Archives pour la catégorie E.R.M

CA BOUGE DU COTE DU CYBER-RISQUE (4) COMMENT SE PREMUNIR CONTRE UNE CYBERATTAQUE.

🏅Le cyber risque, risque n°1 pour les entreprises.
Un risque nouveau aux modalités multiples, un risque subjectif qui le rend difficile à appréhender et à gérer, un risque difficile (« illusoire ») à assurer, un risque amplifié par le régulateur-législateur
❓Evaluation du risque : une probabilité élevée (voir causes nombreuses) ; un impact fort (voir coût élevé)
 🚴 Comment agir ?
👉 Indispensable, a minima complémentaire à l’assurance, mieux que l’assurance, mettre en place des plans d’actions pour gérer le cyber risque :
–          Le prévenir
–          L’atténuer
–          L’accepter sous sa forme résiduelle

👉 L’Agence Nationale de Sécurité des Systèmes d’Information (ANSII) propose des plans d’action et cinq mesures préventives pour gérer le cyber-risque.

🏔 En savoir plus : à relire sur le blog
Plans d’action / fraude au président
https://gestiondesrisques.net/2021/12/09/le-risque-variable-strategique-de-la-reflexion-des-entreprises-3-un-nouveau-risque-la-fraude-au-president-suite-un-exemple-de-plan-dactions/
Plans d’action / cyber-risques liés au télétravail
https://gestiondesrisques.net/2021/10/06/teletravail-risques-et-plans-dactions-ou-quels-plans-dactions-pour-gerer-les-risques-lies-au-teletravail-et-selon-quelle-approche-2/
https://gestiondesrisques.net/2021/09/29/quels-plans-dactions-pour-gerer-les-risques-lies-au-teletravail/
Nécessaire implication des salariés / gestion du cyber-risque
https://gestiondesrisques.net/2018/10/19/implication-des-collaborateurs-dans-la-demarche-de-gestion-des-risques-lexemple-du-cyber-risque/
🏔 En savoir plus : à découvrir ci-dessous un article sur les plans d’actions préconisés par l’ANSII

Comment se prémunir d’une cyberattaque ?

Depuis quelques années, les cyberattaques se multiplient, en particulier en temps de crise, qu’elle soit sanitaire ou sécuritaire. L’occasion de faire le point sur les recommandations de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) pour vous protéger en ligne.

Vous recevez un courriel estampillé Trésor public vous demandant de fournir vos coordonnées bancaires pour procéder à un remboursement ?

Un service de transport vous demande par sms de cliquer sur un lien pour régler les taxes douanières d’un colis ?

Vous recevez un courriel de la part de la gendarmerie nationale vous accusant d’un délit et vous demandant de répondre sous peine de poursuites ?

Soyez vigilant : les demandes adressées de manière autoritaire ou intimidante, par courriel ou par SMS, dissimulent parfois des tentatives d’arnaques.

Outre la bonne pratique qui consiste à séparer ses usages personnels et professionnels, voici les recommandations de l’ANSSI pour vous prémunir des attaques cyber.

1. Utilisez des mots de passe robustes

L’un des premiers réflexes consiste à définir des mots de passe robustes, à la fois difficiles à trouver par un système automatisé et à deviner pour une tierce personne.

Privilégiez des mots de passe longs, complexes et composés de différents types de caractères (des chiffres, des lettres majuscules, des lettres minuscules et des caractères spéciaux).

2. Préservez votre identité numérique

Préservez votre identité numérique en vous montrant vigilant en ligne et les réseaux sociaux : prenez soin de vos données personnelles et ne communiquez pas vos informations sensibles (numéro de téléphone, adresse ou numéro de carte bleue).

3. Protégez votre messagerie

Si vous recevez un message d’une personne que vous connaissez bien, mais que le contenu est étonnant (un titre en anglais ou dans une autre langue, une demande inhabituelle), faites preuve de prudence !

Vous devez garder en mémoire que l’identité de l’expéditeur peut être usurpée. Soyez attentif à tout indice mettant en doute l’origine réelle d’un courriel : incohérence de forme ou de fond entre le message reçu et ceux que votre interlocuteur légitime vous envoie habituellement.

Dans le même sens, ne répondez pas aux demandes suspectes d’expéditeurs inconnus.

Les demandes d’informations confidentielles sont rarement faites par courriel. Soyez donc attentifs à ces tentatives dites d’hameçonnage, aussi appelées phishing. Par exemple, le règlement de vos impôts passe uniquement par votre profil de contribuable sur le site impots.gouv.fr : le Trésor public ne vous demandera jamais vos coordonnées bancaires par courriel.

Vérifiez les liens qui figurent dans vos courriels avant de cliquer dessus. Si vous avez un doute, saisissez vous-même l’adresse du site dans la barre d’adresse du navigateur.

Assurez-vous également qu’en passant la souris au-dessus du lien proposé, l’adresse du site soit conforme à l’expéditeur annoncé. Souvent, le contenu des sites frauduleux comporte des fautes de français, mais de plus en plus, les tentatives d’hameçonnage emploient un français correct.

Enfin, soyez vigilant avant d’ouvrir les pièces jointes. Elles constituent le principal vecteur d’attaque et peuvent véhiculer des programmes malveillants.

4. Mettez à jour vos équipements

Votre ordinateur doit être équipé d’un antivirus efficace, ainsi que d’un système d’exploitation et de logiciels à jour pour se protéger des cyberattaques.

Les hackers ciblent les ordinateurs utilisant des logiciels qui ne sont pas à jour pour exploiter les vulnérabilités non corrigées.

5. Évitez la connexion aux réseaux non sécurisés

Évitez aussi les réseaux publics ou inconnus. Privilégiez la connexion de votre abonnement téléphonique (3G ou 4G) lorsque vous êtes en déplacement.

Les réseaux wi-fi publics sont souvent mal sécurisés, et peuvent être contrôlés ou usurpés par des pirates qui pourraient ainsi voir passer et capturer vos informations personnelles ou confidentielles (mots de passe, numéro de carte bancaire…).

Si vous n’avez d’autre choix que d’utiliser un wi-fi public, veillez à ne jamais y réaliser d’opérations sensibles et utilisez si possible un réseau privé virtuel (VPN).

6. Sauvegardez régulièrement vos données

Enfin, il faut penser à sauvegarder vos fichiers régulièrement sur un support externe à votre équipement (clé ou disque USB) que vous débranchez une fois la sauvegarde effectuée. En cas de piratage de votre ordinateur, vous risquez de perdre des données (photos, fichiers, contacts, messages…).

Si vous êtes victime d’une cyberattaque

Prévenez vos contacts, changez vos mots de passe, obtenez de l’assistance auprès de cybermalveillance.gouv.fr, déposez plainte.

ANSII. 16/03/2022

Cybersécurité : 5 mesures préventives préconisées par l’ANSSI pour protéger les entreprises

Face aux tensions liées au contexte international actuel, les entreprises doivent rester vigilantes et mettre en place une série d’actions de prévention.

L’ANSSI recommande aux entreprises de rester en alerte face aux cybermenaces.

Alors que la guerre entre la Russie et l’Ukraine gagne aussi le terrain du cyberespace, avec des cyberattaques qui se multiplient des deux côtés, Guillaume Poupard, directeur général de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), recommande aux organisations françaises de redoubler de vigilance.

Les tensions internationales actuelles, notamment entre la Russie et l’Ukraine, peuvent parfois s’accompagner d’effets dans le cyberespace qui doivent être anticipés. Si aucune cybermenace visant les organisations françaises en lien avec les récents événements n’a pour l’instant été détectée, l’ANSSI suit néanmoins la situation de près. Dans ce contexte, la mise en œuvre des mesures de cybersécurité et le renforcement du niveau de vigilance sont essentielles pour garantir la protection au bon niveau des organisations, explique Guillaume Poupard dans un post LinkedIn.

Concrètement, le directeur général de l’ANSSI demande aux entreprises et aux administrations françaises de suivre avec attention les alertes ainsi que les avis de sécurité publiés et mis à jour régulièrement par le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR). Chaque organisation est également invitée à mettre en place « à court terme » une série de mesures pour « limiter la probabilité d’une cyberattaque ainsi que ses potentiels effets ». L’ANSSI rappelle également que, pour que ces actions soient réellement efficaces, elles doivent « s’inscrire dans une démarche de cybersécurité globale et de long terme ».

Les 5 mesures cyber préventives recommandées par l’ANSSI

Le message relayé par Guillaume Poupard s’accompagne d’un document réalisé par l’Agence nationale de la sécurité des systèmes d’information présentant les « mesures cyber préventives prioritaires » liées aux « tensions internationales actuelles ».

Dans ce diaporama d’une dizaine de pages, l’ANSSI détaille ses 5 recommandations à destination des entreprises, afin de renforcer leur niveau de sécurité informatique :

  1. Renforcer l’authentification sur les systèmes d’information : il s’agit ici de mettre en œuvre une authentification forte pour les comptes particulièrement exposés (administrateurs, personnel de direction, cadres dirigeants…), nécessitant 2 facteurs, soit « un mot de passe, un tracé de déverrouillage ou une signature», soit « un support matériel (carte à puce, jeton USB, carte magnétique, RFID) ou a minima un autre code reçu par un autre canal (SMS) ».
  2. Accroître la supervision de sécurité : un système de supervision des événements journalisés devra être mis en place pour « détecter une éventuelle compromission et de réagir le plus tôt possible ».
  3. Sauvegarder hors-ligne les données et les applications critiques : les sauvegardes effectuées doivent être réalisées en étant déconnectées du système d’information « pour prévenir leur chiffrement », et des solutions de stockage à froid (disques durs externes, bandes magnétiques) peuvent être utilisées afin de « protéger les sauvegardes d’une infection des systèmes et de conserver les données critiques à la reprise d’activité ».
  4. Établir une liste priorisée des services numériques critiques de l’entité : l’ANSSI conseille de réaliser un inventaire des services numériques d’une organisation en les listant par type de sensibilité, et d’identifier les dépendances vis-à-vis des prestataires externes.
  5. S’assurer de l’existence d’un dispositif de gestion de crise adapté à une cyberattaque : les entreprises doivent déterminer les contacts d’urgence et établir un plan de réponse adapté à la gestion des cyberattaques.

Alexandra Patard / 2 mars 2022.

CA BOUGE DU COTE DU CYBER-RISQUE (3) UN PROJET DE LOI PERMETTANT A L’ASSUREUR DE REMBOURSER LES CYBER-RANCONS

🏅Le cyber risque, risque n°1 pour les entreprises.

Un risque nouveau aux modalités multiples, un risque subjectif qui le rend difficile à appréhender et à gérer, un risque difficile (« illusoire ») à assurer, un risque amplifié par le régulateur-législateur

❓Evaluation du risque : une probabilité élevée (voir causes nombreuses) ; un impact fort (voir coût élevé)

 🚴 Comment agir ?

👉 Un projet de loi permettant le remboursement par l’assureur des cyber-rançons

Le post très pédagogique de Paul Berger de Gallardo, avocat, pour faire un point sur le projet de loi

Deux articles pour vous positionner. Et vous quel est votre avis sur ce projet de loi ? Une bonne solution pour les assureurs ? Une solution pour gérer le cyberrisque ?  

👉Les plans d’action préconisés par l’ANSII pour gérer le cyberrisque – dans 15 jours sur le blog

LE POST TRES PEDAGOGIQUE DE PAUL BERGER DE GALLARDO, AVOCAT, POUR FAIRE UN POINT SUR LE PROJET DE LOI.

🔐 Le remboursement par l’assureur des cyber-rançons conditionné à un dépôt de plainte ?

🚨 Un projet de loi prévoit d’encadrer les clauses de remboursement des rançongiciels par les #assurances, en rendant obligatoire le dépôt d’une plainte par la victime dans les 48h après le paiement de cette rançon.

🔹 Quoi ? Le rançongiciel ou ransomware est ainsi défini par l’ANSSI – Agence nationale de la sécurité des systèmes d’information : « envoi à la victime d’un logiciel malveillant qui chiffre l’ensemble de ses données et lui demande une rançon en échange du mot de passe de déchiffrement ».

🔸Pourquoi ? 20 % des entreprises françaises déclarent avoir subi au moins une attaque par rançongiciel au cours de l’année 2020, atteignant souvent l’activité économique et perturbant parfois la production.

🔕 L’absence fréquente de plainte des victimes, par crainte de reconnaître leur vulnérabilité et de ternir leur image, empêche toute investigation.

🔹Est-ce légal de payer une rançon, et d’être remboursé par son assurance ? Ainsi que l’a rappelé récemment le HCJP (Haut Comité Juridique de la Place Financière de Paris), le paiement d’une rançon par la victime d’une extorsion ne constitue ni un délit ni un acte de complicité dès lors que le consentement au paiement n’est pas libre mais résulte de la contrainte.

➡️ L’assurance du risque de rançongiciel ne paraît se heurter à aucun obstacle juridique majeur.

🔸 Quelles sont les solutions possibles ? L’étude d’impact du projet de loi a analysé trois solutions : 1️⃣ assujettir le remboursement d’une rançon versée par un assureur au dépôt de plainte 2️⃣ rendre obligatoire la déclaration à TRACFIN de tout paiement d’une rançon 3️⃣ promouvoir au niveau européen l’interdiction du paiement des rançons par les assureurs suite à une #cyber-attaque.

⁉️ Pourquoi retenir la première solution ? L’interdiction du paiement des rançons et de leur #assurance pèserait de manière démesurée sur les entreprises qui jouent parfois leur survie. Le dépôt d’une plainte rapide permettrait aux autorités compétentes de bénéficier des informations nécessaires à la poursuite des infractions et de « casser » le modèle de rentabilité des cyber‑attaquants.

🔹 Comment ? Par la création d’un article L. 12-10-1 du Code des assurances prévoyant cette condition de garantie au sein d’un nouveau chapitre « L’assurance des risques de cyber-attaques ».

🕰 La règle envisagée serait d’application immédiate et entrerait en vigueur également pour les contrats en cours.

⬇️ Que pensez-vous du paiement des cyber-rançons, de leur assurabilité et de ce projet de condition de garantie ? ⬇️

DEUX ARTICLES POUR VOUS POSITIONNER / ET VOUS QUEL EST VOTRE AVIS SUR CE PROJET DE LOI ? SOLUTION POUR GERER LE CYBERRISQUE ? 

Loi LOPMI : pour payer la rançon, il faudra déposer plainte

Sécurité : Le nouveau projet de loi d’orientation et de programmation encadre notamment la transition numérique des forces de l’ordre et propose un régime encadrant le paiement des rançons dans les affaires de rançongiciels.

Le projet égrène une douzaine de mesures, dont une partie concerne le développement des capacités des policiers et des gendarmes en matière de réponse aux crimes et délits en lien avec le numérique, ainsi que des dispositions visant à équiper les forces de l’ordre de nouveaux équipements.

Parmi les nouvelles dispositions, le gouvernement propose une première approche visant à encadrer le paiement des rançons suite à des attaques au ransomware. Comme le précise l’article 5 du projet de loi, le versement d’une rançon couverte par l’assureur de la société victime est possible si la victime accepte de déposer plainte dans les 48 heures après le paiement de la rançon.

Pas d’interdiction du paiement des rançons

Une manière de trancher le débat qui faisait rage depuis plusieurs mois autour du paiement des rançons exigées par les groupes de rançongiciels. Le directeur de l’Anssi avait allumé la mèche en fustigeant publiquement les « intermédiaires » qui acceptaient de payer les rançons, mais il avait également reconnu que cette possibilité devait rester ouverte dans certains cas. Depuis, les assureurs étaient nombreux à réclamer « une clarification » des règles sur le sujet, certains ayant choisi de cesser de proposer leurs assurances cyber prévoyant le paiement de rançons dans les affaires de ransomware.

En la matière, le gouvernement a donc choisi de s’aligner sur la proposition émise par le haut comité juridique de la place financière de Paris, qui avait été saisi du sujet et a publié un rapport à la fin du mois de janvier sur la question. Le haut comité recommandait de ne pas interdire purement et simplement le paiement des rançons, mais de conditionner celui-ci à un dépôt de plainte. Cette approche laisse donc une certaine marge de manœuvre aux victimes et à leurs assureurs, en leur permettant d’envisager le paiement d’une rançon pour espérer récupérer l’accès aux données. Et elle donne un coup de pouce aux forces de l’ordre qui ont du mal à convaincre les entreprises de déposer plainte après une attaque informatique.

Renforcer les forces de l’ordre sur le numérique

Outre cette disposition, le projet de loi prévoit également d’étendre les enquêtes sous pseudonyme, jusqu’alors réservées à certains délits concernant le trafic de drogues et d’armes, à l’ensemble des crimes et délits punis d’une peine d’emprisonnement. Le projet de loi prévoit également d’ouvrir aux forces de police la saisie « d’actifs numériques », terme utilisé pour décrire les cryptomonnaies et autres actifs basés sur une blockchain, aujourd’hui fréquemment utilisés dans le blanchiment d’argent et les affaires de rançongiciels.

Le texte reprend des mesures annoncées par le président de la République lors du discours de clôture du Beauvau de la sécurité, comme la place d’un « numéro 17 » dédié à la fraude informatique, la création de 1 500 postes de cyberpatrouilleurs et la création d’une agence du numérique des forces de sécurité, chargée de superviser l’équipement des policiers et gendarmes en smartphones et accessoires nécessaires aux enquêtes. Le montant prévu de ces différents investissements est estimé à 8 milliards d’euros.

Adopté en conseil des ministres, le texte doit maintenant être soumis au vote du parlement. Mais, calendrier oblige, celui-ci ne sera présenté qu’après l’élection présidentielle, donc pour la prochaine législature. Un timing relevé par le Conseil d’Etat dans son avis sur la loi, qui remarque le calendrier « pour le moins habituel » pour un projet de loi de ce type.

Par Louis Adam. Mars 2022

Cyberattaques : les assureurs rassurés sur la possibilité de couvrir les rançons

Un projet de loi prévoit qu’une entreprise victime d’une cyberattaque et contrainte de payer une rançon devra déposer plainte pour obtenir la prise en charge de ce paiement par son assureur. Une bonne nouvelle pour les représentants du secteur.

Les promesses ont mis du baume au coeur des syndicats de policiers mais aussi… des assureurs. Le plan de modernisation des moyens des forces de l’ordre , présenté par le gouvernement à la mi-mars, est en effet considéré par la profession comme une bonne nouvelle pour le développement dans l’Hexagone des assurances contre les cyberattaques.

Le projet de loi, dit LOPMI, prévoit notamment d’obliger les entreprises victimes d’un rançongiciel à porter plainte dans les 48 heures suivant le paiement d’une rançon pour obtenir sa prise en charge par l’assurance. Et ce, afin « d’améliorer l’information des forces de sécurité et de l’autorité judiciaire, et de ‘casser’ le modèle de rentabilité des cyberattaquants », note le projet.

Pas de changement sur le fond

« La France, comme les autres pays dans le monde, ne veut pas interdire l’incorporation de la garantie sur le paiement des rançons dans les contrats d’assurance cyber », a salué la semaine dernière, lors d’une conférence de presse, la présidente de la fédération France Assureurs, Florence Lustman, se félicitant d’une telle clarification.

La portée de cette disposition est à relativiser. Déposé à quelques semaines de l’élection présidentielle, le projet de loi n’est à ce stade pas à l’étude au Parlement et son avenir dépendra du résultat du scrutin. Par ailleurs, si la mesure était adoptée, elle ne changerait pas les habitudes. Elle « ne change rien sur le fond car les assureurs imposaient déjà un dépôt de plainte », explique Mickaël Robart, expert chez le courtier Diot-Siaci.

« Mais elle montre que le risque cyber est plutôt traité par les assureurs de façon responsable. » Ceux-ci veulent croire qu’avec ce projet de loi, il n’y a plus d’insécurité juridique : les services de l’Etat ont tranché, notamment Bercy qui a lancé l’été dernier des travaux sur la cyberassurance .

Autrement dit, ils n’iront pas dans le sens du patron de l’Agence nationale de la sécurité des systèmes d’information (ANSII) et de la vice-procureure en charge de la cybersécurité au parquet de Paris. Au printemps dernier, ces derniers avaient estimé que la prise en charge des rançons par l’assurance pouvait encourager la cybercriminalité.

Pas de changement chez AXA France

En octobre, un rapport parlementaire avait préconisé l’interdiction du paiement des rançons. Au contraire, en début d’année, des experts avaient mis en garde contre les effets d’une telle interdiction.

Signe que le sujet est sensible, Generali France a décidé en début d’année de tourner le dos au paiement des rançons. Quant à AXA France, qui avait décidé de suspendre sa garantie rançon l’an dernier, il n’a pas changé de politique avec la loi LOPMI, indique un porte-parole.

Solenn Poullennec. Avril 2022.

CA BOUGE DU COTE DU CYBER RISQUE (2) QUEL IMPACT ? QUEL COUT ?

Nouvelles publications sur le Blog consacrées au cyber risque et à la cyber sécurité.
ERM, Gestion des Risques, Analyse du risque, Evaluation du cyber risque.
  • Après l’avoir décrit, contextualisé et identifié ses modalités, un résumé des causes et conséquences du cyber risque (risque cyber) ;
  • Deux articles proposant une estimation de son coût. Ces études font écho à celles déjà menées sur le risque réputation.
A lire et à relire sur le blog dans la catégorie Risque et la sous-catégorie Cyber risque et cyber sécurité :
Rappel de ce qu’est le cyber risque – analyse du risque / description, contextualisation, modalités ; dernières attaques – :
Estimations / évaluation du risque / coût du risque de réputation :
Le cyber risque dans les classements de risques :  
https://gestiondesrisques.net/2022/01/20/un-2eme-classement-des-risques-par-les-entreprises-le-barometre-dallianz/ https://gestiondesrisques.net/2022/01/17/classement-des-risques-par-les-entreprises/
La réticence des assureurs à assurer le cyber risque :
https://gestiondesrisques.net/2021/03/09/risques-assurances-marche-des-assurances-cyberrisque-et-assurances/
 Le RGPD dans le rôle d’amplificateur de risque et la nécessité de mettre en place une démarche de gestion des risques (ERM) :
https://gestiondesrisques.net/2021/01/26/rgpd-best-practices-et-plans-dactions/
Le cyber risque et le télétravail. Démarche de gestion des risques (ERM) et plans d’actions :
https://gestiondesrisques.net/2021/10/06/teletravail-risques-et-plans-dactions-ou-quels-plans-dactions-pour-gerer-les-risques-lies-au-teletravail-et-selon-quelle-approche-2/
https://gestiondesrisques.net/2021/09/14/teletravail-et-risques-2/

Cyber risque : causes et conséquences

Pour compléter l’analyse (étape d’identification) du cyber risque, nous pouvons citer comme causes de sa survenance :

  • la mauvaise protection des réseaux locaux ;
  • l’absence de mise à jour par les utilisateurs ;
  • des systèmes et logiciels anciens et vulnérables ; une mauvaise sécurisation des données ;
  • l’augmentation des activités en ligne, notamment avec le télétravail ;
  • la prise en compte insuffisante du risque par manque de moyens financiers, de personnel qualifié, de sensibilisation et de culture du risque notamment dans les municipalités ;
  • le sous-contrôle du risque…

Ses conséquences sur l’organisation sont multiformes et peuvent être lourdes :

  • interruption du fonctionnement d’un service et détermination nécessaire d’un délai de retour à la normale qui peut prendre la forme d’une paralysie pendant plusieurs semaines de l’accueil dans les mairies et dans les hôpitaux avec un impact sur les rendez-vous, les interventions, l’imagerie, les actes…et les patients eux-mêmes, l’arrêt de la production de certains sites dans les entreprises…

Quel Impact ? Quel coût ?

 Risque cyber : une société mal préparée peut perdre jusqu’à 20 % de sa valeur 

Investisseurs et repreneurs tiennent compte des risques cyber dans l’évaluation des entreprises qu’ils convoitent. Une société mal préparée peut perdre jusqu’à 20 % de sa valeur. Alors avant d’ouvrir son capital ou de vendre, un audit informatique complet s’impose.

Les cyberattaques ont augmenté de 13 % l’année dernière, selon la société Orange cyberdefense. Et ce sont les TPE et PME qui sont le plus souvent visées. Elles font l’objet de 3 attaques sur 4. Quant au risque le plus élevé, il s’agit du ransomware ou rançongiciel qui constitue 38 % des incidents enregistrés. Les conséquences de ces attaques sont, elles, très difficiles à évaluer.

En cas de cyberattaque, les pertes de données mais aussi les pertes financières varient d’une entreprise à l’autre, selon le degré de préparation ou d’impréparation plutôt de chaque entreprise. Peu d’études ont tenté jusque-là d’en évaluer précisément le coût direct, et surtout indirect.

Un vol de données dévalorise l’actif

Une enquête réalisée par Bessé, en partenariat avec PwC France, avec Guy-Philippe Goldstein, chercheur et spécialiste des questions de cyberdéfense, apporte un éclairage nouveau sur cette question. L’étude analyse 30 incidents majeurs de cybersécurité s’étant produits dans 28 entreprises mondiales entre 2008 et 2017.

Les deux tiers de ces sociétés ont vu leur valeur boursière affectée avec, en moyenne, plus d’un an après l’incident, une perte de la valeur patrimoniale de 10 %, et même de 20 % pour les entreprises les moins réactives et les moins bien préparées. Au bout de douze mois, la diminution globale du cours de l’action est de 19,5 %, ce qui peut être vu comme une perte structurelle pour l’entreprise, et génère de facto un déficit de confiance.

Si la variation du cours de Bourse traduit l’impact du cyberrisque sur les entreprises cotées, quel est l’indicateur pour les entreprises non cotées ? Investisseurs et repreneurs potentiels analysent et estiment les risques cyber dans leur calcul de valorisation. « La menace cyber impacte la valeur des actifs. Un entrepreneur qui achète des données clients, et qui n’est pas certain de leur sécurité, va généralement défalquer 20 % de la valeur de la société cible », rapporte Laurent Bernier, dirigeant de la société Les Oies du Cyber, spécialisée dans la cybersécurité pour les PME.

L’ampleur des enjeux plaide donc pour une stratégie d’anticipation et une analyse amont du risque cyber. « La cybermenace concerne aussi bien la réputation de l’entreprise que la perte de confiance, poursuit Laurent Bernier. Si l’entreprise se voit piller dix ans d’historique clients, un secret de fabrication dans un vol de données, si une cyberattaque remet en cause la relation avec l’un de ses principaux clients à la suite d’une fuite d’informations, le nouvel acquéreur va perdre une partie de la jouissance future du bien ».

Auditer le système d’information

Un investisseur ou un repreneur va donc s’efforcer de comprendre comment l’entreprise qu’il convoite se protège, se prépare et cherche à diminuer l’impact d’une éventuelle attaque. Pour cela, il va analyser en profondeur les dispositifs de prévention et les outils de réponse. Notamment en menant un audit. « Plus l’entreprise est digitale, plus l’audit est complexe », prévient Laurent Bernier. Il convient de détailler la politique de mots de passe et d’autorisations, les conditions de connexion sur site et en dehors de l’entreprise.

Un audit devrait aussi comporter un scanner des vulnérabilités pour identifier les points faibles des infrastructures matérielles et logicielles afin de détecter rapidement les failles de sécurité qui pourraient être exploitées par une personne malveillante. Enfin, il faut s’assurer que l’entreprise a bien mis au point un plan de continuité efficace en cas d’incident majeur

Pour que cette analyse soit la plus pertinente, l’investisseur ou le repreneur s’entoure en général d’un expert qui devra s’assurer de la qualité des outils informatiques et évaluer le dispositif technique de détection des attaques. Evidemment, cette analyse devrait aussi être conduite par toute entreprise qui souhaite ouvrir son capital ou trouver un repreneur. « Pour prouver sa fiabilité, un vendeur a tout intérêt à anticiper. Cette démarche demande du temps, environ un an. Une entreprise bien protégée, dotée d’une approche globale et structurée, va augmenter sa valeur de 10 à 15 % », conclut l’expert en cybersécurité Laurent Bernier.

Mallory Lallane  Le 22/03/ 2022

78 % des entreprises françaises ont subi une attaque par ransomware au cours de cinq dernières années

Et 69 % d’entre elles ont versé une rançon, selon une étude d’ExtraHop

La nouvelle enquête Cyber Confidence Index d’ExtraHop révèle que les décideurs en matière de sécurité et d’informatique ont confiance dans la posture de sécurité de leur entreprise malgré la fréquence des attaques

Parmi les autres principaux résultats de l’enquête :

  • Coût élevé des ransomwares : 69 % des participants admettent avoir déjà versé une rançon tandis que 36 % des entreprises victimes d’une attaque par ransomware déclarent avoir payé la somme demandée dans la plupart ou la totalité des cas. En outre, les victimes de ransomwares font état d’autres préjudices, parmi lesquels une interruption de l’activité (45 %) ou du travail des utilisateurs (40 %) ou encore une perte de propriété intellectuelle et une atteinte à leur image de marque (41 %).
  • Dommages causés à l’activité : les attaques de ransomwares touchent l’ensemble de l’entreprise. 45 % des participants déclarent avoir subi une interruption d’activité résultant d’attaques contre l’infrastructure informatique (IT), 32 % à la suite d’attaques contre l’infrastructure opérationnelle (OT) et 40 % déplorent une interruption du travail des utilisateurs causée par des attaques ciblant ceux-ci.

Sandra Coret. Le 10 mars 2022.

RISQUE-GESTION DES RISQUES-RISK MANAGER : UNE ACTUALITE CHARGEE

Il y a des semaines où les alertes se multiplient. Nous vivons une de ces périodes.

EN RESUME :

🏅Une multiplication des cyberattaques…

🏅Le cyber risque qui peut devenir risque de réputation (Voir Emma) ; le risque opérationnel qui se peut se transformer en risque de réputation (Affaires Buitoni et Kinder à deux jours d’intervalle)…Transversalité du Risque.

https://www.linkedin.com/feed/update/urn:li:activity:6915342632881725440/

🏅Le risque éthique dans sa dimension gouvernance amplifié par le régulateur-législateur (loi sur le devoir de vigilance) : Mac Donald’s

https://www.linkedin.com/posts/caroline-irigoyen-hse_travail-forc%C3%A9-harc%C3%A8lement-sexuel-abus-de-activity-6917002519051157504-BxF9?utm_source=linkedin_share&utm_medium=member_desktop_web

🏅Le rapport GIEC qui positionne le risque climatique comme risque majeur sur les cartographies…

https://www.linkedin.com/posts/caroline-aubry-_climat-le-mode-demploi-du-giec-pour-activity-6917012187194552320–L0L?utm_source=linkedin_share&utm_medium=member_desktop_web

🏅La guerre en Ukraine qui « révèle » le risque géopolitique…

🏆 Cette actualité rappelle, s’il en est besoin, que le risque est (doit être) une variable stratégique de la réflexion des organisations, que la mise en place d’une gestion des risques de type ERM est incontournable et que la fonction qui est (doit être) à la manœuvre est la Fonction Risk Manager.

C’est ma thématique de recherche. Riche et passionnante.

Bonne lecture.

Ci-dessous un article sur « l’affaire » Buitoni.

E. coli dans les pizzas Buitoni : ouverture d’une enquête pour « homicides involontaires »

Le parquet de Paris a entamé des investigations pour « homicides involontaires », « tromperie » et « mise en danger d’autrui ». Mercredi, la Direction générale de la santé a confirmé qu’il existait un lien entre l’apparition de plusieurs cas graves de contamination d’enfants par la bactérie E. coli et la consommation de pizzas Fraîch’up de Buitoni.

Le groupe Nestlé, propriétaire de la marque Buitoni, fait face à une enquête. Le parquet de Paris a indiqué ce vendredi avoir entamé des investigations après plusieurs cas graves de contamination d’enfants par la bactérie Escherichia coli et des décès, Mercredi, les autorités sanitaires avaient annoncé avoir établi un lien entre la consommation des pizzas surgelées de la gamme Fraîch’up de Buitoni et des cas graves de contamination.

Cette enquête confiée au pôle santé publique (PSP) du parquet de Paris dont la compétence est nationale, a été ouverte le 22 mars. « Le PSP, sur dessaisissement des parquets de Nancy et Saint-Malo et en application de sa compétence en matière d’infractions portant atteinte à la santé », s’est saisi de l’enquête, a ainsi précisé le parquet de Paris.

Deux enfants décédés

Dans le détail, l’enquête porte sur les infractions de « tromperie sur une marchandise, exposition ou vente de produits alimentaires corrompus ou falsifiés et nuisibles pour la santé, mise sur le marché d’un produit préjudiciable à la santé, mise en danger d’autrui, blessures involontaires et homicides involontaires ».

Elle a été confiée à l’Office central de lutte contre les atteintes à l’environnement et à la santé publique (Oclaesp), la Direction générale de la gendarmerie nationale, le service des enquêtes de la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) et la Brigade nationale d’enquêtes vétérinaires et phytosanitaires (BNEVP) du ministère de l’agriculture, a précisé le parquet.

La France connaît depuis fin février une recrudescence de cas de syndromes hémolytiques et urémiques (SHU) liés à une contamination à E. coli. Santé Publique France indiquait mercredi que 75 cas étaient en cours d’investigation, dont 41 pour lesquels des syndromes hémolytiques et urémiques « similaires » ont été identifiés, et 34 pour lesquels des analyses supplémentaires sont en cours. Les enfants malades sont âgés de 1 à 18 ans. Deux d’entre eux sont décédés, même si le lien avec les pizzas n’a pas été confirmé dans leurs cas.

Les premiers tests réalisés par Nestlé, propriétaire de la marque Buitoni, sur le site de Caudry, dans le Nord, où sont fabriquées ces pizzas, sont revenus négatifs . « On ne comprend pas ce qui a pu arriver, mais nous allons développer un protocole d’analyse que nous allons soumettre aux autorités », avait précisé Jérôme Jaton, directeur général industriel de Nestlé, lors d’une conférence de presse ce mercredi.

Source AFP

QUELS PLANS D’ACTIONS POUR GERER LES RISQUES LIES AU TELETRAVAIL ET SELON QUELLE APPROCHE ?

L’identification des risques liés au télétravail (étape 2 de la démarche de gestion des risques que je présente dans mes travaux) et leur mesure (probabilité/impact) (étape 3) permettent aux RM de les placer dans la cartographie des risques.

Voyons maintenant comment les gérer ?

Une grille de lecture / un article

👉 La mise en place de plans d’actions relève de l’étape 4 de la démarche de la gestion des risques.

En résumé, à quoi correspond-elle ?

Elle consiste à analyser les systèmes de contrôle interne : existe-t-il des dispositifs de contrôle ? De quels types sont-ils (procédures, chartes, formations, responsabilisation, assurances) ? Sont-ils efficaces, pertinents, fiables ?

Les conclusions quant à ces dispositifs de contrôle du risque permettent à l’entreprise de définir un ou des plans d’actions (bénéfice/ressources à investir) destinés à améliorer la couverture des risques majeurs (action sur l’impact et/ou la probabilité).

Les plans d’actions sont diffusés via la responsabilisation et la mise en réseau. En face de chaque risque majeur est positionné un responsable chargé d’un plan d’actions (également appelé le « propriétaire » du risque) : un réseau  de responsabilité est ainsi mis en place. Pour chaque famille de risques, des experts sont choisis pour aider ces « propriétaires » de risque : un réseau de soutien est mis en place. Un comité de risques central chapeaute ces deux réseaux.

Ces outils donnent à la démarche de gestion des risques son caractère dynamique.

👉 Des accords d’entreprise sont un plan d’actions pour prévenir les risques liés au télétravail.

Dans le cadre de leurs recherches, Caroline Diard et Nicolas Dufour (mon co-auteur pour l’ouvrage « La Fonction Risk Manager. Organisation, Méthodes et Positionnement » https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html) ont mesuré l’efficacité d’accords d’entreprise dans cinq grandes banques contre trois types de risques liés au télétravail : la surconnexion, la surcharge de travail, et une mauvaise articulation entre le contrôle et l’autonomie du télétravailleur.

👉 Une gestion des risques technique et socio-cognitive. D’une logique de contrôle à une logique de soutien.

A côté de la formalisation comme moyen de prévenir les risques, ils évoquent d’autres moyens tels que l’évolution des modes managériaux, l’autonomie, la co-construction de nouvelles normes, l’autodiscipline, les bonnes pratiques.

Les risques psycho-sociaux liés au télétravail comme tous les risques ne sont pas seulement un « problème » technique mais également un « problème » de facteur humain.

C’est une idée qui m’est chère et qui ressort des entretiens que j’ai pu mener avec des RM : la gestion des risques doit être à la fois technique et socio-cognitive, passer d’une logique de contrôle à une logique de soutien.

Elle rejoint la mise en place du « risk management intelligent» préconisés par Power (2004, 2007, 2009, 2016). Dans un article, j’écris : « Préférer une logique de soutien à la logique de contrôle qui prévaut à la mise en place de la gestion des risques transformerait la Fonction Risk Manager en instrument de légitimité cognitive. L’accès des RM au terrain serait facilité ; les obstacles associés à la logique de contrôle (manque de communication interne en direction des opérationnels, méfiance vis-à-vis des opérationnels, manque de motivation, de disponibilité et inertie des opérationnels, poids de la sanction venant de la direction) seraient allégés. Cette première dynamique passe par la mise en place d’une approche globale technique et socio-cognitive (Chautru, 2008 ; Aubry et Montalan, 2007). »

👉 A lire

Dans les banques, les accords d’entreprise limitent en partie les risques liés au télétravail

« En 2019, une étude de l’Association nationale des directeurs des ressources humaines (ANDRH) montrait que, dans la majorité des cas, le recours au télétravail était formalisé soit par un accord de groupe ou d’entreprise, soit par une charte d’employeur. Parmi ces sociétés, on retrouve de nombreuses banques, l’un des secteurs où cette pratique se concentre particulièrement.

Dans le cadre de nos recherches (menées fin 2019), nous avons évalué l’efficacité de tels accords dans 5 grandes banques contre trois types de risques liés au télétravail : la surconnexion, la surcharge de travail, et une mauvaise articulation entre le contrôle et l’autonomie du télétravailleur. Il ressort de notre étude, publiée dans la Revue de l’organisation responsable, que les accords d’entreprise permettent effectivement de réduire les deux premiers types de risques, mais leur portée reste limitée pour gérer le troisième enjeu.

Une surcharge de travail limitée

En ce qui concerne le droit à la déconnexion, les accords d’entreprise reprennent les dispositifs introduits dans le Code du travail en 2017. La possibilité d’être connecté 24 heures sur 24 rend en effet le télétravailleur disponible et induit parfois une situation de connexion subie. L’organisation doit donc anticiper la perméabilité de la frontière entre vie privée et professionnelle.

Dans l’une des banques étudiées, l’accord prévoit explicitement que :

« Aucun courriel ne sera adressé avant 8 h le matin et après 19 h 30 le soir ; aucun courriel ne sera adressé durant les week-ends et jours fériés sauf en cas de manifestations commerciales de type foires et salons auxquelles participerait le salarié nomade ».

Même si certains salariés reconnaissent des « difficultés à déconnecter » ou encore « consulter souvent les messages via le smartphone », ils déclarent globalement respecter la séparation vie privée – vie professionnelle, évoquant notamment l’efficacité en ce sens d’un cadrage lié à une connexion à distance qui s’interrompt par module de 4 heures.

Pour ce qui est de la charge du travail du salarié, en pratique, la mise en place du télétravail ne devrait pas avoir d’effet. Dans le cas des banques étudiées, le respect des horaires semble être prévu par les accords et les directions s’attachent à respecter la loi.

Or, nos observations terrain, comme d’autres travaux de recherche, révèlent une tendance à l’augmentation de la charge de travail lorsque celui-ci est réalisé à distance. Il semble s’agir d’initiatives des salariés qui témoignent avoir des difficultés à « poser des limites », comme l’un d’entre eux nous l’a confié.

Les accords permettent toutefois de contenir le phénomène. Dans une caisse régionale étudiée, la règle selon laquelle le télétravailleur doit rester joignable aux horaires habituels de l’équipe, ou encore la définition stricte des horaires « 8h30 – 12h30/13h30 – 18 h », constituent par exemple des mesures appréciées de certains, qui se disent même « plus performants ». La limitation à un jour de télétravail par semaine permet en outre de laisser la charge de travail quasi inchangée.

Du contrôle à l’« autocontrôle »

Lorsqu’on l’interroge sur une éventuelle surcharge de travail, un répondant reconnaît l’apparition d’une plus grande amplitude horaire, mais aussi d’« une souplesse appréciable ». Ce témoignage illustre bien la nécessité d’un management différent du travail à distance, qui doit prendre en compte les bouleversements en termes de contrôle, d’autonomie et de confiance dans l’organisation. D’autant plus que l’autonomie gagnée rend le collaborateur redevable, parfois tenté de prouver son engagement et sa loyauté.

Dans une situation de télétravail, le collaborateur doit en effet s’adapter à des situations inédites, en l’absence de manager, définissant alors par lui-même un mode de fonctionnement. De son côté, le manager peut être tenté de recourir au contrôle technologique du travail effectué, ce qui peut donner lieu à certaines dérives.

Dans tous les accords étudiés, signés au sein de 5 banques, l’accès au télétravail est fondé sur la capacité du salarié à travailler en autonomie et à distance, et concerne les collaborateurs ne nécessitant pas de soutien managérial physique rapproché. L’accord d’une banque précise par exemple que :

« Une autonomie d’organisation du temps de travail est reconnue aux salariés nomades ».

D’autres accords prévoient une commission de suivi ou définissent encore le cadre hebdomadaire, par exemple « à raison d’un jour par semaine, fixé en concertation avec le manager ».

En revanche, la notion de contrôle n’apparaît pas systématiquement. Aucun des collaborateurs ou managers interrogés dans l’étude n’a évoqué de mise en place de logiciel spécifique de surveillance. Tous les managers disent accorder toute leur confiance aux collaborateurs. Ils n’ont pas la sensation de suivre de façon particulièrement étroite les télétravailleurs.

Cependant, le reporting est systématiquement évoqué, à l’image du témoignage de cet interviewé :

« Je contrôle au moins une fois par mois qu’elle réponde au téléphone le jour du télétravail, je regarde de temps en temps s’il est connecté et je lui demande un reporting le soir ».

L’autonomie et la délégation peuvent donc devenir un moyen de transférer la responsabilité des objectifs sur les collaborateurs. Autrement dit, une forme d’« autocontrôle » succède au contrôle qui repose désormais sur une auto-évaluation davantage que sur un lien hiérarchique entre manager et managé.

Autrement dit, la perception mouvante d’autonomie et de contrôle dépend autant de la relation managériale que de l’application de l’accord d’entreprise. Sur les risques liés à ce bouleversement dans le lien hiérarchique, l’accord d’entreprise – dans les banques mais sans doute également dans d’autres secteurs tertiaires – semble donc une réponse plus incomplète qu’il ne peut l’être concernant la surconnexion ou la surcharge de travail.

Dans un récent article publié dans The Conversation, nous avions d’ailleurs plus largement regretté l’absence de prise en compte de ces risques dans l’Accord national interprofessionnel (ANI) « pour une mise en œuvre réussie du télétravail » conclu par les partenaires sociaux, le 26 novembre 2020. C’est donc probablement sur ce point-là que les négociations, à tous les échelons et dans bon nombre de secteurs, devraient évoluer ces prochaines années. »

Caroline Diard Enseignant-chercheur en management des RH et Droit, ESC Amiens.

Nicolas Dufour Professeur affilié, PSB Paris School of Business – UGEI.

Mai 2021

LE RISQUE CLIMATIQUE : IMPACT SUR LES INSTITUTIONS FINANCIERES ET LA GESTION DES RISQUES

Rôle du régulateur : guide relatif aux risques liés au climat et à l’environnement. Gestion des risques : exercice pilote, scénarios, méthodologies.

Dans « La Fonction Risk Manager. Organisation. Méthodes et positionnement » https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html faire le point sur le rôle du régulateur comme amplificateur du risque (un des facteurs de l’élargissement du domaine du risque devenue variable stratégique dans la réflexion des organisations) et les étapes de la démarche de gestion des risques, les outils et méthodes.

Illustration sur le risque climatique.

LE RISQUE CLIMATIQUE : IMPACT SUR LES INSTITUTIONS FINANCIERES ET LA GESTION DES RISQUES

LES REGULATEURS

La transition énergétique, un sujet concernant l’ensemble des acteurs économiques, est placée au cœur des études de la Banque Centrale Européenne (BCE) en 2020.

L’année 2020 a marqué le début d’un dialogue entre les banques et les régulateurs sur l’intégration des risques climatiques et environnementaux dans les dispositifs de gestion des risques actuels. Etant un sujet majeur pour la BCE, ce nouveau défi a également suscité l’attention des autres autorités de contrôle.

BCE – “Guide relatif aux risques liés au climat et à l’environnement”

Paru en Novembre 2020, ce document vise à établir la vision de la BCE pour la mise en place d’un cadre sain de la gestion des risques liés au climat et à l’environnement. Avec ce texte, la BCE veut engager la conversation banques-régulateurs sur l’incorporation de ces nouveaux risques dans leur cadre de la gestion des risques existants.

Le guide BCE n’est pas juridiquement contraignant pour les établissements mais il permet de se préparer aux évolutions futures de la réglementation. Néanmoins, il est attendu des établissements qu’ils réalisent un premier exercice d’autoévaluation en 2021 par rapport aux attentes de la BCE.

Dans le cadre de ses tests de résistance prudentiels, la BCE prévoit l’intégration d’un volet climatique pour l’exercice 2022.

La BCE distingue 3 catégories de risques climatiques : les risques physiques, les risques de transition issus d’un mouvement vers une économie bas-carbone, et les risques de responsabilité et de réputation.

Treize attentes prudentielles sont détaillées pour la mise en place d’un cadre sain de gestion des risques liés au climat et à l’environnement. Elles vont de l’élaboration de la stratégie de l’établissement à la diffusion des informations relatives à ces nouveaux risques.

Les treize attentes prudentielles de la BCE

  • Les établissements doivent comprendre l’incidence à court, à moyen et à long terme des risques liés au climat et à l’environnement.
  • La définition et la mise en oeuvre de la stratégie opérationnelle doivent intégrer les risques climatiques et environnementaux jugés matériels.
  • Ces risques doivent être pris en compte dans les processus de gouvernance de l’établissement.
  • Le Risk Appetite Framework doit prendre en compte explicitement cette nouvelle catégorie de risque.
  • Les risques liés au climat doivent être intégrés dans la structure organisationnelle de l’établissement selon le modèle trois lignes de défense.
  • La communication interne doit permettre aux instances de direction de l’établissement de prendre les décisions adéquates en matière de risques.
  • Le cadre de gestion des risques doit être actualisé pour intégrer ces risques dans les processus de détection, de quantification et dans l’ICAAP.
  • Prendre en compte ces risques dans les processus d’octroi de crédit.
  • Analyser l’impact des risques climatiques sur la continuité des activités et l’impact de l’activité actuelle de l’établissement sur le risque de réputation et/ou de responsabilité.
  • Suivre les impacts de ces risques sur l’exposition actuelle au risque de marché et mettre en place des tests de résistance.
  • Intégrer ces risques dans l’élaboration de test de résistance, scenarios de référence et scenarios adverses.
  • Suivre les impacts de ces risques sur les flux de trésorerie et le coussin de liquidité et actualiser le cadre de la gestion de la liquidité.
  • Publier les informations utiles et les indicateurs clés (KPI) sur les risques liés au climat et à l’environnement.
20212022
Auto évaluation des établissements sur leur dispositif de gestion des risques climatiques
Communication BCE-Etablissements sur les plans d’actions établis
Mise en place du test de résistance courant 2022 incluant les risques liés au climat et à l’environnement
Mise en place, par la BCE, de mesures de suivi concrètes sur ces nouveaux risques

ACPR (Autorité Prudentielle de Contrôle et de Restitution) – EXERCICE PILOTE CLIMATIQUE 2020

Mené en 2020 par l’APCR, cet exercice a mobilisé 9 banques françaises ainsi que 15 groupes d’assurances sur un exercice de stress test climatique.

L’objectif premier de cet exercice était d’initier une réflexion et sensibiliser l’ensemble des acteurs sur ce nouveau sujet et d’obtenir une plus grande transparence des institutions financières  à ce type de risque.

Cet exercice était l’opportunité pour les participants de renforcer leur dispositif de gouvernance interne en mettant en place de nouvelles stratégies de gestion des risques et de prise de décisions prenant en compte l’impact de ce nouveau type de risque.

Avec ce premier stress test, l’ACPR a voulu mesurer l’impact et le coût induit par le non-respect des accords de Paris et définir les méthodologies de gestion des risques climatiques. Pour cela, elle a fourni aux participants 3 scénarios d’un horizon temporel 2050.

Les résultats de cet exercice ont été remis par les établissements fin 2020. L’ACPR a publié la synthèse et l’analyse de ces résultats en avril 2021. L’ACPR souhaite initier le dialogue entre les régulateurs nationaux et les institutions financières sur le sujet des risques liés au climat et à l’environnement.

En 2022, l’ACPR prévoit la mise en place de nouveaux groupes de travail sur ce sujet. Elle participe aussi à la préparation de l’exercice de test de résistance de la BCE. Le prochain exercice climatique ACPR devrait se tenir en 2023/2024 avec l’intention de le reconduire fréquemment.

SCENARIOS UTILISES PAR L’ACPR

Référence : un scenario de référence basé sur la stratégie nationale française SNBC (Stratégie Nationale Bas Carbone) qui constitue la feuille de route pour atteindre le zéro émission nette en 2050. Le scenario prend en compte les orientations de la LTECV (Loi de Transition Energétique pour la Croissance Verte) telles que la réduction des émissions de gaz à effet de serre (GES) et les budgets carbones.

Transition retardée : Le scénario de réaction tardive suppose que les objectifs de réduction des gaz à effet de serre ne soient pas atteints en 2030. Ceci entraine la prise de mesures plus volontaristes en reproduisant les trajectoires d’émissions de GES, de PIB, et de prix carbone du scenario de transition désordonnée du NGFS (Network for Greening the Financial System).

Transition rapide : Le scenario de transition rapide et brutale est l’issue d’une révision du prix carbone et d’une baisse de la productivité à partir de 2025. Les technologies de production d’énergies renouvelables sont supposées non matures, ce qui entraine une augmentation des prix de l’énergie et une redirection des investissements publics et privés vers la production d’énergie. Ceci se traduit par une baisse de la productivité de l’économie dans son ensemble.

LES RESULTATS DE L’EXERCICE

L’exercice pilote est une première en matière de test de résistance climatique. Une mobilisation importante des acteurs financiers a été observée avec 85% du total du bilan bancaire (BPCE, SG, BNP, CA, …)  et 75% du total du bilan des assurances (AXA, Allianz, CAA, MAAF, MACIF, …).

Du point de vue des expositions, les résultats révèlent une exposition modérée des institutions financières face aux risques climatiques et environnementaux.  L’impact de ces risques se concentre sur 7 secteurs tels que la culture et productions animales, l’industrie extractive, l’industrie chimique, … En 2020, les banques sont en meilleure position que les assurances sur le plan de l’exposition aux risques climatiques. Les banques ayant participé à l’exercice ACPR ont un portefeuille de crédit moyen exposé à 9,7% sur les secteurs ci-dessus, tandis que les assurances ont un portefeuille moyen exposé à 17%. Ces expositions, relativement faibles, restent néanmoins un point d’effort pour l’ensemble des institutions financières afin d’être en cohérence avec les ambitions françaises en ce qui concerne la transition énergétique.

Les scénarios et les méthodologies définis lors de cet exercice vont être utilisés, par les ACNs et par la BCE, comme socle pour leurs exercices de stress tests à venir. Il est cependant important de noter que les scenarios définis par l’ACPR ne prennent pas en compte l’éventualité d’une récession entre 2020 et 2050 ce qui est inhabituel dans le cadre d’un exercice de stress test. Il paraitrait plus prudent, pour les institutions financières, d’utiliser des scénarios internes pour mesurer leurs expositions aux risques climatiques en combinant les scenarios ACPR et les éventuelles crises économiques pouvant survenir.

L’exercice révèle certains retards, notamment sur la capacité des banques à simuler leurs impacts physiques sur les portefeuilles crédits. En effet, les données nécessaires pour parvenir à estimer les impacts des risques physiques sont encore trop peu accessibles au niveau consolidé. Ces nouveaux besoins de données devraient donc être pris en compte par les institutions financières dans leurs futurs chantiers SI.

Enfin les limites méthodologiques de l’exercice devraient s’améliorer par la mise en place de nouveaux travaux par les différents régulateurs, notamment sur les hypothèses et scénarios, la prise en compte du risque physique sur les expositions corporate et les sources de données.

BCBS – CLIMATE RELATED FINANCIAL RISKS

En Avril 2021, la BIS a publié deux rapports sur les méthodologies à appliquer pour les risques liés à l’environnement et au climat.

Un cadre de gestion des risques sain doit :

Identifier les facteurs de risques climatiques

Cartographier et quantifier les expositions aux risques climatiques et les concentrations

Traduire ces risques en indicateurs financiers

Les risques liés au climat et à l’environnement imposent un nouveau besoin pour les banques : un nouveau type de données uniques par rapport aux bases disponibles à l’heure actuelle.

En effet, pour les problématiques telles que « les expositions aux risques de transition par une contrepartie », la localisation du siège social ne sera plus la seule donnée nécessaire. Le risque de transition peut nécessiter la connaissance de la localisation de l’ensemble de la chaine de valeur du client mais aussi, la localisation de ses fournisseurs, du mode et des routes de transport utilisés afin d’avoir une vision claire sur l’exposition du client à ce type de risque.

Ce document a pour objectif de présenter les méthodologies à l’étude pour l’application future des quantifications de ce nouveau risque.

La réflexion de la BIS se poursuivra sur les prochaines années, notamment en ce qui concerne les méthodologies de modélisation et de mesures des risques climatiques.

Pour 2021-2022 la BIS annonce sa volonté de poursuivre l’étude des risques climatiques sur 3 axes : régulation, supervision et communication.

By Omote | Juin 15, 2021 

LA NECESSAIRE GESTION DU RISQUE CLIMATIQUE

Un article sur la nécessaire gestion du risque climatique et ses interactions avec la RSE. Retour sur le Forum pour l’Investissement Responsable (FIR).

L’engagement ESG du CAC 40 déçoit les investisseurs

Si la prise de conscience est réelle sur le climat et l’égalité femmes-hommes, les mesures concrètes restent insuffisantes, selon le FIR.

Déception. Le CAC 40 a encore bien des efforts à faire en matière d’ESG (environnement, social et gouvernance), selon le Forum pour l’investissement responsable (FIR). Il a lancé pour la première fois l’an dernier, une campagne de 12 questions écrites sur des sujets ESG à l’occasion des assemblées générales du CAC 40. A chaque réponse, le FIR a attribué une note allant de zéro à trois étoiles. Moins d’un tiers des réponses ont obtenu une note d’au moins deux étoiles. «Beaucoup de réponses sont décevantes, peu élaborées et n’ont pas été à la hauteur de nos attentes», regrette Alexis Masse, président du FIR, rappelant que le dialogue entreprises investisseurs est «fondamental».

Point positif, toutes les sociétés de l’indice ont répondu, mais celles de droit étranger ressortent en queue de classement (Airbus, ArcelorMittal) avec EssilorLuxottica, tandis que Schneider Electric arrive en tête, suivi par Orange, BNP Paribas, Crédit Agricole et Michelin.

Sur les sujets climatiques«une prise de conscience a eu lieu», reconnaît Alexis Masse. Toutefois, les sociétés peinent à expliquer l’alignement de leur plan d’affaires sur le scénario climatique, en proposant un plan de transformation et des jalons. Seules cinq sociétés communiquent un montant d’investissement.

En matière d’égalité femmes-hommes, les plans d’actions ne semblent pas très clairs pour la moitié du CAC 40. Seules cinq sociétés ont intégré ce critère dans la rémunération variable de leurs dirigeants.

Alors que l’offre de fonds responsables est particulièrement riche en France, le FIR ne comprend pas qu’ils ne soient pas proposés pour l’épargne salariale.

Trois sujets restent encore embryonnaires. En matière de biodiversité, «aucune entreprise n’a une prise en compte directe et indirecte, assez robuste, avec un plan et des actions concrètes», constate Caroline Le Meaux, présidente de la commission Dialogue & Engagement du FIR. Or, les investisseurs sont très demandeurs. Les sujets du salaire «décent» et de la responsabilité fiscale des entreprises, avec un mode de redistribution par l’impôt le plus efficient possible, sont encore peu étudiés.

Quant à la publication de l’avis des partenaires sociaux sur la déclaration de performance extra-financière, non obligatoire, personne ne le fait et l’immense majorité élude la question.

Le FIR vient de lancer la campagne 2021, avec les mêmes points – pour mesurer l’évolution – en ajoutant deux questions sur le lobbying responsable et sur l’économie circulaire.

Bruno de Roulhac  30/04/2021 

L’AGEFI Quotidien

ASSURANCES&RISQUES. Quelles solutions pour faire face aux tensions du marché ? La gestion des risques transversale et le Risk Manager sont au premier plan.

Nous proposons depuis mardi dernier (16 mars) des pistes de solutions. Pour compléter la lecture des deux articles, je vous propose d’écouter en suivant le lien ci-dessous la table ronde de l’AMRAE intitulée  « Quels financements des risques par le marché de l’assurance, intégrant le risk management ? » Avec Cécile DESJARDINS, Frédéric DHERS (SCOR), Stéphane YVON (EDF), Etienne CHARPENTIER (SIACI), François BEAUME (AMRAE, Sonepar)

Cette table ronde, à vocation pédagogique, rappelle les différentes techniques de financement des risques par le marché.

  • Comment intégrer le Risk Management au plan de financement des risques ?
  • Comment utiliser le marché de l’assurance pour couvrir une partie des risques ?
  • Comment effectuer ce partage des risques entre l’entreprise et l’assureur : entre sinistres de fréquence et sinistres CAT, quel est le bon niveau de financement du risque à transférer aux assureurs, dans une logique de résilience individuelle et de maitrise des primes ?
  • Quelle intervention de l’assurance pour les grands groupes ?
  • Le dispositif de la captive permet-il d’optimiser les négociations des programmes ?

Les intervenants terminent en mettant au premier plan :

  • La démarche de gestion des risques transversale qui est la meilleure solution ;
  • Le Risk Manager qui en est l’acteur principal : « un RM très bien connecté dans les entreprises » ; celui qui a la « meilleure connaissance des risques » ; « qui a un réseau maillé dans l’entreprise. »

Lien vers la conférence : https://youtu.be/2ai4FtbFgXk

C’est ce que nous développons également dans notre ouvrage.

Lien vers l’ouvrage : https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

ASSURANCES & RISQUES. QUELLES SOLUTIONS ? CAPTIVES. MEILLEURE COMPREHENSION DES RISQUES. DIALOGUE DU RISK MANAGER ET AUTRES PARTIES PRENANTES AVEC LES ASSUREURS

Mardi dernier (9 mars) , nous avons analysé le marché de l’assurance et illustrer ses tensions à travers l’exemple du Cyberrisque. Je vous propose aujourd’hui des pistes de solutions : quelles solutions pour faire face à cette situation ? Retour sur ce qu’est une captive.

https://www.la-librairie-rh.com/livre-entreprise/la-fonction-risk-manager-fris.html

Quelle stratégie en termes d’assurance en cette période de crise ?

Le sujet de l’assurance est douloureux au sein de nombre d’entreprises qui ont vu leurs assureurs à la fois augmenter les prix et réduire les couvertures. Face à cette situation, faut-il revoir sa stratégie d’assurance ? Ce sujet fut débattu lors des Rencontres du risk management de l’AMRAE

La hausse des prix de l’assurance pour les entreprises a fait les grands titres des journaux fin 2020. A l’occasion de ses Rencontres du risk management qui ont eu lieu début février 2021, l’AMRAE s’est emparé de ce sujet en y consacrant une table-ronde : « Quels financements des risques par le marché de l’assurance, intégrant le risk management ? »

Le constat des participants à ce débat fut sans appel : « Cela dépend des lignes mais la hausse atteint parfois 30/50%, parfois même plus, pour des niveaux de garantie équivalents. Et nous n’avons pas tout vu à mon avis étant donné que tous les programmes n’ont pas encore été renouvelés », a rapporté Stéphane Yvon, directeur de la politique assurances du groupe EDF.

80% des risques non assurés

Frédéric Dhers, CEO de SCOR Europe, a justifié ces augmentations par un phénomène de crises multiples. « Nous vivons non pas une crise mais des crises. La crise sanitaire, inédite, qui se chiffre pour l’instant à 70 milliards de dollars de sinistre en termes d’assurance. Une crise économique, qui a conduit à une contraction de plus de 8% du PIB en France alors que la baisse était d’à peine 3% en 2009. Une crise climatique, aussi, avec des catastrophes naturelles qui impactent les assureurs », a-t-il énuméré.

Quelles qu’en soient les raisons, que doivent faire les entreprises face à une telle hausse des prix mais également à une réduction des couvertures ou encore à l’ajout de certaines exclusion ?

Pour François Beaume, vice-président risques et assurances de Sonepar et vice-président de l’AMRAE, il est évident qu’une bonne partie du financement des risques va rester en interne. « 80% des risques ne sont pas assurés ou pas assurables. Et sur les 20% restant, il y a un effet de contraction car les assureurs baissent les limites et, qu’en plus, ces limites-là vont coûter plus cher ».

De plus, comme l’a rappelé Stéphane Yvon, avec la crise, les entreprises sont en train de revoir leurs dépenses.

La solution de la captive d’assurance

La solution serait de ne plus assurer les risques ? Pour contourner le problème, la plupart des grandes entreprises du CAC 40 et du SBF 120 ont opté pour une captive d’assurance. Il s’agit d’une filiale créée par l’entreprise qui va jouer le rôle d’un assureur ou d’un réassureur mais uniquement pour les risques du groupe auquel elle appartient.

Si le dispositif peut être intéressant, il intéresse cependant surtout les grands groupes. « Les captives concernent plutôt les grandes entreprises, qui réalisent plus d’1,5 milliard d’euros de chiffre d’affaire. De manière générale, en-dessous d’un million d’euros de prime, il est difficile d’avoir un outil pérenne en mesure de payer les sinistres », a expliqué Étienne Charpentier, directeur solutions et transferts alternatifs chez Siaci Saint-Honoré.

Les entreprises de plus petite taille, les grosses ETI qui ont un bon niveau de primes à gérer, peuvent quant à elles se tourner vers la captive à compartiments, c’est-à-dire la location d’un compartiment captif dans une structure existante. Il faut pour cela trouver un bon courtier qui sait gérer ces dispositifs auprès de sociétés généralement situées à Malte.

Comprendre les risques

Pour les plus petites structures, le plus simple est peut-être, comme l’a proposé François Beaume, de se doter d' »un système de provisions qui permet de préparer le futur dans les comptes d’aujourd’hui ». L’objectif est de se doter d’un matelas qui permettra d’amortir l’impact financier d’un événement qui surviendra plus tard.

François Beaume a surtout insisté sur la nécessité d’investir dans des actions de prévention qui permettent de limiter la fréquence et l’impact des risques. « La première chose est de comprendre les risques de l’entreprise, de les identifier, d’évaluer les mécanismes de survenance. Cela permet ensuite d’agir par différents moyens de prévention« , a-t-il décrit, insistant sur le fait que c’est le socle fondamental avant de penser aux financements des risques.

Dialogues avec les assureurs

Il a également conseillé de formaliser clairement l’appétit au risque de l’entreprise, ce qui permettra de guider la stratégie en la matière. « En fonction de l’appétit au risque, la politique de souscription est très différente », a approuvé Étienne Charpentier.

Enfin, tous les intervenants de cette table-ronde ont insisté sur le nécessaire dialogue avec les assureurs, surtout en cette période. « Nous multiplions les réunions pour expliquer aux assureurs la réalité de l’entreprise, les risques auxquels nous sommes exposés, les choix que nous avons opérés pour améliorer la situation, les problématiques qui restent…« , a raconté François Beaume.

Stéphane Yvon a poussé à embarquer lors de ces discussions d’autres parties prenantes de l’entreprise, comme les personnes en charge de la cyber-sécurité ou celles du juridique. Le risk management est en effet un travail d’équipe, ne serait-ce que pour avoir une bonne connaissance du risque.

Eve Mennesson. 3 mars 2021 

L’assurance captive considérée comme un remède Covid et à la hausse des primes

Alors que les combats éclatent au sujet des paiements en cas de pandémie, de nombreuses entreprises regardent au-delà de la couverture traditionnelle

Partout dans le monde, les tribunaux se demandent si les polices d’assurance contre les pertes d’exploitation détenues par des millions d’entreprises couvrent une pandémie.

La hausse des primes d’assurance coûte aux entreprises des millions de dollars qu’elles peuvent difficilement se permettre alors qu’elles naviguent dans la pandémie de coronavirus. De nombreuses entreprises réagissent en essayant de gérer elles-mêmes les risques.

La montée en flèche de la demande d’assurance dite captive et le montant croissant des capitaux consacrés à l’atténuation des risques ont surpris de nombreux acteurs du secteur, y compris des courtiers qui vendent l’idée de créer un assureur captif.

Une captive est détenue et contrôlée par l’entreprise qui l’établit, qui peut être un restaurant, un fabricant de médicaments ou un détaillant. Il rédige une couverture pour ses propriétaires et paie les réclamations lorsque l’entreprise rencontre des problèmes inattendus. Avant même l’apparition du coronavirus, certaines entreprises américaines avaient veillé à ce que leurs captifs rédigent des polices couvrant une pandémie potentielle, leur permettant d’éviter les différends avec les assureurs traditionnels. Certains assureurs traditionnels ont en grande partie refusé de payer les demandes d’indemnisation pour interruption d’activité présentées par des entreprises touchées par des fermetures.

Créer sa propre compagnie d’assurance peut être une stratégie risquée. Un assureur captif dépourvu de capital suffisant – particulièrement au début de son existence – peut devenir insolvable s’il est confronté à des sinistres importants, laissant la société mère exposée en cas de besoin. Les captives doivent également prendre des décisions en matière de souscription et de réclamation sans lien de dépendance avec leurs propriétaires. Ne pas le faire risque de tomber à l’encontre des régulateurs dans certains pays.

Mais si une entreprise ne trouve pas de couverture adaptée sur le marché libre, la création d’une captive peut être une alternative. Se passer d’une assurance n’est peut-être pas une option – pour des raisons réglementaires, une entreprise peut avoir besoin de prouver qu’elle dispose d’une police d’assurance.

Le courtier d’assurance basé aux États-Unis, Marsh, a déclaré qu’au moins 25 des captifs qu’il gère dans le monde ont rédigé une couverture pour les risques de pandémie. De nombreuses autres entreprises ont mis en place des captives pour contrer les primes qui ont augmenté chaque trimestre depuis la fin de 2017. La pandémie pourrait alimenter des primes encore plus élevées, les assureurs cherchant à évaluer le risque de manière plus agressive.

Marsh a déclaré que le nombre de nouvelles captives qu’il avait aidé à former avait triplé entre janvier et juillet par rapport à un an plus tôt, coïncidant avec une période où les prix mondiaux de l’assurance ont enregistré des augmentations à deux chiffres au milieu de la crise des coronavirus. Aon, un autre courtier d’assurance, a déclaré avoir également constaté une demande plus élevée pour les unités.

Le groupe d’investissement Blackstone Group Inc. est une société qui compte davantage sur les captives pour augmenter ses primes d’assurance.

Fin juillet, sa Gryphon Mutual Insurance Co. est entrée en service, le point culminant de plusieurs mois de travail préparatoire qui ont commencé avant la pandémie. La captive se concentre sur la propriété en Amérique du Nord, mais pourrait être étendue à d’autres régions à l’avenir.

 «En fin de compte, cela nous donnera un meilleur contrôle sur notre programme d’assurance des biens et réduira les primes et les frais de courtage pour nos commanditaires», a déclaré un porte-parole de Blackstone.

Les captives ne sont pas une nouvelle tactique pour les entreprises pour atténuer les risques. La société de notation AM Best Co. affirme que la première captive du monde a été créée aux Bermudes dans les années 1960 en réponse au durcissement du marché de l’assurance, qui décrit le moment où les primes deviennent plus chères et la capacité de couverture des assureurs diminue. Le recours à des captifs coïncide souvent avec un marché de l’assurance qui se durcit, ou lors de crises telles que les attentats terroristes du 11 septembre ou les ouragans qui ont ravagé la côte du golfe du Mexique en 2004-05.

Bon nombre des plus grandes entreprises américaines ont utilisé des captives, notamment dans le secteur pétrolier et gazier. Ces dernières années, les sociétés de covoiturage Uber Technologies Inc. et Lyft Inc. ont formé des filiales d’assurance . L’assurance peut être un défi pour les entreprises qui s’engagent dans de nouveaux modèles commerciaux: les assureurs traditionnels n’ont souvent pas suffisamment d’informations pour tarifer la couverture d’une manière qui rendrait ces nouvelles entreprises économiquement viables.

Le recours accru aux captives ne pose pas de risque immédiat pour le secteur de l’assurance, selon les courtiers. Aon a déclaré que cela reflétait une réorganisation du secteur, les assureurs étant prêts à abandonner des secteurs d’activité devenus non rentables. Pourtant, les entreprises captives pourraient envisager d’élargir leur utilisation à l’avenir.

Selon AM Best, le nombre de captifs domestiques américains a plus que doublé pour atteindre 3133 entre 2007 et 2019.

La pandémie a mis en évidence l’intérêt de pouvoir adapter l’assurance en utilisant une captive, plutôt que de s’appuyer sur une couverture du marché libre via des assureurs traditionnels. De nombreuses entreprises pensaient être couvertes en cas de chocs inattendus, pour se faire dire par leurs assureurs traditionnels que les exclusions pandémiques dans les petits caractères des polices rendaient leurs réclamations invalides.

Partout dans le monde, les tribunaux se demandent si les polices d’assurance contre les pertes d’exploitation détenues par des millions d’entreprises couvrent une pandémie . Aux États-Unis, les assureurs de biens ont remporté une série de décisions judiciaires confirmant leurs refus de réclamations pour perte de revenus des entreprises lors de fermetures ordonnées par le gouvernement, atténuant les espoirs de paiement des assurés pour les aider à rebondir. Le 15 septembre, un tribunal britannique s’est prononcé principalement en faveur des assurés dans une affaire test qui a examiné différentes formulations de polices.

Alice Uribe. 27 septembre 2020