Assurance Cyber : Les couvertures silencieuses en question

Dans sa dernière étude sur l'assurance cyber, l'agence Moody's pointe plusieurs freins au développement des assureurs sur un marché pourtant prometteur. Les couvertures silencieuses sont l'une des principales difficultés rencontrées par les compagnies.

Avec une explosion de la demande de couvertures depuis plus de quatre ans, les assureurs auraient pu trouver dans le risque cyber un important relai de croissance... mais il n'en est rien. Les problématiques de cumuls, notamment du fait de garanties mal positionnées ou de couvertures silencieuses, posent encore d'importantes difficultés aux compagnies, sur marché de la cyberassurance réduit mais très rentable (2Mds de dollars de primes rien qu'aux USA l'année dernière, en hausse de 26% depuis 2015).

Selon la dernière étude de Moody's Investors Services sur la cyberassurance, les compagnies peinent à identifier les polices les plus adaptées en fonction d'un risque de nature très changeante. « L'évaluation de la cyberexposition assurée est compliquée » indique l'agence de notation. Ainsi, les assureurs doivent faire le tri entre garanties cyber dédiées ou intégrées dans les polices d'assurances multirisques traditionnelles.

Les couvertures silencieuses en question

Autre problématique soulevée par Moody's, les couvertures dites «  silencieuse ». En cas de sinistres cyber, certaines conséquences peuvent alors être couvertes par des polices d'assurance dommages ou RC classiques, qui incluent ou excluent - de manière parfois implicite ou ambiguë - les cyber risques. « Par conséquent, une évaluation et une gestion précises de la cyberexposition constituent une priorité absolue pour les assureurs dommages, d’autant que les limites de garanties des polices traditionnelles sont souvent des multiples de celles prévues par les polices cyber dédiées », indique Moody's.

Si les nouvelles approches de souscription et de gestion des risques tendent à faire table rase des « silent cyber », les assureurs travaillent notamment à créer un inventaire des polices traditionnelles avec risques cyber intégrés. « Les compagnies déplacent le risque cyber vers des polices autonomes ou mettent en place de "cyber sous-limites". Les assureurs et les réassureurs travaillent également avec une modélisation des fournisseurs tiers [ndlr : des entreprises assurées] pour aider à dimensionner le risque », précise l'agence.

Les compagnies s'organisent

Alors que certaines compagnies comme Allianz (via AGCS) ont annoncé avoir pris des mesures contre les couvertures silencieuses lors de la souscription, le régulateur britannique (The Bank of England Prudential Regulation Authority) a demandé aux assureurs d'élaborer des plans d'action en ce sens. De même, le Lloyd's of London souhaite qu'en 2020, toutes les polices dommages first-party de ses compagnies membres soient transparentes pour éviter les cyberexpositions cachées.

« L'absence de politique uniforme et la nature évolutive du risque freinent la croissance de la cyberassurance en tant que produit d'assurance dédié. L'accumulation de risques potentiels constitue un autre défi, car un même événement peut affecter plusieurs clients, en particulier lorsque les entreprises passent à l'informatique en cloud. Pourtant, les perspectives de croissance de la cyberassurance sont prometteuses compte tenu de la nature changeante du risque, de l'omniprésence de la technologie, de la valeur de l'assurance en tant qu'outil de gestion des risques et de la réglementation en expansion, autant de facteurs qui stimulent la demande de couverture », conclut Moody's.