Une banque peut-elle refuser de rembourser un virement frauduleux en invoquant la négligence grave de son client, alors qu’elle a elle-même accepté d’exécuter l’opération selon une procédure de paiement qui n’était plus contractuellement convenue ?

Par un arrêt du 8 octobre 2026, publié au Bulletin (Cass. com., n° 25-17.510), la chambre commerciale de la Cour de cassation apporte une réponse négative à cette question et précise les conditions dans lesquelles un prestataire de services de paiement peut opposer la négligence grave de son client pour échapper à son obligation de remboursement d’une opération non autorisée.

Cette décision (Cass. com., 8 octobre 2026, n° 25-17.510, publié au Bulletin), certes rendue dans une affaire de fraude au président, présente un intérêt qui dépasse le seul cadre des escroqueries visant les entreprises. Elle invite à revenir sur une question centrale du contentieux de la fraude bancaire : la négligence grave constitue-t-elle une notion générale permettant aux établissements bancaires de faire supporter aux victimes les conséquences de leur imprudence, ou doit-elle être strictement appréciée au regard des obligations légales relatives à l’utilisation des instruments de paiement et à la protection des données de sécurité personnalisées ?

En censurant une cour d’appel qui avait admis la négligence grave d’une société alors que sa banque avait exécuté un virement frauduleux au moyen d’un instrument de paiement qui n’était plus convenu entre les parties, la Cour de cassation rappelle que les causes d’exonération du prestataire de services de paiement sont précisément encadrées par le Code monétaire et financier.

L’arrêt constitue ainsi une décision importante pour la défense des victimes d’opérations de paiement non autorisées, tout en soulignant l’importance des modalités contractuelles d’exécution des virements.

I. Une fraude au président rendue possible par l’utilisation d’un ancien canal de transmission des ordres de paiement

Les faits à l’origine de cette affaire sont caractéristiques des escroqueries dites « au président », qui reposent sur l’usurpation de l’identité d’un dirigeant ou d’un interlocuteur de confiance afin d’obtenir l’exécution d’un virement frauduleux.

Le 16 décembre 2019, l’assistante administrative du président de la société Eleco Panacol, devenue Hoenle Eleco, est contactée par un individu se présentant comme l’avocat de l’entreprise. Sous couvert d’une prétendue opération financière, celui-ci parvient à la convaincre de transmettre à la banque HSBC un ordre de virement international à destination d’un établissement bancaire situé en Hongrie.

L’ordre de virement comporte une signature imitant celle du président de la société. Il est adressé à la banque par télécopie, puis confirmé par un courriel de l’assistante administrative.

La particularité de cette affaire réside cependant dans les modalités de transmission de cet ordre.

La société et HSBC entretenaient des relations contractuelles anciennes. Un premier contrat, conclu le 20 février 2009, organisait la télétransmission d’informations et notamment l’émission dématérialisée des ordres de virements bancaires. Dans ce cadre, la transmission des ordres pouvait donner lieu à une confirmation par télécopie.

Mais les parties avaient ensuite conclu, le 10 mars 2017, un nouveau contrat dénommé « HSBC Connect sous protocole EBICS TS », reposant sur un système sécurisé de télétransmission permettant notamment l’émission de virements internationaux à distance au moyen du logiciel Exabanque.

Ce dispositif prévoyait l’utilisation d’une clé numérique de sécurité personnalisée, appelée « 3S Key ».

À compter de mars 2017, la société avait cessé d’utiliser l’ancienne procédure de transmission des ordres confirmés par télécopie.

Or, le 17 décembre 2019, HSBC a néanmoins exécuté le virement frauduleux sur la base d’un ordre transmis selon l’ancienne modalité, sans utilisation de la clé numérique prévue par le dispositif sécurisé auquel la société avait souscrit.

Estimant avoir été victime d’une opération de paiement non autorisée, la société a assigné HSBC en remboursement du virement et en réparation de ses préjudices.

Par un arrêt du 28 mai 2025, la cour d’appel de Paris a rejeté ses demandes.

Les juges d’appel avaient pourtant constaté que l’opération n’avait pas été réalisée selon le dispositif de sécurité personnalisé prévu par le contrat de 2017 et qu’elle devait être regardée comme non autorisée.

Ils avaient néanmoins retenu que la banque pouvait se prévaloir d’une négligence grave de sa cliente, au sens de l’article L. 133-16 du Code monétaire et financier, pour échapper à son obligation de remboursement.

C’est précisément ce raisonnement que la Cour de cassation vient censurer.

II. La négligence grave du payeur ne peut être invoquée indépendamment des obligations prévues par le Code monétaire et financier

Le régime des opérations de paiement non autorisées repose sur un principe protecteur du payeur.

Aux termes de l’article L. 133-18 du Code monétaire et financier, lorsqu’une opération de paiement non autorisée est signalée dans les conditions prévues par la loi, le prestataire de services de paiement du payeur est, en principe, tenu de rembourser le montant de cette opération.

Ce mécanisme ne repose pas sur la démonstration préalable d’une faute de la banque. Il organise un régime spécifique de répartition des risques liés à l’utilisation des instruments de paiement.

L’obligation de remboursement connaît néanmoins certaines exceptions, notamment lorsque le payeur a agi frauduleusement ou a manqué intentionnellement ou par négligence grave aux obligations prévues aux articles L. 133-16 et L. 133-17 du Code monétaire et financier.

L’article L. 133-16 impose notamment à l’utilisateur de services de paiement d’utiliser l’instrument de paiement conformément aux conditions régissant sa délivrance et son utilisation, ainsi que de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées.

L’article L. 133-19, IV, prévoit, quant à lui, les conditions dans lesquelles le payeur peut être amené à supporter les pertes résultant d’opérations de paiement non autorisées.

La question essentielle est donc celle de la nature de la négligence susceptible de justifier une exonération de responsabilité de la banque.

En pratique, les établissements bancaires invoquent fréquemment le comportement de la victime pour soutenir qu’elle aurait contribué à la réalisation de la fraude : transmission d’informations à un tiers, confiance accordée à un interlocuteur frauduleux, absence de vérification de certaines informations ou comportement jugé imprudent au regard des circonstances de l’escroquerie.

Pourtant, toute imprudence ne constitue pas nécessairement une négligence grave au sens du Code monétaire et financier.

La négligence invoquée doit pouvoir être rattachée aux obligations légales dont la violation est susceptible de faire supporter au payeur les pertes résultant de l’opération non autorisée.

C’est cette exigence que rappelle la Cour de cassation dans son arrêt du 8 octobre 2026.

Au visa des articles L. 133-16 et L. 133-19, IV du Code monétaire et financier, interprétés à la lumière des articles 69 et 74 de la directive (UE) 2015/2366 du 25 novembre 2015, dite DSP2, elle énonce :

« Il résulte de ces textes qu’en cas d’opération de paiement non autorisée, le prestataire de services de paiement ne peut s’exonérer de sa responsabilité que lorsque l’utilisateur du service de paiement manque par négligence grave à ses obligations d’utiliser l’instrument de paiement qui lui a été délivré conformément aux conditions régissant sa délivrance et son utilisation ou ne prend pas toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. »

Cette formulation mérite une attention particulière.

La Cour de cassation ne se contente pas de rappeler que la négligence grave peut exonérer la banque. Elle précise les obligations auxquelles cette négligence doit se rapporter.

Il ne suffit donc pas d’identifier, dans le déroulement de l’escroquerie, un comportement qui aurait pu être plus prudent.

Encore faut-il établir que ce comportement caractérise un manquement grave aux obligations légales relatives à l’utilisation de l’instrument de paiement ou à la préservation des données de sécurité personnalisées.

Cette distinction est fondamentale.

Elle interdit de transformer la négligence grave en une exception générale au remboursement, qui pourrait être invoquée chaque fois qu’une victime a été trompée par des fraudeurs.

L’appréciation de la négligence grave doit rester juridiquement circonscrite aux conditions fixées par les textes.

III. La banque qui accepte un instrument de paiement non convenu ne peut reprocher au client sa négligence grave

L’apport principal de l’arrêt réside dans l’application de ces principes aux circonstances particulières de l’affaire.

La cour d’appel avait expressément constaté que le virement litigieux n’avait pas été réalisé au moyen de la clé numérique « 3S Key » prévue par le dispositif de sécurité personnalisé auquel la société avait souscrit en 2017.

Elle avait également relevé que l’ancienne procédure reposant sur la transmission d’ordres par télécopie n’était plus utilisée depuis cette date.

Malgré ces constatations, elle avait estimé que HSBC pouvait opposer à sa cliente une négligence grave pour refuser le remboursement du virement.

La Cour de cassation considère que cette analyse méconnaît les articles L. 133-16 et L. 133-19, IV du Code monétaire et financier.

Elle reproche aux juges du fond d’avoir statué ainsi alors qu’ils avaient constaté que la télécopie n’était plus l’instrument de paiement convenu entre les parties.

La chambre commerciale en déduit que la banque, ayant accepté d’exécuter une opération au moyen d’un tel instrument, ne pouvait reprocher à sa cliente une négligence grave.

La solution repose donc sur une circonstance déterminante : l’établissement bancaire avait lui-même accepté d’exécuter l’ordre frauduleux en dehors des modalités de paiement contractuellement convenues.

La banque avait participé à la mise en place d’un dispositif sécurisé de télétransmission des virements internationaux, reposant sur une procédure d’authentification spécifique.

Elle avait néanmoins accepté un ordre transmis par télécopie, selon une procédure qui n’était plus celle convenue avec sa cliente.

Dans ces conditions, elle ne pouvait invoquer la négligence grave de cette dernière pour justifier son refus de remboursement.

La décision souligne ainsi l’importance juridique des conventions définissant les modalités d’utilisation des instruments de paiement.

Ces stipulations ne constituent pas de simples règles de fonctionnement technique. Elles permettent de déterminer les conditions dans lesquelles les ordres doivent être transmis et exécutés et, par conséquent, d’apprécier les obligations respectives du payeur et de son prestataire de services de paiement.

L’établissement bancaire ne saurait faire abstraction du dispositif convenu lorsqu’il accepte d’exécuter un ordre, puis se prévaloir du comportement de son client pour échapper aux conséquences de cette exécution.

Il faut toutefois se garder d’attribuer à cet arrêt une portée qu’il n’a pas.

La Cour de cassation ne juge pas que toute absence d’authentification forte exclut, par principe, la possibilité de caractériser une négligence grave du payeur.

Elle ne pose pas davantage une règle générale selon laquelle toute irrégularité dans les modalités d’exécution d’un virement entraînerait automatiquement la condamnation de la banque.

Elle se prononce sur une situation précise, dans laquelle l’établissement avait accepté un ordre transmis par un instrument qui n’était plus convenu entre les parties, avant de reprocher à son client une négligence grave.

C’est cette contradiction que sanctionne l’arrêt.

Par cet arrêt du 8 octobre 2026, publié au Bulletin, la Cour de cassation rappelle que la négligence grave du payeur ne constitue pas une cause générale d’exonération permettant à une banque de refuser le remboursement d’une opération non autorisée.

Elle doit être appréciée au regard des obligations précisément définies par le Code monétaire et financier, notamment celles relatives à l’utilisation de l’instrument de paiement et à la protection des données de sécurité personnalisées.

Surtout, une banque qui accepte d’exécuter un ordre de virement au moyen d’un instrument qui n’est plus convenu entre les parties ne peut ensuite reprocher au client une négligence grave pour échapper à son obligation de remboursement.

La solution mérite d’être saluée en ce qu’elle rappelle que la sécurité des opérations de paiement repose sur des obligations réciproques, dont les établissements bancaires ne peuvent s’affranchir en invoquant systématiquement le comportement de leurs clients.

Dans un contexte de sophistication croissante des fraudes bancaires, cette décision constitue un rappel essentiel : le fait d’avoir été trompé par un fraudeur ne saurait, à lui seul, suffire à caractériser une négligence grave exonératoire de responsabilité.

L’arrêt du 8 octobre 2026 contribue ainsi à préciser les limites de l’exception de négligence grave et à renforcer l’exigence d’une analyse rigoureuse des conditions d’exécution des opérations de paiement frauduleuses.

Virginie Audinot, Avocat
Barreau de Paris
Audinot Avocat
www.fraude-bancaire.fr