Assurance cyber paramétrique chez Descartes

Après avoir défriché l'assurance paramétrique dans l'univers des risques climatiques, auxquels elle se prête tout particulièrement, Descartes déploie aujourd'hui, d'abord en France, son expertise dans un autre domaine émergent : la cybercriminalité. Son ambition est de capter 5% du marché hexagonal dans les 18 mois qui viennent.

L'enjeu n'échappe à personne, bien que pour beaucoup d'acteurs, il devienne difficile de proposer des couvertures adaptées dans des conditions viables. En effet, l'explosion des attaques contre les infrastructures informatiques des entreprises conduit les compagnies à augmenter leurs tarifs dans des proportions importantes. Conséquence directe de cette tendance… autant que d'une certaine inconscience du danger, 90% des PME françaises n'ont souscrit aucune garantie, alors que les mêmes facteurs démontrent qu'elle s'avèrerait potentiellement critique pour leur survie.

Afin d'être en mesure d'appliquer son modèle paramétrique, Descartes restreint (dans un premier temps ?) son champ d'action aux indisponibilités causées par les offensives de type rançongiciel. Estimées, en moyenne, à une durée de 21 jours pour une perte quotidienne de 800 000 euros, ces interruptions d'activité représentent les trois quarts de l'impact financier de ce genre d'incidents. Elles sont donc loin d'être négligeables et justifient largement le positionnement spécifique de la jeune pousse.

Au vu du contexte, la souscription du contrat est soumise à quelques contraintes. D'une part, les clients doivent adhérer à des principes minimaux de prévention, tels qu'ils sont préconisés par les normes internationales : protection des équipements (par antivirus, par exemple), désignation d'un responsable ou d'une cellule de cybersécurité, définition d'une politique de sauvegarde… D'autre part, le niveau d'indemnisation est établi à partir d'une étude complète de vulnérabilité, réalisée en collaboration avec l'assuré.

En revanche, une fois la démarche finalisée et la police formalisée (avec des clauses simples), les sinistres bénéficient du traitement réactif caractéristique de sa catégorie, même s'il n'est pas question de l'immédiateté à laquelle on l'associe généralement. Il est vrai que Descartes ne précise pas comment sa garantie est déclenchée, c'est-à-dire comment elle est capable d'automatiser la détection d'un événement éligible. Toujours est-il qu'elle promet un dédommagement sous trois semaines après la reprise d'activité, contre les longs mois requis par les opérateurs traditionnels.

L'argument est essentiel pour les organisations – notamment dans les secteurs manufacturier et du commerce de détail ciblés par Descartes – qui non seulement encourent des frais importants afin de surmonter une crise majeure (dont la rançon, le cas échéant) mais, surtout, subissent une perte de revenus considérable dans l'attente de la restauration de leurs capacités de production, dont on sait que ses conséquences sur leur trésorerie entraînent fréquemment la faillite à court ou moyen terme.

À travers son initiative pionnière, soutenue par sa maîtrise de l'analyse de données (et de l'intelligence artificielle, pour reprendre sa communication officielle), Descartes répond simultanément à deux défis cruciaux, voire vitaux, pour les PME, à savoir une offre d'assurance contre les cyber-risques difficilement accessible et la relative inefficacité des processus de gestion de sinistre historiques. Ce sont les mêmes recettes que pour ses solutions d'origine en matière de catastrophes naturelles et climatiques, qu'elle devrait encore décliner à l'avenir dans d'autres domaines.