Faux ordre de virement en entreprise : que faire, et qui va supporter la perte ?

Un virement est parti. Il portait la signature apparente du dirigeant, ou le nouveau RIB d'un fournisseur habituel. Personne ne s'en aperçoit avant plusieurs jours, parfois plusieurs semaines. La somme est à l'étranger.

Passé le premier réflexe (appeler la banque), la question devient juridique et elle est brutale : qui supporte la perte ? La société, la banque qui a exécuté, le salarié qui a saisi l'ordre, l'assureur ? La réponse a nettement bougé ces deux dernières années, et pas dans le sens que l'on croit.

Cet article expose ce qu'il faut faire dans les premières heures, puis ce que la jurisprudence la plus récente permet réellement d'obtenir.

Les cinq formes que prend la fraude

On parle de FOVI, pour faux ordre de virement. Derrière l'acronyme, cinq scénarios que l'on retrouve dans presque tous les dossiers.

La fraude au président

Un courriel, parfois un appel, émanant apparemment du dirigeant, demande à un collaborateur du service comptable un virement urgent et confidentiel : une acquisition en cours, un contrôle fiscal, une opération à l'étranger. L'urgence et le secret sont les deux ressorts : ils interdisent la vérification et isolent la personne ciblée.

La fraude au changement de RIB

C'est aujourd'hui la plus fréquente et la plus difficile à détecter. Un fournisseur habituel écrit qu'il a changé de banque et transmet de nouvelles coordonnées. Tout est exact (la facture, le montant, l'échéance, le nom du commercial) sauf l'IBAN. Elle suppose presque toujours une intrusion préalable dans une messagerie, celle du fournisseur ou la vôtre, l'escroc s'insérant dans un fil de discussion réel.

Lorsque le faux RIB a transité par la banque elle-même, la règle de l'identifiant unique ne la protège plus nécessairement. La Cour de cassation a jugé le 4 mars 2026 (chambre commerciale, pourvoi n° 25-11.959, publié au bulletin), à propos d'acquéreurs immobiliers dont la banque avait elle-même rédigé l'ordre de virement à partir d'un faux relevé d'identité bancaire comportant des incohérences apparentes et manifestes, que l'exclusion de la responsabilité de droit commun ne vaut que si le prestataire s'est borné à exécuter l'ordre ; ayant rédigé l'ordre, la banque répondait de son manquement au devoir de vigilance. Pour une entreprise, le point à vérifier est donc le rôle exact joué par la banque dans la saisie ou la préparation de l'ordre, et l'aspect du faux RIB lui-même.

La fraude au faux technicien bancaire

Un interlocuteur se présentant comme la banque annonce un test de sécurité, une migration, la détection d'une fraude. Il demande la validation d'un virement de contrôle, ou la communication de codes. C'est une variante professionnelle de l'arnaque au faux conseiller bancaire.

La fraude au faux avocat ou au faux commissaire aux comptes

Une opération confidentielle, un cabinet mandaté, un ton juridique irréprochable. Cette variante cible les entreprises en cours de cession ou de restructuration, où les mouvements inhabituels ne surprennent personne.

La fraude au faux salarié

Un courriel demande au service paie de modifier les coordonnées bancaires d'un salarié avant le prochain versement. Les montants sont plus faibles, mais le procédé se répète et passe longtemps inaperçu.

Le clonage vocal a changé l'échelle du risque. La consigne classique (« rappelez toujours le dirigeant pour vérifier ») supposait qu'entendre une voix connue valait preuve. Ce n'est plus le cas : quelques secondes d'enregistrement public suffisent à produire une imitation convaincante. La vérification doit désormais porter sur le canal, non sur la voix : rappeler un numéro connu et enregistré au préalable, jamais celui qui figure dans le message reçu.

Les quarante-huit premières heures

Tout ce qui peut être récupéré l'est dans ce laps de temps. Ensuite, les fonds sont éclatés et sortis.

1. Appelez la banque immédiatement et demandez par écrit un rappel des fonds, en visant chaque virement par sa date, son montant et son bénéficiaire. Un virement déjà exécuté peut parfois être rappelé si le compte destinataire n'a pas été vidé. Confirmez par courriel dans l'heure : cet écrit datera votre diligence.

   
   

2. Suspendez tous les virements en attente et faites bloquer les échéances programmées vers le même bénéficiaire.

   
   

3. Gelez les preuves avant de nettoyer. Ne supprimez rien, ne réinitialisez pas la messagerie avant d'avoir fait extraire les en-têtes complets des courriels, les journaux de connexion et les règles de redirection éventuellement créées par l'intrus. C'est ce matériel qui établira l'intrusion, et c'est celui que l'on détruit en voulant bien faire.

   
   

4. Déposez plainte sans attendre l'issue du rappel bancaire. Le dépôt conditionne souvent la mobilisation de l'assurance, et il ouvre la voie à des saisies pénales sur les comptes destinataires. D'autres voies que le commissariat existent.

   
   

5. Déclarez le sinistre à votre assureur dans le délai contractuel, souvent très bref — parfois cinq jours ouvrés. Une déclaration tardive est un motif classique de refus de garantie.

   
   

6. Examinez l'obligation de notification à la CNIL. Lorsque la fraude repose sur l'intrusion dans une messagerie contenant des données personnelles, l'accès illicite constitue en lui-même un délit (article 323-1 du code pénal) et peut caractériser une violation de données à notifier dans les soixante-douze heures. Cette question s'apprécie au cas par cas, mais elle doit être posée dès le premier jour.

   
   

Qui peut supporter la perte ?

C'est le cœur du dossier, et chacune des quatre pistes obéit à une logique différente.

La banque : un équilibre qui s'est déplacé

Le point de départ est le devoir de non-immixtion : la banque exécute les ordres réguliers de son client et n'a pas à s'interroger sur l'opportunité économique des opérations. Ce principe est le socle, et il n'a pas été abandonné.

Il connaît une exception : le devoir de vigilance, qui impose de relever les anomalies apparentes. Toute la question est de savoir ce qu'est une anomalie apparente, et deux séries de décisions récentes en dessinent les contours avec précision.

Le cas où la banque est condamnée. Dans un arrêt du 2 octobre 2024 (chambre commerciale, pourvoi n° 23-13.282), la Cour de cassation a confirmé la condamnation d'une banque dans un dossier de fraude au président : sept virements, plus de 2,1 millions d'euros, vers Hong Kong, en onze jours, ordonnés par la comptable d'une société sur la foi de courriels usurpant l'identité du président. La banque s'était bien inquiétée mais elle avait interrogé la comptable, laquelle ne disposait que d'une délégation de saisie, non du pouvoir de valider. La Cour retient que le banquier devait vérifier auprès du dirigeant social, seule personne ayant le pouvoir de valider les ordres.

Il faut noter la seconde moitié de la décision : la responsabilité a été partagée, la société ayant elle-même contribué au dommage en laissant ses dispositifs de sécurité personnels être utilisés par la comptable.

Le cas où la banque ne l'est pas. Par deux arrêts du 25 mars 2026 (chambre commerciale, pourvois n° 25-10.353 et n° 24-18.093), la Cour de cassation a rappelé une interprétation stricte de l'anomalie apparente : celle-ci doit être aisément décelable par un professionnel normalement diligent. Ni le montant élevé, ni le caractère inhabituel de l'opération, ni la destination étrangère, ni la multiplication des virements ne constituent en eux-mêmes une anomalie. Dans une autre affaire, la banque a été mise hors de cause parce que les montants respectaient les plafonds convenus, que le solde du compte les couvrait et que le bénéficiaire était établi auprès d'un établissement agréé dans l'Union européenne.

Ce qu'il faut en retenir. On ne gagne pas contre une banque parce que la somme était grosse et le pays lointain. On gagne lorsqu'il existe une anomalie formelle dans l'ordre lui-même (incohérence entre le nom du bénéficiaire et l'IBAN, signature qui ne correspond pas, ordre émanant d'une personne sans pouvoir), ou lorsque la banque, ayant conçu un doute, a procédé à une vérification défectueuse, auprès de la mauvaise personne ou par le canal compromis. Le dossier se construit donc sur les pièces bancaires, pas sur l'indignation.

Le cas où la banque doit rembourser. Un arrêt du 8 octobre 2026 (chambre commerciale, pourvoi n° 25-17.510, publié au bulletin) ouvre une troisième voie, plus favorable que le devoir de vigilance, parce qu'elle relève du régime des opérations non autorisées. Une société avait conclu avec sa banque, en 2017, un contrat de télétransmission sécurisée de ses ordres de virement, avec clé numérique personnelle, et avait cessé depuis cette date d'envoyer des ordres par télécopie. En décembre 2019, son assistante administrative, contactée par une personne se présentant comme l'avocat de la société, a transmis à la banque par télécopie un ordre de virement vers une banque étrangère, revêtu d'une signature imitant celle du président, puis l'a confirmé par courriel. La banque a exécuté. La cour d'appel avait admis que l'opération n'était pas autorisée, mais avait rejeté la demande de remboursement en retenant une négligence grave de la société dans l'utilisation de l'instrument de paiement.

La Cour de cassation casse cet arrêt. Elle juge qu'en cas d'opération de paiement non autorisée, la banque ne peut s'exonérer que si l'utilisateur a manqué par négligence grave à ses obligations d'utiliser l'instrument de paiement qui lui a été délivré conformément aux conditions convenues, ou de préserver la sécurité de ses données de sécurité personnalisées. Or la télécopie n'était plus l'instrument de paiement convenu entre les parties : la banque, qui avait accepté d'exécuter un ordre reçu par ce moyen, ne pouvait pas reprocher à sa cliente une négligence grave. L'affaire est renvoyée devant la cour d'appel, mais le principe est acquis : lorsque l'ordre frauduleux a emprunté un canal que la convention de compte n'autorisait pas ou plus, la société se trouve sur le terrain du remboursement de l'opération non autorisée, et non sur celui, bien plus incertain, de l'anomalie apparente. La première pièce à relire est donc la convention de compte et ses avenants : quels instruments de paiement y sont prévus, et l'ordre litigieux en relevait-il ?

Dans les termes mêmes de l'arrêt, rendu au visa des articles L. 133-16 et L. 133-19, IV du code monétaire et financier lus à la lumière de la directive du 25 novembre 2015 sur les services de paiement, la banque, « qui avait accepté d'exécuter une opération de paiement au moyen d'un tel instrument, ne pouvait pas reprocher à la société une négligence grave ». Le point mérite d'être souligné parce que la cour d'appel avait écarté l'article L. 133-19, IV, faute d'utilisation de la clé numérique du dispositif sécurisé, et retenu la négligence grave sur le seul article L. 133-16. La Cour de cassation lit les deux textes ensemble et n'admet la négligence grave que dans l'usage de l'instrument de paiement délivré, conformément aux conditions convenues, ou dans la garde des données de sécurité personnalisées. Hors de ce cadre, il n'y a pas de négligence grave au sens de la loi, quelle qu'ait été l'imprudence du salarié trompé par le faux avocat.

Sur le même terrain des opérations non autorisées, la Cour de justice de l'Union européenne a jugé le 15 octobre 2026, dans l'affaire C-70/25, qu'un prestataire de services de paiement « ne peut pas refuser de rembourser immédiatement à un payeur le montant d'une opération de paiement non autorisée, au motif que ce payeur aurait rendu possible cette opération par une négligence grave » : la banque rembourse d'abord, et agit ensuite en restitution si elle entend prouver la négligence grave. L'arrêt a été rendu à propos d'un consommateur ; l'obligation de remboursement immédiat fait partie des règles auxquelles la convention de compte ne peut pas déroger, même pour une entreprise, mais celle-ci peut modifier la charge de la preuve, la répartition des pertes et le délai de contestation : les entreprises doivent donc lire leur convention.

Le salarié : une quasi-immunité que beaucoup de dirigeants ignorent

C'est la question qui vient toujours, et la réponse surprend : non, vous ne pourrez pas faire payer le comptable.

La responsabilité pécuniaire d'un salarié envers son employeur ne peut être engagée qu'en cas de faute lourde, laquelle suppose une intention de nuire à l'employeur ou à l'entreprise. La négligence, même caractérisée, même coûteuse, ne suffit pas. La Cour de cassation l'a réaffirmé récemment (chambre sociale, 24 juin 2026, pourvoi n° 24-19.577), en refusant une demande d'indemnisation alors même que le manquement du salarié était établi et le préjudice reconnu.

Une clause du contrat de travail prévoyant l'inverse est inapplicable. Le salarié trompé par une fraude professionnelle n'a, par hypothèse, aucune intention de nuire : il a été manipulé.

La sanction disciplinaire est une question distincte, qui obéit à ses propres règles et suppose de démontrer une faute au regard des procédures internes existantes. Encore faut-il que ces procédures aient existé et aient été portées à la connaissance du salarié. En pratique, l'absence de procédure écrite se retourne contre l'employeur sur les deux terrains.

L'assurance

Beaucoup de contrats multirisques excluent la fraude au virement, au motif que le virement a été volontairement émis : il n'y a ni vol ni détournement au sens classique. La couverture se trouve dans les garanties spécifiques (fraude, détournement, ou volet cyber) dont les plafonds sont souvent modestes au regard des montants en jeu.

Trois points de vigilance : le délai de déclaration, très court ; les exclusions tenant au non-respect des procédures internes que l'entreprise a elle-même déclarées à l'assureur ; et la franchise, fréquemment élevée. Lisez le contrat avant de conclure qu'il ne couvre rien et faites-le lire avant de déclarer.

L'auteur de la fraude

La qualification principale est l'escroquerie, punie de cinq ans d'emprisonnement et 375 000 € d'amende par l'article 313-1 du code pénal. L'article 313-2 porte ces peines à dix ans et un million d'euros lorsque les faits sont commis en bande organisée, ce qui est la configuration ordinaire de ces réseaux.

S'y ajoutent le plus souvent l'usurpation d'identité, l'accès frauduleux à un système de traitement automatisé de données, le faux et l'usage de faux, et le blanchiment pour les comptes de transit.

La société victime a tout intérêt à se constituer partie civile : c'est la seule voie qui donne accès au dossier, permet de demander des actes et ouvre la possibilité d'être désintéressé sur les avoirs saisis. Si une condamnation intervient sans être suivie de paiement, voyez notre article sur le recouvrement des dommages et intérêts.

En revanche (et c'est une précision utile) la Commission d'indemnisation des victimes d'infractions n'est pas une voie réaliste ici : le régime applicable aux escroqueries est plafonné à quelques milliers d'euros et subordonné à des conditions de ressources conçues pour des personnes physiques modestes.

Le dirigeant est-il exposé personnellement ?

La question se pose lorsque la perte est importante et que la société compte des associés minoritaires ou un actionnaire extérieur.

Le dirigeant peut voir sa responsabilité recherchée envers la société pour faute de gestion s'il apparaît qu'aucune procédure de contrôle n'existait, qu'aucune alerte antérieure n'avait été traitée, ou que des pouvoirs bancaires avaient été délégués sans encadrement. La difficulté n'est pas d'avoir été trompé (cela n'est pas fautif) mais de n'avoir rien mis en place alors que le risque était documenté et notoire.

Symétriquement, un dirigeant qui a formalisé une procédure, formé ses équipes et conservé la trace de ces diligences se trouve dans une position très différente, y compris face à son assureur. Sur le principe de la responsabilité du chef d'entreprise à raison des actes commis dans son entreprise, voyez notre article sur la responsabilité pénale du dirigeant du fait de ses salariés.

Les pièces qui font gagner un dossier contre la banque

Pièce	Ce qu'elle démontre
Convention de compte et conditions générales	Les plafonds convenus, les modalités de validation, les engagements de vigilance souscrits
Délégations de pouvoirs bancaires et fiches de signature	Qui pouvait saisir, qui pouvait valider : le point décisif de l'arrêt de 2024
Journal des connexions à la banque en ligne	L'auteur réel de la saisie et de la validation, l'horodatage, l'adresse utilisée
Ordres de virement eux-mêmes	L'existence ou non d'une anomalie formelle : nom du bénéficiaire, IBAN, libellé, signature
Échanges avec le chargé d'affaires	Si la banque a douté, qui elle a appelé et par quel canal
En-têtes complets des courriels frauduleux	L'intrusion, le domaine usurpé, le point d'entrée
Historique des virements des douze mois précédents	Le caractère habituel ou non de l'opération au regard du fonctionnement du compte

La demande de communication de ces éléments doit être formulée tôt et par écrit. Les journaux de connexion, en particulier, ne sont conservés que pendant une durée limitée.

La procédure qui tient réellement

Une procédure de prévention n'a de valeur que si elle est écrite, connue et opposable. Les points qui reviennent systématiquement dans les dossiers gagnés comme perdus :

• Aucun changement de coordonnées bancaires ne se traite par courriel. Rappel obligatoire sur le numéro figurant au contrat d'origine, jamais sur celui du message reçu, et validation par une seconde personne.

  
  

• Double validation au-delà d'un seuil, par deux personnes distinctes, sur deux canaux distincts.

  
  

• Le secret et l'urgence sont des signaux d'alerte, pas des consignes. Il faut le dire explicitement aux équipes : aucune instruction interne ne peut interdire de vérifier.

  
  

• Séparer la saisie et la validation, et ne jamais partager un dispositif d'authentification personnel. C'est ce partage qui a fondé le partage de responsabilité en 2024.

  
  

• Authentification à deux facteurs sur les messageries, et surveillance des noms de domaine proches du vôtre.

  
  

• Une trace écrite de la formation dispensée, datée et signée. Elle sert à l'assureur, au juge, et à la discussion disciplinaire.

  
  

Questions fréquentes

La banque doit-elle me rembourser puisque je n'ai pas voulu ce virement ?

Non, et c'est le malentendu central. Le régime protecteur du remboursement vise les opérations non autorisées. Ici, l'ordre a été régulièrement émis par une personne habilitée, sous l'effet d'une manipulation : l'opération est autorisée. La responsabilité de la banque ne peut être recherchée que sur le terrain du devoir de vigilance. Le raisonnement est proche de celui exposé dans notre article sur le virement validé après manipulation.

Il en va autrement lorsque l'ordre porte une signature imitée et a été transmis par un moyen que la convention de compte ne prévoyait plus, par exemple une télécopie alors que la société était passée à un système sécurisé de télétransmission : l'opération n'est pas autorisée, la banque doit la rembourser et elle ne peut pas opposer une négligence grave à sa cliente, comme l'a jugé la Cour de cassation le 8 octobre 2026.

Existe-t-il un délai pour agir contre la banque ?

L'action en responsabilité contre l'établissement se prescrit par cinq ans. Mais le délai utile est bien plus court en pratique : les preuves techniques disparaissent, et l'inaction prolongée est systématiquement opposée pour discuter le lien de causalité. Sur les délais applicables aux contestations d'opérations, voyez notre article dédié aux délais de contestation d'une opération frauduleuse.

Quel tribunal est compétent ?

Cela dépend de la qualité des parties et du fondement retenu. Nous détaillons cette question dans notre article sur le tribunal à saisir pour un litige avec sa banque.

Le fournisseur dont la messagerie a été piratée me doit-il quelque chose ?

La question est réelle et rarement posée. Si l'intrusion a eu lieu chez lui et que sa négligence est établie, sa responsabilité peut être discutée. Reste la question, distincte et souvent conflictuelle, de savoir si la dette a été valablement éteinte par un paiement fait entre les mains d'un tiers : le fournisseur réclamera généralement un second paiement.

Puis-je licencier le salarié qui a exécuté le virement ?

C'est possible mais délicat, et ce n'est pas la même question que celle de l'indemnisation, qui elle est fermée sauf faute lourde. Le licenciement suppose de caractériser un manquement au regard de consignes existantes et connues. En l'absence de procédure écrite, la sanction est fragile.

Mon assurance refuse en invoquant l'absence de procédure interne. Est-ce fondé ?

Cela dépend des déclarations faites lors de la souscription et de la rédaction exacte de l'exclusion. Les exclusions doivent être formelles et limitées, et l'assureur qui invoque un manquement doit le prouver. Ce refus se conteste plus souvent qu'on ne le croit.

Votre entreprise victime d'un faux ordre de virement, à Toulouse ou partout en France

Dans ce contentieux, l'issue se décide sur des éléments matériels que l'on peut encore obtenir dans les premières semaines et plus du tout ensuite : les délégations de pouvoirs bancaires, les journaux de connexion, la trace exacte de la vérification effectuée (ou non) par la banque avant l'exécution. C'est cette matière qui permet de démontrer soit une anomalie apparente dans l'ordre lui-même, soit une vérification opérée auprès d'une personne dépourvue du pouvoir de valider, ou encore un ordre transmis par un canal que la convention de compte ne prévoyait plus, fondements sur lesquels la jurisprudence récente accepte de condamner un établissement.

Si les virements sont partis depuis quelques heures, la priorité est le rappel des fonds et la préservation des preuves techniques avant toute remise en état des messageries. Si plusieurs semaines ont passé, la priorité change : il faut réclamer par écrit les pièces bancaires avant qu'elles ne soient purgées, et arrêter une stratégie entre l'action civile contre la banque, la voie pénale et la mobilisation de l'assurance, qui ne se mènent pas dans le même temps ni devant les mêmes interlocuteurs.

Maître Joris Morer, avocat au barreau de Toulouse, accompagne les entreprises victimes de faux ordres de virement : sécurisation immédiate des preuves et demandes conservatoires, mise en demeure de la banque et demande de communication des pièces d'exécution, analyse du partage des pouvoirs bancaires et des délégations, action en responsabilité contre l'établissement sur le fondement du devoir de vigilance, dépôt de plainte et constitution de partie civile de la société, suivi de l'enquête et demandes de saisies pénales sur les comptes destinataires, discussion des refus de garantie opposés par l'assureur, conseil sur le volet social lorsqu'un salarié est mis en cause, et audit des procédures internes après l'incident. Le cabinet intervient également en défense lorsqu'un dirigeant voit sa propre responsabilité recherchée. Il agit devant les juridictions de la Haute-Garonne et, plus largement, partout en France.

Que le virement soit parti ce matin, que votre banque ait déjà refusé toute responsabilité, que votre assureur oppose une exclusion ou qu'un fournisseur vous réclame un second paiement, un premier échange permet de déterminer ce qui peut encore être récupéré, quelles pièces réclamer immédiatement et sur quel terrain engager l'action. Munissez-vous des ordres de virement, de la convention de compte, des délégations bancaires et des courriels frauduleux avec leurs en-têtes complets.

La Dépêche du Midi a consacré un décryptage à l'explosion des arnaques bancaires et à la protection que la loi offre réellement aux victimes, dans lequel Maître Joris Morer est interrogé : lire l'article.

Pour joindre le cabinet : Cabinet Morer, 22 rue Sainte-Anne, 31000 Toulouse — 05 61 55 45 08 — urgences 24h/24 : 06 23 36 88 03 — cabinet@morer-avocat.com. Si le virement est parti dans les dernières quarante-huit heures, appelez immédiatement : c'est la seule fenêtre où un rappel des fonds a des chances d'aboutir.

Lorsque la fraude repose sur l'intrusion dans une messagerie, l'entreprise est aussi confrontée à une violation de données : voir notre article sur le vol de données personnelles.

Pour empêcher la dissipation des fonds pendant la procédure, voyez notre article puis-je faire bloquer les biens de l'auteur avant le procès.

Le cabinet accompagne les victimes de fraude du dépôt de plainte jusqu'au remboursement : voyez notre page avocat escroquerie et arnaque à Toulouse.

Pour aller plus loin, retrouvez l'ensemble de nos articles dans les rubriques Droit pénal des affaires et Victimes et infractions.

La Cour de justice de l'Union européenne a jugé le 15 octobre 2026 que la banque doit rembourser une opération non autorisée avant de discuter d'une négligence grave : voyez notre analyse Fraude bancaire : depuis l'arrêt de la CJUE du 15 octobre 2026, la banque peut-elle encore refuser de rembourser pour négligence grave ?.