I. Le principe du remboursement et la répartition de la charge de la preuve

A. Un régime protecteur fondé sur le remboursement immédiat et sur la preuve incombant à la banque

Les fraudes aux virements frappent désormais les particuliers comme les sociétés, quelle que soit leur taille. Les circonstances varient, mais la question posée au juge demeure identique : qui supporte la perte lorsqu’un ordre de paiement n’émane pas du titulaire du compte ? La chambre commerciale de la Cour de cassation a apporté, le 8 octobre 2026, une réponse précise dans un litige opposant une société à son établissement bancaire.

Cet arrêt, rendu sous le numéro de pourvoi 25-17.510 et publié sur le site de la juridiction, mérite d’être replacé dans l’ensemble du régime prévu par le Code monétaire et financier (Cass. com., 8 oct. 2026, n° 25-17.510). Or ce régime repose sur un équilibre simple à énoncer mais délicat à appliquer. Le payeur est remboursé, sauf si la banque démontre une fraude de sa part ou une négligence grave de sa part.

Le premier pilier de cet équilibre figure à l’article L. 133-18 du Code monétaire et financier. Ce texte impose au prestataire de services de paiement du payeur de rembourser l’opération non autorisée « immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant » (article L. 133-18 du Code monétaire et financier). Le même texte prévoit une réserve, lorsque la banque a de bonnes raisons de soupçonner une fraude de l’utilisateur et qu’elle les communique par écrit à la Banque de France.

Le texte précise en outre que la banque rétablit le compte débité dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu. En conséquence, la logique du texte est celle d’une restitution rapide, qui ne dépend pas d’une enquête préalable sur le comportement du client. La discussion sur la faute du payeur intervient ensuite, et non avant le remboursement.

Le second pilier tient à la limitation de la responsabilité du payeur. Aux termes de l’article L. 133-19, IV, du même code, « le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 » (article L. 133-19 du Code monétaire et financier). La négligence grave constitue donc l’unique voie, hors fraude, par laquelle la perte peut être mise à la charge du client.

L’article L. 133-16 définit pour sa part l’obligation dont la méconnaissance est ainsi sanctionnée. Dès qu’il reçoit un instrument de paiement, l’utilisateur « prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées » (article L. 133-16 du Code monétaire et financier). Il utilise en outre l’instrument conformément aux conditions régissant sa délivrance et son utilisation, qui doivent être objectives, non discriminatoires et proportionnées.

Dès lors, la protection du payeur n’est pas absolue, mais son exception est strictement bornée. La banque ne peut pas se contenter d’invoquer une imprudence générale ou une insuffisance de vigilance. Elle doit établir un manquement caractérisé à l’une des obligations précisément définies par les textes.

La charge de la preuve vient renforcer cette architecture. L’article L. 133-23 dispose que, lorsque l’utilisateur nie avoir autorisé une opération, « il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre » (article L. 133-23 du Code monétaire et financier). Le texte ajoute que l’utilisation de l’instrument enregistrée par la banque « ne suffit pas nécessairement en tant que telle » à prouver l’autorisation de l’opération.

Le même article précise que le prestataire de services de paiement « fournit des éléments afin de prouver la fraude ou la négligence grave commise par l’utilisateur de services de paiement ». La loi place ainsi sur la banque, et non sur son client, le fardeau de démontrer l’exception qui lui profiterait. Cette règle explique que de nombreux litiges se jouent sur la qualité des éléments versés au dossier par l’établissement.

B. Une jurisprudence constante qui refuse de déduire la négligence du seul usage de l’instrument de paiement

La chambre commerciale a de longue date rappelé ces règles de preuve. Dans un arrêt du 29 mai 2019, elle a jugé que, s’il appartient à l’utilisateur de préserver la sécurité de ses dispositifs et d’informer sans tarder son prestataire, « c’est à ce prestataire qu’il incombe » de rapporter la preuve de la fraude ou de la négligence grave (Cass. com., 29 mai 2019, n° 18-10.147). Cette formule demeure la matrice du contentieux.

Le même arrêt ajoute que cette preuve « ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés ». Or cette précision est décisive en pratique. Une banque qui se bornerait à démontrer que l’opération a été validée au moyen des identifiants du client ne serait pas, pour autant, déchargée de son obligation de remboursement.

Cette solution a été formulée dès 2018 dans un arrêt rendu à propos d’un hameçonnage, qui reprend la même articulation entre obligation de l’utilisateur et preuve du prestataire (Cass. com., 28 mars 2018, n° 16-20.018). La permanence de cette rédaction, d’une décision à l’autre, traduit une doctrine stabilisée de la chambre commerciale. Les justiciables, comme les établissements, peuvent donc s’y référer avec une relative sécurité.

La décision du 8 octobre 2026 s’inscrit dans cette continuité en rappelant la règle de manière synthétique. La Cour juge qu’« en cas d’opération de paiement non autorisée, le prestataire de services de paiement ne peut s’exonérer de sa responsabilité que lorsque l’utilisateur du service de paiement manque par négligence grave à ses obligations d’utiliser l’instrument de paiement qui lui a été délivré conformément aux conditions régissant sa délivrance et son utilisation ou ne prend pas toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées » (Cass. com., 8 oct. 2026, n° 25-17.510).

Cette formulation est notable pour deux raisons. D’une part, elle vise les articles L. 133-16 et L. 133-19, IV, « interprétés à la lumière des articles 69 et 74 de la directive (UE) 2015/2366 », ce qui rattache expressément le contrôle du juge au droit européen des services de paiement. D’autre part, elle présente l’exonération de la banque comme une exception, et non comme un principe concurrent de celui du remboursement.

La question de la qualification de l’opération précède cependant celle de la négligence. Le régime de remboursement ne joue que si l’opération est non autorisée, et la banque peut contester cette qualification. La Cour de cassation a précisé, dans une affaire de retrait à un distributeur, qu’une opération initiée par le payeur « est réputée autorisée uniquement si le payeur a également consenti au montant de l’opération » (Cass. com., 30 nov. 2022, n° 21-17.614).

Dans cette décision, la Cour a censuré un jugement qui avait rejeté la demande de remboursement sans rechercher, comme cela lui était demandé, si l’opération avait été autorisée « en particulier quant à son montant ». Elle a également reproché au juge de ne pas avoir constaté que la responsabilité du payeur était engagée au titre de l’article L. 133-19. Le raisonnement impose donc deux étapes distinctes : établir le consentement, puis, à défaut, rechercher une exonération légale.

Cette distinction a une portée concrète pour les entreprises. Lorsqu’un ordre est transmis par un canal que la banque n’aurait pas dû accepter, la discussion ne porte pas seulement sur le comportement du client. Elle porte d’abord sur le point de savoir si l’ordre pouvait être regardé comme émanant de lui, ce qui détermine ensuite le terrain de la preuve.

II. L’appréciation de la négligence grave et le signalement de l’opération

A. Une négligence grave appréciée in concreto, à l’aune du mode opératoire de la fraude

La négligence grave ne se présume pas et ne se déduit pas du seul succès de la fraude. La Cour de cassation exige un manquement caractérisé, apprécié au regard des circonstances et des indices dont disposait l’utilisateur. Les décisions rendues depuis 2018 dessinent une grille de lecture assez nette, qui varie selon le procédé employé par le fraudeur.

En matière d’hameçonnage par courriel, la chambre commerciale s’est montrée sévère envers l’utilisateur qui répond à un message suspect. Elle a jugé que « manque, par négligence grave, à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés l’utilisateur d’un service de paiement qui communique les données personnelles de ce dispositif de sécurité en réponse à un courriel » comportant certains indices (Cass. com., 28 mars 2018, n° 16-20.018). Les indices visés sont ceux qui permettent à un utilisateur normalement attentif de douter de la provenance du message.

La solution est différente lorsque la fraude repose sur un appel téléphonique qui usurpe l’identité de la banque. Dans un arrêt du 23 octobre 2024, la Cour a relevé que la cour d’appel avait « exactement énoncé qu’il incombe au prestataire de services de paiement de rapporter la preuve d’une négligence grave de son client » (Cass. com., 23 oct. 2024, n° 23-16.267). Elle a confirmé que la négligence grave n’était pas caractérisée.

Les juges du fond avaient constaté que le numéro affiché sur le téléphone de l’utilisateur correspondait à celui de sa conseillère. Ils avaient retenu que le procédé dit de « spoofing » avait « diminué sa vigilance », celle-ci étant inférieure à celle d’une personne qui reçoit un courriel et dispose de davantage de temps pour déceler des anomalies. Par ailleurs, l’utilisateur croyait réenregistrer des bénéficiaires pour éviter des opérations malveillantes, ce qui le plaçait dans une logique de protection de son compte.

Cette approche a été étendue aux personnes morales. Dans un arrêt du 12 juin 2025, la chambre commerciale a approuvé une cour d’appel qui avait écarté la négligence grave d’une société de transport dont la secrétaire avait suivi les instructions d’un faux technicien de la banque (Cass. com., 12 juin 2025, n° 24-13.777). La Cour y rappelle que, pour des ordres de paiement non autorisés, « il appartient à la banque de fournir les éléments afin de prouver la faute ou la négligence grave commise par sa cliente ».

L’arrêt relève que l’escroc avait pu usurper un numéro de téléphone de la banque et annoncer le code affiché sur l’écran de l’utilisatrice. Cette circonstance était de nature à persuader celle-ci qu’elle était en relation avec un technicien de l’établissement. La Cour en déduit que la cour d’appel a pu retenir que « la société n’avait pas commis de négligence grave dans la conservation et l’utilisation de ses données personnelles de sécurité ».

L’arrêt du 8 octobre 2026 prolonge ce mouvement dans une configuration différente, celle d’un ordre de virement international transmis par télécopie. Selon les motifs de la décision, les parties étaient liées par un contrat de télétransmission puis par un second contrat prévoyant un dispositif sécurisé de remise des virements à distance. La banque avait pourtant exécuté, le 17 décembre 2019, un ordre envoyé par télécopie et revêtu d’une signature imitant celle du dirigeant (Cass. com., 8 oct. 2026, n° 25-17.510).

La cour d’appel avait rejeté la demande de remboursement en retenant que la société avait commis une négligence grave dans l’utilisation de l’instrument de paiement. Elle avait relevé que le processus de confirmation par télécopie n’était plus utilisé depuis mars 2017 pour en déduire que l’opération n’avait pas été autorisée. Elle avait aussi écarté l’application de l’article L. 133-19, IV, au motif que l’ordre n’avait pas été donné au moyen de la clé numérique prévue.

La Cour de cassation censure ce raisonnement avec netteté. Elle juge que la cour d’appel a statué ainsi « alors qu’elle avait relevé que la télécopie n’était plus l’instrument de paiement convenu entre les parties, de sorte que la banque, qui avait accepté d’exécuter une opération de paiement au moyen d’un tel instrument, ne pouvait pas reprocher à la société une négligence grave ». L’arrêt est cassé et l’affaire renvoyée devant la cour d’appel de Paris autrement composée.

Le raisonnement de la Cour mérite d’être lu avec précision. La négligence grave suppose un manquement du client aux conditions d’utilisation de l’instrument de paiement convenu. Or, lorsque la banque exécute elle-même un ordre transmis par un canal qui n’est plus convenu, elle ne peut pas reprocher à son client d’avoir mal utilisé un instrument qui n’était pas celui prévu au contrat.

Cette solution invite les entreprises à documenter précisément les canaux et procédures de validation convenus avec leur banque. Elle invite aussi les établissements à ne pas exécuter d’ordres qui s’écartent du dispositif contractuel, sauf à en assumer le risque. Cependant, la décision est une cassation avec renvoi, de sorte que l’affaire sera de nouveau examinée, et seul le juge du renvoi se prononcera sur le fond.

B. Le signalement sans tarder, le délai de treize mois et l’exigence d’authentification forte

Le droit de se faire rembourser suppose en outre un signalement de l’opération par l’utilisateur. L’article L. 133-24 du Code monétaire et financier dispose que l’utilisateur signale, sans tarder, l’opération non autorisée « et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion » (article L. 133-24 du Code monétaire et financier). Le même texte réserve le cas où la banque n’a pas fourni ou mis à disposition les informations relatives à l’opération.

Le texte prévoit encore : « Sauf dans les cas où l’utilisateur est une personne physique agissant pour des besoins non professionnels, les parties peuvent convenir d’un délai distinct de celui prévu au présent article ». Une société doit donc vérifier ses conventions de compte, car celles-ci peuvent comporter un délai différent. À cet égard, la lecture du contrat bancaire constitue un préalable à toute action.

La chambre commerciale a précisé le champ de ce signalement dès 2018. Elle a jugé que « le retrait d’espèces sur un compte de paiement, y compris au guichet d’une agence bancaire, constitue une opération de paiement » que l’utilisateur doit signaler « sans tarder et au plus tard dans les treize mois de la date de débit sous peine de forclusion » (Cass. com., 24 janv. 2018, n° 16-26.188). La notion d’opération de paiement est donc entendue largement.

Un arrêt du 20 mai 2026 apporte une précision sur les suites de ce signalement. Dans cette affaire, une cour d’appel avait déclaré irrecevables les demandes de clients qui avaient déclaré ne pas être à l’origine de plusieurs virements, au motif que l’assignation avait été délivrée plus de treize mois après les opérations. La Cour censure cette analyse, car il résultait des constatations des juges que les clients avaient signalé les opérations sans tarder et dans le délai de treize mois (Cass. com., 20 mai 2026, n° 25-13.721).

La Cour ajoute que ce signalement dans le délai « les autorisait à agir en paiement contre la banque dans le délai de prescription de droit commun ». Le délai de treize mois vise donc le signalement à la banque et non la saisine du juge, selon les motifs de cet arrêt. Cette distinction évite de confondre la forclusion de l’article L. 133-24 avec le délai d’agir en justice.

L’exigence de signalement « sans tarder » a connu un développement notable avec l’arrêt du 14 janvier 2026. Par un arrêt du 8 novembre 2023, la chambre commerciale avait saisi la Cour de justice de l’Union européenne de trois questions préjudicielles. Elle demandait notamment si le payeur est privé du droit au remboursement « lorsqu’il a tardé à signaler à son prestataire de services de paiement l’opération de paiement non autorisée, quand bien même il l’a fait dans les treize mois suivant la date de débit » (Cass. com., 8 nov. 2023, n° 22-14.822).

Après la réponse de la juridiction européenne, la chambre commerciale a tiré les conséquences de cette décision dans le même litige. Elle juge que « l’obligation incombant à l’utilisateur de services de paiement de signaler sans tarder à son prestataire de services de paiement une opération non autorisée naît à compter du moment où il en a eu connaissance ». Elle ajoute que, faute de l’avoir signalée, « de manière délibérée ou par négligence grave », l’utilisateur est privé du droit d’obtenir la correction de cette opération, « peu important que ce signalement ait été effectué dans les treize mois suivant la date de débit » (Cass. com., 14 janv. 2026, n° 22-14.822).

Cette solution fait coexister deux exigences. Le délai de treize mois constitue une limite absolue, au-delà de laquelle l’utilisateur est forclos. Mais, en deçà de ce délai, un signalement tardif peut priver l’utilisateur de son droit au remboursement, à condition que le retard soit délibéré ou résulte d’une négligence grave. En conséquence, la rapidité de réaction après la découverte d’une opération suspecte reste un enjeu probatoire majeur pour l’entreprise.

La protection du payeur est enfin complétée par l’exigence d’authentification forte. L’article L. 133-19, V, prévoit : « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur » (article L. 133-19 du Code monétaire et financier).

La Cour de cassation a appliqué ce texte dans un arrêt du 22 octobre 2025. Elle y énonce que le prestataire « doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur » (Cass. com., 22 oct. 2025, n° 24-19.749).

Cette décision est particulièrement instructive. Le jugement attaqué avait retenu que le payeur avait commis une négligence grave en répondant à un courriel présentant des anomalies grossières et en communiquant des codes. Il avait toutefois ajouté que la banque ne justifiait pas avoir exigé l’activation de l’authentification forte, et la Cour de cassation juge que le tribunal « a exactement déduit que la banque devait rembourser au payeur le montant de l’opération non autorisée ».

La combinaison de ces solutions mérite d’être soulignée. Même lorsque la négligence grave du client est retenue, l’absence d’authentification forte exigée par la banque peut suffire à imposer le remboursement. Par ailleurs, ce mécanisme ne protège pas le payeur qui aurait agi frauduleusement, ce que le texte réserve expressément.

Ces règles dessinent, pour une entreprise victime d’un virement frauduleux, une démarche en plusieurs temps. Il convient d’abord de signaler l’opération à la banque dès sa découverte, puis de réunir les éléments relatifs au canal utilisé et au mode opératoire. Il faut ensuite examiner le dispositif contractuel de sécurité et vérifier si la banque a exigé l’authentification forte. Ces constats ont une portée générale et ne tiennent pas lieu d’analyse d’un dossier particulier.

Aucun des arrêts consultés ne tranche tous les cas de figure, et chaque affaire dépend de ses faits propres. Les décisions citées montrent que la négligence grave s’apprécie au regard du mode opératoire de la fraude et des conditions contractuelles d’utilisation de l’instrument. Les contrats signés entre la banque et son client priment sur toute analyse générale, et seul le juge décide de l’issue d’un litige déterminé.

Conclusion

L’arrêt de la chambre commerciale du 8 octobre 2026 s’inscrit dans une jurisprudence cohérente, qui fait du remboursement le principe et de la négligence grave une exception strictement encadrée. La banque supporte la charge de prouver la fraude ou la négligence grave, et elle ne peut pas la déduire du seul usage de l’instrument de paiement. Cette règle découle des articles L. 133-18, L. 133-19 et L. 133-23 du Code monétaire et financier.

La décision apporte une précision utile en matière d’ordres transmis par un canal qui n’est plus convenu entre les parties. Lorsque la banque accepte d’exécuter un ordre par un tel canal, elle ne peut pas reprocher à son client une négligence grave dans l’utilisation de l’instrument. Cette solution, rendue sur cassation avec renvoi, devra être confirmée ou nuancée par la juridiction de renvoi.

Les entreprises ont intérêt à surveiller leurs comptes, à signaler sans tarder toute opération suspecte et à conserver la trace de leurs procédures de validation. Elles doivent aussi relire les conventions de compte, car les parties peuvent convenir d’un délai de signalement distinct de celui de l’article L. 133-24 lorsque l’utilisateur n’est pas un particulier agissant pour des besoins non professionnels. À défaut d’accident constaté dans un dossier précis, aucune responsabilité n’est établie, et seul le juge décide.