Faux ordre de virement en entreprise : que faire, et qui va supporter la perte ?

Un virement est parti. Il portait la signature apparente du dirigeant, ou le nouveau RIB d'un fournisseur habituel. Personne ne s'en aperçoit avant plusieurs jours, parfois plusieurs semaines. La somme est à l'étranger.

Passé le premier réflexe (appeler la banque), la question devient juridique et elle est brutale : qui supporte la perte ? La société, la banque qui a exécuté, le salarié qui a saisi l'ordre, l'assureur ? La réponse a nettement bougé ces deux dernières années, et pas dans le sens que l'on croit.

Cet article expose ce qu'il faut faire dans les premières heures, puis ce que la jurisprudence la plus récente permet réellement d'obtenir.

Les cinq formes que prend la fraude

On parle de FOVI, pour faux ordre de virement. Derrière l'acronyme, cinq scénarios que l'on retrouve dans presque tous les dossiers.

La fraude au président

Un courriel, parfois un appel, émanant apparemment du dirigeant, demande à un collaborateur du service comptable un virement urgent et confidentiel : une acquisition en cours, un contrôle fiscal, une opération à l'étranger. L'urgence et le secret sont les deux ressorts : ils interdisent la vérification et isolent la personne ciblée.

La fraude au changement de RIB

C'est aujourd'hui la plus fréquente et la plus difficile à détecter. Un fournisseur habituel écrit qu'il a changé de banque et transmet de nouvelles coordonnées. Tout est exact (la facture, le montant, l'échéance, le nom du commercial) sauf l'IBAN. Elle suppose presque toujours une intrusion préalable dans une messagerie, celle du fournisseur ou la vôtre, l'escroc s'insérant dans un fil de discussion réel.

La fraude au faux technicien bancaire

Un interlocuteur se présentant comme la banque annonce un test de sécurité, une migration, la détection d'une fraude. Il demande la validation d'un virement de contrôle, ou la communication de codes. C'est une variante professionnelle de l'arnaque au faux conseiller bancaire.

La fraude au faux avocat ou au faux commissaire aux comptes

Une opération confidentielle, un cabinet mandaté, un ton juridique irréprochable. Cette variante cible les entreprises en cours de cession ou de restructuration, où les mouvements inhabituels ne surprennent personne.

La fraude au faux salarié

Un courriel demande au service paie de modifier les coordonnées bancaires d'un salarié avant le prochain versement. Les montants sont plus faibles, mais le procédé se répète et passe longtemps inaperçu.

Le clonage vocal a changé l'échelle du risque. La consigne classique (« rappelez toujours le dirigeant pour vérifier ») supposait qu'entendre une voix connue valait preuve. Ce n'est plus le cas : quelques secondes d'enregistrement public suffisent à produire une imitation convaincante. La vérification doit désormais porter sur le canal, non sur la voix : rappeler un numéro connu et enregistré au préalable, jamais celui qui figure dans le message reçu.

Les quarante-huit premières heures

Tout ce qui peut être récupéré l'est dans ce laps de temps. Ensuite, les fonds sont éclatés et sortis.

1. Appelez la banque immédiatement et demandez par écrit un rappel des fonds, en visant chaque virement par sa date, son montant et son bénéficiaire. Un virement déjà exécuté peut parfois être rappelé si le compte destinataire n'a pas été vidé. Confirmez par courriel dans l'heure : cet écrit datera votre diligence.

   
   

2. Suspendez tous les virements en attente et faites bloquer les échéances programmées vers le même bénéficiaire.

   
   

3. Gelez les preuves avant de nettoyer. Ne supprimez rien, ne réinitialisez pas la messagerie avant d'avoir fait extraire les en-têtes complets des courriels, les journaux de connexion et les règles de redirection éventuellement créées par l'intrus. C'est ce matériel qui établira l'intrusion, et c'est celui que l'on détruit en voulant bien faire.

   
   

4. Déposez plainte sans attendre l'issue du rappel bancaire. Le dépôt conditionne souvent la mobilisation de l'assurance, et il ouvre la voie à des saisies pénales sur les comptes destinataires. D'autres voies que le commissariat existent.

   
   

5. Déclarez le sinistre à votre assureur dans le délai contractuel, souvent très bref — parfois cinq jours ouvrés. Une déclaration tardive est un motif classique de refus de garantie.

   
   

6. Examinez l'obligation de notification à la CNIL. Lorsque la fraude repose sur l'intrusion dans une messagerie contenant des données personnelles, l'accès illicite constitue en lui-même un délit (article 323-1 du code pénal) et peut caractériser une violation de données à notifier dans les soixante-douze heures. Cette question s'apprécie au cas par cas, mais elle doit être posée dès le premier jour.

   
   

Qui peut supporter la perte ?

C'est le cœur du dossier, et chacune des quatre pistes obéit à une logique différente.

La banque : un équilibre qui s'est déplacé

Le point de départ est le devoir de non-immixtion : la banque exécute les ordres réguliers de son client et n'a pas à s'interroger sur l'opportunité économique des opérations. Ce principe est le socle, et il n'a pas été abandonné.

Il connaît une exception : le devoir de vigilance, qui impose de relever les anomalies apparentes. Toute la question est de savoir ce qu'est une anomalie apparente, et deux séries de décisions récentes en dessinent les contours avec précision.

Le cas où la banque est condamnée. Dans un arrêt du 2 octobre 2024 (chambre commerciale, pourvoi n° 23-13.282), la Cour de cassation a confirmé la condamnation d'une banque dans un dossier de fraude au président : sept virements, plus de 2,1 millions d'euros, vers Hong Kong, en onze jours, ordonnés par la comptable d'une société sur la foi de courriels usurpant l'identité du président. La banque s'était bien inquiétée mais elle avait interrogé la comptable, laquelle ne disposait que d'une délégation de saisie, non du pouvoir de valider. La Cour retient que le banquier devait vérifier auprès du dirigeant social, seule personne ayant le pouvoir de valider les ordres.

Il faut noter la seconde moitié de la décision : la responsabilité a été partagée, la société ayant elle-même contribué au dommage en laissant ses dispositifs de sécurité personnels être utilisés par la comptable.

Le cas où la banque ne l'est pas. Par deux arrêts du 25 mars 2026 (chambre commerciale, pourvois n° 25-10.353 et n° 24-18.093), la Cour de cassation a rappelé une interprétation stricte de l'anomalie apparente : celle-ci doit être aisément décelable par un professionnel normalement diligent. Ni le montant élevé, ni le caractère inhabituel de l'opération, ni la destination étrangère, ni la multiplication des virements ne constituent en eux-mêmes une anomalie. Dans une autre affaire, la banque a été mise hors de cause parce que les montants respectaient les plafonds convenus, que le solde du compte les couvrait et que le bénéficiaire était établi auprès d'un établissement agréé dans l'Union européenne.

Ce qu'il faut en retenir. On ne gagne pas contre une banque parce que la somme était grosse et le pays lointain. On gagne lorsqu'il existe une anomalie formelle dans l'ordre lui-même (incohérence entre le nom du bénéficiaire et l'IBAN, signature qui ne correspond pas, ordre émanant d'une personne sans pouvoir), ou lorsque la banque, ayant conçu un doute, a procédé à une vérification défectueuse, auprès de la mauvaise personne ou par le canal compromis. Le dossier se construit donc sur les pièces bancaires, pas sur l'indignation.

Le salarié : une quasi-immunité que beaucoup de dirigeants ignorent

C'est la question qui vient toujours, et la réponse surprend : non, vous ne pourrez pas faire payer le comptable.

La responsabilité pécuniaire d'un salarié envers son employeur ne peut être engagée qu'en cas de faute lourde, laquelle suppose une intention de nuire à l'employeur ou à l'entreprise. La négligence, même caractérisée, même coûteuse, ne suffit pas. La Cour de cassation l'a réaffirmé récemment (chambre sociale, 24 juin 2026, pourvoi n° 24-19.577), en refusant une demande d'indemnisation alors même que le manquement du salarié était établi et le préjudice reconnu.

Une clause du contrat de travail prévoyant l'inverse est inapplicable. Le salarié trompé par une fraude professionnelle n'a, par hypothèse, aucune intention de nuire : il a été manipulé.

La sanction disciplinaire est une question distincte, qui obéit à ses propres règles et suppose de démontrer une faute au regard des procédures internes existantes. Encore faut-il que ces procédures aient existé et aient été portées à la connaissance du salarié. En pratique, l'absence de procédure écrite se retourne contre l'employeur sur les deux terrains.

L'assurance

Beaucoup de contrats multirisques excluent la fraude au virement, au motif que le virement a été volontairement émis : il n'y a ni vol ni détournement au sens classique. La couverture se trouve dans les garanties spécifiques (fraude, détournement, ou volet cyber) dont les plafonds sont souvent modestes au regard des montants en jeu.

Trois points de vigilance : le délai de déclaration, très court ; les exclusions tenant au non-respect des procédures internes que l'entreprise a elle-même déclarées à l'assureur ; et la franchise, fréquemment élevée. Lisez le contrat avant de conclure qu'il ne couvre rien et faites-le lire avant de déclarer.

L'auteur de la fraude

La qualification principale est l'escroquerie, punie de cinq ans d'emprisonnement et 375 000 € d'amende par l'article 313-1 du code pénal. L'article 313-2 porte ces peines à dix ans et un million d'euros lorsque les faits sont commis en bande organisée, ce qui est la configuration ordinaire de ces réseaux.

S'y ajoutent le plus souvent l'usurpation d'identité, l'accès frauduleux à un système de traitement automatisé de données, le faux et l'usage de faux, et le blanchiment pour les comptes de transit.

La société victime a tout intérêt à se constituer partie civile : c'est la seule voie qui donne accès au dossier, permet de demander des actes et ouvre la possibilité d'être désintéressé sur les avoirs saisis. Si une condamnation intervient sans être suivie de paiement, voyez notre article sur le recouvrement des dommages et intérêts.

En revanche (et c'est une précision utile) la Commission d'indemnisation des victimes d'infractions n'est pas une voie réaliste ici : le régime applicable aux escroqueries est plafonné à quelques milliers d'euros et subordonné à des conditions de ressources conçues pour des personnes physiques modestes.

Le dirigeant est-il exposé personnellement ?

La question se pose lorsque la perte est importante et que la société compte des associés minoritaires ou un actionnaire extérieur.

Le dirigeant peut voir sa responsabilité recherchée envers la société pour faute de gestion s'il apparaît qu'aucune procédure de contrôle n'existait, qu'aucune alerte antérieure n'avait été traitée, ou que des pouvoirs bancaires avaient été délégués sans encadrement. La difficulté n'est pas d'avoir été trompé (cela n'est pas fautif) mais de n'avoir rien mis en place alors que le risque était documenté et notoire.

Symétriquement, un dirigeant qui a formalisé une procédure, formé ses équipes et conservé la trace de ces diligences se trouve dans une position très différente, y compris face à son assureur. Sur le principe de la responsabilité du chef d'entreprise à raison des actes commis dans son entreprise, voyez notre article sur la responsabilité pénale du dirigeant du fait de ses salariés.

Les pièces qui font gagner un dossier contre la banque

Pièce	Ce qu'elle démontre
Convention de compte et conditions générales	Les plafonds convenus, les modalités de validation, les engagements de vigilance souscrits
Délégations de pouvoirs bancaires et fiches de signature	Qui pouvait saisir, qui pouvait valider : le point décisif de l'arrêt de 2024
Journal des connexions à la banque en ligne	L'auteur réel de la saisie et de la validation, l'horodatage, l'adresse utilisée
Ordres de virement eux-mêmes	L'existence ou non d'une anomalie formelle : nom du bénéficiaire, IBAN, libellé, signature
Échanges avec le chargé d'affaires	Si la banque a douté, qui elle a appelé et par quel canal
En-têtes complets des courriels frauduleux	L'intrusion, le domaine usurpé, le point d'entrée
Historique des virements des douze mois précédents	Le caractère habituel ou non de l'opération au regard du fonctionnement du compte

La demande de communication de ces éléments doit être formulée tôt et par écrit. Les journaux de connexion, en particulier, ne sont conservés que pendant une durée limitée.

La procédure qui tient réellement

Une procédure de prévention n'a de valeur que si elle est écrite, connue et opposable. Les points qui reviennent systématiquement dans les dossiers gagnés comme perdus :

• Aucun changement de coordonnées bancaires ne se traite par courriel. Rappel obligatoire sur le numéro figurant au contrat d'origine, jamais sur celui du message reçu, et validation par une seconde personne.

  
  

• Double validation au-delà d'un seuil, par deux personnes distinctes, sur deux canaux distincts.

  
  

• Le secret et l'urgence sont des signaux d'alerte, pas des consignes. Il faut le dire explicitement aux équipes : aucune instruction interne ne peut interdire de vérifier.

  
  

• Séparer la saisie et la validation, et ne jamais partager un dispositif d'authentification personnel. C'est ce partage qui a fondé le partage de responsabilité en 2024.

  
  

• Authentification à deux facteurs sur les messageries, et surveillance des noms de domaine proches du vôtre.

  
  

• Une trace écrite de la formation dispensée, datée et signée. Elle sert à l'assureur, au juge, et à la discussion disciplinaire.

  
  

Questions fréquentes

La banque doit-elle me rembourser puisque je n'ai pas voulu ce virement ?

Non, et c'est le malentendu central. Le régime protecteur du remboursement vise les opérations non autorisées. Ici, l'ordre a été régulièrement émis par une personne habilitée, sous l'effet d'une manipulation : l'opération est autorisée. La responsabilité de la banque ne peut être recherchée que sur le terrain du devoir de vigilance. Le raisonnement est proche de celui exposé dans notre article sur le virement validé après manipulation.

Existe-t-il un délai pour agir contre la banque ?

L'action en responsabilité contre l'établissement se prescrit par cinq ans. Mais le délai utile est bien plus court en pratique : les preuves techniques disparaissent, et l'inaction prolongée est systématiquement opposée pour discuter le lien de causalité. Sur les délais applicables aux contestations d'opérations, voyez notre article dédié aux délais de contestation d'une opération frauduleuse.

Quel tribunal est compétent ?

Cela dépend de la qualité des parties et du fondement retenu. Nous détaillons cette question dans notre article sur le tribunal à saisir pour un litige avec sa banque.

Le fournisseur dont la messagerie a été piratée me doit-il quelque chose ?

La question est réelle et rarement posée. Si l'intrusion a eu lieu chez lui et que sa négligence est établie, sa responsabilité peut être discutée. Reste la question, distincte et souvent conflictuelle, de savoir si la dette a été valablement éteinte par un paiement fait entre les mains d'un tiers : le fournisseur réclamera généralement un second paiement.

Puis-je licencier le salarié qui a exécuté le virement ?

C'est possible mais délicat, et ce n'est pas la même question que celle de l'indemnisation, qui elle est fermée sauf faute lourde. Le licenciement suppose de caractériser un manquement au regard de consignes existantes et connues. En l'absence de procédure écrite, la sanction est fragile.

Mon assurance refuse en invoquant l'absence de procédure interne. Est-ce fondé ?

Cela dépend des déclarations faites lors de la souscription et de la rédaction exacte de l'exclusion. Les exclusions doivent être formelles et limitées, et l'assureur qui invoque un manquement doit le prouver. Ce refus se conteste plus souvent qu'on ne le croit.

Votre entreprise victime d'un faux ordre de virement, à Toulouse ou partout en France

Dans ce contentieux, l'issue se décide sur des éléments matériels que l'on peut encore obtenir dans les premières semaines et plus du tout ensuite : les délégations de pouvoirs bancaires, les journaux de connexion, la trace exacte de la vérification effectuée (ou non) par la banque avant l'exécution. C'est cette matière qui permet de démontrer soit une anomalie apparente dans l'ordre lui-même, soit une vérification opérée auprès d'une personne dépourvue du pouvoir de valider, seuls fondements sur lesquels la jurisprudence récente accepte de condamner un établissement.

Si les virements sont partis depuis quelques heures, la priorité est le rappel des fonds et la préservation des preuves techniques avant toute remise en état des messageries. Si plusieurs semaines ont passé, la priorité change : il faut réclamer par écrit les pièces bancaires avant qu'elles ne soient purgées, et arrêter une stratégie entre l'action civile contre la banque, la voie pénale et la mobilisation de l'assurance, qui ne se mènent pas dans le même temps ni devant les mêmes interlocuteurs.

Maître Joris Morer, avocat au barreau de Toulouse, accompagne les entreprises victimes de faux ordres de virement : sécurisation immédiate des preuves et demandes conservatoires, mise en demeure de la banque et demande de communication des pièces d'exécution, analyse du partage des pouvoirs bancaires et des délégations, action en responsabilité contre l'établissement sur le fondement du devoir de vigilance, dépôt de plainte et constitution de partie civile de la société, suivi de l'enquête et demandes de saisies pénales sur les comptes destinataires, discussion des refus de garantie opposés par l'assureur, conseil sur le volet social lorsqu'un salarié est mis en cause, et audit des procédures internes après l'incident. Le cabinet intervient également en défense lorsqu'un dirigeant voit sa propre responsabilité recherchée. Il agit devant les juridictions de la Haute-Garonne et, plus largement, partout en France.

Que le virement soit parti ce matin, que votre banque ait déjà refusé toute responsabilité, que votre assureur oppose une exclusion ou qu'un fournisseur vous réclame un second paiement, un premier échange permet de déterminer ce qui peut encore être récupéré, quelles pièces réclamer immédiatement et sur quel terrain engager l'action. Munissez-vous des ordres de virement, de la convention de compte, des délégations bancaires et des courriels frauduleux avec leurs en-têtes complets.

Pour joindre le cabinet : Cabinet Morer, 22 rue Sainte-Anne, 31000 Toulouse — 05 61 55 45 08 — urgences 24h/24 : 06 23 36 88 03 — cabinet@morer-avocat.com. Si le virement est parti dans les dernières quarante-huit heures, appelez immédiatement : c'est la seule fenêtre où un rappel des fonds a des chances d'aboutir.

Lorsque la fraude repose sur l'intrusion dans une messagerie, l'entreprise est aussi confrontée à une violation de données : voir notre article sur le vol de données personnelles.

Pour empêcher la dissipation des fonds pendant la procédure, voyez notre article puis-je faire bloquer les biens de l'auteur avant le procès.

Le cabinet accompagne les victimes de fraude du dépôt de plainte jusqu'au remboursement : voyez notre page avocat escroquerie et arnaque à Toulouse.

Pour aller plus loin, retrouvez l'ensemble de nos articles dans les rubriques Droit pénal des affaires et Victimes et infractions.