RCMS / D&O : pourquoi les dirigeants de PME sont plus exposés en 2026

Le dirigeant d'une SAS, SARL, SA ou association croit souvent que la personnalité morale de sa société le protège. C'est faux : le Code de commerce engage sa responsabilité civile personnelle à trois titres (faute de gestion, violation des statuts, infraction aux lois et règlements). En 2026, cette exposition se durcit sous l'effet conjugué d'une jurisprudence plus offensive et d'une inflation réglementaire (NIS2, AI Act, CSRD, RGPD).

Trois fondements de responsabilité personnelle

L'article L. 225-251 du Code de commerce (administrateurs et directeurs généraux de SA) et l'article L. 223-22 (gérants de SARL) prévoient une responsabilité du dirigeant envers la société, les associés et les tiers pour :

• Les infractions aux dispositions législatives ou réglementaires applicables aux sociétés.
• La violation des statuts.
• Les fautes commises dans la gestion.

La faute de gestion est entendue largement : décision risquée non documentée, défaut de surveillance d'un salarié, oubli d'assurance obligatoire, retard de déclaration fiscale ou sociale, manquement à une obligation de conformité. Aucun seuil de gravité n'est requis.

Le tournant jurisprudentiel de 2025

Trois arrêts de la chambre commerciale de la Cour de cassation ont rebattu les cartes :

• Cass. com. 7 mai 2025, n° 23-15.931 : l'action *ut singuli* (action exercée par un associé au nom de la société contre un dirigeant fautif) constitue un droit autonome. Elle n'a plus de caractère subsidiaire, contrairement à ce qu'avait suggéré l'arrêt du 27 mai 2021. Un associé peut désormais agir même si la société elle-même a déjà engagé une action.
• Cass. com. 18 juin 2025 : la qualité d'associé doit exister au moment de l'introduction de l'action, ce qui ouvre la porte à des actions plus tardives.
• Cass. com. 9 juillet 2025 : la société doit être appelée à la procédure et régulièrement représentée.

Concrètement, un associé minoritaire peut désormais attaquer plus facilement le dirigeant pour des fautes ayant causé un préjudice à la société (mauvais investissement, contrat désavantageux, sanction administrative évitable, perte de marché par défaut de conformité).

Quatre vagues réglementaires qui exposent le dirigeant en 2026

1. RGPD — 487 M€ d'amendes CNIL en 2025

La CNIL a prononcé un montant record de 487 millions d'euros d'amendes en 2025, contre 55,2 M€ en 2024. Une amende RGPD payée par la société peut être qualifiée de faute de gestion imputable au dirigeant qui n'aurait pas mis en place les mesures de conformité.

2. NIS2 — responsabilité personnelle explicite

La directive NIS2, transposée en France par la loi de résilience, prévoit explicitement la responsabilité personnelle du dirigeant sur la conformité cyber, avec sanctions et interdiction temporaire de fonction de direction en cas de manquement.

3. AI Act — pleinement applicable au 2 août 2026

Sanctions jusqu'à 35 M€ ou 7 % du CA mondial pour usage d'une IA à risque inacceptable, 15 M€ ou 3 % pour manquement aux obligations « haut risque » (RH, scoring crédit, recrutement).

4. Devoir de vigilance et CSRD

Même après l'allègement par la directive *Content* de 2026, les obligations de reporting durabilité et de devoir de vigilance restent un terrain fertile pour des actions en responsabilité.

Ce que couvre (et ne couvre pas) la RCMS / D&O

La Responsabilité Civile des Mandataires Sociaux (RCMS, équivalent francophone du *Directors & Officers* anglo-saxon) prend en charge :

• Les frais de défense (avocats, experts, frais judiciaires) — souvent le poste le plus lourd.
• Les dommages et intérêts auxquels le dirigeant est personnellement condamné.
• Les frais d'image et de gestion de crise.
• Parfois, les amendes administratives lorsqu'elles sont assurables (en France, les amendes pénales restent inassurables).

Exclusions classiques à vérifier

• Faute intentionnelle ou dolosive (toujours exclue).
• Avantages personnels indus perçus par le dirigeant.
• Sanctions pénales stricto sensu.
• Réclamations connues avant la souscription.
• Litiges entre dirigeants d'une même société (sauf option *insured vs insured* négociée).

Cinq erreurs fréquentes à éviter

• Croire que la SARL ou la SAS protège le dirigeant — c'est faux pour les fautes de gestion.
• Confondre RC Pro et RCMS — la RC Pro couvre la société, la RCMS couvre la personne du dirigeant.
• Sous-estimer les frais de défense — un contentieux complexe peut dépasser 100 000 € en honoraires d'avocat.
• Choisir un plafond inadapté — pour une PME, un plafond de 1 à 5 M€ est généralement un minimum.
• Oublier de déclarer les changements — création de filiale, changement d'actionnariat, nouvelle activité : la garantie peut tomber sans avenant.

Quand souscrire ou réviser sa RCMS en 2026

• À la création ou la transformation de la société.
• À l'ouverture du capital à de nouveaux investisseurs (associés minoritaires = risque ut singuli).
• Lors d'un mandat dans une filiale ou une association.
• Avant toute mise en conformité d'une obligation lourde (NIS2, AI Act, CSRD).
• Tous les 2 ans au minimum pour vérifier les plafonds et exclusions.

Ineos Courtage accompagne les dirigeants de PME et ETI dans l'audit de leur exposition personnelle et la souscription d'un contrat RCMS adapté à leur taille, secteur et obligations réglementaires. Notre rôle de courtier indépendant nous permet de mettre en concurrence les principaux assureurs spécialisés (AIG, Chubb, Allianz, Liberty Mutual, AXA XL, Beazley) et de négocier des extensions sur mesure (insured vs insured, side A DIC, garanties enquêtes officielles).