Archives pour la catégorie GESTION DES RISQUES

ASSURANCES&RISQUES. Quelles solutions pour faire face aux tensions du marché ? La gestion des risques transversale et le Risk Manager sont au premier plan.

Nous proposons depuis mardi dernier (16 mars) des pistes de solutions. Pour compléter la lecture des deux articles, je vous propose d’écouter en suivant le lien ci-dessous la table ronde de l’AMRAE intitulée  « Quels financements des risques par le marché de l’assurance, intégrant le risk management ? » Avec Cécile DESJARDINS, Frédéric DHERS (SCOR), Stéphane YVON (EDF), Etienne CHARPENTIER (SIACI), François BEAUME (AMRAE, Sonepar)

Cette table ronde, à vocation pédagogique, rappelle les différentes techniques de financement des risques par le marché.

  • Comment intégrer le Risk Management au plan de financement des risques ?
  • Comment utiliser le marché de l’assurance pour couvrir une partie des risques ?
  • Comment effectuer ce partage des risques entre l’entreprise et l’assureur : entre sinistres de fréquence et sinistres CAT, quel est le bon niveau de financement du risque à transférer aux assureurs, dans une logique de résilience individuelle et de maitrise des primes ?
  • Quelle intervention de l’assurance pour les grands groupes ?
  • Le dispositif de la captive permet-il d’optimiser les négociations des programmes ?

Les intervenants terminent en mettant au premier plan :

  • La démarche de gestion des risques transversale qui est la meilleure solution ;
  • Le Risk Manager qui en est l’acteur principal : « un RM très bien connecté dans les entreprises » ; celui qui a la « meilleure connaissance des risques » ; « qui a un réseau maillé dans l’entreprise. »

Lien vers la conférence : https://youtu.be/2ai4FtbFgXk

C’est ce que nous développons également dans notre ouvrage.

Lien vers l’ouvrage : https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

ASSURANCES & RISQUES. QUELLES SOLUTIONS ? CAPTIVES. MEILLEURE COMPREHENSION DES RISQUES. DIALOGUE DU RISK MANAGER ET AUTRES PARTIES PRENANTES AVEC LES ASSUREURS

Mardi dernier (9 mars) , nous avons analysé le marché de l’assurance et illustrer ses tensions à travers l’exemple du Cyberrisque. Je vous propose aujourd’hui des pistes de solutions : quelles solutions pour faire face à cette situation ? Retour sur ce qu’est une captive.

https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

Quelle stratégie en termes d’assurance en cette période de crise ?

Le sujet de l’assurance est douloureux au sein de nombre d’entreprises qui ont vu leurs assureurs à la fois augmenter les prix et réduire les couvertures. Face à cette situation, faut-il revoir sa stratégie d’assurance ? Ce sujet fut débattu lors des Rencontres du risk management de l’AMRAE

La hausse des prix de l’assurance pour les entreprises a fait les grands titres des journaux fin 2020. A l’occasion de ses Rencontres du risk management qui ont eu lieu début février 2021, l’AMRAE s’est emparé de ce sujet en y consacrant une table-ronde : « Quels financements des risques par le marché de l’assurance, intégrant le risk management ? »

Le constat des participants à ce débat fut sans appel : « Cela dépend des lignes mais la hausse atteint parfois 30/50%, parfois même plus, pour des niveaux de garantie équivalents. Et nous n’avons pas tout vu à mon avis étant donné que tous les programmes n’ont pas encore été renouvelés », a rapporté Stéphane Yvon, directeur de la politique assurances du groupe EDF.

80% des risques non assurés

Frédéric Dhers, CEO de SCOR Europe, a justifié ces augmentations par un phénomène de crises multiples. « Nous vivons non pas une crise mais des crises. La crise sanitaire, inédite, qui se chiffre pour l’instant à 70 milliards de dollars de sinistre en termes d’assurance. Une crise économique, qui a conduit à une contraction de plus de 8% du PIB en France alors que la baisse était d’à peine 3% en 2009. Une crise climatique, aussi, avec des catastrophes naturelles qui impactent les assureurs », a-t-il énuméré.

Quelles qu’en soient les raisons, que doivent faire les entreprises face à une telle hausse des prix mais également à une réduction des couvertures ou encore à l’ajout de certaines exclusion ?

Pour François Beaume, vice-président risques et assurances de Sonepar et vice-président de l’AMRAE, il est évident qu’une bonne partie du financement des risques va rester en interne. « 80% des risques ne sont pas assurés ou pas assurables. Et sur les 20% restant, il y a un effet de contraction car les assureurs baissent les limites et, qu’en plus, ces limites-là vont coûter plus cher ».

De plus, comme l’a rappelé Stéphane Yvon, avec la crise, les entreprises sont en train de revoir leurs dépenses.

La solution de la captive d’assurance

La solution serait de ne plus assurer les risques ? Pour contourner le problème, la plupart des grandes entreprises du CAC 40 et du SBF 120 ont opté pour une captive d’assurance. Il s’agit d’une filiale créée par l’entreprise qui va jouer le rôle d’un assureur ou d’un réassureur mais uniquement pour les risques du groupe auquel elle appartient.

Si le dispositif peut être intéressant, il intéresse cependant surtout les grands groupes. « Les captives concernent plutôt les grandes entreprises, qui réalisent plus d’1,5 milliard d’euros de chiffre d’affaire. De manière générale, en-dessous d’un million d’euros de prime, il est difficile d’avoir un outil pérenne en mesure de payer les sinistres », a expliqué Étienne Charpentier, directeur solutions et transferts alternatifs chez Siaci Saint-Honoré.

Les entreprises de plus petite taille, les grosses ETI qui ont un bon niveau de primes à gérer, peuvent quant à elles se tourner vers la captive à compartiments, c’est-à-dire la location d’un compartiment captif dans une structure existante. Il faut pour cela trouver un bon courtier qui sait gérer ces dispositifs auprès de sociétés généralement situées à Malte.

Comprendre les risques

Pour les plus petites structures, le plus simple est peut-être, comme l’a proposé François Beaume, de se doter d' »un système de provisions qui permet de préparer le futur dans les comptes d’aujourd’hui ». L’objectif est de se doter d’un matelas qui permettra d’amortir l’impact financier d’un événement qui surviendra plus tard.

François Beaume a surtout insisté sur la nécessité d’investir dans des actions de prévention qui permettent de limiter la fréquence et l’impact des risques. « La première chose est de comprendre les risques de l’entreprise, de les identifier, d’évaluer les mécanismes de survenance. Cela permet ensuite d’agir par différents moyens de prévention« , a-t-il décrit, insistant sur le fait que c’est le socle fondamental avant de penser aux financements des risques.

Dialogues avec les assureurs

Il a également conseillé de formaliser clairement l’appétit au risque de l’entreprise, ce qui permettra de guider la stratégie en la matière. « En fonction de l’appétit au risque, la politique de souscription est très différente », a approuvé Étienne Charpentier.

Enfin, tous les intervenants de cette table-ronde ont insisté sur le nécessaire dialogue avec les assureurs, surtout en cette période. « Nous multiplions les réunions pour expliquer aux assureurs la réalité de l’entreprise, les risques auxquels nous sommes exposés, les choix que nous avons opérés pour améliorer la situation, les problématiques qui restent…« , a raconté François Beaume.

Stéphane Yvon a poussé à embarquer lors de ces discussions d’autres parties prenantes de l’entreprise, comme les personnes en charge de la cyber-sécurité ou celles du juridique. Le risk management est en effet un travail d’équipe, ne serait-ce que pour avoir une bonne connaissance du risque.

Eve Mennesson. 3 mars 2021 

L’assurance captive considérée comme un remède Covid et à la hausse des primes

Alors que les combats éclatent au sujet des paiements en cas de pandémie, de nombreuses entreprises regardent au-delà de la couverture traditionnelle

Partout dans le monde, les tribunaux se demandent si les polices d’assurance contre les pertes d’exploitation détenues par des millions d’entreprises couvrent une pandémie.

La hausse des primes d’assurance coûte aux entreprises des millions de dollars qu’elles peuvent difficilement se permettre alors qu’elles naviguent dans la pandémie de coronavirus. De nombreuses entreprises réagissent en essayant de gérer elles-mêmes les risques.

La montée en flèche de la demande d’assurance dite captive et le montant croissant des capitaux consacrés à l’atténuation des risques ont surpris de nombreux acteurs du secteur, y compris des courtiers qui vendent l’idée de créer un assureur captif.

Une captive est détenue et contrôlée par l’entreprise qui l’établit, qui peut être un restaurant, un fabricant de médicaments ou un détaillant. Il rédige une couverture pour ses propriétaires et paie les réclamations lorsque l’entreprise rencontre des problèmes inattendus. Avant même l’apparition du coronavirus, certaines entreprises américaines avaient veillé à ce que leurs captifs rédigent des polices couvrant une pandémie potentielle, leur permettant d’éviter les différends avec les assureurs traditionnels. Certains assureurs traditionnels ont en grande partie refusé de payer les demandes d’indemnisation pour interruption d’activité présentées par des entreprises touchées par des fermetures.

Créer sa propre compagnie d’assurance peut être une stratégie risquée. Un assureur captif dépourvu de capital suffisant – particulièrement au début de son existence – peut devenir insolvable s’il est confronté à des sinistres importants, laissant la société mère exposée en cas de besoin. Les captives doivent également prendre des décisions en matière de souscription et de réclamation sans lien de dépendance avec leurs propriétaires. Ne pas le faire risque de tomber à l’encontre des régulateurs dans certains pays.

Mais si une entreprise ne trouve pas de couverture adaptée sur le marché libre, la création d’une captive peut être une alternative. Se passer d’une assurance n’est peut-être pas une option – pour des raisons réglementaires, une entreprise peut avoir besoin de prouver qu’elle dispose d’une police d’assurance.

Le courtier d’assurance basé aux États-Unis, Marsh, a déclaré qu’au moins 25 des captifs qu’il gère dans le monde ont rédigé une couverture pour les risques de pandémie. De nombreuses autres entreprises ont mis en place des captives pour contrer les primes qui ont augmenté chaque trimestre depuis la fin de 2017. La pandémie pourrait alimenter des primes encore plus élevées, les assureurs cherchant à évaluer le risque de manière plus agressive.

Marsh a déclaré que le nombre de nouvelles captives qu’il avait aidé à former avait triplé entre janvier et juillet par rapport à un an plus tôt, coïncidant avec une période où les prix mondiaux de l’assurance ont enregistré des augmentations à deux chiffres au milieu de la crise des coronavirus. Aon, un autre courtier d’assurance, a déclaré avoir également constaté une demande plus élevée pour les unités.

Le groupe d’investissement Blackstone Group Inc. est une société qui compte davantage sur les captives pour augmenter ses primes d’assurance.

Fin juillet, sa Gryphon Mutual Insurance Co. est entrée en service, le point culminant de plusieurs mois de travail préparatoire qui ont commencé avant la pandémie. La captive se concentre sur la propriété en Amérique du Nord, mais pourrait être étendue à d’autres régions à l’avenir.

 «En fin de compte, cela nous donnera un meilleur contrôle sur notre programme d’assurance des biens et réduira les primes et les frais de courtage pour nos commanditaires», a déclaré un porte-parole de Blackstone.

Les captives ne sont pas une nouvelle tactique pour les entreprises pour atténuer les risques. La société de notation AM Best Co. affirme que la première captive du monde a été créée aux Bermudes dans les années 1960 en réponse au durcissement du marché de l’assurance, qui décrit le moment où les primes deviennent plus chères et la capacité de couverture des assureurs diminue. Le recours à des captifs coïncide souvent avec un marché de l’assurance qui se durcit, ou lors de crises telles que les attentats terroristes du 11 septembre ou les ouragans qui ont ravagé la côte du golfe du Mexique en 2004-05.

Bon nombre des plus grandes entreprises américaines ont utilisé des captives, notamment dans le secteur pétrolier et gazier. Ces dernières années, les sociétés de covoiturage Uber Technologies Inc. et Lyft Inc. ont formé des filiales d’assurance . L’assurance peut être un défi pour les entreprises qui s’engagent dans de nouveaux modèles commerciaux: les assureurs traditionnels n’ont souvent pas suffisamment d’informations pour tarifer la couverture d’une manière qui rendrait ces nouvelles entreprises économiquement viables.

Le recours accru aux captives ne pose pas de risque immédiat pour le secteur de l’assurance, selon les courtiers. Aon a déclaré que cela reflétait une réorganisation du secteur, les assureurs étant prêts à abandonner des secteurs d’activité devenus non rentables. Pourtant, les entreprises captives pourraient envisager d’élargir leur utilisation à l’avenir.

Selon AM Best, le nombre de captifs domestiques américains a plus que doublé pour atteindre 3133 entre 2007 et 2019.

La pandémie a mis en évidence l’intérêt de pouvoir adapter l’assurance en utilisant une captive, plutôt que de s’appuyer sur une couverture du marché libre via des assureurs traditionnels. De nombreuses entreprises pensaient être couvertes en cas de chocs inattendus, pour se faire dire par leurs assureurs traditionnels que les exclusions pandémiques dans les petits caractères des polices rendaient leurs réclamations invalides.

Partout dans le monde, les tribunaux se demandent si les polices d’assurance contre les pertes d’exploitation détenues par des millions d’entreprises couvrent une pandémie . Aux États-Unis, les assureurs de biens ont remporté une série de décisions judiciaires confirmant leurs refus de réclamations pour perte de revenus des entreprises lors de fermetures ordonnées par le gouvernement, atténuant les espoirs de paiement des assurés pour les aider à rebondir. Le 15 septembre, un tribunal britannique s’est prononcé principalement en faveur des assurés dans une affaire test qui a examiné différentes formulations de polices.

Alice Uribe. 27 septembre 2020

ASSURANCES & RISQUES. MARCHE DES ASSURANCES. CYBERRISQUE et assurances.

Mardi dernier (2 mars) nous avons analysé à travers deux articles le point de vue des entreprises d’assurances. Nous analysons aujourd’hui le marché de l’assurance et illustrons ses tensions à travers l’exemple du Cyberrisque.

Lecture complémentaire / assureurs-nouveaux risques-risque au cœur de la réflexion organisationnelle des entreprises Chapitre 1, p.29-46 : https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

Les prix s’enflamment dans l’assurance de risques industriels

Après quinze ans de calme plat, les prix sur le marché de l’assurance des risques industriels repartent à la hausse.

Après quinze ans de calme plat, le marché de l’assurance des risques industriels est en train de s’enflammer. Selon plusieurs acteurs, les prix connaissent depuis l’an dernier une remontée spectaculaire sur fond d’augmentation des coûts des sinistres, de baisse de capacités et de pression réglementaire.

« Depuis 2003, le marché de l’assurance industrielle était favorable au client, constate Laurent Belhout, directeur général de la filiale française du courtier américain AON. Mais depuis l’année dernière, il y a un tournant : on constate des hausses de plus de 10 % sur les risques industriels. »

L’assureur Zurich se prépare même à des hausses de prix de 20 à 40 % contre les risques d’interruption d’activités, d’incendie ou de cyberattaque. « La dernière fois que ce genre de marché a vraiment existé, c’était en 2002 », a déclaré mardi, à Bloomberg, James Shea, responsable de l’assurance commerciale chez Zurich.

Ce mouvement met fin à une période durant laquelle les primes d’assurance de grands risques avaient baissé de 40 %, après 2003. Une réaction elle-même liée à la flambée de 80 % qui avait eu lieu dans les deux ans après les attentats du 11 septembre 2001 . Mais aussi à la nouvelle donne du marché, marqué par une abondance d’offre.

« Surtout depuis la crise financière, une foultitude de capitaux sont venus financer l’assurance et la réassurance, créant des capacités supplémentaires et alimentant la compétition entre les acteurs », explique Brigitte Bouquot, présidente de l’Association pour le management des risques et des assurances de l’entreprise (AMRAE).

Mais ces derniers mois, les assureurs comme AXA XL ou Allianz ont changé d’attitude sous la pression de deux facteurs, explique-t-elle. Premièrement, les catastrophes naturelles, incendies et autres incidents , couplés à la judiciarisation des affaires (« class actions »…) ont renchéri le coût des dommages portés par les assureurs.

Deuxièmement, les nouvelles règles prudentielles de Solvabilité II ont obligé les assureurs à mettre plus de capital pour couvrir les risques au moment où ceux-ci se trouvent confrontés à l’interdépendance croissante de la mondialisation. Face à des scénarios systémiques sur lesquels ils n’ont pas forcément de données, ils sont plus frileux.

Thibaut Madelin. Janv. 2020.

Cyberrisque : la grande peur des assureurs

Le risque cyber est devenu la première menace des entreprises dans le monde, selon le baromètre Allianz. Les assureurs traînent des pieds pour couvrir ce nouveau risque systémique

Le risqu courtiers, selon le baromètre Allianz Global. (Photo Getty

Pour les dirigeants de Travelex, le premier réseau mondial de bureaux de change, le réveillon a dû être pénible. Le 31 décembre, des pirates ont injecté dans ses serveurs le virus informatique Sodinokibi et demandé une rançon ou menacé de publier des données privées de milliers de clients. Selon les médias, ils ont réclamé jusqu’à 6 millions de dollars. La société britannique dit avoir réussi à empêcher la propagation du virus, mais la révélation de l’attaque a fait chuter son cours de près de 17 % le 8 janvier.

Après l’attaque sur la banque américaine Capital One , qui s’est fait voler les données de 106 millions de clients l’été dernier, le cas Travelex illustre la montée des incidents cyber. Ceux-ci figurent pour la première fois en tête du baromètre annuel des risques qu’Allianz publie ce mardi (2700 experts du risque interrogés dans une centaine de pays). « Les incidents cyber et le changement climatique sont deux grands défis que les entreprises devront surveiller étroitement dans cette nouvelle décennie », annonce Joachim Müller, directeur général d’Allianz Global Corporate & Specialty (AGCS).

Mais alors que les risques cyber augmentent, les assureurs traînent des pieds. En France, Allianz constate ainsi une réduction des capacités disponibles par assureur et un début de hausse des primes. « C’est tout le paradoxe, regrette Léopold Larios de Piña, pilote de l’Observatoire des primes et assurances de l’AMRAE, l’Association pour le management des risques et des assurances de l’entreprise. Pendant dix ans, les assureurs ont voulu vendre des assurances cyber et au moment où les clients sont prêts à souscrire, ils commencent à voir les sinistres et excluent les risques à traiter. »

Des garanties en baisse

Selon l’association, alors que les assureurs étaient prêts à prendre un France un engagement de garanties de 25 à 30 millions auprès d’un client, ils ont limité leur engagement de moitié dans les derniers contrats. « Nous sommes passés d’une période où les assureurs se frottaient les mains face aux nouveaux risques à une période où ils sont plus frileux », déclare Brigitte Bouquot, présidente de l’AMRAE et administratrice des filiales d’assurance de Thales. S’il y a un choc, ce sont les entreprises qui devront le porter sur leur bilan. »

En 2017, Saint-Gobain a ainsi perdu 220 millions d’euros de chiffre d’affaires après la cyberattaque NotPetya. L’industriel n’était pas assuré contre ce risque précis et a revu depuis sa politique. Mais ceux qui l’étaient ont aussi gardé un goût amer. Attaqué par le même « ransomware » , le cabinet d’avocats américain DLA Piper a poursuivi son assureur, Hiscox, qui a refusé de payer le sinistre. Le géant de l’agroalimentaire Mondelez est lui aussi en litige avec son assureur, Zurich, qui refuse d’indemniser 100 millions de dollars de pertes et de dommages (se retranchant derrière le fait que l’attaque aurait été menée par un Etat, la Russie).

Or le risque ne cesse de croître. Selon IBM, une violation majeure de données, portant sur plus d’un million d’enregistrements compromis, coûte en moyenne 42 millions de dollars, soit 8 % de plus que l’année précédente. Les assureurs sont en train de prendre conscience de la dimension systémique du risque cyber. « C’est vraiment un risque global, plus encore que le nucléaire car, dans le cyber, la catastrophe est partout », témoigne le patron d’un grand groupe d’assurance.

Prévention

Du coup, les assureurs se trouvent au milieu du gué. « Le cyberrisque était largement garanti dans les contrats globaux de responsabilité civile (RC), indique Laurent Belhout, directeur général du courtier AON en France. Les assureurs vont l’exclure de la RC » et le traiter de façon autonome.

Dans l’immédiat, certains risques ne sont pas couverts car difficiles à qualifier. Par exemple : dans le cas d’une fraude sur paiement par carte dans l’avion, l’assureur pourrait le classer dans le risque aéronautique (si le paiement a lieu dans les airs) ou cyber (pour un paiement au sol), voire en responsabilité civile.

Ils mettent aussi l’accent sur la prévention. « L’assurance a un rôle vital à jouer pour aider les entreprises si toutes les autres mesures sont insuffisantes, mais ça ne doit pas remplacer la gestion stratégique du risque », insiste Marek Stanislawski, directeur mondial adjoint du risque cyber chez AGCS. De son côté, AXA XL va lancer avec Accenture un service de conseil aux entreprises sur la menace cyber. Pour Brigitte Bouquot, cela ne suffira pas. « Les assureurs doivent dire ce qu’ils veulent faire de ce nouveau risque », dit-elle.

Thibaut Madelin. Janv. 2020

ASSURANCES & RISQUES. Marché des Assurances et point de vue des entreprises d’assurances.

En septembre 2019, j’écrivais sur ce blog (voir Archives du blog ou Moteur de recherche) : « La problématique Assurances et Cyber risques qui fait l’objet de nombreux articles dans la presse me fait penser aux difficultés rencontrées face à ce que l’on appelait les nouveaux risques (1990-2003).  D’un côté, les compagnies d’assurances étaient plus réticentes à prendre en charge les risques industriels et les nouveaux risques, notamment de réputation. De l’autre les grandes entreprises à l’égard des compagnies d’assurances préféraient gérer elles-mêmes leurs risques. Cette nouvelle logique de transfert du risque a été l’un des points d’ancrage historique de la gestion des risques.  Dans notre ouvrage sur la Fonction Risk Manager, Nicolas Dufour et moi-même reprenons les propos d’un Risk Manager qui me disait : « Il existe un trou énorme entre la protection incendie proposée par les compagnies d’assurances et ce dont nous avons besoin… Quand je suis arrivé dans l’entreprise (1994), je me suis aperçu que l’objectif est la sauvegarde de l’outil de production… La perte d’exploitation est énorme, jusqu’à X millions d’euros, on achète une assurance incendie. Au-delà on achète de quoi remettre la machine en route. »  https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

N’en est-il pas de même en mars 2021 ?

Le sujet est toujours d’actualité, devenu conflictuel voire douloureux pendant la crise de la Covid-19. Les articles du mois de mars seront consacrés à ce sujet.

  • Nous commencerons aujourd’hui par présenter le point de vue des entreprises d’assurances. Retour sur les fondamentaux : risque assurable, appétit au risque.
  • Nous l’illustrerons la semaine prochaine via l’exemple du Cyberrisque et analyserons le marché des assurances.
  • Nous proposerons dans la deuxième quinzaine de mars des conseils et pistes de solutions : quelles solutions pour faire face à cette situation ? La gestion des risques transversale et le Risk Manager sont au premier plan. 

Opinion. Pourquoi le risque pandémique n’est pas assurable

Une pandémie entraîne par nature un cumul potentiel des sinistres tel qu’ils ne sont tout simplement plus absorbables par les compagnies d’assurances, écrit Denis Kessler. L’évaluation du risque est en outre rendue impossible par la diversité des réactions des pouvoirs publics dans les différents pays.

«Les décisions administratives ou politiques de fermeture de certains établissements sont non modélisables (…) ce qui rend l’évaluation du risque impossible». (Sébastien Bozon/AFP)

La crise sanitaire a mis le sujet de l’assurance des pertes d’exploitation des entreprises en situation de pandémie sous le feu des projecteurs. Selon certains, les assureurs, en ne proposant pas de protection contre ce risque, feraient preuve de « mauvaise volonté ». Cette affirmation est ubuesque. C’est en assurant que les assureurs créent de la valeur ! Si le marché de l’assurance ne propose pas de telle protection, c’est pour des raisons de fond qui tiennent à la nature même du risque. De fait, les conséquences économiques d’une pandémie sont non assurables.

Premièrement, alors que l’une des conditions de l’assurabilité, qui repose sur la mutualisation des risques, est que tous les sinistres ne se produisent pas en même temps, le risque de pertes d’exploitation en cas de pandémie est sériel : quasiment tous les agents économiques sont touchés simultanément. Cela découle de la portée régionale et même souvent nationale des mesures prises par les pouvoirs publics – confinements, couvre-feux, fermetures administratives… – qui affectent des pans entiers de l’économie. Les assureurs n’ont pas la capacité d’absorber un tel cumul de sinistres. Ce caractère sériel est d’autant plus marqué que, le risque pandémique étant global, il ne connaît pas les frontières. La diversification géographique des portefeuilles de risques est inopérante et aggrave le cumul de sinistralité pour les (ré)assureurs globaux. L’exposition peut atteindre plusieurs points du PIB mondial.

Deuxièmement, le risque de pertes d’exploitation liées à une pandémie, plutôt que d’obéir à des « lois de la nature », est largement non modélisable et endogène. Il dépend très largement des mesures spécifiques mises en oeuvre par les pouvoirs publics pour enrayer la diffusion du virus. Les pertes d’exploitation subies par les entreprises sont principalement consécutives à ces mesures qui in fine ont limité ou arrêté l’activité. Or ces décisions administratives ou politiques sont non modélisables. Le fait que les mesures prises face à la pandémie de Covid-19 sont très différentes d’un pays à l’autre – alors que ces derniers sont confrontés à des situations similaires ! – en atteste. Cette incertitude radicale et irréductible rend l’évaluation du risque et le calcul de la prime d’assurance impossibles.

Antisélection et aléa moral

Troisièmement, la dernière raison de non-assurabilité de ce risque tient à de possibles phénomènes d’antisélection et d’aléa moral. L’antisélection est l’effet par lequel seuls les agents économiques les plus exposés s’assurent, ce qui réduit l’effet de mutualisation. En l’espèce, seules les entreprises des secteurs les plus touchés – hôtellerie, restauration, tourisme… – achèteraient une protection (sauf à ce qu’elle soit obligatoire, ce qui poserait des questions d’acceptabilité). Celles appartenant à un secteur épargné – par exemple l’e-commerce – n’auraient aucun intérêt à s’assurer. L’aléa moral est l’effet par lequel le risque est augmenté par une modification du comportement des agents économiques dès lors qu’une assurance joue le rôle de filet de protection. En l’espèce, la couverture du coût du confinement par des tiers (les assureurs) créerait un problème d’aléa moral manifeste au niveau des pouvoirs publics, qui n’assumeraient plus le coût économique des décisions qu’ils prennent alors même qu’ils décident des voies et moyens pour faire face à la crise sanitaire et qu’ils sont in fine responsables de sa gestion ! Une telle situation pourrait inciter les pouvoirs publics à mettre en oeuvre des mesures plus coûteuses économiquement…

Les garanties pertes d’exploitation figurant dans les contrats d’assurance sont dans la quasi-totalité des cas liées à des dommages matériels, par exemple en cas d’incendie. Les conditions d’assurabilité sont alors réunies : les sinistres ne se produisent pas tous en même temps, le risque est largement exogène et modélisable, l’antisélection et l’aléa moral sont contenus. Dans de rares cas, des contrats ont pu prévoir clairement la couverture des pertes d’exploitation en cas de pandémie. Pour ces contrats, qu’il n’y ait pas d’ambiguïté : il faut les honorer. Si les contrats sont imprécis ou ambigus, il faut que le juge ou le médiateur tranche.

Le risque de pertes économiques en situation de pandémie présente des caractéristiques similaires au risque de dommages aux biens en situation de guerre : cumul des expositions, limites à la diversification, caractère non modélisable, rôle des décisions politiques et aléa moral. Le risque de guerre n’est pas assurable, et cela fait longtemps que la quasi-totalité des contrats d’assurance comportent une clause indiquant que les dommages du fait d’actes de guerre ne sont pas couverts. C’est la même raison pour laquelle la quasi-totalité des contrats d’assurance ne couvrent pas les pertes d’exploitation en cas de pandémie. Dans les deux cas – guerre comme pandémie -, seul l’Etat peut prendre en charge les conséquences économiques d’une crise d’une telle ampleur, via des mécanismes de redistribution qui en étalent la charge sur l’ensemble des agents économiques, et même sur plusieurs générations. Il n’est donc pas surprenant qu’à ce jour aucun pays ne soit arrivé à mettre au point un mécanisme de prise en charge par l’assurance. Il ne s’agit pas de mauvaise volonté de la part des assureurs, mais d’impossibilité technique et économique.

Denis Kessler est PDG de SCOR.

Publié le 15 janv. 2021.

Assurances & Risques : quelques réflexions sur cette crise

D’abord, prenons bien conscience de l’épreuve vécue par beaucoup : deuils, peur de la maladie, peur de la crise économique, des personnes âgées quittant ce monde sans être entourées de leurs proches et pour les croyants sans secours spirituel.

C’est important car il y aurait de l’indécence à ne voir dans cette crise qu’une « formidable opportunité » (d’unité, de solidarité, …). Et pourtant, nous devons bien nous demander en même temps comment traverser cette crise et donner le meilleur de nous-mêmes aux autres en gardant espérance et bonne humeur dans la mesure du possible : osons citer Baden Powell : la bonne humeur est aussi contagieuse que la rougeole…

Alors que faisons-nous de ce moment et quels enseignements pour nos métiers des risques et de l’assurance ?

Faire face au risque, l’assumer

Ce scénario de pandémie était connu et il n’est pas certain que nous y étions suffisamment préparés…. Dans les métiers du risque d’entreprise, on vit les mêmes problèmes : souvent les catastrophes déroulent des scénarios pré-identifiés que l’on n’a pas voulu voir, ou qui ont fait les frais d’arbitrages budgétaires « court termiste ».

Valoriser l’expertise sans en être prisonnier 

Sur des sujets techniques comme la santé ou les risques d’entreprise tels qu’incendie, collision durant le transport…, l’expertise est indispensable. Mais à la fin c’est le décideur qui doit se faire une opinion en responsabilité, avec ses intuitions, ses valeurs. Alors que les scientifiques en recherche nucléaire ont expliqué par a + b au Général de Gaulle toutes les difficultés techniques empêchant d’avancer sur le programme, ce dernier s’est fait sa propre opinion pour finalement, « en s’y prenant autrement », parvenir à suivre son planning et non celui des experts. Primauté donc à la décision du leader en considérant le bien commun. Sur la crise sanitaire, nous avons vu toutes les discussions, les positions contradictoires des experts sur ce qu’il fallait faire ou ne pas faire en termes de prévention et de soins en santé. A la fin, c’est le leader qui doit trancher, idéalement en ayant filtré les informations, exercé son jugement et considérer le bien commun. Pour revenir aux risques d’entreprises classiques, réalisons-nous des cartographies de risques en étant davantage mus par la nécessité d’être conforme aux règles, de « cocher la case » au risque de rester seulement collés à l’expertise ? Ou bien, ne devons-nous pas chercher à utiliser les informations collectées pour des prises de décisions avec les leaders afin de vraiment créer de la valeur en évitant ou réduisant les risques au bénéfice des salariés et de l’environnement en général ?

Donner du sens

Les conséquences financières de cette pandémie pour les entreprises ont conduit à des attentes et des challenges forts vis-à-vis de l’assurance sur la prise en charge de la perte d’exploitation. Des leaders de l’assurance ont répondu en fournissant des explications avec des propositions pour l’avenir. Mais sur le fonds cela ne souligne-t-il pas une incompréhension toujours forte de ce métier essentiel qu’est l’assurance pour l’économie ? Je me souviens que lorsque j’étais étudiant à Sciences Po, l’assurance n’était abordée qu’en tant qu’Investisseur Institutionnel, sans aborder son fonctionnement.

Parvenir à une meilleure compréhension de l’assurance, de ses mécanismes et de son modèle ne passe-t-elle pas par s’interroger sur ses fondamentaux : par exemple, comment comprendre l’assurance si son périmètre dédié à l’assurance des entreprises reste structurellement déficitaire depuis des années ?

Alors que la matière première de l’assurance sont les données, comment accepter que toutes les données disponibles ne soient pas utilisées et valorisées avec tous les outils innovants comme l’Intelligence Artificielle, afin de permettre une meilleure connaissance des risques et de leurs coûts ?

Cette meilleure connaissance du risque et de son coût bénéficiera bien sûr aux assureurs dans la gestion de leurs propres engagements mais aussi à leurs clients entreprises. Au-delà des challenges liés à la crise sanitaire, l’assurance, ancrée sur ses fondamentaux, valorisant son expertise et tout son potentiel d’innovation peut accroître la valeur qu’elle apporte au service du bien commun (société, entreprises, personnes), en clarifiant son rôle et en générant davantage de confiance.

Laurent Barbagli

Publié le 21 avril 2020

AMRAE – La sagesse du risque, pour une immunité collective – 3-4 février 2021. Ce qui se cache derrière ce titre. A lire et re (voir).

Merci à Cécile DESJARDINS de relayer mes propos dans son article « Management du Risques : le retour de l’humilité. » Les Echos, 3 février 2021.

2020 : année stratégique pour le Risk Management et le Risk Manager. Le RM a gagné en légitimité cognitive (Suchman, 1995). Elle est le « graal de la légitimité » : écoute encore plus attentive de la DG, accès renforcé aux opérationnels, une fonction plus visible. En montrant quel était son rôle, le RM a également gagné en légitimité personnelle : expérience, connaissance de son groupe, de son activité et des opérations, sens de la communication pour se faire entendre en toute liberté de la DG et des opérationnels (sensibiliser, faire prendre conscience des risques, alerter tout en sachant rassurer).

A lire : le dossier RISK MANAGEMENT 2021, Les Echos, 3 février 2021.

Le rendez-vous annuel des responsables des risques en entreprise ne s’est pas tenu à Deauville cette année. Face à une pandémie à rebonds, l’AMRAE (Association pour la Gestion des risques et des Assurances dans les Entreprises) a choisi une rencontre en ligne pour faire le point sur les grands enjeux de la profession, mise à l’épreuve par une crise mondiale sans précédent.

A (re)voir : les REPLAYS des tables rondes. Gratuitement – il suffit de s’inscrire) à cette adresse : https://lnkd.in/eEpjQSy

Exemples de thèmes abordés : Risques, climat et RSE ; Risques RH et associés ; Cyberrisque ; Gestion globale des risques ; Financement des risques par les assureurs intégrant le riskmanagement.

Ces thèmes, à l’exception du dernier, ont fait l’objet de nombreux articles dans ce blog (voir Archives ou moteur de recherche). Je décris pourtant la logique de transfert du risque des assureurs vers les entreprises comme le 3ème facteur ayant contribué à faire du risque, une variable stratégique de la réflexion des entreprises. Je l’aborderai dans les publications des semaines à venir sur le blog.

https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

RGPD. BEST-PRACTICES ET PLANS D’ACTIONS

Le mois de janvier est consacré au RGDP, que j’appelle dans mes travaux un amplificateur de risques (p.47, chapitre 1) / https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html
Après le rappel du contexte réglementaire, les 1eréléments de bilan 2020 et les sanctions (Carrefour et Carrefour Banque, Google, H&M) je vous propose, à partir d’éléments communiqués par l’entreprise toulousaine I-Trust (Editeur de solutions de Cybersécurité), une synthèse de best practices issues des règles de l’ANSSI et des recommandations de la CNIL. Autant de best pratices à suivre et de plans d’actions à mettre en œuvre.

Les règles de conformité RGPD imposent aux entreprises de se sécuriser selon les meilleures pratiques issues des :

Les règles d’hygiènes et bonnes pratiques de l’ANSSI

# 4 : Identifier les informations et serveurs les plus sensibles et maintenir un schéma du réseau.

Maintenir la cartographie du SI et des informations sensibles via les tags RGPD.

# 5 : Disposer d’un inventaire des comptes privilégiés et les maintenir à jour.

Identifier les comptes privilégiés et de vérifier en continu leur mise à jour. 

# 7 : Autoriser la connexion au réseau de l’entité aux seuls équipements maîtrisés.

Détecter la connexion d’appareils étrangers au SI.

#8 : Identifier nommément chaque personne accédant au système et distinguer les rôles utilisateur/administrateur. Journalisation activée.

Détecter les comportements malveillants sur les opérations de comptes et les partages réseaux. 

Détecter les bruits de force de compte. 

# 10 : Définir et vérifier des règles de choix et de dimensionnement des mots de passe.

Détecter des mots de passe triviaux actifs sur le réseau.

# 12 : Changer les éléments d’authentification par défaut sur les équipements et services.

Détecter les mots de passe par défaut sur les équipements et services.

# 14 : Mettre en place un niveau de sécurité minimal sur l’ensemble du parc informatique. Cette règle concerne essentiellement des points de configuration (chiffrement disque, désactivation autorun, etc.).

# 18 : Chiffrer les données sensibles transmises par voie Internet.

Détecter la présence de services d’échange ou d’interface de connexion non sécurisés.

# 20 : S’assurer de la sécurité des réseaux d’accès Wi-Fi et de la séparation des usages.

Scanner la sécurité des équipements impliqués dans le WiFi (bornes, routeur, etc.)

#21 : Utiliser des protocoles réseaux sécurisés dès qu’ils existent.

Détecter les services en écoute qui ne garantissent pas la sécurité des transmissions.

# 22 : Mettre en place une passerelle d’accès sécurisé à Internet.

Scanner la sécurité de cette passerelle.

#34 : Définir une politique de mise à jour des composants du système d’information.

Détecter les problèmes d’obsolescence des composants.

#36 : Activer et configurer les journaux des composants les plus importants.

Effectuer une étude contextuelle du SI. Journaliser les éléments suivants : > pare-feu : paquets bloqués ; > systèmes et applications : authentifications et autorisations (échecs et succès), arrêts inopinés ; > services : erreurs de protocoles (par exemples les erreurs 403, 404 et 500 pour les services HTTP), traçabilité des flux applicatifs aux interconnexions (URL sur un relai HTTP, en-têtes des messages sur un relai SMTP, etc.). Pour se faire un centre opérationnel de sécurité doit être installé. 

#38 : Procéder à des contrôles et audits de sécurité régulier puis appliquer les actions correctives associées.

Auditer le réseau en continu et éliminer les vulnérabilités évidentes pour que les auditeurs puissent se concentrer sur les failles cachées.

Procéder à des contrôles et audits de sécurité réguliers pour appliquer les actions correctives associées. 

# 40 : Définir une procédure de gestion des incidents.

Surveiller en continu toute intrusion ou malveillance présente sur le SI.

# 42 : Privilégier l’usage de produits et de services qualifiés par l’ANSSI.

Obtenir la certification CSPN.

Les règles de la CNIL. Les fiches CNIL sur la sécurité des données personnelles. 

#Fiche 1 : Sensibiliser les utilisateurs

Formation au RGPD pour faire le point sur les nouvelles règles et connaître les outils qui sont obligatoires depuis mai 2018, afin de lancer la mise en conformité au plus tôt dans votre organisme.

Cette formation est adressée aux CIL/DPO/DSI/RSSI/Responsable qualité et conformité.

#Fiche 2 : Authentifier les utilisateurs.

Cartographie de l’ensemble du SI permettant de détecter la connexion d’appareils étrangers au SI. Il permet de détecter les protocoles d’accès et d’authentification (ssh/smtp/FTP/…)

#Fiche 3 : Gérer les habilitations.

#Fiche 4 : Tracer les accès et gérer les incidents.

#Fiche 5 : Sécuriser les postes de travail. 

#Fiche 6 : Sécuriser l’informatique mobile. 

#Fiche 7 : Protéger le réseau informatique interne.

#Fiche 8 : Sécuriser les serveurs.

#Fiche 9 : Sécuriser les sites web.

Cartographie de l’ensemble du réseau. Note de criticité et correctifs associés. Identification des vulnérabilités et logiciels non mis à jour de la plupart des périphériques et applications, y compris les firewalls, les serveurs, les systèmes d’exploitation de bureau, les imprimantes, les appareils sans fil, ainsi que de nombreux autres éléments.

RGPD. SANCTIONS. CARREFOUR. GOOGLE. H&m.

Le mois de janvier est consacré au RGDP, que j’appelle dans mes travaux un amplificateur de risques (p.47, chapitre 1) / https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

Au programme :

  • article / sanctions Carrefour France (2,25 millions euros) et Carrefour Banque (800 000 euros) / avec les délibérations et pour approfondir les références aux articles de la CNIL
  • article / sanctions Google LLC (60 millions d’euros) et Google Ireland Limited (40 millions d’euros)
  • article sanctions H&M (35 millions d’euros)

Sanctions de 2 250 000 euros et de 800 000 euros pour les sociétés CARREFOUR FRANCE et CARREFOUR BANQUE

26 novembre 2020


Saisie de plusieurs plaintes, la CNIL a sanctionné deux sociétés du groupe CARREFOUR pour des manquements au RGPD concernant notamment l’information délivrée aux personnes et le respect de leurs droits.

Saisie de plusieurs plaintes à l’encontre du groupe CARREFOUR, la CNIL a effectué des contrôles entre mai et juillet 2019 auprès des sociétés CARREFOUR FRANCE (secteur de la grande distribution) et CARREFOUR BANQUE (secteur bancaire). À cette occasion, la CNIL a constaté des manquements concernant le traitement des données des clients et des utilisateurs potentiels. La Présidente de la CNIL a donc décidé d’engager une procédure de sanction à l’encontre de ces sociétés.

À l’issue de cette procédure, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a effectivement considéré que les sociétés avaient manqué à plusieurs obligations prévues par le RGPD.

Elle a ainsi sanctionné la société CARREFOUR FRANCE d’une amende de 2 250 000 euros et la société CARREFOUR BANQUE d’une amende de 800 000 euros. En revanche, elle n’a pas prononcé d’injonction dès lors qu’elle a constaté que des efforts importants avaient permis la mise en conformité sur tous les manquements relevés.

Des manquements à l’obligation d’informer les personnes (article 13 du RGPD)

L’information fournie aux utilisateurs des sites carrefour.fr et carrefour-banque.fr comme aux personnes désirant adhérer au programme de fidélité ou à la carte Pass n’était pas facilement accessible (accès à l’information trop compliqué, dans des documents très longs contenant d’autres informations), ni facilement compréhensible (information rédigée en des termes généraux et imprécis, utilisant parfois des formulations inutilement compliquées). De plus, elle était incomplète en ce qui concerne la durée de conservation des données.

Concernant le site carrefour.fr, l’information était également insuffisante en ce qui concerne les transferts de données hors de l’Union européenne et la base légale des traitements (fichiers).

Sur ce point, les sociétés ont modifié leurs mentions d’information et sites web durant la procédure pour se mettre en conformité.

Des manquements relatifs aux cookies (article 82 de la loi Informatique et Libertés)

La CNIL a constaté que, lorsqu’un utilisateur se connectait au site carrefour.fr ou au site carrefour-banque.fr, plusieurs cookies étaient automatiquement déposés sur son terminal, avant toute action de sa part. Plusieurs de ces cookies servant à la publicité, le consentement de l’utilisateur aurait pourtant dû être recueilli avant le dépôt.

Les sociétés ont modifié, durant la procédure, le fonctionnement de leurs sites web. Plus aucun cookie publicitaire n’est désormais déposé avant que l’utilisateur n’ait donné son accord.

Un manquement à l’obligation de limiter la durée de conservation des données (article 5.1.e du RGPD)

La société CARREFOUR FRANCE ne respectait pas les durées de conservation des données qu’elle avait fixées. Les données de plus de vingt-huit millions de clients inactifs depuis cinq à dix ans étaient ainsi conservées dans le cadre du programme de fidélité. Il en était de même pour 750 000 utilisateurs du site carrefour.fr inactifs depuis cinq à dix ans.

Par ailleurs, en l’espèce, la formation restreinte considère qu’une durée de conservation de 4 ans des données clients après leur dernier achat est excessive. En effet, cette durée, initialement retenue par la société, excède ce qui apparaît nécessaire dans le domaine de la grande distribution, compte tenu des habitudes de consommation des clients qui font principalement des achats réguliers. 

Pendant la procédure, la société CARREFOUR FRANCE a engagé d’importants moyens pour procéder aux modifications nécessaires à sa mise en conformité avec le RGPD. Toutes les données trop anciennes ont notamment été supprimées.

Un manquement à l’obligation de faciliter l’exercice des droits (article 12 du RGPD)

La société CARREFOUR FRANCE exigeait, sauf pour l’opposition à la prospection commerciale, un justificatif d’identité pour toute demande d’exercice de droit. Cette demande systématique n’était pas justifiée dès lors qu’il n’existait pas de doute sur l’identité des personnes exerçant leurs droits. Par ailleurs, la société n’a pas été en mesure de traiter dans les délais exigés par le RGPD plusieurs demandes d’exercice de droits.

Sur ces deux points, la société a modifié ses pratiques durant la procédure. Elle a notamment déployé d’importants moyens humains et organisationnels pour répondre à l’ensemble des demandes reçues dans un délai inférieur à un mois.

Un manquement au respect des droits (articles 15, 17 et 21 du RGPD et L34-5 du Code des postes et des communications électroniques)

Tout d’abord, la société CARREFOUR FRANCE n’a pas donné suite à plusieurs demandes de personnes souhaitant accéder à leurs données personnelles. La société s’est rapprochée de toutes les personnes concernées durant la procédure.

Ensuite, dans plusieurs cas, la société n’a pas procédé à l’effacement de données demandé par plusieurs personnes alors qu’elle aurait dû le faire. Sur ce point également, la société a fait droit à toutes les demandes durant la procédure.

Enfin, la société n’a pas pris en compte plusieurs demandes de personnes s’étant opposées à recevoir de la publicité par SMS ou courrier électronique, notamment en raison d’erreurs techniques ponctuelles. La société s’est mise en conformité durant la procédure sur ce point également.

Un manquement à l’obligation de traiter les données de manière loyale (article 5 du RGPD)

Lorsqu’une personne souscrivant à la carte Pass (carte de crédit pouvant être rattachée au compte fidélité) souhaitait également adhérer au programme de fidélité, elle devait cocher une case indiquant qu’elle acceptait que CARREFOUR BANQUE communique à « Carrefour fidélité » son nom, son prénom et son adresse de courrier électronique. CARREFOUR BANQUE indiquait explicitement qu’aucune autre donnée n’était transmise. La CNIL a pourtant constaté que d’autres données étaient transmises, comme l’adresse postale, le numéro de téléphone et le nombre de ses enfants, bien que la société se fût engagée à ne transmettre aucune autre donnée.

Sur ce point, la société a modifié ses pratiques durant la procédure. Elle a entièrement refondu son parcours de souscription en ligne à la carte Pass et les personnes sont désormais informées de l’ensemble des données transmises à la société CARREFOUR FRANCE.

Les délibérations

> Délibération de la formation restreinte n° SAN-2020-008 du 18 novembre 2020 concernant la société CARREFOUR FRANCE 

> Délibération de la formation restreinte n° SAN-2020-009 du 18 novembre 2020 concernant la société CARREFOUR BANQUE 

Pour approfondir

> La procédure de sanction

Les textes de référence

> Article 5 du règlement général sur la protection des données (principes relatifs au traitement des données personnelles) 

> Article 5.1.e du RGPD (conservation des données) 

> Article 12 du RGPD (transparence des informations et des communications et modalités de l’exercice des droits de la personne concernée) 

> Article 13 du RGPD (informations à fournir lorsque des données personnelles sont collectées auprès de la personne concernée) 

> Article 15 du RGPD (droits de la personne concernée) 

> Article 17 du RGPD (droit à l’effacement ou droit à l’oubli) 

> Article 21 du RGPD (droit d’opposition) 

> Article 82 de la loi Informatique et Libertés (droits et obligations propres aux traitements dans le secteur des communications électroniques) 

> Article L34-5 du Code des postes et des communications électroniques 

Cookies : sanction de 60 millions d’euros à l’encontre de GOOGLE LLC et de 40 millions d’euros à l’encontre de GOOGLE IRELAND LIMITED

10 décembre 2020

Le 7 décembre 2020, la formation restreinte de la CNIL a sanctionné les sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED d’un montant total de 100 millions d’euros d’amende, notamment pour avoir déposé des cookies publicitaires sur les ordinateurs d’utilisateurs du moteur de recherche google.fr sans consentement préalable ni information satisfaisante.

Le 16 mars 2020, la CNIL a effectué un contrôle en ligne sur le site web google.fr qui a permis de constater que lorsqu’un utilisateur se rendait sur ce site, des cookies étaient automatiquement déposés sur son ordinateur, sans action de sa part. Plusieurs de ces cookies poursuivaient un objectif publicitaire.

Les manquements à la loi Informatique et Libertés

La formation restreinte, organe de la CNIL chargé de prononcer les sanctions, a relevé trois violations à l’article 82 de la loi Informatique et Libertés :

Un dépôt de cookies sans recueil préalable du consentement de l’utilisateur

Lorsqu’un utilisateur se rendait sur la page google.fr, plusieurs cookies poursuivant une finalité publicitaire étaient automatiquement déposés sur son ordinateur sans action de sa part.

Ce type de cookies ne pouvant être déposé sans que l’utilisateur ait exprimé son consentement, la formation restreinte a considéré que les sociétés n’avaient pas respecté l’exigence prévue par l’article 82 de la loi Informatique et Libertés de recueil préalable du consentement avant le dépôt de cookies non essentiels au service.

Un défaut d’information des utilisateurs du moteur de recherche google.fr

Lorsqu’un utilisateur se rendait sur la page google.fr, un bandeau d’information s’affichait en pied de page, portant la mention suivante « Rappel concernant les règles de confidentialité de Google » en face de laquelle figuraient deux boutons intitulés « Me le rappeler plus tard » et « Consulter maintenant ».

Ce bandeau ne fournissait à l’utilisateur aucune information relative aux cookies qui avaient pourtant déjà été déposés sur son ordinateur, dès son arrivée sur le site. Cette information ne lui était pas non plus fournie lorsqu’il cliquait sur le bouton « Consulter maintenant ».

La formation restreinte a donc estimé que l’information fournie par les sociétés ne permettait pas aux utilisateurs résidant en France d’être préalablement et clairement renseignés quant au dépôt de cookies sur leur ordinateur ni, par conséquent, des objectifs de ces cookies et des moyens mis à leur disposition quant à la possibilité de les refuser.

La défaillance partielle du mécanisme « d’opposition »

Lorsqu’un utilisateur désactivait la personnalisation des annonces sur la recherche Google en recourant au mécanisme mis à sa disposition à partir du bouton « Consulter maintenant », un des cookies publicitaires demeurait stocké sur son ordinateur et continuait de lire des informations à destination du serveur auquel il est rattaché.

La formation restreinte a donc estimé que le mécanisme « d’opposition » mis en place par les sociétés était partiellement défaillant, en violation de l’article 82 de la loi Informatique et Libertés.

La sanction prononcée par la formation restreinte

La formation restreinte a sanctionné la société GOOGLE LLC d’une amende de 60 millions d’euros et la société GOOGLE IRELAND LIMITED d’une amende de 40 millions d’euros, rendues publiques.

La formation restreinte a justifié ces montants au regard de la gravité du triple manquement précité à l’article 82 de la loi Informatique et Libertés.

Elle a également souligné la portée du moteur de recherche Google Search en France et le fait que les pratiques des sociétés ont affecté près de cinquante millions d’utilisateurs.

Enfin, elle a relevé les bénéfices considérables que les sociétés tirent des revenus publicitaires indirectement générés à partir des données collectées par ces cookies publicitaires.

La formation restreinte a pris acte que, depuis une mise à jour de septembre 2020, les sociétés cessent de déposer automatiquement les cookies publicitaires dès l’arrivée de l’utilisateur sur la page google.fr.

Elle a néanmoins relevé que le nouveau bandeau d’information mis en œuvre par les sociétés lors de l’arrivée sur la page google.fr ne permettait toujours pas aux utilisateurs résidant en France de comprendre les finalités pour lesquelles les cookies sont utilisés et ne les informait pas du fait qu’ils pouvaient refuser ces cookies.

Dès lors, en complément des amendes administratives, la formation restreinte a également adopté une injonction sous astreinte afin que les sociétés procèdent à une information des personnes conforme à l’article 82 de la loi Informatique et Libertés dans un délai de 3 mois à compter de la notification. Dans le cas contraire, les sociétés s’exposeront au paiement d’une astreinte de 100 000 euros par jour de retard.

Une compétence de la CNIL 

Dans sa délibération, la formation restreinte a rappelé que la CNIL est matériellement compétente pour contrôler et sanctionner les cookies déposés par les sociétés sur les ordinateurs des utilisateurs résidant en France. Elle a souligné ainsi que le mécanisme de coopération prévu par le RGPD (mécanisme de « guichet unique ») n’avait pas vocation à s’appliquer dans cette procédure étant donné que les opérations liées à l’utilisation des cookies relèvent de la directive « ePrivacy », transposée à l’article 82 de la loi Informatique et Libertés.

Elle a considéré qu’elle est également territorialement compétente en application de l’article 3 de la loi Informatique et Libertés car le recours à des cookies est effectué dans le « cadre des activités » de la société GOOGLE FRANCE qui constitue « l’établissement » sur le territoire français des sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED et y assure la promotion de leurs produits et services.

Elle a également estimé que les sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED sont conjointement responsables dès lors qu’elles déterminent toutes les deux les finalités et les moyens liés à l’usage des cookies.

L’articulation de la sanction avec les travaux de la CNIL sur les cookies

Dans le cadre de son plan d’action sur le ciblage publicitaire et pour tenir compte de l’entrée en application du RGPD, la CNIL a publié le 1er octobre 2020 ses lignes directrices modificatives ainsi qu’une recommandation portant sur l’usage de cookies et autres traceurs. La CNIL a demandé aux acteurs de se conformer aux règles ainsi clarifiées, en estimant que cette période d’adaptation ne devrait pas dépasser six mois.

À cette occasion, elle a néanmoins précisé qu’elle continuerait notamment à contrôler pleinement le respect des autres obligations qui n’ont fait l’objet d’aucune modification et le cas échéant, d’adopter des mesures correctrices pour protéger la vie privée des internautes.

Les obligations dont la CNIL sanctionne aujourd’hui le non-respect par les sociétés préexistaient au RGPD et ne font donc pas partie de celles qui ont été clarifiées par les nouvelles lignes directrices et la recommandation du 1er octobre 2020.

Note : La société GOOGLE LLC, établie en Californie, développe le moteur de recherche Google Search. La société GOOGLE IRELAND LIMITED, dont le siège est en Irlande, se présente comme le siège européen du groupe Google. La société GOOGLE FRANCE est l’établissement en France de la société GOOGLE LLC.

Une amende de 35 millions d’euros pour H&M qui a stocké les données personnelles des salariés

Ces faits ont été dévoilés en octobre 2019, lorsqu’une erreur informatique les a rendus accessibles, pendant quelques heures, à l’ensemble de l’entreprise.     

Une amende de plus de 35 millions d’euros a été prononcée contre l’enseigne H&M en Allemagne jeudi. Le groupe a été condamné pour avoir rassemblé et stocké des informations sur une centaine de salariés.

L’Allemagne a infligé jeudi une amende sans précédent de 35,3 millions d’euros au groupe de prêt-à-porter H&M, pour avoir enregistré des données privées de certains salariés à leur insu, a annoncé le centre de protection des données du pays jeudi.

« Large connaissance » de la vie privée des employés

« Une amende de 35 258 707,95 euros est requise contre H&M (…) pour une affaire de surveillance de plusieurs centaines de ses collaborateurs », a indiqué le Commissariat à la protection des données de Hambourg. Il s’agit du montant le plus important infligé par l’Allemagne à une entreprise au nom de la législation européenne sur la protection des données privées (RGPD), depuis son entrée en vigueur en 2018, a indiqué une porte-parole de l’institution.

Les autorités reprochent au groupe de prêt-à-porter d’avoir laissé des responsables d’un site H&M, à Nuremberg (sud), rassembler et stocker des informations sur leurs salariés, entre 2014 et 2019. « Certains de ces supérieurs ont acquis une large connaissance de la vie privée de leurs employés », a constaté le centre de protection.

Une erreur informatique

Après l’absence d’un collaborateur, les responsables du site organisaient systématiquement un entretien, traitant « des vacances », ou des « symptômes et diagnostics » du salarié, en cas de congés maladie. Ces informations étaient ensuite « enregistrées », stockées numériquement, et servaient à « établir des profils individuels ».

H&M insiste sur l’aspect « local » de ces pratiques

Les supérieurs obtenaient également des éléments de vie privée de leurs collaborateurs lors de discussions informelles, notamment sur des « problèmes familiaux », ou des « croyances religieuses ». Ces données étaient ensuite « disponibles à la lecture pour jusqu’à 50 responsables du groupe ».

Réagissant à la décision des autorités allemandes, la marque de prêt-à-porter a présenté ses excuses pour des faits qu’elle estime « non conformes aux directives et instructions » du groupe. H&M insiste sur l’aspect « local » de ces pratiques, et affirme avoir « signalé immédiatement les faits » aux autorités, après en avoir pris connaissance.

Ces faits ont été dévoilés en octobre 2019, lorsqu’une erreur informatique les a rendus accessibles, pendant quelques heures, à l’ensemble de l’entreprise. 

L’Europe veut protéger la vie privée

Le Règlement européen de protection des données a renforcé les obligations des entreprises en termes de protection de la vie privée. Il prévoit des amendes pouvant aller jusqu’à 4% de leur chiffre d’affaires.

En 2019, l’Allemagne a déjà condamné le groupe immobilier Deutsche Wohnen à une amende de 14,5 millions d’euros pour avoir archivé des données sensibles de ses locataires. La France a de son côté infligé une sanction de 50 millions d’euros au géant de l’informatique Google, pour défaut d’information de ses utilisateurs de leurs données personnelles. L’amende la plus élevée a été infligée par le Royaume-Uni à la compagnie aérienne British Airways, qui a écopé en 2019 d’une sanction de 183 millions de livres (200 millions d’euros), pour un vol des données financières de centaines de milliers de ses clients.

RGPD. RAPPEL. BILAN 2020. QUELS PLANS D’ACTIONS ?

Je vous souhaite à tous une Excellente Année 2021 : respiration, aération, inspiration…
Le mois de janvier du blog sera consacré au RGDP, que j’appelle dans mes travaux un amplificateur de risques (p.47, chapitre 1) / https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html
Nous avons déjà abordé le sujet en 2019 et 2020. Vous pouvez relire en avril 2019 « RGPD, les sanctions tombent » et en avril 2020 « Le contexte réglementaire qui accentue l’intérêt des entreprises pour les risques liés au télétravail, à savoir le RGPD…» A retrouver dans les archives tout en bas du menu déroulant en bas à gauche.
Aujourd’hui, 11 janvier 2021. Rappel du contexte réglementaire : le RGPD. 1er éléments de bilan 2020 à partir de deux articles :
  • « Pourquoi le RGPD n’a (presque) rien changé pour les internautes » et constat d’un relatif échec
  • Quelques chiffres sur le montant des sanctions en Europe

Au programme. Le 18 janvier 2021

  • article / sanctions H&M
  • article / sanctions Google
  • article / sanctions Carrefour / avec les délibérations et pour approfondir les références aux articles de la CNIL

Au programme. Le 25 janvier 2021

  • Règles de l’ANSSI et de la CNIL à suivre / Quels Plans d’Actions ? (source : I-Trust)

Rappel du contexte réglementaire : le RGPD.

General Data Protection Regulation (GDPR) ou Réglement Général pour la Protection de données (RGPD)

Date : entrée en vigueur le 26 mai 2016 ; applicable à partir du 25 mai 2018.

Dispositif : le nouveau règlement européen modifie le cadre juridique relatif à la protection des données à caractère personnel au sein de l’Union européenne. Les entreprises devront déclarer aux autorités de leur pays (et dans certains cas aux personnes concernées) les violations de données à caractère personnel sous 72 heures en suivant les dispositions spécifiques du GDPR  et en conservant un registre de violation.

Champ d’application : toutes les entreprises qui collectent, traitent, et stockent des données à caractère personnel.

Sanctions : action judiciaire des individus pour réclamer des dommages et intérêts ; actions de groupe ; amende administrative jusqu’à 20 millions d’euros ou 4% du Chiffre d’Affaires mondial.

Il s’attarde sur les risques de notre époque post-moderne (violation de données, perte des données, traitement illicite de données…).

Pour en savoir plus : « Règlement Général pour la Protection des Données. Comment l’entreprise doit-elle protéger les données personnelles ?, Cahier technique de l’AMRAE, juillet 2018.

Quelques Chiffres

En 2020, le montant des amendes pour non-respect du RGPD s’élève à 171 millions d’euros. C’est l’Italie qui a infligé le plus de sanctions, avec 34 infractions constatées, soit un montant correspondant à 58,16 millions d’amendes.

Le nombre d’affaires croissant porté devant les autorités de protection des données personnelles devrait toutefois mener à une hausse du montant total de sanctions dans les années à venir, notamment après l’invalidation du Privacy Shield par la Cour de Justice européenne (CJUE).
En 2020, le montant des amendes pour non-respect du RGPD s’est élevé à 171 millions d’euros

C’est l’Italie qui a infligé le plus de sanctions.

Le classement des pays qui ont infligé le plus d’amendes au titre du règlement général sur la protection des données vient de sortir. Selon Finbold, le montant total des sanctions s’élève cette année à 171,3 millions d’euros. C’est l’Italie qui arrive en tête du classement avec 34 infractions constatées pour ses entreprises et un total de 58,16 millions d’euros d’amendes infligées.

L’étonnante dernière position de l’Irlande

En mai 2018, après plusieurs années de réflexion et de travail, le RGPD voyait le jour. Ce règlement européen précède à la directive 95/46/CE instaurée en 1995 par le Parlement Européen. Un véritable chantier juridique qui semble désormais porter ses fruits. En effet, si entre mai 2018 (date d’entrée en vigueur du texte) et janvier 2020, seulement 114 millions d’euros d’amendes avaient été comptabilisés, entre janvier 2020 et décembre 2020, le montant total des sanctions est plus élevé. Il atteint précisément 171,3 millions d’euros.

Il est intéressant de s’arrêter sur le classement des pays. Premier constat étonnant : l’Irlande est en dernière position dans ce classement des pays qui ont infligé le plus d’amendes au titre du RGPD. Seulement 630 000 euros d’amendes. Ce pays est pourtant le centre névralgique de la protection des données. C’est là que Google, Facebook, LinkedIn, Microsoft, Airbnb, Hubspot, Stripe, Smartbox, Dropbox, Slack, Salesforce ou encore IBM ont leur siège social… Des entreprises susceptibles de ne pas respecter le règlement général sur la protection des données.

La France inflige 3 millions d’euros d’amendes

En première position de ce classement, nous retrouvons l’Italie. La Garante per la protezione dei dati personali, l’équivalent de la Cnil en Italie, a délivré un total de 58,16 millions d’euros d’amendes. Parmi les entreprises concernées, nous retrouvons Eni Gas et Luce, un fournisseur italien d’électricité et de gaz. L’entreprise a dû s’acquitter d’une grosse amende de 11,5 millions d’euros. Le Royaume-Uni se classe en deuxième position avec 49,3 millions d’euros d’amendes. On se souvient notamment de l’amende prononcée à l’encontre de British Airways.

L’Allemagne est troisième avec 37,39 millions d’euros d’amendes. Ensuite nous retrouvons la Suède, l’Espagne et la France en sixième position avec seulement 3 millions d’euros d’amendes. L’amende la plus importante est celle dont Carrefour Banque a dû s’acquitter en fin d’année. En 2021, l’invalidation du Privacy Shield par la Cour de justice européenne (CJUE) devrait représenter un véritable défi pour les autorités de protection des données. 5 300 entreprises sont concernées et cela rebat totalement les cartes des flux de données. Enfin, notons que malgré le Brexit, le RGPD reste applicable jusqu’en juillet 2021.

Par Valentin Cimino 

 

TOUT SAVOIR SUR LA GESTION DES RISQUES ET LE RISK MANAGER EN FRANCE. UNE LECTURE DE Noel : « LA FONCTION RISK MANAGER : ORGANISATION, MÉTHODES ET POSITIONNEMENT » !  

Merci d’avoir suivi mon blog.

A la rentrée : retour sur le rôle du législateur-régulateur comme amplificateur de risques avec les premières sanctions pour infraction au RGPD, point sur le marché des assurances, le rôle des captives…

Je terminerai l’année civile sur ce conseil de lecture. Ce sera le dernier post avant 2021.

Lien vers l’ouvrage : https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

ORGANISATION APPRENANTE : l’ ActeuR au coeur de la demarche de gestion des riSques

Continuons nos investigations sur les outils « hors contrôle » qui pourraient permettre aux RM français de mettre en place le « risk management intelligent» préconisé par Power (2004, 2007, 2009, 2016).

Je les développe dans l’ouvrage coécrit avec Nicolas Dufour. https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

Vous pouvez lire ou relire l’article du blog « Yves Rocher et les NeuroSciences » – Archives du blog Mai 2020 – ; l’article posté le 18 novembre relatif à L’ Organisation Apprenante, l’article posté le 24 novembre sur la nécessité elle aussi déjà proposé par Power d’émanciper les managers du déploiement d’informations sous la forme « d’outils formalisés, normés… » qu’il décrit comme une « addition de couches de pseudo confort donnant une illusion de confort. » (p.66 Aubry C., Dufour N., La Fonction Risk Manager)

Je vous propose aujourd’hui deux articles parus dans Harvard Business Review, écrits par deux chercheurs qui proposent de mettre l’acteur au cœur de la démarche : responsabilisation, confiance plutôt que contrôle, sanctions et méfiance de la DG.

Savoir augmenter la responsabilité sans susciter la méfiance

Il n’est jamais facile d’introduire un niveau accru de responsabilité dans une entreprise et bien trop souvent les personnes que vous souhaiteriez ainsi responsabiliser interprètent votre initiative comme une indication de votre manque de confiance en elles. C’est un problème que j’ai rencontré fréquemment après l’effondrement du bloc soviétique au sein des entreprises dans lesquelles le fonds de capital-investissement que je conseillais effectuait des placements.

Ceci me rappelle un exemple typique particulièrement frappant auquel j’ai été confronté avec l’équipe managériale d’un moulin de grande taille dont nous avions fait l’acquisition en Roumanie lors d’appels d’offres de privatisations. L’équipe s’était montrée méfiante dès le départ ; dans les anciens pays communistes les investisseurs occidentaux avaient la réputation de se débarrasser des managers en poste pour y installer les leurs.

Donc, bien que nous ayons laissé l’ancienne équipe managériale intacte, les responsables s’interrogeaient quant aux motifs sous-tendant tous les changements organisationnels que nous tentions de mettre en place. Ce fut cependant l’introduction du système des normes internationales d’audit employé par notre co-investisseur, le plus grand moulin grec, qui mis réellement le feu aux poudres.

Nous nous efforçâmes de convaincre le responsable du service comptabilité du moulin roumain que le marché boursier grec exigeait des entreprises membres qu’elles utilisent ce système, mais rien n’y fit. Il continua à soutenir que nous ne leur faisions pas confiance, à lui et à son équipe, et que ce système était juste notre manière de nous assurer que les gens du cru n’allaient pas nous escroquer.

L’ensemble de l’équipe managériale se sentait ainsi humiliée et blessée, ce qui commençait à avoir un sérieux impact sur le moral de tous. Quoi que nous fassions, il nous était tout simplement impossible de les convaincre que le système d’audit que nous souhaitions instaurer était identique à celui utilisé par le moulin grec et que cela n’avait donc rien à voir avec le fait que nous leur accordions notre confiance, ou non. Et comme m’avait alors dit un ami originaire du pays : « Plus tu essaieras de les convaincre avec des paroles, plus ils vont se méfier ».

Alors nous avons cessé les pourparlers et commencé à réfléchir et à agir. J’ai lancé le mouvement en partageant avec eux mon propre reporting mensuel concernant les performances du moulin, document destiné à l’équipe managériale du fonds de capital-investissement, en Grèce. Ils purent alors lire par eux-mêmes mon évaluation des perspectives et des problèmes ainsi que ce que je proposais pour avancer au mieux. Rien de ce qu’ils lurent n’était particulièrement surprenant mais ils étaient flattés que je partage un document aussi important avec eux. Plus important encore, cela leur donna le sentiment qu’on leur faisait confiance. Partant de cela, je me mis à leur demander conseil quant à la teneur du rapport, ce qu’ils interprétèrent, comme je l’espérais, comme un signe de respect de leur expérience.

Au bout de quatre mois, j’emmenai les trois plus hauts responsables du service comptabilité et finance au siège de notre partenaire, au Pirée, pour une visite d’une semaine. Sur place, ils purent constater par eux-mêmes que l’entreprise utilisait effectivement ce système pour ses propres moulins et que les auditeurs désignés par l’autorité grecque des marchés boursiers passaient en revue les résultats de tous les moulins. Nous avions en outre demandé aux managers du service financier du moulin grec de leur expliquer que la mise en œuvre d’un tel système comptable ne signifiait pas un manque de confiance à leur égard mais bien le contraire.

Cette visite permit non seulement à nos managers roumains de mieux comprendre la relation entre confiance et responsabilité, mais elle le convainquit également de notre sincérité. Ils apprécièrent l’accueil de leurs confrères grecs et la manière ouverte dont ils furent traités – sur un pied d’égalité. En outre, ils partirent emplis d’un nouveau respect pour le moulin de leur actionnaire principal, grand, moderne et bien géré, et commencèrent à se sentir fiers d’appartenir au même groupe. Ils étaient dorénavant convaincus que nous étions déterminés à maintenir l’équipe locale pour l’aider à devenir une partie intégrante d’un groupe plus conséquent.

Après notre retour, j’ai demandé à l’équipe locale de commencer à me soumettre des rapports similaires à ceux que j’établissais moi-même. Il leur fut un peu difficile, dans un premier temps, d’admettre ouvertement, à l’écrit, leurs omissions et leurs échecs ! Pour autant, ils se lancèrent et, avec le temps, commencèrent à reconnaître les avantages considérables qu’ils pouvaient tirer d’un tel suivi de leur propre productivité, à travers ces rapports. Ils apprirent en fait simplement qu’en se regardant dans le miroir afin de se voir tels qu’ils étaient réellement, ils comprendraient mieux ce dont ils avaient besoin afin de continuer à progresser.

Charalambos Vlachoutsicos

Les neurosciences de la confiance 

Les façons de manager qui encouragent l’engagement des salariés.

Les entreprises s’efforcent par tous les moyens de responsabiliser et de stimuler leurs employés. Elles sont angoissées par l’état déplorable de l’engagement et ce à juste titre, au vu de la valeur qu’elles perdent. En étudiant la méta-analyse de Gallup, basée sur des données accumulées pendant des décennies, on s’aperçoit qu’un engagement fort – c’est-à- dire avoir une bonne relation avec son travail et ses collègues, sentir que l’on apporte une véritable contribution et bénéficier de nombreuses opportunités d’apprentissage – mène constamment à des résultats positifs, à la fois pour les personnes et pour les organisations. Avec pour bénéfices une plus grande productivité, des produits de meilleure qualité et une rentabilité accrue.

Il est donc évident que cultiver un système axé sur les employés peut être bénéfique aux affaires. Mais comment faire cela efficacement ? Cette culture est généralement conçue autour d’opportunités comme des repas gastronomiques ou des soirées karaoké, souvent par soumission à une marotte de psychologue, de manière à répondre à des besoins spécifiques. Et malgré les preuves de l’impossibilité d’acheter une plus grande satisfaction liée à l’emploi, les entreprises passent tout de même des « menottes dorées » aux mains de leurs bons employés pour qu’ils restent. Alors que de tels efforts sont susceptibles de booster le bonheur sur le lieu de travail à court terme, ils ne parviennent pas à avoir un quelconque effet durable sur la performance ou sur la conservation des talents.

Dans mes recherches, j’ai découvert que c’est le développement d’une culture de la confiance qui fait la différence. Les employés des sociétés où le taux de confiance est élevé sont plus productifs, plus dynamiques au travail, collaborent mieux avec leurs collègues et restent plus longtemps avec leurs employeurs que les gens travaillant dans des sociétés dans lesquelles le niveau de confiance est bas. Ils souffrent moins de stress chronique et sont plus heureux dans leur vie. Ces facteurs alimentent une performance plus solide.

Les leaders comprennent les enjeux – du moins en principe. Dans son enquête mondiale réalisée auprès des P-DG en 2016, PwC a rendu compte du fait que 55% des P-DG pensent qu’un manque de confiance est une menace pour la croissance de leur entreprise. Mais la plupart font peu de choses pour accroître la confiance, principalement parce qu’ils ne savent pas vraiment par où commencer. Dans cet article, je fournis un cadre scientifique qui les aidera.

Il y a à peu près une décennie, dans un effort pour comprendre comment la culture organisationnelle affecte la performance, j’ai commencé à mesurer l’activité cérébrale des gens pendant qu’ils travaillaient. Les expériences en neurosciences que j’ai dirigées révèlent huit méthodes que les leaders peuvent mettre en place pour gérer efficacement une culture de la confiance. Je décrirai ces stratégies et expliquerai comment certaines organisations les utilisent à bon escient. Mais penchons-nous d’abord sur la recherche scientifique qui sous-tend le cadre général.

Ce qui se passe dans le cerveau

En 2001, j’ai trouvé une relation mathématique entre la confiance et la performance économique. Bien que mon article à propos de cette recherche décrivît les environnements sociaux, juridiques et économiques qui sont à l’origine des différences dans la confiance, je ne pouvais pas répondre à la question la plus élémentaire : pourquoi deux personnes se font-elles confiance de prime abord ? Des expériences menées dans le monde entier ont montré que les humains sont naturellement enclins à faire confiance aux autres – mais ne le font pas toujours. J’ai émis l’hypothèse qu’il devait y avoir un signal neurologique qui indiquait quand nous devions avoir confiance en quelqu’un. J’ai donc entamé un programme de recherche sur le long terme pour vérifier si cela était vrai.

Je savais que l’on avait mis en évidence chez les rongeurs une substance chimique appelée ocytocine qui leur signalait qu’ils pouvaient approcher un autre animal en toute sécurité. Je me suis demandé si c’était aussi le cas chez les humains. Personne n’avait fait de recherches à ce sujet, aussi ai-je décidé d’enquêter. Afin de mesurer objectivement la confiance et sa réciprocité (la fiabilité), mon équipe a utilisé une épreuve de décision stratégique développée par des chercheurs dans le laboratoire de Vernon Smith, lauréat du prix Nobel d’économie. Dans notre expérience, un participant choisit une somme d’argent à envoyer à un étranger via un ordinateur, sachant que le montant triplera et que le destinataire peut choisir de ne pas partager le butin. Là repose le conflit : le destinataire peut soit garder l’argent, soit se montrer fiable et le partager avec l’expéditeur.

Pour mesurer les niveaux d’ocytocine durant l’échange, mes collègues et moi avons mis au point un protocole pour faire une prise de sang aux participants avant et immédiatement après qu’ils aient pris la décision de se fier aux autres (s’ils étaient expéditeurs) ou de se montrer dignes de confiance (s’ils étaient destinataires). Parce que nous ne voulions pas influencer leur comportement, nous n’avons pas parlé du sujet de l’étude aux participants, même s’il n’y avait aucun moyen qu’ils puissent consciemment contrôler l’ocytocine qu’ils produisaient. Nous avons constaté que plus les gens recevaient d’argent (signifiant une plus grande confiance de la part des expéditeurs), plus leur cerveau produisait d’ocytocine. Et la quantité d’ocytocine que les destinataires produisaient prédisait à quel point ils seraient fiables – c’est-à-dire à quel point ils seraient enclins à partager l’argent.

Puisque le cerveau génère des messagers chimiques en permanence, il était possible que nous ayons simplement observé des changements aléatoires de taux d’ocytocine. Pour prouver que l’ocytocine était la cause de la confiance, nous en avons prudemment administré des doses synthétiques dans des cerveaux humains vivants (au moyen d’un spray nasal). En comparant les participants qui avaient reçu une vraie dose avec ceux qui avaient reçu un placebo, nous avons découvert que donner aux gens 24 UI d’ocytocine synthétique faisait plus que doubler la somme d’argent qu’ils envoyaient à un inconnu. En utilisant une variété de tests psychologiques, nous avons montré que ceux qui recevaient de l’ocytocine restaient cognitivement intacts. Nous avons également constaté qu’ils ne prenaient pas de risques excessifs dans des jeux d’argent (Iowa Gambling Task), donc l’augmentation de confiance n’était pas due à une désinhibition neurale. L’ocytocine ne paraissait faire qu’une seule chose – réduire la peur de se fier à un inconnu.

Paul J. Zak