Archives pour la catégorie GESTION DES RISQUES

LE RISQUE CLIMATIQUE : IMPACT SUR LES INSTITUTIONS FINANCIERES ET LA GESTION DES RISQUES

Rôle du régulateur : guide relatif aux risques liés au climat et à l’environnement. Gestion des risques : exercice pilote, scénarios, méthodologies.

Dans « La Fonction Risk Manager. Organisation. Méthodes et positionnement » https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html faire le point sur le rôle du régulateur comme amplificateur du risque (un des facteurs de l’élargissement du domaine du risque devenue variable stratégique dans la réflexion des organisations) et les étapes de la démarche de gestion des risques, les outils et méthodes.

Illustration sur le risque climatique.

LE RISQUE CLIMATIQUE : IMPACT SUR LES INSTITUTIONS FINANCIERES ET LA GESTION DES RISQUES

LES REGULATEURS

La transition énergétique, un sujet concernant l’ensemble des acteurs économiques, est placée au cœur des études de la Banque Centrale Européenne (BCE) en 2020.

L’année 2020 a marqué le début d’un dialogue entre les banques et les régulateurs sur l’intégration des risques climatiques et environnementaux dans les dispositifs de gestion des risques actuels. Etant un sujet majeur pour la BCE, ce nouveau défi a également suscité l’attention des autres autorités de contrôle.

BCE – “Guide relatif aux risques liés au climat et à l’environnement”

Paru en Novembre 2020, ce document vise à établir la vision de la BCE pour la mise en place d’un cadre sain de la gestion des risques liés au climat et à l’environnement. Avec ce texte, la BCE veut engager la conversation banques-régulateurs sur l’incorporation de ces nouveaux risques dans leur cadre de la gestion des risques existants.

Le guide BCE n’est pas juridiquement contraignant pour les établissements mais il permet de se préparer aux évolutions futures de la réglementation. Néanmoins, il est attendu des établissements qu’ils réalisent un premier exercice d’autoévaluation en 2021 par rapport aux attentes de la BCE.

Dans le cadre de ses tests de résistance prudentiels, la BCE prévoit l’intégration d’un volet climatique pour l’exercice 2022.

La BCE distingue 3 catégories de risques climatiques : les risques physiques, les risques de transition issus d’un mouvement vers une économie bas-carbone, et les risques de responsabilité et de réputation.

Treize attentes prudentielles sont détaillées pour la mise en place d’un cadre sain de gestion des risques liés au climat et à l’environnement. Elles vont de l’élaboration de la stratégie de l’établissement à la diffusion des informations relatives à ces nouveaux risques.

Les treize attentes prudentielles de la BCE

  • Les établissements doivent comprendre l’incidence à court, à moyen et à long terme des risques liés au climat et à l’environnement.
  • La définition et la mise en oeuvre de la stratégie opérationnelle doivent intégrer les risques climatiques et environnementaux jugés matériels.
  • Ces risques doivent être pris en compte dans les processus de gouvernance de l’établissement.
  • Le Risk Appetite Framework doit prendre en compte explicitement cette nouvelle catégorie de risque.
  • Les risques liés au climat doivent être intégrés dans la structure organisationnelle de l’établissement selon le modèle trois lignes de défense.
  • La communication interne doit permettre aux instances de direction de l’établissement de prendre les décisions adéquates en matière de risques.
  • Le cadre de gestion des risques doit être actualisé pour intégrer ces risques dans les processus de détection, de quantification et dans l’ICAAP.
  • Prendre en compte ces risques dans les processus d’octroi de crédit.
  • Analyser l’impact des risques climatiques sur la continuité des activités et l’impact de l’activité actuelle de l’établissement sur le risque de réputation et/ou de responsabilité.
  • Suivre les impacts de ces risques sur l’exposition actuelle au risque de marché et mettre en place des tests de résistance.
  • Intégrer ces risques dans l’élaboration de test de résistance, scenarios de référence et scenarios adverses.
  • Suivre les impacts de ces risques sur les flux de trésorerie et le coussin de liquidité et actualiser le cadre de la gestion de la liquidité.
  • Publier les informations utiles et les indicateurs clés (KPI) sur les risques liés au climat et à l’environnement.
20212022
Auto évaluation des établissements sur leur dispositif de gestion des risques climatiques
Communication BCE-Etablissements sur les plans d’actions établis
Mise en place du test de résistance courant 2022 incluant les risques liés au climat et à l’environnement
Mise en place, par la BCE, de mesures de suivi concrètes sur ces nouveaux risques

ACPR (Autorité Prudentielle de Contrôle et de Restitution) – EXERCICE PILOTE CLIMATIQUE 2020

Mené en 2020 par l’APCR, cet exercice a mobilisé 9 banques françaises ainsi que 15 groupes d’assurances sur un exercice de stress test climatique.

L’objectif premier de cet exercice était d’initier une réflexion et sensibiliser l’ensemble des acteurs sur ce nouveau sujet et d’obtenir une plus grande transparence des institutions financières  à ce type de risque.

Cet exercice était l’opportunité pour les participants de renforcer leur dispositif de gouvernance interne en mettant en place de nouvelles stratégies de gestion des risques et de prise de décisions prenant en compte l’impact de ce nouveau type de risque.

Avec ce premier stress test, l’ACPR a voulu mesurer l’impact et le coût induit par le non-respect des accords de Paris et définir les méthodologies de gestion des risques climatiques. Pour cela, elle a fourni aux participants 3 scénarios d’un horizon temporel 2050.

Les résultats de cet exercice ont été remis par les établissements fin 2020. L’ACPR a publié la synthèse et l’analyse de ces résultats en avril 2021. L’ACPR souhaite initier le dialogue entre les régulateurs nationaux et les institutions financières sur le sujet des risques liés au climat et à l’environnement.

En 2022, l’ACPR prévoit la mise en place de nouveaux groupes de travail sur ce sujet. Elle participe aussi à la préparation de l’exercice de test de résistance de la BCE. Le prochain exercice climatique ACPR devrait se tenir en 2023/2024 avec l’intention de le reconduire fréquemment.

SCENARIOS UTILISES PAR L’ACPR

Référence : un scenario de référence basé sur la stratégie nationale française SNBC (Stratégie Nationale Bas Carbone) qui constitue la feuille de route pour atteindre le zéro émission nette en 2050. Le scenario prend en compte les orientations de la LTECV (Loi de Transition Energétique pour la Croissance Verte) telles que la réduction des émissions de gaz à effet de serre (GES) et les budgets carbones.

Transition retardée : Le scénario de réaction tardive suppose que les objectifs de réduction des gaz à effet de serre ne soient pas atteints en 2030. Ceci entraine la prise de mesures plus volontaristes en reproduisant les trajectoires d’émissions de GES, de PIB, et de prix carbone du scenario de transition désordonnée du NGFS (Network for Greening the Financial System).

Transition rapide : Le scenario de transition rapide et brutale est l’issue d’une révision du prix carbone et d’une baisse de la productivité à partir de 2025. Les technologies de production d’énergies renouvelables sont supposées non matures, ce qui entraine une augmentation des prix de l’énergie et une redirection des investissements publics et privés vers la production d’énergie. Ceci se traduit par une baisse de la productivité de l’économie dans son ensemble.

LES RESULTATS DE L’EXERCICE

L’exercice pilote est une première en matière de test de résistance climatique. Une mobilisation importante des acteurs financiers a été observée avec 85% du total du bilan bancaire (BPCE, SG, BNP, CA, …)  et 75% du total du bilan des assurances (AXA, Allianz, CAA, MAAF, MACIF, …).

Du point de vue des expositions, les résultats révèlent une exposition modérée des institutions financières face aux risques climatiques et environnementaux.  L’impact de ces risques se concentre sur 7 secteurs tels que la culture et productions animales, l’industrie extractive, l’industrie chimique, … En 2020, les banques sont en meilleure position que les assurances sur le plan de l’exposition aux risques climatiques. Les banques ayant participé à l’exercice ACPR ont un portefeuille de crédit moyen exposé à 9,7% sur les secteurs ci-dessus, tandis que les assurances ont un portefeuille moyen exposé à 17%. Ces expositions, relativement faibles, restent néanmoins un point d’effort pour l’ensemble des institutions financières afin d’être en cohérence avec les ambitions françaises en ce qui concerne la transition énergétique.

Les scénarios et les méthodologies définis lors de cet exercice vont être utilisés, par les ACNs et par la BCE, comme socle pour leurs exercices de stress tests à venir. Il est cependant important de noter que les scenarios définis par l’ACPR ne prennent pas en compte l’éventualité d’une récession entre 2020 et 2050 ce qui est inhabituel dans le cadre d’un exercice de stress test. Il paraitrait plus prudent, pour les institutions financières, d’utiliser des scénarios internes pour mesurer leurs expositions aux risques climatiques en combinant les scenarios ACPR et les éventuelles crises économiques pouvant survenir.

L’exercice révèle certains retards, notamment sur la capacité des banques à simuler leurs impacts physiques sur les portefeuilles crédits. En effet, les données nécessaires pour parvenir à estimer les impacts des risques physiques sont encore trop peu accessibles au niveau consolidé. Ces nouveaux besoins de données devraient donc être pris en compte par les institutions financières dans leurs futurs chantiers SI.

Enfin les limites méthodologiques de l’exercice devraient s’améliorer par la mise en place de nouveaux travaux par les différents régulateurs, notamment sur les hypothèses et scénarios, la prise en compte du risque physique sur les expositions corporate et les sources de données.

BCBS – CLIMATE RELATED FINANCIAL RISKS

En Avril 2021, la BIS a publié deux rapports sur les méthodologies à appliquer pour les risques liés à l’environnement et au climat.

Un cadre de gestion des risques sain doit :

Identifier les facteurs de risques climatiques

Cartographier et quantifier les expositions aux risques climatiques et les concentrations

Traduire ces risques en indicateurs financiers

Les risques liés au climat et à l’environnement imposent un nouveau besoin pour les banques : un nouveau type de données uniques par rapport aux bases disponibles à l’heure actuelle.

En effet, pour les problématiques telles que « les expositions aux risques de transition par une contrepartie », la localisation du siège social ne sera plus la seule donnée nécessaire. Le risque de transition peut nécessiter la connaissance de la localisation de l’ensemble de la chaine de valeur du client mais aussi, la localisation de ses fournisseurs, du mode et des routes de transport utilisés afin d’avoir une vision claire sur l’exposition du client à ce type de risque.

Ce document a pour objectif de présenter les méthodologies à l’étude pour l’application future des quantifications de ce nouveau risque.

La réflexion de la BIS se poursuivra sur les prochaines années, notamment en ce qui concerne les méthodologies de modélisation et de mesures des risques climatiques.

Pour 2021-2022 la BIS annonce sa volonté de poursuivre l’étude des risques climatiques sur 3 axes : régulation, supervision et communication.

By Omote | Juin 15, 2021 

LA NECESSAIRE GESTION DU RISQUE CLIMATIQUE

Un article sur la nécessaire gestion du risque climatique et ses interactions avec la RSE. Retour sur le Forum pour l’Investissement Responsable (FIR).

L’engagement ESG du CAC 40 déçoit les investisseurs

Si la prise de conscience est réelle sur le climat et l’égalité femmes-hommes, les mesures concrètes restent insuffisantes, selon le FIR.

Déception. Le CAC 40 a encore bien des efforts à faire en matière d’ESG (environnement, social et gouvernance), selon le Forum pour l’investissement responsable (FIR). Il a lancé pour la première fois l’an dernier, une campagne de 12 questions écrites sur des sujets ESG à l’occasion des assemblées générales du CAC 40. A chaque réponse, le FIR a attribué une note allant de zéro à trois étoiles. Moins d’un tiers des réponses ont obtenu une note d’au moins deux étoiles. «Beaucoup de réponses sont décevantes, peu élaborées et n’ont pas été à la hauteur de nos attentes», regrette Alexis Masse, président du FIR, rappelant que le dialogue entreprises investisseurs est «fondamental».

Point positif, toutes les sociétés de l’indice ont répondu, mais celles de droit étranger ressortent en queue de classement (Airbus, ArcelorMittal) avec EssilorLuxottica, tandis que Schneider Electric arrive en tête, suivi par Orange, BNP Paribas, Crédit Agricole et Michelin.

Sur les sujets climatiques«une prise de conscience a eu lieu», reconnaît Alexis Masse. Toutefois, les sociétés peinent à expliquer l’alignement de leur plan d’affaires sur le scénario climatique, en proposant un plan de transformation et des jalons. Seules cinq sociétés communiquent un montant d’investissement.

En matière d’égalité femmes-hommes, les plans d’actions ne semblent pas très clairs pour la moitié du CAC 40. Seules cinq sociétés ont intégré ce critère dans la rémunération variable de leurs dirigeants.

Alors que l’offre de fonds responsables est particulièrement riche en France, le FIR ne comprend pas qu’ils ne soient pas proposés pour l’épargne salariale.

Trois sujets restent encore embryonnaires. En matière de biodiversité, «aucune entreprise n’a une prise en compte directe et indirecte, assez robuste, avec un plan et des actions concrètes», constate Caroline Le Meaux, présidente de la commission Dialogue & Engagement du FIR. Or, les investisseurs sont très demandeurs. Les sujets du salaire «décent» et de la responsabilité fiscale des entreprises, avec un mode de redistribution par l’impôt le plus efficient possible, sont encore peu étudiés.

Quant à la publication de l’avis des partenaires sociaux sur la déclaration de performance extra-financière, non obligatoire, personne ne le fait et l’immense majorité élude la question.

Le FIR vient de lancer la campagne 2021, avec les mêmes points – pour mesurer l’évolution – en ajoutant deux questions sur le lobbying responsable et sur l’économie circulaire.

Bruno de Roulhac  30/04/2021 

L’AGEFI Quotidien

RIsque et opportunité. Une autre approche

Risque et Danger

« La notion de risque est ancienne, ancrée dans la société et associée à une connotation de peur, de danger. Quand Beck (2001) affirme que notre monde est le premier à être confronté au risque suprême de la destruction de la vie sur la terre, de la fin de l’Humanité, Méric et al. (2009) rappellent que les Aztèques redoutaient le retour du Néant provoqué par l’arrêt de la course du soleil et ainsi l’ancrage du risque dans l’histoire de l’Humanité. Dans cet ouvrage, les auteurs rappellent que le mot français daterait du XVIe siècle et que son étymologie serait liée à l’activité commerciale maritime (le risque que court une marchandise), avec comme postulat implicite, les conséquences néfastes de l’occurrence du risque. Laperche (2003) établit un lien entre le risque, expression du danger et la nécessité de le récompenser ou de le réduire…Au début des années quatre-vingt-dix, la notion de risque reste floue : risque et danger. » p.18. La Fonction Risk Manager. Organisation, Méthodes et Positionnement. Aubry C., Dufour N.

https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

Risque et Opportunité

« La notion de risque n’est pas nouvelle dans les entreprises (Knight, 1921). Il est présent dans toute action, fait partie de l’univers des entrepreneurs (Schumpeter, 1926) ; il est inhérent à toute décision : « Décider, c’est choisir, en univers incertain notamment, c’est prendre un risque en espérant que le choix s’avérera a posteriori judicieux. » (Persais, 2003). Le risque est ainsi à rapprocher de l’action. La prise de risque est en soi la conséquence de la prise de décision dans un but précis : « L’évènement non encore survenu qui motive l’action. » (Beck, 1986). Ce but précis, c’est dans le contexte de l’entreprise la recherche de relais de croissance, de rentabilité supérieure, de développement de l’organisation. p.18. La Fonction Risk Manager. Organisation, Méthodes et Positionnement. Aubry C., Dufour N.

Le risque peut (doit) être appréhendé comme une opportunité et la gestion des risques comme une  démarche positive : reconnaître la valeur de la prise de risque et des coûts d’opportunité. C’est bien de prendre des risques. Il faut prendre des risques. A condition « seulement » de savoir « où l’on met les pieds ». Apprendre de ses échecs mais aussi ses succès : apprentissage, REX, diffusion des Bonnes Pratiques…Il s’agit des dispositifs de l’approche socio-cognitive de la gestion des risques qui m’est chère. Vous pouvez la retrouver via des articles publiés sur le blog (Catégorie Gestion des Risques. Rubrique Démarche socio-cognitive.) ou dans l’ouvrage ci-dessus comme fil conducteur de la présentation de la Fonction Risk Manager (sortir de l’approche contrôle / « riskmanagement intelligent » prôné par Power pour gagner en légitimité).  

Je vous propose deux articles qui associent risque et opportunité.

Pour passer du risque à l’opportunité :
« Les achats responsables au cœur des nouveaux enjeux de RSE »
« Kenya : une startup transforme le fléau des criquets pèlerins en bénédiction pour les agriculteurs »


Les achats responsables au cœur des nouveaux enjeux de RSE 

En ces temps troublés, plus que jamais, les entreprises vont être scrutées. A elles de se montrer irréprochables.

Jusqu’à récemment encore, l’attente des citoyens en matière de changement, qu’il soit social, sociétal, ou environnemental, était essentiellement tournée vers l’Etat. Comme différents indicateurs ont pu le souligner, a fortiori depuis la crise financière de 2009 et devant la résurgence des catastrophes climatiques ces dernières années, un changement de paradigme est néanmoins à l’œuvre, et il s’est renforcé avec la crise sanitaire : les citoyens éclairés ont pris conscience que le changement ne pourrait se faire qu’à travers eux et comptent sur les entreprises pour en être les relais collectifs visibles. En jeu, la possibilité de consommer mieux, en respectant le monde qui les entoure. En conséquence, les entreprises doivent opérer un changement de cap aussi nécessaire qu’attendu, entraînant dans leur sillage tout un écosystème économique.

L’émergence du « nouveau consommateur »

Ce qu’il est intéressant de voir pour bien comprendre la mécanique à l’œuvre, c’est que ces citoyens sont à la fois des salariés (ou futurs salariés d’organisation) et les clients finaux qui feront l’acquisition d’un bien ou d’un service auprès d’une entreprise. Cette position de consommateurs-acteurs leur confère un rôle de moteur du changement, à l’heure où l’on se dit que la demande peut conditionner l’offre. Une grande enseigne de distribution en a d’ailleurs récemment fait son slogan (« Place au nouveau consommateur »), ancrant ainsi une nouvelle réalité : les citoyens se placent désormais en acheteurs responsables, et imposent aux entreprises d’être alignées sur ces valeurs et d’être dans une nouvelle dynamique de responsabilité.

Car si les questions de RSE sont déjà largement intégrées dans les plus grandes entreprises françaises, il apparaît clairement qu’en plus d’être sociale, cette responsabilité doit être sociétale et environnementale, et s’étendre à toutes les organisations. Les salariés expriment d’ailleurs des attentes fortes, en ce sens, envers leur employeur et attendent de la part des entreprises, notamment les plus grandes, des efforts honnêtes et plus conséquents encore.

Alors que les figures d’autorité sont largement remises en cause et que la confiance déjà restreinte dans les pouvoirs publics continue de s’étioler, le niveau de confiance des salariés dans leur employeur résiste. Selon l’édition 2021 du Trust Barometer d’Elan Edelman, l’employeur serait même « le dernier bastion de la confiance » : 70% des répondants déclarent, en effet, avoir confiance en leur employeur contre 50% seulement lorsque l’on évoque le gouvernement ; 67% pensent, par ailleurs, que les P-DG devraient intervenir lorsque le gouvernement ne résout pas des problèmes de société et 66% souhaitent que les dirigeants jouent un rôle de premier plan dans les changements à opérer, plutôt que ce soit le gouvernement qui les leur impose. Voilà qui en dit long sur la vision qu’ont ces « nouveaux consommateurs » de leur rôle de contre-pouvoir par le biais de l’entreprise, à une époque où les initiatives citoyennes se multiplient, sans trouver d’écho réellement favorable auprès des pouvoirs publics.

De la poussée citoyenne au changement des modes de production

Toujours selon le Trust Barometer 2021, 73% des sondés se disent inquiets (ou très inquiets) en ce qui concerne le changement climatique. La prise de conscience d’une Terre aux ressources précieuses et limitées est globale, et les attentes en matière de changement doivent se traduire au sein des entreprises, dont la survie, à terme, dépendra de leur engagement en matière de développement durable notamment. Le changement de modes de consommation, pour ceux qui le peuvent, est en marche. L’heure est à la limitation de l’impact environnemental au niveau individuel et collectif (consommation locale/de saison, circuits courts, agriculture bio, traçabilité des matières et matériaux, énergie verte, possibilité de réparer plutôt que de jeter…). En miroir, l’offre s’ajuste progressivement. Les exemples dans l’agroalimentaire (origine France, zéro pesticides, issu de coopératives…), l’énergie (énergies vertes et/ou renouvelables, recyclage…), l’immobilier (rénovation énergétique, constructions écoresponsables) ou l’automobile (véhicule hybrides et électriques) ne manquent pas, tandis que la crise a fait émerger, pour d’autres raisons, l’importance de relocaliser certaines productions. Chacun s’accorde pour un retour progressif à une logistique de proximité, moins polluante, moins invasive et bénéfique à chacun. De la même manière, le nouveau consommateur inclut dans sa réflexion la mesure de l’impact social de ses achats, en portant une attention croissante au respect des conditions de travail et aux droits individuels des salariés participant à la conception des biens et des services dont il fait l’acquisition. Le récent plan de relance du gouvernement qui est une feuille de route pour la refondation économique, sociale et écologique du pays va également dans ce sens. A travers le label France Relance, le gouvernement soutient les entreprises optant pour des investissements plus « verts » et globalement plus responsables socialement avec un objectif annoncé : bâtir la France de 2030.

Des enjeux écologiques qui sont des enjeux économiques pour les entreprises

La performance d’une entreprise repose sur sa capacité à générer du chiffre d’affaires et des bénéfices (c’est-à-dire, à vendre ce qu’elle produit) pour investir, en vue de rester compétitive et de poursuivre son développement. Lorsque les attentes des consommateurs évoluent de manière aussi fondamentale que ce que l’on observe actuellement et que la notion d’entreprise engagée (et par extension de fournisseurs engagés, de supply chain responsable…) devient un facteur de décision dans le processus d’achat, l’entreprise se doit d’adapter rapidement son modèle ou sa production pour rester attractive et performante. Les enjeux écologiques et sociaux pour le citoyen sont des enjeux économiques pour l’entreprise. Il s’agit par conséquent pour les organisations de répondre aux nouvelles exigences des consommateurs responsables, en se positionnant à leur tour comme des acteurs du changement. Comment ? En développant des politiques RSE fortes et cohérentes. En s’appliquant aussi à entraîner dans leur sillage celles et ceux qui composent leur écosystème direct : clients, fournisseurs et partenaires, collaborateurs et futurs collaborateurs, pouvoirs publics dans certains cas. Tout cela doit participer à établir un cercle vertueux, dont la circonférence ne cesse de croître à mesure qu’il se nourrit de l’engagement des différents acteurs aux rangs 1, 2, 3…

A titre d’exemple, l’une de mes collaboratrices me relatait récemment une expérience d’achat qui résume bien cette tendance : ce que sont les achats responsables et comment ceux-ci peuvent se décliner. Elle venait de faire l’acquisition d’un vêtement technique de montagne, et la lecture des « 10 engagements » de la marque illustrait tout à fait les différentes dimensions de ce qu’est et doit être la responsabilité d’une entreprise de l’industrie textile aujourd’hui. On pouvait lire notamment : développer des produits durables, aller vers de l’éco-conception, privilégier le recours à des matières certifiées et garantir le sourcing des achats. Garantir le sourcing des achats, c’est travailler avec des fournisseurs et des prestataires engagés sur le plan social (pas de travail forcé, dissimulé ou travail des enfants, lutte contre les discriminations) comme environnemental (provenance, mode d’extraction des matières premières ou de transformation, audit d’impacts, valorisation de la production et des achats en circuits courts et continentaux versus internationaux, valorisation des produits usagés…), dans le respect des intérêts de tous et non d’intérêts propres (lutte contre la corruption). Tous ces engagements suivent précisément la charte Global Compact des Nations-Unies, qui peut servir de cadre aux entreprises pour consolider leurs engagements, notamment en matière de politique d’achats responsables.

Le mouvement est initié, la route reste à parcourir

Aujourd’hui, les politiques d’achats responsables ne sont pourtant une réalité que dans 60% des entreprises en France, selon l’Observatoire de la fonction achats 2030 de Michael Page/CNA (dont les résultats seront publiés début mai). L’une des raisons à cela est que l’on associe encore trop souvent « politique d’achats responsables » et entreprises industrielles ou multinationales. Or, ces politiques doivent aussi se diffuser largement auprès et au sein des entreprises de taille moyenne et des entreprises de services, qui sont au cœur des écosystèmes économiques. Des labels comme Ecovadis, auquel les entreprises se montrent de plus en plus attentives, viennent récompenser les organisations qui s’impliquent sur ce plan et peuvent, là encore venir, accompagner la mise en place des actions.

La crise actuelle est l’opportunité d’opérer un changement à la fois profond et durable, répondant aux nouvelles attentes des citoyens en matière de responsabilité sociale et environnementaleLa mise en place d’une politique d’achats responsables, quelle qu’en soit la dimension initiale, doit devenir pour tous une conviction. Parce qu’il s’agit déjà d’un facteur de décision d’achat pour de nombreux consommateurs, et parce qu’il s’agira de plus en plus d’un facteur d’attractivité et de décision bilatérale pour l’ensemble des partenaires engagés dans une relation commerciale (entreprises, fournisseurs, prestataires, …) et pour les ressources humaines d’une entreprise (salariés et futurs collaborateurs). Les entreprises peuvent, si ce n’est changer le monde, apporter une pierre significative à l’édifice.

Kenya: une startup transforme le fléau des criquets pèlerins en bénédiction pour les agriculteurs

The Bug Project propose aux paysans kenyans de ramasser les criquets dans les champs contre paiement, et transforme les insectes soit en engrais, soit en aliment pour bétail. © The Bug Project

Transformer un fléau en bénédiction, c’est l’objectif que s’est fixé une petite société kényane. The Bug Project ramasse dans les champs les criquets pèlerins qui ont envahi tous l’est de l’Afrique, et notamment le Kenya, pour en faire soit du compost, soit de l’alimentation pour bétail. Une solution qui permet aux villageois kenyans de surmonter les pertes engendrées par les invasions de criquets.

Depuis près d’un an et demi, le Kenya affronte les pires invasions de criquets pèlerins de son histoire. Les insectes réduisent à néant les cultures et dévastent les campagnes. Face à la détresse des paysans kényans, Laura Stanford, une Sud-Africaine de 33 ans, installée à Nairobi a décidé d’agir. « En réalité, s’il n’y avait pas eu le Covid-19, l’invasion de criquets pèlerins dans la Corne de l’Afrique aurait été la plus grande crise humanitaire de l’année dernière », dit-elle.

À la tête d’une petite entreprise d’élevage d’insectes destinés à l’alimentation animale, The Bug Project, elle entame donc dans plusieurs comtés ruraux des campagnes de ramassage de criquets. En collaboration avec la FAO, l’agence des Nations unies pour l’agriculture qui a entrepris depuis un an des opérations de pulvérisation d’insecticide.  

Mobiliser les habitants

« Tôt le matin, nous appelons la FAO, pour savoir où sont les essaims d’insectes et s’ils seront pulvérisés ou non. Si ce n’est pas le cas, nos équipes mobiles vont dans les villages, pour mobiliser les habitants et leur expliquer comment ramasser les criquets et les mettre dans des sacs que nous distribuons. Et nous payons les communautés par kilos de criquets ramassés. Nous payons immédiatement par MPESA, une application de mobile money », explique Laura Stanford.

Les villageois récupèrent 15 shillings, soit environ dix centimes d’euro par kilo d’insectes. Quant aux criquets, ils seront transformés en engrais s’ils proviennent d’essaims traités à l’insecticide, ou en nourriture pour animaux dans le cas contraire. 

Étendre le projet à l’ensemble du Kenya et au-delà

Antoine Hubert, ancien ingénieur d’Agro Paris Tech, une école d’agronomie, dirige aujourd’hui Ynsect, autrement dit la plus grande entreprise d’aliments pour bétail fabriqués à base d’insectes, en Europe. Pour lui, l’initiative de Laura Stanford fait sens dans un monde où les ressources ont tendance à s’épuiser.

« Cela fait partie de la solution, en effet. Et quand on voit ces invasions de criquets pèlerins, autant effectivement essayer de les collecter et de les transformer en aliments, d’autant que ce sont de très bonnes sources de protéines, très équilibrées. Il y a ces initiatives-là, et il y en a beaucoup d’autres. Il y a des projets au Cameroun ou au Burkina Faso où des vers de palme qui en passant d’un stade de collecte à un stade d’élevage, permettent de produire plus et de manière moins saisonnière. Ce qui crée de nouvelles filières, des revenus et des emplois », soutient Antoine Hubert.

Laura Stanford permet aux paysans collecteurs de criquets de gagner un peu d’argent en attendant des jours meilleurs. Elle leur redistribue aussi une partie du compost fabriqué avec les insectes afin de fertiliser leurs champs. Dépendante pour l’heure des fonds de la coopération danoise, elle aimerait étendre son projet à l’ensemble du Kenya ainsi qu’aux pays voisins, eux aussi touchés par les invasions de criquets pèlerins.  

Olivier Rogez

ASSURANCES&RISQUES. Quelles solutions pour faire face aux tensions du marché ? La gestion des risques transversale et le Risk Manager sont au premier plan.

Nous proposons depuis mardi dernier (16 mars) des pistes de solutions. Pour compléter la lecture des deux articles, je vous propose d’écouter en suivant le lien ci-dessous la table ronde de l’AMRAE intitulée  « Quels financements des risques par le marché de l’assurance, intégrant le risk management ? » Avec Cécile DESJARDINS, Frédéric DHERS (SCOR), Stéphane YVON (EDF), Etienne CHARPENTIER (SIACI), François BEAUME (AMRAE, Sonepar)

Cette table ronde, à vocation pédagogique, rappelle les différentes techniques de financement des risques par le marché.

  • Comment intégrer le Risk Management au plan de financement des risques ?
  • Comment utiliser le marché de l’assurance pour couvrir une partie des risques ?
  • Comment effectuer ce partage des risques entre l’entreprise et l’assureur : entre sinistres de fréquence et sinistres CAT, quel est le bon niveau de financement du risque à transférer aux assureurs, dans une logique de résilience individuelle et de maitrise des primes ?
  • Quelle intervention de l’assurance pour les grands groupes ?
  • Le dispositif de la captive permet-il d’optimiser les négociations des programmes ?

Les intervenants terminent en mettant au premier plan :

  • La démarche de gestion des risques transversale qui est la meilleure solution ;
  • Le Risk Manager qui en est l’acteur principal : « un RM très bien connecté dans les entreprises » ; celui qui a la « meilleure connaissance des risques » ; « qui a un réseau maillé dans l’entreprise. »

Lien vers la conférence : https://youtu.be/2ai4FtbFgXk

C’est ce que nous développons également dans notre ouvrage.

Lien vers l’ouvrage : https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

ASSURANCES & RISQUES. QUELLES SOLUTIONS ? CAPTIVES. MEILLEURE COMPREHENSION DES RISQUES. DIALOGUE DU RISK MANAGER ET AUTRES PARTIES PRENANTES AVEC LES ASSUREURS

Mardi dernier (9 mars) , nous avons analysé le marché de l’assurance et illustrer ses tensions à travers l’exemple du Cyberrisque. Je vous propose aujourd’hui des pistes de solutions : quelles solutions pour faire face à cette situation ? Retour sur ce qu’est une captive.

https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

Quelle stratégie en termes d’assurance en cette période de crise ?

Le sujet de l’assurance est douloureux au sein de nombre d’entreprises qui ont vu leurs assureurs à la fois augmenter les prix et réduire les couvertures. Face à cette situation, faut-il revoir sa stratégie d’assurance ? Ce sujet fut débattu lors des Rencontres du risk management de l’AMRAE

La hausse des prix de l’assurance pour les entreprises a fait les grands titres des journaux fin 2020. A l’occasion de ses Rencontres du risk management qui ont eu lieu début février 2021, l’AMRAE s’est emparé de ce sujet en y consacrant une table-ronde : « Quels financements des risques par le marché de l’assurance, intégrant le risk management ? »

Le constat des participants à ce débat fut sans appel : « Cela dépend des lignes mais la hausse atteint parfois 30/50%, parfois même plus, pour des niveaux de garantie équivalents. Et nous n’avons pas tout vu à mon avis étant donné que tous les programmes n’ont pas encore été renouvelés », a rapporté Stéphane Yvon, directeur de la politique assurances du groupe EDF.

80% des risques non assurés

Frédéric Dhers, CEO de SCOR Europe, a justifié ces augmentations par un phénomène de crises multiples. « Nous vivons non pas une crise mais des crises. La crise sanitaire, inédite, qui se chiffre pour l’instant à 70 milliards de dollars de sinistre en termes d’assurance. Une crise économique, qui a conduit à une contraction de plus de 8% du PIB en France alors que la baisse était d’à peine 3% en 2009. Une crise climatique, aussi, avec des catastrophes naturelles qui impactent les assureurs », a-t-il énuméré.

Quelles qu’en soient les raisons, que doivent faire les entreprises face à une telle hausse des prix mais également à une réduction des couvertures ou encore à l’ajout de certaines exclusion ?

Pour François Beaume, vice-président risques et assurances de Sonepar et vice-président de l’AMRAE, il est évident qu’une bonne partie du financement des risques va rester en interne. « 80% des risques ne sont pas assurés ou pas assurables. Et sur les 20% restant, il y a un effet de contraction car les assureurs baissent les limites et, qu’en plus, ces limites-là vont coûter plus cher ».

De plus, comme l’a rappelé Stéphane Yvon, avec la crise, les entreprises sont en train de revoir leurs dépenses.

La solution de la captive d’assurance

La solution serait de ne plus assurer les risques ? Pour contourner le problème, la plupart des grandes entreprises du CAC 40 et du SBF 120 ont opté pour une captive d’assurance. Il s’agit d’une filiale créée par l’entreprise qui va jouer le rôle d’un assureur ou d’un réassureur mais uniquement pour les risques du groupe auquel elle appartient.

Si le dispositif peut être intéressant, il intéresse cependant surtout les grands groupes. « Les captives concernent plutôt les grandes entreprises, qui réalisent plus d’1,5 milliard d’euros de chiffre d’affaire. De manière générale, en-dessous d’un million d’euros de prime, il est difficile d’avoir un outil pérenne en mesure de payer les sinistres », a expliqué Étienne Charpentier, directeur solutions et transferts alternatifs chez Siaci Saint-Honoré.

Les entreprises de plus petite taille, les grosses ETI qui ont un bon niveau de primes à gérer, peuvent quant à elles se tourner vers la captive à compartiments, c’est-à-dire la location d’un compartiment captif dans une structure existante. Il faut pour cela trouver un bon courtier qui sait gérer ces dispositifs auprès de sociétés généralement situées à Malte.

Comprendre les risques

Pour les plus petites structures, le plus simple est peut-être, comme l’a proposé François Beaume, de se doter d' »un système de provisions qui permet de préparer le futur dans les comptes d’aujourd’hui ». L’objectif est de se doter d’un matelas qui permettra d’amortir l’impact financier d’un événement qui surviendra plus tard.

François Beaume a surtout insisté sur la nécessité d’investir dans des actions de prévention qui permettent de limiter la fréquence et l’impact des risques. « La première chose est de comprendre les risques de l’entreprise, de les identifier, d’évaluer les mécanismes de survenance. Cela permet ensuite d’agir par différents moyens de prévention« , a-t-il décrit, insistant sur le fait que c’est le socle fondamental avant de penser aux financements des risques.

Dialogues avec les assureurs

Il a également conseillé de formaliser clairement l’appétit au risque de l’entreprise, ce qui permettra de guider la stratégie en la matière. « En fonction de l’appétit au risque, la politique de souscription est très différente », a approuvé Étienne Charpentier.

Enfin, tous les intervenants de cette table-ronde ont insisté sur le nécessaire dialogue avec les assureurs, surtout en cette période. « Nous multiplions les réunions pour expliquer aux assureurs la réalité de l’entreprise, les risques auxquels nous sommes exposés, les choix que nous avons opérés pour améliorer la situation, les problématiques qui restent…« , a raconté François Beaume.

Stéphane Yvon a poussé à embarquer lors de ces discussions d’autres parties prenantes de l’entreprise, comme les personnes en charge de la cyber-sécurité ou celles du juridique. Le risk management est en effet un travail d’équipe, ne serait-ce que pour avoir une bonne connaissance du risque.

Eve Mennesson. 3 mars 2021 

L’assurance captive considérée comme un remède Covid et à la hausse des primes

Alors que les combats éclatent au sujet des paiements en cas de pandémie, de nombreuses entreprises regardent au-delà de la couverture traditionnelle

Partout dans le monde, les tribunaux se demandent si les polices d’assurance contre les pertes d’exploitation détenues par des millions d’entreprises couvrent une pandémie.

La hausse des primes d’assurance coûte aux entreprises des millions de dollars qu’elles peuvent difficilement se permettre alors qu’elles naviguent dans la pandémie de coronavirus. De nombreuses entreprises réagissent en essayant de gérer elles-mêmes les risques.

La montée en flèche de la demande d’assurance dite captive et le montant croissant des capitaux consacrés à l’atténuation des risques ont surpris de nombreux acteurs du secteur, y compris des courtiers qui vendent l’idée de créer un assureur captif.

Une captive est détenue et contrôlée par l’entreprise qui l’établit, qui peut être un restaurant, un fabricant de médicaments ou un détaillant. Il rédige une couverture pour ses propriétaires et paie les réclamations lorsque l’entreprise rencontre des problèmes inattendus. Avant même l’apparition du coronavirus, certaines entreprises américaines avaient veillé à ce que leurs captifs rédigent des polices couvrant une pandémie potentielle, leur permettant d’éviter les différends avec les assureurs traditionnels. Certains assureurs traditionnels ont en grande partie refusé de payer les demandes d’indemnisation pour interruption d’activité présentées par des entreprises touchées par des fermetures.

Créer sa propre compagnie d’assurance peut être une stratégie risquée. Un assureur captif dépourvu de capital suffisant – particulièrement au début de son existence – peut devenir insolvable s’il est confronté à des sinistres importants, laissant la société mère exposée en cas de besoin. Les captives doivent également prendre des décisions en matière de souscription et de réclamation sans lien de dépendance avec leurs propriétaires. Ne pas le faire risque de tomber à l’encontre des régulateurs dans certains pays.

Mais si une entreprise ne trouve pas de couverture adaptée sur le marché libre, la création d’une captive peut être une alternative. Se passer d’une assurance n’est peut-être pas une option – pour des raisons réglementaires, une entreprise peut avoir besoin de prouver qu’elle dispose d’une police d’assurance.

Le courtier d’assurance basé aux États-Unis, Marsh, a déclaré qu’au moins 25 des captifs qu’il gère dans le monde ont rédigé une couverture pour les risques de pandémie. De nombreuses autres entreprises ont mis en place des captives pour contrer les primes qui ont augmenté chaque trimestre depuis la fin de 2017. La pandémie pourrait alimenter des primes encore plus élevées, les assureurs cherchant à évaluer le risque de manière plus agressive.

Marsh a déclaré que le nombre de nouvelles captives qu’il avait aidé à former avait triplé entre janvier et juillet par rapport à un an plus tôt, coïncidant avec une période où les prix mondiaux de l’assurance ont enregistré des augmentations à deux chiffres au milieu de la crise des coronavirus. Aon, un autre courtier d’assurance, a déclaré avoir également constaté une demande plus élevée pour les unités.

Le groupe d’investissement Blackstone Group Inc. est une société qui compte davantage sur les captives pour augmenter ses primes d’assurance.

Fin juillet, sa Gryphon Mutual Insurance Co. est entrée en service, le point culminant de plusieurs mois de travail préparatoire qui ont commencé avant la pandémie. La captive se concentre sur la propriété en Amérique du Nord, mais pourrait être étendue à d’autres régions à l’avenir.

 «En fin de compte, cela nous donnera un meilleur contrôle sur notre programme d’assurance des biens et réduira les primes et les frais de courtage pour nos commanditaires», a déclaré un porte-parole de Blackstone.

Les captives ne sont pas une nouvelle tactique pour les entreprises pour atténuer les risques. La société de notation AM Best Co. affirme que la première captive du monde a été créée aux Bermudes dans les années 1960 en réponse au durcissement du marché de l’assurance, qui décrit le moment où les primes deviennent plus chères et la capacité de couverture des assureurs diminue. Le recours à des captifs coïncide souvent avec un marché de l’assurance qui se durcit, ou lors de crises telles que les attentats terroristes du 11 septembre ou les ouragans qui ont ravagé la côte du golfe du Mexique en 2004-05.

Bon nombre des plus grandes entreprises américaines ont utilisé des captives, notamment dans le secteur pétrolier et gazier. Ces dernières années, les sociétés de covoiturage Uber Technologies Inc. et Lyft Inc. ont formé des filiales d’assurance . L’assurance peut être un défi pour les entreprises qui s’engagent dans de nouveaux modèles commerciaux: les assureurs traditionnels n’ont souvent pas suffisamment d’informations pour tarifer la couverture d’une manière qui rendrait ces nouvelles entreprises économiquement viables.

Le recours accru aux captives ne pose pas de risque immédiat pour le secteur de l’assurance, selon les courtiers. Aon a déclaré que cela reflétait une réorganisation du secteur, les assureurs étant prêts à abandonner des secteurs d’activité devenus non rentables. Pourtant, les entreprises captives pourraient envisager d’élargir leur utilisation à l’avenir.

Selon AM Best, le nombre de captifs domestiques américains a plus que doublé pour atteindre 3133 entre 2007 et 2019.

La pandémie a mis en évidence l’intérêt de pouvoir adapter l’assurance en utilisant une captive, plutôt que de s’appuyer sur une couverture du marché libre via des assureurs traditionnels. De nombreuses entreprises pensaient être couvertes en cas de chocs inattendus, pour se faire dire par leurs assureurs traditionnels que les exclusions pandémiques dans les petits caractères des polices rendaient leurs réclamations invalides.

Partout dans le monde, les tribunaux se demandent si les polices d’assurance contre les pertes d’exploitation détenues par des millions d’entreprises couvrent une pandémie . Aux États-Unis, les assureurs de biens ont remporté une série de décisions judiciaires confirmant leurs refus de réclamations pour perte de revenus des entreprises lors de fermetures ordonnées par le gouvernement, atténuant les espoirs de paiement des assurés pour les aider à rebondir. Le 15 septembre, un tribunal britannique s’est prononcé principalement en faveur des assurés dans une affaire test qui a examiné différentes formulations de polices.

Alice Uribe. 27 septembre 2020

ASSURANCES & RISQUES. MARCHE DES ASSURANCES. CYBERRISQUE et assurances.

Mardi dernier (2 mars) nous avons analysé à travers deux articles le point de vue des entreprises d’assurances. Nous analysons aujourd’hui le marché de l’assurance et illustrons ses tensions à travers l’exemple du Cyberrisque.

Lecture complémentaire / assureurs-nouveaux risques-risque au cœur de la réflexion organisationnelle des entreprises Chapitre 1, p.29-46 : https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

Les prix s’enflamment dans l’assurance de risques industriels

Après quinze ans de calme plat, les prix sur le marché de l’assurance des risques industriels repartent à la hausse.

Après quinze ans de calme plat, le marché de l’assurance des risques industriels est en train de s’enflammer. Selon plusieurs acteurs, les prix connaissent depuis l’an dernier une remontée spectaculaire sur fond d’augmentation des coûts des sinistres, de baisse de capacités et de pression réglementaire.

« Depuis 2003, le marché de l’assurance industrielle était favorable au client, constate Laurent Belhout, directeur général de la filiale française du courtier américain AON. Mais depuis l’année dernière, il y a un tournant : on constate des hausses de plus de 10 % sur les risques industriels. »

L’assureur Zurich se prépare même à des hausses de prix de 20 à 40 % contre les risques d’interruption d’activités, d’incendie ou de cyberattaque. « La dernière fois que ce genre de marché a vraiment existé, c’était en 2002 », a déclaré mardi, à Bloomberg, James Shea, responsable de l’assurance commerciale chez Zurich.

Ce mouvement met fin à une période durant laquelle les primes d’assurance de grands risques avaient baissé de 40 %, après 2003. Une réaction elle-même liée à la flambée de 80 % qui avait eu lieu dans les deux ans après les attentats du 11 septembre 2001 . Mais aussi à la nouvelle donne du marché, marqué par une abondance d’offre.

« Surtout depuis la crise financière, une foultitude de capitaux sont venus financer l’assurance et la réassurance, créant des capacités supplémentaires et alimentant la compétition entre les acteurs », explique Brigitte Bouquot, présidente de l’Association pour le management des risques et des assurances de l’entreprise (AMRAE).

Mais ces derniers mois, les assureurs comme AXA XL ou Allianz ont changé d’attitude sous la pression de deux facteurs, explique-t-elle. Premièrement, les catastrophes naturelles, incendies et autres incidents , couplés à la judiciarisation des affaires (« class actions »…) ont renchéri le coût des dommages portés par les assureurs.

Deuxièmement, les nouvelles règles prudentielles de Solvabilité II ont obligé les assureurs à mettre plus de capital pour couvrir les risques au moment où ceux-ci se trouvent confrontés à l’interdépendance croissante de la mondialisation. Face à des scénarios systémiques sur lesquels ils n’ont pas forcément de données, ils sont plus frileux.

Thibaut Madelin. Janv. 2020.

Cyberrisque : la grande peur des assureurs

Le risque cyber est devenu la première menace des entreprises dans le monde, selon le baromètre Allianz. Les assureurs traînent des pieds pour couvrir ce nouveau risque systémique

Le risqu courtiers, selon le baromètre Allianz Global. (Photo Getty

Pour les dirigeants de Travelex, le premier réseau mondial de bureaux de change, le réveillon a dû être pénible. Le 31 décembre, des pirates ont injecté dans ses serveurs le virus informatique Sodinokibi et demandé une rançon ou menacé de publier des données privées de milliers de clients. Selon les médias, ils ont réclamé jusqu’à 6 millions de dollars. La société britannique dit avoir réussi à empêcher la propagation du virus, mais la révélation de l’attaque a fait chuter son cours de près de 17 % le 8 janvier.

Après l’attaque sur la banque américaine Capital One , qui s’est fait voler les données de 106 millions de clients l’été dernier, le cas Travelex illustre la montée des incidents cyber. Ceux-ci figurent pour la première fois en tête du baromètre annuel des risques qu’Allianz publie ce mardi (2700 experts du risque interrogés dans une centaine de pays). « Les incidents cyber et le changement climatique sont deux grands défis que les entreprises devront surveiller étroitement dans cette nouvelle décennie », annonce Joachim Müller, directeur général d’Allianz Global Corporate & Specialty (AGCS).

Mais alors que les risques cyber augmentent, les assureurs traînent des pieds. En France, Allianz constate ainsi une réduction des capacités disponibles par assureur et un début de hausse des primes. « C’est tout le paradoxe, regrette Léopold Larios de Piña, pilote de l’Observatoire des primes et assurances de l’AMRAE, l’Association pour le management des risques et des assurances de l’entreprise. Pendant dix ans, les assureurs ont voulu vendre des assurances cyber et au moment où les clients sont prêts à souscrire, ils commencent à voir les sinistres et excluent les risques à traiter. »

Des garanties en baisse

Selon l’association, alors que les assureurs étaient prêts à prendre un France un engagement de garanties de 25 à 30 millions auprès d’un client, ils ont limité leur engagement de moitié dans les derniers contrats. « Nous sommes passés d’une période où les assureurs se frottaient les mains face aux nouveaux risques à une période où ils sont plus frileux », déclare Brigitte Bouquot, présidente de l’AMRAE et administratrice des filiales d’assurance de Thales. S’il y a un choc, ce sont les entreprises qui devront le porter sur leur bilan. »

En 2017, Saint-Gobain a ainsi perdu 220 millions d’euros de chiffre d’affaires après la cyberattaque NotPetya. L’industriel n’était pas assuré contre ce risque précis et a revu depuis sa politique. Mais ceux qui l’étaient ont aussi gardé un goût amer. Attaqué par le même « ransomware » , le cabinet d’avocats américain DLA Piper a poursuivi son assureur, Hiscox, qui a refusé de payer le sinistre. Le géant de l’agroalimentaire Mondelez est lui aussi en litige avec son assureur, Zurich, qui refuse d’indemniser 100 millions de dollars de pertes et de dommages (se retranchant derrière le fait que l’attaque aurait été menée par un Etat, la Russie).

Or le risque ne cesse de croître. Selon IBM, une violation majeure de données, portant sur plus d’un million d’enregistrements compromis, coûte en moyenne 42 millions de dollars, soit 8 % de plus que l’année précédente. Les assureurs sont en train de prendre conscience de la dimension systémique du risque cyber. « C’est vraiment un risque global, plus encore que le nucléaire car, dans le cyber, la catastrophe est partout », témoigne le patron d’un grand groupe d’assurance.

Prévention

Du coup, les assureurs se trouvent au milieu du gué. « Le cyberrisque était largement garanti dans les contrats globaux de responsabilité civile (RC), indique Laurent Belhout, directeur général du courtier AON en France. Les assureurs vont l’exclure de la RC » et le traiter de façon autonome.

Dans l’immédiat, certains risques ne sont pas couverts car difficiles à qualifier. Par exemple : dans le cas d’une fraude sur paiement par carte dans l’avion, l’assureur pourrait le classer dans le risque aéronautique (si le paiement a lieu dans les airs) ou cyber (pour un paiement au sol), voire en responsabilité civile.

Ils mettent aussi l’accent sur la prévention. « L’assurance a un rôle vital à jouer pour aider les entreprises si toutes les autres mesures sont insuffisantes, mais ça ne doit pas remplacer la gestion stratégique du risque », insiste Marek Stanislawski, directeur mondial adjoint du risque cyber chez AGCS. De son côté, AXA XL va lancer avec Accenture un service de conseil aux entreprises sur la menace cyber. Pour Brigitte Bouquot, cela ne suffira pas. « Les assureurs doivent dire ce qu’ils veulent faire de ce nouveau risque », dit-elle.

Thibaut Madelin. Janv. 2020

ASSURANCES & RISQUES. Marché des Assurances et point de vue des entreprises d’assurances.

En septembre 2019, j’écrivais sur ce blog (voir Archives du blog ou Moteur de recherche) : « La problématique Assurances et Cyber risques qui fait l’objet de nombreux articles dans la presse me fait penser aux difficultés rencontrées face à ce que l’on appelait les nouveaux risques (1990-2003).  D’un côté, les compagnies d’assurances étaient plus réticentes à prendre en charge les risques industriels et les nouveaux risques, notamment de réputation. De l’autre les grandes entreprises à l’égard des compagnies d’assurances préféraient gérer elles-mêmes leurs risques. Cette nouvelle logique de transfert du risque a été l’un des points d’ancrage historique de la gestion des risques.  Dans notre ouvrage sur la Fonction Risk Manager, Nicolas Dufour et moi-même reprenons les propos d’un Risk Manager qui me disait : « Il existe un trou énorme entre la protection incendie proposée par les compagnies d’assurances et ce dont nous avons besoin… Quand je suis arrivé dans l’entreprise (1994), je me suis aperçu que l’objectif est la sauvegarde de l’outil de production… La perte d’exploitation est énorme, jusqu’à X millions d’euros, on achète une assurance incendie. Au-delà on achète de quoi remettre la machine en route. »  https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

N’en est-il pas de même en mars 2021 ?

Le sujet est toujours d’actualité, devenu conflictuel voire douloureux pendant la crise de la Covid-19. Les articles du mois de mars seront consacrés à ce sujet.

  • Nous commencerons aujourd’hui par présenter le point de vue des entreprises d’assurances. Retour sur les fondamentaux : risque assurable, appétit au risque.
  • Nous l’illustrerons la semaine prochaine via l’exemple du Cyberrisque et analyserons le marché des assurances.
  • Nous proposerons dans la deuxième quinzaine de mars des conseils et pistes de solutions : quelles solutions pour faire face à cette situation ? La gestion des risques transversale et le Risk Manager sont au premier plan. 

Opinion. Pourquoi le risque pandémique n’est pas assurable

Une pandémie entraîne par nature un cumul potentiel des sinistres tel qu’ils ne sont tout simplement plus absorbables par les compagnies d’assurances, écrit Denis Kessler. L’évaluation du risque est en outre rendue impossible par la diversité des réactions des pouvoirs publics dans les différents pays.

«Les décisions administratives ou politiques de fermeture de certains établissements sont non modélisables (…) ce qui rend l’évaluation du risque impossible». (Sébastien Bozon/AFP)

La crise sanitaire a mis le sujet de l’assurance des pertes d’exploitation des entreprises en situation de pandémie sous le feu des projecteurs. Selon certains, les assureurs, en ne proposant pas de protection contre ce risque, feraient preuve de « mauvaise volonté ». Cette affirmation est ubuesque. C’est en assurant que les assureurs créent de la valeur ! Si le marché de l’assurance ne propose pas de telle protection, c’est pour des raisons de fond qui tiennent à la nature même du risque. De fait, les conséquences économiques d’une pandémie sont non assurables.

Premièrement, alors que l’une des conditions de l’assurabilité, qui repose sur la mutualisation des risques, est que tous les sinistres ne se produisent pas en même temps, le risque de pertes d’exploitation en cas de pandémie est sériel : quasiment tous les agents économiques sont touchés simultanément. Cela découle de la portée régionale et même souvent nationale des mesures prises par les pouvoirs publics – confinements, couvre-feux, fermetures administratives… – qui affectent des pans entiers de l’économie. Les assureurs n’ont pas la capacité d’absorber un tel cumul de sinistres. Ce caractère sériel est d’autant plus marqué que, le risque pandémique étant global, il ne connaît pas les frontières. La diversification géographique des portefeuilles de risques est inopérante et aggrave le cumul de sinistralité pour les (ré)assureurs globaux. L’exposition peut atteindre plusieurs points du PIB mondial.

Deuxièmement, le risque de pertes d’exploitation liées à une pandémie, plutôt que d’obéir à des « lois de la nature », est largement non modélisable et endogène. Il dépend très largement des mesures spécifiques mises en oeuvre par les pouvoirs publics pour enrayer la diffusion du virus. Les pertes d’exploitation subies par les entreprises sont principalement consécutives à ces mesures qui in fine ont limité ou arrêté l’activité. Or ces décisions administratives ou politiques sont non modélisables. Le fait que les mesures prises face à la pandémie de Covid-19 sont très différentes d’un pays à l’autre – alors que ces derniers sont confrontés à des situations similaires ! – en atteste. Cette incertitude radicale et irréductible rend l’évaluation du risque et le calcul de la prime d’assurance impossibles.

Antisélection et aléa moral

Troisièmement, la dernière raison de non-assurabilité de ce risque tient à de possibles phénomènes d’antisélection et d’aléa moral. L’antisélection est l’effet par lequel seuls les agents économiques les plus exposés s’assurent, ce qui réduit l’effet de mutualisation. En l’espèce, seules les entreprises des secteurs les plus touchés – hôtellerie, restauration, tourisme… – achèteraient une protection (sauf à ce qu’elle soit obligatoire, ce qui poserait des questions d’acceptabilité). Celles appartenant à un secteur épargné – par exemple l’e-commerce – n’auraient aucun intérêt à s’assurer. L’aléa moral est l’effet par lequel le risque est augmenté par une modification du comportement des agents économiques dès lors qu’une assurance joue le rôle de filet de protection. En l’espèce, la couverture du coût du confinement par des tiers (les assureurs) créerait un problème d’aléa moral manifeste au niveau des pouvoirs publics, qui n’assumeraient plus le coût économique des décisions qu’ils prennent alors même qu’ils décident des voies et moyens pour faire face à la crise sanitaire et qu’ils sont in fine responsables de sa gestion ! Une telle situation pourrait inciter les pouvoirs publics à mettre en oeuvre des mesures plus coûteuses économiquement…

Les garanties pertes d’exploitation figurant dans les contrats d’assurance sont dans la quasi-totalité des cas liées à des dommages matériels, par exemple en cas d’incendie. Les conditions d’assurabilité sont alors réunies : les sinistres ne se produisent pas tous en même temps, le risque est largement exogène et modélisable, l’antisélection et l’aléa moral sont contenus. Dans de rares cas, des contrats ont pu prévoir clairement la couverture des pertes d’exploitation en cas de pandémie. Pour ces contrats, qu’il n’y ait pas d’ambiguïté : il faut les honorer. Si les contrats sont imprécis ou ambigus, il faut que le juge ou le médiateur tranche.

Le risque de pertes économiques en situation de pandémie présente des caractéristiques similaires au risque de dommages aux biens en situation de guerre : cumul des expositions, limites à la diversification, caractère non modélisable, rôle des décisions politiques et aléa moral. Le risque de guerre n’est pas assurable, et cela fait longtemps que la quasi-totalité des contrats d’assurance comportent une clause indiquant que les dommages du fait d’actes de guerre ne sont pas couverts. C’est la même raison pour laquelle la quasi-totalité des contrats d’assurance ne couvrent pas les pertes d’exploitation en cas de pandémie. Dans les deux cas – guerre comme pandémie -, seul l’Etat peut prendre en charge les conséquences économiques d’une crise d’une telle ampleur, via des mécanismes de redistribution qui en étalent la charge sur l’ensemble des agents économiques, et même sur plusieurs générations. Il n’est donc pas surprenant qu’à ce jour aucun pays ne soit arrivé à mettre au point un mécanisme de prise en charge par l’assurance. Il ne s’agit pas de mauvaise volonté de la part des assureurs, mais d’impossibilité technique et économique.

Denis Kessler est PDG de SCOR.

Publié le 15 janv. 2021.

Assurances & Risques : quelques réflexions sur cette crise

D’abord, prenons bien conscience de l’épreuve vécue par beaucoup : deuils, peur de la maladie, peur de la crise économique, des personnes âgées quittant ce monde sans être entourées de leurs proches et pour les croyants sans secours spirituel.

C’est important car il y aurait de l’indécence à ne voir dans cette crise qu’une « formidable opportunité » (d’unité, de solidarité, …). Et pourtant, nous devons bien nous demander en même temps comment traverser cette crise et donner le meilleur de nous-mêmes aux autres en gardant espérance et bonne humeur dans la mesure du possible : osons citer Baden Powell : la bonne humeur est aussi contagieuse que la rougeole…

Alors que faisons-nous de ce moment et quels enseignements pour nos métiers des risques et de l’assurance ?

Faire face au risque, l’assumer

Ce scénario de pandémie était connu et il n’est pas certain que nous y étions suffisamment préparés…. Dans les métiers du risque d’entreprise, on vit les mêmes problèmes : souvent les catastrophes déroulent des scénarios pré-identifiés que l’on n’a pas voulu voir, ou qui ont fait les frais d’arbitrages budgétaires « court termiste ».

Valoriser l’expertise sans en être prisonnier 

Sur des sujets techniques comme la santé ou les risques d’entreprise tels qu’incendie, collision durant le transport…, l’expertise est indispensable. Mais à la fin c’est le décideur qui doit se faire une opinion en responsabilité, avec ses intuitions, ses valeurs. Alors que les scientifiques en recherche nucléaire ont expliqué par a + b au Général de Gaulle toutes les difficultés techniques empêchant d’avancer sur le programme, ce dernier s’est fait sa propre opinion pour finalement, « en s’y prenant autrement », parvenir à suivre son planning et non celui des experts. Primauté donc à la décision du leader en considérant le bien commun. Sur la crise sanitaire, nous avons vu toutes les discussions, les positions contradictoires des experts sur ce qu’il fallait faire ou ne pas faire en termes de prévention et de soins en santé. A la fin, c’est le leader qui doit trancher, idéalement en ayant filtré les informations, exercé son jugement et considérer le bien commun. Pour revenir aux risques d’entreprises classiques, réalisons-nous des cartographies de risques en étant davantage mus par la nécessité d’être conforme aux règles, de « cocher la case » au risque de rester seulement collés à l’expertise ? Ou bien, ne devons-nous pas chercher à utiliser les informations collectées pour des prises de décisions avec les leaders afin de vraiment créer de la valeur en évitant ou réduisant les risques au bénéfice des salariés et de l’environnement en général ?

Donner du sens

Les conséquences financières de cette pandémie pour les entreprises ont conduit à des attentes et des challenges forts vis-à-vis de l’assurance sur la prise en charge de la perte d’exploitation. Des leaders de l’assurance ont répondu en fournissant des explications avec des propositions pour l’avenir. Mais sur le fonds cela ne souligne-t-il pas une incompréhension toujours forte de ce métier essentiel qu’est l’assurance pour l’économie ? Je me souviens que lorsque j’étais étudiant à Sciences Po, l’assurance n’était abordée qu’en tant qu’Investisseur Institutionnel, sans aborder son fonctionnement.

Parvenir à une meilleure compréhension de l’assurance, de ses mécanismes et de son modèle ne passe-t-elle pas par s’interroger sur ses fondamentaux : par exemple, comment comprendre l’assurance si son périmètre dédié à l’assurance des entreprises reste structurellement déficitaire depuis des années ?

Alors que la matière première de l’assurance sont les données, comment accepter que toutes les données disponibles ne soient pas utilisées et valorisées avec tous les outils innovants comme l’Intelligence Artificielle, afin de permettre une meilleure connaissance des risques et de leurs coûts ?

Cette meilleure connaissance du risque et de son coût bénéficiera bien sûr aux assureurs dans la gestion de leurs propres engagements mais aussi à leurs clients entreprises. Au-delà des challenges liés à la crise sanitaire, l’assurance, ancrée sur ses fondamentaux, valorisant son expertise et tout son potentiel d’innovation peut accroître la valeur qu’elle apporte au service du bien commun (société, entreprises, personnes), en clarifiant son rôle et en générant davantage de confiance.

Laurent Barbagli

Publié le 21 avril 2020

AMRAE – La sagesse du risque, pour une immunité collective – 3-4 février 2021. Ce qui se cache derrière ce titre. A lire et re (voir).

Merci à Cécile DESJARDINS de relayer mes propos dans son article « Management du Risques : le retour de l’humilité. » Les Echos, 3 février 2021.

2020 : année stratégique pour le Risk Management et le Risk Manager. Le RM a gagné en légitimité cognitive (Suchman, 1995). Elle est le « graal de la légitimité » : écoute encore plus attentive de la DG, accès renforcé aux opérationnels, une fonction plus visible. En montrant quel était son rôle, le RM a également gagné en légitimité personnelle : expérience, connaissance de son groupe, de son activité et des opérations, sens de la communication pour se faire entendre en toute liberté de la DG et des opérationnels (sensibiliser, faire prendre conscience des risques, alerter tout en sachant rassurer).

A lire : le dossier RISK MANAGEMENT 2021, Les Echos, 3 février 2021.

Le rendez-vous annuel des responsables des risques en entreprise ne s’est pas tenu à Deauville cette année. Face à une pandémie à rebonds, l’AMRAE (Association pour la Gestion des risques et des Assurances dans les Entreprises) a choisi une rencontre en ligne pour faire le point sur les grands enjeux de la profession, mise à l’épreuve par une crise mondiale sans précédent.

A (re)voir : les REPLAYS des tables rondes. Gratuitement – il suffit de s’inscrire) à cette adresse : https://lnkd.in/eEpjQSy

Exemples de thèmes abordés : Risques, climat et RSE ; Risques RH et associés ; Cyberrisque ; Gestion globale des risques ; Financement des risques par les assureurs intégrant le riskmanagement.

Ces thèmes, à l’exception du dernier, ont fait l’objet de nombreux articles dans ce blog (voir Archives ou moteur de recherche). Je décris pourtant la logique de transfert du risque des assureurs vers les entreprises comme le 3ème facteur ayant contribué à faire du risque, une variable stratégique de la réflexion des entreprises. Je l’aborderai dans les publications des semaines à venir sur le blog.

https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

RGPD. BEST-PRACTICES ET PLANS D’ACTIONS

Le mois de janvier est consacré au RGDP, que j’appelle dans mes travaux un amplificateur de risques (p.47, chapitre 1) / https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html
Après le rappel du contexte réglementaire, les 1eréléments de bilan 2020 et les sanctions (Carrefour et Carrefour Banque, Google, H&M) je vous propose, à partir d’éléments communiqués par l’entreprise toulousaine I-Trust (Editeur de solutions de Cybersécurité), une synthèse de best practices issues des règles de l’ANSSI et des recommandations de la CNIL. Autant de best pratices à suivre et de plans d’actions à mettre en œuvre.

Les règles de conformité RGPD imposent aux entreprises de se sécuriser selon les meilleures pratiques issues des :

Les règles d’hygiènes et bonnes pratiques de l’ANSSI

# 4 : Identifier les informations et serveurs les plus sensibles et maintenir un schéma du réseau.

Maintenir la cartographie du SI et des informations sensibles via les tags RGPD.

# 5 : Disposer d’un inventaire des comptes privilégiés et les maintenir à jour.

Identifier les comptes privilégiés et de vérifier en continu leur mise à jour. 

# 7 : Autoriser la connexion au réseau de l’entité aux seuls équipements maîtrisés.

Détecter la connexion d’appareils étrangers au SI.

#8 : Identifier nommément chaque personne accédant au système et distinguer les rôles utilisateur/administrateur. Journalisation activée.

Détecter les comportements malveillants sur les opérations de comptes et les partages réseaux. 

Détecter les bruits de force de compte. 

# 10 : Définir et vérifier des règles de choix et de dimensionnement des mots de passe.

Détecter des mots de passe triviaux actifs sur le réseau.

# 12 : Changer les éléments d’authentification par défaut sur les équipements et services.

Détecter les mots de passe par défaut sur les équipements et services.

# 14 : Mettre en place un niveau de sécurité minimal sur l’ensemble du parc informatique. Cette règle concerne essentiellement des points de configuration (chiffrement disque, désactivation autorun, etc.).

# 18 : Chiffrer les données sensibles transmises par voie Internet.

Détecter la présence de services d’échange ou d’interface de connexion non sécurisés.

# 20 : S’assurer de la sécurité des réseaux d’accès Wi-Fi et de la séparation des usages.

Scanner la sécurité des équipements impliqués dans le WiFi (bornes, routeur, etc.)

#21 : Utiliser des protocoles réseaux sécurisés dès qu’ils existent.

Détecter les services en écoute qui ne garantissent pas la sécurité des transmissions.

# 22 : Mettre en place une passerelle d’accès sécurisé à Internet.

Scanner la sécurité de cette passerelle.

#34 : Définir une politique de mise à jour des composants du système d’information.

Détecter les problèmes d’obsolescence des composants.

#36 : Activer et configurer les journaux des composants les plus importants.

Effectuer une étude contextuelle du SI. Journaliser les éléments suivants : > pare-feu : paquets bloqués ; > systèmes et applications : authentifications et autorisations (échecs et succès), arrêts inopinés ; > services : erreurs de protocoles (par exemples les erreurs 403, 404 et 500 pour les services HTTP), traçabilité des flux applicatifs aux interconnexions (URL sur un relai HTTP, en-têtes des messages sur un relai SMTP, etc.). Pour se faire un centre opérationnel de sécurité doit être installé. 

#38 : Procéder à des contrôles et audits de sécurité régulier puis appliquer les actions correctives associées.

Auditer le réseau en continu et éliminer les vulnérabilités évidentes pour que les auditeurs puissent se concentrer sur les failles cachées.

Procéder à des contrôles et audits de sécurité réguliers pour appliquer les actions correctives associées. 

# 40 : Définir une procédure de gestion des incidents.

Surveiller en continu toute intrusion ou malveillance présente sur le SI.

# 42 : Privilégier l’usage de produits et de services qualifiés par l’ANSSI.

Obtenir la certification CSPN.

Les règles de la CNIL. Les fiches CNIL sur la sécurité des données personnelles. 

#Fiche 1 : Sensibiliser les utilisateurs

Formation au RGPD pour faire le point sur les nouvelles règles et connaître les outils qui sont obligatoires depuis mai 2018, afin de lancer la mise en conformité au plus tôt dans votre organisme.

Cette formation est adressée aux CIL/DPO/DSI/RSSI/Responsable qualité et conformité.

#Fiche 2 : Authentifier les utilisateurs.

Cartographie de l’ensemble du SI permettant de détecter la connexion d’appareils étrangers au SI. Il permet de détecter les protocoles d’accès et d’authentification (ssh/smtp/FTP/…)

#Fiche 3 : Gérer les habilitations.

#Fiche 4 : Tracer les accès et gérer les incidents.

#Fiche 5 : Sécuriser les postes de travail. 

#Fiche 6 : Sécuriser l’informatique mobile. 

#Fiche 7 : Protéger le réseau informatique interne.

#Fiche 8 : Sécuriser les serveurs.

#Fiche 9 : Sécuriser les sites web.

Cartographie de l’ensemble du réseau. Note de criticité et correctifs associés. Identification des vulnérabilités et logiciels non mis à jour de la plupart des périphériques et applications, y compris les firewalls, les serveurs, les systèmes d’exploitation de bureau, les imprimantes, les appareils sans fil, ainsi que de nombreux autres éléments.

RGPD. SANCTIONS. CARREFOUR. GOOGLE. H&m.

Le mois de janvier est consacré au RGDP, que j’appelle dans mes travaux un amplificateur de risques (p.47, chapitre 1) / https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

Au programme :

  • article / sanctions Carrefour France (2,25 millions euros) et Carrefour Banque (800 000 euros) / avec les délibérations et pour approfondir les références aux articles de la CNIL
  • article / sanctions Google LLC (60 millions d’euros) et Google Ireland Limited (40 millions d’euros)
  • article sanctions H&M (35 millions d’euros)

Sanctions de 2 250 000 euros et de 800 000 euros pour les sociétés CARREFOUR FRANCE et CARREFOUR BANQUE

26 novembre 2020


Saisie de plusieurs plaintes, la CNIL a sanctionné deux sociétés du groupe CARREFOUR pour des manquements au RGPD concernant notamment l’information délivrée aux personnes et le respect de leurs droits.

Saisie de plusieurs plaintes à l’encontre du groupe CARREFOUR, la CNIL a effectué des contrôles entre mai et juillet 2019 auprès des sociétés CARREFOUR FRANCE (secteur de la grande distribution) et CARREFOUR BANQUE (secteur bancaire). À cette occasion, la CNIL a constaté des manquements concernant le traitement des données des clients et des utilisateurs potentiels. La Présidente de la CNIL a donc décidé d’engager une procédure de sanction à l’encontre de ces sociétés.

À l’issue de cette procédure, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a effectivement considéré que les sociétés avaient manqué à plusieurs obligations prévues par le RGPD.

Elle a ainsi sanctionné la société CARREFOUR FRANCE d’une amende de 2 250 000 euros et la société CARREFOUR BANQUE d’une amende de 800 000 euros. En revanche, elle n’a pas prononcé d’injonction dès lors qu’elle a constaté que des efforts importants avaient permis la mise en conformité sur tous les manquements relevés.

Des manquements à l’obligation d’informer les personnes (article 13 du RGPD)

L’information fournie aux utilisateurs des sites carrefour.fr et carrefour-banque.fr comme aux personnes désirant adhérer au programme de fidélité ou à la carte Pass n’était pas facilement accessible (accès à l’information trop compliqué, dans des documents très longs contenant d’autres informations), ni facilement compréhensible (information rédigée en des termes généraux et imprécis, utilisant parfois des formulations inutilement compliquées). De plus, elle était incomplète en ce qui concerne la durée de conservation des données.

Concernant le site carrefour.fr, l’information était également insuffisante en ce qui concerne les transferts de données hors de l’Union européenne et la base légale des traitements (fichiers).

Sur ce point, les sociétés ont modifié leurs mentions d’information et sites web durant la procédure pour se mettre en conformité.

Des manquements relatifs aux cookies (article 82 de la loi Informatique et Libertés)

La CNIL a constaté que, lorsqu’un utilisateur se connectait au site carrefour.fr ou au site carrefour-banque.fr, plusieurs cookies étaient automatiquement déposés sur son terminal, avant toute action de sa part. Plusieurs de ces cookies servant à la publicité, le consentement de l’utilisateur aurait pourtant dû être recueilli avant le dépôt.

Les sociétés ont modifié, durant la procédure, le fonctionnement de leurs sites web. Plus aucun cookie publicitaire n’est désormais déposé avant que l’utilisateur n’ait donné son accord.

Un manquement à l’obligation de limiter la durée de conservation des données (article 5.1.e du RGPD)

La société CARREFOUR FRANCE ne respectait pas les durées de conservation des données qu’elle avait fixées. Les données de plus de vingt-huit millions de clients inactifs depuis cinq à dix ans étaient ainsi conservées dans le cadre du programme de fidélité. Il en était de même pour 750 000 utilisateurs du site carrefour.fr inactifs depuis cinq à dix ans.

Par ailleurs, en l’espèce, la formation restreinte considère qu’une durée de conservation de 4 ans des données clients après leur dernier achat est excessive. En effet, cette durée, initialement retenue par la société, excède ce qui apparaît nécessaire dans le domaine de la grande distribution, compte tenu des habitudes de consommation des clients qui font principalement des achats réguliers. 

Pendant la procédure, la société CARREFOUR FRANCE a engagé d’importants moyens pour procéder aux modifications nécessaires à sa mise en conformité avec le RGPD. Toutes les données trop anciennes ont notamment été supprimées.

Un manquement à l’obligation de faciliter l’exercice des droits (article 12 du RGPD)

La société CARREFOUR FRANCE exigeait, sauf pour l’opposition à la prospection commerciale, un justificatif d’identité pour toute demande d’exercice de droit. Cette demande systématique n’était pas justifiée dès lors qu’il n’existait pas de doute sur l’identité des personnes exerçant leurs droits. Par ailleurs, la société n’a pas été en mesure de traiter dans les délais exigés par le RGPD plusieurs demandes d’exercice de droits.

Sur ces deux points, la société a modifié ses pratiques durant la procédure. Elle a notamment déployé d’importants moyens humains et organisationnels pour répondre à l’ensemble des demandes reçues dans un délai inférieur à un mois.

Un manquement au respect des droits (articles 15, 17 et 21 du RGPD et L34-5 du Code des postes et des communications électroniques)

Tout d’abord, la société CARREFOUR FRANCE n’a pas donné suite à plusieurs demandes de personnes souhaitant accéder à leurs données personnelles. La société s’est rapprochée de toutes les personnes concernées durant la procédure.

Ensuite, dans plusieurs cas, la société n’a pas procédé à l’effacement de données demandé par plusieurs personnes alors qu’elle aurait dû le faire. Sur ce point également, la société a fait droit à toutes les demandes durant la procédure.

Enfin, la société n’a pas pris en compte plusieurs demandes de personnes s’étant opposées à recevoir de la publicité par SMS ou courrier électronique, notamment en raison d’erreurs techniques ponctuelles. La société s’est mise en conformité durant la procédure sur ce point également.

Un manquement à l’obligation de traiter les données de manière loyale (article 5 du RGPD)

Lorsqu’une personne souscrivant à la carte Pass (carte de crédit pouvant être rattachée au compte fidélité) souhaitait également adhérer au programme de fidélité, elle devait cocher une case indiquant qu’elle acceptait que CARREFOUR BANQUE communique à « Carrefour fidélité » son nom, son prénom et son adresse de courrier électronique. CARREFOUR BANQUE indiquait explicitement qu’aucune autre donnée n’était transmise. La CNIL a pourtant constaté que d’autres données étaient transmises, comme l’adresse postale, le numéro de téléphone et le nombre de ses enfants, bien que la société se fût engagée à ne transmettre aucune autre donnée.

Sur ce point, la société a modifié ses pratiques durant la procédure. Elle a entièrement refondu son parcours de souscription en ligne à la carte Pass et les personnes sont désormais informées de l’ensemble des données transmises à la société CARREFOUR FRANCE.

Les délibérations

> Délibération de la formation restreinte n° SAN-2020-008 du 18 novembre 2020 concernant la société CARREFOUR FRANCE 

> Délibération de la formation restreinte n° SAN-2020-009 du 18 novembre 2020 concernant la société CARREFOUR BANQUE 

Pour approfondir

> La procédure de sanction

Les textes de référence

> Article 5 du règlement général sur la protection des données (principes relatifs au traitement des données personnelles) 

> Article 5.1.e du RGPD (conservation des données) 

> Article 12 du RGPD (transparence des informations et des communications et modalités de l’exercice des droits de la personne concernée) 

> Article 13 du RGPD (informations à fournir lorsque des données personnelles sont collectées auprès de la personne concernée) 

> Article 15 du RGPD (droits de la personne concernée) 

> Article 17 du RGPD (droit à l’effacement ou droit à l’oubli) 

> Article 21 du RGPD (droit d’opposition) 

> Article 82 de la loi Informatique et Libertés (droits et obligations propres aux traitements dans le secteur des communications électroniques) 

> Article L34-5 du Code des postes et des communications électroniques 

Cookies : sanction de 60 millions d’euros à l’encontre de GOOGLE LLC et de 40 millions d’euros à l’encontre de GOOGLE IRELAND LIMITED

10 décembre 2020

Le 7 décembre 2020, la formation restreinte de la CNIL a sanctionné les sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED d’un montant total de 100 millions d’euros d’amende, notamment pour avoir déposé des cookies publicitaires sur les ordinateurs d’utilisateurs du moteur de recherche google.fr sans consentement préalable ni information satisfaisante.

Le 16 mars 2020, la CNIL a effectué un contrôle en ligne sur le site web google.fr qui a permis de constater que lorsqu’un utilisateur se rendait sur ce site, des cookies étaient automatiquement déposés sur son ordinateur, sans action de sa part. Plusieurs de ces cookies poursuivaient un objectif publicitaire.

Les manquements à la loi Informatique et Libertés

La formation restreinte, organe de la CNIL chargé de prononcer les sanctions, a relevé trois violations à l’article 82 de la loi Informatique et Libertés :

Un dépôt de cookies sans recueil préalable du consentement de l’utilisateur

Lorsqu’un utilisateur se rendait sur la page google.fr, plusieurs cookies poursuivant une finalité publicitaire étaient automatiquement déposés sur son ordinateur sans action de sa part.

Ce type de cookies ne pouvant être déposé sans que l’utilisateur ait exprimé son consentement, la formation restreinte a considéré que les sociétés n’avaient pas respecté l’exigence prévue par l’article 82 de la loi Informatique et Libertés de recueil préalable du consentement avant le dépôt de cookies non essentiels au service.

Un défaut d’information des utilisateurs du moteur de recherche google.fr

Lorsqu’un utilisateur se rendait sur la page google.fr, un bandeau d’information s’affichait en pied de page, portant la mention suivante « Rappel concernant les règles de confidentialité de Google » en face de laquelle figuraient deux boutons intitulés « Me le rappeler plus tard » et « Consulter maintenant ».

Ce bandeau ne fournissait à l’utilisateur aucune information relative aux cookies qui avaient pourtant déjà été déposés sur son ordinateur, dès son arrivée sur le site. Cette information ne lui était pas non plus fournie lorsqu’il cliquait sur le bouton « Consulter maintenant ».

La formation restreinte a donc estimé que l’information fournie par les sociétés ne permettait pas aux utilisateurs résidant en France d’être préalablement et clairement renseignés quant au dépôt de cookies sur leur ordinateur ni, par conséquent, des objectifs de ces cookies et des moyens mis à leur disposition quant à la possibilité de les refuser.

La défaillance partielle du mécanisme « d’opposition »

Lorsqu’un utilisateur désactivait la personnalisation des annonces sur la recherche Google en recourant au mécanisme mis à sa disposition à partir du bouton « Consulter maintenant », un des cookies publicitaires demeurait stocké sur son ordinateur et continuait de lire des informations à destination du serveur auquel il est rattaché.

La formation restreinte a donc estimé que le mécanisme « d’opposition » mis en place par les sociétés était partiellement défaillant, en violation de l’article 82 de la loi Informatique et Libertés.

La sanction prononcée par la formation restreinte

La formation restreinte a sanctionné la société GOOGLE LLC d’une amende de 60 millions d’euros et la société GOOGLE IRELAND LIMITED d’une amende de 40 millions d’euros, rendues publiques.

La formation restreinte a justifié ces montants au regard de la gravité du triple manquement précité à l’article 82 de la loi Informatique et Libertés.

Elle a également souligné la portée du moteur de recherche Google Search en France et le fait que les pratiques des sociétés ont affecté près de cinquante millions d’utilisateurs.

Enfin, elle a relevé les bénéfices considérables que les sociétés tirent des revenus publicitaires indirectement générés à partir des données collectées par ces cookies publicitaires.

La formation restreinte a pris acte que, depuis une mise à jour de septembre 2020, les sociétés cessent de déposer automatiquement les cookies publicitaires dès l’arrivée de l’utilisateur sur la page google.fr.

Elle a néanmoins relevé que le nouveau bandeau d’information mis en œuvre par les sociétés lors de l’arrivée sur la page google.fr ne permettait toujours pas aux utilisateurs résidant en France de comprendre les finalités pour lesquelles les cookies sont utilisés et ne les informait pas du fait qu’ils pouvaient refuser ces cookies.

Dès lors, en complément des amendes administratives, la formation restreinte a également adopté une injonction sous astreinte afin que les sociétés procèdent à une information des personnes conforme à l’article 82 de la loi Informatique et Libertés dans un délai de 3 mois à compter de la notification. Dans le cas contraire, les sociétés s’exposeront au paiement d’une astreinte de 100 000 euros par jour de retard.

Une compétence de la CNIL 

Dans sa délibération, la formation restreinte a rappelé que la CNIL est matériellement compétente pour contrôler et sanctionner les cookies déposés par les sociétés sur les ordinateurs des utilisateurs résidant en France. Elle a souligné ainsi que le mécanisme de coopération prévu par le RGPD (mécanisme de « guichet unique ») n’avait pas vocation à s’appliquer dans cette procédure étant donné que les opérations liées à l’utilisation des cookies relèvent de la directive « ePrivacy », transposée à l’article 82 de la loi Informatique et Libertés.

Elle a considéré qu’elle est également territorialement compétente en application de l’article 3 de la loi Informatique et Libertés car le recours à des cookies est effectué dans le « cadre des activités » de la société GOOGLE FRANCE qui constitue « l’établissement » sur le territoire français des sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED et y assure la promotion de leurs produits et services.

Elle a également estimé que les sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED sont conjointement responsables dès lors qu’elles déterminent toutes les deux les finalités et les moyens liés à l’usage des cookies.

L’articulation de la sanction avec les travaux de la CNIL sur les cookies

Dans le cadre de son plan d’action sur le ciblage publicitaire et pour tenir compte de l’entrée en application du RGPD, la CNIL a publié le 1er octobre 2020 ses lignes directrices modificatives ainsi qu’une recommandation portant sur l’usage de cookies et autres traceurs. La CNIL a demandé aux acteurs de se conformer aux règles ainsi clarifiées, en estimant que cette période d’adaptation ne devrait pas dépasser six mois.

À cette occasion, elle a néanmoins précisé qu’elle continuerait notamment à contrôler pleinement le respect des autres obligations qui n’ont fait l’objet d’aucune modification et le cas échéant, d’adopter des mesures correctrices pour protéger la vie privée des internautes.

Les obligations dont la CNIL sanctionne aujourd’hui le non-respect par les sociétés préexistaient au RGPD et ne font donc pas partie de celles qui ont été clarifiées par les nouvelles lignes directrices et la recommandation du 1er octobre 2020.

Note : La société GOOGLE LLC, établie en Californie, développe le moteur de recherche Google Search. La société GOOGLE IRELAND LIMITED, dont le siège est en Irlande, se présente comme le siège européen du groupe Google. La société GOOGLE FRANCE est l’établissement en France de la société GOOGLE LLC.

Une amende de 35 millions d’euros pour H&M qui a stocké les données personnelles des salariés

Ces faits ont été dévoilés en octobre 2019, lorsqu’une erreur informatique les a rendus accessibles, pendant quelques heures, à l’ensemble de l’entreprise.     

Une amende de plus de 35 millions d’euros a été prononcée contre l’enseigne H&M en Allemagne jeudi. Le groupe a été condamné pour avoir rassemblé et stocké des informations sur une centaine de salariés.

L’Allemagne a infligé jeudi une amende sans précédent de 35,3 millions d’euros au groupe de prêt-à-porter H&M, pour avoir enregistré des données privées de certains salariés à leur insu, a annoncé le centre de protection des données du pays jeudi.

« Large connaissance » de la vie privée des employés

« Une amende de 35 258 707,95 euros est requise contre H&M (…) pour une affaire de surveillance de plusieurs centaines de ses collaborateurs », a indiqué le Commissariat à la protection des données de Hambourg. Il s’agit du montant le plus important infligé par l’Allemagne à une entreprise au nom de la législation européenne sur la protection des données privées (RGPD), depuis son entrée en vigueur en 2018, a indiqué une porte-parole de l’institution.

Les autorités reprochent au groupe de prêt-à-porter d’avoir laissé des responsables d’un site H&M, à Nuremberg (sud), rassembler et stocker des informations sur leurs salariés, entre 2014 et 2019. « Certains de ces supérieurs ont acquis une large connaissance de la vie privée de leurs employés », a constaté le centre de protection.

Une erreur informatique

Après l’absence d’un collaborateur, les responsables du site organisaient systématiquement un entretien, traitant « des vacances », ou des « symptômes et diagnostics » du salarié, en cas de congés maladie. Ces informations étaient ensuite « enregistrées », stockées numériquement, et servaient à « établir des profils individuels ».

H&M insiste sur l’aspect « local » de ces pratiques

Les supérieurs obtenaient également des éléments de vie privée de leurs collaborateurs lors de discussions informelles, notamment sur des « problèmes familiaux », ou des « croyances religieuses ». Ces données étaient ensuite « disponibles à la lecture pour jusqu’à 50 responsables du groupe ».

Réagissant à la décision des autorités allemandes, la marque de prêt-à-porter a présenté ses excuses pour des faits qu’elle estime « non conformes aux directives et instructions » du groupe. H&M insiste sur l’aspect « local » de ces pratiques, et affirme avoir « signalé immédiatement les faits » aux autorités, après en avoir pris connaissance.

Ces faits ont été dévoilés en octobre 2019, lorsqu’une erreur informatique les a rendus accessibles, pendant quelques heures, à l’ensemble de l’entreprise. 

L’Europe veut protéger la vie privée

Le Règlement européen de protection des données a renforcé les obligations des entreprises en termes de protection de la vie privée. Il prévoit des amendes pouvant aller jusqu’à 4% de leur chiffre d’affaires.

En 2019, l’Allemagne a déjà condamné le groupe immobilier Deutsche Wohnen à une amende de 14,5 millions d’euros pour avoir archivé des données sensibles de ses locataires. La France a de son côté infligé une sanction de 50 millions d’euros au géant de l’informatique Google, pour défaut d’information de ses utilisateurs de leurs données personnelles. L’amende la plus élevée a été infligée par le Royaume-Uni à la compagnie aérienne British Airways, qui a écopé en 2019 d’une sanction de 183 millions de livres (200 millions d’euros), pour un vol des données financières de centaines de milliers de ses clients.