Archives pour la catégorie RISQUES

MON ACTUALITE. UNE JOURNEE DE FORMATION A DES ELUS. RISQUES – GESTION DES RISQUES – GESTION DE CRISES. CONGRES DES MAIRES.

🏆 Très fière d’avoir partagé avec des élus des collectivités territoriales mes connaissances dans les domaines des RISQUES – GESTION des RISQUES – GESTION DE CRISES.

🗼 Comment ? Une formation d’une journée intitulée « La gestion des risques : prévenir pour agir » / Deux objectifs : catégoriser et caractériser les risques ; donner la démarche de gestion des risques à suivre (étapes, outils)

🗼 Où ? Paris

🗼 Quand ? Le 23 novembre 2022 ; dans le cadre du Congrès des Maires

🗼 Pour qui ? Des élus locaux de la Martinique 

🏅 Des élus intéressés, concernés par les risques et leur gestion car :

  • confrontés aux risques dans leur quotidien ;
  • placés en première ligne par le régulateur-législateur.

🏅 Des élus qui doivent les gérer c’est-à-dire les lever quand c’est possible, les transférer (aux assurances), les atténuer ou les accepter sous leur forme résiduelle

Des élus d’un territoire confronté à une « palette de risques à nulle autre pareille » pour reprendre la terminologie d’un des élus, tous stratégiques : la Montagne Pelée, la montée des eaux, les cyclones de plus en plus fréquents, le chlordécone, la présence en son cœur d’une usine SEVESO… Auxquels s’ajoutent des risques transverses « plus classiques » comme les cyberattaques contre les municipalités par exemple.

Un grand merci CIFELM pour cette opportunité. Un grand merci aux élus pour leur intérêt et la qualité des échanges.

🎯 Il est essentiel que les collectivités territoriales se forment aux risques et à leur gestion.

#risques#risque#analysedesrisques#riskanalysis#identificationdesrisques#gestiondesrisques#riskmanagement#enterpriseriskmanagement#amplificationrisque#regulateurlegislateur#riskmanager#riskofficer#gestionnairederisques#CIFELM#collectiviteterritoriale#elus#martinique#LGCO #LGTO

COMMUNICATION DE CRISE : QUELLES LECONS TIRER DE L’ACTUALITE ?

C’est comme souvent l’actualité qui a guidé le choix de ma thématique pour les posts à venir.

BALANCIAGA
Après avoir posté une campagne publicitaire de Noël mettant en scène des enfants sur le thème du « bondage », la marque Balenciaga a fait polémique sur les réseaux sociaux.
Hier soir, la marque de luxe s’est excusée tout en incriminant son agence de communication.
En crise, il est clé de prendre ses responsabilités – rejeter la faute sur des tiers peut avoir pour effet d’exacerber la crise. La preuve en est : aujourd’hui Balenciaga a supprimé la totalité de ses posts instagram face à la crise.

Comme le rappelle E.Hervé : « C’est pas de ma faute » en crise : un des sept péchés capitaux ! 

Vous trouverez dans les posts à venir :

  • Des liens vers des posts déjà écrits sur ce sujet et disponibles sur le blog

L’impact d’une dégradation de la réputation sur la valorisation boursière organisation 

L’importance de l’anticipation et des exemples de plans d’actions pour mieux gérer les crises

La (non)communication de crise de Nike

  • Des indications de lecture dans notre ouvrage

« RISK MANAGEMENT. ORGANISATION ET POSITIONNEMENT DE LA FONCTION RISK MANAGER. METHODES DE GESTION DES RISQUES. » https://librairie.gereso.com/livre-entreprise/risk-management-fris2.html

  1. Risque de réputation : p.38-40
  2. Amplification du risque par les médias et exemples d’affaires médiatisées : p.65-72
  3. (Non) communication de crise de Nike : p. 80-84
  4. Méthodes et outils face à l’urgence : gestion de crise : p.190-213
  • Des ressources pour adopter les outils d’une bonne communication de crise à travers :
  1. Un extrait d’un article passionnant sur les leçons à tirer de la crise Buitoni et Kinder ; écrit par Olivier Cimelière, que vous pouvez lire dans son intégralité sur son blog, le blog du communicant, en cliquant sur son titre.
  2. Un extrait d’un article du même auteur, disponible selon les mêmes modalités, sur les solutions pour rétablir la réputation du PSG suite à l’affaire du « char à voile »
  3. L’interview par E. Hervé du directeur de la communication de Bouygues sur sa vision de la communication en temps de crise
  4. La proposition d’une autre forme de communication.

(1) Scandales alimentaires Kinder & Buitoni : quelles leçons tirer pour la communication de crise ?

Enseignement n°1 : Jouer cartes sur table plutôt qu’ergoter

Très rapidement, les industriels vont accumuler des couacs de communication et se voir alors battus en brèche dans leurs annonces par les autorités sanitaires. Le 7 avril, Ferrero publie un deuxième communiqué qui précise que d’autres bonbons Kinder produits à Arlon rejoignent la liste des produits retirés du marché. Du bout des lèvres, la marque admet qu’elle avait identifié la présence de salmonelles sur son site industriel le 15 décembre 2021 et qu’elle avait pris des mesures correctrices. Elle se félicite enfin de sa collaboration avec les autorités de sécurité alimentaire et de santé publique.

Ces dernières n’ont pourtant visiblement pas la même lecture quant à la volonté de l’industriel de circonscrire le problème. Dès le lendemain, l’agence de sécurité alimentaire belge (AFSCA) choisit d’employer la manière forte : l’arrêt de la production de l’usine à l’origine de contaminations à la salmonellose. En guise d’explications, elle ajoute : « Après investigations (…) et suite aux constats de ces dernières heures que les infos fournies par Ferrero sont incomplètes, l’Agence procède aujourd’hui au retrait d’autorisation de l’usine de production de Ferrero d’Arlon » tout en soulignant qu’un lien entre les centaines d’intoxications en Europe et l’usine avait été établi fin mars.

De l’autre côté de la frontière à Caudry, la pression augmente également sur l’usine suspectée. Les 22 et 29 mars, la direction départementale de la protection de la population effectue deux inspections dans les locaux et formule son constat : « de nombreuses anomalies graves en matière de nettoyage et d’entretien général des locaux et matériels (…) la présence de rongeurs au niveau de l’atelier boulangerie ». Dans l’intervalle, une enquête préliminaire pour « homicides involontaires, tromperie et mise en danger d’autrui » est ouverte et confiée au parquet de Paris tandis qu’en interne, d’anciens salariés du site et des représentants syndicaux commencent à grogner et dénoncer la non-prise en compte d’alertes récentes comme notamment celle émise par la DGCCRF avec un avertissement prononcé en septembre 2020 et une contre-visite en mars 2021 soulignant « des corrections sur certains points mais pas sur d’autres ».

Du côté de Nestlé, la maison-mère de Buitoni, la ligne de communication est minimaliste. Le géant suisse se retranche derrière la procédure judiciaire en cours pour éviter de communiquer : « Il s’agit d’une étape qui s’inscrit dans le cadre de l’enquête. Nous continuons à coopérer pleinement avec les autorités pour en assurer le bon déroulement. A ce stade, nous ne sommes pas en mesure de partager plus d’informations. Nous souhaitons réaffirmer que la sécurité et la qualité de nos produits sont nos premières priorités ».

Seule concession communicante le 30 mars : la mise en ligne d’une vidéo de Jérôme Jaton, directeur général industriel de Nestlé France qui répond depuis le site de Caudry à différentes questions relatives à la crise en cours. L’effort est louable mais les réponses quelque peu lapidaires. A la question « à votre connaissance, quels sont les dangers de cette contamination pour la santé ? », il répond embarrassé : « Je ne suis pas médecin mais clairement, la bactérie E-Coli, c’est quelque chose qu’on n’aime pas et c’est pour ça qu’on les traite au sein de l’usine ». Et le reste de la vidéo est du même tonneau !

Enseignement n°2…

Le blog du communicant. Olivier Cimelière. Juin 2022.

(2) Carton vert ou carton rouge : la réputation du PSG se fait tacler. Quelles solutions ?

Cela devait être une conférence de presse sportive entièrement dédiée à la prestigieuse affiche Paris Saint-Germain contre Juventus de Turin dans le cadre de la Ligue des Champions. Il n’en fut rien. Un journaliste trublion de LCI est venu glisser une question extra-sportive autour du fait que la formation parisienne n’effectuait jamais ses déplacements en train. Aussitôt s’emballe une véhémente polémique clouant au pilori le coach sportif du PSG, Christophe Galtier et l’attaquant vedette Kylian Mbappé pour les réponses à côté de la plaque. Analyse de cette séquence médiatique et des possibles sorties de crise pour la réputation du PSG.

Lundi 5 septembre. La conférence de presse du PSG à 24 heures de son match contre la Juve bat son plein. Soudain, Paul Larrouturou, journaliste à LCI et connu pour ses questions souvent espiègles, prend le micro et interpelle Christophe Galtier. Il lui demande alors si le train fera un jour partie des modes de transport des joueurs de la capitale. Long silence puis Kylian Mbappé s’esclaffe. Goguenard, il laisse son entraîneur répondre. Lequel reprend son sérieux et lâche ironique : « La société qui organise nos déplacements est en train de regarder si on ne peut pas se déplacer en char à voile » ! Gros blanc dans la salle où le journaliste relance le n°7 parisien sur l’usage des jets privés qui avoue ne rien en penser et se lève dans la foulée. La machine à claques et à buzz est aussitôt lancée sur les réseaux sociaux et les chaînes d’information continue.

Un terreau médiatique inflammable et prévisible

Le blog du communicant. Olivier Cimelière. Septembre 2022.

GERER LE CYBER-RISQUE. SENSIBILISER SES COLLABORATEURS. SE POSER LES BONNES QUESTIONS. ACTUALITE – Assurances des Cyber-rançons –

Les objectifs de la démarche de gestion des risques sont de :

  • transférer le risque ;
  • atténuer le risque ;
  • lever le risque ;
  • accepter le risque sous sa forme résiduelle (part qui n’a pu être traitée après les contrôles et plans d’actions).

Détails de la démarche de gestion des risques de type ERM dans l’ouvrage d’Aubry et Dufour : « Risk Management. Organisation et positionnement de la Fonction Risk Manager. Méthodes de gestion des risques ; 👉  https://librairie.gereso.com/livre-entreprise/riskmanagement-fris2.html

Comment gérer le cyber-risque ?

  • l’assurance pour le transférer
  • les plans d’actions recommandés par l’ANSII pour le prévenir / atténuer sa probabilité d’occurrence et/ou son impact sur l’organisation

Les liens vers les précédents posts du blog / plans d’actions contre le cyber-risque. A LIRE

🚴 Comment agir ?
👉 Indispensable, a minima complémentaire à l’assurance, mieux que l’assurance,  https://gestiondesrisques.net/2022/05/05/ca-bouge-du-cote-du-cyber-risque-3-un-projet-de-loi-permettant-a-lassureur-de-rembourser-les-cyber-rancons/ mettre en place des plans d’actions pour gérer le cyber risque 
👉 L’Agence Nationale de Sécurité des Systèmes d’Information (ANSII) propose des plans d’action et cinq mesures préventives pour gérer le cyber-risque.
Plans d’action / fraude au président
https://gestiondesrisques.net/2021/12/09/le-risque-variable-strategique-de-la-reflexion-des-entreprises-3-un-nouveau-risque-la-fraude-au-president-suite-un-exemple-de-plan-dactions/
Plans d’action / cyber-risques liés au télétravail
https://gestiondesrisques.net/2021/10/06/teletravail-risques-et-plans-dactions-ou-quels-plans-dactions-pour-gerer-les-risques-lies-au-teletravail-et-selon-quelle-approche-2/
https://gestiondesrisques.net/2021/09/29/quels-plans-dactions-pour-gerer-les-risques-lies-au-teletravail/
Nécessaire implication des salariés / gestion du cyber-risque
https://gestiondesrisques.net/2018/10/19/implication-des-collaborateurs-dans-la-demarche-de-gestion-des-risques-lexemple-du-cyber-risque/
Plans d’actions préconisés par l’ANSII

https://wordpress.com/post/gestiondesrisques.net/1496

Le post de la quinzaine est consacré aux plans d’actions pour prévenir le cyber-risque.

L’identification du risque et la mise en place de plans d’actions sont des étapes « classiques » de la démarche de gestion des risques. Orienter la démarche vers les opérationnels, les prendre en compte et les sensibiliser au risque est moins fréquent. Cela favorise pourtant une culture d’apprentissage et une pro-activité indispensables à la mise en place d’une démarche globale de gestion des risques.

  • un article sur l’importance de la sensibilisation, la faille étant souvent humaine
  • s vidéos de sensibilisation de l’ANSII destinées aux collaborateurs
  • la campagne de sensibilisation de SPIE à la cyber-sécurité

Se poser les bonnes questions.

  • le guide de l’ANSII destiné aux TPE-PME sous la forme de treize questions à se poser. Au moment où le gouvernement débloque sur ce sujet 30 millions d’euros pour les PME-ETI
  • S’y ajoute une veille sur l’actualité / assurance des cyber-rançons : épilogue de l’assurance des cyber-rançons avec la présentation par Paul Berger de Gallardo, Avocat, des grandes lignes du nouvel article du Code des assurances adapté par l’Assemblée.

Cyberattaques : la faille est souvent interne et humaine

Les anciens employés représenteraient 12 % des incidents de sécurité, après eux, les plus dangereux étant les fournisseurs et autres partenaires. 

Les anciens employés et les prestataires constituent une menace sévère mais souvent mal appréciée par l’entreprise.

Les entreprises sont une cible historique des cyberattaques. Mais le premier risque […] trouve son origine au sein même de votre entreprise. L’humain commet en effet des erreurs ou des négligences qui sont une source de grands dangers pour toutes les organisations.

Au sein des entreprises, il est récurrent que la faille de sécurité soit d’origine humaine. En effet, selon une étude réalisée en 2018 par le cabinet Deloitte auprès de ses clients, « 63 % des incidents de sécurité proviennent d’un employé actif au sein des effectifs ». Ces employés ne trahissent pas forcément volontairement leur entreprise, une grande partie d’entre eux commettent des erreurs par inadvertance, erreurs qui ont des conséquences potentiellement dommageables pour leur organisation.

Selon cette même étude, les anciens employés représenteraient 12 % des incidents de sécurité, après eux, les plus dangereux étant les fournisseurs et autres partenaires qui représentent 15 % de ces risques.

Invalider les droits d’anciens employés

Souvent, lorsqu’un employé, voire un stagiaire, quitte une entreprise ou une administration, les droits qui lui avaient été accordés ne sont pas clos et ses identifiant et mot de passe restent valides et donc utilisables. Cela crée une brèche dans la sécurité de l’entreprise et au bout de quelques années, cela peut concerner un nombre d’anciens employés important et donc une faille sécuritaire considérable. Le risque est d’autant plus grand pour les employés quittant l’entreprise en mauvais termes qui sont susceptibles de vouloir nuire à leurs anciens employeurs.

Gare aux prestataires

Les personnels extérieurs à nos organisations avec lesquels nous interagissons représentent également un risque. Certains se servent de cette position pour vous nuire, d’autres peuvent profiter de leur présence dans votre organisation pour vous espionner. Il est également possible que des personnels compromettent des données que vous leur avez confiées en ne les sécurisant pas suffisamment. Cette lacune dans la sécurité peut être volontaire ou non. Ces risques doivent rester présents à votre esprit, car il faudrait être devin pour prédire comment des relations humaines peuvent évoluer, sans oublier les troubles ou fragilités psychiques dont peuvent souffrir ceux avec qui vous avez partagé tout ou partie des données numériques de votre organisation.

Prenons un exemple concret. De nombreux organismes sous-traitent le ménage de leurs locaux à une entreprise spécialisée, et l’on ne remarque plus les passages des personnes chargées de cette tâche, car on est habitué à leur présence quotidienne. Cette invisibilité les rend potentiellement dangereux : par opportunisme ou en étant téléguidés par des personnes malveillantes, ils vont pouvoir récupérer des documents, regarder ce qui est affiché sur les écrans des ordinateurs, photographier des mots de passe négligemment inscrits sur des Post-it® par des employés tête en l’air, capter des informations ou des adresses de personnes qui pourront ensuite être ciblées par des campagnes de phishing ou de chantage par exemple.

Faire de la pédagogie

C’est pour cela qu’il est important que tous les collaborateurs soient sensibilisés au risque cyber et aux bonnes pratiques à mettre en oeuvre. Comme pour les gestes barrières en période de pandémie, nous les connaissons, mais nous avons toujours de bonnes raisons de nous en affranchir ou de les oublier. Là aussi, il ne faut pas hésiter à faire de la pédagogie pour que ces gestes soient bien ancrés dans les esprits de chacun et deviennent des automatismes. Il ne faut pas laisser son écran déverrouillé lorsqu’on n’est pas dans son bureau ou laisser en évidence son mot de passe écrit traîner sur son bureau, ne pas ouvrir les pièces jointes d’e-mails suspects même si les e-mails infectés sont parfois difficiles à détecter.

Lucie et Thierry Brenet. Les Echos. 22 novembre

Les vidéos de sensibilisation de l’ANSII à destination des collaborateurs

Ce post est l’occasion de revenir la dernière campagne de communication de Cybermalveillance.gouv.fr, en collaboration avec l’agence The Pill, qui a retravaillé avec humour et créativité 4 des plus célèbres fables du poète français.

Avec pour objectif de sensibiliser les collectivités, la campagne adapte les iconiques animaux à notre époque pour mettre en lumière les préjugés habituels des acteurs qui ne prêtent que peu d’attention à la cybersécurité : “Je n’ai pas le temps”, “Je n’ai pas le budget”, “Je n’y connais rien, je ne suis pas concerné” et enfin “Ce n’est pas ma priorité”.

Autant de problématiques abordées avec créativité, et toujours en vers, dans 4 petits films animés parmi lesquels on retrouve : Le Corbeau et le Renard, Le Lièvre et la Tortue, La Cigale et la Fourmi et enfin Le Loup et l’Agneau.

Une campagne à découvrir ci-dessous sur Youtube et qui, même si elle s’adresse aux collectivités, ne manquera pas de faire écho aux problématiques des professionnels et même du grand public.

Le Loup et l’Agneau

Problématique : “Ce n’est pas ma priorité”

Le Corbeau et le Renard

Problématique : “Je n’y connais rien, je ne suis pas concerné”

Le Lièvre et la Tortue

Problématique : “Je n’ai pas le temps”

La Cigale et la Fourmi

Problématique : “Je n’ai pas le budget”

La campagne de sensibilisation de SPIE

12 vidéos très courtes mais percutantes

Un exemple, la clé USB : https://lnkd.in/ghDpwp84

La liste complète ici : https://lnkd.in/gv96aSCn

La cybersécurité pour les TPE / PME en 13 questions


Avec la digitalisation des entreprises, le nombre d’attaques informatiques augmente et il faut savoir prévenir les risques potentiels.
Il est bon de mettre en application quelques bonnes pratiques simples ou plus élaborées qui permettent de se protéger d’un certain nombre de cybermenaces.

Découvrez la mise à jour du guide de l’#ANSSI réalisé avec la Direction Générale des Entreprises et le soutien de Cybermalveillance.gouv.fr, France Num et la CPME nationale.

Une veille sur l’actualité / assurance des cyber-rançons : épilogue  

✅ Cyberattaques : le nouveau chapitre du Code des assurances adopté à l’Assemblée nationale

🚨 15 novembre 2022 à 22h : vote sur l’article 4 de la #LOPMI sur l’assurance des cyber-attaques, 127 voix POUR 89 voix CONTRE

⚠️ Quelques clarifications importantes par rapport au texte de la Commission des lois, grâce aux amendements notamment du député Philippe Latombe :

🔹 L’exigence du dépôt de plainte porte désormais sur tout contrat d’assurance visant à indemniser un assuré « des pertes et dommages » (et non plus de « tout dommage ») causés par une cyber-attaque, selon une distinction classique en droit des assurances.

🔹 Le délai de la victime pour déposer plainte passe de 48h à 72h / commence à courir à compter de la « connaissance de l’atteinte par la victime » et non plus à compter de la « constatation de l’infraction ».

🔹 Cet article s’applique uniquement aux personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle, et donc pas aux consommateurs.

🔜 Le texte déjà voté en première lecture au Sénat et désormais à l’Assemblée nationale devrait faire l’objet d’une Commission mixte paritaire entre députés et sénateurs selon la procédure accélérée engagée par le Gouvernement.

#risques #risque #analysedesrisques #riskanalysis #identificationdesrisques #gestiondesrisques #riskmanagement #enterpriseriskmanagement #cybersecurité #cyber #assurance #cyberrisque #risquecyber #assurancecyber #PME
#riskmanager #riskofficer #gestionnairederisques 

#ANSII #LGTO #LGCO

Octobre 2022 : le cyber-mois. Multiplication des cyberattaques. Causes/Conséquences. Focus sur les cyber-attaques visant les hôpitaux.

L’évaluation du cyber-risque (ses causes, ses conséquences) à partir de l’actualité ; les cyber-attaques continuent : un rapide état des lieux et un focus sur les cyber-attaques visant les hôpitaux à partir de deux articles.  
Les liens vers les précédentes publications du blog sur cette thématique
🏅Le cyber risque, risque n°1 pour les entreprises.
Un risque renforcé par le régulateur-législateur comme amplificateur                        du risque :   « Cyberattaque : le gouvernement légalise l’indemnisation des rançons »
Un risque nouveau aux modalités multiples, un risque subjectif qui le rend difficile à appréhender et à gérer, un risque difficile (« illusoire ») à assurer, un risque amplifié par le régulateur-législateur
❓Evaluation du risque : une probabilité élevée (voir causes nombreuses) ; un impact fort (voir coût élevé)
 🚴 Comment agir ?
👉 Indispensable, a minima complémentaire à l’assurance, mieux que l’assurance,  https://gestiondesrisques.net/2022/05/05/ca-bouge-du-cote-du-cyber-risque-3-un-projet-de-loi-permettant-a-lassureur-de-rembourser-les-cyber-rancons/ mettre en place des plans d’actions pour gérer le cyber risque 
👉 L’Agence Nationale de Sécurité des Systèmes d’Information (ANSII) propose des plans d’action et cinq mesures préventives pour gérer le cyber-risque.
Plans d’action / fraude au président
https://gestiondesrisques.net/2021/12/09/le-risque-variable-strategique-de-la-reflexion-des-entreprises-3-un-nouveau-risque-la-fraude-au-president-suite-un-exemple-de-plan-dactions/
Plans d’action / cyber-risques liés au télétravail
https://gestiondesrisques.net/2021/10/06/teletravail-risques-et-plans-dactions-ou-quels-plans-dactions-pour-gerer-les-risques-lies-au-teletravail-et-selon-quelle-approche-2/
https://gestiondesrisques.net/2021/09/29/quels-plans-dactions-pour-gerer-les-risques-lies-au-teletravail/
Nécessaire implication des salariés / gestion du cyber-risque
https://gestiondesrisques.net/2018/10/19/implication-des-collaborateurs-dans-la-demarche-de-gestion-des-risques-lexemple-du-cyber-risque/
Plans d’actions préconisés par l’ANSII
https://gestiondesrisques.net/2022/05/20/ca-bouge-du-cote-du-cyber-risque-4-comment-se-premunir-contre-une-cyberattaque/
La multiplication des cyberattaques. Causes. Quelques chiffres / impact

Le risque cyber croit de manière exponentielle chaque année :
80 % des cyber attaques en France visent des PME ;

94% des cyberattaques sont déclenchées par un email ;

54 % des PME victimes d’une cyber intrusion font état d’une perte > à 500 K€.

Selon une étude publiée par Titiana (une entreprise spécialisée dans la sécurité et la conformité des réseaux) et relayé par Le Monde Informatique, les erreurs de configuration des réseaux coûtent aux entreprises 𝟗 % 𝐞𝐧 𝐦𝐨𝐲𝐞𝐧𝐧𝐞 𝐝𝐞 𝐥𝐞𝐮𝐫 𝐜𝐡𝐢𝐟𝐟𝐫𝐞 𝐝’𝐚𝐟𝐟𝐚𝐢𝐫𝐞𝐬 𝐚𝐧𝐧𝐮𝐞𝐥.
Basée sur une enquête menée auprès de responsables de la cybersécurité de divers secteurs, l’étude met en garde contre les configurations erronées qui rendent les entreprises vulnérables aux cyberattaques et 𝐩𝐞𝐮𝐯𝐞𝐧𝐭 𝐩𝐞𝐫𝐝𝐮𝐫𝐞𝐫 𝐬𝐮𝐫 𝐥𝐞𝐬 𝐫𝐞́𝐬𝐞𝐚𝐮𝐱 𝐩𝐞𝐧𝐝𝐚𝐧𝐭 𝐝𝐞𝐬 𝐦𝐨𝐢𝐬, 𝐯𝐨𝐢𝐫𝐞 𝐝𝐞𝐬 𝐚𝐧𝐧𝐞́𝐞𝐬, 𝐝𝐮 𝐟𝐚𝐢𝐭 𝐝𝐞 𝐥𝐚 𝐫𝐚𝐫𝐞𝐭𝐞́ 𝐝𝐞𝐬 𝐚𝐮𝐝𝐢𝐭𝐬 𝐫𝐞́𝐚𝐥𝐢𝐬𝐞́𝐬 𝐬𝐮𝐫 𝐥𝐞𝐬 𝐚𝐩𝐩𝐚𝐫𝐞𝐢𝐥𝐬 𝐜𝐨𝐧𝐧𝐞𝐜𝐭𝐞́𝐬.
« Les réseaux peuvent subir des changements tous les jours, … ce qui entraîne une dérive de la configuration », a expliqué Phil Lewis, CEO de Titania. « Étant donné que les pare-feux, les routeurs et les commutateurs sont au cœur de la sécurité de tous les réseaux, les entreprises devraient vérifier tous leurs équipements … pour détecter les erreurs de configuration, accidentelles ou délibérées, qui pourraient entraîner des risques de sécurité critiques ».

Octobre 2022

Une cyberattaque a coûté plus de 45 M€ de pertes d’exploitation à CAMAÏEU !
C’est l’une des plus grandes marques de mode féminine françaises, mais elle est dans la tourmente : Camaieu, 517 magasins et 2 574 salariés est en liquidation judiciaire

Août 2022

CLESTRA le roi alsacien des cloisons de bureaux réalisant 145M€ de chiffre d’affaires et employant 700 salariés, a été placée en redressement judiciaire en raison d’une cyberattaque majeure qui a coûté entre 2 et 3M€ à la société en avril dernier.


Focus sur les cyberattaques visant les hôpitaux
Quatre questions sur la diffusion par des hackers de données de santé de l’hôpital de Corbeil-Essonnes

Les hackers ont commencé à diffuser des données de patients, personnels et partenaires du Centre hospitalier Sud Francilien vendredi.

L’affaire s’étale depuis plus d’un mois. Le 21 août dernier, l’hôpital de Corbeil-Essonnes, en banlieue parisienne a été victime d’une cyberattaque avec une demande de rançon. L’établissement ayant refusé de pays, les hackers ont finalement mis leur menace à exécution : ils diffusent, depuis vendredi 23 septembre, des données confidentielles. Cet hôpital assure la couverture sanitaire de près de 700 000 habitants de la grande couronne. Une enquête a été ouverte par le parquet de Paris et confiée aux gendarmes du Centre de lutte contre les criminalités numériques. « L’Obs » revient sur cette attaque avec quatre questions.

Les hôpitaux, des proies faciles face aux cyberattaques

  • De quel type d’attaque l’hôpital de Corbeil-Essonnes a-t-il été la cible ?

Le Centre hospitalier Sud Francilien a été victime d’une attaque via un logiciel rançonneur. Les rançongiciels permettent à des cybercriminels de chiffrer les fichiers des entreprises cibles, réussissant à paralyser tout ou partie de leur activité. Les pirates ont ensuite demandé une rançon de 10 millions de dollars pour déchiffrer les fichiers. Cette dernière aurait ensuite été ramenée à un million de dollars avant d’être à nouveau augmentée à deux millions.

Les acteurs de la cybercriminalité recherchent des cibles ayant un impératif opérationnel, comme les systèmes de santé. Mais en France, les hôpitaux publics ne peuvent pas payer de rançon du fait de leur statut.

« C’est une obsession, tous les jours, de trouver de la place pour les malades ! »

D’autres attaques visent à récupérer des données nominatives pour les monnayer sur le darkweb. « Je vois assez peu l’intérêt de voler des données de patients français », note cependant Cyrille Politi, conseiller en numérique à la Fédération hospitalière de France (FHF), qui rappelle que les dossiers des hôpitaux publics ne comportent ni information bancaire ni mot de passe.

  • À qui appartiennent les données qui sont désormais diffusées ?

Les données publiées vendredi par les hackers « semblent concerner nos usagers, notre personnel ainsi que nos partenaires », a annoncé ce dimanche le CHSF, dans un communiqué envoyé à l’AFP.

Parmi les données divulguées sur le site des cyberattaques figurent potentiellement « certaines données administratives », dont le numéro de sécurité sociale, et « certaines données santé telles que des comptes rendus d’examen et en particulier des dossiers externes d’anatomocytopathologie, de radiologie, laboratoires d’analyse, médecins », précise l’établissement.

« Les bases de données métiers du CHSF, parmi lesquelles figurent les dossiers personnalisés des patients (DPI) et les dossiers relatifs à la gestion des ressources humaines, n’ont pas été compromises », ajoute l’hôpital essonnien dans son communiqué. « L’attaque semble avoir été circonscrite aux serveurs virtuels et à une partie seulement de l’espace de stockage du CHSF (environ 10 %) », détaille-t-il également.

Pourquoi l’hôpital est face à un « risque de cataclysme sanitaire »

Les hackers avaient fixé un ultimatum au 23 septembre à l’hôpital pour payer la rançon. Le délai expiré, ils ont diffusé une série de données. Selon le site spécialisé Zataz, les pirates Lockbit 3.0 ont diffusé ainsi plus de 11 GO de contenus sensibles.

  • Quelle est la réaction du gouvernement ?

Pour lutter contre ce phénomène en expansion, l’Etat avait annoncé consacrer à la cybersécurité des établissements de santé une enveloppe de 25 millions d’euros dans le cadre des 136 millions consacrés à la cybersécurité des acteurs publics pour 2021 et 2022. Parallèlement, 135 hôpitaux ont été désignés « opérateurs de services essentiels », ce qui leur impose de respecter des règles de cybersécurité plus exigeantes que les institutions ordinaires.

Le ministre de la Santé, François Braun, et le ministre délégué chargé de la Transition numérique, Jean-Noël Barrot, en déplacement à Corbeilles-Essonne, ont annoncé le déblocage de 20 millions d’euros supplémentaires pour la protection des établissements de santé. « La santé des Français ne sera pas prise en otage », avait assuré le ministre de la Santé, cinq jours après l’attaque.

Début septembre, Bercy a décidé de mettre fin à une zone grise qui pouvait encourager la cybercriminalité : les assureurs peuvent désormais rembourser les rançons payées par leurs clients.

« Nos patients sont en danger ! » : l’alerte des soignants sur la situation de l’hôpital

Mais la lutte contre la cybercriminalité dépasse amplement le cadre des établissements de santé. Le « coût mondial de la cybercriminalité est évalué à 6 milliards de dollars par an », et les enquêtes sont « toujours très longues, peuvent durer plusieurs mois, voire plusieurs années » et nécessiter une importante coopération internationale, a indiqué à l’AFP le général Christophe Husson, commandant en second du Commandement de la gendarmerie dans le cyberespace (ComCyberGend).

Quel est l’impact de ces attaques sur les hôpitaux ?

« Tout dépend du type d’attaque et si l’équipe informatique arrive à intervenir avant qu’elle ne touche le dossier patient, le cœur du système d’information », détaille Cyrille Politi. Si elle n’y parvient pas, la structure cible peut replonger dans l’ère pré-informatique, impactant et ralentissant toute la communication entre services, notamment les rendus d’examens biologiques ou d’imagerie.

À l’hôpital de Corbeil-Essonnes, la bonne marche de l’établissement a été largement entravée. Deux semaines après l’attaque, les activités des urgences adultes étaient diminuées de moitié. Environ 90 patients étaient accueillis par cet hôpital du sud-est de Paris par jour contre 230 en activité normale.

« L’hôpital public se meurt et tout le monde s’en fout ! »

Un an après avoir été attaqué en février 2021, l’hôpital de Dax, dont les hackers avaient réussi à bloquer même les fichiers sauvegardés, évaluait avoir dû débourser 174 000 euros pour reconstruire son réseau informatique, et au total 2,36 millions d’euros en comptant les prestations de cybersécurité, la sous-traitance, le coût RH et les pertes commerciales, selon un retour d’expérience publié par l’Agence nationale d’appui à la performance (Anap).

« Plus d’un an après, si le cyclone et la tempête sont derrière nous, il reste des stigmates forts, et le Centre hospitalier est loin de naviguer sur une mer d’huile », note l’établissement, cité par l’Anap. Certains logiciels, notamment de bloc opératoire ou d’échographie anténatale, ne sont toujours pas accessibles.

Par L’Obs. Septembre 2022.

Cyberattaques : quels risques pour les hôpitaux et leurs patients ?

Après l’hôpital de Corbeil-Essonnes, l’Ehpad de Beuzeville (Eure) a été victime d’une nouvelle cyberattaque. Ces actes, de plus en plus nombreux, ne sont pas sans danger pour les établissements de santé et leurs patients.

L’hôpital de Corbeil-Essonnes a subi une cyberattaque d’ampleur dans la nuit de samedi à dimanche.

Les cyberattaques sont loin d’être sans conséquences pour les établissements de santé et leurs patients. L’Ehpad de Beuzeville, dans l’Eure, est le dernier à en avoir fait les frais mercredi 24 août. Dans la nuit de samedi à dimanche précédent, c’est l’hôpital de Corbeil-Essonnes, dans le sud-est de Paris, qui voyait son activité fortement perturbée par une cyberattaque d’ampleur de type « rançongiciel ».

Au total, plus de 730 incidents cyber ont été recensés dans le secteur de la santé en 2021, plus du double de l’année précédente. Lorsqu’ils sont touchés par des cyberattaques, « les systèmes informatiques des hôpitaux sont complètement bloqués », explique Corinne Hénin, experte indépendante en cybersécurité. Et pour cause, « tout est informatisé aujourd’hui, du simple scanner aux prescriptions médicales », indique la spécialiste.

Retour au papier

L’attaque visant le réseau informatique du Centre hospitalier sud francilien (CHSF) de Corbeil-Essonnes a ainsi rendu inaccessibles « tous les logiciels métiers de l’hôpital, les systèmes de stockage et le système d’information ayant trait aux admissions de la patientèle », selon un communiqué de l’établissement.

Depuis, c’est retour au papier pour le personnel, contraint de traiter les dossiers manuellement. « Les infirmières, au lieu de saisir par informatique toutes les données des patients, doivent à nouveau remplir des pancartes », expliquait lundi Valérie Caudwell, présidente de la commission médicale du CHSF, sur France Info.

La fiabilité des traitements pénalisée

Touché par une cyberattaque similaire en février 2021, l’hôpital de Dax (Landes) avait dû reporter certaines opérations, faute d’accès aux dossiers de ses patients. Le CHU de Rouen, également victime d’une cyberattaque massive en novembre 2019, avait quant à lui dû traiter les admissions de ses patients à la main, ralentissant considérablement leur prise en charge.

« Un hôpital touché ne peut pas traiter ses patients de la même manière », résume Ingrid Söllner, directrice marketing chez Tehtris, entreprise spécialisée en cybersécurité, alors que les hôpitaux souffrent déjà de sous-effectifs. « Avec le retour au papier, la fiabilité des traitements est fortement pénalisée », estime-t-elle.

Le retour à la normale peut prendre du temps. Un an et demi après, l’hôpital de Dax en garde des « stigmates » selon Aline Gilet-Caubère, sa directrice adjointe. « Au-delà de l’impact sur le collectif qui se fait toujours ressentir, environ 2 % des applicatifs n’ont pas encore été remontés », indique-t-elle.

Les patients comme cibles potentielles

Lors d’une cyberattaque, les patients peuvent par ailleurs directement être pris pour cibles. « Un pirate peut décider de changer la lecture d’un électrocardiogramme et induire le personnel soignant en erreur », alerte Benoît Meulin, porte-parole de WithSecure, entreprise spécialisée dans la cybersécurité.

Les patients peuvent aussi faire l’objet de chantage. C’est ce qui est arrivé en octobre 2020 en Finlande. Des pirates ont dérobé les données de milliers de malades d’une société de psychothérapie, dont leurs discussions avec les médecins. Ils les ont ensuite fait chanter individuellement en menaçant d’en divulguer le contenu.

Un autre risque est l’usurpation d’identité. « Plus vous avez d’informations sur les patients, plus c’est facile d’usurper leur identité », explique Corinne Hénin. Enfin, « les données peuvent se retrouver en vente sur le darknet », ajoute Aroua Biri, experte en cybersécurité, « ce qui fait courir un risque à leur confidentialité ».

La cyberattaque la plus dramatique reste à ce jour celle qui a visé la clinique de Düsseldorf en septembre 2020. Une patiente qui devait y être opérée est morte lors de son transfert d’urgence vers l’hôpital de Wuppertal, à une trentaine de kilomètres.

Marius BOCQUET. Août 2022

ASSURANCE CYBER-RANCONS : une nouveauté le 18 octobre 2022 !

La semaine dernière, je vous faisais un point sur la légalisation par le gouvernement de l’indemnisation des cyber-rançons à partir d’un article et des deux réactions face à cette légalisation. https://gestiondesrisques.net/2022/10/13/blog-https-gestiondesrisques-net-la-rentree-un-peu-en-decale/

Rebondissement, le 18 octobre 2022 : la condition de plainte est modifiée par le Sénat.

Celui-ci nous rappelle, s’il en était besoin, le contenu souvent peu structurant des mesures prises par les pouvoirs publics français (loi NRE, loi SF, principe de précaution…). Or celui-ci est bien souvent à l’origine des logiques de sur-réaction ou de sous-réaction des entreprises. Voir le rôle d’amplificateur du risque du régulateur-législateur que je présente dans mes travaux comme l’un des facteurs qui explique l’ampleur considérable prise depuis la fin des années quatre-vingt-dix par la Fonction Risk Manager. Voir Ouvrage d’Aubry et Dufour : « Risk Management. Organisation et positionnement de la Fonction Risk Manager. Méthodes de gestion des risques ; p.53-65. 👉  https://librairie.gereso.com/livre-entreprise/riskmanagement-fris2.html

Je vous livre ci-dessous l’analyse de Paul Berger de Gallardo, Avocat / Assurances, cyber, risques industriels. 

🔔 Assurer la cyber-rançon : la condition de la plainte modifiée par le Sénat 🔔

🔹 7 septembre 2022 : dépôt d’un projet de loi par le Gouvernement proposant d’encadrer le remboursement des cyber-rançons par les #assurances, en rendant obligatoire le dépôt d’une « plainte » par la victime « au plus tard 48 h après le paiement de cette rançon ».

🔸 7 octobre 2022 : rédaction d’un amendement du sénateur Rémi Cardon qui transforme la condition d’assurance en une « pré-plainte » devant être déposée « dans les 24h suivant l’attaque et avant tout paiement ».

➡ Objectif : informer au plus vite les autorités compétentes pour agir dès la #cyber-attaque et réduire le nombre de rançons versées.

🔹 18 octobre 2022 : adoption du texte par le Sénat avec l’amendement précité, puis transmission à l’Assemblée nationale.

❓ Quelques interrogations sur cette condition d’assurance modifiée :

🔹 le dépôt d’un pré-plainte est-il opportun alors que ce mode de déclaration n’est pas prévu ni adapté pour les situations d’urgence ?

🔹 le point de départ du délai de 24h fixé au jour de l’attaque et non à celui de la demande de rançon est-il pertinent, alors que certains rançongiciels commencent à œuvrer bien avant que la victime en ait connaissance ?
🔹 le délai de 24h est-il tenable pour une (petite) entreprise sous le coup d’une cyber-attaque ?

Blog. La rentrée, un peu en décalé…

Comme d’habitude, une thématique / une progression / les liens vers les précédentes publications du blog sur cette thématique au début de chaque nouvelle publication.

La thématique de la rentrée : octobre, le cyber-mois

La progression :

–      Un élément de contexte : l’impact du régulateur-législateur comme amplificateur du risque illustré à travers un article « Cyberattaque : le gouvernement légalise l’indemnisation des rançons », deux réactions et une mise en perspective

–      L’évaluation du cyber-risque (ses causes, ses conséquences) à partir de l’actualité ; les cyberattaques continuent : un rapide état des lieux et un focus sur les cyberattaques visant les hôpitaux à partir de deux articles 

–      Les solutions pour prévenir le risque, l’atténuer ou l’accepter sous sa forme résiduelle

  • Le transfert vers les assureurs / lien vers une émission
  • La création par des grands groupes de leur propre société d’assurance
  • Les plans d’actions préconisés par l’ANSII

Les liens vers les précédentes publications du blog sur cette thématique :

🏅Le cyber risque, risque n°1 pour les entreprises.

Un risque nouveau aux modalités multiples, un risque subjectif qui le rend difficile à appréhender et à gérer, un risque difficile (« illusoire ») à assurer, un risque amplifié par le régulateur-législateur

❓Evaluation du risque : une probabilité élevée (voir causes nombreuses) ; un impact fort (voir coût élevé)

 🚴 Comment agir ?

👉 Indispensable, a minima complémentaire à l’assurance, mieux que l’assurance,  https://gestiondesrisques.net/2022/05/05/ca-bouge-du-cote-du-cyber-risque-3-un-projet-de-loi-permettant-a-lassureur-de-rembourser-les-cyber-rancons/ mettre en place des plans d’actions pour gérer le cyber risque 

👉 L’Agence Nationale de Sécurité des Systèmes d’Information (ANSII) propose des plans d’action et cinq mesures préventives pour gérer le cyber-risque.

Plans d’action / fraude au président

https://gestiondesrisques.net/2021/12/09/le-risque-variable-strategique-de-la-reflexion-des-entreprises-3-un-nouveau-risque-la-fraude-au-president-suite-un-exemple-de-plan-dactions/

Plans d’action / cyber-risques liés au télétravail

https://gestiondesrisques.net/2021/10/06/teletravail-risques-et-plans-dactions-ou-quels-plans-dactions-pour-gerer-les-risques-lies-au-teletravail-et-selon-quelle-approche-2/

https://gestiondesrisques.net/2021/09/29/quels-plans-dactions-pour-gerer-les-risques-lies-au-teletravail/

Nécessaire implication des salariés / gestion du cyber-risque

https://gestiondesrisques.net/2018/10/19/implication-des-collaborateurs-dans-la-demarche-de-gestion-des-risques-lexemple-du-cyber-risque/

Plans d’actions préconisés par l’ANSII

https://gestiondesrisques.net/2022/05/20/ca-bouge-du-cote-du-cyber-risque-4-comment-se-premunir-contre-une-cyberattaque/

Assurance : Bercy donne son feu vert à l’indemnisation des cyber-rançons

Dans un rapport obtenu par « Les Echos », le ministère de l’Economie plaide à son tour en faveur de la prise en charge des rançons en cas d’attaque cyber, à condition que l’entreprise victime porte plainte. La mesure figure dans un projet de loi du ministère de l’Intérieur, qui sera présenté ce mercredi.

Il n’y aura pas d’exception française sur les cyber-rançons. Le ministère de l’Economie acte à son tour le principe d’indemnisation des rançons payées par les entreprises et autres entités visées par les pirates du Net. A condition que la victime porte plainte, stipule, le très attendu rapport de Bercy pour « Le développement de l’assurance cyber », publié ce mercredi et consulté par « Les Echos ».

Cette disposition est inscrite dans le projet de loi d’orientation et de programmation du ministère de l’Intérieur, qui sera présenté ce mercredi en conseil des ministres. Il s’agit de la deuxième version d’un premier texte présenté en mars, dont l’examen n’avait pas débuté sous la précédente mandature. Le texte sera discuté au Parlement à partir d’octobre.

Danger de mort

« Ce projet de loi, qui s’appuie sur les travaux de notre groupe de travail, constitue un point d’équilibre entre la volonté de ne pas financer l’écosystème des cyberattaquants et la volonté d’éviter la mort de PME et TPE touchées par une attaque », explique Bercy. En France, la rançon moyenne réclamée atteignait environ 6.400 euros en 2021, en hausse de 50 % par an depuis 2016, mais certaines demandes se chiffrent en millions d’euros.

Le feu vert du ministère de l’Economie est une nouveauté. « Au moment de la prise de position du ministère de l’Intérieur, il y avait apparemment un manque de coordination entre la Place Beauvau, Bercy et la Justice », explique un bon connaisseur du dossier.

Dès le début d’année, le Haut Comité juridique de la place financière de Paris, saisi par Bercy, avait pris position en faveur de l’indemnisation des rançongiciels par les assureurs . A l’inverse, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) prône de son côté une interdiction , tout comme un rapport parlementaire publié fin 2021, ou bien « un encadrement strict ».

La prise en charge des rançons n’est pas formellement interdite en France. « Le remboursement d’une rançon par l’assureur est a priori licite et peut être comparé à l’assurance couvrant le risque de vol dont le fait générateur est une effraction », souligne même le rapport.

Attentisme

Pour autant, AXA France puis Generali France y avaient renoncé dans l’attente d’une clarification des autorités, de crainte d’être accusés d’être « pousse-au-crime ». Pour minimiser les risques, le rapport insiste sur la nécessaire coopération entre toutes les parties prenantes, notamment les forces de police et de justice.

Aujourd’hui, le gouvernement est pragmatique. Si la France n’offre pas un cadre juridique au paiement des rançons, le risque pourrait se déplacer sur d’autres marchés européens ou mondiaux : les entreprises tricolores pourraient être attaquées dans leurs implantations à l’étranger, ou tentées de souscrire des contrats auprès d’acteurs non régulés en France.

D’autres pistes sont avancées pour renforcer l’attractivité de l’assurance cyber, qui reste un marché de niche. « Les risques cyber sont une priorité du gouvernement pour protéger notre société, notre modèle social et notre souveraineté, rappelle le ministère de l’Economie. La crise sanitaire a été un révélateur des opportunités qu’apportent les moyens numériques pour notre économie, mais aussi des risques encourus par les entreprises, notamment les PME et TPE. Or, sur le plan de l’assurance cyber, l’Europe est en retard sur les Etats-Unis. »

Observatoire de la menace cyber

En France, les polices d’assurance cyber stricto sensu ont collecté 219 millions d’euros de primes en 2021, soit 3,9 % du marché de l’assurance dommages des professionnels dans l’Hexagone. Les grandes entreprises sont les principales utilisatrices de contrats vendus par une poignée d’acteurs : AXA et les anglo-saxons Chubb, AIG et Beazley. L’an dernier, une dizaine de groupes français y ont toutefois renoncé , jugeant les garanties trop limitées ou trop chères, selon l’Association des managers de risques (Amrae).

Pour développer des pratiques de place, l’ACPR, le régulateur de l’assurance, devra « étudier les principales clauses du marché », en coordination avec l’association France Assureurs, explique Bercy. « Il ne s’agit pas de définir des clauses type dans le Code des assurances, mais d’analyser s’il est nécessaire de prendre des dispositions pour améliorer le niveau d’information des assurés », précise le ministère. Autre ambition, à moyen terme : créer un observatoire de la menace cyber, pour répondre au manque criant de données.

Amélie Laurin. Le 7 sept. 2022

L’analyse d’Emmanuelle Hervé


💻 C’est une nouvelle surprenante. Alors que les cyberattaques font rage dans les hôpitaux, leur statut public interdit tout paiement de rançon. Pour les entreprises privées, la règle est encore floue.

📃 Plus de 200 rançons ont été recensées l’an passé. Jusqu’à présent, l’État n’interdisait pas de payer les pirates, mais le déconseillait vivement. Le gouvernement va mettre fin à la zone grise entourant le paiement, par les assureurs, des rançons liées à des piratages informatiques. Les entreprises pourraient ainsi payer les escrocs et se faire rembourser par leurs assureurs en échange d’un dépôt de plainte.

🖲 Cette mesure liée aux cyber-rançons « sera partie intégrante du projet de loi d’orientation et de programmation du ministère de l’Intérieur (LOPMI) », ajoute le ministère de l’Économie.  Si certaines rançons peuvent atteindre plusieurs millions d’euros, la moyenne des montants demandés se situe autour de 6 400 € en 2021, en hausse annuelle de 50 % sur les cinq dernières années.

🦾 Si les assurances et le gouvernement se montrent favorables au remboursement, l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI – Agence nationale de la sécurité des systèmes d’information) prône de son côté une interdiction, emboîtant le pas d’un rapport parlementaire publié fin 2021 et porté par la députée LREM, Valéria Faure-Muntian.  Certaines critiques alarmant le gouvernement sur le risque d’escalade des cyberattaques en cas de paiement des rançons. Rappelons que le marché de l’assurance cyber ne représente que 219 millions d’euros de primes en 2021, soit 3,9 % du marché de l’assurance dommages des professionnels en France.

La réaction de Guillaume Poupard, directeur de l’ANSII

Désabusé, Guillaume Poupard, directeur de l’ANSSI, a réagi ce matin avec humour à l’annonce en commentaire d’une publication LinkedIn. En effet, l’agence prône de son côté une interdiction ou, à minima, un « encadrement strict ».
Conditionnée à un dépôt de plainte, la mesure exprime la volonté du gouvernement de ménager les PME et TPE touchées par des cyberattaques.
Alimentation de la criminalité et déresponsabilisation des acteurs, la communauté #cyber a vivement réagi à la mesure et aux dangers qu’elle peut représenter.

Une interrogation sur le rôle de l’état comme amplificateur de risques

Le législateur-régulateur a contribué et contribue à la diffusion de ce que M. Power appelle l’image d’un monde plus risqué et l’ont amplifiée. Ils amplifient la notion de responsabilité du dirigeant en cas de négligence.

Le concept d’amplification sociale du risque suggère que les risques sont amplifiés et instrumentalisés par des institutions telles que le régulateur-législateur et les médias. Le rôle du régulateur-législateur a commencé en France avec la Loi de Sécurité Financière…les lois, règlements, normes n’ont cessé de se multiplier.

Voir Ouvrage d’Aubry et Dufour : « Risk Management. Organisation et positionnement de la Fonction Risk Manager. Méthodes de gestion des risques ; p.53-65.

👉  https://librairie.gereso.com/livre-entreprise/riskmanagement-fris2.html

Criticité des métaux rares : quels risques pour la transition écologique

Je vous propose de lire cet article en ayant en tête une démarche « classique » de gestion des risques et de construction d’une cartographie telle que Nicolas Dufour et moi-même la proposons dans notre ouvrage « Risk Management. Organisation et positionnement de la Fonction Risk Manager. Méthodes de gestion des risques » ; https://librairie.gereso.com/livre-entreprise/risk-management-fris2.html ) ; Chapitre 4, Méthodes, démarches et outils des Risk Managers, p.155.

Rappel des étapes

  • Identifier les risques, passés, présents et émergents ;

Le nommer / avec l’aide ou non d’une typologie / à partir de la typologie de l’AMRAE, ce pourrait être :

CATEGORIE RISQUES STRATEGIQUES & EXTERNES / SOUS CATEGORIE ENVIRONNEMENT / Rubrique Matières Premières

Le qualifier : risque nouveau ; difficile à assurer

Le décrire : voir détails dans l’article ;

  • Evaluer le niveau de criticité des risques en tenant compte de leur probabilité de survenance et de leur impact ; pour rappel CRITICITE = PROBABILITE x IMPACT ; ici :

Eléments de Probabilité : « forte dépendance des filières bas-carbone » ; « couverture limitée contre le risque d’approvisionnement »

Elément d’Impact : « dommages environnementaux suffisamment importants pour compromettre la pertinence écologique de leur production » ;

  • Hiérarchiser les risques ;
  • Identifier les zones de risques insuffisamment couvertes par le dispositif de maîtrise ;
  • Mettre en place des plans d’actions et des outils de reporting. Les auteurs proposent en conclusion des plans d’actions pour réduire la criticité du risque.

Faire le point sur le risque climatique : lire et/ou écouter sur le blog  / cliquez sur les liens ci-dessous

Criticité des métaux rares : quels risques pour la transition écologique

L’enjeu crucial de la décennie à venir est de réduire nos émissions de gaz à effet de serre en mobilisant, d’une part, des énergies décarbonnées et en améliorant, d’autre part, l’efficacité énergétique de nos économies dans le but de « faire autant avec moins ».

La priorité donnée au déploiement des technologies des énergies renouvelables a fait émerger de nouvelles problématiques liées aux matières premières. Si le soleil ou le vent sont certes des énergies primaires renouvelables, les technologies permettant de les transformer en énergie utile à nos sociétés sont dépendantes, entre autres, aux métaux. Cette réalité englobe l’ensemble des technologies de l’énergie bas carbone qui, en comparaison des technologies fossiles, sont plus intensives en métaux(1).

Parmi ces dépendances nouvelles, c’est celle aux métaux rares (large catégorie de métaux incluant les terres rares) qui a fait couler le plus d’encre. Suite à la forte croissance des marchés des énergies renouvelables, des articles académiques ont alerté sur le risque pour la transition énergétique que constitue une rupture d’approvisionnement en terres rares(2) et des institutions se sont saisies de la question(3). Enfin, un ouvrage publié en 2018 par Guillaume Pitron intitulé « La Guerre des métaux rares » a également participer à inscrire cette question dans le débat public – opération renouvelée avec la diffusion en 2021 d’un documentaire adapté de ce même ouvrage.

Les métaux rares sont jugés « critiques » à l’échelle mondiale et pour les filières bas carbone s’ils :

  • sont importants pour le développement de ces filières ;
  • subissent un risque de rupture d’approvisionnement ;
  •  induisent des dommages environnementaux suffisamment importants pour compromettre la pertinence écologique de leur production.

La facture environnementale de la transition est-elle une question ?

La facture environnementale des énergies renouvelables est-elle réellement plus élevée que celle du maintien d’un système énergétique fondé sur les énergies fossiles ? Pour y répondre, il faut tenir compte de l’ensemble des étapes de production de ces technologies et des pollutions qui y sont associées. C’est l’approche suivie par les analyses de cycles de vie qui portent sur le sujet(4) et qui ne laissent pas de place au doute en concluant à un bilan écologique positif pour les énergies renouvelables.

Cela ne signifie pas qu’elles ne polluent pas mais qu’en comparaison des énergies fossiles, elles permettent un système énergétique avec une empreinte écologique moindre. Ainsi, laisser penser que la pollution liée aux terres rares que contient l’aimant permanent d’une éolienne offshore est d’une importance comparable à celle que génère une centrale à charbon revient à confondre les ordres de grandeur.

À titre d’illustration, on peut comparer les émissions de gaz à effet de serre imputables à l’énergie éolienne avec celles des énergies fossiles. Un kWh d’électricité d’origine éolienne émet entre 6,4 et 8,5 g de CO2 sur l’ensemble de son cycle de vie. Ce chiffre monte à 530 g de CO2/kWh pour le gaz et 930 g de CO2/kWh pour le charbon.

On pourra opposer à cette comparaison de ne s’intéresser qu’aux émissions de GES qui ne constituent hélas pas la seule menace qui pèse sur les écosystèmes, mais l’empreinte écologique de l’éolien reste également moindre en comparaison des énergies fossiles pour d’autres types de pollutions (écotoxicité, particules, acidification terrestre, etc.). Dans ce contexte, quelle est la contribution des métaux rares à la pollution que génèrent les énergies renouvelables ? Faible en comparaison des autres matières premières utilisées comme les métaux structurels tels que le cuivre ou l’aluminium. En effet, les 150 kg de terres rares (néodyme) utilisés dans l’aimant permanent d’une éolienne offshore ne pèsent qu’environ 0,05 g de CO2/kWh, soit moins d’un pourcent de son empreinte carbone globale.

L’importance économique des métaux rares

Évaluer l’importance économique des métaux rares pour les filières bas carbone conduit à un paradoxe. Si les propriétés particulières des métaux rares en font dans certains cas des ressources nécessaires à ces filières, sans perspectives de substitution à court terme, le fait est que les métaux rares sont des coproduits. Leurs productions dépendent donc des autres métaux dont elles sont les coproduits. Par exemple, il n’existe pas de mine d’indium mais des mines de zinc dont on pourra extraire une fine proportion d’indium.

La demande pour les métaux rares est ainsi assujettie aux dynamiques d’offres en place sur d’autres marchés, ce qui se traduit par une forte volatilité des productions et des prix. Ces derniers offrent alors une information relativement pauvre aux acteurs économiques qui décourage la mise en place d’une gestion soutenable de ces ressources.

De ce statut de coproduit découle des caractéristiques bien spécifiques. Parmi celles-ci, la plus inquiétante est la faible proportion de métaux rares étant recyclée. Ces métaux si particuliers souffrent d’usages fortement dissipatifs. Par exemple, dans les produits du numérique, ils sont présents en une quantité trop petite pour justifier le coût du traitement des déchets et leur recyclage à des fins de récupération des métaux rares(5). Concrètement, il demeure moins coûteux d’extraire des métaux rares en tant que coproduits que de les recycler, malgré les différences des deux opérations en termes d’empreintes écologiques.

Le risque de rupture d’approvisionnement

L’organisation actuelle des marchés des terres rares ne permet qu’une couverture limitée contre le risque d’approvisionnement. Tout d’abord, il n’existe pas de bourses organisées pour des contrats à terme qui porteraient sur la fourniture d’une certaine quantité de métaux rares à une date et un prix fixés à l’avance sur le marché de manière publique.

Les contrats à terme sur les métaux rares sont donc conclus de gré-à-gré, faisant ainsi des quantités échangées et des prix de vente des informations privées. Cette organisation génère une forte volatilité des prix sur les marchés au comptant, dits marchés spots, qui se retrouvent exposés à d’importants déséquilibres de court terme entre l’offre et la demande. Par ailleurs, les marchés des métaux rares sont fortement affectés par les dynamiques des marchés de métaux de base en période de faible volatilité ainsi que par celles des marchés financiers en période de forte volatilité, rendant la prédictibilité des prix d’autant plus délicate(6).

Le quasi-monopole de la Chine sur la production des terres rares, qui avoisinait 90% de la production mondiale à la fin de la décennie 2000, participe également à accroitre le risque de rupture d’approvisionnement. Dès 2006, le gouvernement chinois a mis en place des mesures visant à renforcer son contrôle sur l’industrie chinoise des terres rares. Mais ce n’est qu’en 2010 que les importateurs de terres rares réalisent soudainement l’ampleur du pouvoir de marché chinois. La mise en place de quotas d’exports par la Chine, équivalant dans un premier temps à 55% de la demande étrangère, couplée à la levée de taxes sur ces exports et à un embargo sur le Japon entre septembre et novembre contribueront à l’explosion des prix des terres rares, mettant les pays industrialisés face à leur dépendance.

La levée de taxes et des quotas en 2015 a marqué une nouvelle étape dans la reprise en main par Pékin de l’industrie des terres rares. Le scandale du Fanya Metal Exchange illustre en effet l’opacité de cette industrie. Cette plateforme d’échanges située à Kumming dans le sud de la Chine lancée en 2011 et active jusqu’en 2015 se vantait d’être la plus grande plateforme dédiée au trading des terres rares. Elle promettait des retours sur investissements généreux aux épargnants chinois jusqu’à être mise en examen pour défaut de paiement d’intérêts à 220 000 épargnants et un total de 6,2 milliards d’euros. La plateforme fonctionnait selon une chaîne de Ponzi et l’affaire a déclenché des vagues de protestations dans le pays pointant notamment le manque de régulation de la part du pouvoir central et les affaires de corruption qui entouraient ce montage financier. Il est en effet difficile pour Pékin de connaitre avec précision la quantité de terres rares produites et stockées sur son territoire. La production de contrebande est importante, elle représentait à minima 30% de la production nationale en 2017(7). Pékin a depuis lutté contre cette production de contrebande, mis en place des taxes sur les productions régionales et restructuré l’industrie en six opérateurs publics, avant d’annoncer une nouvelle restructuration avec uniquement deux firmes géantes et publiques qui géreront la production de matières premières.

Cette reprise en main par Pékin de l’industrie n’a pas vocation à calmer les tensions commerciales autour des terres rares mais bien à assurer que la mainmise sur les terres rares bénéficie aux industries chinoises. En effet, dès 2012 un Livre Blanc du Conseil d’État pointe la forte diminution des réserves de terres rares lourdes dans la province de Jiangxi, premier producteur de ces métaux au monde. La réussite de la stratégie « Made in China 2025 », mise en place en 2015 et qui vise à développer les capacités de production du pays dans les industries des nouvelles technologies (bas-carbone, robotique, IA, nouveaux matériaux), est donc conditionnée à un approvisionnement suffisant. La reprise en main de l’industrie des terres rares par Pékin marque la volonté de favoriser la demande intérieure(8).

Conclusion

À l’échelle globale, la disponibilité géologique des métaux rares tend à indiquer qu’ils ne seront pas critiques pour les technologies des énergies renouvelables. Leur déploiement à grande échelle est d’avantage compromis par la compétition géoéconomique des pays autour du leadership sur ces technologies ainsi que la prise de conscience tardive du poids de la Chine dans cette industrie.

Plusieurs options sont envisageables pour réduire ce risque de criticité. Elles doivent privilégier une approche systémique qui inscrit la transition énergétique dans le projet plus global de la transition écologique. Ainsi, il faut viser à renforcer la souveraineté technologique de l’Europe et à la mettre au service du développement de technologies les moins polluantes possibles. Par exemple, les éoliennes peuvent se passer d’aimants permanents et donc de terres rares. Cette filière des générateurs à électro-aimants doit être soutenue via des pénalités imposées aux générateurs à aimants permanents qui reflèteront le coût écologique des terres rares.

De même, dans un contexte de raréfaction des ressources minérales, des règlementations doivent être mises en place pour imposer aux concepteurs de technologies nouvelles d’intégrer dès la phase de développement l’enjeu du recyclage en vue d’en diminuer le coût. Enfin, la transformation du secteur électrique doit être guidée par l’objectif de réduction des pollutions associées à la génération d’électricité. Ainsi la question de la réduction de notre consommation d’énergie doit être posée avant de déployer des nouvelles capacités de production en vue d’éviter l’empilement des capacités énergétiques auquel nous assistons aujourd’hui.

Florian Fizaine et Clément Bonnet ; Maîtres de Conférences en Sciences Economiques. Paru le 20 juin 2022.

  1. Kleijn et al., 2011 ; Vidal et al., 2017.
  2. Baldi et al., 2014 ; Stengen, 2015.
  3. World Bank, 2017 ; UE-JRC, 2011.
  4. Hertwich et al., 2015 ; Gibon et al., 2017.
  5. Fizaine, 2020.
  6. Reboredo et Ugolini, 2020.
  7. Mineralinfo, 2017.
  8. Seaman, 2019.

Baldi, L., Peri, M., & Vandone, D. (2014). Clean energy industries and rare earth materials: Economic and financial issues. Energy Policy, 66, 53-61Fizaine, F., 2013. Byproduct production of minor metals: threat or opportunity for the development of clean technologies? The PV sector as an illustration, Resources Policy, 38, 3, 373-383.

Fizaine, F., 2015. Les métaux rares. Opportunité ou menace ? Enjeux et perspectives associés à la transition énergétique., F. Fizaine, Edition Technip, Collection Géopolitique, septembre 2015, 192p.

 Fizaine, F., 2020. The economics of recycling rate: New insights from waste electrical and electronic equipment, Resources Policy, 67.

Fizaine, F., Court, V., 2015. Renewable electricity producing technologies and metal depletion: a sensitivity analysis using the EROI, Ecological Economics, 110, 106-118

Gibon, T., Arvesen, A., Hertwich, E. G. 2017. Life cycle assessment demonstrates environmental cobenefits and trade-offs of low-carbon electricity supply options, Renewable and Sustainable Energy Reviews, 76, 1283-1290.

Hertwich, E.G., Gibon, T., Bouman, E.A., Arvesen, A., Suh, S., Heath, G.A., Bergesen, J.D., Ramirez, A., Vega, M.I., Shi, L., 2015. Integrated life-cycle assessment of electricity-supply scenarios confirms global environmental benefit of low-carbon technologies. Proc Natl Acad Sci USA 112, 6277.

Kleijn, R., Van der Voet, E., Kramer, G. J., Van Oers, L., Van der Giesen, C., (2011). Metal requirements of low-carbon power generation, Energy, 36, 9, 5640-5648.

Reboredo, J. C., & Ugolini, A. (2020). Price spillovers between rare earth stocks and financial markets. Resources Policy, 66, 101647.

Seaman, J., 2019. Rare earths and China: A review of changing criticality in the New Economy. Notes de l’Ifri, Ifri, January 2019.

Stegen, K. S. (2015). Heavy rare earths, permanent magnets, and renewable energies: An imminent crisis. Energy Policy, 79, 1-8.

Vidal, O., Rostom, F., François, F., Giraud, G., 2017. Global trends in metal consumption and supply: the raw material-energy nexus, Elements, 13, 319-324

Analyse des Risques : une façon d’analyser l’ampleur des risques ou comment parler de l’ampleur des risques (2). Le risque géopolitique

L’actualité témoigne d’une ampleur inédite des risques sous l’effet des cinq facteurs à l’œuvre depuis les années quatre-vingt-dix, qui fait aujourd’hui de sa gestion une variable stratégique de la réflexion des organisations.

🏁 Un ouvrage / « Risk Management. Organisation et Positionnement de la Fonction Risk Manager. Méthodes de Gestion des Risques. » / Paru le 9 juin 2022 / Editions Gereso. https://librairie.gereso.com/livre-entreprise/risk-management-fris2.html

Sites FNAC…

Il s’agit de :

La 2ème édition de notre ouvrage « La Fonction Risk Manager. Organisation, Méthodes et Positionnement » (Editions Gereso, 2019)

Avec un titre plus « large » / La Fonction Risk Manager / La démarche de Gestion des Risques

 Avec de nouveaux exemples :

Comme, dans le chapitre I « Définition des notions et contextualisation de la Fonction Risk Manager, celui intitulé « Du Risque incendie au Risque éthique : l’incendie de l’usine Lubrizol »

Pour illustrer

  • l’imbrication des facteurs déjà mis en œuvre depuis les années quatre-vingt-dix
  • la transversalité du risque.

🎯 Aujourd’hui, après « Risque Ethique et Risque de Réputation » paru sur le blog (https://gestiondesrisques.net/), je vous propose un autre exemple à travers une analyse du risque géopolitique

  Mêmes facteurs : élargissement du domaine de la gestion des risques / subjectivité et perception du risque / amplification du risque par les médias / le régulateur-législateur / réticence des assureurs à l’assurer

Transversalité du risque : Géopolitique / Cyber-sécurité / Supply Chain

🏅Testez cette grille de lecture sur les risques du Top Ten des baromètres de risques –  cyber-risque/risque sanitaire… – ; sur les affaires – Incendie de l’usine Lubrizol…-.

Le risque géopolitique au centre des préoccupations

N° 13 dans le baromètre Allianz 2022 mais N° 4 dans le Top 10 des risques opérationnels / Enquête RiskIn, 2022. Sans surprise, il est en hausse de plusieurs places cette année.

🔄Un risque transversal

Ci-dessous un aperçu de l’enquête :

« L’invasion de l’Ukraine, les sanctions occidentales et la réponse russe entraînent une forte augmentation des risques liés à la cybersécurité et à la chaîne d’approvisionnement.

Le directeur des risques d’un grand gestionnaire d’actifs européen résume succinctement l’impact de la guerre dévastatrice de la Russie en Ukraine sur le profil de risque opérationnel de son entreprise : « Nous avons la guerre en Europe. Pas seulement de petits moments : des choses qui font entièrement bouger notre entreprise. » Et bien que les votes de l’enquête annuelle Top 10 des risques opérationnels de Risk.net aient été exprimés à l’avènement – dans un climat de détérioration des relations et de rassemblement des troupes russes aux frontières de l’Ukraine – la guerre et ses conséquences ont jeté une ombre horrible sur les résultats de cette année.

Le risque global d’une augmentation des cyberattaques parrainées par l’État en réponse aux sanctions est « une probabilité », déclare un responsable du cyber-risque. Cependant, l’impact de l’instabilité mondiale a des ramifications potentielles beaucoup plus larges pour le profil de menace de sa banque, ajoute le dirigeant : « Je ne prendrais pas seulement ce cas pour mélanger les deux entièrement – le risque géopolitique a [un] élément cyber, mais aussi la chaîne d’approvisionnement ». Et des éléments de résilience aussi. »

La résilience est la capacité à maintenir des services ou des opérations critiques pendant les périodes de perturbation. Les attentes ont été formalisées par les principes de résilience des régulateurs britanniques – qui devraient entrer en vigueur fin mars 2022 – et ont été testées dans le monde réel sous la forme de la pandémie de Covid-19, ainsi que la menace très réelle de pannes frappant les réseaux de paiement. Et d’autres éléments clés de l’infrastructure mondiale à la suite de l’invasion de l’Ukraine.

Ouvrage, disponible aujourd’hui 9 juin 2022, « RISK MANAGEMENT. ORGANISATION ET POSITIONNEMENT DE LA FONCTION RISK MANAGER. METHODES DE GESTION DES RISQUES. »

Professionnels qui souhaitez découvrir ou approfondir vos connaissances sur le Risk Management et la Fonction Risk Manager : un ouvrage, disponible aujourd’hui 9 juin 2022, « RISK MANAGEMENT. ORGANISATION ET POSITIONNEMENT DE LA FONCTION RISK MANAGER. METHODES DE GESTION DES RISQUES. »
🏁 Il est disponible aujourd’hui, 9 juin 2022 / Sur le site de GERESO Editions, collection Management https://librairie.gereso.com/livre-entreprise/risk-management-fris2.html
/ Sur les sites de la FNAC, AMAZON… 

🎯 Il s’agit de :
La 2ème édition de notre ouvrage 📖  « La Fonction Risk Manager. Organisation, Méthodes et Positionnement » / paru chez Gereso Editions / en 2019 / labellisé FNEGE dans la catégorie Manuel en 2020
✅ Avec un titre plus « large » / La Fonction Risk Manager / La démarche de Gestion des Risques
✅ Avec des ajouts :
👉 Une nouvelle période d’analyse / de 2019 à aujourd’hui
👉 L’intégration des nouveaux enjeux :
  • la loi sur le devoir de vigilance
  • le risque éthique et le risque de réputation
  • le risque cyber, le risque de fraude et leur gestion
  • le rôle du Risk Manager face à la crise sanitaire du Covid 19

👉 De nouveaux exemples

👓 Pour ceux qui découvrent notre ouvrage, vous y trouverez : 
✅ Un panorama complet de votre fonction (activité, place dans l’organisation, compétences), de la démarche de gestion des risques et de ses outils
✅ Des préconisations pour faire évoluer la fonction
✅ Une double approche académique et de terrain, au niveau du contenu, de nos parcours professionnels, des personnalités qui nous ont fait l’honneur de rédiger la préface et la postface.  

#risques #riskmanagement #gestiondesrisques #ERM#EnterpriseRiskManagement#analysedesrisques #riskmanager #gestionnairederisques #riskofficer #mastergestiondesrisques

Une façon d’analyser l’ampleur des risques ou comment parler de l’ampleur des risques.

L’actualité témoigne d’une ampleur inédite des risques sous l’effet des cinq facteurs à l’œuvre depuis les années quatre-vingt-dix, qui fait aujourd’hui de sa gestion une variable stratégique de la réflexion des organisations.

🏁 Un ouvrage à venir / « Risk Management. Organisation et Positionnement de la Fonction Risk Manager. Méthodes de Gestion des Risques. » / Parution le 9 juin 2022 / Editions Gereso.

https://librairie.gereso.com/livre-entreprise/risk-management-fris2.html

Il s’agit de :

La 2ème édition de notre ouvrage «  La Fonction Risk Manager. Organisation, Méthodes et Positionnement » (Editions Gereso, 2019)

Avec un titre plus « large » / La Fonction Risk Manager / La démarche de Gestion des Risques

 Avec de nouveaux exemples :

Comme, dans le chapitre I « Définition des notions et contextualisation de la Fonction Risk Manager, celui intitulé « Le Risque de Réputation et le Risque Ethique : une « nouvelle » affaire Nike

Pour illustrer

  • l’imbrication des facteurs déjà mis en œuvre depuis les années quatre-vingt-dix
  • la transversalité du risque.

🎯 Aujourd’hui, je vous propose un autre exemple à travers un article de Nathalie Belhoste sur ce qu’il est convenu d’appeler l’affaire Lafarge.

  Même intitulé : Risque de Réputation et Risque Ethique.

 Mêmes facteurs : élargissement du domaine de la gestion des risques / subjectivité et perception du risque / amplification du risque par les médias / le régulateur-législateur / réticence des assureurs à l’assurer / les « affaires » / amplification du risque par le régulateur-législateur.

  Transversalité du risque : Réputation / Ethique / Géopolitique.

🏅Testez cette grille de lecture sur les risques du Top Ten des baromètres de risques –  cyber-risque/risque sanitaire… – ; sur les affaires – Incendie de l’usine Lubrizol…-.

Affaire Lafarge en Syrie, pour Nathalie Belhoste, il y a eu « une myopie organisationnelle »

Que nous apprend l’affaire Lafarge en Syrie sur la responsabilité des entreprises en temps de guerre ?

Nathalie Belhoste, professeure associée à l’école de management de Grenoble : « De mon point de vue, cette affaire révèle plusieurs failles dans la compréhension des éléments par les entreprises. Le cimentier a fait preuve d’une myopie organisationnelle dans le sens où il a voulu rester à tout prix pour sauver des investissements énormes (680 millions d’euros sur le site) et s’est retrouvé dans une situation de dépendance vis-à-vis d’acteurs illégitimes et illégaux. Ce phénomène a été renforcé par une gestion à distance entre l’usine et le siège social qui a pu nuire à l’appréciation du danger de la complexité locale. Par ailleurs, les signaux forts auraient dû être observés et ne l’ont pas été (comme le développement des sanctions et embargos au fil des années). »
De nombreuses entreprises s’en sont allées de Russie, comme Renault et McDonald’s tout récemment, que ce soit par solidarité avec l’Ukraine ou parce qu’elles étaient asphyxiées par les sanctions. Quel parallèle peut-on faire avec l’affaire Lafarge ?« Rappelons d’abord que les situations sont bien différentes : en Syrie, il s’agissait d’une guerre civile, tandis qu’en Ukraine, c’est un conflit entre deux États-nations. Toutefois, on voit que les entreprises ne réagissent plus avec la même temporalité. On se pose beaucoup plus tôt la question de savoir s’il faut rester dans un pays en guerre. Des affaires comme celles de Lafarge ont permis de se rendre compte du coût pénal à ne pas appliquer la loi. Et il ne faut pas oublier la mise en place de la loi Sapin II et l’instauration du devoir de vigilance en 2017 (qui imposent aux entreprises des procédures de vérification des tiers afin notamment de lutter contre la corruption, le trafic d’influence, l’atteinte aux droits humains, à l’environnement et à la santé des personnes). Cela oblige les entreprises à être plus conscientes des conséquences de leurs actions. »
Parfois, c’est la pression de la société civile qui a poussé les entreprises à partir de Russie…« Oui, tout à fait. Et c’est une différence fondamentale entre les deux situations : la mobilisation a été beaucoup plus rapide en 2022 pour l’Ukraine qu’elle ne l’a été en 2011 en Syrie. Bien sûr, la médiatisation et la lecture claire de la guerre en Syrie se sont faites plus graduellement, mais on voit aussi que la société civile a changé. Les ONG et la population sont bien plus sensibilisées et ont appelé très rapidement au boycott de plusieurs entreprises restées en Russie. Il est intéressant de voir qu’elles ne sont pas toutes logées à la même enseigne et que certaines, moins connues du grand public, sont restées sans subir les foudres de la vindicte populaire. »

Repères

Une possible mise en examen de Lafarge

La cour d’appel de Paris rendra mercredi sa décision sur la validité de la mise en examen du groupe pour « complicité de crimes contre l’humanité ». Lafarge SA est soupçonné d’avoir versé en 2013 et 2014, via une filiale, près de 13 millions d’euros à des groupes terroristes, dont l’organisation État islamique (EI), afin de maintenir l’activité d’une cimenterie en Syrie alors que le pays s’enfonçait dans la guerre. Le groupe a toujours contesté toute responsabilité dans la destination de ces versements à des organisations terroristes. Dans ses réquisitions, le parquet général a demandé le maintien de la mise en examen pour « complicité de crimes contre l’humanité » de Lafarge mais a requis l’annulation de sa mise en examen pour « mise en danger de la vie d’autrui ». Les avocats du cimentier n’ont pas souhaité faire de commentaire avant le délibéré de mercredi.

Nathalie Belhoste. 17/05/2022.