Le 16 décembre 2019, l’assistante administrative du président d’une société parisienne reçoit un appel d’une personne qui se présente comme l’avocat de l’entreprise. Il faut financer d’urgence une opération confidentielle. Elle transmet par télécopie à la banque un ordre de virement revêtu de la signature du président, à destination d’un compte situé en Hongrie. La banque exécute. Le lendemain, la société comprend qu’elle a été victime d’une « fraude au président » : la signature était imitée, l’avocat n’existait pas, l’argent est parti. La banque refuse de rembourser et reproche à sa cliente une négligence grave. Qui supporte la perte ? La Cour de cassation a tranché le 8 octobre 2026, par un arrêt de sa chambre commerciale destiné à être publié au Bulletin (arrêt n° 582 FS-B, pourvoi n° Z 25-17.510) : lorsque la télécopie n’était plus l’instrument de paiement convenu entre les parties, la banque qui accepte malgré tout d’exécuter l’ordre ne peut pas reprocher à la société une négligence grave pour échapper au remboursement. L’arrêt casse la décision de la cour d’appel de Paris du 28 mai 2025 qui avait donné raison à la banque, renvoie l’affaire devant la cour d’appel de Paris autrement composée et condamne la banque aux dépens ainsi qu’à 3 000 euros au titre de l’article 700 du code de procédure civile. Cette décision s’inscrit dans une trilogie récente de la même chambre, avec les arrêts du 2 octobre 2024 et du 19 novembre 2025, qui dessine désormais une carte lisible du contentieux : opération autorisée ou non autorisée, canal convenu ou abandonné, vérification auprès de la personne habilitée. Pour les dirigeants, les comptables et les directions financières, l’enjeu est direct : des montants qui atteignent couramment plusieurs centaines de milliers d’euros, voire plus de deux millions dans l’une des affaires jugées, et des réflexes procéduraux qui conditionnent le remboursement.

I. Fraude au président et virement exécuté hors du canal convenu : pourquoi la banque doit rembourser (Cass. com., 8 octobre 2026)

A. Un ordre de virement par fax avec une signature imitée : comment obtenir le remboursement de la banque après une fraude au président ?

Les faits retenus par l’arrêt du 8 octobre 2026, rendu sur le rapport du conseiller Calloch sous la présidence de M. Vigneau, avec les avis des avocates générales Henry et Guinamant, méritent d’être exposés avec précision, car chaque détail contractuel a pesé dans la solution. La société Eleco Panacol, devenue depuis Hoenle Eleco, entretenait avec sa banque, la société HSBC Continental Europe, anciennement HSBC France, deux couches contractuelles successives. Un premier contrat du 20 février 2009 organisait la télétransmission des informations entre la banque et son client, notamment l’émission dématérialisée des ordres de virement, avec confirmation par télécopie. Puis un second contrat, signé le 10 mars 2017 et dénommé « HSBC Connect sous protocole EBICS TS », avait mis en place un système sécurisé de télétransmission permettant les remises de virements internationaux à distance au moyen du logiciel Exabanque, avec une clé numérique dite « 3S Key » prévue au dispositif de sécurité personnalisé souscrit par la société. À compter de mars 2017, la société n’utilisait plus le processus télécopie : le canal convenu entre les parties était devenu le canal sécurisé EBICS. C’est dans ce contexte que, le 16 décembre 2019, l’assistante administrative du président, contactée par un individu se faisant passer pour l’avocat de la société, transmet par télécopie un ordre de virement portant une signature imitant celle du dirigeant, à destination d’une banque située en Hongrie, pour financer une prétendue opération financière. La banque exécute l’ordre le 17 décembre 2019, après confirmation par un courriel adressé le même jour par l’assistante. La société assigne alors la banque en remboursement du virement et en réparation de ses préjudices. La cour d’appel de Paris, le 28 mai 2025, rejette ses demandes. Son raisonnement tient en deux temps. D’abord, elle constate que l’opération n’avait pas été autorisée, puisque le processus télécopie n’était plus utilisé depuis mars 2017, et elle écarte en conséquence les dispositions de l’article L. 133-19, IV du code monétaire et financier, qui visent selon elle le cas particulier des instruments de paiement dotés d’un dispositif de sécurité personnalisé. Ensuite, elle retient malgré tout que la banque pouvait s’exonérer en opposant à sa cliente une négligence grave au seul visa de l’article L. 133-16 du même code, en produisant les éléments établissant une telle négligence dans l’utilisation de l’instrument de paiement. La Cour de cassation censure ce raisonnement. Elle vise les articles L. 133-16 et L. 133-19, IV du code monétaire et financier, interprétés à la lumière des articles 69 et 74 de la directive (UE) 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 sur les services de paiement dans le marché intérieur. Elle énonce : « Il résulte de ces textes qu’en cas d’opération de paiement non autorisée, le prestataire de services de paiement ne peut s’exonérer de sa responsabilité que lorsque l’utilisateur du service de paiement manque par négligence grave à ses obligations d’utiliser l’instrument de paiement qui lui a été délivré conformément aux conditions régissant sa délivrance et son utilisation ou ne prend pas toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. » Puis elle frappe au point décisif : « En statuant ainsi, alors qu’elle avait relevé que la télécopie n’était plus l’instrument de paiement convenu entre les parties, de sorte que la banque, qui avait accepté d’exécuter une opération de paiement au moyen d’un tel instrument, ne pouvait pas reprocher à la société une négligence grave, la cour d’appel a violé les textes susvisés. » La formule est limpide. Dès lors que la banque accepte d’exécuter un ordre transmis par un canal que les parties avaient abandonné au profit d’un dispositif sécurisé, elle ne peut pas se retourner contre son client en invoquant la négligence grave de celui-ci. L’arrêt est consultable sur le site officiel de la Cour : Cass. com., 8 oct. 2026, n° 25-17.510, arrêt n° 582 FS-B.

B. Opération de paiement non autorisée et négligence grave : que disent les articles L. 133-18, L. 133-16 et L. 133-19 du code monétaire et financier ?

Pour mesurer la portée de l’arrêt, il faut repartir du régime légal des opérations de paiement non autorisées, issu de la directive sur les services de paiement dite DSP2 et transposé aux articles L. 133-1 et suivants du code monétaire et financier. Le principe est posé par l’article L. 133-18 : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » Le texte ajoute que le prestataire rétablit le compte débité dans l’état où il se serait trouvé si l’opération non autorisée n’avait pas eu lieu : article L. 133-18 du code monétaire et financier. Le remboursement est donc la règle, et l’exonération l’exception. Cette exception figure à l’article L. 133-19, IV : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » : article L. 133-19 du code monétaire et financier. Quant aux obligations de l’utilisateur, l’article L. 133-16 dispose : « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. Il utilise l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation qui doivent être objectives, non discriminatoires et proportionnées. » : article L. 133-16 du code monétaire et financier. L’apport décisif de l’arrêt du 8 octobre 2026 tient à l’articulation de ces textes. La cour d’appel avait cru pouvoir dissocier les deux étages : écarter l’article L. 133-19, IV au motif que le virement n’avait pas été effectué au moyen de la clé 3S Key, puis faire revivre la négligence grave par la seule porte de l’article L. 133-16. La chambre commerciale refuse ce montage. Relue à la lumière des articles 69 et 74 de la directive 2015/2366, consultable sur le portail officiel du droit de l’Union européenne (directive (UE) 2015/2366 du 25 novembre 2015, articles 69 et 74 tels que visés par l’arrêt), l’exonération pour négligence grave suppose que l’utilisateur ait manqué à ses obligations relativement à l’instrument de paiement qui lui a été délivré. Quand la banque exécute un ordre transmis par un instrument qui n’est plus convenu — ici une télécopie portant une signature imitée, alors que le contrat imposait le canal EBICS sécurisé —, elle ne peut pas reprocher au client une mauvaise utilisation de l’instrument convenu. Autrement dit, la négligence du client s’apprécie dans le cadre du dispositif contractuel en vigueur, et la banque qui sort elle-même de ce cadre en acceptant un ordre dégradé se prive du bouclier de la négligence grave. La solution protège aussi la charge de la preuve, qui pèse sur la banque. L’article L. 133-23 dispose qu’il « incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre », et que l’utilisation enregistrée de l’instrument « ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant » : article L. 133-23 du code monétaire et financier. La chambre commerciale avait déjà jugé, le 26 juin 2019, que c’est au prestataire, par application des articles L. 133-19, IV et L. 133-23, « de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait, intentionnellement ou par négligence grave, à ses obligations », et que « cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés » : Cass. com., 26 juin 2019, n° 18-13.892. Dans cette affaire, une cliente du Crédit mutuel contestait des achats sur internet réglés avec le système 3D Secure ; la banque se bornait à évoquer l’hypothèse d’un hameçonnage sans établir que la cliente avait transmis ses données confidentielles à un tiers, et le pourvoi fut rejeté, la cliente obtenant 7 379,34 euros de remboursement assortis de 174,34 euros de frais et intérêts. Un mois plus tôt, le 29 mai 2019, la même chambre avait pareillement rejeté le pourvoi d’une autre caisse de crédit mutuel qui se prévalait du seul enregistrement de l’instrument pour faire présumer la négligence grave d’une cliente : Cass. com., 29 mai 2019, n° 18-10.147. Pour une entreprise victime, l’enseignement est concret : contester par écrit l’opération auprès de la banque sans tarder, exiger le remboursement sur le fondement de l’article L. 133-18, et rappeler que c’est à la banque d’établir la fraude ou la négligence grave, preuve qui ne résulte ni du seul enregistrement de l’ordre ni d’une négligence invoquée hors du cadre de l’instrument convenu.

II. Devoir de vigilance de la banque et fraude au président : comment se faire rembourser un virement frauduleux ?

A. Anomalies apparentes et personne à alerter : que doit vérifier la banque avant d’exécuter un virement suspect ?

L’arrêt du 8 octobre 2026 ne se comprend pleinement qu’au regard des deux décisions qui l’ont précédé et avec lesquelles il forme un triptyque cohérent, toutes rendues par la même chambre, sous la même présidence et sur les rapports du même conseiller. Le premier volet est l’arrêt du 2 octobre 2024 (n° 526 F-B, pourvoi n° N 23-13.282), qui avait rejeté le pourvoi de la banque CIC Nord-Ouest contre un arrêt de la cour d’appel de Douai du 12 janvier 2023 : Cass. com., 2 oct. 2024, n° 23-13.282. Entre le 11 et le 22 décembre 2017, la comptable de la société Le Cerf et Bachelet avait adressé à sa banque sept ordres de virement d’un montant total de 2 121 903,81 euros au profit d’un compte situé à Hong-Kong, en exécution de courriels d’un tiers usurpant l’identité du dirigeant. La cour d’appel avait condamné la banque à payer 1 060 951,90 euros en réparation du préjudice. La banque soutenait devant la Cour de cassation que le banquier, tenu d’une obligation de non-ingérence, ne doit déceler que les anomalies apparentes par un contrôle de premier regard, sans étude approfondie des habitudes du compte, sans tenir la liste des bénéficiaires habituels et sans s’interroger sur des montants plus élevés que les opérations antérieures. La chambre commerciale a validé l’analyse des juges du fond : « les ordres de virement litigieux, par leur caractère rapproché et répété, par la période de l’année à laquelle ils intervenaient, leurs montants élevés par rapport aux ordres habituellement donnés et par le fait qu’ils étaient établis au bénéfice de sociétés ne faisant pas partie des relations d’affaires de la société et situées en dehors de l’espace habituel de son activité, auraient dû conduire la banque à se renseigner sur leur validité directement auprès du dirigeant supposé », et « En l’état de ces constatations et appréciations, faisant ressortir l’existence d’anomalies apparentes affectant les ordres de paiement, la cour d’appel a exactement retenu que la banque était tenue d’alerter la société afin d’obtenir la confirmation des ordres litigieux en exécution de son obligation de vigilance ». La Cour a même précisé que la banque aurait dû vérifier la régularité des ordres « auprès du dirigeant, seule personne contractuellement habilitée à les valider », alors même que les ordres avaient été validés avec la carte Safetrans du président. Le deuxième volet est l’arrêt du 19 novembre 2025 (n° 581 FS-B, pourvoi n° S 24-19.776), qui a cassé un arrêt de la cour d’appel de Bordeaux du 5 juillet 2024 : Cass. com., 19 nov. 2025, n° 24-19.776. Entre les 5 et 25 mai 2021, la secrétaire comptable du Groupement d’études électrotechniques, habilitée par convention depuis le 28 janvier 2020 à créer des bénéficiaires nationaux et internationaux et à réaliser des virements externes sans limite de montant, avait transmis douze ordres de virement d’un montant total de 892 894,48 euros après avoir été trompée par des courriels usurpant l’identité du président. La cour d’appel avait condamné la banque CIC Sud-Ouest à 670 010,25 euros de dommages et intérêts, plus 2 000 euros de préjudice moral au dirigeant. La Cour de cassation statue en deux temps. D’abord, elle écarte le régime spécial des prestataires de services de paiement : « Il résulte de la combinaison des articles L. 133-6, L. 133-7, L. 133-18, L. 133-19, L. 133-21 et L. 133-22 du code monétaire et financier que le régime de responsabilité du prestataire de services de paiement prévu par ces textes, exclusif du droit commun de la responsabilité contractuelle défini par l’article 1231-1 du code civil, ne s’applique qu’aux opérations de paiement non autorisées ou mal exécutées. » Les opérations litigieuses ayant été autorisées — émises par une salariée régulièrement habilitée — et leur mauvaise exécution n’étant pas invoquée, la cour d’appel avait eu raison de rechercher un manquement au devoir de vigilance de droit commun. Ensuite, la Cour censure la mise en œuvre de ce devoir : « Le banquier, tenu à l’obligation de ne pas s’immiscer dans les affaires de son client, ne doit l’alerter qu’en présence d’anomalies apparentes aisément décelables par un professionnel normalement diligent », et « En présence d’ordres de virement affectés d’anomalies apparentes, la banque est tenue, en exécution de son obligation de vigilance, d’en vérifier la régularité auprès de la personne contractuellement habilitée à les transmettre ». Puisque la secrétaire comptable était elle-même habilitée à valider les ordres sans limite de montant, exiger de la banque qu’elle remonte systématiquement jusqu’au représentant légal reviendrait à lui imposer une immixtion que le droit lui interdit. La grille de lecture qui se dégage du triptyque est désormais nette. Quand l’opération est autorisée parce qu’elle émane de la personne habilitée, seul le droit commun de la vigilance s’applique, avec un contrôle limité aux anomalies apparentes et une vérification auprès de la personne habilitée. Quand l’opération n’est pas autorisée, le régime spécial des articles L. 133-18 et L. 133-19 s’applique : remboursement de droit, sauf fraude ou négligence grave prouvée par la banque. Et l’arrêt du 8 octobre 2026 ajoute la pièce manquante : la négligence grave ne peut pas être opposée quand la banque a elle-même exécuté l’ordre hors de l’instrument convenu. Restent les questions de preuve, qui se jouent devant les juges du fond : faisceau d’anomalies apparentes en 2024 (répétition, montants, période de fin d’année, bénéficiaires hors relations d’affaires, zone géographique inhabituelle), canal de transmission, habilitations contractuelles, diligences réelles de la banque. Les entreprises ont donc intérêt à documenter ces éléments dès la découverte de la fraude : relevés et historique des virements, conventions de télétransmission et habilitations signées, copies des courriels frauduleux, horodatage des alertes adressées à la banque.

B. Fraude au président : plainte pour escroquerie, contestation dans les treize mois et sécurisation des ordres de virement

Sur le terrain pratique, une entreprise qui découvre une fraude au président joue une course contre la montre sur trois tableaux : bancaire, pénal et organisationnel. Sur le plan bancaire, la contestation doit être signalée à la banque sans tarder. L’article L. 133-24 impose à l’utilisateur de signaler « sans tarder » l’opération non autorisée ou mal exécutée, « au plus tard dans les treize mois suivant la date de débit sous peine de forclusion », sauf si la banque ne lui a pas fourni les informations relatives à l’opération : article L. 133-24 du code monétaire et financier. La lettre de contestation, adressée en recommandé avec accusé de réception et doublée d’un courriel aux interlocuteurs habituels, doit identifier précisément l’opération, affirmer qu’elle n’a pas été autorisée, demander le remboursement immédiat sur le fondement de l’article L. 133-18 et la remise en état du compte, et inviter la banque à tenter un rappel des fonds auprès de la banque du bénéficiaire. Chaque jour compte, car les fonds transitent vite vers l’étranger et le rappel devient illusoire une fois les sommes dispersées. Si la banque refuse ou oppose la négligence grave, l’entreprise peut saisir le médiateur bancaire, puis le tribunal, en s’appuyant sur la jurisprudence du 8 octobre 2026 chaque fois que l’ordre a été exécuté hors du canal convenu, et sur les arrêts de 2024 et 2025 pour discuter les anomalies apparentes et la personne que la banque aurait dû alerter. Sur le plan pénal, la fraude au président correspond au délit d’escroquerie défini par l’article 313-1 du code pénal : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque », punie de cinq ans d’emprisonnement et de 375 000 euros d’amende : article 313-1 du code pénal. L’usurpation de l’identité du dirigeant ou de son avocat, les manœuvres de mise en confiance et la détermination du salarié à transmettre l’ordre caractérisent ce délit. Le dépôt de plainte, avec constitution de partie civile si les auteurs sont identifiés ou le circuit des fonds localisé, permet de faire diligenter des investigations — réquisitions auprès des opérateurs, gel des comptes destinataires — et de préserver une action en réparation devant le juge pénal. En pratique parisienne, la plainte est déposée auprès du procureur de la République ou des services d’enquête spécialisés dans la délinquance financière, avec un dossier documenté : courriels frauduleux avec leurs en-têtes techniques, relevés téléphoniques, copie de l’ordre exécuté, échanges avec la banque. Sur le plan organisationnel, enfin, les arrêts montrent que les habilitations et les canaux convenus font le procès : l’entreprise qui limite par écrit les personnes autorisées à ordonner les virements, plafonne les montants par profil, impose une double validation pour les virements internationaux et proscrit les ordres par simple courriel ou télécopie se donne à la fois une protection opérationnelle et des arguments contentieux. La formation des comptables et des assistantes au scénario type — urgence invoquée, confidentialité exigée, dirigeant injoignable, changement de coordonnées bancaires — reste la digue la plus efficace, puisque dans les trois affaires jugées entre 2024 et 2026, c’est toujours un salarié manipulé qui a transmis l’ordre. Un appel de vérification au dirigeant sur un numéro connu, jamais sur celui indiqué dans le message suspect, aurait interrompu chaque scénario.

Conclusion

L’arrêt du 8 octobre 2026 apporte une clarification majeure : la banque qui exécute un ordre de virement transmis hors de l’instrument de paiement convenu — une télécopie à signature imitée quand le contrat imposait un canal sécurisé — ne peut pas opposer à son client la négligence grave pour refuser le remboursement d’une opération non autorisée. Combinée aux arrêts du 2 octobre 2024 sur les anomalies apparentes et du 19 novembre 2025 sur la frontière entre régime spécial des paiements non autorisés et devoir commun de vigilance, la décision dessine un régime complet : remboursement de droit pour les opérations non autorisées sauf preuve, rapportée par la banque, de la fraude ou de la négligence grave de l’utilisateur ; vigilance limitée aux anomalies apparentes pour les opérations autorisées, avec vérification auprès de la personne habilitée. Pour les entreprises, le message opérationnel tient en quatre réflexes : contester par écrit sans tarder et dans le délai de treize mois, exiger le remboursement sur le fondement de l’article L. 133-18, déposer plainte pour escroquerie afin de faire tracer les fonds, et verrouiller les habilitations et les canaux d’ordre. L’affaire renvoyée devant la cour d’appel de Paris autrement composée n’est pas terminée, et seule cette juridiction fixera le montant définitif revenant à la société. Mais le principe est acquis et publié au Bulletin : quand la banque sort elle-même du cadre sécurisé convenu, elle ne fait pas supporter au client le prix de la fraude.