Un matin, la comptable d’une PME ouvre l’espace bancaire professionnel de l’entreprise et découvre des virements qu’elle n’a jamais ordonnés : plusieurs dizaines de milliers d’euros partis pendant la nuit vers des bénéficiaires inconnus, après l’appel d’un faux conseiller qui connaissait déjà le solde des comptes. Le 15 octobre 2026, la Cour de justice de l’Union européenne a rendu un arrêt qui change directement la suite de cette histoire : la banque doit rembourser immédiatement le montant d’une opération de paiement non autorisée, même lorsqu’elle reproche au client une négligence grave. La négligence alléguée ne peut plus servir à refuser ou à différer le remboursement dans un premier temps ; elle ne pourra être discutée que dans un second temps, selon les règles qui répartissent définitivement les pertes entre la banque et le payeur.
Pour une entreprise, l’enjeu ne s’arrête pas au remboursement. Un compte professionnel vidé, c’est une trésorerie amputée au pire moment : les fournisseurs attendent leurs règlements, un chantier ou une commande risque l’arrêt, et chaque jour de retard fait courir des pénalités prévues aux contrats en cours. Cet article décrit la carte complète des décisions à prendre : ce que l’arrêt européen du 15 octobre 2026 impose à la banque, ce que l’entreprise doit prouver et conserver, puis comment gérer en cascade les fournisseurs, les sous-traitants et les bailleurs pendant que le litige bancaire se règle.
Deux réserves dès l’ouverture. D’abord, les règles exposées ici sont générales : les conventions de compte des clients professionnels peuvent aménager certains points, notamment les délais de signalement, et ce sont les contrats signés qui priment sur toute analyse générale. Ensuite, seul le juge tranche les litiges : les décisions citées décrivent ce que des juridictions ont jugé dans des cas précis, jamais ce que donnera un dossier particulier.
I. Ce que l’arrêt du 15 octobre 2026 change quand c’est le compte de l’entreprise qui est vidé
A. D’abord, la banque rembourse : la négligence grave ne bloque plus le remboursement immédiat
L’affaire jugée le 15 octobre 2026 par la première chambre de la Cour de justice de l’Union européenne portait la référence C-70/25. Saisie par un tribunal polonais d’une question préjudicielle sur l’interprétation de la directive sur les services de paiement dans le marché intérieur, la directive 2015/2366, la Cour devait répondre à une question simple : un prestataire de services de paiement peut-il refuser de rembourser immédiatement le montant d’une opération non autorisée au motif que le payeur aurait rendu cette opération possible par une négligence grave ? La réponse de la Cour tient en une solution claire, exposée dans le dispositif de l’arrêt : un prestataire de services de paiement ne peut pas refuser le remboursement immédiat du montant d’une opération non autorisée en reprochant au payeur une négligence grave dans ses obligations de sécurité. C’est le sens de l’arrêt de la Cour du 15 octobre 2026, affaire C-70/25, rendu sur renvoi préjudiciel à propos des articles 73, 74 et 69 de la directive 2015/2366 sur les services de paiement.
Dans ses motifs, la Cour explique que l’appréciation portée par la banque sur la vigilance du client ne la dispense pas de l’obligation de remboursement immédiat prévue par la directive, tout en précisant que la banque pourra ensuite réclamer au payeur, selon les règles de partage des pertes, les sommes liées à une négligence grave de celui-ci. Autrement dit, la Cour organise deux temps : le remboursement d’abord, la discussion sur les responsabilités ensuite.
En droit français, ce remboursement immédiat figure à l’article L. 133-18 du code monétaire et financier, dans sa version applicable lue le 16 octobre 2026 sur l’article L. 133-18 du code monétaire et financier :
« En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 , le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. », selon l’article L. 133-18 du code monétaire et financier
Le texte français ajoute que le compte débité doit être rétabli dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu, avec une date de valeur non postérieure à celle du débit. Et il sanctionne le retard : « En cas de manquement du prestataire de services de paiement aux obligations prévues aux deux premiers alinéas du présent article, les pénalités suivantes s’appliquent : 1° Les sommes dues produisent intérêt au taux légal majoré de cinq points ; 2° Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points ; 3° Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points », selon le même article L. 133-18. Pour une entreprise privée de trésorerie, ces majorations ne sont pas un détail : elles chiffrent le coût de chaque semaine d’attente et doivent figurer dans la mise en demeure adressée à la banque.
Le second temps, celui du partage définitif des pertes, reste régi par l’article L. 133-19 du même code, dans sa version applicable lue le 16 octobre 2026 sur l’article L. 133-19 du code monétaire et financier : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » Deux tempéraments importants encadrent cette responsabilité. En cas de perte ou de vol de l’instrument, avant l’information aux fins de blocage, « le payeur supporte, avant l’information prévue à l’article L. 133-17 , les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 € », d’après le même article L. 133-19. Et « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 », toujours selon l’article L. 133-19. Pour l’entreprise, la leçon est double : le remboursement immédiat est désormais acquis même si la banque crie à la négligence grave, mais la négligence grave reste l’arme de la banque pour le second temps du litige. Tout ce qui prouve la vigilance de l’entreprise ce jour-là comptera.
B. Ensuite, qui prouve quoi : la banque supporte la preuve, l’entreprise garde les traces
Une fois le principe du remboursement immédiat posé, tout le litige se déplace vers la preuve. Et sur ce terrain, la loi fait peser l’essentiel sur la banque. L’article L. 133-23 du code monétaire et financier, dans sa version applicable lue le 16 octobre 2026 sur l’article L. 133-23 du code monétaire et financier, dispose :
« Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. », selon l’article L. 133-23 du code monétaire et financier
Le même article neutralise l’argument le plus courant des banques : « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière », selon l’article L. 133-23. C’est à la banque de « fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement », toujours d’après ce même article L. 133-23. Concrètement, les journaux techniques de la banque, les relevés d’authentification et les enregistrements de connexion sont ses pièces, pas celles du client : l’entreprise qui conteste n’a pas à démontrer par elle-même comment la fraude a techniquement réussi.
En contrepartie, la loi impose à l’utilisateur deux obligations simples, dont la banque se servira pour tenter d’établir la négligence grave au second temps du litige. D’abord, « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées », selon l’article L. 133-16 du code monétaire et financier. Ensuite, « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci », selon l’article L. 133-17 du code monétaire et financier. Pour une entreprise, ces deux phrases se traduisent en gestes très concrets : limiter le nombre de personnes habilitées, ne jamais communiquer les codes même à un interlocuteur qui semble savoir déjà beaucoup, et appeler la banque dès le premier soupçon en notant l’heure exacte de l’appel.
Un arrêt récent montre ce qui se joue sur ces preuves quand la victime est une entreprise. Le 24 juillet 2025, la troisième chambre A de la cour d’appel de Lyon a statué, sous le numéro de rôle 21/08501, sur le cas de trois sociétés lyonnaises, une société civile immobilière et deux sociétés par actions simplifiées, dont les comptes professionnels avaient été vidés en juin 2020 après l’appel d’une personne se présentant comme un technicien de la banque. Les sociétés expliquaient que l’espace professionnel en ligne avait fait l’objet d’une fraude massive reconnue par la banque dans un courriel du 15 juin 2020, que le faux technicien connaissait déjà le solde exact des comptes avant tout contact, qu’un audit de leur système informatique n’avait révélé aucune menace sur leurs serveurs, et que les virements litigieux dépassaient les plafonds convenus avec des libellés dénués de sens. La cour a pourtant confirmé le jugement qui les déboutait : elle a retenu que les sociétés avaient communiqué des éléments permettant l’usage de leur boîtier d’authentification, qu’elles avaient manqué de vigilance en ne respectant ni les avertissements habituels de la banque ni leurs engagements contractuels sur l’usage de ce boîtier, et qu’elles ne rapportaient pas la preuve de l’impossibilité d’accéder à leur espace professionnel qu’elles alléguaient. la cour retient, comme les premiers juges, une négligence grave des trois sociétés, et confirme la décision en toutes ses dispositions et condamne les trois sociétés aux dépens d’appel ainsi qu’à 4 000 euros au titre de l’article 700 du code de procédure civile.
Cet arrêt, rendu avant la décision européenne du 15 octobre 2026, illustre exactement ce que l’arrêt C-70/25 vient corriger sur un point et confirmer sur un autre. Ce qu’il corrige : avant octobre 2026, une négligence grave ainsi constatée permettait à la banque de refuser le remboursement ; désormais, le remboursement immédiat est dû dans tous les cas, et la discussion sur la négligence grave est renvoyée au second temps. Ce qu’il confirme : la négligence grave reste décisive pour savoir qui supportera définitivement les pertes, en application de l’article L. 133-19 précité. Les entreprises ont donc tout intérêt à constituer dès le premier jour le dossier de leur vigilance : audit informatique daté, relevés des connexions, copies des alertes contractuelles, échanges avec la conseillère, preuve de l’heure du blocage. Dans l’affaire lyonnaise, c’est l’absence de preuve sur plusieurs de ces points qui a pesé aussi lourd que les manquements eux-mêmes.
Un jugement du tribunal des activités économiques de Paris du 2 juillet 2026, numéro de rôle 2024064685, complète le tableau côté procédure : un client, victime d’une escroquerie de 9 900 euros après un message annonçant l’ajout d’un bénéficiaire, avait tenté d’appeler sa banque dès six heures du matin, déposé plainte le jour même auprès de la gendarmerie, puis mis la banque en demeure par lettre recommandée après un premier refus écrit de remboursement. La chronologie compte : suspicion le matin, plainte le jour même, mise en demeure écrite quelques semaines plus tard. C’est ce rythme que toute entreprise victime devrait s’imposer, en l’adaptant à son organisation.
II. La carte des décisions : de la banque aux fournisseurs, qui fait quoi et dans quel ordre
A. Face à la banque : les cinq gestes qui conditionnent tout
Le premier geste est le blocage. Dès le soupçon, l’entreprise fait opposition et informe la banque « sans tarder, aux fins de blocage de l’instrument », selon les termes de l’article L. 133-17 déjà cité. En pratique : appel immédiat au numéro d’opposition prévu par la convention de compte, noté quelque part d’avance et pas seulement dans l’espace en ligne devenu inaccessible, puis confirmation écrite. L’heure exacte de cet appel doit être conservée, car tout le calendrier du remboursement immédiat court à partir de l’information de la banque, le texte visant le moment où elle a « pris connaissance de l’opération », selon l’article L. 133-18, et au plus tard à la fin du premier jour ouvrable suivant.
Le deuxième geste est le signalement écrit de l’opération non autorisée, distinct du simple blocage. L’article L. 133-24 du code monétaire et financier, dans sa version applicable lue le 16 octobre 2026 sur l’article L. 133-24 du code monétaire et financier, dispose :
« L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. », selon l’article L. 133-24 du code monétaire et financier
Chaque mot de ce texte mérite l’attention du dirigeant. Le signalement doit intervenir « sans tarder » et « au plus tard dans les treize mois suivant la date de débit sous peine de forclusion », d’après ce même article L. 133-24 : passé ce délai de treize mois compté de la date du débit, la contestation est forclose, c’est-à-dire définitivement irrecevable, sauf si la banque n’a pas mis à disposition les informations sur l’opération. Surtout, le second alinéa concerne directement les entreprises : « Sauf dans les cas où l’utilisateur est une personne physique agissant pour des besoins non professionnels, les parties peuvent convenir d’un délai distinct de celui prévu au présent article », selon l’article L. 133-24. Pour un client professionnel, la convention de compte peut donc prévoir un délai différent des treize mois légaux. Avant toute contestation, l’entreprise doit relire sa convention de compte : un délai contractuel plus court, s’il y figure, s’applique. C’est l’une des vérifications que des avocats en droit des affaires à Paris effectuent en premier lorsqu’une société les consulte après une fraude à son compte professionnel.
Le troisième geste est le dépôt de plainte. Il n’est pas exigé par les textes sur le remboursement, mais il produit trois effets utiles : il fige la version des faits à date certaine, il ouvre la possibilité d’une enquête sur les comptes destinataires et les demandes de retour de fonds, et il conditionne souvent la garantie des contrats d’assurance contre la fraude dont l’entreprise peut bénéficier. Le procès-verbal, avec le numéro d’enregistrement, rejoint le dossier : relevés de compte, captures de l’espace en ligne, messages et courriels des escrocs, historique des appels passés à la banque.
Le quatrième geste est la mise en demeure écrite. Si la banque refuse ou tarde à rembourser, l’entreprise lui adresse une lettre recommandée qui rappelle le fondement du remboursement immédiat, chiffre les sommes et les intérêts de retard, et fixe un délai. Les majorations du taux légal prévues par l’article L. 133-18, cinq, dix puis quinze points selon l’ancienneté du retard, doivent y figurer : elles transforment chaque semaine d’attente en préjudice chiffré. Le même article prévoit d’ailleurs que « Le payeur et son prestataire de services de paiement peuvent décider contractuellement d’une indemnité complémentaire », d’après l’article L. 133-18 : une clause de la convention de compte peut donc ouvrir droit à davantage que les intérêts légaux majorés, à condition de l’avoir repérée.
Le cinquième geste est l’audit interne immédiat : qui, dans l’entreprise, a reçu l’appel ou le message frauduleux, avec quel poste et quel accès, quelles informations ont été communiquées, les plafonds de virement et les alertes contractuelles étaient-ils activés, l’authentification forte a-t-elle été exigée pour les opérations litigieuses ? Rappelons que « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte », selon l’article L. 133-19. Si les virements sont partis sans authentification forte alors que la banque devait l’exiger, c’est un argument de premier rang, qui joue dès le premier temps du litige et pas seulement au second.
B. Face aux fournisseurs et aux sous-traitants : la fraude subie n’efface pas les dettes
Pendant que le litige bancaire se règle, les échéances de l’entreprise, elles, continuent de courir. C’est ici que l’incident se propage : le fournisseur de matières premières menace de suspendre ses livraisons, le sous-traitant du chantier réclame son acompte, le bailleur attend le loyer. La tentation est grande d’expliquer que l’entreprise est elle-même victime et d’en déduire qu’elle ne peut pas payer. Juridiquement, cette déduction est fragile, et il faut le dire nettement : être victime d’une fraude bancaire ne suspend pas automatiquement les dettes de l’entreprise envers ses propres créanciers.
Le texte de référence est l’article 1218 du code civil, dans sa version applicable lue le 16 octobre 2026 sur l’article 1218 du code civil :
« Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. », selon l’article 1218 du code civil
Trois conditions cumulatives, donc : extériorité, imprévisibilité lors de la conclusion du contrat, irrésistibilité malgré des mesures appropriées. Une fraude au faux conseiller, pour dramatique qu’elle soit, remplit rarement ces trois conditions aux yeux des juges : les escroqueries bancaires sont devenues un risque connu et documenté, que des mesures appropriées, formation des équipes, double validation des ordres, plafonds d’alerte, peuvent normalement prévenir. Les décisions consultées pour cet article ne tranchent pas la question de savoir si une fraude bancaire caractérisée pourrait, dans un cas extrême, constituer un cas de force majeure libératoire pour l’entreprise envers ses fournisseurs ; en l’absence d’une telle décision, l’entreprise prudente ne parie pas sa trésorerie sur cette qualification. D’autant que l’article 1231-1 du code civil, dans sa version applicable lue le 16 octobre 2026 sur l’article 1231-1 du code civil, rappelle la règle de base : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Autrement dit, sans force majeure établie, le retard de paiement expose l’entreprise aux pénalités et aux dommages et intérêts prévus par ses propres contrats.
La carte des décisions côté fournisseurs tient alors en cinq points. Premièrement, inventorier sans attendre les échéances des trente prochains jours, en distinguant les dettes assorties de sûretés ou de clauses couperets, réserve de propriété, clause résolutoire, suspension de livraison, de celles qui supportent quelques jours de décalage. Deuxièmement, prévenir tôt et par écrit : un fournisseur averti avant l’échéance, avec un échéancier précis, accepte plus facilement qu’un créancier qui découvre l’impayé sur son relevé. Troisièmement, négocier des avenants plutôt que de cesser unilatéralement de payer : report d’échéance, paiement partiel immédiat, compensation avec des créances réciproques si les conditions légales sont réunies. Quatrièmement, ordonner les paiements selon le risque juridique et opérationnel : les salaires et les charges, les commandes critiques pour l’activité, puis les créanciers les plus exposés aux pénalités. Cinquièmement, ne jamais promettre aux fournisseurs une date de remboursement par la banque que personne ne maîtrise : le remboursement immédiat légal intervient « au plus tard à la fin du premier jour ouvrable suivant » l’information de la banque, selon l’article L. 133-18, mais en cas de contestation sur la fraude ou de résistance de la banque, le calendrier réel peut s’étirer sur des semaines.
Reste la question du recours : les surcoûts nés de la cascade, pénalités versées aux fournisseurs, coût d’un financement relais, commandes perdues, pourront-ils être réclamés à la banque ? La réponse dépendra du second temps du litige, celui du partage définitif des pertes. Si la banque devait rembourser et qu’elle a tardé, les intérêts majorés de l’article L. 133-18 et l’éventuelle indemnité complémentaire convenue couvrent une partie du préjudice financier. Au-delà, l’entreprise devra établir le lien direct entre la défaillance de la banque et chaque poste de préjudice, pièces à l’appui : relevés prouvant l’amputation de trésorerie, lettres des fournisseurs, factures de pénalités, contrat du prêt relais. C’est pour ce recours futur que chaque document conservé depuis le premier jour prend sa valeur. Qui détient quelle preuve, au final : la banque détient les journaux techniques et les enregistrements d’authentification ; l’entreprise détient les relevés, les alertes, l’audit et la chronologie des appels ; la banque destinataire des fonds détient la réponse à la demande de retour de fonds ; l’enquête pénale, quand elle avance, détient l’identification des bénéficiaires. Aucune de ces preuves ne se reconstitue après coup.
Conclusion
L’arrêt européen du 15 octobre 2026 simplifie la première urgence de toute entreprise dont le compte professionnel est vidé par une arnaque : la banque doit rembourser immédiatement, sans pouvoir opposer d’abord une négligence grave, et au plus tard à la fin du premier jour ouvrable suivant l’information, selon l’article L. 133-18 du code monétaire et financier. Mais il ne règle ni le second temps du litige bancaire, où la négligence grave reste décisive pour le partage définitif des pertes, ni la cascade qui s’est entre-temps propagée aux fournisseurs, aux sous-traitants et aux échéances. Face à la banque, l’entreprise bloque, signale par écrit dans les délais de sa convention de compte, dépose plainte, met en demeure et audite ses propres pratiques. Face à ses créanciers, elle inventorie, prévient, négocie et paie dans un ordre réfléchi, sans parier sur une force majeure que les textes et les décisions consultées ne lui promettent pas. Les contrats signés priment sur toute analyse générale, et seul le juge tranchera les désaccords qui subsistent.