L’attaque NotPetya (2017), ou encore la compromission de la chaîne logistique SolarWinds qui en 2020 a touché 18 000 organisations, ont été depuis attribuées à des acteurs russes. Ces incidents illustrent comment un conflit géopolitique « latent » devenu depuis un conflit hybride internationalisé, peut se traduire par une cybermenace systémique pour les filiales de grands groupes et leurs chaînes d’approvisionnement constituées de PME. En réaction, les assureurs et réassureurs, se désengagent progressivement, et à juste titre, des risques systémiques liés à ces évènements.

Dans ce contexte, la porosité croissante entre conflits géopolitiques et cybermenaces (ex. : attaques parrainées par des États, ransomware ciblant les infrastructures critiques) impose aux PME et grands groupes de tout secteur et en particulier des secteurs essentiels (énergie, santé, transport) et des nouvelles technologies (cloud, IA, robotique) de repenser leur approche de la gestion des risques. Aussi, pour garantir la résilience d’une organisation, Cyber Risk Management, Compliance réglementaire (DORA, NIS 2, Directive IA…) et financement du risque (assurance, captives, fonds publics) doivent être intégrés dans une stratégie commune ce qui suppose le rapprochement des fonctions et de ceux et celles qui les incarnent, trop longtemps restés éloignés par des organisations en silos.

La stratégie commune reste à bâtir et, face à l’inconnu, quelle approche adopter lorsque la notion même de risques émergents intégrée dans les cartographies des risques des entreprises apparaît aujourd’hui comme insuffisante. Les méthodes qui accompagnent leur analyse, scenario probabilistes, veille technologique ou encore modélisation prédictive, échouent le plus souvent face à des risques, asymptomatiques, sans historiques, non linéaires ou systémiques. La crise Covid était un scenario jugé comme peu probable par l’OMS… dans leurs cartographies, les organisations redoutaient les catastrophes naturelles et les risques environnementaux, en ignorant les conséquences des risques de guerre en Europe ou au Moyen-Orient.

Les accélérateurs de l’inconnu, de nature technologique et sociétale, se combinent aujourd’hui et nous imposent de lever le voile de l’illusion du contrôle a priori : les organisations qui analysent les crises passées pour préparer l’avenir renforcent sans doute leur aveuglement aux disruptions du monde actuel. Les dernières Cyber Attaques accentuées par l’IA en sont une illustration, car paradoxalement et de façon contre-intuitive, plus un système est optimisé pour des risques connus, plus il est vulnérable à des attaques inédites.

Cette tendance pour les organisations à revoir leur modèle et investir plus massivement dans la résilience opérationnelle, appelle également à une accélération de la transformation du rôle des assureurs et des courtiers, qui ne cesseront pas pour autant leur mission de financement ou de placement, mais devrons mobiliser plus massivement leurs ressources pour accompagner les entreprises dans l’analyse de leurs expositions aux risques et leur prévention, par la proposition de services.

Anticiper l’inimaginable, explorer l’inconnu par de nouvelles méthodes, sont les nouveaux défis à relever par les organisations et les acteurs de la gestion et du financement des risques pour une résilience renforcées de nos sociétés.

Et si la meilleure façon de gérer les risques inconnus était de ne plus les considérer comme des risques… mais comme des opportunités de réinventer nos modèles ?