la différence entre les deux arrêts : la protection du spoofing subi d’un côté, la sanction de la divulgation consciente de l’ensemble des accès de l’autre.

Les obligations de référence, celles dont la violation grave fait supporter les pertes au payeur, sont écrites dans le Code. « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées. » (article L. 133-16 du Code monétaire et financier). Et le texte qui fait supporter les pertes au payeur négligent dispose : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » (article L. 133-19, IV, du Code monétaire et financier). Deux garde-fous protègent toutefois l’entreprise dans ce débat. D’une part, le plafond de 50 euros : « En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17 , les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 €. » (article L. 133-19, I, du Code monétaire et financier). D’autre part, l’authentification forte : « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 » (article L. 133-19, V, du Code monétaire et financier), et la banque applique l’authentification forte du client quand le payeur initie une opération de paiement électronique (article L. 133-44 du Code monétaire et financier). Si des virements importants ont été exécutés sans authentification forte, la banque peut difficilement reprocher ensuite au dirigeant sa légèreté.

II. Les démarches de l’entreprise pour obtenir le remboursement et faire trancher le litige

A. Comment signaler la fraude à la banque dans les délais quand le compte piraté est celui de la société ?

La première heure décide souvent du sort des fonds. Dès que l’entreprise comprend qu’elle parlait à un escroc, elle doit faire bloquer l’instrument : « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci. » (article L. 133-17 du Code monétaire et financier). En pratique, cela signifie appeler immédiatement le numéro d’opposition de la banque, demander le blocage des accès en ligne et des cartes liées au compte professionnel, et exiger un numéro de dossier d’opposition avec l’heure exacte de l’appel. Ce premier appel doit être suivi, le jour même, d’une contestation écrite et détaillée, adressée en recommandé avec accusé de réception ou déposée contre récépissé en agence : description des opérations contestées une par une, avec dates, heures, montants et bénéficiaires, rappel de l’appel frauduleux, demande expresse de remboursement immédiat en application de l’article L. 133-18 et de rétablissement du solde. Joindre dès ce stade les premiers justificatifs : relevés faisant apparaître les opérations, captures des SMS reçus pendant l’appel, journal d’appels du téléphone utilisé, copie du dépôt de plainte. La plainte doit être déposée sans attendre, en ligne via le dispositif Perceval pour les fraudes à la carte bancaire ou au commissariat pour les autres virements, car son récépissé crédibilise la contestation et ouvre la voie aux investigations sur les comptes destinataires.

Le calendrier est ensuite structuré par un délai que l’entreprise ne doit jamais laisser passer. « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » (article L. 133-24 du Code monétaire et financier). Treize mois à compter du débit, donc, sous peine de forclusion, sauf si la banque n’a pas fourni les informations sur l’opération. Et c’est ici que le compte professionnel appelle une vigilance particulière : « Sauf dans les cas où l’utilisateur est une personne physique agissant pour des besoins non professionnels, les parties peuvent convenir d’un délai distinct de celui prévu au présent article. » (article L. 133-24 du Code monétaire et financier). Pour une société, la convention de compte professionnel peut donc aménager un délai de contestation différent, parfois plus court. Le dirigeant doit ouvrir sa convention de compte entreprise et vérifier la clause relative aux contestations d’opérations : c’est elle qui fixe le délai contractuel applicable à la société, et c’est à l’intérieur de ce délai qu’il faut contester par écrit. De la même façon, les conventions de compte des entreprises encadrent les plafonds de virement, les modalités de validation et les personnes habilitées : relever qui, dans l’entreprise, disposait des codes utilisés par les escrocs permet de répondre par avance à l’argument de la négligence interne, et de distinguer la fraude externe subie d’une éventuelle faille d’organisation.

La question des habilitations mérite un développement, car elle est propre aux comptes des sociétés. Sur un compte personnel, l’utilisateur est unique. Sur un compte professionnel, plusieurs personnes manipulent les instruments : dirigeant, associé, comptable salarié, expert-comptable externe, parfois un prestataire de services de paiement qui initie des opérations pour le compte de l’entreprise. Quand la banque oppose que les codes du dirigeant ont été utilisés, l’entreprise doit établir qui a reçu l’appel, à quel titre cette personne détenait les moyens d’authentification, et si les opérations exécutées dépassaient ses pouvoirs habituels. Si le comptable a validé des ajouts de bénéficiaires qu’il n’avait jamais le droit de créer, ou si des virements ont été exécutés vers des pays avec lesquels la société ne travaille jamais, ces anomalies desservent la banque : un établissement attentif détecte les opérations atypiques sur un compte professionnel dont il connaît le fonctionnement. Conserver l’historique des bénéficiaires habituels, les relevés des mois précédents et les délégations de pouvoirs internes permet de montrer que les opérations frauduleuses rompaient avec le fonctionnement normal du compte, ce qui renforce la contestation et prépare l’argument du manquement de la banque à son devoir de vigilance.

À Paris et en Île-de-France, où sont domiciliés de nombreux sièges sociaux, deux réflexes complètent le dispositif. D’une part, le dépôt de plainte au commissariat de l’arrondissement du siège ou du lieu de l’appel, avec constitution de partie civile si l’enquête identifie des destinataires des fonds, permet de suivre la procédure et de demander réparation dans le cadre pénal. D’autre part, la juridiction compétente en cas de litige persistant avec la banque se détermine selon la convention de compte et les règles de compétence : pour une société commerciale, le tribunal des activités économiques de Paris connaît de ces litiges bancaires, et la mise en demeure préalable, chiffrée avec les intérêts de retard de l’article L. 133-18, constitue le préalable utile avant toute assignation. Ces démarches locales ne remplacent pas la contestation écrite immédiate auprès de la banque, qui reste l’acte qui fait courir le délai de remboursement d’un jour ouvrable.

B. Quels recours pour l’entreprise si la banque maintient son refus de rembourser ?

Quand la banque répond par un refus écrit invoquant la négligence grave, l’entreprise entre dans la seconde phase du dossier : faire trancher qui supporte définitivement les pertes. La première étape consiste à répondre au refus, toujours par écrit, en reprenant point par point l’argumentation de la banque à la lumière des textes et des décisions citées dans la première partie de cet article. Si la banque affirme que le dirigeant a validé des opérations, rappeler que l’utilisation enregistrée de l’instrument ne suffit pas à prouver le consentement ni la négligence grave, en citant l’article L. 133-23. Si elle soutient que la communication des codes suffit à caractériser la négligence, opposer l’arrêt du 23 octobre 2024 sur le spoofing et exiger que la banque établisse concrètement, et non par principe, le manquement grave. Si elle invoque un dépassement du délai de contestation, produire l’accusé de réception de la contestation initiale et vérifier, convention de compte en main, le délai contractuel applicable à la société. Chaque courrier doit réclamer à nouveau le remboursement immédiat, chiffrer les intérêts de retard courus en application de l’article L. 133-18, et fixer un délai de réponse. Ce contentieux écrit constitue le dossier que le médiateur puis le juge liront : sa qualité détermine souvent l’issue.

La deuxième étape est la saisine du médiateur. Pour les comptes professionnels, l’accès à la médiation dépend de la convention de compte et de la qualité du client : les litiges des entreprises relèvent du médiateur désigné par l’établissement ou, pour les sociétés qui y ont accès, du médiateur de la consommation pour les opérations concernées. La demande de médiation s’effectue par écrit après épuisement du recours interne auprès du service réclamation de la banque, en joignant l’ensemble du dossier : contestation initiale, lettres de refus, relevés, plainte, captures d’écran, convention de compte. Le médiateur rend un avis motivé dans un délai de quelques mois. Même quand cet avis ne s’impose pas à la banque, il éclaire le rapport de force : un avis favorable à l’entreprise rend la position de la banque difficilement tenable devant un tribunal, et un avis défavorable, s’il est motivé par une lecture contestable des arrêts récents, se discute point par point dans l’assignation. Parallèlement, un signalement à l’Autorité de contrôle prudentiel et de résolution, qui supervise les établissements bancaires, peut être adressé pour dénoncer une pratique de refus systématique de remboursement : ce signalement ne tranche pas le litige individuel, mais il s’inscrit dans la surveillance des manquements que l’arrêt européen du 15 octobre 2026 vient de rappeler à l’ordre.

La troisième étape est judiciaire. L’entreprise assigne la banque en remboursement des opérations non autorisées, en se fondant sur l’article L. 133-18, et demande le rétablissement du solde avec les intérêts majorés prévus par ce texte. Devant le juge, la distribution des rôles est claire : c’est à la banque de prouver la négligence grave du dirigeant ou du préposé qui a répondu à l’escroc, et cette preuve s’apprécie concrètement. Le dossier de l’entreprise doit donc raconter l’appel minute par minute : le numéro affiché correspondait-il à celui de l’agence, l’interlocuteur détenait-il déjà des informations confidentielles sur le compte, a-t-il invoqué une urgence et un piratage en cours, a-t-il guidé pas à pas la prétendue sécurisation, les bénéficiaires ajoutés étaient-ils connus de l’entreprise, les montants correspondaient-ils à son activité normale ? Chaque réponse rapproche le dossier soit de l’arrêt du 23 octobre 2024, qui écarte la négligence grave face au spoofing, soit de l’arrêt du 9 septembre 2026, qui sanctionne la divulgation volontaire de l’ensemble des accès et la validation d’opérations non initiées. L’entreprise qui a conservé les SMS, le journal d’appels, les relevés antérieurs montrant le fonctionnement habituel du compte et les délégations internes de pouvoirs se donne les moyens de plaider utilement cette comparaison. Et si la banque établit une négligence grave caractérisée, restent les garde-fous du texte : le plafond de 50 euros pour les pertes antérieures à l’opposition en cas de perte ou de vol de l’instrument, et l’absence de toute conséquence financière si les opérations ont été exécutées sans authentification forte.

Deux prolongements doivent être examinés dans tout dossier d’entreprise. Le premier est l’assurance : de nombreuses sociétés ont souscrit une assurance fraude, cyber ou protection juridique qui couvre les pertes par ingénierie sociale et les frais de procédure. Déclarer le sinistre à l’assureur dans le délai du contrat, en parallèle de la contestation bancaire, préserve un second front d’indemnisation et finance souvent l’action contre la banque. Le second est la responsabilité interne : si c’est un salarié ou un prestataire qui a communiqué les codes, l’entreprise doit vérifier ses procédures d’habilitation, restreindre les accès, former les équipes et tracer les consignes écrites interdisant de valider une opération à la demande d’un appelant, fût-il identifié comme la banque. Ces mesures ne conditionnent pas le remboursement bancaire, qui obéit aux règles exposées plus haut, mais elles limitent le risque de récidive et démontrent, en cas de débat sur l’organisation interne, que la société a réagi en gestionnaire diligent. Enfin, si l’enquête pénale identifie les destinataires des fonds ou leurs complices, la constitution de partie civile de la société permet de demander au juge pénal la réparation du préjudice non couvert par le remboursement bancaire, notamment les frais engagés et la perte d’exploitation liée à l’immobilisation de la trésorerie.

Conclusion

Le compte professionnel d’une société bénéficie des mêmes protections que le compte d’un particulier face aux opérations de paiement non autorisées : remboursement immédiat et au plus tard à la fin du premier jour ouvrable, sans que la banque puisse différer en invoquant la négligence grave du dirigeant, comme l’a tranché la Cour de justice de l’Union européenne le 15 octobre 2026. La discussion sur la négligence grave vient ensuite, devant le juge, avec une charge de la preuve qui pèse sur la banque et une appréciation concrète qui distingue le spoofing subi, que la Cour de cassation a écarté de la négligence grave le 23 octobre 2024, de la divulgation volontaire de l’ensemble des accès, qu’elle a sanctionnée le 9 septembre 2026. Pour l’entreprise, tout se joue dans la méthode : bloquer sans tarder, contester par écrit dès le premier jour, respecter le délai de la convention de compte sans jamais dépasser treize mois à compter du débit, documenter l’appel frauduleux dans ses moindres détails, répondre aux refus banque en main sur les textes, puis saisir le médiateur et le tribunal en chiffrant les intérêts de retard. Les décisions consultées ne tranchent pas d’autres questions que les textes leur soumettent, et chaque dossier se juge sur ses faits : c’est précisément pour cela que la rigueur du dossier, dès les premières heures, conditionne le remboursement.