La fraude au président, technique d’ingénierie sociale consistant à usurper l’identité du dirigeant d’une entreprise ou d’un haut responsable pour obtenir un virement urgent et confidentiel, demeure un risque majeur et systémique pour les sociétés françaises, quelle que soit leur taille. Ce stratagème criminel, qui s’inscrit dans la catégorie plus vaste des fraudes aux faux ordres de virement (FOVI), repose sur une manipulation psychologique redoutable, exploitant souvent l’urgence, le secret professionnel et l’autorité hiérarchique. Face à ces sinistres, dont les montants détournés peuvent se chiffrer en millions d’euros et menacer directement la pérennité financière et la trésorerie des structures victimes, le contentieux de la responsabilité bancaire s’est progressivement et solidement structuré autour de la notion centrale de négligence grave du client, prévue par le code monétaire et financier. La survenance d’une telle fraude déclenche immédiatement un bras de fer juridique et procédural entre l’entreprise, qui exige la restitution des fonds détournés, et l’établissement de crédit, qui tente de s’exonérer en pointant les défaillances de sécurité internes de son client. Cependant, la Cour de cassation vient, par un arrêt de sa chambre commerciale du 8 octobre 2026 (Cass. com., 8 octobre 2026, n° 25-17.510), de préciser de manière extrêmement salutaire les limites de cette exonération de la banque, en recadrant le débat sur le strict respect des conventions de compte. Cet arrêt fondamental s’inscrit dans une jurisprudence particulièrement exigeante, qui renforce la protection des entreprises contre les opérations de paiement non autorisées et impose aux prestataires de services de paiement une rigueur absolue dans l’exécution de leurs obligations contractuelles et légales.
I. Le cadre de la responsabilité bancaire face à la fraude au virement
A. L’obligation de résultat du prestataire de services de paiement (PSP)
En droit bancaire, la responsabilité du prestataire de services de paiement (PSP) est de principe en cas d’opération de paiement non autorisée, constituant ainsi la pierre angulaire de la protection des utilisateurs de services de paiement. Conformément aux dispositions impératives des articles L. 133-18 et suivants du code monétaire et financier, la banque est tenue de rembourser immédiatement le montant de l’opération non autorisée à son client. La loi précise que ce remboursement doit intervenir « sans tarder et au plus tard à la fin du premier jour ouvrable suivant le jour où il a pris connaissance de l’opération ou en a été informé ». Cette obligation de résultat s’inscrit dans un cadre réglementaire européen harmonisé visant à garantir la confiance et la sécurité des paiements, encadré par la directive (UE) 2015/2366 dite « DSP2 », rigoureusement transposée en droit français. En vertu de ce régime, le législateur a instauré un mécanisme de protection quasi-absolu au profit de l’utilisateur : dès lors que ce dernier conteste avoir consenti à l’ordre de virement, il incombe au PSP de recréditer le compte débité, remettant ainsi ce dernier dans l’état où il se serait trouvé si l’opération non autorisée n’avait pas eu lieu. Cette disposition protectrice permet d’éviter que l’entreprise victime ne subisse une crise de liquidité mortelle durant le temps, souvent long, de l’enquête pénale et du contentieux civil.
La charge de la preuve et les obligations procédurales incombant au banquier sont particulièrement lourdes. La banque doit s’assurer, avant toute exécution, de l’autorisation explicite et non équivoque de chaque opération par l’utilisateur. En matière de virement, cette autorisation est matérialisée par l’utilisation d’un instrument de paiement, très souvent couplé à des données de sécurité personnalisées, telles qu’une clé numérique, un certificat cryptographique ou un dispositif d’authentification forte exigeant au moins deux facteurs (connaissance, possession, inhérence). En l’absence de ces mesures de sécurité scrupuleusement appliquées, la banque s’expose inévitablement à une mise en cause de sa responsabilité de plein droit. Le respect strict de ces protocoles techniques et informatiques constitue la première ligne de défense contre la fraude. Le manquement de l’établissement financier à cette obligation de vigilance peut, à lui seul, fonder la responsabilité du banquier, indépendamment de toute négligence concurrente du client. Si la banque refuse le remboursement spontané, l’entreprise victime est fondée à engager une action judiciaire devant le Tribunal de commerce compétent. Dans l’hypothèse où le refus de la banque n’est fondé sur aucun élément sérieux et tangible démontrant une faute du client, la victime peut utiliser la procédure accélérée du référé-provision, prévue par l’article 873 alinéa 2 du code de procédure civile, permettant d’obtenir une condamnation rapide de la banque à verser une provision correspondant au montant détourné, l’obligation n’étant alors pas considérée comme sérieusement contestable.
De surcroît, le législateur a assorti cette obligation de restitution de sanctions financières dissuasives. Si la banque ne respecte pas le délai de remboursement prévu à l’article L. 133-18 du code monétaire et financier, les sommes dues produisent des intérêts au taux légal majoré. Ces pénalités, qui s’ajoutent au principal, ont pour objectif de pénaliser les manœuvres dilatoires des établissements de crédit qui tenteraient de conserver la trésorerie litigieuse. Comme l’a rappelé la Cour dans un arrêt récent et fondamental sur l’architecture du droit de la responsabilité, le régime de responsabilité du prestataire de services de paiement prévu par le code monétaire et financier est exclusif de tout autre régime de responsabilité contractuelle de droit commun (Cass. com., 4 février 2026, n° 24-22.320). Cela signifie que le client victime ne peut en aucun cas invoquer la responsabilité contractuelle de droit commun (article 1231-1 du code civil) pour pallier les éventuelles insuffisances ou les délais de prescription du dispositif spécifique de la DSP2. L’exclusivité de ce régime est, en principe, une protection pour le client, car elle le décharge de la nécessité de prouver une faute bancaire caractérisée, le simple constat de l’absence d’autorisation de l’opération suffisant à déclencher l’obligation de remboursement. Toutefois, sur le plan procédural, cette exclusivité impose aux avocats plaidant pour les entreprises victimes une rigueur extrême dans la rédaction de leurs assignations : tout fondement juridique basé exclusivement sur le droit commun de la responsabilité civile face à un PSP pour une opération non autorisée encourt le rejet, le juge devant appliquer strictement les dispositions spéciales du code monétaire et financier qui dérogent au droit général (specialia generalibus derogant).
B. L’appréciation de la négligence grave du client
Pour s’exonérer de son obligation de remboursement, qui pèse lourdement sur ses résultats financiers, le banquier invoque systématiquement et de manière quasi-réflexe la négligence grave du client au sens de l’article L. 133-19, IV du code monétaire et financier. Cette notion, bien que non définie expressément par la loi ni par les directives européennes successives, est très largement interprétée par la jurisprudence judiciaire. La négligence grave suppose un comportement fautif particulièrement lourd, consistant en un manquement manifeste et inexcusable à une obligation de prudence, de diligence ou de sécurité. Il s’agit notamment de la préservation scrupuleuse des codes d’accès, du refus de communiquer des mots de passe à des tiers, ou de l’utilisation rigoureuse d’un instrument de paiement sécurisé, obligations prévues notamment par l’article L. 133-16 du code monétaire et financier. En matière de fraude au président, les banques tentent souvent de démontrer que les préposés de l’entreprise ont ignoré des signaux d’alerte manifestes : adresses e-mails fantaisistes des prétendus dirigeants, fautes d’orthographe grossières, demandes de confidentialité atypiques, ou recours à des comptes bénéficiaires situés dans des paradis fiscaux sans aucun lien avec l’activité habituelle de la société.
La charge de la preuve de cette négligence grave pèse exclusivement sur le prestataire de services de paiement, conformément à l’article L. 133-23 du code monétaire et financier. La banque ne peut se contenter de simples allégations ou de présomptions ; elle doit rapporter la preuve technique, matérielle et incontestable du comportement fautif de son client. Sur le terrain procédural et probatoire, cela se traduit par la production, lors des débats devant le Tribunal de commerce, de rapports d’expertise informatique, de journaux de connexion (logs) horodatés, de l’historique des adresses IP utilisées lors des validations, et de la trace des envois de mots de passe à usage unique (OTP) par SMS ou via les applications de validation. La juridiction saisie procède alors à une appréciation in concreto de la négligence, en tenant compte des circonstances spécifiques de l’espèce, de la taille de l’entreprise, de son organisation interne, et des moyens dont disposait le salarié manipulé pour déjouer la supercherie. C’est dans ce contexte que l’analyse des protocoles internes de l’entreprise devient cruciale. Si la victime avait, en interne, mis en place des systèmes exigeant une double signature ou des habilitations bancaires strictes via des certificats EBICS TS ou 3S Key, le contournement de ces mêmes règles par les salariés victimes de la manipulation sociale est très souvent retenu par les juges du fond comme caractérisant la négligence grave permettant l’exonération du PSP.
La jurisprudence a longtemps retenu une approche particulièrement sévère pour les entreprises commerciales, leur imposant une exigence de vigilance accrue, supérieure à celle d’un consommateur profane. Si le client professionnel ne prend pas toutes les mesures raisonnables et techniquement disponibles pour sécuriser ses données et procédures d’engagement de fonds, la banque pouvait alors s’exonérer de toute responsabilité, laissant l’entreprise supporter l’intégralité du sinistre. Toutefois, cette exonération n’est pas automatique : elle requiert la démonstration d’un lien de causalité direct et certain entre la négligence du client et le préjudice subi, ainsi que le respect scrupuleux par la banque de ses propres obligations de sécurité et de vigilance. Sur ce dernier point, les entreprises victimes tentent souvent d’attaquer la banque sur d’autres fronts, notamment sur son devoir d’alerte et de vigilance en matière de flux financiers anormaux. Cependant, la Cour de cassation a récemment verrouillé certaines voies de recours en précisant que l’obligation de vigilance imposée aux établissements de crédit ne doit en aucun cas être confondue avec les obligations d’ordre public de lutte contre le blanchiment des capitaux et le financement du terrorisme (LCB-FT). En effet, les obligations de déclaration de soupçon à Tracfin, prévues par l’article L. 561-15 du code monétaire et financier, ont pour finalité exclusive la protection de l’intérêt général et de l’ordre public économique. Elles ne sont donc pas opposables aux victimes de fraudes pour obtenir réparation d’un préjudice privé (Cass. com., 4 mars 2026, n° 24-19.588). Cette distinction procédurale fondamentale empêche les entreprises d’utiliser une sanction disciplinaire ou réglementaire de la banque comme fondement automatique d’une action en responsabilité civile indemnitaire.
II. Le renforcement de la protection du client après l’arrêt du 8 octobre 2026
A. La remise en cause de l’exonération de la banque par la négligence grave du client
Par un arrêt du 8 octobre 2026 (Cass. com., 8 octobre 2026, n° 25-17.510), très attendu par la doctrine et les praticiens du droit bancaire, la Cour de cassation a considérablement restreint la possibilité pour la banque de s’exonérer de son obligation de remboursement. En l’espèce, les faits soumis à la haute juridiction étaient emblématiques : une entreprise avait été victime d’une fraude au président particulièrement élaborée, dont l’ordre de virement frauduleux avait été transmis à la banque via une télécopie. La spécificité du dossier résidait dans le cadre contractuel liant les parties. La Cour relève expressément que ce moyen de communication archaïque, la télécopie, n’était plus, selon la convention de compte et les contrats de services de paiement en vigueur, l’instrument convenu entre les parties pour l’émission d’ordres de virement, ces derniers devant impérativement transiter par un canal de télétransmission sécurisé avec authentification forte. Or, la banque, cédant à la pression d’une prétendue urgence invoquée par les fraudeurs usurpant l’identité du dirigeant, a accepté d’exécuter l’ordre de virement par ce canal non sécurisé, non prévu contractuellement et expressément exclu par les dernières mises à jour de leurs accords commerciaux.
Devant les juges du fond, la cour d’appel avait donné raison à l’établissement de crédit. Les magistrats d’appel avaient en effet retenu que l’entreprise cliente, dont le personnel comptable avait répondu aux sollicitations des escrocs, fourni les informations confidentielles, préparé le fax et contourné les procédures internes de validation par excès de crédulité, avait manifestement commis une négligence grave. Selon la cour d’appel, cette négligence dans la genèse de la fraude justifiait l’application de l’article L. 133-19, IV du code monétaire et financier et exonérait la banque. Cependant, la Cour de cassation casse et annule cet arrêt pour violation de la loi. La haute juridiction énonce ainsi, dans un attendu de principe d’une grande clarté, qu’il résulte des articles L. 133-16 et L. 133-19, IV du code monétaire et financier, strictement interprétés à la lumière des objectifs de sécurité de la directive DSP2, que « le prestataire de services de paiement ne peut s’exonérer de sa responsabilité que lorsque l’utilisateur du service de paiement manque par négligence grave à ses obligations d’utiliser l’instrument de paiement qui lui a été délivré conformément aux conditions régissant sa délivrance ». La Cour sanctionne ainsi la cour d’appel qui avait retenu la négligence grave du client tout en constatant objectivement, dans ses propres constatations factuelles, que la télécopie n’était plus l’instrument de paiement convenu contractuellement.
Le syllogisme juridique retenu par la Cour de cassation est implacable et redéfinit l’ordre des responsabilités. Il en découle que le banquier, professionnel des services de paiement, qui accepte délibérément de sortir du cadre contractuel de sécurité qu’il a lui-même imposé ou négocié, prend seul le risque de la fraude. Dès lors que l’opération n’a pas été initiée via l’instrument de paiement sécurisé convenu, la banque ne peut plus reprocher à son client une quelconque négligence grave relative à l’utilisation d’un instrument qui, précisément, n’a pas été utilisé ou a été contourné avec la complaisance fautive de la banque. En d’autres termes, l’absence de respect des formes contractuelles par la banque prive cette dernière du droit d’invoquer le fondement exonératoire tiré de la négligence de la victime. Cette jurisprudence fait écho au principe d’interdiction de se prévaloir de sa propre turpitude, bien qu’elle se fonde strictement sur les mécanismes du droit des paiements : la banque qui transgresse la loi des parties (l’article 1103 du code civil transposé à la convention de compte) perd le bénéfice des exceptions légales destinées à la protéger.
B. L’impact concret pour les entreprises et la sécurisation des procédures de virement
Cet arrêt marque une avancée majeure, concrète et stratégique dans la protection des entreprises et rééquilibre le rapport de force procédural au bénéfice des victimes de cybercriminalité financière. La banque ne peut plus se retrancher derrière la seule démonstration de la crédulité ou de la négligence grave du client (le « maillon faible » humain) pour des opérations exécutées hors du cadre contractuel de sécurité établi. Il impose aux institutions bancaires une rigueur opérationnelle accrue et inflexible dans l’application des procédures de virement. En pratique, si un gestionnaire de compte au sein d’une banque accepte, par complaisance commerciale, par pression d’un prétendu dirigeant au téléphone, ou par simple négligence administrative, d’exécuter un ordre par un canal non sécurisé (e-mail simple, appel téléphonique, télécopie), l’établissement de crédit endosse l’entière responsabilité civile et financière des risques associés. Et ce, quand bien même le client aurait commis une faute de vigilance colossale en amont, par exemple en validant sans vérification une facture falsifiée adressée par les escrocs.
Pour les entreprises commerciales et leurs directions financières, cette jurisprudence incite fortement à une révision et à une formalisation contractuelle stricte de l’ensemble des protocoles de décaissement et des conventions de compte bancaire. La sécurisation technique et contractuelle des procédures devient le rempart juridique indispensable, bien plus efficace que la simple formation de sensibilisation du personnel. Il est impératif d’intégrer dans les conventions bancaires des clauses excluant formellement toute validation d’ordre de virement par courriel, fax ou appel téléphonique. En cas de survenance d’une fraude, la réaction procédurale de l’entreprise doit être immédiate et chronométrée. L’entreprise doit immédiatement demander à son PSP d’initier une procédure de rappel de fonds (Recall SEPA) en invoquant le motif de fraude, bien que l’efficacité de cette procédure soit souvent limitée si les fonds ont déjà été transférés vers des juridictions extracommunautaires opaques. Parallèlement, le dépôt d’une plainte pénale entre les mains du Procureur de la République pour escroquerie en bande organisée (article 313-1 du code pénal) et usurpation d’identité s’impose pour cristalliser les faits et permettre les réquisitions judiciaires.
Sur le plan strictement civil face à la banque, l’entreprise devra adresser sans délai une mise en demeure par lettre recommandée avec accusé de réception, exigeant le remboursement immédiat sur le fondement de l’article L. 133-18 du code monétaire et financier. La stratégie contentieuse s’articulera alors autour d’un audit rétrospectif : l’entreprise devra démontrer, pièces contractuelles à l’appui, que les mesures de sécurité convenues n’ont pas été respectées par la banque ou que le canal de communication utilisé par les fraudeurs pour transmettre l’ordre était proscrit par la convention de compte. Il convient de rappeler que, conformément à l’article L. 133-24 du code monétaire et financier, l’utilisateur de services de paiement dispose d’un délai de forclusion de treize mois suivant le débit pour contester une opération non autorisée. Toutefois, dans les relations entre professionnels (B2B), ce délai est très souvent contractuellement réduit par les banques à des durées bien plus courtes (parfois quelques semaines, voire quelques jours), d’où l’extrême urgence d’une réaction juridique. En parvenant à démontrer la violation de la convention par la banque, l’entreprise s’assure non seulement du remboursement du principal détourné, mais ouvre également la voie à une éventuelle demande de dommages-intérêts compensatoires complémentaires visant à réparer le préjudice d’exploitation ou le trouble commercial causé par la privation brutale de trésorerie. Cette décision d’octobre 2026 renforce ainsi la nécessité d’une collaboration contractuelle millimétrée entre le banquier et son client pour prévenir les risques de fraude, tout en clarifiant de manière définitive le régime de responsabilité applicable en cas d’entorse aux procédures édictées.
Conclusion
L’arrêt de la Cour de cassation du 8 octobre 2026 vient rappeler avec force une règle fondamentale et structurante du droit bancaire moderne : la responsabilité du banquier, prestataire de services de paiement, est indissociablement liée au respect absolu du cadre sécuritaire et contractuel convenu avec son client. Si la négligence grave du client demeure un fait juridique autonome pouvant, en principe, exonérer la banque de son obligation stricte de remboursement de l’opération non autorisée, elle ne saurait être invoquée de manière opportune lorsque la banque elle-même s’est affranchie des procédures sécurisées établies par la convention. Pour les entreprises de toutes tailles, cette jurisprudence offre un levier de protection stratégique et contentieux inestimable, en imposant une rigueur opérationnelle draconienne aux banques sous peine de nullité de leurs moyens de défense. Elle souligne également l’importance cruciale, au stade précontentieux, de formaliser très précisément les conventions de virement, de procéder à des audits réguliers des annexes techniques bancaires, et de refuser contractuellement et systématiquement tout ordre de mouvement de fonds sortant des protocoles sécurisés. Il est impératif de bannir les demandes d’exécution par courriel, PDF scanné ou télécopie, au profit exclusif des outils de télétransmission sécurisés de type EBICS TS ou de protocoles imposant une authentification forte multifacteur. La sécurité des paiements et la protection de la trésorerie ne sont pas de simples actes de conformité administrative ; il s’agit d’un processus dynamique et continu qui exige une vigilance permanente, une formation juridique et technique des équipes financières, et une parfaite adéquation entre les pratiques opérationnelles quotidiennes et les garanties contractuelles négociées. La loi protège l’utilisateur, mais le contrat en définit les frontières d’application.
Sources et décisions citées
Les décisions et textes réglementaires cités dans cet article sont intégralement consultables et vérifiables sur les plateformes officielles :