Comment rassurer l’assureur?
Entreprises et assureurs avancent à tâtons pour s’adapter et trouver les meilleures garanties
Souscrire un contrat cyber nécessite de commencer par une réflexion commune des parties concernées, en fonction du secteur d’activité et de l’organisation de l’entreprise
Nouveaux risques, réglementations plus contraignantes, les équipes de risk management des entreprises doivent s’adapter aux changements rapides intervenant à la fois dans la gestion des risques et dans celle des assurances. Les clauses se modifient et certains risques ne en effet sont plus assurables. L’adaptation passera notamment par une meilleure étude des garanties et des risques couverts, mais aussi une meilleure prévention des risques et le développement d’une culture de la gestion des risques.
Les risques climatiques et les risques cyber sont de plus en plus pris au sérieux (voir encadré). Et pour cause. 2019 a apporté son lot de catastrophes naturelles et d’attaques cyber tous azimuts. Des phénomènes qui devraient perdurer à l’avenir et contre lesquels il convient de se prémunir. Plus facile à dire qu’à faire, notamment pour les risques liés au climat. En revanche, des solutions existent d’ores et déjà pour les risques cyber.
“La prise de conscience par les entreprises de leur vulnérabilité face au risque cyber n’a cessé de croître dans les 5 dernières années. La médiatisation des attaques a également contribué à sensibiliser les entreprises face à ce risque qui peut s’avérer dramatique pour leur activité”, estime Brune
Costes, directrice commerciale d’AIG en France, qui propose depuis 2012 des garanties cyber dans l’Hexagone. Pourtant, selon l’Autorité de contrôle prudentiel et de résolution (ACPR), les contrats en matière de cyber-assurance sont encore trop peu développés en France. Entre outre, les risques cyber se poursuivant et s’étendant, pour la première fois en 2019, les franchises et les primes d’assurance les concernant ont augmenté, selon l’étude de marché assurances Iard (incendie, accidents et risques divers) 2019 de l’Amrae. Un casse-tête pour les entreprises qui doivent trouver la bonne assurance cyber, mais aussi pour les assureurs, qui doivent faire face à une sinistralité de plus en plus importante sans disposer d’un historique de sinistralité, ni de bases de données fiables. “La gestion du risque repose sur deux piliers : la définition du périmètre des risques et la définition des risques auxquels une entreprise s’expose. Or dans le domaine de la cybersécurité, la difficulté principale pour les assureurs et pour leurs clients est la connaissance des risques cyber qui évoluent sans cesse”, estime Fabien Rech, directeur général France de McAfee. “Certains risques sont difficilement assurables, voire inassurables. Les risques cyber, qui peuvent être systémiques, posent un problème de gestion des cumuls aux assureurs et réassureurs. L’adaptation des garanties face aux évolutions des risques doit tenir compte de ces contraintes”, explique Renaud de Pressigny, directeur général de QBE France. Autrement dit, l’assureur doit être en capacité de pouvoir indemniser l’assuré en cas de sinistre. “Les risques en matière de changements climatiques sont plus difficiles à intégrer dans une police d’assurance ; nos clients sont de plus en plus demandeurs de conseils en la matière, poussés par l’évolution de la société et la réglementation. Il s’agit d’une question de réputation de l’entreprise et de changement de son business model”, indique Dessislava
Savova, associée en charge du groupe tech pour la France et l’Europe continentale chez Clifford Chance.
Adapter les garanties à ses besoins
Comme pour tout autre risque Iard, il est essentiel de définir les besoins de l’entreprise en matière d’assurance cyber. “Parce qu’il est difficile dans le domaine IT de définir le périmètre des risques, il est essentiel de décider précisément avec son assureur le périmètre que l’on souhaite couvrir, et de déterminer également quels services d’applications l’entreprise apporte à ses clients et doit donc assurer”, fait valoir Fabien Rech. Ne serait-ce que pour éviter un litige avec son assureur, comme dans le cas Mondelez International/Zurich (le groupe alimentaire a attaqué en justice l’assureur pour son refus de couvrir les dommages causés par la cyberattaque NotPetya en 2017). Souscrire un contrat cyber nécessite de commencer par une réflexion commune des parties concernées, en fonction du secteur d’activité et de l’organisation de l’entreprise. Renaud de Pressigny recommande aux assureurs, aux courtiers et à leurs clients de travailler de conserve afin de faire face à l’évolution des risques: “il s’agit d’un travail à trois pour adapter les garanties d’assurance aux risques encourus par l’entreprise”, commente-t-il. Les avocats sont également présents pour assister à la rédaction des polices d’assurance. “En matière d’assurance, le diable est dans les détails. Les entreprises doivent avoir la certitude que les compagnies d’assurances sont prêtes à couvrir les risques cyber et que les polices d’assurance sont rédigées de telle manière que les risques cyber soient bien couverts”, souligne Dessislava Savova.
Culture de gestion des risques
Sur le terrain, le risque cyber et les réglementations ne sont pas forcément bien maîtrisés. “Les sociétés ont des difficultés à respecter les réglementations, la prévention ne concerne pas forcément toutes les personnes qui devraient être impliquées au sein de l’entreprise, et les entreprises ne sont pas correctement préparées sur le plan juridique”, constate Dessislava Savova. “Pour être efficace et vertueuse, la culture de la gestion des risques doit être intégrée par tous les collaborateurs et l’information partagée”, estime Renaud de Pressigny. Parce que les risques cyber sont protéiformes et ceux liés au changement climatique aléatoires, les entreprises doivent apprendre à les prévenir et développer une culture de gestion des risques.
Une manière de réduire la probabilité d’un incident, de rassurer les compagnies d’assurances et de mieux négocier à la fois les polices et les primes d’assurances, mais aussi de préserver la pérennité de leurs activités. “Le risque cyber est un risque comme un autre, mais il est encore trop sous-estimé. Par ailleurs, il s’agit d’un risque qui a de très fortes probabilités de se réaliser rapidement et qui ne fera qu’augmenter à l’avenir”, affirme l’avocate. Et de poursuivre: “il importe donc non seulement de rassurer les compagnies d’assurances, mais aussi d’éviter les sanctions financières et toute exposition de la responsabilité de l’entreprise, qui peut avoir également un impact sur sa réputation et son image. Le risque cyber doit faire l’objet d’une vigilance accrue”.
Pour ce faire, réaliser un audit initial afin de détecter des failles éventuelles en matière de sécurité et effectuer des tests d’intrusion s’impose. “Cela permet de signifier à l’assureur que l’entreprise gère le risque et tente de le maîtriser. C’est une manière de le rassurer”, estime Fabien Rech, qui recommande de faire suivre l’audit initial d’audits réguliers pour inclure les nouvelles techniques d’attaques cyber. Ce dernier estime également que la protection du système cloud des entreprises est primordiale : “il est crucial de connaître son périmètre, de prévenir le shadow IT et d’être accompagné pour bien connaître la fenêtre d’exposition au risque de son cloud, mettre en place un système de protection contre la fuite de données ou, le cas échéant, chiffrer des données sensibles”. De fait, selon le récent rapport 2020 de Check Point Research sur la cybersécurité, publié en janvier dernier, plus de 90 % des entreprises utilisent des services dans le cloud. Or en 2019, selon ce rapport, l’ampleur des attaques et des failles de sécurité n’a cessé d’augmenter dans le cloud.
Allier garanties et sensibilisation
S’il est plus aisé pour les grands comptes qui disposent de départements dédiés au risk management, de s’adapter aux nouveaux risques et à la nouvelle donne réglementaire, les PME/ETI ne sont pas oubliées. Elles disposent d’outils mis à leur disposition par les différents acteurs de l’assurance. “Les PME/ETI doivent s’appuyer sur leur courtier en assurance et leur assureur, mais aussi sur leurs commissaires aux comptes et avocats, pour disposer des bons conseils et processus, souligne Renaud de Pressigny. QBE, grâce à son offre de cartographie des risques, permet aux PME/ETI de disposer gratuitement du SIGR (système d’information de gestion des risques) de notre partenaire Arengi pendant deux ans. QBE propose aussi, associés à son offre d’assurance et d’assistance technique en cas de cyberattaques, des tests d’intrusion gratuits.”
De son côté, AIG partage avec ses clients et leurs courtiers son expertise et ses retours d’expérience au travers de livres blancs sur l’évolution de la sinistralité. “AIG a développé un questionnaire dynamique cyber permettant aux entreprises d’auto-évaluer leur niveau de maturité face au risque, leur niveau de prévention ou encore le niveau de sécurité de leur système informatique”, indique Brune Costes. McAfee propose pour sa part un volet formation à la cybersécurité, “mais aussi des solutions pour le coaching des salariés afin de développer les bonnes pratiques et la prévention contre la fuite d’informations”, fait valoir Fabien Rech. “En ce qui concerne les risques climatiques, les entreprises françaises ont la chance de disposer du régime de garantie des catastrophes naturelles, qui n’existe pas dans tous les pays”, rappelle Renaud de Pressigny. Sensibilisation et prévention se développent tant du côté des compagnies d’assurances que des entreprises. Toutefois, selon l’Amrae, “la route s’annonce longue et sinueuse” vers une bonne indemnisation des sinistres causés par les incidents cyber. Et l’Amrae de conclure, dans son étude assurances Iard 2019, “raison pour laquelle les risk managers et leurs courtiers ont intérêt à relever ce challenge formidable avec la précieuse aide du marché de l’assurance et de la réassurance”. D’autant que d’autres risques émergent en raison du développement des objets connectés et de l’intelligence artificielle.
Parce que les risques cyber sont protéiformes et ceux liés au changement climatique aléatoires, les entreprises doivent apprendre à les prévenir et développer une culture de gestion des risques