L’assurance cyber est sur le point de craquer

C’est un constat plus qu’alarmant. Alors que les renouvellements de janvier 2022 s’annonçaient très compliqués pour les managers des risques en entreprises, la réalité est pire que prévu, notamment en ce qui concerne les polices d’assurance cyber. Toutes les entreprises sont concernées par une hausse significative des tarifs, à tel point que certaines estiment ne plus être en mesure de continuer à régler les sommes demandées.

«La hausse, à capacité constante, nous pouvons souvent l’estimer autour de 100%», confirme Mickaël Robart, directeur du département risques financiers de la ligne cyber chez le courtier Diot-Siaci. «Les clients qui nous sollicitent durant cette période de renouvellement ne comprennent pas. Si les augmentations annuelles des primes dans l’assurance sont classiques, ils font ici face à des refontes concernant les niveaux des primes, des couvertures, sans aucun débat. C’est du à prendre ou à laisser », abonde Eric Barbry, avocat associé chez Racines.

Voyants au rouge

La situation ne fait que confirmer les craintes des professionnels. Diot-Siaci anticipait dès juillet le durcissement du marché de l’assurance cyber et l’Association pour le management des risques et assurances de l’entreprise (Amrae) alertait déjà sur un doublement des tarifs des assureurs pour 2022. Mais la situation semble empirer. «Je me demande même s’il y aura un marché de l’assurance cyber l’an prochain», a déploré la semaine dernière lors d’une conférence de presse Oliver Wild, président de l’Amrae.

«Il y a cinq ans, les assureurs se bousculaient pour vendre des polices d’assurance cyber. Désormais, celles-ci se vident de leur substance. Au-delà des hausses tarifaires, le problème est la capacité et l’appétit des assureurs à prendre du risque», continue celui qui est aussi directeur des risques et de la coordination du contrôle interne de Veolia. Cette caractéristique a été décrite dès septembre 2021 par le courtier Gras Savoye Willis Towers Watson : dans une note de conjoncture sur les marchés de l’assurance 2022, il explique que cette situation de «hard market», qualifiant une hausse des tarifs et une baisse de la capacité, s’inscrit dans la durée.

Sinistralité et cercle vicieux

«A l’origine de tout cela il y a une réalité : la sinistralité n’a pas ralenti», rapporte Mickael Robart. Avec la pandémie et ses conséquences sur l’organisation du travail, les risques cyber n’ont jamais été aussi hauts. Presque la totalité est liée au cyberrançonnage. La question pour les entreprises n’est plus de savoir si elles seront touchées, mais quand, et si elles seront prêtes au moment voulu.

Pour autant, le désengagement est bien réel. «Trois acteurs majeurs sont capables de prendre une position de première ligne sur ce marché : AIG, Chubb et AGCS. Tous les autres cherchent des points d’attachement en franchise qui se déplace de plus en plus vers le haut», explique Mickael Robart. Un cercle vicieux se met en place : les assureurs de première ligne sont surexposés et continuent à prendre beaucoup de primes tout en réduisant leur capacité, d’environ 30% en 2021, après une baisse de 50% en 2020 en moyenne. Dans le même temps, tous les assureurs des lignes supérieures n’appliquent pas de dégressivité sur les taux de prime, ce qui pousse de plus en plus d’assurés à ne pas renouveler la totalité de la capacité de leur programme. En somme, l’assiette totale des primes, qui devrait augmenter pour permettre la mutualisation, se réduit au contraire ou n’augmente pas suffisamment pour créer une réelle mutualisation et un marché pérenne.

Pour les porteurs de risque, le coupable est la trop faible sensibilisation au risque des entreprises. «Les investissements en prévention et en protection sont toujours là. Les entreprises s’équipent notamment en ressources humaines. Mais sur le filet assurantiel, les trous sont béants», défend Oliver Wild. Mickael Robart décrit lui une situation paradoxale : «nous sommes dans une situation d’anti-sélection alors même que nous atteignons un niveau de granularité dans les informations demandées aux assurés sans précédent».

Des solutions

La solution pourrait se trouver dans les captives. L’Amrae estime qu’il s’agit d’une nouvelle structure de placements qu’il faut envisager face à la dégradation des couvertures. Alors que le gouvernement devrait réviser leur cadre fiscal dans l’Hexagone l’an prochain, les entreprises se tournent de plus en plus vers cette solution d’auto-assurance. Les courtiers ne s’y trompent pas : ils négocient souvent avec les assureurs grâce à ces captives qui permettent aux entreprises de porter une partie de leur risque sur les premières lignes. Mais cela ne diminue pas le prix pour les lignes supérieures et les franchises.

«Nous devons continuer à accompagner les entreprises pour améliorer leur résilience. En parallèle, il est nécessaire de ramener de la capacité sur le marché, notamment en faisant revenir les assureurs européens et français», juge plutôt Mickael Robart, qui souligne aussi un problème de souveraineté.

La direction du Trésor a lancé une concertation nationale, dont la boîte à idées était ouverte jusqu’au 31 décembre 2021, avec l’objectif de «construire une offre d’assurance cyber adaptée aux besoins de l’économie et aux enjeux de résilience». Elle doit annoncer un plan d’action début 2022. Sans se substituer au marché, la puissance publique sera sans doute amenée à intervenir. Entre une incitation fiscale ou un outil mutualisé spécifique pour porter le risque systémique, à l’image de ce qui existe pour le régime des catastrophes naturelles, les possibilités sont diverses. Axa avait déjà élevé la voix pour appeler à plus de coopération entre les assureurs privés et l’Etat sur le sujet. Il y a urgence.