RiskAssur-hebdo
- Le magazine professionnel des Risques et des Assurances
Abonnement gratuit sur
page 34 - Numéro 466 du 11 novembre 2016
Reportage
et le premier constat sur les soixante principaux
assureurs qui offrent cette garantie est qu’il y a un
manque certain de cohérence entre les différents
acteurs. La conséquence la plus immédiate est
que les couvertures sont très variables tant au
niveau de l’étendue de la couverture, des facteurs
de déclenchement de l’indemnisation, que des
définitions même et des exclusions.
Cette dispersion des problématiques au sein de
l’organisme offre au risk-manager une opportunité
de proposer une solution intégrée satisfaisant
chacun et surtout répondant au besoin global de
l’organisme.
*
A la jonction des problématiques, le risk-mana-
ger est le joint d’intégration
Il s’agit d’un changement de paradigme de façon à
intégrerlacyber-sécuritédanslecadredel’Entreprise-
wide Risk Management (ERM) de façon à tirer le
meilleur parti possible des données appropriées, de
l’approche analytics, et des stratégies de transfert,
dont l’achat de couvertures d’assurances, de façon à
éclairer la prise de décision des dirigeants en matière
de « cyber-résilience ».
De fait, le « cyber » doit être appréhendée comme
une problématique organisationnelle au cœur de
laquelle les vulnérabilités sont envisagées dans la
perspective de la stratégie globale de l’organisme ;
cela suppose d’identifier et d’interroger les
interdépendances critiques au sein de l’organisme,
voire de ses principaux partenaires dans son réseau,
et de déterminer la « cyber valeur en risque ».
Cela exige de créer un architecture risques pour le
profile cyber de l’organisme et, pour ce faire, les
organismes doivent favoriser la mise en commun
des ressources pour qu’une approche intégrée
permettent de gérer ces vulnérabilités liées à la
cyber-sécurité : le diagnostic global, et lui seul,
permettra de prévenir, de contenir, et de transférer
ces vulnérabilités.
Le rôle du risk manager est de conduire l’intégration
en collaborant avec les dirigeants pour intégrer la
réflexion dans le cadre de la réflexion stratégique de
l’organisme
Le schéma ci-dessus illustre l’intégration dans une
stratégie de résilience cyber de l’ensemble des silos
affectés ; avec les différentes étapes de la définition et
de la mise en œuvre de cette stratégie. On peut articuler
la démarche autour des quatre questions
suivantes :
1. Quelles sont nos vulnérabilités ?
Faire analyser
les scénarios globaux par une équipe cross fonc-
tionnelle.
2. Quel est l’impact potentiel sur le bilan ?
Conduire des simulations de cyber scénarios
avec une modélisation financière de leur im-
pact. L’équipe d’identification doit conduire son
travail jusqu’à la quantification des impacts po-
tentiels pour chaque scénarios en prenant en
compte les données de comptabilité analytique
de l’organisme
.
3. Quelle est l’étendue de couverture souhaitée ?
Une analyse de stress sur la base du programme
d’assurance existant doit permettre d’en déter-
miner les limites et les éventuels trous de garan-
tie ou plafonds insuffisants pour les revoir à la
lumière des possibilités des différents marchés.
Cela suppose bien entendu d’envisager toutes
les conséquences et leurs prises en charge éven-
tuelle par différents volets de la couverture.
4. Quelle est la solution de transfert optimale ?
Mais le principal est de garder à l’esprit la na-
ture essentiellement évolutive de la menace et
donc de la nécessité de mettre à jour sans arrêt
l’analyse et d’optimiser le transfert en fonction
des nouvelles données.
On rappelle que le cyber-risque est un risque global
de l’organisme qui touchent à des éléments aussi
divers que :
ü
La perte d’exploitation
ü
Les dommages directs au bien,
ü
L’engagement de responsabilités lié à l’utili-
sation d’Internet,
ü
Les ruptures du réseau d’approvisionne-
ment,
