Fraude au président : entreprise victime, que faire pour être remboursée par la banque ?
Un courriel urgent du président, un appel d’un faux avocat, une comptable sous pression qui exécute quatre ou sept virements vers Hong-Kong ou vers un compte européen : la fraude au président frappe chaque année des centaines d’entreprises françaises, des PME aux groupes cotés. Le préjudice moyen dépasse souvent plusieurs centaines de milliers d’euros et la somme, une fois partie, est blanchie en quelques heures vers des comptes rebonds. La question que tapent les victimes sur Google est toujours la même : « fraude au président que faire » et « fraude au président banque », c’est-à-dire qui va rembourser. La réponse du droit français est nuancée et elle se joue en trois temps : faire cesser l’hémorragie et figer les preuves dans les heures qui suivent, contraindre la banque à s’expliquer sur son devoir de vigilance, et faire sanctionner les auteurs par la voie pénale tout en activant l’assurance. Deux arrêts récents de la chambre commerciale de la Cour de cassation, rendus le 2 octobre 2024 et le 12 juin 2025 dans des dossiers de faux ordres du dirigeant, fixent le cadre : la banque répond de sa faute quand les virements présentaient des anomalies apparentes qu’elle a ignorées, elle est en revanche hors de cause quand l’opération restait dans les habitudes du compte. Cet article décrit la méthode complète, les textes applicables, les délais et les pièces à réunir, pour la société victime, son dirigeant et son expert-comptable. Ce guide complète notre pas-à-pas des vingt-quatre premières heures (fraude au président : que faire dans les 24 heures après un faux ordre de virement) : là où ce premier article organise l’urgence, celui-ci tranche la question qui suit, la banque doit-elle rembourser, à partir de deux arrêts contraires de la Cour de cassation.
I. Fraude au président : définition, exemple concret et réflexes des premières heures
A. Fraude au président définition et exemple : le faux ordre du dirigeant qui trompe la comptable
L’escroquerie est définie par le Code pénal comme « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » (article 313-1 du Code pénal). La fraude au président entre exactement dans cette définition : un tiers usurpe l’identité du dirigeant, par courriel au nom de domaine proche, par appel téléphonique avec spoofing, parfois avec l’appui d’un faux avocat ou d’un faux auditeur, et ordonne à un salarié, le plus souvent la comptable ou le trésorier, d’exécuter en urgence et en toute confidentialité des virements vers un compte étranger pour un prétendu rachat confidentiel, un contrôle fiscal imminent ou une opération de trésorerie. Lorsque l’opération est commise en bande organisée, avec faux, usage de faux ou usurpation d’identité d’une personne dépositaire de l’autorité publique, les peines sont aggravées et « Les peines sont portées à sept ans d’emprisonnement et à 750 000 euros d’amende lorsque l’escroquerie est réalisée » dans les cas visés par le texte (article 313-2 du Code pénal). Les fonds sont ensuite éclatés, convertis et retransférés : « Le blanchiment est le fait de faciliter, par tout moyen, la justification mensongère de l’origine des biens ou des revenus de l’auteur d’un crime ou d’un délit ayant procuré à celui-ci un profit direct ou indirect. » (article 324-1 du Code pénal). L’exemple jugé le 2 octobre 2024 est topique : entre le 11 et le 22 décembre 2017, la comptable d’une société a adressé à sa banque sept ordres de virement d’un montant total de 2 121 903,81 euros au profit d’un compte situé à Hong-Kong, en exécution de courriels d’un tiers usurpant l’identité du dirigeant (Cass. com., 2 octobre 2024, n° 23-13.282). L’exemple jugé le 12 juin 2025 est voisin : entre le 14 et le 17 mai 2019, la comptable d’une société d’imagerie médicale, trompée par de faux courriels au nom du dirigeant, a adressé à sa banque quatre ordres de virement au profit d’une société étrangère sur un compte ouvert dans une banque hongroise, pour 384 625,41 euros (Cass. com., 12 juin 2025, n° 24-10.168). Dans les deux cas, la salariée croyait obéir au président, les contrôles internes avaient été contournés par l’urgence et la confidentialité imposées par l’escroc, et la validation par le boîtier de sécurité du dirigeant avait été détournée. La différence entre les deux affaires, et donc entre remboursement et perte définitive, tient à ce que la banque a fait ou aurait dû faire devant des ordres inhabituels. Les entreprises doivent donc documenter dès le premier jour leurs habitudes de virement, leurs plafonds, leurs bénéficiaires récurrents et leur zone géographique habituelle : ce sont ces éléments qui permettront au juge de dire s’il existait des anomalies apparentes. Le dirigeant doit aussi préserver sa propre position : s’il a lui-même validé un virement sous la pression d’un faux conseil d’administration ou d’un faux courriel, sa responsabilité de gestion pourra être discutée par les associés ou l’assureur, mais il reste la première victime de l’usurpation et c’est à ce titre qu’il porte plainte avec la société. La formation des équipes comptables, la règle des quatre yeux pour tout virement supérieur à un seuil, la vérification par un second canal connu pour tout changement de coordonnées bancaires et l’interdiction de valider un ordre sur la seule foi d’un courriel sont les mesures qui éviteront la récidive et qui pèseront dans le débat sur la faute de la victime. Les lecteurs qui confondent avec le faux fournisseur trouveront l’analyse voisine dans notre dossier sur l’arnaque au faux RIB et le remboursement de l’entreprise, dont les réflexes bancaires sont proches mais dont le mécanisme juridique diffère.
B. Fraude au président que faire dans les premières heures : stopper les virements, alerter la banque et figer les preuves
Les premières heures décident du sort des fonds. Dès la découverte, l’entreprise appelle le centre d’opposition de sa banque sur le numéro d’urgence, demande par écrit le rappel des fonds, en anglais recall, vers la banque du bénéficiaire, et exige la traçabilité de chaque ordre : horodatage, canal, identifiant du validateur, adresse IP, bénéficiaire effectif. Ce signalement doit intervenir « sans tarder », car le Code monétaire et financier impose à l’utilisateur de signaler « sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » (article L133-24 du Code monétaire et financier). En pratique, attendre plusieurs mois fait perdre toute chance de rappel interbancaire, même si le délai légal de treize mois reste ouvert pour la contestation formelle. Parallèlement, l’entreprise informe « sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci » dès qu’elle a connaissance « de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées » (article L133-17 du Code monétaire et financier) : changement des codes, révocation des habilitations du boîtier, blocage des accès de messagerie compromis, conservation des journaux. Le deuxième appel va à la police ou à la gendarmerie. Les officiers et agents de police judiciaire « sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents. » (article 15-3 du Code de procédure pénale). Aucun service ne peut refuser la plainte au motif que le virement est parti vers l’étranger ou que le préjudice est élevé. Le dépôt sur la plateforme THESEE pour les escroqueries en ligne ne remplace pas la plainte avec constitution de partie civile quand le préjudice dépasse quelques dizaines de milliers d’euros : il faut un récépissé, un numéro de procédure et la transmission au parquet. La plainte décrit avec précision chaque ordre, chaque courriel, chaque appel, avec les en-têtes complets, les numéros appelants, les captures d’écran et les relevés. L’entreprise saisit en parallèle sa banque par lettre recommandée avec accusé de réception, avec copie au médiateur bancaire plus tard si nécessaire, en contestant chaque opération et en demandant le remboursement immédiat. Elle déclare le sinistre à son assureur cyber et à son assureur responsabilité civile professionnelle, car beaucoup de contrats exigent une déclaration sous cinq jours ouvrés. Elle signale l’attaque sur la plateforme cybermalveillance.gouv.fr, qui oriente vers un prestataire et fournit une attestation utile pour l’assureur. Elle prévient son expert-comptable et son commissaire aux comptes, car des virements de plusieurs centaines de milliers d’euros modifient le bilan et peuvent déclencher une procédure d’alerte. Elle ne prévient ni les médias ni les partenaires avant d’avoir l’avis du parquet, pour ne pas compromettre l’enquête ni engager sa responsabilité en cas de dénonciation imprudente. Elle suspend toute validation par la personne piégée, sans la sanctionner à chaud, et elle fait établir par constat de commissaire de justice l’état des boîtes mails, des journaux de connexion et des ordres. Chaque jour de retard réduit les chances de gel des fonds à l’étranger via l’entraide pénale. Un dossier complet dès la première semaine comprend : la chronologie minute par minute, les ordres SWIFT avec références, les courriels avec en-têtes, les enregistrements d’appels, les relevés de compte sur trois ans pour montrer les habitudes, les contrats avec la banque avec plafonds et habilitations, les procédures internes et le registre des changements de coordonnées. C’est ce dossier qui servira à la fois pour la banque, pour le juge pénal et pour l’assureur.
II. Fraude au président banque et jurisprudence : obtenir le remboursement et faire sanctionner
A. Fraude au président banque : contestation du virement, devoir de vigilance et remboursement
Le débat bancaire se joue sur deux terrains distincts qu’il ne faut pas confondre : le régime des opérations non autorisées, qui impose un remboursement quasi automatique, et le régime des opérations autorisées mais obtenues par fraude, où seule la faute de la banque permet d’être indemnisé. Beaucoup d’entreprises invoquent à tort le remboursement immédiat prévu pour les opérations non autorisées : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 » la banque « rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. » (article L133-18 du Code monétaire et financier). Or, dans la fraude au président classique, l’ordre a été validé avec le boîtier du dirigeant ou par la comptable habilitée : l’opération est juridiquement autorisée, même si le consentement a été surpris par l’escroc. Le remboursement automatique ne s’applique donc pas et l’entreprise doit prouver une faute de la banque dans l’exécution, sur le fondement du droit commun : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » (article 1231-1 du Code civil). Cette faute s’apprécie à travers le devoir de vigilance : la banque, tenue à une obligation de non-ingérence, doit néanmoins déceler les anomalies apparentes et surseoir à l’exécution pour se renseigner. L’arrêt du 2 octobre 2024 donne la grille gagnante. La Cour approuve la cour d’appel d’avoir relevé que les ordres litigieux, « par leur caractère rapproché et répété, par la période de l’année à laquelle ils intervenaient, leurs montants élevés par rapport aux ordres habituellement donnés et par le fait qu’ils étaient établis au bénéfice de sociétés ne faisant pas partie des relations d’affaires de la société et situées en dehors de l’espace habituel de son activité, auraient dû conduire la banque à se renseigner sur leur validité directement auprès du dirigeant supposé. » Puis elle juge : « En l’état de ces constatations et appréciations, faisant ressortir l’existence d’anomalies apparentes affectant les ordres de paiement, la cour d’appel a exactement retenu que la banque était tenue d’alerter la société afin d’obtenir la confirmation des ordres litigieux en exécution de son obligation de vigilance. » Et elle ajoute, sur la personne à contacter : « L’arrêt, ayant retenu l’existence de circonstances inhabituelles entourant les virements litigieux laissant suspecter une possible « fraude au président », en a exactement déduit, sans exiger l’obtention d’un nouvel ordre de paiement, que la banque aurait dû vérifier la régularité des ordres de virement auprès du dirigeant, seule personne contractuellement habilitée à les valider. » La banque avait appelé la comptable, qui était précisément la personne manipulée : cela ne suffisait pas. La condamnation, à hauteur de 1 060 951,90 euros, soit la moitié du préjudice, illustre le partage de responsabilités fréquent : la banque paie pour sa vigilance manquée, la société conserve une part pour son organisation interne défaillante. L’arrêt du 12 juin 2025 donne la grille inverse et montre quand la banque échappe à toute condamnation. La Cour relève qu’« Après avoir constaté que le montant des virements restait dans la limite des plafonds quotidiens convenus et demeurait couvert par le solde créditeur du compte, et que la destination des virements était un compte détenu dans les livres d’une banque agréée dans un pays membre de l’Union européenne qui n’attirait pas spécialement l’attention en termes de sécurité, l’arrêt retient que les opérations ne présentaient pas d’anomalies devant alerter la banque. » Elle en déduit : « De ces constatations et appréciations souveraines, la cour d’appel, qui n’était pas tenue de suivre les parties dans le détail de leur argumentation, a pu déduire que la banque n’avait pas manqué à son devoir de vigilance. » Ici, quatre virements de 90 000 à 98 000 euros vers une banque hongroise agréée, sous plafonds et couverts par le solde, n’ont pas suffi à caractériser l’anomalie, même si le maximum antérieur vers l’étranger n’était que de 9 292,60 euros. La leçon pratique est claire : pour obtenir remboursement, l’entreprise doit démontrer l’écart massif, la répétition rapprochée, la période atypique comme les fêtes de fin d’année, le bénéficiaire inconnu et la zone inhabituelle, pièces à l’appui, et démontrer que la vérification de la banque, si elle a eu lieu, n’a pas été faite auprès de la bonne personne. La contestation suit un calendrier précis : signalement sans tarder et au plus tard treize mois, demande écrite de remboursement, médiation bancaire après deux refus ou deux mois sans réponse, puis assignation devant le tribunal des activités économiques ou le tribunal judiciaire selon la qualité des parties. L’entreprise joint ses relevés sur trois ans, ses tableaux analytiques, ses contrats de banque, ses habilitations et la preuve que le bénéficiaire ne faisait pas partie de ses relations. Elle chiffre son préjudice : principal détourné, frais de rappel SWIFT, intérêts, frais d’enquête interne et d’avocats. Elle anticipe la défense tirée de sa propre négligence, car le juge partage souvent : absence de double validation, validation sur simple courriel, non-respect de la procédure interne. Un dispositif écrit, connu et appliqué réduit cette part. Enfin, si l’opération était véritablement non autorisée, par exemple ordre fabriqué sans validation par le dispositif personnalisé, le plafond de 50 euros s’applique avant opposition : « En cas d’opération de paiement non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant l’information prévue à l’article L. 133-17, les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 €. » (article L133-19 du Code monétaire et financier). Cette hypothèse reste rare en fraude au président, mais elle doit être vérifiée techniquement avec la banque avant de choisir le fondement.
B. Fraude au président jurisprudence et cour de cassation : plainte, partie civile, assurance et prévention durable
Le volet pénal ne rapporte pas toujours de l’argent à court terme, mais il conditionne le remboursement par l’assurance, le gel des fonds et la pression sur les complices. L’action civile appartient à la société elle-même : « L’action civile en réparation du dommage causé par un crime, un délit ou une contravention appartient à tous ceux qui ont personnellement souffert du dommage directement causé par l’infraction. » (article 2 du Code de procédure pénale). Concrètement, la société dépose plainte pour escroquerie, tentative d’escroquerie pour les ordres stoppés à temps, blanchiment contre les comptes rebonds et usurpation d’identité, et elle se constitue partie civile pour obtenir des dommages et intérêts devant le tribunal correctionnel, y compris contre les complices interpellés en France. Quand le parquet classe ou tarde, la plainte avec constitution de partie civile devant le doyen des juges d’instruction permet de forcer la désignation d’un juge et l’ouverture d’une information, moyennant une consignation. L’enquête passe par la réquisition des opérateurs, l’analyse des en-têtes, la coopération avec Tracfin pour les flux suspects et l’entraide pénale internationale pour les comptes de Hong-Kong, de Dubaï ou d’Afrique de l’Ouest. Les chances de retrouver les auteurs installés à l’étranger restent faibles, mais l’information permet de geler les fonds encore présents sur les comptes rebonds français ou européens et d’identifier les mules. La société doit éviter deux erreurs : minimiser les faits devant les enquêteurs par crainte pour sa réputation, ce qui affaiblit la qualification, et accuser nommément un salarié ou un prestataire sans preuve, ce qui expose à une plainte en dénonciation calomnieuse. Le dossier pénal reprend le dossier bancaire, enrichi du préjudice complet : sommes détournées, frais bancaires, coût de la cellule de crise, perte d’exploitation si la trésorerie a été asséchée. Parallèlement, la société active ses assurances. La cyber couvre parfois la fraude aux faux ordres, mais souvent avec un sous-plafond de quelques dizaines de milliers d’euros et une exclusion en cas de manquement grave aux procédures internes. La responsabilité civile des dirigeants peut être sollicitée si un associé reproche au président d’avoir laissé valider des virements sans contrôle. La perte d’exploitation peut prendre le relais si l’assèchement a stoppé l’activité. Chaque contrat doit être relu avec l’avocat : délai de déclaration, obligation de plainte préalable, exclusion pour faute intentionnelle, plafond par sinistre et par année. La prévention durable est le troisième pilier et les juges la regardent pour apprécier la faute de la victime. Le dirigeant fait adopter une procédure écrite : tout virement au-dessus de 10 000 euros exige une double validation par deux personnes différentes, tout nouveau bénéficiaire est validé par appel au numéro connu et non à celui figurant dans le courriel, tout ordre urgent et confidentiel est interdit par principe et remonté immédiatement au dirigeant par un canal indépendant, les habilitations du boîtier sont revues chaque trimestre, les règles de changement de coordonnées sont affichées en comptabilité. Une formation annuelle avec un faux test d’hameçonnage, tracée par émargement, prouve la diligence. Les petites entreprises, souvent les plus touchées car une seule personne concentre les paiements, peuvent externaliser une validation : l’expert-comptable reçoit en copie tout ordre inhabituel. Le dirigeant vérifie aussi ses contrats bancaires : plafonds quotidiens bas et cohérents avec l’activité, alertes SMS pour tout virement international, interdiction des virements vers certaines zones sauf validation renforcée, liste blanche de bénéficiaires. Ces réglages, gratuits, transforment le débat judiciaire : ils montrent que l’entreprise avait organisé la vigilance et que seule une anomalie massive aurait dû alerter la banque. Enfin, la société documente chaque année ses habitudes : montant maximal habituel, nombre mensuel de virements internationaux, zones servies, bénéficiaires récurrents. Le jour où survient une fraude, elle produit ces tableaux comme l’a fait la société gagnante de 2024, au lieu de les reconstituer dans l’urgence. La cybermalveillance, l’Agence nationale de la sécurité des systèmes d’information et la Fédération bancaire française publient des guides gratuits que l’entreprise joint à sa procédure interne pour montrer qu’elle suit l’état de l’art. Une entreprise qui a porté plainte vite, contesté par écrit, assuré ses arrières et corrigé ses procédures obtient plus souvent un accord transactionnel avec sa banque qu’une entreprise qui a attendu six mois en espérant un retour spontané des fonds.
Conclusion
La fraude au président n’est pas une fatalité bancaire : c’est une escroquerie punie de cinq ans d’emprisonnement et de 375 000 euros d’amende, aggravée en bande organisée, dont le produit est blanchi à grande vitesse. L’entreprise victime doit agir en trois cercles concentriques : dans les heures, rappeler les fonds, bloquer les instruments, porter plainte et figer les preuves ; dans les semaines, contester par écrit chaque virement, exiger de la banque la preuve de sa vigilance et saisir le médiateur puis le tribunal en s’appuyant sur les anomalies apparentes ; dans les mois, faire juger les auteurs, activer les assurances et reconstruire des contrôles qui empêcheront la récidive. Les deux arrêts de 2024 et de 2025 enseignent la même leçon : la banque qui exécute sans broncher des ordres massifs, répétés, vers des inconnus à l’étranger en pleine période de fêtes, sans appeler le dirigeant seul habilité, paie ; celle qui exécute des ordres sous plafonds, couverts et vers une banque européenne agréée, sans écart manifeste, ne paie pas. Aux dirigeants et aux comptables de créer cet écart manifeste par des procédures écrites et des plafonds bas, pour que toute fraude saute aux yeux du banquier et du juge. Au premier doute devant un ordre urgent et secret, la règle est simple : ne pas payer, rappeler le dirigeant sur son numéro connu, et écrire à la banque avant d’exécuter.