Version HTML de base
page 36 - Numéro 275 du 6 juillet 2012
Abonnement gratuit sur
RiskAssur-hebdo
- Le Magazine professionnel des Risques et des Assurances
Reportage
rêtées,
Il s’agit ici de la couverture des pertes d’exploitaƟon
entrainées par la réalisaƟon d’un cyber risque.
•
Frais de défense et amendes pour non‐conformité régle‐
mentaire
: L’environnement légal et réglementaires en ma‐
Ɵère de données informaƟques est en constante évoluƟon
avec de plus en plus de responsabilités à la charge des orga‐
nismes. La couverture prend en charge les frais d’enquête, de
jusƟce et même les amendes dans la mesure où la loi le per‐
met.
•
Dédommagements pour divulgaƟon d’informaƟons con‐
fidenƟelles et de données personnelles
: L
a
nouvelle
législaƟon européenne en maƟère de protecƟon des données
va imposer aux organismes de révéler les divulgaƟons de don‐
nées aux autorités et aux personnes concernées. CeƩe couver‐
ture prend en charge les coûts encourus pour noƟfier les inté‐
ressés.
•
Manque de loyauté du personnel
: Les employés ont ac‐
cès aux données confidenƟelles de l’organisme ; l’uƟlisaƟon de
mots de passe et de restricƟons d’accès sur le principe de la
nécessité de connaître pour accomplir les tâches réduisent les
possibilités de détournement d’informaƟon par les salariés,
sans apporter une sécurité absolue. Le départ de salariés mé‐
contents est une source de danger parƟculière car la ven‐
geance peut générer le pire chez certains individus.
•
Cyber‐Extorsion
: CeƩe couverture peut prendre en charge le
paiement de rançons auquel serait soumis un organisme lors
d’un chantage à la cyber‐aƩaque, pour autant que le chantage
semble raisonnablement crédible.
Un professionnel pour lequel le cyber risque est au cœur
même de sa foncƟon est à n’en pas douter le risk‐manager de
SWIFT, le consorƟum de paiements bancaires. L’essenƟel des
informaƟons du système de la société est hautement sensible
et confidenƟel. Elle sert 10 000 insƟtuƟons financières cou‐
vrant 250 pays et envoie 18 millions de messages par jour – un
volume en explosion si l’on compare à ceux de 2004, 2,4 mil‐
lions, et même de 2010, 15 millions. La nature coopéraƟve de
SWIFT complique encore les relaƟons avec les « clients‐
membres ».
Enrique Flores, le risk‐manager de SWIFT, confirme que son
processus de gesƟon des risques comprend trois volets : gou‐
vernance, culture et contrôles. Le volet contrôle est renforcé
pour faire face aux mulƟples amélioraƟons apportés au sys‐
tème quoƟdiennement. De fait, étant donné le rôle de SWIFT,
prestataires mais aussi d’une certaine manière régulateur,
alors même que l’état d’évoluƟon permanente de la société
conduit inéluctablement à la prise de risques, elle ne peut pas
se permeƩre de meƩre en danger ses adhérents… S’il est diffi‐
cile de relever ce défi permanent, M. Flores confirme que le
plus grand luxe du risk‐manager de SWIFT est que sa mission
est sans équivoque :
« Tout risque idenƟfié doit être miƟgé
puisque l’échec n’est pas une opƟon. »
8 ‐ Promouvoir une culture de gesƟon des risques
au niveau des opéraƟonnels
Tous les ouvrages sur l’ERM et la nécessité pour son succès
d’insƟller une culture de gesƟon des risques, ou du moins de
greffer des compétences en gesƟon des risques sur la culture
existante, insistent sur la nécessité préalable d’un engagement
des dirigeants, en ligne avec les théories de la gesƟon du chan‐
gement. Toutefois, un consultant du groupe Charles Taylor a
décrit une démarche inverse qui s’est déroulée au sein d’un
groupe de transport américain où ce sont les responsables de
terrain qui ont pris l’iniƟaƟve.
Le projet a consisté à former 150 employés de la société enga‐
gés dans le déchargement des cargos à leur arrivé au port. Le
consultant a leur expliqué le processus de gesƟon des risques
en leur montrant comment leurs décisions au quoƟdien
avaient un impact sur l’ensemble de l’organisme. Le message
transmis aux personnel de terrain était clair : le risk‐manager
ne peut pas faire votre travail à votre place tout comme il n
peut pas gérer vos risques pour vous. En revanche, il peut vous
aider en vous apportant le processus de gesƟon des risques.
Leur réacƟon fut rapide et armé des résultats obtenus sur le
terrain les cadres purent montrer aux dirigeants l’intérêt de la
gesƟon des risques et ils relancèrent le programme avec ce
commentaire :
« Pour nous, l’ERM semblait un véritable gâchis
financier sans retour, et nous avons totalement révisé ceƩe
façon de penser au vu des premiers résultats obtenus sur le
terrain. »
Conclusion en forme de perspecƟves : vers un
ordre des risk‐managers ?
Bien que non traité officiellement dans un atelier, un sujet
demeure dans tous les esprits depuis de nombreuses années,
celui de la « professionnalisaƟon » du méƟer de Risk Manager
et de la formaƟon. Certes le président sortant d’AIRMIC, Paul
Taylor y a fait allusion dans son adresse comme dans un entre‐
Ɵen avant la conférence où il avait de plus souligné les limites
de l’approche MBA. Sans doute, aurait‐il pu aller plus loin en
soulignant qu’aujourd’hui tout MBA devrait inclure une forma‐
Ɵon solide à la gesƟon des risques à laquelle tous les cadres
supérieurs, tous les dirigeants et tous les administrateurs se‐
ront confrontés dans un univers de plus en plus complexe, et
donc fragiles, et des parƟes prenantes de plus en plus aƩen‐
Ɵves à tout ce qui rend notre univers « soutenable ». CeƩe
préoccupaƟon va bien au‐delà du cadre d’une poliƟque poliƟ‐
cienne et n’est pas l’apanage de militants d’une parƟe. Elle est
dans tous les esprits même si elle prend des expressions très
diverses, ce qui rend leur prise en compte d’autant plus diffi‐
cile.
Par ailleurs, Paul Taylor se fait le porte parole d’un mouve‐
ment de « grand frère de la gesƟon des risques » par lequel les
(Suite de la page 35)
(Suite page 37)
