Le 8 octobre 2026, la chambre commerciale, financière et économique de la Cour de cassation a rendu un arrêt publié au Bulletin qui modifie concrètement l’issue des litiges les plus fréquents entre les entreprises victimes d’une fraude au président et leur banque (Cass. com., 8 oct. 2026, n° 25-17.510, FS-B, publié au Bulletin). Dans cette affaire, la société Hoenle Eleco, anciennement dénommée Eleco Panacol, avait vu sa banque, la société HSBC Continental Europe, anciennement HSBC France, exécuter en décembre 2019 un ordre de virement international vers la Hongrie transmis par télécopie et revêtu d’une fausse signature de son président, alors que les parties avaient contractuellement abandonné la télécopie depuis mars 2017 au profit d’un système sécurisé de télétransmission avec clé numérique. La cour d’appel de Paris avait admis que l’opération n’était pas autorisée mais avait néanmoins refusé tout remboursement en retenant une négligence grave de la société. La Cour de cassation casse totalement cet arrêt : la banque qui accepte d’exécuter une opération au moyen d’un instrument qui n’est plus convenu entre les parties ne peut pas reprocher ensuite au client une négligence grave dans l’usage de cet instrument. Cet article explique d’abord ce que la Cour a exactement tranché, puis le chemin pratique qui mène une entreprise victime d’un faux ordre de virement jusqu’au remboursement.

I. L’arrêt du 8 octobre 2026 : la banque qui paie hors du canal convenu ne peut pas invoquer la négligence grave du client

A. Un faux ordre transmis par télécopie alors que la télécopie n’était plus l’instrument de paiement convenu

Les faits retenus par l’arrêt sont ceux d’une fraude au président classique dans son scénario et redoutable dans son exécution. Selon l’arrêt attaqué, le 16 décembre 2019, l’assistante administrative du président de la société Eleco Panacol, devenue Hoenle Eleco, contactée par une personne se faisant passer pour l’avocat de la société, a transmis à la banque, par télécopie, un ordre de virement portant la fausse signature du président, à destination d’une banque située en Hongrie, afin de financer une prétendue opération financière. La banque a exécuté cet ordre le 17 décembre 2019. Constatant avoir été victime d’une fraude au président, la société a assigné la banque en remboursement du virement et en réparation de ses préjudices, d’abord devant le tribunal de commerce de Paris, qui a statué le 8 mars 2023, puis devant la cour d’appel de Paris, qui a rendu son arrêt le 28 mai 2025.

Le point décisif du dossier tenait à l’histoire contractuelle des canaux de transmission des ordres entre la banque et sa cliente. Les parties étaient liées par un premier contrat du 20 février 2009 portant sur la télétransmission d’informations entre la banque et son client, notamment sur l’émission dématérialisée des ordres de virements, qui avait pour avantage, selon la banque, d’accroître la sécurité. Puis un second contrat avait été signé le 10 mars 2017, dit HSBC Connect sous protocole EBICS TS, système sécurisé de télétransmission permettant notamment les remises de virements internationaux à distance au moyen d’un logiciel dédié, avec une clé numérique dite 3S Key prévue au dispositif de sécurité personnalisé auquel la société avait souscrit. La cour d’appel avait elle-même constaté que, si de 2009 à mars 2017 la société télétransmettait ses ordres de virements confirmés par télécopie, ce processus n’était plus utilisé depuis mars 2017. Elle en avait déduit, logiquement, que l’opération litigieuse du 17 décembre 2019 n’avait pas été autorisée, puisque l’ordre était arrivé par un canal abandonné et revêtu d’une signature imitée.

C’est sur la seconde partie du raisonnement que tout s’est joué. La cour d’appel a jugé que le virement litigieux n’ayant pas été effectué au moyen de la clé numérique 3S Key, les dispositions du IV de l’article L. 133-19 du code monétaire et financier, qui visent le cas particulier des instruments de paiement dotés d’un dispositif de sécurité personnalisé, n’étaient pas applicables. Mais elle a néanmoins retenu que la banque pouvait s’exonérer en opposant la négligence grave de sa cliente au seul visa de l’article L. 133-16 du même code, estimant rapportée la preuve d’une telle négligence dans l’utilisation de l’instrument de paiement. Autrement dit, la cour d’appel admettait que l’ordre n’était pas autorisé, écartait le texte qui organise le partage des pertes en cas de négligence grave, puis faisait revivre cette négligence grave par une autre porte pour refuser le remboursement. C’est cette construction que la Cour de cassation démantèle.

Ce montage intellectuel mérite l’attention des entreprises parce qu’il correspond à l’argumentaire standard des banques dans ce type de dossier : l’opération n’est pas contestée comme non autorisée, mais le remboursement est refusé au motif que le client aurait été gravement négligent, par exemple en laissant un collaborateur transmettre un ordre sur simple appel d’un prétendu avocat, sans vérification. L’arrêt du 8 octobre 2026 répond à cet argumentaire dans le cas précis où la banque a elle-même accepté de traiter l’ordre par un canal sorti du champ contractuel. La leçon dépasse le fax : tout canal de transmission abandonné puis réutilisé pour faire passer un ordre frauduleux, messagerie électronique non sécurisée, simple courriel de confirmation ou appel téléphonique, place la banque dans la même situation dès lors qu’un dispositif sécurisé convenu existait et n’a pas été utilisé.

B. La solution : seule la négligence dans l’usage de l’instrument convenu permet à la banque de refuser le remboursement

La Cour de cassation vise ensemble les articles L. 133-16 et L. 133-19, IV du code monétaire et financier, interprétés à la lumière des articles 69 et 74 de la directive (UE) 2015/2366 du 25 novembre 2015 sur les services de paiement, dite DSP2. Elle pose ainsi la règle : « Il résulte de ces textes qu’en cas d’opération de paiement non autorisée, le prestataire de services de paiement ne peut s’exonérer de sa responsabilité que lorsque l’utilisateur du service de paiement manque par négligence grave à ses obligations d’utiliser l’instrument de paiement qui lui a été délivré conformément aux conditions régissant sa délivrance et son utilisation ou ne prend pas toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. » La formule est d’apparence technique, mais sa logique est simple : la négligence grave qui prive le client du remboursement est celle qui porte sur l’instrument convenu et sur les données de sécurité personnelles, pas une négligence abstraite appréciée sur n’importe quel comportement.

Appliquée aux faits, la règle donne la cassation : « En statuant ainsi, alors qu’elle avait relevé que la télécopie n’était plus l’instrument de paiement convenu entre les parties, de sorte que la banque, qui avait accepté d’exécuter une opération de paiement au moyen d’un tel instrument, ne pouvait pas reprocher à la société une négligence grave, la cour d’appel a violé les textes susvisés. » La Cour reproche donc à la cour d’appel une contradiction interne : constater que le fax n’est plus l’instrument convenu, puis juger le client gravement négligent dans l’usage de l’instrument. Dès lors que la banque accepte d’exécuter un ordre reçu par un canal désaffecté, elle renonce à invoquer la négligence du client pour faire échec au remboursement. Le risque de l’exécution hors canal convenu pèse sur le prestataire qui l’a acceptée, pas sur l’entreprise qui en est victime.

Le dispositif de l’arrêt confirme l’ampleur de la victoire de la société : cassation totale de l’arrêt de la cour d’appel de Paris du 28 mai 2025, renvoi devant la même cour autrement composée, condamnation de la banque aux dépens et, sur le fondement de l’article 700 du code de procédure civile, rejet de la demande de la banque et condamnation de celle-ci à payer 3 000 euros à la société. La publication au Bulletin, sous le numéro d’arrêt 582 FS-B, signale que la chambre commerciale entend faire de cette solution une référence durable : les arrêts publiés au Bulletin sont ceux auxquels la Cour attache une portée normative pour les juges du fond. Les entreprises qui contestent aujourd’hui un refus de remboursement opposé après exécution d’un ordre frauduleux disposent donc d’un précédent frais, précis et directement opposable, à condition de vérifier que leur dossier présente bien la même configuration, un canal convenu sécurisé et une exécution intervenue hors de ce canal.

La portée de la solution invite aussi à relire les conventions de compte et les contrats de télétransmission que les entreprises signent sans toujours les dater. Dans l’affaire jugée, l’existence du contrat EBICS TS du 10 mars 2017 avec clé 3S Key, postérieur au contrat de 2009 qui utilisait encore le fax, a permis d’établir que la télécopie n’était plus convenue. Sans cette traçabilité contractuelle, la banque aurait pu soutenir que le fax restait un canal admis. Les directions financières ont donc intérêt à inventorier les canaux de transmission d’ordres encore formellement ouverts auprès de chaque banque, à faire clore par écrit ceux qui ne servent plus et à conserver les avenants qui constatent ces fermetures. Le jour où un ordre frauduleux arrive par un canal désaffecté, ces pièces font la différence entre une opération simplement non autorisée et une opération non autorisée dont la banque doit en plus assumer seule le coût.

II. Entreprise victime d’une fraude au président : le chemin concret vers le remboursement

A. Les quatre réflexes qui commandent l’issue : signaler vite, exiger le remboursement immédiat, laisser la preuve à la banque, surveiller le délai de forclusion

Le premier réflexe est le signalement sans tarder. L’article L. 133-24 du code monétaire et financier dispose : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » Pour une entreprise, deux précisions sont capitales. D’une part, le texte ajoute que, sauf lorsque l’utilisateur est une personne physique agissant pour des besoins non professionnels, les parties peuvent convenir d’un délai distinct : une convention de compte peut donc valablement raccourcir le délai de contestation d’une entreprise en deçà de treize mois, et c’est ce délai conventionnel qu’il faut vérifier en premier dans ses propres contrats. D’autre part, la forclusion est couperet : passé le délai, la contestation n’est plus recevable, même si la fraude est établie. Concrètement, dès la découverte d’un virement suspect, l’entreprise adresse à sa banque une contestation écrite, par un canal traçable, en visant expressément le caractère non autorisé de l’opération, et elle conserve la preuve de la date d’envoi. Ce courrier fige la date du signalement et fait courir les obligations de la banque.

Le deuxième réflexe est d’exiger le remboursement immédiat. L’article L. 133-18 du code monétaire et financier dispose qu’en cas d’opération non autorisée signalée par l’utilisateur, le prestataire rembourse le montant de l’opération non autorisée immédiatement après en avoir pris connaissance ou en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur lui-même et s’il communique ces raisons par écrit à la Banque de France. Le cas échéant, la banque rétablit le compte débité dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu, avec une date de valeur qui n’est pas postérieure à celle du débit. Le texte organise aussi la sanction du retard : les sommes dues produisent intérêt au taux légal majoré de cinq points, puis de dix points au-delà de sept jours de retard, et de quinze points au-delà de trente jours. L’entreprise qui met en demeure sa banque doit donc chiffrer ces intérêts dès le premier courrier : ils transforment chaque semaine de refus injustifié en coût mesurable pour l’établissement et donnent au juge un barème objectif. La seule échappatoire légale de la banque à ce stade est le soupçon écrit de fraude du client lui-même, notifié à la Banque de France, hypothèse étroite qui ne couvre pas la simple négligence et encore moins la négligence invoquée pour une opération exécutée hors canal convenu, comme l’arrêt du 8 octobre 2026 vient de le juger.

Le troisième réflexe consiste à ne pas accepter un renversement de la charge de la preuve. L’article L. 133-23 du code monétaire et financier est explicite : « il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre », et « l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière », le prestataire devant fournir des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur. La jurisprudence de la chambre commerciale donne à ce texte une portée très protectrice. Dans un arrêt du 18 janvier 2017, la Cour a rejeté le pourvoi d’une banque qui soutenait que l’usage d’un système de paiement sécurisé impliquait nécessairement la négligence du client : « cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés », et la banque qui se borne à évoquer l’hypothèse d’un hameçonnage sans en apporter la démonstration succombe (Cass. com., 18 janv. 2017, n° 15-18.102, publié au Bulletin). Dans un arrêt du 26 juin 2019, elle a confirmé que la seule utilisation des données de la carte, même authentifiées et enregistrées sans défaillance technique, n’est pas susceptible de démontrer la négligence grave du client dans leur conservation, et que la banque qui se limite à l’hypothèse d’un phishing non établi est défaillante dans l’administration de la preuve (Cass. com., 26 juin 2019, n° 18-12.581). Pour l’entreprise victime, la méthode en découle : contester par écrit, exiger de la banque les éléments précis qui établiraient une négligence grave, et refuser les refus motivés par la seule circonstance que l’ordre frauduleux a techniquement abouti.

Le quatrième réflexe est de connaître le seul cas où la négligence grave prive vraiment du remboursement, pour ne pas le laisser invoquer à tort. L’article L. 133-19, IV du code monétaire et financier dispose : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » Dans un arrêt du 1er juillet 2020 publié au Bulletin, la Cour a précisé que cette négligence grave est exclusive de toute appréciation de la bonne foi du client, et elle a censuré un tribunal qui n’avait mis que la moitié des sommes détournées à la charge d’un client pourtant reconnu gravement négligent pour avoir répondu à un courriel présentant de sérieuses anomalies de forme et de contenu : quand la négligence grave est établie, le client supporte tout, sans partage (Cass. com., 1er juil. 2020, n° 18-21.487, publié au Bulletin). Mais cette sévérité a son envers protecteur, que l’arrêt du 8 octobre 2026 vient d’illustrer : encore faut-il que la négligence grave soit établie par la banque, qu’elle porte sur les obligations relatives à l’instrument convenu et aux données de sécurité personnelles, et qu’elle ne soit pas déduite du simple fait que l’opération a fonctionné. Un autre levier mérite d’être vérifié dans chaque dossier : le V du même article L. 133-19 prévoit que, sauf agissement frauduleux du payeur, celui-ci ne supporte aucune conséquence financière si l’opération non autorisée a été effectuée sans que la banque exige une authentification forte. Un ordre transmis par télécopie, sans aucune authentification forte du payeur, entre typiquement dans ce cas de figure, ce qui fournit à l’entreprise un second fondement autonome de remboursement, cumulable avec l’argument du canal non convenu.

B. Au-delà de la banque : plainte pénale, recours contre les tiers et verrous internes pour les entreprises d’Île-de-France et d’ailleurs

La fraude au président est d’abord une escroquerie au sens pénal, et le volet répressif sert le volet civil. L’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque », punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. Le faux avocat qui appelle l’assistante, la fausse signature du dirigeant et le compte destinataire à l’étranger caractérisent ces manoeuvres sans difficulté. L’entreprise dépose donc plainte dans les meilleurs délais, en visant l’escroquerie et, le cas échéant, le faux et l’usage de faux, et elle se constitue partie civile : le procès pénal, s’il identifie les auteurs ou les complices, ouvre une voie d’indemnisation complémentaire, et les actes d’enquête, réquisitions bancaires et traçage des fonds vers la banque destinataire, documentent la fraude pour le juge civil saisi du litige contre la banque. Même si les fonds ont quitté la France, le signalement rapide à sa propre banque et à la cellule de traitement du renseignement financier permet parfois un rappel des fonds avant leur dispersion, d’où l’importance d’une réaction mesurée en heures, pas en semaines. Les règles générales du remboursement bancaire après un faux ordre de virement, applicables à toutes les configurations de fraude et pas seulement à celle de l’arrêt du 8 octobre 2026, sont présentées dans notre analyse de référence (Fraude au président et faux ordre de virement : la banque doit-elle rembourser ?).

Les tiers qui ont contribué à la fraude peuvent aussi être appelés à répondre, ce qui élargit les chances de récupération quand la banque résiste. Dans un arrêt du 22 janvier 2020, la chambre commerciale a jugé, au visa de l’article 1382 devenu 1240 du code civil, que rien ne s’opposait à ce que la banque condamnée à rembourser sa cliente invoque un fondement délictuel pour appeler en garantie l’opérateur de communications électroniques qui avait remis fautivement au fraudeur une carte SIM permettant d’intercepter les codes de validation adressés à la cliente (Cass. com., 22 janv. 2020, n° 18-18.640). La solution vaut dans les deux sens : l’entreprise victime peut elle-même rechercher la responsabilité délictuelle des intermédiaires dont la faute a rendu la fraude possible, opérateur téléphonique en cas d’usurpation de ligne ou de carte SIM, prestataire informatique en cas de compromission de la messagerie, voire banque destinataire des fonds en cas de manquement à ses obligations de vigilance. Chaque mise en cause suppose la démonstration d’une faute, d’un préjudice et d’un lien de causalité, mais l’arrêt montre que les juges acceptent d’examiner ces chaînes de responsabilité au lieu de tout concentrer sur la relation entre la banque et son client. L’inventaire des intervenants techniques, relevés téléphoniques, journaux de connexion, en-têtes des messages frauduleux, doit donc être dressé dès les premiers jours, avant l’effacement des traces.

Enfin, la prévention contractuelle et organisationnelle conditionne les litiges de demain, et les entreprises parisiennes et franciliennes, particulièrement exposées par la densité de leurs flux internationaux, ont intérêt à traiter ce point comme un chantier de conformité. D’abord, cartographier auprès de chaque teneur de compte les canaux d’ordres encore ouverts et faire fermer par écrit, avec avenant conservé, tous ceux qui ne servent plus : l’arrêt du 8 octobre 2026 montre que la fermeture documentée du fax a été la clé de la cassation. Ensuite, instaurer une règle interne intangible de contre-appel systématique : tout ordre inhabituel, tout changement de coordonnées bancaires d’un partenaire, toute demande présentée comme urgente par un prétendu conseil fait l’objet d’une vérification par un second canal connu et vérifié, jamais par les coordonnées fournies dans le message suspect. Ensuite, vérifier ses contrats d’assurance, cyber et fraude, dont les garanties et les exclusions, notamment en cas de manquement aux procédures internes déclarées, déterminent l’indemnisation résiduelle quand le remboursement bancaire est partiel. Devant les juridictions, le contentieux relève du tribunal de commerce pour les entreprises, comme dans l’affaire jugée où le tribunal de commerce de Paris avait statué en première instance, avec appel devant la cour d’appel de Paris, pôle 5, chambre 6, compétente pour le contentieux bancaire et financier : les entreprises dont le siège est à Paris ou en Île-de-France plaideront naturellement devant ces juridictions, où les magistrats connaissent désormais la solution de l’arrêt du 8 octobre 2026. Anticiper, c’est aussi dater : chaque procédure interne doit porter une date d’entrée en vigueur et une liste de diffusion, car le jour où la banque allèguera une négligence grave, l’entreprise devra prouver qu’une organisation raisonnable existait et que la fraude l’a contournée malgré elle.

Conclusion

L’arrêt du 8 octobre 2026 ne dit pas que toute entreprise victime d’une fraude au président obtient automatiquement le remboursement de sa banque. Il dit une chose plus précise et plus utile : quand un dispositif sécurisé de transmission des ordres a été contractuellement convenu, avec des données de sécurité personnelles, et que la banque accepte néanmoins d’exécuter un ordre frauduleux reçu par un canal qui n’est plus convenu, elle ne peut pas opposer au client sa négligence grave pour refuser le remboursement. Cette solution s’ajoute à un édifice jurisprudentiel cohérent : remboursement immédiat de l’opération non autorisée, preuve de la négligence grave à la charge exclusive de la banque, interdiction de déduire cette preuve du seul fait que l’opération a abouti, et censure des partages de responsabilité de compromis. Pour l’entreprise qui découvre un virement frauduleux, la méthode tient en quatre gestes : contester par écrit sans tarder dans le délai légal ou conventionnel, exiger le remboursement au plus tard le premier jour ouvrable suivant avec les intérêts de retard chiffrés, contraindre la banque à rapporter la preuve précise d’une négligence grave portant sur l’instrument convenu, et déposer plainte pour escroquerie en se constituant partie civile. Les directions financières qui documentent aujourd’hui leurs canaux convenus et leurs procédures de vérification écrivent par avance la pièce maîtresse de leur dossier de demain.