Au vu de la prévalence des attaques sur les infrastructures numériques des entreprises et de leur impact parfois fatal et souvent dramatique, les établissements de crédit prennent désormais en compte l'exposition de leurs clients aux risques de cybersécurité dans leurs conditions de financement. Mais le font-ils avec toute la transparence souhaitable ?
Une étude menée par des chercheurs de l'université catholique de Louvain sur un échantillon de données portant sur des opérations de crédit syndiqué aux États-Unis révèle ainsi que, dans leur ensemble, les organisations les plus sensibles aux menaces informatiques se voient proposer des taux d'intérêt d'emprunt supérieurs à la moyenne de 4 à 13 points de base, ce qui peut représenter un surcoût important sur la vie de la transaction, en centaines de milliers de dollars par an sur le segment considéré.
Si l'analyse porte sur une catégorie de prêts spécifique, dans un pays précis, le reste du marché serait présomptueux d'ignorer le phénomène. L'actualité montre régulièrement comment des sociétés en bonne santé se trouvent soudain en grandes difficultés, voire en cessation d'activité, à la suite de, par exemple, une fuite de données massive ou une tentative d'extorsion accompagnée d'un arrêt des systèmes, qui ruine la confiance des clients ou fait disparaître un patrimoine essentiel au fonctionnement de la firme.
C'est pour cette raison que les principales agences d'évaluation (Fitch, Moody's et S&P) intègrent depuis quelque temps une dimension de cybersécurité dans leur mesure du risque opérationnel. Malheureusement, les informations exploitées dans ce but sont généralement très parcellaires et d'une fiabilité variable, notamment quand elles sont purement déclaratives. Cette situation peut conduire les pourvoyeurs de crédit à masquer leurs pratiques ou les clients à les percevoir comme arbitraires.
La logique voudrait pourtant que le sujet soit mis en pleine lumière, autant pour la sérénité des acteurs de la finance que pour la bonne marche des entreprises. En effet, dans la plupart des cas, des démarches de sensibilisation ne suffisent pas à faire changer les habitudes, surtout dans des PME ou ETI où la pression du quotidien domine. Avant que survienne l'incident, déclencheur ultime de prise de conscience, peut-être la révélation de l'impact sur les frais d'emprunt pourrait-elle inciter à agir.
Cet effort de transparence pourrait en outre s'inscrire dans une approche pédagogique globale, comme semble l'appréhender JPMorgan Chase. Plutôt que de laisser les clients démunis face à leurs problèmes de cybersécurité, il serait plus opportun d'engager une conversation permettant d'ajuster les constats (en affinant les éléments de diagnostic) et d'accompagner une stratégie d'amélioration, bénéfique pour toutes les parties. Incidemment, ces échanges mériteraient aussi une participation de l'assureur...




















