Un courriel du président ordonne un virement urgent et confidentiel vers Hong Kong, un faux avocat appelle la comptable pour un audit imminent, un message du dirigeant en déplacement demande de régler un fournisseur inconnu avant midi : le lendemain, plusieurs centaines de milliers d’euros ont quitté le compte de la société et l’escroc reste introuvable. Ce scénario, que les enquêteurs appellent fraude au président ou faux ordres de virement, vise les entreprises de toutes tailles et prospère sur l’urgence, le secret et l’obéissance hiérarchique. La question qui se pose alors n’est pas seulement de retrouver l’argent, mais d’agir dans le bon ordre : une plainte déposée trop tard, un rappel de fonds demandé à la mauvaise banque ou une contestation adressée hors délai peuvent coûter à l’entreprise son seul recours contre sa propre banque.
Cet article décrit d’abord les gestes qui comptent pendant les vingt-quatre premières heures, plainte pénale pour escroquerie et demande de rappel des fonds auprès des banques, puis les voies du remboursement : la mise en cause de la banque de l’entreprise pour opération non autorisée, le rôle de l’assurance fraude et le cas du salarié qui a exécuté l’ordre manipulé. Chaque règle citée renvoie au texte en vigueur ou à une décision rendue, vérifiés pour la rédaction du présent article.
I. Réagir dans les vingt-quatre heures : plainte pénale et rappel des fonds
A. Porter plainte pour escroquerie et se constituer partie civile quand un faux dirigeant a donné l’ordre
La fraude au président correspond exactement à la définition légale de l’escroquerie : l’article 313-1 du code pénal dispose que « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge ». Le texte ajoute que « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende ». L’usurpation de l’identité du dirigeant, les faux courriels reprenant les codes de l’entreprise, les appels d’un prétendu conseil ou d’un prétendu banquier central et la mise en scène de l’urgence et de la confidentialité constituent les manoeuvres frauduleuses visées par ce texte, et la société dont le compte a été débité en est la victime directe, même lorsque c’est son propre salarié qui a saisi les ordres.
Le premier réflexe consiste à déposer plainte sans attendre, car le temps joue contre la victime : les fonds transitent vite vers des comptes étrangers et chaque heure perdue réduit les chances d’interception. Les services de police et de gendarmerie ne peuvent pas refuser la plainte : l’article 15-3 du code de procédure pénale prévoit que « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents ». La plainte peut donc être déposée au commissariat ou à la brigade la plus proche du siège de l’entreprise, qui la transmettra s’il y a lieu au service territorialement compétent. En pratique, la société joint à sa plainte tout ce qui documente la manoeuvre : les courriels frauduleux avec leurs en-têtes complets, les numéros appelants et les enregistrements éventuels, les captures des échanges, les ordres de virement et relevés bancaires, la liste des comptes destinataires et l’identité des personnes ayant échangé avec l’escroc. Ces pièces serviront ensuite devant la banque et devant l’assureur.
Le dépôt de plainte peut être complété en ligne par un signalement sur la plateforme 17Cyber du dispositif national d’assistance aux victimes d’actes de cybermalveillance, qui oriente la société vers les bons interlocuteurs et l’aide à qualifier les faits. Mais le signalement ne remplace ni la plainte ni la contestation bancaire : il prépare le dossier, il ne déclenche pas à lui seul le remboursement. Lorsque le procureur de la République classe la plainte sans suite ou laisse passer le temps, la société dispose d’une voie de recours propre : l’article 85 du code de procédure pénale dispose que « Toute personne qui se prétend lésée par un crime ou un délit peut en portant plainte se constituer partie civile devant le juge d’instruction compétent », tout en précisant que « la plainte avec constitution de partie civile n’est recevable qu’à condition que la personne justifie soit que le procureur de la République lui a fait connaître, à la suite d’une plainte déposée devant lui ou un service de police judiciaire, qu’il n’engagera pas lui-même des poursuites, soit qu’un délai de trois mois s’est écoulé depuis qu’elle a déposé plainte devant ce magistrat, contre récépissé ou par lettre recommandée avec demande d’avis de réception, ou depuis qu’elle a adressé, selon les mêmes modalités, copie à ce magistrat de sa plainte déposée devant un service de police judiciaire ». Conserver le récépissé de dépôt de plainte et l’accusé de réception de l’envoi au procureur conditionne donc l’accès au juge d’instruction, qui peut ordonner des investigations bancaires internationales qu’une simple plainte ne déclenche pas toujours.
B. Demander le rappel des fonds et figer la trace avant qu’elle ne s’efface
Pendant que la plainte est enregistrée, un second front s’ouvre auprès des banques, et il ne souffre aucun retard : dès que l’escroc reçoit les fonds, il les fait rebondir vers d’autres comptes, souvent à l’étranger, jusqu’à les rendre insaisissables. La société doit donc exiger de sa propre banque, par écrit et avec accusé de réception, le rappel des fonds auprès de la banque du bénéficiaire, opération par opération, avec les références exactes de chaque virement, les dates, les montants et les identifiants des comptes destinataires. Cette demande écrite fait courir la preuve des diligences de l’entreprise : si la banque tarde à la transmettre, sa carence pourra lui être opposée plus tard, notamment sur le terrain de son obligation de vigilance que la Cour de cassation a précisée à plusieurs reprises. La demande doit être adressée le jour même, par courriel doublé d’une lettre recommandée ou d’un message via l’espace client sécurisé, et chaque échange téléphonique avec la banque doit être confirmé par écrit avec le nom de l’interlocuteur.
Le droit donne à cette démarche un fondement précis même lorsque le virement a été, techniquement, autorisé par le salarié : l’article L. 133-21 du code monétaire et financier prévoit que « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique », ce qui signifie que la banque n’est en principe pas responsable quand l’IBAN renseigné par le client oriente les fonds vers le mauvais destinataire. Mais le même article ajoute que « le prestataire de services de paiement du payeur s’efforce de récupérer les fonds engagés dans l’opération de paiement », et que le prestataire du bénéficiaire communique toutes les informations utiles pour récupérer les fonds. La banque de l’entreprise doit donc agir pour tenter de récupérer l’argent, et si elle n’y parvient pas, elle met à disposition du payeur, à sa demande, les informations qu’elle détient pour documenter son recours en justice en vue de récupérer les fonds. Une banque qui se bornerait à répondre que le virement est parti et qu’il n’y a plus rien à faire manquerait à cette obligation d’effort, et l’entreprise a intérêt à lui réclamer par écrit les informations détenues sur le compte destinataire pour préparer son action en justice.
Le troisième geste consiste à figer les preuves avant leur disparition : les journaux de connexion aux outils bancaires en ligne, les adresses IP utilisées, les horodatages des ordres, les courriels frauduleux et les enregistrements téléphoniques doivent être conservés et, si possible, constatés par un commissaire de justice, car la banque opposera presque toujours soit que l’opération était autorisée, soit que le client a commis une négligence grave. Un constat dressé dans les premiers jours, la sauvegarde des en-têtes complets des courriels et l’extraction des logs par le prestataire informatique de l’entreprise permettront de démontrer, le cas échéant, que le salarié a été manipulé par une usurpation sophistiquée et non par une légèreté caractérisée. Les sociétés qui découvrent la fraude un vendredi soir doivent traiter le week-end comme du temps perdu pour l’escroc mais gagné pour elles : plainte en ligne, courriel à la banque, sauvegarde des données et appel lundi à la première heure au conseiller dédié avec le numéro de plainte en main.
II. Se faire rembourser : la banque, l’assurance et le cas du salarié manipulé
A. Contraindre sa banque à rembourser quand l’opération n’était pas autorisée
Tout le contentieux bancaire de la fraude au président tient à une distinction que les banques connaissent bien et que les entreprises découvrent souvent trop tard : l’opération que le salarié a validée sous l’emprise de l’escroc est-elle une opération non autorisée, qui ouvre droit au remboursement, ou une opération autorisée mais adressée au mauvais bénéficiaire, qui n’ouvre droit qu’à un effort de récupération ? Lorsque le salarié a lui-même saisi et validé les ordres avec ses codes, la banque soutient que l’opération était autorisée et refuse de rembourser. Lorsque les codes ont été détournés à son insu, par exemple après piratage de la messagerie ou interception des identifiants, l’entreprise peut invoquer le régime protecteur des opérations non autorisées : l’article L. 133-18 du code monétaire et financier dispose que « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France ». Le texte ajoute que le compte débité doit être rétabli dans l’état où il se serait trouvé si l’opération n’avait pas eu lieu, et prévoit des pénalités en cas de retard : les sommes dues produisent intérêt au taux légal majoré de cinq points, de dix points au-delà de sept jours de retard et de quinze points au-delà de trente jours. La contestation doit donc être adressée à la banque sans tarder, par écrit, en visant expressément cet article, car le délai de remboursement court à compter de l’information de la banque.
La banque ne peut échapper à ce remboursement qu’en démontrant soit que l’opération était en réalité autorisée, soit que le client a commis une faute lourde : l’article L. 133-19 du code monétaire et financier prévoit en son paragraphe IV que « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 ». Ces obligations sont celles de tout utilisateur d’un instrument de paiement : l’article L. 133-16 du même code dispose que « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées ». En pratique bancaire, la négligence grave est plaidée par les banques dès que le salarié a communiqué ses codes ou validé des opérations sans vérification, et c’est à la banque de rapporter la preuve de cette négligence. L’entreprise doit donc préparer, dès les premiers jours, la démonstration inverse : procédures internes de validation, habilitations limitées, formation du personnel et circonstances de la manipulation, pour établir que la tromperie, aussi sophistiquée soit-elle, ne révèle pas un manquement caractérisé à la sécurité des instruments de paiement.
La Cour de cassation a tranché deux situations qui encadrent ce débat et que toute entreprise victime doit connaître. Dans un premier arrêt, la chambre commerciale a jugé qu’une banque aurait dû bloquer des virements suspects de fraude au président : entre le 11 et le 22 décembre 2017, la comptable d’une société avait adressé sept ordres de virement d’un montant total de 2 121 903,81 euros au profit d’un compte situé à Hong Kong, en exécution de courriels d’un tiers usurpant l’identité du dirigeant, et la cour d’appel avait condamné la banque à payer 1 060 951,90 euros (Cass. com., 2 octobre 2024, n° 23-13.282). La Cour approuve les juges du fond : « les ordres de virement litigieux, par leur caractère rapproché et répété, par la période de l’année à laquelle ils intervenaient, leurs montants élevés par rapport aux ordres habituellement donnés et par le fait qu’ils étaient établis au bénéfice de sociétés ne faisant pas partie des relations d’affaires de la société et situées en dehors de l’espace habituel de son activité, auraient dû conduire la banque à se renseigner sur leur validité directement auprès du dirigeant supposé ». Elle ajoute que « la banque aurait dû vérifier la régularité des ordres de virement auprès du dirigeant, seule personne contractuellement habilitée à les valider ». Des virements inhabituels par leur montant, leur fréquence, leur période et leur destination exotique constituent donc des anomalies apparentes qui obligent la banque à alerter et à vérifier auprès du dirigeant lui-même, et non auprès du salarié manipulé qui a saisi les ordres.
Dans un second arrêt, la même chambre a rappelé que ce régime bancaire est exclusif de tout autre : des sociétés victimes d’ordres non autorisés pour 498 266,50 euros avaient obtenu en appel un partage de responsabilité, moitié pour elles au titre de leur négligence grave, moitié pour la banque au titre d’un manquement à son obligation de vigilance de droit commun, et la Cour a cassé cette décision (Cass. com., 15 janvier 2025, n° 23-13.579). Elle juge que « seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier, qui transposent les articles 58, 59 et 60, paragraphe 1, de la directive 2007/64/CE, à l’exclusion de tout régime alternatif de responsabilité résultant du droit national ». Concrètement, si la banque prouve la négligence grave du client, celui-ci supporte seul les pertes et ne peut pas obtenir un partage en invoquant une faute de vigilance de la banque sur un autre fondement ; si elle ne la prouve pas, elle rembourse en application de l’article L. 133-18. Tout se joue donc sur la preuve de la négligence grave, et l’entreprise a intérêt à concentrer son dossier sur ce point plutôt que de disperser ses moyens.
Un jugement récent illustre le cas où l’entreprise perd parce que l’opération était juridiquement autorisée : le tribunal judiciaire de Paris a débouté une société qui réclamait le solde d’un virement de 25 000 euros émis par son gérant depuis son espace en ligne au bénéfice d’un tiers dont elle avait elle-même renseigné les coordonnées d’après un relevé d’identité bancaire reçu par un courriel falsifié (TJ Paris, 9e ch., 1re sect., 17 novembre 2025, n° 23/10944). Le tribunal retient que l’ordre litigieux avait été émis par la société elle-même, de sorte que l’article L. 133-18, qui concerne les opérations non autorisées, ne pouvait s’appliquer, et que le virement relevait de l’article L. 133-21 sur les opérations mal exécutées du fait d’un identifiant inexact, exclusif de tout autre régime de responsabilité, sans obligation de remboursement même partiel. La leçon est directe : quand le dirigeant ou le salarié a lui-même renseigné un IBAN frauduleux, la contestation sur le fondement de l’opération non autorisée échoue, et l’entreprise doit alors jouer la carte de l’anomalie apparente et du devoir d’alerte de la banque, comme dans l’arrêt du 2 octobre 2024, ou celle du manquement au devoir de récupération des fonds. Sur cette ligne de crête entre opération autorisée et devoir de vigilance, on lira avec profit l’analyse d’une décision du 8 octobre 2026 rendue dans l’hypothèse voisine du virement exécuté hors du canal sécurisé convenu avec la banque (fraude au président et canal sécurisé convenu), et les recours ouverts quand l’escroquerie passe par un faux relevé d’identité bancaire de fournisseur (faux RIB de fournisseur et double paiement).
Reste le délai pour agir contre la banque, que les entreprises manquent parfois en croyant que l’instruction pénale suspend tout : l’article L. 133-24 du code monétaire et financier dispose que « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion », tout en précisant que, sauf pour les personnes physiques agissant pour des besoins non professionnels, les parties peuvent convenir d’un délai distinct. Pour une société, la convention de compte peut donc imposer un délai de contestation plus court que treize mois, parfois de quelques semaines, et ce délai contractuel doit être vérifié dès le premier jour car la forclusion éteint le droit au remboursement. La plainte pénale et la contestation bancaire courent en parallèle et ne se remplacent pas : attendre la fin de l’enquête pour contester expose à la forclusion, et contester sans déposer plainte prive le dossier de sa crédibilité pénale.
B. Mobiliser l’assurance fraude et traiter le cas du salarié qui a exécuté l’ordre
Quand la banque refuse de rembourser en opposant la négligence grave, ou quand les fonds restent introuvables malgré le rappel, l’assurance de l’entreprise devient le second payeur potentiel, à condition d’avoir été souscrite et activée à temps. Les polices qui couvrent ce risque s’appellent selon les assureurs fraude, détournement, cyber ou tous risques informatiques, et leurs définitions varient : certaines visent les actes malveillants des tiers, d’autres excluent les virements validés avec les codes réguliers de l’entreprise, d’autres encore subordonnent la garantie au respect d’une procédure interne de double validation. La société doit donc relire sa police dès le premier jour, identifier la garantie applicable et les exclusions susceptibles d’être opposées, puis déclarer le sinistre par écrit dans le délai prévu par la police, en joignant la plainte, les ordres de virement, la demande de rappel adressée à la banque et la description des circonstances de la manipulation. Une déclaration tardive ou incomplète fournit à l’assureur un moyen de refuser sa garantie, et toute correspondance avec lui doit rester cohérente avec la plainte et la contestation bancaire : affirmer à l’assureur que le salarié a agi prudemment tout en laissant la banque démontrer sa négligence grave fragilise les deux dossiers à la fois.
Le sort du salarié qui a exécuté l’ordre mérite le même sang-froid, car l’émotion du dirigeant trompé conduit parfois à des décisions hâtives qui coûtent cher à l’entreprise. Ce salarié est en règle générale une victime de la manoeuvre au même titre que la société : c’est lui que l’escroc a choisi, observé et manipulé, parfois pendant des semaines, en exploitant la pression hiérarchique et le culte du secret. L’entreprise a intérêt à l’associer à la plainte comme témoin plutôt qu’à le traiter comme un fautif, car son récit détaillé des échanges avec l’escroc constitue souvent la meilleure preuve de la sophistication de la tromperie, et donc l’antidote à l’argument de négligence grave que la banque ne manquera pas d’opposer. Le dossier de validation interne doit être reconstitué avec lui : qui a demandé quoi, par quel canal, quelles vérifications ont été faites, quelles alertes ont été ignorées et pourquoi.
Cette reconstitution sert aussi à démontrer que l’entreprise disposait d’une organisation sérieuse, ce qui répond point par point au grief de négligence grave : habilitations limitées aux paiements, plafonds par profil, double signature au-delà d’un seuil, contre-appel systématique sur un numéro connu pour tout changement de coordonnées bancaires ou toute demande confidentielle, interdiction des ordres reçus par simple courriel. Si une faille apparaît, la corriger immédiatement et la documenter protège l’avenir sans reconnaître une faute passée : mettre en place la double validation après les faits montre une gestion diligente, pas une négligence antérieure. Les sociétés qui transforment la crise en réforme de leurs procédures, avec une note écrite diffusée à tout le personnel exposé aux paiements, présentent ensuite à la banque, à l’assureur et au juge un dossier cohérent : une entreprise organisée, trompée par une manoeuvre élaborée, qui a réagi en vingt-quatre heures sur les trois fronts pénal, bancaire et interne. C’est ce dossier complet, et non la seule indignation, qui fait basculer les décisions de remboursement.
Conclusion
La fraude au président ne pardonne pas l’improvisation, mais elle ne condamne pas l’entreprise qui réagit vite et dans l’ordre : plainte pour escroquerie dès la découverte avec conservation du récépissé pour une éventuelle constitution de partie civile, demande écrite de rappel des fonds à sa banque le jour même, contestation formelle de l’opération en visant les articles L. 133-18 à L. 133-24 du code monétaire et financier avant le délai de la convention de compte, déclaration à l’assureur selon les conditions de la police et reconstitution du dossier interne avec le salarié manipulé. La jurisprudence encadre désormais chaque étape : la banque doit alerter et vérifier auprès du dirigeant quand les ordres présentent des anomalies apparentes, elle ne peut opposer à son client que le seul régime des articles L. 133-18 à L. 133-24 à l’exclusion de tout partage de responsabilité de droit commun, et l’entreprise qui a elle-même renseigné un identifiant frauduleux ne peut pas invoquer l’opération non autorisée. Connaître ces distinctions avant de contester, c’est choisir le bon fondement du premier coup et éviter de perdre sur la procédure un remboursement que le fond autorisait.