ATOUT RISK MANAGER LA REVUE DES PROFESSIONNELS DU RISQUE ET DE L’ASSURANCE TRIMESTRIEL • DÉCEMBRE 2015 • 20  € TTCN°7 PORTRAIT Véronique Lemoues Direction Appréciation des Risques et Assurances, Groupe Total DOSSIERS Solvabilité II Les Risk Managers face aux événements naturels MÉTIER RISK MANAGER REX : la prévention automobile Formations à la loupe : le master 218 de Paris Dauphine RM à l'international  : Brian W. Merkley, Huntsman VEILLE ET POSITION Le projet de règlement européen sur les données personnelles QUELLE QUE SOIT VOTRE ACTIVITÉ, NOUS LA PROTÉGEONS Solutions personnalisées pour transfert de risques, prévention, risk management et gestion des sinistres Nos 1 500 collaborateurs s’engagent à protéger votre activité sur le long terme. Grâce à notre réseau international, nous pouvons vous accompagner dans 150 pays. axa-corporatesolutions.com - © Photononstop 15_219_AXAC_press_ad_corporate_210x297_FR.indd 1 10/09/2015 16:04 Brigitte Bouquot, Présidente de l’AMRAE C hers tous, Ce numéro d’Atout Risk Manager clôture l'année 2015 qui restera, dans notre histoire, marquée par les deux attaques tragiques en France. Elles ont mis brutalement sous nos yeux la réalité des menaces et les enjeux géo­ politiques de la sécurité globale. Au nom de l’AMRAE, je tiens à redire toute notre compassion aux victimes des attentats, aux blessés et à leurs proches. L’AMRAE est mobilisée pour que les Risk Managers soient véritablement les acteurs de la résilience de leur entreprise, mais également du mode de vie en société auquel nous croyons et que nous voulons protéger. Avec la Cop21, cette année a vu aussi un accord universel pour limiter les conséquences du réchauffement climatique de notre planète, avec l’impérieuse inflexion de nos stratégies énergétiques et de nos modes de consommation. Les douloureuses questions migratoires auxquelles nous cherchons des réponses sont aussi liées aux enjeux environnementaux et géopolitiques. Elles préfigurent les futures réalités auxquelles nous serions confrontés si nous ne les maîtrisions pas. Pour les entreprises, ces enjeux interviennent dans une économie globale - fragilisée par la crise financière - qui subit les ruptures des technologies numériques. Elles sont certes porteuses d’immenses innovations mais aussi de risques émergents. Nous sommes entrés dans l’ère des grands risques systémiques : la communauté des Risk Managers doit relever le challenge. Atout Risk Manager est là pour les aider : ce numéro apporte des éclairages clés comme le témoignage des Risk Managers de Total, fleuron français de l’énergie engagé dans la COP21 , l’état des lieux des couvertures Assurances pour les Risques Cyber, et le dossier de fond sur l’application de Solvabilité II par les Assureurs. Mais au-delà de réponses sujet par sujet, il nous faut prendre de la distance pour appréhender toutes les dimensions de ces questions complexes, afin d’inscrire le Risk Management et les Assurances dans les solutions. C’est le sens que nous voulons donner à nos prochaines Rencontres « Climats à Hauts Risques  ». Vous souhaitant bonne lecture, je vous dis à très bientôt à Lille pour des Rencontres passionnantes. ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 3 ÉDITO QBE, assureur d’entreprises et expert des ETI et PME,  développe des solutions innovantes pour vous permettre  d’accompagner vos clients dans la gestion de leurs risques.  Grâce à une meilleure compréhension du profil de risques  de vos clients, QBE vous propose des solutions d’assurance  compétitives et adaptées. Retrouvez toute notre of re : www.QBEfrance.com QBE, plus qu’un assureur, votre partenaire en gestion de risques. © Getty Images  Courtiers.Les risquesde vos clientssont-ils souscontrôle ? LA REVUE 210x297.indd 2 30/09/2015 11:24 ÉDITO ........................................................................................................................................................... 3 PORTRAIT ............................................................................................................................................... 6 Véronique Lemoues, Directeur Appréciation des Risques et Assurances, Groupe Total ACTEURS EN VUE ...................................................................................................................... 11 DOSSIER ................................................................................................................................................... 15 Solvabilité II : un véritable tournant dans la gestion des risques DOSSIER ................................................................................................................................................... 27 Les risques environnementaux : les Risk Managers face aux événements naturels À L’AFFICHE ........................................................................................................................................ 35 MÉTIER RISK MANAGER .................................................................................................. 36 Risk Manager à l’international : l'alchimiste de l'ERM................................................................................. 36 Ils l’ont vécu : mise en place de formations à la prévention automobile ........................................ 40 Formation à la loupe : le master 218 de Paris-Dauphine ........................................................................... 44 Initiatives ........................................................................................................................................................................................ 46 PRODUITS ET SERVICES ................................................................................................. 48 Cyber Risks : un marché en développement mais qui manque de maturité VEILLE ET POSITION ............................................................................................................ 56 Le projet de règlement européen sur les données personnelles ACTUALITÉ DE L’AMRAE ................................................................................................. 58 Le séminaire de rentrée de l’AMRAE ........................................................................................................................... 58 Événements ................................................................................................................................................................................... 59 Régions .............................................................................................................................................................................................. 63 Publications AMRAE ................................................................................................................................................................. 65 NOS PARTENAIRES .................................................................................................................. 69 BULLETIN D’ABONNEMENT ......................................................................................... 70 Directeur de la publication : Brigitte Bouquot Directrice de la rédaction : Bénédicte de Luze Comité éditorial : Bénédicte de Luze, Sophie Maguer, Hélène Dubillot, Olivier Coppermann, Louis Favrot, Gilbert Canaméras, Anne Piot d'Abzac, Catherine Véret Jost, Simon Embarck Conception et coordination éditoriale, secrétariat de rédaction : SEITOSEI Ont contribué à ce numéro AMRAE : Bénédicte de Luze, Louis Favrot, David Kapp, Garance Mathias, Gaëlle Carcaly Journalistes : Anne-Sophie David, Florence Puybareau, Gilmar Sequeira Martins Merci à tous les interviewé(e)s qui ont rendu possible ce numéro. Création et mise en page : Valérie Mounier - www.ikkomoon.com Crédits photos : Marc Verneret, SEITOSEI, Fatima Jellaoui (Total) Relations presse de l’AMRAE : amrae-presse@seitosei.fr - 06 07 25 04 48 Régie Publicitaire : FFE 15 rue des Sablons 75116 Paris - www.ffe.fr Directeur de la publicité : Patrick Sarfati Chef de publicité : Caroline Martin Tél. : 01 40 09 66 18 - caroline.martin@ffe.fr Responsable technique : Sophie Rigal Tél. : 01 53 36 37 85 - sophie.rigal@ffe.fr Service journalistique : Hannibal + Impression : Imprimerie de Champagne 52200 Langres Commission paritaire : 0716 G 92388 Dépôt légal : Décembre 2015 ATOUT RISK MANAGER L A REVUE DES PROFESSIONNELS DU RISQUE ET DE L’ASSURANCE TRIMES TRIEL • DÉCEMBRE 2015 • 20 € TTCN°7 ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 PORTRAIT Véronique Lemoues Direction Appréciation des Risques et Assurances, Groupe Total DOSSIERS Solvabilité II Les Risk Managers face aux événements naturels MÉTIER RISK MANAGER REX : la prévention automobile Formations à la loupe : le master 218 de Par is Dauphine RM à l'international : Br ian W. Merkley, Huntsman VEILLE ET POSITION Le projet de règlement européen sur les données personnelles ATOUT RISK MANAGER est une revue de l’AMRAE, 80 boulevard Haussmann 75008 Paris Tél. : 01 42 89 33 16 atoutriskmanager@amrae.fr Toute reproduction, même partielle, des textes publiés dans la revue «  ATOUT RISK MANAGER  » est interdite pour tous les pays, sans autorisation écrite préalable du Directeur de publication. Toute copie doit avoir l’accord du Centre français de droit de copie (CFC), 20, rue des Grands-Augustins, 75006 Paris, tél. : 01 44 07 47 70, fax : 01 46 34 67 19. Cette publication peut être utilisée dans le cadre de la formation permanente. L’éditeur s’autorise à refuser toute insertion qui semblerait contraire aux intérêts moraux ou matériels de la publication. Sauf accords spéciaux, les manuscrits, textes et photos envoyés à la rédaction ne sont pas restitués. La citation de marque, nom de firme, etc., est faite sans but publicitaire et ne signifie en aucun cas que les procédés soient tombés dans le domaine public. 5 SOMMAIRE L e géant industriel exerce aujourd’hui plusieurs métiers : explo- ration et production d’hydrocarbures, commerce / transport / transformation du brut, du gaz et des produits pétroliers, pétrochimie, activités de chimie de spécialités. Il est désor- mais numéro 2 mondial de l’énergie solaire à travers sa filiale SunPower. Un modèle intégré que certains mastodontes du secteur de l’énergie ont choisi d’abandonner au moment où le prix du brut était au plus haut, mais que Total a choisi quant à lui de maintenir. L’étendue et la diversité des activités du Groupe ont façonné son approche du risque. La Direction Appréciation des Risques et Assurances Groupe (DARAG) a d’ail- leurs soufflé l’an dernier ses 40 bougies. « Total a été le premier groupe à avoir une entité assurances Groupe à vocation mondiale et toutes branches confondues  », rappelle ainsi Véronique Lemoues, qui pilote aujourd’hui cette Direction. Concernant le modèle intégré, Véronique Lemoues ajoute : «  nous sommes heureux de ce modèle intégré, d’autant plus dans une période de bas prix du baril, cet équilibre permet de maintenir un bon résultat grâce à nos activités de raffinage et de pétrochimie, ainsi que nos réseaux de distribution (stations-services) ». Au sein du Groupe, la DARAG est rattachée au Directeur Financier. LA GESTION DES RISQUES DANS L’ADN DU GROUPE « En terme de Sinistres, nous avons connu une période diffi- cile, notamment en 2012 avec la fuite de gaz sur la plate- forme d’Elgin en Mer du Nord britannique. Nous avons fait beaucoup de progrès depuis en termes de sécurité indus- trielle. Nous avons des programmes en matière de safety qui sont régulièrement réévalués et notre management est très engagé  ». Pour preuve : «  chaque présentation du DG démarre aujourd’hui par un rappel des résul- tats du groupe en matière de sécurité industrielle et chaque réunion doit comporter un safety moment  », souligne Véronique Lemoues. Pour traiter les risques importants, la DARAG dispose d’une équipe d’ingénieurs «  prévention  » et de deux départe- ments «  souscription d’assurances  », chacun s’occupant d’une moitié de la planète. VÉRONIQUE LEMOUES, DIRECTEUR APPRÉCIATION DES RISQUES ET ASSURANCES, GROUPE TOTAL DANS UN MONDE DE BRUT La Direction Appréciation des Risques et Assurances du Groupe Total (DARAG) a été créée en 1974. Gérard Naisse, à sa tête pendant plus de vingt ans, vient de céder sa place à Véronique Lemoues, entrée dans le Groupe en 2001. Témoignage de Véronique Lemoues, Directeur Appréciation des Risques et Assurances, Groupe Total « Nos ingénieurs visitent les sites avec les assureurs, les responsables HSE des branches et des usines, et participent à l’amélioration de la prise en charge des risques et des plans de prévention.  » Par Anne-Sophie David BIO EXPRESS Atypique chez Total et atypique en tant que Risk Manager, Véronique Lemoues est juriste de formation et, comme si elle pressentait qu’un jour elle intègrerait ce géant de l’énergie, elle est titulaire de deux DESS : un en Droit des assurances, l’autre en Droit de l’énergie. Véronique Lemoues a toujours travaillé avec les Risk Managers. Après le GACI, elle rejoint, en 1987, le courtier Cecar (devenu depuis Marsh France). Elle y prendra rapidement la Direction du Service Sinistres Grands Comptes. Arrivée chez Total en avril 2001, elle y fait ses armes en commençant par la gestion de l’indemnisation civile du sinistre de Toulouse. Elle sera ensuite nommée à la tête de l’un des Départements Souscription Assurances.ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 6 PORTRAIT LA CAPTIVE OMNIUM REINSURANCE COMPANY SA Total a été le premier groupe français à mettre en place une captive en 1973. C’est l’outil opérationnel de la DARAG pour le placement des risques du Groupe. Cette captive intervient sur l’ensemble des programmes de transfert de risques. «  Si c’est relativement facile dans les pays de l’OCDE - car il suffit de nommer un assureur de fronting qui est souvent notre captive directe (Pan Insurance) -, dans les pays non OCDE, cela se fait par des accords, soit avec les compagnies nationales locales soit avec les filiales de compagnies pétrolières qui ont elles-mêmes créé leurs captives  », explique Gérard Naisse, précé - dent Directeur de la DARAG et qui dirige aujourd’hui la captive. « Nous dimensionnons la rétention de la captive en fonction de différents para - mètres : marché soft ou pas, capacités,… et ensuite nous transférons, grâce à la captive, un accès direct au marché de la réassurance  », poursuit Gérard Naisse ajoutant que «  ce que nous voulons, in fine, c’est que les risques du Groupe soient couverts selon nos standards, lesquels sont approuvés chaque année par le Conseil d’Administration  ». La captive se réassure auprès de la mutuelle de l’industrie pétrolière, Oil Insurance limited, dont Gérard Naisse est l’actuel Président du Conseil d’administration, et auprès du marché commercial. Les avantages de cette captive ? « Elle nous permet de bénéficier pleine - ment de l’effet d’échelle et d’avoir une transparence au niveau des coûts car 100 % des risques passent par cet outil  ». Gérard Naisse ajoute qu’elle permet de donner des garanties à la Direction Générale que toutes les filiales et acti - vités sont couvertes selon les standards du Groupe, «  elle permet une optimisation au niveau des flux financiers et des coûts de réassurance ». Les visites des installations onshore sont confiées à Marsh Londres, «  mais nos ingénieurs accom- pagnent toujours les prestataires sur sites », tient- elle à ajouter. Les rapports sont ensuite débriefés, approuvés et validés par les sites et les filiales. DES DÉCISIONS D’ASSURANCE DICTÉES PAR DES ENJEUX DE VALEURS Dans le domaine IARD, c’est le dommage aux installations qui constitue pour Total le principal risque  : installations terrestres du raffinage et de la pétrochimie (onshore), procédant de scéna- rios d’explosion d’un nuage de gaz (Vapor Cloud Explosion) ; ou installations des activités d’ex- ploration-production qui, elles, se situent majo- ritairement en mer (offshore). Dans ce domaine, le risque de dommages aux tiers (responsabilité civile) et les risques environnementaux sont également considérés majeurs. Les périls sont relativement classiques pour un groupe industriel mais leur spécificité majeure dans le cas du groupe Total réside dans leur magnitude élevée en raison de la valeur des installations (se comptant souvent en plusieurs milliards de dollars), de la dangerosité de certains produits et des risques de pollution. L’exemple récent du sinistre catastrophique de BP dans le Golfe du Mexique (Macondo) est là pour rappeler la nature et l’importance des risques de l’industrie pétrolière. En matière de pertes d’exploitation, le Groupe assure certaines de ses installations (principale- ment les raffineries et les usines pétrochimiques). Au regard de ses actifs, cette couverture PE reste néanmoins limitée car elle ne comprend pas les actifs d’exploration-production. La raison ? «  C’est un problème d’enjeu  », explique Véronique Lemoues. Si, à une certaine époque, le Groupe a couvert le risque PE de manière plus large, « il ne le couvre plus depuis 2005 car le rapport qualité/prix n’était pas intéressant. » Elle ajoute d’ailleurs que «  les groupes pétroliers ne couvrent plus, aujourd’hui, la perte de produc- tion sur leurs actifs exploration-production. » Autre risque important pour un groupe comme Total qui compte pas moins de 100  000 collabo- rateurs dans le monde : le risque lié à la mobi- lité internationale et à la sécurité des expatriés. S’il est «  drivé » par les RH, Véronique Lemoues explique que «  la DARAG intervient pour le place- ment de tout ce qui relève de l’assurance. Il existe d’ailleurs des couvertures dédiées pour les expa- triés, qui sont gérées directement dans l’équipe “Assurances de personnes”  ». Ce risque est donc, in fine, dans les mains de trois directions  : les RH, la DARAG et la Sûreté. Le risque de réputation peut se retrouver égale- ment indirectement dans le scope de la DARAG qui le gère conjointement avec la direction de la communication. RETARDS ET DYSFONCTIONNEMENTS DE PRODUCTION : DES RISQUES EN RÉTENTION Le Groupe a connu un certain nombre de succès en 2015 : renouvellement de sa concession à Abu Dhabi, entrée en production de gisements importants comme en Russie ou en Australie. Quelques projets ont connu des retards, dont les conséquences financières éventuelles ne sont pas assurées  : projet de gaz naturel liquéfié Ichthys en Australie et Martin Linge en Norvège. Autre difficulté  : le projet de Kashagan dans la mer Caspienne (Kazakhstan). Une partie du réseau pipe lines doit être changée pour que le Groupe puisse espérer, à terme, une «  super » production de 300  000 barils par jour. «  Pour les travaux de reprise des dysfonctionnements, une notification aux assureurs potentiellement concernés a été faite par les partenaires », précise Véronique Lemoues. UNE GOUVERNANCE DES RISQUES FRÉQUEMMENT REVISITÉE La gestion financière des risques Prévoyance et Retraite est du ressort de la DARAG avec la charge du suivi actuariel et financier de l’ensemble des régimes externalisés de retraite. Une organisation qui s’explique facile- ment car cette direction «  rapporte à la direction financière. Nous comptons d’ail- leurs des financiers dans l’équipe ». Une équipe, in fine, très plurielle de juristes, financiers et ingénieurs. Gérard Naisse, President & CEO de Omnium Reinsurance Company SA « Nous suivons le risque de réputation à travers la manière dont nous conduisons la gestion de l’in­dem­ni­sation des tiers en cas de sinistre médiatisé. »ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 7 ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015PORTRAIT La DARAG participe aux deux comités des risques de Total. Le «  Comité Risques Groupe  », se réunit tous les trois mois pour discuter des risques au niveau macro (cartographies, contrôle des systèmes de Management des Risques,…). Animé par le Secrétaire Général du Groupe, ce Comité réunit notamment les direc- tions Juridique, Développement durable, RH, Achats, Audit, Stratégie, Sécurité et Sûreté, Relations institutionnelles ainsi que les repré- sentants des branches d’activité. Le second, dit Corisk, planche quant à lui tous les quinze jours sur les risques opérationnels. « Ce comité fait un “screening” des projets avant qu’ils ne passent en Comex  », précise la directrice Appréciation des risques et Assurances. ASSURANCE ET COURTAGE : AUSCULTER CAPACITÉS, RATINGS ET SPÉCIALISATION Le Groupe trouve essentiellement ses couver- tures sur le marché de Londres et plus géné- ralement sur le marché international de la réassurance. «  C’est la somme à assurer qui fait la différence avec ce que l’on pourrait trouver en France », explique Véronique Lemoues. Côté assureurs, ils sont nombreux à travailler avec la DARAG : Allianz, Scor, Swiss Re, Zurich, AIG, Mapfre, ACE, QBE pour ne citer que ceux-là. Côté courtiers, les programmes de réassu- rance de la captive sont majoritairement dans les mains d’AON Houston. Le «  servicing  » des programmes mondiaux d’assurance directe est assuré par Marsh Paris. Total a choisi Gras Savoye pour un de ses programmes africains et Diot pour ses polices dédiées à sa flotte automo- bile en France. «  Les polices flotte auto sont typiquement le genre de couverture que nous laissons le soin aux filiales d’acheter dans leur pays. Mais nous sommes toujours à leur dispo- sition pour relire avec elles les contrats. Nous travaillons aussi avec SIACI dans le domaine du transport et de la construction, ainsi qu’avec Willis et Marsh Londres. Les grands projets de construction font l’objet d’appels d’offres.  » UNE DIRECTION INTERACTIVE À DOMINANTE ASSURANTIELLE Dans ses échanges au sein des deux Comités des risques et dans la supervision individuelle des filiales et des projets, la DARAG a de multi- ples interactions avec les autres directions du Groupe. «  Nous avons nos principales inte- ractions avec les équipes HSE des branches (pour la prévention des risques industriels), la direction Juridique (pour l’équilibre des allo- cations de risques dans les contrats), la direc- tion Financière et l’audit mais nous travaillons évidemment aussi avec les directions opération- nelles », explique Véronique Lemoues. Si Véronique Lemoues relève la tendance forte mais pas systématique à la concentra- tion de la fonction sur une même tête comme le montre le baromètre AMRAE (assurance et Risk Management), «  au sein d’un groupe comme Total, je ne vois pas de grand boule- versement car la maison est très grande. Nous n’aurons jamais une seule et même direction pour les assurances, la gestion des risques, la stratégie et l’audit et nous aurons toujours cette connotation dominante en assurance.  » AMRAE, CANAL HISTORIQUE Véronique Lemoues connaît de près l’associa- tion : elle fut le délégué permanent du GACI (qui après sa fusion avec l’Acadef est devenue l’AMRAE) dont le Président n’était autre que le Risk Manager de Total à l’époque. Aujourd’hui, la DARAG compte un collabo- rateur très impliqué dans les travaux de l’AMRAE. Guy-Louis Fages est en effet le très actif président de la Commission Transports. Pour le reste Total n’y est pas très investi, même si, compte tenu de son importance, le Groupe a à cœur d’assister chaque année aux Rencontres. La raison est que, très posi- tionné sur «  Energy  », ce marché si spécifique de (re)assurance, Total ne trouve pas vérita- blement d’échos à ses préoccupations dans une association au prisme essentiellement français et qui pourrait encore plus étoffer son approche vers l’industriel.  CA en 2014 : 236,1 milliards de dollars (177,7 milliards d'euros) Plus de 100 000 collaborateurs dans le monde (130 nationalités) Présence dans plus de 130 pays Groupe intégré organisé autour de 3 branches :  Exploration-Production et Gaz  Raffinage-Chimie et Trading-Shipping  Marketing & Services et Énergies Nouvelles QUELQUES DATES CLÉS L’histoire de Total débute en 1924 lorsque Raymond Poincaré, alors président du Conseil de la III e République, fonde la Compagnie française des pétroles (CFP), société qui fait son entrée en Bourse dès 1929. En 1985, elle devient Total-CFP puis Total en 1991, avant de fusionner en 1999-2000 avec Petrofina et Elf Aquitaine pour former le Groupe d’aujourd’hui. DIRECTEUR SECRÉTAIRES CONSEILLER Risk Management & Sinistres Dommages Équipes Équipes Équipes Équipes Équipes Canada/Amérique Latine, Asie/Australie, Afrique (hors Angola), Moyen Orient + Trading Europe, États-Unis, Russie / CEI, Angola + Responsabilité civile ORC – Genève Assurance de Personnes & Assets Management ORGANIGRAMME DE LA DARAGATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 8 PORTRAIT naudet-forensics est implanté à Paris et à Londres pour vous accompagner dans l’analyse technique et financière. naudet forensics paris 152 avenue de Malakoff - 75116 Paris tél. : +33 1 45 26 90 83 - fax : +33 1 40 16 03 83 mail : patrice.huver@naudet.fr - www.naudet.fr naudet forensics london 1-2 Broadgate Circle - 2nd Floor - London, EC2M 2QS - UK Tél. : + 44 7746 373 641- Fax : + 44 203 655 2101 mail: frederique.hardy@naudet-forensics.com naudet forensics, votre partenaire pour l’analyse des causes et l’évaluation du préjudice financier Patrice Huver à Paris Expert Mécanique & Matériaux Membre du Comité Européen de normalisation CENPC405 Expertise Services Frédérique Hardy à Londres Forensic accountant, FCA, specialisée dans le calcul du préjudice économique 20150036-NaudetARM07ok.indd 1 13/11/2015 12:06 SMART for Business by AIG Enfin une application vidéo pour les risques d’entreprises ! *Disponible gratuitement sur smartphones et tablettes SMART for Business est une innovation AIG pour accompagner les entreprises, et principalement les PME, dans la couverture de leurs principaux risques. Gratuite, pratique et simple d’accès, la nouvelle application mobile SMART for Business restitue toute l’expertise des risques d’entreprises d’AIG sous forme d’infographies vidéo. Cette application vous permet aussi de commenter et noter les vidéos, ou encore de contacter directement les équipes AIG. Téléchargez SMART for Business sur votre smartphone ou votre tablette en recherchant « AIG for Business », sur App Store ou Google Play*. Encore plus d'information sur le site www.aig.com/fr Apple, le logo Apple, iPad et iPhone sont des marques déposées par Apple Inc., enregistrées aux États-Unis et dans d’autres régions. App Store est une marque d’Apple Inc. Google Play est une marque déposée de Google Inc. Les assurances sont fournies par AIG Europe Limited, membre du Groupe AIG Inc. L’offre est susceptible de varier selon les pays et peut ne pas être disponible dans tous les pays européens. Pour plus d’informations, vous pouvez visiter notre site Internet : www.aig.com Prêts pour demain Vous souhaitez devenir adhérent de l’AMRAE, contactez-nous par e-mail : axel.boleor@amrae.fr ILS ONT REJOINT L’AMRAE NOUVEAUX ADHÉRENTS DEPUIS SEPTEMBRE Lionel ABOT, Responsable contrôle interne & gestion des risques, EDF DPNT Anne AUFRERE, Chef du service Assurance et Financement, ARIANESPACE Abdel BENCHEIKH, Membre Honoraire, ABDEL BENCHEIKH Elias BENDAYAN, Insurance, VIRBAC Raphaël BÉREAU, Responsable Conformité et Contrôle Interne, GROUPE PASTEUR MUTUALITÉ Laurent BRIZIOU, Président, EXAEGIS Denis CHEMIN, Président, CHEM-IN EXPERTISES Edouard CONVAIN, Responsable continuité d'activité et gestion de crise, GIE AG2R REUNICA Philippe COTELLE, Risk Manager, AIRBUS DEFENCE AND SPACE Jason CRUMLEY, Risk Manager, ARAYMOND Christophe CUVELIER, Consultant, INSTI7 Nicolas DE BARRAU, Président, FRESCHET EXPERTISES François-Xavier DE BECDELIEVRE, Auditeur, UNEDIC Armelle DEBUCHY, Avocat, DPV AVOCATS Nicolas DESPRETS, Corporate Risk Manager, SCHNEIDER ELECTRIC Fabienne DEVANCE, Chargé de mission Risk Management, RATP Nathalie DUBOIS, Directrice juridique corporate, TF1 Alexandre DUBUS, Responsable qualité, INRS Françoise EON, Risk Manager, SNCF Géraldine EYRAUD, Chief Human Resources Officer, ARAYMOND Francesc FARRAS, Business Intelligence Officer, ARAYMOND Jean FOURNIER, Directeur Général, GLOBAL AEROSPACE Jérôme FRECAUT, Directeur Audit et Risques, EGIS SA Rodolphe GARNIER, Directeur de l'Audit Interne, VALEO Fabrice HAGEGE, Avocat, 0TLJ & ASSOCIÉS Marion KAMPMANN, Risk Manager, SCHNEIDER ELECTRIC Pascal KEREBEL, Consultant manager, CEGOS Eric Jacques KIMBEMBE, Directeur administratif et financier, HOLOSFIND Stephanie KLEINMANN, Responsable Management Risques et assurances Groupe, HAGER ELECTRO SAS Philippe LABAU, Directeur général, PHILIPPE LABAU : GESTION DE RISQUES, CONSEIL EN ASSURANCES Gregory LALO, Deputy Head of Insurance and Prevention, SOLVAY SA Christian LAMBARD, Avocat, TLJ & ASSOCIÉS Caroline LANSELLE, Risk Manager, POSTE IMMO Jean LARROUMETS, Directeur Associé, FIDENS Christophe LE BARS, Group Human Resources Director, CEGOS Denis LE BRUMANT, Auditeur National, UNEDIC Julien LECAT, Avocat associé, BIGNON LEBRAY AVOCATS Christine LETEXIER, Chargée d'assurances, PEUGEOT CITROËN AUTOMOBILES PCA Souaade LOUAFI CHENTR, Chargé de risque assurances, BOUYGUES IMMOBILIER Myriam NENNOUCHE, Juriste expert en Droit public (Conseil et Contentieux), PORTS DE PARIS Séverine PREVOST, Responsable des Assurances, KAUFMAN & BROAD Jean-Luc QUENEC, HDU Managing Consultant, GLOBAL RISK CONSULTANTS Hervé ROCHÉ, Directeur Technique, COFELY AXIMA PROTECTION INCENDIE Jean-François ROUDAUT, Director of Enterprise Risk Management, CGG SERVICES SA Régis SERVADIO, Risk Manager Europe Continentale ACE EUROPEAN GROUP LTD Pierre TORREGANO, Avocat au Barreau de Paris CABINET TORREGANO AVOCATS Papa Sadio TRAORE, Analyste Risques, BANQUE DE DÉVELOPPEMENT DU MALI Ariane TROUILLET-MAURIN, Risk Manager Assurances, SUEZ ENVIRONNEMENT COMPANY Didier VIDAL, Chief Risk Management Officer, ARDAGH SERVICES FRANCE SAS SMART for Business by AIG Enfin une application vidéo pour les risques d’entreprises ! *Disponible gratuitement sur smartphones et tablettes SMART for Business est une innovation AIG pour accompagner les entreprises, et principalement les PME, dans la couverture de leurs principaux risques. Gratuite, pratique et simple d’accès, la nouvelle application mobile SMART for Business restitue toute l’expertise des risques d’entreprises d’AIG sous forme d’infographies vidéo. Cette application vous permet aussi de commenter et noter les vidéos, ou encore de contacter directement les équipes AIG. Téléchargez SMART for Business sur votre smartphone ou votre tablette en recherchant « AIG for Business », sur App Store ou Google Play*. Encore plus d'information sur le site www.aig.com/fr Apple, le logo Apple, iPad et iPhone sont des marques déposées par Apple Inc., enregistrées aux États-Unis et dans d’autres régions. App Store est une marque d’Apple Inc. Google Play est une marque déposée de Google Inc. Les assurances sont fournies par AIG Europe Limited, membre du Groupe AIG Inc. L’offre est susceptible de varier selon les pays et peut ne pas être disponible dans tous les pays européens. Pour plus d’informations, vous pouvez visiter notre site Internet : www.aig.com Prêts pour demainATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 11 ACTEURS EN VUE MOUVEMENTS EN VUE Trophée de la femme dans l’assurance « Au Trophée de la femme dans l’assurance  » organisé par l’Argus de l’Assurance, les lauréates 2015 de la catégo - rie Risk Management sont Laurence Delaire, Directrice des Assurances du groupe Engie, ex aequo avec Marie Grison, Directrice des risques de CNP Assurances. François Malan, Vice-Président de l’AMRAE en charge du métier Risk Manager était membre du jury. Le 7 décembre 2015 «  La gestion du risque Supply Chain dans l’en- treprise  », publié par l’AMRAE en partenariat avec Kyu Associés, a remporté le Prix «  Coup de cœur  » lors du Grand Prix ACA-Bruel, organisé par quatre asso­ ciations représentant les Directeurs Achats et Suppy Chain de France. Une con­sé­cration et une reconnaissance supplémentaire de la production scientifique de l’AMRAE. Fabrice Morgaut est le nouveau Directeur Risques et Assurances de la Compagnie des Alpes. Précédemment Insurance and Risk Manager de Transdev et participant actif du groupe de Travail sur les Cyber Risks de l’AMRAE, Fabrice Morgaut est depuis le 1 er novembre le nouveau Directeur Risques, Assurances et Gestion de crise de la Compagnie des Alpes, le leader mondial de l’exploitation de domaines skiables (Tignes, Val d’Isère, la Plagne…) qui compte également dans son portefeuille d’activités le parc Astérix, Futuroscope ou les musées Grévin. Il sera rattaché à la Direction financière. Jochen Koerner devient Directeur général adjoint de Marsh France. Titulaire d’un Master in business de l’Université de Francfort et d’un MBA de l’Ashridge Management College au Royaume Uni, Jochen Koerner a rejoint Marsh en 1997, où il développe une expertise pointue du Risk Management et des technologies. Il est nommé Directeur régional du centre de l’Allemagne en 2005 et prend le rôle de Sales leader de Marsh Allemagne en 2009. En qualité de Directeur général adjoint, il rejoint donc le Comité exécutif de Marsh Europe et de Marsh Allemagne. Il est également un membre actif d’Atlantik Brücke, de l’American Council of Germany et de la Chambre améri- caine de commerce en Allemagne. ILS ONT BOUGÉ ADHÉRENTS AMRAE DANS UNE NOUVELLE ENTREPRISE Maud GALARD, Responsable assurances groupe d’In Vivo Group - Précédemment chez PEUGEOT CITROËN AUTOMOBILES PCA Thomas LELONG, Responsable assurances de Petit Forestier - Précédemment chez ELIS SERVICES Yvon MARTINET, Avocat associé de DS Avocats - Précédemment chez SAVIN MARTINET ASSOCIÉS De gauche à droite : Thibaud Moulin, Bernard Alberti, Laurent Giordani, Kyu Associés, Anne- Marie Fournier, Vice-présidente en charge du Pôle Scientifique de l’AMRAE. ©François Girard Le livre sur la gestion du risque Supply Chain dans l’entreprise, coup de cœur du Grand Prix ACA-Bruel De gauche à droite, Laurence Delaire du groupe Engie, Kadidja Sinz de XL Catlin France, Marie Grison de CNP Assurances. Vous connaissez votre entreprise mieux que personne: son marché, ses clients, ses concurrents. Mais surtout,  vous connaissez les risques qui la menacent. Chez Swiss Re Corporate Solutions, nous avons la solidité fi nancière  et la capacité de prendre en charge ces risques pour les entreprises, où qu’elles soient dans le monde. Mais ce  n’est qu’une partie de la démarche. Que ces risques soient simples ou plus complexes, que la réponse à apporter  soit standard ou bien personnalisée, nous pensons qu’il n’y a qu’une façon d’arriver à la bonne solution: travailler  de concert en combinant votre expérience et notre expertise, vos forces et nos compétences. Parce que seules les  relations à long terme donnent des résultats à long terme.    *We’re smarter together. swissre.com/corporatesolutions A4 + 5mm bleed - CMYK PDF -  File: ARM-15-0XXXX-P1_CS_Generic_ATOUT_Risk_AMRAE-French-12-4.indd. Swiss Re Corporate Solutions propose les produits ci-dessus par l’intermédiaire de compagnies d’assurance, autorisées à exploiter le type d’assurance ou de réassurance considéré  dans certains pays. La disponibilité des produits varie selon les pays. Cette communication n’a pas pour objet d’inciter à acheter des produits d’assurance ou de (ré)assurance.  *Ensemble, soyons brillants. Votre  vision La meilleure  protection partout  dans le monde Nos forces et  expertises ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 12 ACTEURS EN VUE Vous connaissez votre entreprise mieux que personne: son marché, ses clients, ses concurrents. Mais surtout,  vous connaissez les risques qui la menacent. Chez Swiss Re Corporate Solutions, nous avons la solidité fi nancière  et la capacité de prendre en charge ces risques pour les entreprises, où qu’elles soient dans le monde. Mais ce  n’est qu’une partie de la démarche. Que ces risques soient simples ou plus complexes, que la réponse à apporter  soit standard ou bien personnalisée, nous pensons qu’il n’y a qu’une façon d’arriver à la bonne solution: travailler  de concert en combinant votre expérience et notre expertise, vos forces et nos compétences. Parce que seules les  relations à long terme donnent des résultats à long terme.    *We’re smarter together. swissre.com/corporatesolutions A4 + 5mm bleed - CMYK PDF -  File: ARM-15-0XXXX-P1_CS_Generic_ATOUT_Risk_AMRAE-French-12-4.indd. Swiss Re Corporate Solutions propose les produits ci-dessus par l’intermédiaire de compagnies d’assurance, autorisées à exploiter le type d’assurance ou de réassurance considéré  dans certains pays. La disponibilité des produits varie selon les pays. Cette communication n’a pas pour objet d’inciter à acheter des produits d’assurance ou de (ré)assurance.  *Ensemble, soyons brillants. Votre  vision La meilleure  protection partout  dans le monde Nos forces et  expertises  01/2015 PRÉVOYANCE ET SANTÉ       IARD   VIE, ÉPARGNE, RETRAITEIARD   VIE, ÉPARGNE, RETRAITEIARD   VIE, ÉPARGNE, RETRAITE Accompagner les professionnels de l’assurance par une approche globale  s’appuyant sur une complémentarité conseil-logiciel Construire des solutions techniques et innovantes sur mesure dans le cadre d’un partenariat  stratégique Actuariat Stratégie Produits Conformité Solvabilité 2 Gestion des risques Communiquer l’expérience et l’expertise  d’équipes pluridisciplinaires au  savoir-faire incontournable : Cabinet International de conseil en actuariat Editeur de logiciels actuariels pour l’assurance et la finance Paris – Lyon – Bruxelles – Madrid – Amsterdam - Bogotà ACTUARIS PARIS – Tél : +33 (0)1 56 89 07 70 ACTUARIS LYON – Tél : +33 (0)4 72 18 58 58 www.actuaris.com Annonce presse Instit_062015_A4.indd 1 05/11/2015 14:26 DOSSIER SOLVABILITÉ II : UN VÉRITABLE TOURNANT DANS LA GESTION DES RISQUES Après plusieurs années de report, la réglementation européenne qui touche l’ensemble du secteur de l’assurance prend effet le 1 er janvier 2016. Parmi les grandes nouveautés, la création d’une Direction des Risques qui devient une des fonctions clés de l’entreprise. Les conséquences de la mise en place de Solvabilité II sont profondes et pourraient dépasser la simple sphère assurantielle. Par Florence Puybareau 01/2015 PRÉVOYANCE ET SANTÉ       IARD   VIE, ÉPARGNE, RETRAITEIARD   VIE, ÉPARGNE, RETRAITEIARD   VIE, ÉPARGNE, RETRAITE Accompagner les professionnels de l’assurance par une approche globale  s’appuyant sur une complémentarité conseil-logiciel Construire des solutions techniques et innovantes sur mesure dans le cadre d’un partenariat  stratégique Actuariat Stratégie Produits Conformité Solvabilité 2 Gestion des risques Communiquer l’expérience et l’expertise  d’équipes pluridisciplinaires au  savoir-faire incontournable : Cabinet International de conseil en actuariat Editeur de logiciels actuariels pour l’assurance et la finance Paris – Lyon – Bruxelles – Madrid – Amsterdam - Bogotà ACTUARIS PARIS – Tél : +33 (0)1 56 89 07 70 ACTUARIS LYON – Tél : +33 (0)4 72 18 58 58 www.actuaris.com Annonce presse Instit_062015_A4.indd 1 05/11/2015 14:26ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 15 E nfin ! Annoncée initialement pour 2011 puis sans cesse repoussée, la directive européenne Solvabilité II entre finalement en application le 1 er janvier 2016. S’il a fallu autant de temps pour que cette réglementation qui touche l’ensemble des compagnies d’assurance et de réassurance (à l’excep- tion des organismes qui encaissent moins de 5 millions d’euros de primes annuelles) soit mise en place, c’est non seulement en raison de sa complexité mais aussi parce qu’elle sous-entend de profondes modifications dans la gouvernance des entreprises concernées. À tel point que le texte initial a été modifié plusieurs fois et que beau- coup d’experts estiment que des changements pour- raient encore intervenir dans les prochaines années. Pour Philippe Trainar, Chief Economist de Scor, la prudence de certaines entreprises vis-à-vis de Solvabilité II n’est pas vraiment étonnante. «  De nombreux acteurs géraient leur compagnie en adéquation avec Solvabilité I. Or avec Solvabilité II, ils constatent que les règles du jeu sont diffé- rentes, qu’il va y avoir des perdants et des gagnants. Cela pose des problèmes de transition, avant que ces nouvelles règles deviennent légitimes. Cela met aussi en évidence les imperfections de Solvabilité II, qui devront être corrigées à l’avenir ». LA DIRECTIVE RENFORCE LA FONCTION RISQUES AU SEIN DES ORGANISATIONS L’un des grands principes fondateurs de Solvabilité II porte sur la gestion des risques. L’Autorité de Contrôle Prudentiel (ACPR) est à cet égard formelle : «  l’objectif de Solvabilité II est d’encourager les organismes à mieux connaître et évaluer leurs risques et adapter les exigences réglementaires à leur profil de risque  ». Il s’agit, rappelle le régulateur, «  d’avoir une meilleure adaptation des exigences de capital et des pratiques de contrôle au profil de risque des organismes  ». Pour preuve de cette importance, la directive fait de la gestion des risques (articles 44 & 45) l’une des quatre fonctions clés qui doivent être mises en place dans les organisations à l’instar de l’audit, de la conformité et de l’actuariat (cf. encadré) : «  les assureurs avaient déjà une bonne maîtrise des risques de souscription mais d’autres risques (financiers, de marché…) étaient sous-estimés. Or les risques de marché représentent 50   % des risques en assurance non-vie et 75   % en assurances de personnes. La directive professionnalise la fonction Risques au sein des organisations. Elle les oblige à une meilleure connaissance de leur profil de risque et de celui de leurs clients », souligne Nicolas Calmon, Manager chez Solucom. « Jusqu’alors, chez les assureurs, il y avait surtout une notion de contrôle interne dans la lignée d’une maîtrise des risques par les processus. Solvabilité II donne une surface très large à la fonction. Le risque est désor- mais au cœur de la prise de décision  », appuie Jimmy Zou, associé chez PwC. «  Ainsi lorsqu’une entreprise décide de lancer un nouveau produit, elle va regarder son incidence sur son portefeuille et fixer des objectifs à ses commerciaux avec cette perspective. Elle mettra en place un processus avec des systèmes d’alerte pour suivre l’écart entre l’appétit au risque et la prise de risque effective  ». UNE DIRECTIVE QUI TRANSFORME LA GOUVERNANCE DES COMPAGNIES D’ASSURANCE Philippe Trainar, Chief Economist, Scor Nicolas Calmon, Manager, Solucom Jimmy Zou, Associé, PwC SOLVABILITÉ II : DIFFICILE D’Y ÉCHAPPER La mise en place de Solvabilité II touche quasiment l’ensemble des entreprises du secteur… qui ne disposent pas toutes des mêmes ressources humaines et financières. Pour Nicolas Dufour, en charge du contrôle interne et de la maîtrise des risques chez Mutuelle UMC, c’est une contrainte pour les petites et moyennes structures. «  Beaucoup de dispositifs ne sont pas toujours prévus ou conçus pour des entreprises de cette taille. Toutes n’ont pas forcément bien anticipé d’autant que certains sujets très techniques comme la qualité des données peuvent vite devenir chronophages  ». Mais si l’exercice s’avère complexe, l’impact est véritablement positif sur la gestion globale des risques  : « il s’agit non seulement d’être conforme mais aussi de profiter de ces exigences nouvelles – qui n’étaient pas forcément dans la culture de l’entreprise - pour mettre en place des dispositifs plus pérennes. Et pas seulement pour combler des écarts de conformités. Fournir de la documentation pour être conforme et répondre à des exercices préparatoires, tout le monde peut le faire. En revanche, conduire le changement et mettre en place des dispositifs pérennes, c’est peut-être ça la plus grande difficulté. » Nicolas Dufour, c ontrôle interne et maîtrise des risques, chez Mutuelle UMCATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 16 DOSSIER SOLVABILITÉ II UNE RÉGLEMENTATION ET TROIS PILIERS Le pilier I regroupe les exigences quantitatives, c'est-à-dire les règles de valorisation des actifs et des passifs, ainsi que les exigences de capital et leur mode de calcul. Solvabilité II prévoit deux exigences de capital : le minimum de capital requis (MCR) et le capital de solvabi- lité requis (SCR). Le SCR peut être calculé au moyen d’une formule standard ou d’un modèle interne partiel (certains risques étant couverts par la formule standard) ou complet. Par ailleurs, des paramètres propres à l’organisme (Undertaking Specific Parameters – USP) ou au groupe (Group Specific Parameters – GSP) peuvent remplacer certains paramètres de la formule standard. Le pilier II regroupe les exigences qualitatives, c'est-à-dire les règles de gouvernance et de gestion des risques, dont l’évaluation propre des risques de la solvabilité (Own Risk and Solvency Assessment - ORSA). Le Pilier III concerne la communication d’informations au public et aux autorités de contrôle. Il vise à harmoniser au niveau euro- péen les informations publiées par les organismes d’assurance ainsi que celles remises aux superviseurs. Ces informations sont à remettre annuellement et/ou trimestriellement. Pour Philippe Trainar, cet ensemble est parfaitement cohérent : «  ces trois piliers sont tous importants. Le Pilier I est absolument fonda- mental puisqu’il met à la disposition des entreprises d’assurance qui n’utilisent pas de modèle interne une métrique de solvabilité beaucoup plus sophistiquée et plus cohérente que celle de Solvabilité I. Chez Scor, nous avons développé un modèle interne, validé par le régulateur, qui structure l’approche des risques. Mais le Pilier II est tout aussi important. L’un donne une vision synthétique et quantitative de l’exposition aux risques quand l’autre en donne une vision plus granulaire et qualitative. L’entreprise doit s’appuyer sur ces deux piliers pour prendre des décisions managériales. Enfin, le Pilier III est essentiel car il garantit, par une communication transparente, un échange avec le marché, et un contrat clair avec les clients et les actionnaires.  » Conception Test et validation Mise en œuvre Documentation Analyse de la performance Rapports aux dirigeants Recommandations d’amélioration Fonction actuarielle Utilisateurs des résultats La fonction de gestion des risques et le modèle interne Pas d’indépendance de l’analyse de la performance vis-à-vis de la conception • Contribue à l’identification des risques (assurantiels) modélisables • Vérifie l’adéquation des données • Dialogue avec la fonction de gestion des risques Équipes distinctes pour la phase de test et de validationATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 17 DOSSIER SOLVABILITÉ II Dans le groupe Axa, qui compte 600 personnes travail- lant sur le Risk Management, le constat est comparable. « L’apport de Solvabilité II est considérable car elle a ancré le Risk Management dans les pratiques de l’en- treprise. Le fait de revenir de façon régulière auprès du comité exécutif en présentant l’analyse de nos risques et la façon dont ils ont évolué, en vérifiant que cela corres- pond aux risques… sont des éléments dont on ne parlait pas il y a 10 ans et qui sont devenus clés dans notre indus- trie. Chaque risque pris sur un investissement, un produit, une ligne de business… a une charge en capital définie et propre à ce risque-là. In fine, cela permet d’aligner les risques que nous prenons, le capital que nous mettons derrière et les profits que nous espérons en retirer », note Alban de Mailly Nesle, CRO d’Axa. LE CONSEIL D’ADMINISTRATION EN PREMIÈRE LIGNE « Le principe sur lequel repose Solvabilité II est de mettre le risque au cœur de l’entreprise, risque qui devient l’un des drivers de la prise de décision  », rappelle Jérôme Isenbart, Directeur des Risques de la CCR. «  Il ne s’agit pas d’un changement de philosophie. C’est une démarche que nous intégrons depuis longtemps. Néanmoins, Solvabilité  II a pu être un accélérateur pour comprendre certains risques, suivre certaines expositions. Et bien sûr un accé- lérateur en termes de gouvernance avec les quatre fonc- tions clés qui sont un lien supplémentaire avec le Conseil d’administration  ». Il y a 3 ans, la CCR a ainsi mis en place des comités de risques qui permettent aux participants de partager de façon transverse leur vision des risques  : « cela décloisonne les entités opérationnelles qui se mettent à échanger entre elles et à exprimer les risques qu’elles produisent, et réciproquement. Nous avons associé risques et impact budgétaire. Historiquement les Conseils d’administration validaient des business plans avec des chiffres d’affaires et des cibles de résultat. Maintenant, on lui demande d’autoriser une certaine prise de risque associée selon des scénarios intermédiaires. Plus de scénario central, ni de scénario extrême de solvabilité de l’entreprise. Mais un entre-deux. Charge à nous de déter- miner le niveau de prise de risque que nous allons tolérer et duquel nous allons déduire un certain nombre d’in- flexions stratégiques vers des opérations plus ou moins risquées. Cette vision en budget de risques est validée par le Conseil d’administration, passe par la Direction Générale et est mise en pratique par toutes les directions opérationnelles  », résume Jérôme Isenbart. Une démarche qui demande de la pédagogie mais « maintenant, les Risk Managers arrivent à montrer leur contribution à la mise en place du dispositif de maîtrise des risques et l’intérêt de ce dispositif dans l’atteinte des objectifs. Aujourd’hui, ces fonctions risques sont nécessaires et ancrées dans le paysage. Solvabilité II leur donne un rôle de vigie. C’est aussi pourquoi leur sont souvent confiés les risques émergents  ; et qui dit risques émergents dit futures opportunités commerciales. » À la CCR, la Direction des risques, créée il y a cinq ans, emploie aujourd’hui 13 personnes (sur un total de 250) avec un représentant dans chaque entité «  qui donne 10  % de son temps pour la vision risque des opérations. Ces personnes servent de relais car nous souhaitons que la Direction des risques soit présente mais pragmatique. Nous ne sommes pas là dans un environnement de sanc- tion, mais pour accompagner le développement de l’entre- prise et faciliter les choses  », insiste Jérôme Isenbart.  MODÈLE INTERNE ET FORMULE STANDARD Pour respecter l’exigence quantitative voulue par le Pilier I, les entreprises avaient le choix de s’appuyer sur une formule standard ou de développer un modèle interne à valider par l’ACPR. Rares sont les compagnies françaises à avoir adopté un modèle interne intégral – à l’instar d’Axa et de Scor –, très lourd et complexe à mettre en œuvre. Denis Kessler, le PDG de Scor rappelait récemment que l’élaboration du modèle interne chez le réassureur avait mobilisé plus de 70 personnes et abouti à un rapport de 20 000 pages. «  Nous avons commencé à travailler à un modèle interne il y a déjà une douzaine d’années et nous l’avons affiné au fur et à mesure que la réglementation sur Solvabilité II se précisait  ». « Dans la gestion des risques, il est clé d’avoir un modèle interne  », souligne Alban de Mailly Nesle. Certaines compagnies ont fait le choix du modèle interne partiel et d’autres ont gardé la formule standard qui comporte différents modules (risques de marché, risque de contrepartie…) et qui peut inclure des USP. « Pour certains risques de souscription, des modules non-vie ou santé, l’entreprise peut substituer aux paramètres de la formule standard, des paramètres estimés sur ses propres risques  », souligne Pierre Thérond, actuaire chez Galéa. Alban de Mailly Nesle, CRO, Axa Jérôme Isenbart, Directeur des Risques, CCR Pierre Thérond, Actuair, Galéa « Le grand intérêt de Solvabilité II pour un Risk Manager de compagnie d’assurance, c’est l’alignement total entre le capital et la gestion des risques.  » Alban de Mailly Nesle, CRO, Axaé ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 18 DOSSIER SOLVABILITÉ II RE 2015 L a mise en place de Solvabilité II, avec ses trois piliers et son lot d’obligations dûment codifiées (fonctions clés, rapports écrits…), a conduit les entreprises à une approche différente de leurs risques, à se saisir de la problématique beaucoup plus en amont,  et à faire évoluer leurs processus. «  Nous essayons de partir du plus haut, à savoir déterminer les grandes orientations de la gouver- nance. Puis nous voyons leurs déclinaisons en matière de processus, les acteurs et leur rôle, et comment ces processus de manière très opérationnelle se déclinent eux-mêmes en procédures et en modes opératoires. Cela implique forcément des refontes de process. Ce qui veut dire pouvoir être structuré, identifier les risques trans- verses, les risques sur chaque périmètre, donc avoir une approche par les process qui n’est pas forcément toujours celle mise en place  », explique Nicolas Dufour. « Avec le Pilier II, il est important d’avoir des processus qui se déploient pour gérer les risques opérationnels et aussi garantir dans l'entreprise une traçabilité satisfai- sante. L'entreprise doit complètement intégrer dans ses décisions à tous les niveaux l’analyse des risques, établir le couple rendement/risque et le traduire de manière documentée dans la vie de l'entreprise  », ajoute Renaud Bruneteau en charge des risques, du contrôle interne et de la conformité chez Humanis. «  Dans le cadre de notre modèle interne, nous collectons les incidents et les pertes opérationnelles enregistrés chaque année dans toutes les entités du groupe. Nous regardons l’ensemble de nos process opérationnels et nous en déterminons les faiblesses. Nous scénarisons sur la base de cette revue, pour obtenir un montant de capital à mettre face de ces risques, surtout pour dresser une hiérarchie des risques opérationnels en affectant un coût à chacun de ces risques  », détaille Alban de Mailly Nesle. UNE NOUVELLE FONCTION QUI SE CHERCHE UN NOM… Si les réassureurs ont depuis longtemps une direction des risques dont le responsable est hiérarchiquement rattaché au plus haut niveau de l’entreprise, la situa- tion est en revanche plus contrastée dans les autres entreprises du secteur : «  les bancassureurs, du fait de l’antécédent Bâle II, sont plus matures sur le sujet et le détenteur de la fonction risque a souvent par exemple à sa disposition des mécanismes d’escalade vers le board. Les grands assureurs se sont ensuite engagés dans ces démarches  », précise Jimmy Zou. Quant à la dénomina- tion « Risk Manager  » pour désigner le responsable de UNE APPROCHE HOLISTIQUE DES RISQUES Renaud Bruneteau, en charge des risques, du contrôle interne et de la conformité, Humanis QUE DIT LA DIRECTIVE SOLVABILITÉ II ? Sur les 312 articles, le 44 (Gestion des risques) et le 45 (Évaluation interne des risques et de la solvabilité) concernent directement la problématique des risques. Ainsi dans l’article 44, il est spécifié que «  les entreprises d’assurance et de réassurance mettent en place un système de gestion des risques efficace, qui comprenne les stratégies, processus et procédures d’information nécessaires pour déceler, mesurer, contrôler, gérer et déclarer, en permanence, les risques, aux niveaux individuel et agrégé, auxquels elles sont ou pourraient être exposées ainsi que les interdépendances entre ces risques. Ce système de gestion des risques est efficace, parfaitement intégré à la structure organisationnelle et aux procédures de prise de décision de l’entreprise d’assurance ou de réassurance et dûment pris en compte par les personnes qui dirigent effectivement l’entreprise ou qui occupent d’autres fonctions clés  ». Mais aussi que «  les entreprises d’assurance et de réassurance prévoient une fonction de gestion des risques, qui est structurée de façon à faciliter la mise en œuvre du système de gestion des risques  ». Et dans l’article 45 : «  l’évaluation interne des risques et de la solvabilité fait partie intégrante de la stratégie commerciale et il en est tenu systématiquement compte dans les décisions stratégiques de l’entreprise ». « On ne peut pas prendre de décisions stratégiques, financières marketing,ou commerciales, sans avoir intégré une analyse de risques et essayé d'avoir éclairé les conséquences de cette décision.  » Renaud Bruneteau, en charge des risques, du contrôle interne et de la conformité, Humanisé ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 19 DOSSIER SOLVABILITÉ II la gestion des risques, là aussi, elle ne figure pas dans tous les organigrammes. «  Le terme de Risk Manager n'est pas encore vraiment diffusé dans l'assurance et la réassurance. Lorsqu’on regarde les offres d’emploi, on constate que les terminologies ne sont pas très figées et les profils ne sont pas très ciblés. On voit arriver souvent des actuaires. La structuration d'une communauté d'ex- perts ERM au sein de l’institut des Actuaires amène ces derniers à remplir ces missions  », précise David Dubois, Directeur Business Développement chez RGA. … MAIS UNE FONCTION CLÉ Que ce soit dans une grande ou une petite structure, la fonction Risk Management est devenue essentielle. « Selon la directive, la fonction de la gestion des risques accompagne la mise en place d’un système présentant les risques dans leur globalité : elle doit avoir la capacité d'ana- lyser et de porter un jugement sur les risques encourus par un organisme d'assurance, de réassurance et mettre en place des solutions de gestion de ces risques, de transfert, d'acceptation, de limitations…  », ajoute David Dubois. Les petites structures ne sont pas en reste, comme le souligne Nicolas Dufour  : « nous intervenons princi- palement en pilotage. Et nous devons donner aussi de la cohérence entre les politiques et leurs déclinaisons opérationnelles. Nous pouvons être amenés à passer de sujets relatifs aux grandes orientations de la gouver- nance ou intervenir sur des pratiques très précises comme par exemple les contrôles de production. » UNE VISION ERM DE LA GESTION DES RISQUES Pour Catherine Véret Jost, Présidente de Cavejo, l’une des grandes vertus de la directive est d’obliger les entre- prises à enrichir leur approche. Néanmoins il ne faut pas prendre les trois piliers en silo. «  Tous les acteurs de l’en- treprise travaillent de concert sur la gestion des risques, avec le Risk Manager comme chef d’orchestre. C’est une démarche ERM qui implique une vision globale et cohé- rente de la gestion des risques de l’entreprise et de leurs traitements  ». Dan Chelly va même encore plus loin et voit dans Solvabilité II intégrant l’ORSA, une approche « ERM 2.0. C’est un must have entre la prise de risque et la stratégie commerciale. C’est le premier texte où l’on a un lien aussi étroit entre les deux  ». Pierre Thérond le confirme, «  Solvabilité II conduit à instituer les best prac- tice en matière d’ERM même si les actuaires n’ont pas attendu la directive pour mettre en place cette démarche  ». Mais peut-on mettre sur le même plan l’approche qui s’impose dans les compagnies d’assurance de celle que mènent les entreprises industrielles et commerciales ? « On constate quand même une convergence entre les deux approches. Il y a une bonne inspiration de ce qui existe et de ce qui est fait par ailleurs  », se réjouit David Dubois. Pierre Thérond est en revanche plus circonspect : «  c’est une approche comparable mais attention, les fondamen- taux sont différents. Ce ne sont pas les mêmes risques qui sont visés : dans les grandes entreprises non financières, il y a souvent une segmentation risques business et risques opérationnels. Pour les assurances, nous avons avant tout les risques de souscription et les risques de marché. » LA PRIME À LA DIVERSIFICATION Quoi qu’il en soit, si la transposition de Solvabilité II ne s’est pas faite sans douleur, la plupart des acteurs concernés sont aujourd’hui plutôt positifs. «   À mon arrivée sur ce secteur d'activité, Solvabilité II était asso- ciée à des contraintes réglementaires, puis peu à peu à des exigences réglementaires et enfin à des leviers d’actions », se rappelle Nicolas Dufour et de poursuivre : «  la séman- tique est importante pour montrer que ce n’est pas qu’une contrainte. C’est un nouveau cadre de travail qu’il va falloir faire vivre  ». Même analyse pour Jérôme Isenbart, «  il faut voir Solvabilité II comme un accélérateur de bonnes choses. Or en général, les compagnies sont tellement préoccupées par leur portefeuille qu’elles ne peuvent pas tout regarder  ». « La fonction Risk Management est devenue centrale également parce qu’elle est transversale.  » David Dubois, Directeur Business Développement, RGA 4 FONCTIONS CLÉS Solvabilité II impose aux compagnies la mise en place de quatre fonctions clés : conformité, actuariat, gestion des risques et audit interne. Des fonctions dont les attributions étaient en général déjà occupées mais sans être réelle- ment personnalisées ou sans apparaître en tant que telles dans l’organigramme de l’entreprise. Désormais, elles sont distinguées même si elles peuvent être cumulées à l’exception de l’audit interne qui doit rester une fonction totale- ment indépendante. La directive fixe des prin- cipes communs à ces quatre fonctions, parmi lesquels : l’obligation de remonter rapidement tout problème majeur ; la mise à disposition de ressources et une expertise adéquate, libre d’influences pouvant entraver l’objectivité, l’impartialité et l’indépendance. David Dubois, Directeur Business Développement, RGA Dan Chelly, Optimind WinterATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 20 DOSSIER SOLVABILITÉ II Pour Dan Chelly, Solvabilité II permet d’être beaucoup plus fin dans la mesure de l’exposition aux risques. «  Cela force à une certaine rigueur et à formaliser des processus. Parfois, sur certains produits, l’entreprise a tendance à considérer que le profil de risque est peu élevé alors que dans le détail, on détecte de nombreux risques financiers et opérationnels. On voit par exemple les problématiques qui sont très porteuses de risques comme l’Accord National Interprofessionnel, les contrats solidaires et responsables…  » Pour les grandes compagnies, Solvabilité II est aussi la prime à la diversifica- tion. «  Il y a un bénéfice à la diversification. C’est la base du métier d’assureur mais ce n’était pas mis en avant dans Solvabilité I. Un portefeuille de risques diversifiés entre risques financiers et risques d’assurance mais aussi au sein des risques d’assurance est reconnu dans le montant de fonds propres que l’on doit détenir pour Solvabilité II  », explique Alban de Mailly Nesle. «  Certains ont craint que la lourdeur de Solvabilité II puisse paralyser l’initiative et conduise à des comportements d’aversion totale aux risques alors que c’est un levier d’aide à la décision. Il ne s'agit pas de ne pas prendre de risques, il s'agit de prendre des risques en étant plus éclairés sur les conséquences des décisions prises », précise Renaud Bruneteau. Cette évolution implique aussi, pour tous les acteurs (et notamment les mutuelles), des évolutions internes importantes : «  ce change- ment culturel nous place dans une culture de la performance qui touche toutes les fonctions, dont le commercial ou le marketing…  »  L’ORSA : UNE VUE GLOBALE DES RISQUES DE L’ENTREPRISE Selon l’ACPR : «  l'ORSA est une évaluation, par l’en- treprise elle-même, de sa solvabilité. L’ORSA doit faire partie intégrante des décisions stratégiques ». Les quatre questions auxquelles le rapport répond sont les suivantes : à quels risques est exposée l’en- treprise  ? Quelle est sa tolérance aux risques  ? Quels sont ses objectifs stratégiques ? De quels moyens financiers dispose-t-elle ou devrait-elle disposer à court et long termes ? Si sa rédaction est considérée comme complexe et difficile, l’exercice néanmoins est largement approuvé. « L’ORSA est un changement important car il stipule d’avoir une vision à 360° de la gestion des risques. C’est assez nouveau pour les assureurs qui avaient l’habitude de travailler en silo. Mais l’ORSA n’est pas un simple outil de reporting à destination de l’autorité de contrôle. C’est un véritable outil stratégique  », insiste Nicolas Calmon. Même point de vue pour David Dubois pour qui l’ORSA va accompagner la stratégie de dévelop- pement. «  Pour lancer un nouveau produit ou projet, on doit mesurer tout de suite l'influence de ceux-ci sur l'exi- gence de fonds propres et l'impact sur notre entreprise. C’est un véritable outil d'aide à la décision  ». Quant à Jimmy Zou, il voit dans l’ORSA, un accélérateur pour la compréhension de la fonction risque : «  cela demande notamment d’articuler des indicateurs de risques avec d’autres indicateurs comme la rentabilité ou même des ratios de coût. Le risque à l’aune de la rentabilité ». Les tâches de la gestion des risques Résultats de l’ORSA Vision holistique des risques de l’organisme Coordonne les activités de gestion des risques Vérifie l’adéquation du système de gestion des risques Contrôle l’application des politiques de gestion des risques « Preneurs de risques » Fonction de gestion des risques Dirigeants Identifie les déficiences du système de gestion des risques Perspective gestion des risques lors des décisions stratégiques Recommandations « La directive Solvabilité II permet d’avoir une vision “clé en main” des risques dans toutes les entités.  » Jérôme Isenbart, Directeur des Risques, CCR ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 21 DOSSIER SOLVABILITÉ II SOLVABILITÉ II : CONSOLIDATEUR DU MARCHÉ ? L’accélération de consolidation du marché des mutuelles au cours des dernières années est-il un effet induit de la prochaine mise en application de Solvabilité II ? Certainement, estime Philippe Trainar : «  Solvabilité II a consolidé le marché. À présent nous verrons, si le mouvement se poursuivra. Car lorsqu’une entreprise est confrontée à des exigences accrues de capital, il n’y a que quatre solutions : émettre du capital sous forme d’action, recourir à la dette hybride, économiser son capital en diversifiant son activité ou en se rapprochant d’une entreprise diversifiante, ou se réassurer. Or, le capital est aujourd’hui une ressource rare et coûteuse. Le recours à la dette hybride suppose que l’on ne soit pas trop endetté. La diversification et la consoli- dation correspondent à des stratégies de plus long terme. Reste la réassurance : nous avons constaté en effet une demande accrue de la part des cédantes…  » Pour David Dubois, les fusions ne sont pas liées uniquement à la mise en place de la directive : «  la pression concurrentielle fait que les petits organismes aujourd'hui ont plus de difficultés à survivre proprement dans cet univers, mais Solvabilité II est probablement un accélérateur  ». QUELS IMPACTS SUR LES SOCIÉTÉS INDUSTRIELLES ET COMMERCIALES ? D es mesures et des processus mis en place, peut-on tirer des enseignements utiles aux entreprises industrielles et commer- ciales ? Les avis divergent. Pour Jérôme Isenbart, une partie des méthodologies des trois piliers peut en effet être appliquée dans les autres secteurs d’activité. «  Le diagramme du Pilier I peut être transposable à des entreprises industrielles. Il oblige à dresser un mapping des risques (en n’hésitant pas à sortir des zones connues), à les comparer les uns aux autres, à les évaluer, et les suivre dans le temps. Il donne en plus la métrique pour mesurer chaque risque. Mais un Risk Manager expéri- menté saura poser une métrique en face de ces risques. Poser des situations inimaginables sur le papier permet de se demander quelle solution mettre en place comme plan d’action. Et cela, c’est transposable. Quant au Pilier III et ses rendus narratifs, nous pouvons les rapprocher des rapports qu’un Risk Manager va faire à son comité exécutif. » Pour Catherine Véret Jost, Solvabilité II à l’instar de Bâle II «  peut servir de référence pour dégager de bonnes pratiques en matière de gouvernance de gestion des risques  ». Selon Dan Chelly, il est possible aujourd’hui pour les entreprises commerciales et industrielles de s’inspirer directement de Solvabilité II. En effet, des convergences sont clairement envisageables «  La banque et l’assurance sont forte- ment réglementées car tout le système repose sur la confiance. Sinon le système ne fonctionnerait pas. Dans l’industrie et les services, la notion de confiance évolue énormément avec les transformations de la société. Cette notion de confiance peut tuer ou affaiblir des entreprises indus- trielles. Et elle va prendre une nouvelle dimension en lien avec  le risque de réputation et les campagnes de rappel produits. Ce qui va peut-être orienter les industriels vers les réglementations en matière de risques et de conformité qui sont imposées dans la banque et la finance. » TRANSPOSABLE OU PAS ? Les bonnes pratiques de Solvabilité II peuvent-elles être récupérées pour la gouvernance des risques ? Certainement pour quelques CRO en raison du degré de modélisation des risques exigé par la directive : «  les techniques de modélisation des risques sont moindres dans les secteurs commercial ou industriel que dans les univers régis par les exigences prudentielles. En transposant certaines pratiques, on pourrait peut-être mieux calibrer ou estimer le risque opérationnel. Et mettre en regard les investissements ou les dépenses des dispositifs de prévention ou de protection (ou de rectification) qui sont déployés pour faire face à ces risques  », souligne Renaud Bruneteau. Pour Nicolas Dufour, «  c’est intéressant notamment pour structurer les politiques, par exemple sur la gestion des risques ou sur les pratiques de compétence et d’honorabilité  ». Néanmoins, la question vaut aussi dans l’autre sens  : « nous sommes sur un secteur réputé comme réglementé. Mais n’omettons pas les risques à fort impact comme la sécurité au travail que nous avons tendance à négliger comme le montre l’enquête AMRAE risques RH, alors que dans nos entreprises qui sont en profondes mutations l’impact n’est pas neutre  ». Le plus catégorique reste Jimmy Zou, qui n’a pas attendu la mise en place de la directive pour en utiliser les bonnes pratiques. «  Le secteur des énergéticiens par exemple s’inté- resse au concept d’appétit au risque avec sa dimension rentabilité voire sa dimension coût. Pour ma part, je réalise des ORSA adaptés à cette population car le processus est très facile à décliner et tout à fait appro- prié dans une optique de pilotage d’activité.  » Philippe Trainar ne partage pas ce constat. Pour lui, les règles de l’as- surance ont trop de particularités pour être vraiment transposables : « Solvabilité II établit des règles de gestion des risques pour des entreprises dont le métier est de prendre des risques. Ce n’est pas le cas des entreprises industrielles et commerciales qui cherchent à éviter le risque. La gouver- nance du risque ne peut donc être la même selon l’appétence au risque. La gestion des risques ne s’applique donc pas du tout de la même façon dans l’assurance et en dehors de l’assurance  ». Néanmoins, il estime possibles LES ENSEIGNEMENTS DE SOLVABILITÉ II « Le Pilier II est une approche par choc de l’entreprise. Elle pousse à imaginer des situations inimaginables. » Jérôme Isenbart, Directeur des Risques, CCR ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 22 DOSSIER SOLVABILITÉ II certains rapprochements entre assureurs et entreprises industrielles et commerciales «  puisque dans les deux cas, il s’agit de risques réels, c’est-à-dire des bâtiments qui peuvent être détruits, des vies qui peuvent disparaître… Il y a une possibilité d’influence car nous travaillons un peu sur les mêmes risques, mais avec des points de vue différents.  » UNE GESTION DIFFÉRENTE DES PORTEFEUILLES… Si les avis divergent quant aux enseignements à tirer de la directive pour les secteurs non financiers, en revanche, il semble que pour le moment celle-ci n’a pas poussé les (ré) assureurs à revoir profondément leur couverture ou leurs tarifs. « C’était un de leurs arguments il y a deux ou trois ans mais fina- lement, cela ne s’est pas fait  », constate Michel Blanc, Risk Manager d’Arkema et Administrateur de l’AMRAE. «  La seule conséquence à craindre pour les assurés est peut être une augmen- tation des primes de responsabilité civile à cause de la révision des méthodes de provisionnement. Il s’agit d’un risque qui se déroule sur le long terme dont les assureurs ont des provisions dans leurs comptes sur un certain nombre d'années. Il pèse dans les critères et les calculs de Solvabilité II, d’où une prudence accrue sur ces provisions. Ça change éventuel- lement les conditions de renouvellement et le rapport d'équilibre financier qu'il pouvait y avoir avant, basés sur des règles de provisionnement différentes. À terme certaines compagnies vont peut- être revoir leurs méthodes de constitu- tion des provisions, de façon plus sévère, plus conservatrice et vont les prendre avec des marges de confort beaucoup plus importantes. Tout dépend si auparavant la politique de réservation des assureurs sur le Michel Blanc SOLVABILITÉ II, BÂLE II : MÊME APPROCHE ? À l’instar de l’assurance, le secteur bancaire possède également ses réglementations qui ont poussé les entreprises à se réorganiser. À commencer par Bâle II puis Bâle III qui visent à garantir un niveau minimum de capitaux propres, afin d'assurer la solidité financière des banques. Objectif  ? Se prémunir des dérives qui ont conduit à la crise des subprimes en 2007. Les enjeux des deux directives se rejoignent tant dans les objectifs globaux (sécuriser l'ensemble du système et éviter le risque systémique  ; assurer la confiance dans le système) que dans les objectifs opérationnels (mieux connaître ces risques  ; affiner le niveau de fonds propres à mettre en face des risques et anticiper le cas de ruine). « La banque avait une décennie d’avance sur l’assurance. Solvabilité II est bâtie sur la même approche que Bâle II. Il est par exemple positif que le régulateur incite les entreprises à communiquer, cela les oblige à clari- fier leur gestion des risques. En outre Solvabilité II avec l’ORSA va encore plus loin. C’est un pas supplémentaire franchi dans l’approche de la gestion des risques  », souligne Catherine Véret Jost. A contrario, Philippe Trainar estime que la comparaison n’a pas lieu d’être car la perception des risques est totalement différente : «  les inspirations sont marginales. Dès l’origine, Solvabilité II a eu une démarche propre qui est indépendante de la démarche bancaire parce qu’elle reconnaît la spécificité de l’assurance. Quand le risque le plus important pour le banquier est le risque de liquidité, c’est le moins important pour l’assureur ! Par ailleurs quand le risque du banquier se trouve à l’actif au niveau des crédits, celui de l’assureur se trouve au passif, ce qui change radicalement la vision des risques. Le bilan du banquier est volatil tandis que celui de l’assureur et surtout du réassureur est visqueux. Autre différence : les banques sont totalement interconnectées par le besoin en liquidité qui est alimenté par le marché inter- bancaire,  tandis que l’interconnexion entre les assureurs est très faible. Enfin, la banque est systémique alors que l’assurance ne l’est pas. Il pourrait donc être trompeur de tirer beaucoup d’enseignements de la régulation bancaire dans l’assurance et inversement. » Catherine Véret Jost, Présidente de Cavejo « La seule conséquence à craindre pour les assurés est peut être une augmentation des primes de responsabilité civile. » Michel Blanc, Risk Manager d’Arkema et Administrateur de l’AMRAEé ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 23 DOSSIER SOLVABILITÉ II risque RC était bon ou pas. S'ils réservent bien il n'y a pas de raison qu'ils changent par rapport à Solvabilité II  », précise Laurence Delaire, Directrice des assurances d’Engie. … MAIS UN IMPACT LIMITÉ SUR LA TARIFICATION Du côté des assureurs, beaucoup reconnaissent des incidences sur la constitution de leurs portefeuilles et sur leurs relations avec leurs clients. «  D’abord parce que nos clients vont avoir accès aux informations sur les assureurs et pourront constater les dispositions prises pour mesurer les risques. Ils seront touchés à travers les efforts déployés en termes de dispositifs opérationnels de gestion des risques, qui visent aussi à améliorer la qualité des services clients et à éviter les dysfonctionnements. Enfin, ils seront concernés par les décisions de pilotage économique prises par l’assureur au regard des enjeux en termes de consommation de marge de solvabilité  », note Renaud Bruneteau. L’incidence sur les prix ? Alban de Mailly Nesle reste prudent. « Les compagnies d’assurance tariferont le risque en fonction des risques réels. Une ligne de business plus volatile aura un prix plus élevé. Mais globalement aujourd’hui, nous sommes plus précis sur l’identification des risques et nous parvenons à mieux les modéliser. L’impact sur les prix, positif ou négatif, est lié surtout au fait que nous connaissons mieux nos risques ». L’analyse de Philippe Trainar est plus tranchée, lui y voit deux impacts immédiats : «  d’abord à travers le capital. Changer mes exigences en capital changera ma tarification. Par ailleurs, en raison d’une demande accrue d’information sur les risques, que ce soit du côté des réassureurs ou des assureurs, les clients vont devoir supporter des charges supplémentaires de reporting ».  LES CAPTIVES SONT AUSSI CONCERNÉES Les captives que possèdent la plupart des grandes entreprises rentrent également dans le cadre de Solvabilité II. Pour Jérôme Isenbart, il est donc important que les Risk Managers s’emparent du sujet : «  à partir du moment où ils possèdent des captives, les industriels sont concernés par la directive. Mais souvent, ils la subissent sans en connaître les clés et les spécificités ». En fait les conséquences de Solvabilité II divergent beaucoup. Chez Engie dont la captive est domiciliée au Luxembourg, l’impact fut certain, avec beaucoup de travail administratif mais finalement limité  : « notre captive est très ancienne et possède une PFS (Provision pour Fluctuation de Sinistralité) relativement importante. Solvabilité II nous apporte plus d'avantages que d'inconvénients car contrairement à Solvabilité I, la PFS fait partie des fonds propres. La problématique doit être différente pour les captives récentes ou qui n’ont pas des réserves très élevées. Néanmoins nous travaillons sur le sujet depuis 2010 avec des actuaires qui nous ont accompagné et ont fait tourner les modèles  », souligne Laurence Delaire qui a même constaté une amélioration des relations avec les assureurs. « Notre taux de couverture du SCR est excellent, cela nous aide dans nos relations avec les assureurs et les réassureurs européens car le SCR est le ratio compris de tous car il a la même valeur pour tout le monde. Cela nous permet de mieux communiquer et donc de réduire un peu les contreparties que les réassureurs pouvaient nous demander auparavant.  » De son côté, Michel Blanc, dont la captive est passée il y a deux ans sous le régime de Solvabilité II, se souvient d’un «  travail long, coûteux et fastidieux. Alors que notre captive n’est pas très importante, nous avons dû multiplier par trois notre capital et réduire nos engagements  ». Une tâche menée avec un gestionnaire de captive «  qui a vu sa charge de travail doubler  ». Malgré tout, Michel Blanc estime que les procédures « amènent une vraie transparence au niveau de la gouvernance et de la structuration de la captive  ». www.sinalys.com NOTRE CRÉATIVITÉ RENFORCE VOTRE ASSURANCE. SOLVABILITÉ 2 PEUT-IL RENFORCER LA POSITION DES RISK MANAGERS ? Solvabilité 2 impose aux assureurs un management par les risques, au travers d’une approche quantifiée des risques assurés, d’un renforcement des exigences de reporting réglementaire et de gouvernance. L’objectif de l’assurance est de permettre un transfert de risques. Solvabilité 2 généralise le management par la valeur de marché de ces risques et permet, en particulier, le chiffrage du bénéfice de diversification entre les différents risques, et l’analyse de l’impact d’événements extrêmes. Au sein des structures d’assurance ou de réassurance, le risk manager est identifié comme l’une des quatre fonctions clés de la gouvernance. Chargé d’identifier, de mesurer et contrôler les risques, il permet la conduite des évaluations prospectives de solvabilité et la mesure de l’adéquation du mode d’évaluation du capital de solvabilité avec le profil de risque réel de sa structure. Il participe ainsi au changement de mode de gouvernance que le marché est en train de vivre. Solvabilité 2 s’applique aux captives d’assurance, à l’exception des captives de petite taille. Elle permet dans ce cadre de chiffrer le besoin en capital pour assurer la solvabilité. Cette quantification est un outil précieux pour l’arbitrage du transfert des risques à la captive ou à un assureur extérieur. En maîtrisant Solvabilité 2, le risk manager renforce la compréhension par l’entreprise de l’impact financier des risques. Il dispose ainsi d’un levier pédagogique, performant et indiscutable pour améliorer la gestion du risque dans la société qui l’emploie. Vous souhaitez en savoir plus ? Spécialiste de Solvabilité 2, Sinalys dispose d’expertises et d’outils pour vous accompagner dans la maîtrise de la norme et dans sa mise en œuvre. Nous pouvons également vous aider à optimiser le fonctionnement d’une captive d’assurance. La mise en conformité avec la directive Solvabilité 2 impose aux assureurs une méthode de quantification des risques assurés et l’évaluation du besoin en capital correspondant. Au sein des compagnies d’assurance, le rôle du Risk Manager est une fonction clé du système de gouvernance. En dehors de ce secteur, le Risk Management dispose d’un outil de dialogue avec les assureurs et peut jouer un rôle crucial, dans la décision de créer une captive d’assurance comme dans la définition du périmètre de risque qu’elle couvrira. www.sinalys.com 2016 : Solvabilité 2 sera-t-il trop lourd pour vous ? www.sinalys.com “Entrepôt de données bien ordonné, états réglementaires de qualité” Proverbe Sinalys “Les calculs c’est encore mieux quand ça fonctionne tout seul” Proverbe Sinalys www.sinalys.com “Aussitôt calculés, aussitôt contrôlés, aussitôt envoyés!” Proverbe Sinalys www.sinalys.comATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 24 DOSSIER SOLVABILITÉ II www.sinalys.com NOTRE CRÉATIVITÉ RENFORCE VOTRE ASSURANCE. SOLVABILITÉ 2 PEUT-IL RENFORCER LA POSITION DES RISK MANAGERS ? Solvabilité 2 impose aux assureurs un management par les risques, au travers d’une approche quantifiée des risques assurés, d’un renforcement des exigences de reporting réglementaire et de gouvernance. L’objectif de l’assurance est de permettre un transfert de risques. Solvabilité 2 généralise le management par la valeur de marché de ces risques et permet, en particulier, le chiffrage du bénéfice de diversification entre les différents risques, et l’analyse de l’impact d’événements extrêmes. Au sein des structures d’assurance ou de réassurance, le risk manager est identifié comme l’une des quatre fonctions clés de la gouvernance. Chargé d’identifier, de mesurer et contrôler les risques, il permet la conduite des évaluations prospectives de solvabilité et la mesure de l’adéquation du mode d’évaluation du capital de solvabilité avec le profil de risque réel de sa structure. Il participe ainsi au changement de mode de gouvernance que le marché est en train de vivre. Solvabilité 2 s’applique aux captives d’assurance, à l’exception des captives de petite taille. Elle permet dans ce cadre de chiffrer le besoin en capital pour assurer la solvabilité. Cette quantification est un outil précieux pour l’arbitrage du transfert des risques à la captive ou à un assureur extérieur. En maîtrisant Solvabilité 2, le risk manager renforce la compréhension par l’entreprise de l’impact financier des risques. Il dispose ainsi d’un levier pédagogique, performant et indiscutable pour améliorer la gestion du risque dans la société qui l’emploie. Vous souhaitez en savoir plus ? Spécialiste de Solvabilité 2, Sinalys dispose d’expertises et d’outils pour vous accompagner dans la maîtrise de la norme et dans sa mise en œuvre. Nous pouvons également vous aider à optimiser le fonctionnement d’une captive d’assurance. La mise en conformité avec la directive Solvabilité 2 impose aux assureurs une méthode de quantification des risques assurés et l’évaluation du besoin en capital correspondant. Au sein des compagnies d’assurance, le rôle du Risk Manager est une fonction clé du système de gouvernance. En dehors de ce secteur, le Risk Management dispose d’un outil de dialogue avec les assureurs et peut jouer un rôle crucial, dans la décision de créer une captive d’assurance comme dans la définition du périmètre de risque qu’elle couvrira. www.sinalys.com 2016 : Solvabilité 2 sera-t-il trop lourd pour vous ? www.sinalys.com “Entrepôt de données bien ordonné, états réglementaires de qualité” Proverbe Sinalys “Les calculs c’est encore mieux quand ça fonctionne tout seul” Proverbe Sinalys www.sinalys.com “Aussitôt calculés, aussitôt contrôlés, aussitôt envoyés!” Proverbe Sinalys www.sinalys.com Dans un monde qui change, la maîtrise de l’avenir exige de nouvelles voies Animé par la volonté permanente d’anticiper les évolutions qui caractérisent votre environnement, Optimind Winter, depuis son origine, a su progressivement développer une offre de conseil basée sur une expertise de haut niveau associée à une méthodologie rigoureuse. La qualité, la compétitivité et la complétude de nos compétences permettent aujourd’hui à Optimind Winter de vous offrir un accompagnement à la hauteur des défi s réglementaires et commerciaux imposés par les marchés. Leader de l’actuariat conseil et de la gestion des risques en France, avec plus de 180 collaborateurs dont 70 actuaires diplômés membres de l’Institut des Actuaires, Optimind Winter propose dans le respect des meilleurs standards européens l’ensemble des métiers associés à votre chaîne des risques. www.optimindwinter.com Notre métier « Risk Management » permet d’accompagner nos clients dans la démarche de sécurisation de leur activité. Une forte expérience en gestion qualitative des risques nous permet d’intervenir aussi bien dans la défi nition du dispositif que dans son déploiement. L’enjeu de l’ERM, Enterprise Risk Management, qui vise à associer gestion qualitative et quantitative des risques, nous amène à former selon les besoins, des équipes associant risk managers et actuaires. " Dan Chelly, directeur métier Risk Management Risk Management Gestion des risques Contrôle interne Conformité Audit interne Crédit photo : suphakit73 / Shutterstock Protection Sociale Actuariat Conseil Finance & Performance Business Transformation CONSEIL EN ACTUARIAT ET GESTION DES RISQUES DOSSIER LES RISQUES ENVIRONNEMENTAUX : LES RISK MANAGERS FACE AUX ÉVÉNEMENTS NATURELS Par Anne-Sophie DavidATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 27 IMPACT HUMAIN ET ÉCONOMIQUE L e 25 avril 2015, la région de Katmandou au Népal a connu un séisme d’une ampleur telle qu’il a déplacé l’Everest de 3 centimètres. Côté consé- quences humaines, elles ont été dramatiques. En plus du terrible chiffre de 12  000 victimes recen- sées, l’Organisation Internationale pour les Migrations, a relevé que le quotidien de 8,1 millions de Népalais en avait été bouleversé, 550  000 habitations ont été rasées et 280  000 sont devenues inhabitables. Selon une étude du réassureur allemand Munich Re, les catastrophes naturelles ont généré plus de pertes humaines au premier semestre 2015 que l’année précé- dente à la même période. Ainsi, entre janvier et juin 2015, 16  200 personnes sont décédées lors d’événements climatiques de grande ampleur (contre 2  800 au premier semestre 2014) dont 12  000 pour le seul séisme népalais et la vague de canicule de mai-juin en Inde et au Pakistan. Sur l’économie, l’impact de ces catastrophes est égale- ment considérable. Selon FM Global, elles coûteraient en moyenne, dans le monde, 100 milliards d’euros par an (300 milliards en 2011, après le tsunami au Japon et les inondations en Thaïlande). Sans compter l’impact économique et humain d’autres phénomènes tels que la sécheresse, qui fait régulièrement flamber le prix des céréales, entraînant des famines. LES LEÇONS DU PASSÉ Les grandes entreprises et grands groupes présents à l’international connaissent bien cette menace protéi- forme. Véritable épée de Damoclès, le risque de CatNat peut survenir à tout moment, entraîner d’importantes pertes d’exploitation et provoquer des dégâts considé- rables tant sur le plan humain que matériel. Le 17 août 2007, le cyclone Dean ravageait les petites Antilles. Pour le Groupe Pierre & Vacances - Center Parcs, qui possède deux villages de vacances en Martinique et en Guadeloupe, les dégâts se sont chiffrés à 2 millions d’euros, à la fois en dommages et en perte d’exploita- tion. Avec 300 sites disséminés un peu partout dans le monde et notamment dans des régions potentiellement exposées aux risques, le Groupe s’était préparé à rece- voir Dean. Dès les premières alertes, et avant le passage du cyclone, les bâtiments avaient été sécurisés et des mesures de sécurité communiquées aux vacanciers. Le Groupe avait par ailleurs bloqué les réservations et les arrivées programmées. In fine, sur les 2  millions d’euros de dégâts, tous dommages confondus, «  la perte d’exploitation a été indemnisée à hauteur de 700  000 euros par Axa  », se souvient Cédric Malki, Directeur des risques et des assurances du Groupe. «  Ils nous ont très bien accompagné lors du sinistre, explique-t-il, notam- ment via des visites sur sites pour regarder ensemble les mesures conservatoires à prendre ». Le Risk Manager précise au passage que lors de la construction des villages, le Groupe était allé un peu plus loin que les normes classiques de construction pour anticiper. Une vision préventive qui lui permet aujourd’hui d’afficher une bonne résilience. Dernier exemple en date lors des inondations qui ont frappé la région PACA le 25 octobre 2015, Cédric Malki explique que les dégâts ont été très peu nombreux compte tenu du nombre de sites du Groupe dans la région. LA MODÉLISATION Les conséquences économiques des événements de Fukushima et des inondations en Thaïlande ont provoqué un électrochoc au sein des entreprises qui ont approfondi leurs analyses de risques événements naturels et supply chain en scénarisant plus en profondeur. Pour Laurent Barbagli, Administrateur de l’AMRAE, le rôle et l’impli- cation du Risk Manager en cas de catastrophe naturelle s’accroissent à l’occasion d’événements tels que ceux survenus en 2011. «  Avant, on modélisait le risque naturel pour déterminer les limites d’assurances. Aujourd’hui, il faut le faire afin d’avoir une meilleure visibilité des risques, dans une logique de compliance et l’écrire, notamment, Cédric Malki, Directeur des risques et des assurances, Groupe Pierre & Vacances - Center Parcs QUAND LA NATURE SE DÉCHAÎNE Tempêtes-Ouragans-Cyclones (TOC), mais aussi inondations ou tremblements de terre, les défis imposés par Mère Nature aux entreprises, confèrent aux Risk Managers un rôle croissant dans la prévention et la gestion de ce risque protéiforme pour à la fois protéger l’activité et réduire les franchises d’assurance. Un mois avant les Rencontres AMRAE «  Climats à hauts risques  », Atout Risk Manager donne un premier aperçu des pratiques dans l’industrie et les services.ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 28 DOSSIER LES RISQUES ENVIRONNEMENTAUX dans le rapport annuel  », explique-t-il. Une approche qui donne ainsi beaucoup plus de visibilité aux Risk Managers. La Direction des risques et assurances du groupe Center Parc - Pierre & Vacances a ainsi conduit une étude approfondie sur les risques de rupture de digues aux Pays-Bas. «  Cela nous a permis de voir de quelle manière, en modélisant le risque, nos Center Parcs auraient pu être touchés en cas de rupture de ces digues. Nous avons pu ainsi vérifier que la localisation des Center Parcs aux Pays-Bas permettait d’éviter un sinistre majeur en cas de rupture ou débordement de digues malgré la présence de certains sites en bordure de littoral  », explique Cédric Malki. Si ces modélisations ont permis de montrer que le Groupe n’aurait été que faiblement impacté, ce travail est devenu indispensable aujourd’hui pour les risques non couverts par les polices. «  Il y a une nécessité prioritaire de modéliser les risques qui ne sont pas couverts par les polices, comme les ruptures et débordements de digues qui sont des exclusions générales dans les contrats d’assurance de dommages aux Pays-Bas, tout comme les vagues déferlantes en Allemagne », rappelle-t-il. MODÉLISER POUR PRIORISER « Les conséquences économiques des catastrophes natu­ relles restent pour 70  % non-assurées  », rappelle Emmanuel Fierens, Chief Underwritting Officer, Head of Business Solutions, Scor (cf encadré). Le groupe industriel Faurecia qui développe, fabrique et commercia- lise des composants et équipements à destination des constructeurs automobiles, a développé une vraie stratégie pour appréhender le risque de CatNat. Tout est parti d’un constat chiffré éloquent, comme l’explique Michel Josset, Risk Manager de Faurecia. «  Sur 10 ans, on s’est aperçu que l’impact du risque naturel sur nos sites représentait 12 % de notre sinistralité globale. Et si l'on étend le sujet aux carences, donc avec des pertes d’exploitation, cela passe à près de 40  % (12  % direct/27 % indirect) ». La Direction des risques et assurances élabore alors une cartogra- phie afin de suivre 12 risques naturels (mise à jour tous les six mois). « LA (RÉ)ASSURANCE “STRESSE” LES MODÈLES POUR COMPRENDRE LES CONSÉQUENCES DES SCÉNARII EXTRÊMES ET DÉFINIR LES BORNES DE L’ASSURABILITÉ  » Emmanuel Fierens, Chief Underwritting Officer, Head of Business Solutions, Scor Quels sont les risques environnementaux/naturels qui impacteront demain les entreprises ? Les risques naturels ont toujours fait partie des expositions auxquelles font face les pays, les économies et donc les entreprises. Certaines expositions sont «  normales  », c’est-à-dire connues et cartographiées. Elles dépendent des localisations, des typologies de sols et de reliefs. Les risques naturels intègrent aussi des phénomènes extrêmes, identifiés et récurrents qui font l’objet d’études particulières. C’est le cas du phénomène El Nino, connu depuis les années 1920. Lorsqu’il se manifeste, El Nino a des conséquences majeures sur le niveau de précipitations ou encore sur l’ampleur des sécheresses, comme on peut le constater sur la côte Ouest des États-Unis, ou sur la côte Est de l’Australie. La question posée aujourd’hui est de savoir si ces risques naturels vont évoluer avec le réchauffement clima- tique. Le rapport 2014 du GIEC (Groupe Intergouvernemental d’Experts sur l’évolution du Climat) fournit des informations détaillées et argumentées aux États et aux acteurs économiques tels que les entreprises, pour leur permettre d’apprécier et de mesurer les conséquences du changement climatique sur leurs domaines d’inter- vention et d’activité, afin de mieux se préparer. Pour les entreprises, ces données peuvent constituer une grille d’analyse de vulnérabilité qui contribue à les guider dans leurs choix d’investissement et de partenariat dans certains pays/zones. Les risques climatiques sont-ils assurables ? Dès 2009, l’Association de Genève (think tank de l’industrie de l’assurance) confirmait la mobilisation du secteur à développer des solutions afin de limiter les conséquences d’événements catastrophiques, dans le cadre d’un dialogue avec les autorités administratives, lorsque les frontières de l’assurabilité sont atteintes. Le CERES (organisation américaine dédiée à la promotion du développement durable) souligne que les assu- reurs Dommages américains prennent un nombre croissant de mesures pour protéger leurs intérêts et leurs bilans, tout en développant un nombre plus important de solutions pour le marché. Toutefois, l’assurance, seule, ne peut pas fournir toutes les solutions. En moyenne annuelle, en raison de la faible pénétration de l’assurance dans certaines zones ou en raison d’une non-assurabilité, les consé- quences économiques des catastrophes naturelles restent pour 70  % non-assurées. L’engagement des États à réduire le réchauffement climatique est primordial. L’assurabilité des risques climatiques, sous réserve qu’ils soient soudains et fortuits, requiert la combinaison d’un périmètre légal bien défini, d’un exposé clair des enjeux et vulnérabilités, et d’une capacité à modéliser les expositions. Ces conditions sont d’autant mieux remplies que les pays sont matures et les entreprises développées. Pour anticiper les risques liés au changement climatique, la (ré)assurance «  stresse  » les modèles pour comprendre les conséquences des scénarios extrêmes et définir les bornes de l’assurabilité. La complexité, la diversité des situations des pays et l’ampleur des risques climatiques demandent la mobilisation de l’ensemble des acteurs, notamment les pouvoirs publics, les régulateurs, les (ré)assureurs et les assurés. Emmanuel Fierens, Chief Underwritting Officer, Head of Business Solutions, ScorATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 29 DOSSIER LES RISQUES ENVIRONNEMENTAUX « La première phase consiste à établir des profils de risque naturel sur l’ensemble de nos 330 implantations. Pour cela, nous avons utilisé un fournisseur de données, le réassureur Munich Re, avec qui nous avons noué un partenariat. Ils mettent donc à notre disposition des données afin que nous puissions caractériser le risque naturel de chacun de nos sites. Nous avons donc pu hiérarchiser ces risques et nous avons finalement retenu cinq risques qualifiés de particulièrement destructeurs pouvant conduire à une destruction totale ou quasi-to- tale d’un site  ». Ces cinq risques sont  : l’inondation par débordement de rivière, le séisme, les tornades, les tempêtes tropicales et les effondrements de toit par poids de la neige. La Direction des risques et assurances a aujourd’hui injecté cette démarche d’appréhension des risques natu- rels dans le processus d’acquisition de ses nouveaux sites. «  Quand nous cherchons une nouvelle implantation, nous établissons les profils de risques pour chaque loca- lisation potentielle de manière à ce que le risque naturel soit l’un des critères de choix de notre future implantation. Ce paramétrage sert aussi aux gestionnaires de projet pour adapter ou renforcer la construction si un risque parti- culier est identifié  », explique Michel Josset. Au niveau du board de Faurecia, ce risque est désormais suivi de manière régulière par le Comité des risques qui se réunit une fois tous les trimestres. LES AUDITS SUR SITE « La finalité de l’exercice a changé  », explique Laurent Barbagli. «  Les Risk Managers réalisaient déjà des audits sur sites afin de pouvoir bien vendre leurs risques auprès des assureurs. Maintenant ils le font car les entreprises ont compris que c’était un moyen de résilience et de protection de l’actif industriel. » La société mutualiste FM Global, spécialisée dans la prévention, la gestion et l’assurance des risques indus- triels, propose aux entreprises des audits sur site et notamment dans des pays où les données sont plus difficilement accessibles. «  Nous avons 1 800 ingénieurs de prévention dans le monde répartis dans 150 pays. Leur mission : visiter les sites des clients situés autour de chez eux car il s’agit de locaux qui connaissent bien les caractéristiques, normes locales ainsi que les expositions « La modélisation a ses limites car pour modéliser, il faut des données qui ne sont pas toujours disponibles dans certains pays, d’où la nécessité de réaliser des audits sur sites.  » RISKMARK ® , L'OUTIL DE FM GLOBAL POUR LES RISK MANAGERS Quels sont les établissements les mieux protégés ? Ceux les plus exposés aux risques ? FM Global propose un outil assez complet  : RiskMark ® . Au travers des recommandations émises par les ingénieurs-conseils, les directeurs d’établissements et les Risk Managers peuvent adopter une stratégie d’amélioration de la protection du site. RiskMark® présente l’avantage d’offrir une vision plus globale en permettant d’ef- fectuer une cartographie des risques à l’échelle de l’entreprise. L’outil prend en compte, pour évaluer le niveau de risque de chaque site, au-delà des risques incendie et équipements :  l’exposition aux catastrophes naturelles,  les risques liés à l’activité,  le facteur humain, qui correspond aux procédures au sein de l’établissement, aux processus de fabrica- tion, aux manières de travailler… Michel Josset, Risk Manager, Faurecia Laurent Barbagli, Administrateur de l’AMRAE « La modélisation joue un rôle majeur dans la définition des solutions et permet de dégager des tendances afin d’évaluer le capital requis pour assurer ces risques.  » Emmanuel Fierens, Chief Underwritting Officer, Head of Business Solutions, Scor ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 30 DOSSIER LES RISQUES ENVIRONNEMENTAUX Laurent Wantz, Directeur de l’ingénierie pour les Opérations de Paris, FM Global en termes de CatNat locales  », explique Laurent Wantz, Directeur de l’ingénierie pour les Opérations de Paris. Ces ingénieurs vont regarder et évaluer essentiellement quatre risques  : l’inondation, le tremblement de terre, la tempête et l’effondrement des toitures suite à une accu- mulation d’eau ou de neige (cf. encadré outil RiskMark ® de FM Global). DES RISK MANAGERS DE PLUS EN PLUS IMPLIQUÉS Dans certaines entreprises, les Risk Managers peuvent être impliqués très tôt dans la gestion du risque de CatNat. «  Nous intervenons sur des préconisations comme, par exemple, la mise en place de moyens de protection en adéquation avec les risques, explique Cédric Malki. Nous pouvons intervenir aussi très en amont, comme lors de projet d’extension de site comme celui présent sur la station de ski d'Avoriaz. Après détection d'un risque sismique, l’équipe projet a fait réaliser une étude d’impact en collaboration avec un sismologue.  » Pour Laurent Barbagli, «  dans une entreprise industrielle, tout le monde est Risk Manager  ». Celui qui a le titre de Risk Manager a donc pour missions de s’assurer que la cartographie des risques est exhaustive et de vérifier qu’il y a bien un pilote pour chacun des risques naturels qualifiés de majeurs pour l’activité, de même que pour les PCA. «  Il peut insuffler en interne qu’il y a bien un processus de vérification des process », poursuit-il. DISPOSITIFS PRÉVENTIFS ET CURATIFS Une entreprise qui a survécu à un risque naturel majeur se met ensuite à l’abri. Or la mise en place de certaines mesures de bon sens et dispositifs relativement basi­ ques, peut permettre de limiter les dégâts. Murets de rétention et batardeaux ainsi que surélévation des équi- pements pour contrer le risque d’inondation, piliers en béton armé enfoncés profondément dans le sol pour résister aux ouragans, ou encore filet de protection pour éviter que les objets extérieurs ne se transforment en projectiles en cas de vent violent, élaboration d’un plan d’urgence millimétré… Les solutions préventives ne manquent pas. Après le passage de l’ouragan Wilma qui s’est abattu sur le Yucatán au Mexique en 2005, le groupe Club Med a dû rénover une bonne partie de son village. Pour contrer de « Le Risk Manager devient alors membre de la deuxième ligne de maîtrise du Risk Management de l’entreprise car il va vérifier avec l’audit et avec les fonctions que tout est bien en place.  » Laurent Barbagli, Administrateur de l’AMRAE LE GROUPE ENGIE FACE AUX RISQUES DE CATNAT Il y a quelques années, le Groupe Engie n’avait qu’un seul programme Dommages pour couvrir la totalité de ses actifs industriels dans le monde. Il y a 4 ans, le département Assurances décide de le découper en quatre programmes assurantiels distincts en fonction de leur localisation géographique. «  Chacun de ces programmes a atteint aujourd’hui une taille critique sur le marché et ce découpage en régions nous a permis d’ex- ploiter la compétitivité des marchés locaux et a notamment conduit à multiplier par trois les limites de garantie liées aux événements naturels  », explique Laurence Delaire, Directeur Assurances du Groupe. «  Nous n’avions donc plus besoin d’acheter une couverture CatNat spécifique pour nos actifs, hormis sur le risque de tremblement de terre/tsunami au Chili, pour lequel nous souscrivons un excess sur le marché de Londres.  » Il y a 4 ans, le Département Assurances d’Engie a lancé une cartographie de l’ensemble des risques indus- triels pour évaluer l’exposition du Groupe aux événements naturels en géolocalisant tous ses actifs et en croisant cela avec les cartes de Munich Re. «  Sur l’Amérique latine où nous avons une concentration de valeur sur une zone exposée aux risques naturels, nous avons approfondi l’étude avec AIR  », l’un des spécialistes du marché au côté de RMS et Eqecat. AIR a ainsi envoyé sur place une équipe d’ingénieurs qui vérifie, avec les collaborateurs du Groupe présents sur le site, les constructions et la prise en compte des normes sismiques. Les actifs d’Engie n’ont, pour l’heure, jamais enregistré de gros dégâts, mais le Groupe n’en est pas moins prudent au regard de la valeur de ses sites industriels. Usines de production électrique, barrage, usine de désalinisation, au total le montant à assurer pour les actifs onshore s’élève à plus de 150 milliards de dollars, répartis dans une cinquantaine de pays. Laurence Delaire, Directeur Assurances, EngieATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 31 DOSSIER LES RISQUES ENVIRONNEMENTAUX futurs ouragans de catégorie 5, les châssis vitrés ont, par exemple, été remplacés par de nouveaux vitrages en verre feuilleté de 6 millimètres qui, en cas de rupture, ne s’effritent pas et continuent de protéger du vent et de la pluie. Le bar-restaurant en bois a été renforcé par 14 piliers en béton armé enfoncés à 8 mètres de profondeur et supportant la toiture… ATTENTES VIS-À-VIS DES ASSUREURS Face à un risque aussi protéiforme que le risque de catastrophe natu- relle, qu’attendent aujourd’hui les Risk Managers de leurs assureurs ? « Nous attendons des assureurs avant tout de l’expertise technique et qu’ils nous aident à mieux connaître ces risques sur la partie préven- tion », explique Michel Josset. «  S’ils nous accompagnent bien sur le risque d’incendie, nous attendons qu’ils étendent leurs compétences pour nous aider aujourd’hui à gérer ce risque naturel. Ainsi Allianz nous assiste sur le risque inondation et Axa sur le risque séisme. En plus de nous délivrer des garanties bien adaptées à nos risques, nous souhaite- rions qu’ils nous aident à construire des scénarios de dommages multi- sites puisque le risque naturel est, par définition, régional et nous avons besoin d’outils pour évaluer l’enveloppe de destruction maximale des différents sites impactés. Nous avons sollicité Swiss Re et Scor pour ce type de simulation. » Développer l’esprit de partenariat pour innover dans les couvertures est capital pour la Directrice des risques et des assurances du Club Med, Morgane Pourchet (cf. encadré ci-dessus). Elle s’est ainsi rapprochée de son cabinet d’expertise en assurances, Polyexpert, afin de réaliser une étude «  sinistre maximum possible  » pour qualifier le risque d’ou- ragan principalement. «  Nous avons travaillé avec les assureurs/réas- sureurs ainsi que Polyexpert et notre courtier Marsh, pour leur proposer une méthodologie novatrice pour la gestion du risque TOC. L’analyse a fait ressortir un sinistre maximum inférieur à 60  %, seuil au-delà duquel nous considérions qu’un village était complètement détruit. Sur la zone Caraïbes, la plus exposée à ce risque, nous avons donc pu démontrer que nos villages ne pouvaient pas être détruits en totalité  ». Un travail qui a permis au Groupe à la fois de racheter des capacités et de réduire les franchises en fonction des zones.   GÉOLOCALISATION DES SITES POUR UN MEILLEUR CALCUL DE PRIMES : L’EXEMPLE DU CLUB MED Confrontés aux risques naturels plusieurs fois par an, le groupe Club Med, implanté un peu partout dans le monde, a une bonne expérience en matière de sinistres liés aux CatNat. Années noires pour le Groupe  : 2004 et 2005 avec le tsunami à Phuket (Thaïlande) et aux Maldives ainsi que les ouragans sur la zone américaine, entraînant plusieurs dizaines de millions d’euros de dégâts. «  Fin 2005, nous étions dans un contexte compliqué avec des franchises très importantes et des garanties très réduites  », explique Morgane Pourchet, la Directrice des risques et assurances. Le Groupe se tourne alors vers le marché de Londres, «  les seuls à nous donner des capacités sur les TOC ». La direction de Morgane Pourchet travaille en étroite collaboration avec les Directions Technique, Maintenance et Construction. «  L’électrochoc  », comme le nomme la directrice des risques, a lieu en 2013. «  Fort de ses 20 ans d’expérience sur la zone Amérique, le directeur technique nous a affirmé qu’un ouragan ne pouvait pas détruire en totalité un village  ». Elle essaie alors de comprendre comment sont calculées les primes d’assurance, très élevées car le Groupe est très exposé aux TOC, et sur quelles informations se basent les assureurs. «  Ils ont commencé à nous restituer le modèle RMS sur nos villages et c’est alors que nous nous sommes aperçus du problème : la localisation de nos villages était souvent très aléatoire allant jusqu’à des écarts de plus de 100 km ! Sur notre site de Yabuli en Chine, par exemple, le risque inondation ressortait de manière très forte alors qu’il s’agit d’une station en altitude… C’est comme ça que nous avons compris que nous devions géolocaliser nos sites  ». Tous les villages Club Med le sont aujourd’hui et les coordonnées GPS côtoient les capitaux assurés. Morgane Pourchet, Directrice des risques et assurances, groupe Club MedATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 32 DOSSIER LES RISQUES ENVIRONNEMENTAUX « En 2005, l’ouragan Katrina a été un déclic pour les États-Unis, qui ont depuis un véritable intérêt pour la résilience  », a expliqué Damienne Provitolo, Chargée de recherche à Geoazur (unité spécialisée dans les géos- ciences) en guise d’introduction. Présentant la résilience comme «  la capacité pour un système à se remettre d’un choc en adoptant un nouvel état d’équilibre  », la chercheuse a identifié trois phases  : faire face au choc, se remettre du choc, mettre en place des actions correctives (retour d’expérience). DES RISQUES NATURELS AUX CONSÉQUENCES SYSTÉMIQUES Pour illustrer les conséquences multiples d’un même choc, Damienne Provitolo a cité l’exemple de Fukushima : «  un séisme engendre un tsunami, qui cause une catastrophe indus- trielle et sanitaire. Un même bâtiment (hôpital, école…) représente à la fois une cible sensible ou un lieu de refuge. Les réseaux de gestion des eaux, des déchets, d’énergie, de transports, sont interconnectés, multipliant ainsi les paralysies de services consécutives à une catastrophe naturelle. » DES RÉACTIONS HUMAINES IMPRÉVISIBLES Quel rôle attribuer alors aux différents acteurs ? Devant une photo du tsunami de 2004, sur laquelle trois personnes font face à la vague, Damienne Provitolo a montré les différentes réactions possibles face à un phénomène : «  une personne fuit, une autre hésite et ne bouge pas, une troisième va vers les vagues, inconsciente du danger  ». Un cas révélateur des «  comporte- ments instinctifs, non raisonnés  », allant selon les individus de la sidération à la panique. «  Il faut anticiper une gouvernance précise des diffé- rents pôles et acteurs en amont, afin d’éviter un manque de communication comme entre la France et l’Italie dans la catastrophe du tunnel du Mont-Blanc  », a prévenu la chercheuse. LE RÔLE-CLÉ DES CITOYENS DANS LA RÉSILIENCE TERRITORIALE Anne Chanal, Chef du service vulnérabilité et gestion de crise au Centre d’études et d’exper- tise sur les risques, l’environnement, la mobilité et l’aménagement, a ensuite présenté le prin- cipal enseignement des crises naturelles. «  Lors d’une perturbation, le citoyen est le premier présent sur place, donc le premier en capacité d’agir, organiser, remonter l’information, alerter, protéger… L’exemple de l’usine AZF en 2001 l’a montré : les habitants des quartiers touchés par l’explosion étaient les premiers sur place. Ils ont pu apporter les premiers secours, recenser les besoins prioritaires… Si on le prend en compte comme ressource, cet appui peut permettre de réduire la vulnérabilité des territoires. » Anne Chanal s’est ensuite posé la question suivante : comment construire et occuper un territoire pour réduire en amont les risques ? Pour elle, la réponse passe obligatoirement par le développement durable, qui «  favorise la rési- lience d’un territoire : l’aménagement permet au territoire de s’adapter aux crises qu’il pour- rait rencontrer. Le développement durable inclut quatre volets : environnement, approche sociale du développement, approche économique, prise en compte de la gouvernance et de l’ensemble des acteurs du territoire. Ces 4 leviers, bien maîtrisés et conçus, renforcent la résilience  ». Cette table ronde consacrée aux territoires a donc indirectement prouvé le rôle-clé des entreprises en matière de RSE, de formation des salariés à certains gestes… Des notions à développer pour les Risk Managers !  LA RÉSILIENCE TERRITORIALE FACE AUX CATASTROPHES NATURELLES ET INDUSTRIELLES Comment des évènements naturels qui ont impacté les territoires peuvent-ils être utilisés pour l’avenir ? C’était la question posée lors de la conférence d’ouverture du forum Envirorisk (consacré aux risques naturels, technologiques et sanitaires). Les réponses apportées ont livré des éléments pertinents pour les Risk Managers d’entreprise ou du secteur public.ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 33 DOSSIER LES RISQUES ENVIRONNEMENTAUX Notre spécialité : assurer les risques des entreprises Dotée d’une équipe disponible, réactive, à l’écoute du marché et de ses partenaires, Amlin propose des solutions d’assurance adaptées aux risques traditionnels, comme aux risques sensibles, en France et à l’international. Dommages Responsabilité Civile Maritime & Transport La continuité... c’est être présent quand vous en avez besoin contact.france@amlin.com Amlin Europe N.V. - SA de droit néerlandais au capital de 11 400 000 euros Siege social : Van HauvenGoedhartiaan 939 1181 Amstelveen (Pays Bas) RC d’Amsterdam 33055009 - Soumise au controle de la DNB (De Nederlandsche Bank) et de L’AFM (the Authority for Financial Markets) Succursale en France 25 rue de Liége 75008 Paris - +32 (0)1 44 70 71 00 - F +33 (0)1 42 93 47 42 - contact. france@amlin.com RCS Paris 799 856 406 Crédit photo : Getty images Amlin sera présent aux Rencontres AMRAE. 3 au 5 février 2016 - Lille Grand Palais Venez nous rencontrer et échanger avec nos équipes. 16 FACE AU RISQUE n° 516 octobre 2015 Exemple : mesure du risque RH et contribution à la sauvegarde de la valeur Risque RH identifié Coût des sinistres sur venus (coût caché) Investissement Moyens de maî trise Retour sur investissement immatériel (ROII) 2 Absentéisme 2 50 0 jours/homme (J/H) d’absentéisme moyen par an pour une PME de 20 0 collaborateur s. 1 E T P 1 = 220 J/ H = 11 , 5 E T P ➥ C o û t di r e c t ( h o r s p e r te s de potentiel) total entreprise : 11, 5 E T P x 3 0 k€ = 3 4 5 k€ M i s e e n p l a c e d e m oye n s d e s é c u r i té et prévention, analyse et traitement des causes : • 1 r i s k m a n a g e r r e c r u té = 70 k € • 2 E T P i nve s ti s s u r l’a m é li o r a ti o n d e s c o n di ti o n s d e tr ava il = 6 0 k€ • Revalorisation collaborateurs = 10 0 k € Ave c u n e r é d u c ti o n d e 8 0 % ( hy p oth è s e o pti m i s te) d u t a u x d’a b s e n té i s m e (s o i t 276 k€ ) ➥ ROII récurrent : 276 k€ – ( 70 k€ + 6 0 k€ +10 0 k€ ) = 4 6 k€ d e g a i n Soit : R O II = 16 ,7 % 1) E T P : é q u i va l e n t te m p s p l e i n . 2) L e R O I I é t a n t l e r a p p o r t e n t r e l e g a i n e n te r m e s d e r é d u c t i o n d u r i s q u e e t l e s c o û t s d e m oye n s d e m a î t r i s e m i s e n p l a c e p o u r o b te n i r c e g a i n . Les indicateurs récurrents de mesures du risque RH (r e c e n s e m e n t d e s p r a ti q u e s a u p r è s d’u n e tr e n t a i n e d e r i s k m a n a g e r s , to u s s e c te u r s) Ty p o l o g i e I n d i c a t e u r d e r i s q u e R H Ratio Alimenté par S u i v i p a r Indicateur de recrutement Nombre de recrutements/nombre de dépar ts DRH Métiers DRH Talent management Risk management – D é l a i m oye n p o u r tr o u ve r u n p r of il ex p e r t – N o m b r e d’e n tr e ti e n s p o u r tr o u ve r u n p r of il ex p e r t DRH Risk management Métiers DRH Talent management Coût moyen sauvegarde homme clé DRH Direction financière DRH Risk management Métiers Direction financière Indicateur d’absentéisme N o m b r e d e j o u r s d e g r ève /a n D R H – D i r e c ti o n juridique et droit social DRH Risk management Direction généraleNombre de jours/homme non travaillés Métiers Indicateur de formation Nombre de formations suivies dans l’année DRH Métiers DRH Métiers Risk management Syndicats Indicateur de mobilité Tu r n ove r ex te r n e DRH Métiers DRH Métiers Risk management Syndicats Turn over interne (nombre de salariés ayant changé de fonction dans l’année) Indicateur d e p r o d u c ti o n R H Nombre de jours/homme Nombre d’équivalents temps plein nécessaire par activité/projets Métiers DRH Direction financière Direction généraleTaux de sous-traitance : par t de l’activité accomplie par des ressources humaines ex ternes Métiers Masse salariale (montant, évolution par période) DRH Métiers Direction financière Direction générale que si ces déma rches ont un coût cer ta in, el les per- met tent de cont r ibuer à év iter cer ta ins r isques qu i ne dev ra ient ja ma is a r r iver (su icide, bu r n-out, dépa r ts de col laborateu rs-c lés) et de tenir compte de l ’e x t rême d iversité des r isques R H (voir tableau page 14). Au-delà même de l ’ ident if icat ion, les ent repr ises ayant t iré pa r t i de ces déma rches l ’ont fa it en insista nt su r cer ta ins ind icateu rs prag mat iques, per met tant d ’obte- nir une quantif ication des différents impacts du risque R H (voir tableau ci-dessus). En conc lusion, les résu ltats de l ’enquête ont conf ir mé que toutes les ent repr ises inter rogées ont déployé des moyens ta nt huma ins que log ist iques et mét hodolo- g iques pou r for ma l iser, su iv re et ma ît r iser leu rs r isques R H. Près de la moit ié de ces r isques sont inter nes à l ’en- t repr ise et impactent d irectement son organisat ion, son fonct ionnement et sa product iv ité. Toutefois, seu les 20 % des ent repr ises inter rogées sont réel lement conva incues de l ’ intérêt de la déma rche de gest ion des r isques pou r le développement et la croissa nce de l ’ent repr ise. Une pol itique globa le de ma îtrise des risques R H mise en œuv re conjointement pa r le DR H et le r isk manager, avec le sponsor ing de la d irect ion généra le, per met t ra de t ransfor mer ce qu i semble êt re des cont ra intes en un for m idable moteu r de per for ma nce pou r l ’ent repr ise. n Nicolas Dufour Docteur en gestion, professeur af filié, Paris School of Business Abdel Bencheikh Associé fondateur, Prométhée Par tners Président de la commission risques RH, Amrae 10 FACE AU RISQUE n° 516 octobre 2015 DOSSIER LA SÉCURITÉ EST-ELLE ÉCONOMIQUE ? d ’améliorer l ’eff icacité de la fonction. L’outil permet de d i s c ut e r a v e c l a d i r e c t ion d e l ’e nt r e p r i s e . E n t e n a nt c o mp t e du coût du r isque au globa l, avec tous les cor responda nts da ns le monde, nous mont rons que la fonct ion rayonne. B . B . L es ent repr ises ma nquent d ’un tableau de bord or ienté a na ly se f ina ncière su r l ’a na ly se de r isque. Chez T ha lès pa r e xemple, nous avons une for te cu lt u re du r isque ma is i l est d if f ici le d ’avoi r un ind icateu r mesu- r a nt , d a n s l a d u r é e , l ’ i mp o r t a n c e d e l ’a s s u r a n c e d a n s n o s activités. Or, les risk managers sont convaincus que les ent repr ises ont v ra iment besoin de l ’assu ra nce pou r fa i re face à des scéna r ios catast rophe qu i pou r ra ient ent ra îner leu r d ispa r it ion. Et le rat io pr imes à sin ist res ne su f f it pas toujou rs pou r e x pl iquer la nécessité de l ’assu ra nce, qu i est souvent perçue comme un budget de dépense pa r le d ir igea nt. Qua nd l ’ent repr ise achète une assu ra nce, el le achète aussi l ’assu ra nce de ne pas déposer le bi la n en cas de coup du r. L’ ind icateu r per met d ’avoir cet te idée en tête et mont re que l ’assu ra nce doit êt re une st ratég ie de l ’ent repr ise, pa r e xemple en met ta nt en rega rd ce que l ’ent repr ise pa ie comme pr imes avec ce qu’el le au ra it eu à payer en cas de sin ist re non assu ré. Comment fonctionne-t-il ? B . B . L’out i l se présente sous la for me d ’un tableau de ca lc u l da ns lequel l ’ent repr ise doit intég rer l ’ensemble des r isques assu rables ou auto-assu rés. À savoi r le coût des assu ra nces, le coût du t ra itement des r isques avec la pré- vent ion (coût des v isites de r isques, des mesu res de pré- vent ion et protec t ion ou rému nérat ion des consu lta nts), les f ra is de gest ion inter nes (sa la i res, cha rges socia les…), les f ra is de gest ion e x ter nes (rémunérat ion des cou r t iers, des avocats impl iqués da ns la gest ion de sin ist res, des e x per ts…) et le coût de l ’auto-assu ra nce (coût des f ra n- ch ises, des sin ist res non-assu rés et capt ives). L’out i l add i- t ionne des éléments faci lement ident if iables et l iste les coûts cachés. L’ensemble des coûts ident if iés est ensu ite rappor té au x fonds propre s de l ’ent repr ise. A .- M . F. D’a nnée en a nnée, les va r iat ions de la va leu r de l ’ ind icateu r pou r ront êt re e x pl iquées et commentées pou r mont rer l ’ impact des événements qu i se sont produ its, qu’ i ls soient inter nes (dépenses de prévent ion, embauches da ns l ’ équ ipe de r isk ma ngement) ou e x ter nes (v a r iat ion des pr i x du ma rché de l ’assu ra nce pa r e xemple). C ’est un outil général, adaptable à une f iliale, une activité, un pay s, un secteu r d ’assu ra nce. La mét hode per met d ’a na- ly ser et d ’e x pl iquer les tenda nces de fond. El le s’ad resse à toutes les ent repr ises. Cet out i l pa r t icipe à la spi ra le ver- t ueuse que nous vou lons impu lser da ns nos ent repr ises. L’object if est de su iv re l ’ évolut ion de l ’ ind ice, de l ’a na ly ser et de pouvoi r l ’e x pl iquer pou r appor ter une in for mat ion plus object ive auprès des comités de d i rect ion. A mrae/Seitosei L’indicateur permet d’avoir une transparence sur les coûts, de prouver que le montant dédié aux risques ne pèse pas grand-chose et qu’on peut peut-être investir davantage dans la prévention ou les garanties. Anne-Marie Four nier, vice-présidente de l’Amrae et risk manager de Kering. SECUNORM 380 EN JOY SAFE T Y M ADE IN SOLINGEN appréciez la sécur ité f abr iquée à Solingen L ame longue, risque élevé. C’était le cas jusqu’à présent ! Avec le SECUNORM 380 vous disposez maintenant du premier couteau de sécurité au monde, combinant un débord de lame de près de 8 cm avec une rétrac tion semi-automatique de la lame. Pour en savoir plus : w w w.mar tor.fr I T +33 (0)3 88 7 2 96 3 4 VOTRE CUT TER ? OUBLIEZ-LE. Presentation smaller than 1 cm Abbildung kleiner als 1 cm 30 NOVEMBRE AU 11 DECEMBRE 2015 COP21 - Paris La France va accueillir et présider la 21 e Conférence des parties de la Convention-cadre des Nations unies sur les changements climatiques de 2015 (COP21/CMP11). Une échéance cruciale, puisqu’elle doit aboutir à un nouvel ac- cord international sur le climat applicable à tous les pays, dans l’objectif de maintenir le réchauffement mondial en deçà de 2°C. Les travaux, ac- cords, et conclusions étayeront les réflexions des 24 e Rencontres AMRAE. 14-16 JANVIER, 21-23 JANVIER ET 28-30 JANVIER 2016 Session de printemps de l’ARM - Paris La formation ARM (Associate in Risk Management) 2016 démarre avec les sessions des modules ARM 54 (Diagnostic des risques), ARM 55 (Réduction des risques), et ARM 56 (Financement des risques) : les dates sont indiquées dans l’ordre respectif. Avec plus de 31  000 diplômés, cette formation diplômante est LA filière d’excellence pour la recon- naissance des Risk Managers expérimentés. JANVIER 2016 Petit-déjeuner du CARM - Paris Le CARM (Cercle des Associés en Risk Management) organise un pe- tit-déjeuner autour du thème «  Je suis Risk Manager chez Volkswagen  : qu’est-ce que je risque ?  ». Des magistrats et des Risk Managers ap- porteront leur éclairage sur la question. Le petit-déjeuner gratuit aura lieu de 8 à 10 heures. Une autre session portant sur le thème du risque médical est à prévoir en février. Plus d’informations sur www.carm.com 3-5 FEVRIER 2016 24 e Rencontres du Risk Management AMRAE - Lille La 24 e édition des Rencontres AMRAE aura comme thème « Climats à hauts risques  ». N’est-il pas temps de tous prendre conscience des limites naturelles de la pla- nète ? Comment nos entreprises peuvent-elles rester compétitives dans ces nouvelles limites ? À quels scénarios de crise devons-nous nous préparer ? Un Risk Management à l’échelle de la pla- nète est-il totalement utopique ? Comme chaque année, plus de 2  000 professionnels de la gestion des risques et des assurances sont atten- dus pour profiter de 180 heures de programme scientifique, avec des intervenants de haute volée. 9-11 MARS 2016 Module A du Cefar - Paris Le Cefar 2016 démarre en mars avec le module A. Le Cefar, formation à la Stratégie de gestion des risques, permet aux gestionnaires de risques de disposer d’une vue d’ensemble des différentes missions, d’élaborer et de tester un plan de crise, de mettre en œuvre un disposi- tif de gestion des risques, et de comprendre et analyser les évolutions liées notamment au gouvernement d’entreprise et au contrôle interne. Au total, 5 modules sur l’année mènent au diplôme. AGENDA REVUE DE PRESSE Notre spécialité : assurer les risques des entreprises Dotée d’une équipe disponible, réactive, à l’écoute du marché et de ses partenaires, Amlin propose des solutions d’assurance adaptées aux risques traditionnels, comme aux risques sensibles, en France et à l’international. Dommages Responsabilité Civile Maritime & Transport La continuité... c’est être présent quand vous en avez besoin contact.france@amlin.com Amlin Europe N.V. - SA de droit néerlandais au capital de 11 400 000 euros Siege social : Van HauvenGoedhartiaan 939 1181 Amstelveen (Pays Bas) RC d’Amsterdam 33055009 - Soumise au controle de la DNB (De Nederlandsche Bank) et de L’AFM (the Authority for Financial Markets) Succursale en France 25 rue de Liége 75008 Paris - +32 (0)1 44 70 71 00 - F +33 (0)1 42 93 47 42 - contact. france@amlin.com RCS Paris 799 856 406 Crédit photo : Getty images Amlin sera présent aux Rencontres AMRAE. 3 au 5 février 2016 - Lille Grand Palais Venez nous rencontrer et échanger avec nos équipes. FACE AU RISQUE n° 516 octobre 2015 9 DOSSIER LA SÉCURITÉ EST-ELLE ÉCONOMIQUE ? Coût du risque, un outil stratégique L’Association pour le management des risques et des assurances de l’entreprise (Amrae) a publié, en juin 2014, l’Indicateur du coût de traitement des risques assurables. L’outil permet d’appréhender le coût global du risque et fournit aux risk managers une grille d’analyse sur laquelle travailler avec leur direction. B iens et act i fs de l ’ent repr ise, responsabi l ités, pertes f inancières et capita l humain, l ’Indica- teu r du coût de t ra itement des r isques assu rables per met de mesu rer le coût globa l des r isques da ns une ent repr ise. L e doc ument de 16 pages doit per met t re au x r isk ma nagers d ’e x pl iquer leu r pol it ique globa le a nnée pa r a nnée, avec des a rg uments object i fs et fact uels, de just i f ier la déma rche de prévent ion et d ’assu ra nce et d ’empor ter l ’ad hésion des d i r igea nts pa r rappor t à la gest ion des r isques. Rencont re avec Br ig it te Bouquot, d i rect r ice des assu- ra nces et de la gest ion des r isques du g roupe T ha lès et présidente de l ’A mrae et A nne-Ma r ie Fou r n ier, r isk- ma nager de Ker ing et v ice-présidente de l ’A m rae, qu i ont pa r t ic ip é à l ’ él aborat ion de l ’ i nd ic ateu r. Comment définiriez-vous les « coûts du risque » ? Anne-Marie Fournier. À l ’ insta r de toutes les fonct ions de l ’ent repr ise, la gest ion des r isques, ou le r isk ma na- gement, est une fonct ion e xercée pa r des ind iv idus, rémunérés pou r leu rs compétences, et qu i font appel à des pa r tena i res e x ter nes pou r rempl i r cer ta ines mis- sions complémenta i res. Ces prestat ions sont f ina ncières (assu ra nce et auto-assu ra nce), intel lect uel les (cou r tage, consei l) et matér iel les pou r la prévent ion et la protec- t ion. La gest ion des r isques mobi l ise éga lement les capitau x de l ’ent repr ise, sa ns pou r auta nt les t ra nsférer à des t iers (capt ives, f ra nch ises). Appréhender le coût du r isque, c’est intég rer l ’ensemble de ces coûts inter nes, e x ter nes et d ’oppor t un ité l iés à la gest ion des r isques. Pourquoi les calculer ? Brigit te Bouquot . Ce qu i n’est pas nommé, a-t-on l ’ habit ude de d i re, n’e x iste pas. Et da ns l ’ent repr ise act uel le, ce qu i n’est pas ch i f f ré et qua nt i f ié est pauv re en lég it imité. Mesu rer les coûts de t ra itement des r isques rend plus l isible la cont r ibut ion économique et la va leu r ajoutée du r isk ma nagement. La volonté d’expliquer et valoriser la fonction du risk manager est-elle à l’o r ig i n e d e c et i n d ic a te u r ? A .- M . F. Oui. I l y ava it un v ra i besoin de rend re v isibles et compréhensibles cer ta ins ind icateu rs concer na nt les cou r- t iers, les assu reu rs et le coût de la sin ist ra l ité ma is aussi l ’ensemble des coûts inter nes l iés au x missions des mét iers du r isque. Cela resta it souvent t rop techn ique pou r les non-initiés. L’outil a été élaboré pour faciliter la lisibilité du mét ier de r isk ma nager. Ce qu i compte, c’est d ’e x pl i- quer ce que l ’on fa it et mont rer l ’a mpleu r de la réa l ité de la fonct ion. Da ns le su iv i des va r iat ions des coûts, le mét ier de r isk ma nager prend tout son sens. L’object i f est aussi L’idée est de ne pas voir l’assurance comme un centre de coûts et de démontrer, à travers l’indicateur, que l’assurance et la prévention sont économiques et créatrices de valeur. » Brigitte Bouquot, présidente de l’Amrae et directrice des assurances et de la gestion des risques du groupe Thalès. A mrae/Seitosei FACE AU RISQUE n° 516 octobre 2015 13 La maîtrise des risques RH, levier de performances Sur des marchés saturés, dans des économies stagnantes et face à une concurrence qui s’internationalise, les entreprises cherchent à se démarquer. À cet effet, la gestion des ressources humaines constitue un élément clé de différenciation sociale et économique. D ès 2 0 05, U l r ic h et Broc k ba n k da ns leu r ouv ra ge « RH : c réation de valeur pour l ’ent reprise », pré- c i s a ient : « Les organisation s et les pe rsonnes deviennent des actifs incor porels lorsqu’ ils donnent au x investisseurs conf iance en l ’avenir, et des revenu s tan- gibles ». Si ces éléments sont établ is da ns la l it térat u re ma na gér ia le, u n a spec t cont r ibua nt à la pérenn isat ion des ressou rces hu ma ines (R H), en ta nt qu’ac t i fs incor- porels c lés pou r u ne org a n isat ion, reste la rgement sous- est imé. Cet a spec t consiste en la pr ise en compte des r isques l iés au x R H et de leu rs impac ts su r le dé velop- p ement d ’u ne ent repr ise. Cet a r t ic le v ise à démont rer que le recou rs au x mét hodes, out i ls et tec hn iques de gest ion des r isques P l u s d e 7 1 % des risques RH identifiés par les entreprises sont maî trisables p a r u n e p o l i t i q u e proactive et pr évent ive. Jea n Clau de M oschet ti /R E A DOSSIER LA SÉCURITÉ EST-ELLE ÉCONOMIQUE ? Parmi les nombreux événements marquants de cette fin d’année : attentats du 13 novembre et terrorisme, Risques Cat’Nat’ et COP21, analyses sur le Baromètre du Risk Manager ou l’Indicateur du coût de traitement des risques assurables, état du marché de l’assurance, SIGR, Risques RH… dans les bonnes feuilles de ce trimestre.ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 35 À L’AFFICHE L'ALCHIMISTE DE ERM BRIAN W. MERKLEY, CORPORATE RISK MANAGER DE HUNTSMAN Huntsman cumule les facteurs d’exposition aux risques : acteur majeur de l’industrie chimique, il gère une très vaste palette de produits dans de nombreux sites de production situés dans une multitude de pays… La solution ? Une démarche d’analyse très poussée, un ciblage des moyens sur les points critiques, et l’élaboration, avec son assureur, d’une démarche partena- riale unique, d’investissement en prévention pour des réductions programmées de primes. S pécialisé dans les differentiated chemi- cals, Huntsman se situe à mi-chemin entre le marché des produits de base, les commodities, et celui des spécialités. Le Groupe fournit ses produits à des acteurs de nombreux secteurs : automobile, plastiques, textile, chaussure, peintures, revêtements, construction, agriculture, santé, mobilier ou encore packaging. Huntsman peut aussi s’enor- gueillir de produire la résine qui assure la cohé- sion et la résistance des matériaux composites particulièrement prisés par les avionneurs, Boeing et Airbus en tête, pour alléger leurs avions. Si elle permet de générer un chiffre d’affaires annuel de 13 milliards de dollars, cette diversité induit aussi une grande complexité et une expo- sition à de multiples risques. Les chiffres parlent d’eux-mêmes : plus de 10  000 références produit et une infrastructure dimensionnée sur une centaine de sites de production et de R&D répartis dans plus d’une trentaine de pays. Brian W. Merkley, Corporate Risk Manager de Huntsman Par Gilmar Sequeira Martins BIO EXPRESS CARRIÈRE Depuis 2005 : Huntsman (Global Director, Corporate Risk Management) 2003 – 2005 : Koch Industries (Risk Financing Manager) 1998 – 2003 : Towers Perrin, devenu Towers Watson (Risk Management Consultant) Bachelor of Science (Brigham Young University) et Master of Business Administration (University of Georgia) AUTRES FONCTIONS 2002 – 2005 : Membre du RIMS Technology Advisory Council 2006 – 2010 : Membre fondateur du Board of Directors of the Utah Captive Insurance Association (UCIA) 2015 : Lauréat du Risk Management Honor Roll (Business Insurance magazine)ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 36 MÉTIER RISK MANAGER RISK MANAGER À L’INTERNATIONAL Nommé Corporate Risk Manager de Huntsman en 2005 quelques années après avoir publié un livre (voir encadré), Brian W. Merkley reconnaît que les expositions liées à l’immobilier sont un risque majeur. «  Beaucoup d’usines sont situées dans des zones exposées aux typhons, aux inondations et aux tremblements de terres ou encore d’autres types de catastrophes naturelles. Le second type de risques tient aux process mis en œuvre et aux produits. Huntsman vend des molécules à des clients qui les utilisent pour obtenir des résultats précis. En conséquence, nous accordons la plus grande importance à la qualité de nos produits afin de ne pas entraver ou endom- mager leurs process  ». S’y ajoutent les risques liés à la pollution, au trans- port par voie maritime et aux accidents du travail. UNE ÉQUIPE DIVISÉE EN DEUX CERCLES Pour démêler cet écheveau, Brian W. Merkley dispose d’une équipe de 12 personnes répartis entre le siège, les 5 divisions de la compagnie et celles en charge, respectivement, des questions relatives aux assurances pour la Chine et de l’Inde. «  Seuls les collaborateurs du siège sont américains, aime rappeler Brian W. Merkley. Cela nous apporte une variété de points de vue et assure un meilleur lien avec nos nombreux sites. J’accorde une grande importance aux visites et aux discussions avec les personnes qui travaillent dans nos installations, où qu’elles soient. En tant que Risk Manager, il est indispensable de sortir de son bureau pour aller comprendre les opérations sur le terrain. » 16 000 COLLABORATEURS CHIFFRES CLÉS 100 SITES DE PRODUCTION RÉPARTIS DANS PLUS DE 31 PAYS CHIFFRE D’AFFAIRES ANNUEL : 13 MILLIARDS DE DOLLARS 10 000 PRODUITS UN AUTEUR PRÉCURSEUR TOUJOURS D’ACTUALITÉ En 2001, Brian W. Merkley et deux autres Risk Managers sont sollicités par l’Institute of Internal Auditors pour publier un livre sur la situation du Risk Management au sein des entreprises et les pratiques émer- gentes qui s’y font jour. Après un an de travail paraît Entreprise Risk Management : Trends and Emerging Practices. Novateur, l’ou- vrage marque les esprits au point qu’en 2008, le Journal of Applied Finance le classe toujours parmi les dix ouvrages les plus consultés par les Risk Managers. Un succès que Brian W. Merkley attribue surtout à l’approche adoptée pour élaborer le livre : «  En 2000, très peu d’organisations s’intéressaient à la gestion des risques en entreprise, les enjeux que cela représen- tait et les implications que cela pouvait avoir sur l’audit interne mais aussi comment le Risk Management pouvait interagir avec toutes les parties prenantes. Je crois que ce livre a contribué à changer la vision qui dominait. Aujourd’hui, la stratégie des entreprises prend bien en compte la gestion des risques. Ce livre a diffusé une approche multidisciplinaire qui a cassé les silos traditionnels et fait émerger une perspective centrée sur un portefeuille de risques et non plus sur les préoccupations des différents départements d’une entreprise. »ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 37 MÉTIER RISK MANAGER RISK MANAGER À L’INTERNATIONAL CONTACTS ET INFORMATIONS Tél. : +33 2 40 41 49 04 www.besse.fr ERWANN KERVADEC DESIGN © Thinkstock Getty Les hommes et les femmes de Bessé sont des experts spécialisés dans le conseil et le service aux entreprises. Leur métier est centré sur le conseil sur-mesure en assurance, et l’accompagnement quotidien et durable de leurs clients, en France et à l’international. Bessé International System dispose des savoir-faire et des outils pour piloter et gérer la couverture de vos risques partout dans le monde. BESSÉ INTERNATIONAL SYSTEM TAILLEZ UN PROGRAMME SUR MESURE POUR VOS RISQUES À L’INTERNATIONAL. BC inter VDEF2.indd 1 12/05/2015 15:39 FAIRE RIMER CHAÎNE DE VALEUR ET ANALYSE DES RISQUES ET CADENCEMENT DES REVUES Devant la difficulté à recenser et analyser chaque référence du cata- logue, Brian W. Merkley fait appel à différents pools d’experts dont ceux de Huntsman réunis dans le programme Product Stewardship. Leur mission : évaluer les risques associés aux produits issus des familles de molécules jugées les plus importantes. «  Ce système nous a permis de transmettre à nos clients des règles très précises sur le stockage et l’utilisation des produits  », précise le Risk Manager. La fréquence de révision des risques a elle aussi été modulée, les plus élevés étant soumis à un examen annuel approfondi. Brian W. Merkley collabore ainsi étroitement avec les équipes chargées de l’audit interne et des finances pour piloter des sondages et des entretiens individuels avec des dirigeants clés. Les risques les plus importants sont commu- niqués chaque année au comité d’audit, rattaché comme en France au conseil d’administration. Les présentations centrées sur les risques sont autant d’opportunités d’échanges qui permettent aux administrateurs de s’approprier les données les plus récentes et précises sur la situation. LE 10-K POUR COMMUNIQUER LES FACTEURS DE RISQUE À LA SEC Les données recueillies grâce à l’évaluation annuelle des risques s’avèrent aussi très utiles pour remplir le formulaire 10-K. Exigé chaque année par le Security and Exchange Commissions, l’autorité de contrôle de la Bourse américaine, il permet aux investisseurs de connaître avec précision la nature des risques auxquels l’entreprise est exposée. L’équipe de Brian W. Merkley est naturellement impli- quée dans ce processus afin d’analyser les facteurs de risques qui sont communiqués aux actionnaires et aux investisseurs potentiels. INVESTIR POUR RÉDUIRE LES RISQUES ET LE MONTANT DES PRIMES Depuis 5 ans, Brian W. Merkley a aussi réexaminé la situation de plus d’une douzaine des principaux sites de production et passé au crible leurs plans de continuité d’activité  : « nous avons effectué des audits approfondis pour vérifier la solidité des PCA et des rapports ont été adressés au conseil d’administration.  » Malgré toutes ces actions, Brian W. Merkley a constaté que la couverture de risques aussi nombreux dans une multitude de territoires produisait inévitablement un maquis de contrats difficiles à gérer et onéreux. Il a donc lancé, en 2009, un grand programme d’analyse en partenariat avec l’assureur mutualiste FM Global. L’accord conclu au terme de ce processus prévoit que Huntsman s’engage à investir chaque année environ 10 millions de dollars pour réaliser des projets d’amélioration de l’exposition aux risques élaborés en partenariat avec les équipes de FM Global. Il s’agit le plus souvent de mesures simples comme l’ins- tallation de détecteurs de vapeur déclenchant automatiquement les sprinklers ou encore la pose de systèmes d’interruption de fourniture de gaz en cas de tremblement de terre. En échange des investissements ainsi consentis, FM Global s’est engagé à réduire d’année en année le montant des primes d’assu- rances exigées. Complexe à élaborer, ce dispositif a suscité l’intérêt du monde de l’assurance et valu une récompense à Brian W. Merkley : le magazine Business Insurance lui a attribué son Risk Management Honor Roll de l’année 2015. Aujourd’hui, l’équipe de Brian W. Merkley gère un portefeuille réduit à 15 programmes d’assurance spécifiques qui peuvent être catégorisés en 5 grands thèmes : l’immobilier, la responsabilité légale, la responsabilité managériale, le transport maritime et l'aérien.  RISK MANAGER À L’INTERNATIONAL Corporate Risk Management Department Current Roles & Responsibilities Insurance Champions Advanced Materials Division Performance Products Division Pigments & Additives Division Polyurethanes Division Textile Effects Division China India Risk Improvement Manager (Global EHS) Brian W. Merkley Global Director, Corporate Risk Management Property & Business Interruption Insurance Directors & Officers (D&O) Liability Insurance Corporate Excess Liability Insurance Pollution Legal Liability Insurance Construction “All Risks” (CAR) Insurance Insurance-Related Due Diligence / M&A Support Insurance Broker / Vendor Relationships Management of Captive Insurance Company International Risk Manager International Insurance Programs Marine Insurance Programs Aircraft Hull & Liability Insurance Aviation Products Liability Insurance Surety Bonds & Financial Assurance Joint Ventures – Insurance Support International Contractual Risk Transfer Insurance-Related Cost Allocations & Taxes North America Risk Manager U.S. Primary Casualty Insurance Program U.S. Owner Controlled Insurance Program (OCIP) Management Liability Insurance (non-D&O) Casualty Claim Management & Coordination U.S. Return-to-Work Program Support U.S. Contractual Risk Transfer Insurance Certificate Management Insurance-Related Collateral Administrative AssistantATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 38 MÉTIER RISK MANAGER CONTACTS ET INFORMATIONS Tél. : +33 2 40 41 49 04 www.besse.fr ERWANN KERVADEC DESIGN © Thinkstock Getty Les hommes et les femmes de Bessé sont des experts spécialisés dans le conseil et le service aux entreprises. Leur métier est centré sur le conseil sur-mesure en assurance, et l’accompagnement quotidien et durable de leurs clients, en France et à l’international. Bessé International System dispose des savoir-faire et des outils pour piloter et gérer la couverture de vos risques partout dans le monde. BESSÉ INTERNATIONAL SYSTEM TAILLEZ UN PROGRAMME SUR MESURE POUR VOS RISQUES À L’INTERNATIONAL. BC inter VDEF2.indd 1 12/05/2015 15:39 ILS L’ONT VÉCU : MISE EN PLACE DE FORMATIONS À LA PRÉVENTION AUTOMOBILE Patrick Lacroix, Risk Manager d’Idex Services, revient sur la mise en place d’une prévention automobile pour réduire le risque routier de quelque 2 500 collaborateurs. LE CONTEXTE : HAUSSE DU COÛT DES SINISTRES AUTOMOBILE E n 2010, nous avons eu un montant de sinistres automobile que nous n’avions jamais atteint, engendrant des coûts à notre charge trop élevés. J’ai donc prévenu la Direction géné- rale du problème, qui s’en est saisie. Avec une flotte de 2 500 véhicules en location longue durée (dont 90  % de véhicules utilitaires légers), utilisés à 90  % par des techniciens qui se déplacent beaucoup, le risque routier est important pour nous. Notre Direction Sécurité, Qualité, Environnement, Énergie (SQEE) produit un « document unique  », dans lequel nous identifions ce risque routier comme l’un de nos risques majeurs. Par ailleurs, ce risque est la première cause de mortalité des accidents du travail en France. L’augmentation du coût des sinistres a donc servi de déclencheur à la mise en place d’actions de prévention. Le coût d’utilisation d’un véhi- cule est constitué, dans l’ordre décroissant, par : le loyer (coût de la location), les frais de carburant, et la gestion du risque routier (assu- rances et règlement sinistres). Nous souhaitions trouver une solution pour réduire à la fois les sinistres (donc les risques pour nos collaborateurs), la consommation de carburant, et le coût de restitution du véhicule (le coût des répara- tions effectuées avant sa remise). DES PROCÉDURES PRÉCISES ET UNE MEILLEURE CIRCULATION DE L’INFORMATION La Direction générale a donc mis en place deux procédures dès fin 2010, que je pilote depuis :  la création d’entretiens post-accident : après chaque accident (avec ou sans tiers), le N+2 (pour un technicien) ou le N+1 (pour un cadre) mène l’entretien avec le conducteur du véhi- cule sinistré. Ce dernier remplit un questionnaire détaillé sur les causes et circonstances de l’accident, puis on lui pose la question « Comment auriez-vous pu éviter cet accident ?  » (80 à 90  % des acci- dents ont comme origine une erreur du conducteur). Des alertes emails circulent tant que l’entretien n’a pas été réalisé, ce qui me permet de savoir en temps réel si cette procédure est appliquée.  audit préventif des véhicules : depuis l’été 2011, chaque véhicule est audité deux fois par an, en présence du conducteur. Un questionnaire nous permet de vérifier l’état général du véhicule. Il est enre- gistré dans notre intranet, et je communique sur l’évolution de ces indicateurs d’audit à chaque direction régionale une fois par mois, pour qu’elles aient un suivi régulier et se mettent à jour. D’autres mesures ont suivi  : nous équipons désormais chaque nouveau véhicule d’un radar de recul pour faciliter le stationnement à nos colla- borateurs. LES FORMATIONS D’ÉCO-CONDUITE : UN GAIN POUR L’ENTREPRISE ET POUR SES SALARIÉS Autre axe privilégié pour réduire le risque routier  : la formation des salariés à l’éco-conduite, systématisée depuis 2012. Chaque direction régionale envoie les collaborateurs de son choix en formation : ceux qui ont eu des PV pour excès de vitesse, des managers qui conduisent… Il y a aussi des volontaires : j’ai moi-même suivi cette formation. Son déroulement ? La matinée est consacrée à la théorie (effets de l’alcool, respect de la réglementation…), l’après-midi à la pratique. Des préventeurs que je sélectionne se rendent en agence pour former les conducteurs. Ils les font conduire et mesurent la consommation de carburant à l’aide d’un boîtier. Après leur avoir expliqué les bons BIO EXPRESS Titulaire du Magistère d'Économie Industrielle, d'un DEA d'Économie, du MBA Assurances de l'Enass et diplômé ARM. Après 11 années d'expérience dans le courtage d'assurances, Patrick Lacroix, est depuis 2007, Risk Manager du groupe Idex. Il pilote la gestion et les sinistres des assurances IARD du Groupe (Responsabilité Civile, Dommages aux Biens et Flotte Automobile) et s'investit dans les actions de prévention. Patrick est Président de la Commission Automobile de l'AMRAE depuis 2014. Patrick Lacroix, Risk Manager d’Idex ServicesATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 40 MÉTIER RISK MANAGER RETOUR D’EXPÉRIENCE gestes, ils mesurent à nouveau la consommation de carburant sur le même trajet, mais avec l’éco-conduite : la diminution peut aller jusqu’à 40  % ! J’ai bien communiqué sur ce point auprès des directions régionales, ce qui m’a permis de faire former un nombre croissant de collaborateurs (plus de 350 aujourd’hui). Le gain financier est évident pour l’entreprise  ; il est visible aussi pour le salarié, qui peut réduire son coût automobile à titre personnel. À l’issue de chaque session de formation, je reçois les questionnaires de satis- faction envoyés par les participants. En interne, nous avons créé un «  Challenge éco-conduite  » : chaque agence doit battre son propre record de consommation minimale de carburant (en L/100 km). À la fin de l’année, on fait un classement des cinq agences qui ont consommé le moins de carburant. Leurs équipes (conducteurs bien sûr, mais aussi gestionnaires de parc, assistants, et managers qui font tous circuler l’information) gagnent des chèques carburant d’une valeur de 100 euros. Cela crée une vraie émulation, car on communique chaque mois à l’ensemble des directions régionales le classement provisoire. Pour compléter ce panel d’actions, j’envoie mensuellement une fiche de bonnes pratiques constituée de retours d’expérience et de conseils pratiques. INDISPENSABLE : DES INDICATEURS CHIFFRÉS ET UNE COMMUNICATION SOLIDE La mise en place de ces actions et procédures a eu des résultats mesu- rables en comparant le bilan des sinistres un an avant et un an après leur application. Résultat : - 25  % de sinistres, - 50  % d’accidents responsables avec tiers, et un coût des sinistres à la charge d’Idex divisé par deux. Si on enlève le coût des formations éco-conduite et de la mobilisation des salariés durant une journée, Idex est gagnante. Nous avons atteint en 2015 notre objectif de 8  % d’accidents responsables avec tiers, contre 12 % en 2010. Par effet boomerang, nous sommes plus à l’aise pour renouveler nos assurances. Cette année, j’ai fait un appel d’offres avec mon cour- tier, qui a permis de réduire les coûts d’assurance : résultat direct des actions de sensibilisation, auxquelles les assureurs sont sensibles. Nous avons aussi mis en place un réseau agréé de garagistes pour dimi- nuer les coûts de manœuvre des véhicules (coûts de réparation…). Enfin, une communication constante a été fondamentale. J’envoie un document par trimestre, qui contient les données de chaque direction régionale et de chaque agence, classées par ordre (ce qui leur permet d’effectuer leur benchmark interne). J’ai aussi précisé plus haut la circulation constante de l’information entre les différents services via des notes internes, des alertes… Toutes ces actions auraient été vouées à l’échec sans l’implication des directions générales et des managers : il faut donc les informer régu- lièrement. Je n’oublie pas non plus de féliciter les «  bons élèves  », car il est important d’encourager les efforts. Last but not least, je souligne aussi que nos véhicules sont aujourd’hui en meilleur état… et donnent une meilleure image d’Idex !  À travers ses deux métiers liés aux énergies du territoire et aux services d’efficacité énergétique, le groupe Idex est aujourd’hui un acteur français de la transition énergétique. Sa vocation est de réduire l’empreinte carbone des territoires et d’optimiser la facture énergétique de ses clients tout en assurant leur confort thermique. Le groupe accompagne ainsi la construction de la ville durable, depuis la valorisation et la distribution des énergies locales renouvelables (géothermie, solaire, éolien, biomasse) et/ou de récupération (valorisation des déchets, datacenter, eaux usées, cogénération), jusqu’à la performance énergétique et la gestion durable des bâtiments. CHIFFRE D’AFFAIRES 2014 : 686 MILLIONS D'EUROS 12 DIRECTIONS RÉGIONALES 100 AGENCES 3 600 COLLABORATEURS DONT 2 500 CONDUCTEURSATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 41 MÉTIER RISK MANAGER RETOUR D’EXPÉRIENCE RETOUR D’EXPÉRIENCE AVEC LA COLLABORATION DE Situé à 2,5 km du Rhin, le site de l’équi­ pementier automobile Faurecia à Marckolsheim (Bas-Rhin) est également longé par une rivière et traversé en largeur et sous dalle par une source d’eau qui se jette dans un étang. Très exposée au risque inondation, l’entreprise, qui fabrique des produits insonorisants pour les véhicules, s’est lancée dans une démarche de prévention pour optimiser sa résilience. En février 2015, deux experts d’Allianz (AGCS) ont audité le site. Après l’étude des cartogra- phies existantes et la visite des lieux, ils ont retenu le scénario d’une crue centennale du Rhin, sans rupture de digues. Avec une hauteur d’eau de 0,5 mètres maximum sur la surface du site, les dommages directs et pertes d’exploita- tion sont estimés à 8 millions d'euros. « Sans protection, tout le site serait inondé, souligne Ludovic Leduc, Ingénieur prévention d’AGCS, en charge du dossier. Mais comme la crue sera lente, le site a le temps de se préparer et de se protéger, sous réserve d’application d’un plan d’ur- gence ». Les accès routiers seront indisponibles pendant la crue et la décrue. L’entreprise ne pouvant ni se fournir en matières premières, ni expédier de produits finis, il faut donc arrêter la production, mettre le site en cocon et le préparer à redémarrer rapidement. C’est sur la base de ce scénario que des recommandations ont été faites. Outre l’utilisation des outils déjà en place (murets de réten- tion et batardeaux sur les façades nord), les protections physiques vont être renforcées par un muret en façade sud, des batardeaux sur les entrées du bâtiment de production, des clapets anti-retour et l’élévation du stockage. Concernant le local sprinkler, en partie inondable, il doit être étanchéifié. Par ailleurs, l’une des principales recommandations est la mise en place d’un plan d’urgence inondation (PUI), en cours de rédaction. Il définit trois phases. Avant l’inondation. L’équipe doit, entre autres, vérifier les barrières de protection et le matériel de nettoyage, nettoyer les lits des cours d’eau, déclencher la mise en protection du bâtiment de production et le plan de continuité d’activité, auquel des séquences spécifiques au risque inondation vont être ajoutées. Pendant l’inondation. L’objectif est de maintenir les protections et de respecter les principes de prévention. «  On peut empêcher l’eau d’entrer, résister ou céder, en la guidant. Ici, on évite et on résiste puisque la hauteur d’eau le permet  », explique Ludovic Leduc. Les équipiers de seconde intervention (ESI) du site, formés pour réagir face à l’incendie ou au déversement accidentel, le seront aussi pour l’inondation. «  Ils trouveront à leur point de rassemblement des fiches réflexes inondation, le matériel d’obtu- ration pour éviter les remontées d’eau et les moyens nécessaires au nettoyage  », détaille Charlène Dorsch, Coordinatrice HSE. Les managers du site doivent également penser à assurer la sécurité incendie et se protéger contre la malveillance. Après l’inondation. Il faut déclencher le plan de sauvetage, qui prévoit le nettoyage de certaines zones sensibles, maintenir la sécurité du site et redémarrer les lignes de production. À Marckolsheim, le processus est en marche. Toute l’équipe a adhéré à la démarche, et c’est là l’étape la plus importante. Gaëlle Carcaly, Extrait du n° 515 de Face au Risque Diagnostic inondation : Faurecia se jette à l’eauATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 42 MÉTIER RISK MANAGER RETOUR D’EXPÉRIENCE L’ÉCOLE DAUPHINE ASSURANCE L’université Paris Dauphine a aussi inauguré l’École Dauphine Assurance le 7 janvier 2015 (en présence de l’ancien Ministre du Travail François Rebsamen), qui se veut un pôle d’excel­­ lence de l’Université de l’Assurance. Sur son campus au cœur de la Défense, plus de 500 étudiants suivent la dizaine de formations qui la composent : Actuariat, Droit des assurances, Gestion de patrimoine et banque privée, Asset Management, Assurance et Gestion du risque, Banque, Finance, Assurance, ainsi que l’Institut des Assurances de Paris et le MBA Centre des Hautes Études d’Assurances. À Dauphine, le «  Master 218  » forme depuis 15 ans ses étudiants à la réduction, au transfert et au financement du risque. Avec deux objectifs : créer un «  esprit de famille  » entre des étudiants strictement sélectionnés et permettre aux diplômés d’être directement opérationnels. Visite guidée. FORMATION À LA LOUPE : LE MASTER ASSURANCE ET GESTION DU RISQUE DE L’UNIVERSITÉ PARIS-DAUPHINE 200 candidats chaque année, pour 25 admis  : un chiffre qui résume bien le succès du Master 2 «  Assurance et Gestion du risque  » de l’Université Paris-Dauphine. «  En 2000, peu de formations préparaient les étudiants aux métiers de l’assurance  », avance Frédéric Gonand, Professeur à Dauphine et Directeur du Master. «  L’idée a donc été de créer un Master transversal, qui offre une vision panora- mique de ce monde professionnel ». Si le Master 218 est si renommé dans les milieux estu- diantin et professionnel, «  cela tient à deux raisons principales, explique son Directeur. D’abord, il y a rela- tivement peu de Masters qui préparent aux métiers de l’assurance  ; ensuite, la grande majorité de nos diplômés ont décroché un emploi dans les 3 mois qui ont suivi l’ob- tention du diplôme. » ADAPTATION DES PROGRAMMES AUX RÉALITÉS PROFESSIONNELLES Assurance, courtage, réassurance, analyse économique, SI des assurances, risques industriels  : les différents modules, répartis en 2 semestres, évoluent en fonc- tion des problématiques dégagées par les entreprises. « Nous avons une trentaine d’entreprises partenaires, que je rencontre régulièrement dans le cadre du Master. Lors de nos échanges, je relève les évolutions du marché pour amender la maquette des cours  », explique Frédéric Gonand. Ainsi, chaque année, 4 à 5 modules changent (sur 30). En 2015/2016, un module de 18 heures a vu le jour pour aborder le Big data et son traitement. Un cours intitulé «  SI dans les compagnies d’assurances  » permet également aux étudiants d’être mieux préparés aux techniques d’information au sein de grandes sociétés. Laurent Barbagli, Administrateur de l’AMRAE, présente l’« Assurance des grands risques industriels  » afin de dispenser une vision de terrain du Risk Manager. Enfin, un module Solvency II les familiarise avec les mises à jour réglementaires. «  C’est un cercle vertueux  : nous écoutons les besoins des entreprises, et nous y répon- dons », conclut le directeur. Au cours de l’année scolaire, trois temps forts resserrent les liens entre étudiants et entreprises. À l’automne, la leçon inaugurale lance une dynamique de groupe autour d’un intervenant prestigieux. En 2014, les étudiants ont ainsi reçu Henri de Castries, PDG du Groupe Axa. Point d’orgue de l’année scolaire, le voyage d’études à Hong-Kong constitue le principal temps fort de la Frédéric Gonand, Professeur à Dauphine et Directeur du Master LA PROMO 2015/2016 25 étudiants Rémunération annuelle brute moyenne à la sortie : 43 000 € 60 % de femmes www.master218. dauphine.frATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 44 MÉTIER RISK MANAGER vie de groupe et des études : «  les étudiants préparent eux-mêmes leurs rendez-vous professionnels de la semaine, et affinent ainsi leurs préférences  ». Durant une semaine, la promotion fait aussi mieux connaissance, perpétuant chaque année un véritable «  esprit de famille  » cher au Directeur et à tous les anciens du Master. Un stage en entreprise de 4 à 6 mois, effectué au cours du second semestre, permet aux élèves d’améliorer leur connaissance du terrain. Enfin, depuis quelques années, un partenariat avec Centrale Supélec forme des professionnels à double casquette, «  des ingénieurs spécia- lisés en finance  » : un profil très recherché. «  Depuis quelques années, les étudiants de 3 e année de Centrale Supélec peuvent suivre le Master 218. Mais attention : s’ils échouent aux examens du Master, ils ne peuvent prétendre au diplôme Centrale Supélec  », prévient Frédéric Gonand. PRODUIRE DES PERSONNALITÉS ÉQUILIBRÉES Le Master souhaite former certes des étudiants techniquement bons, mais «  avec lesquels on a envie de travailler, qui ont à la fois l’esprit de famille et une mentalité très professionnelle. Je leur dis en début d’année que je veux les instruire et que je ne désespère pas de les éduquer  », explique Frédéric Gonand : des qualités indispen- sables dans un cursus où les origines et parcours des admis sont extrêmement variés. No work without network. L’alumni du Master est une des plus dynamiques au sein du réseau des alumni de Dauphine. «  En début d’année, je lance la dynamique, puis les étudiants s’approprient très naturellement leur Master, qu’ils animent eux-mêmes  », souligne le Directeur.  Arnaud Kopp, 24 ans, Souscripteur traité, Swiss Re : « Ce Master offre une excellente expérience pour plusieurs raisons. La diversité des profils des étudiants est identique à celle que l’on trouve dans nos métiers de l’assurance, de la réassurance et du Risk Management. Les enseignants, en grande partie des professionnels à hautes responsabilités, sont facilement accessibles. Cette proximité offre des échanges constants sur l'industrie du Risque et facilite notre recherche de stage en parallèle du soutien offert par notre association des anciens, Risk 218. En sortant, notre profil devient à la fois technique, par notre formation initiale, et généraliste de la (ré)assurance via le 218, offrant un nombre important d'opportunités dans l'industrie du risque. Pour mon premier poste : je savais que je voulais faire de la réassurance, j'ai donc à partir d'octobre contacté les principaux réassureurs de la place et ai rejoint Swiss Re à Zurich qui m’avait retenu. À l'issu de mon stage, j'ai souhaité faire une formation complémentaire en management à Londres tout en maintenant le contact avec la compagnie. J'ai par la suite candidaté et rejoint le Groupe en juillet dernier via notre Graduate program. » TÉMOIGNAGE D’UN ANCIEN ÉTUDIANT ZOOM SUR LES AUTRES MASTERS DE PARIS-DAUPHINE Le Master «  Contrôle, Audit, Reporting  » propose d’acquérir des outils d'analyse permettant de mettre en contexte les métiers concernés et les faire évoluer. Les diplômés doivent être en mesure de comprendre, appliquer et améliorer les systèmes d'in- formation comptables des entreprises et des organisations. Le Master «  Management stratégique et conseil  » comprend 3 parcours, dont un en apprentissage. Le cursus se caractérise par la place accordée à une vision globale de la gestion et de l'organisation à travers notamment la place qu'ont les sciences sociales dans les parcours (M2) et par le fait qu'elles sont en lien avec des questions essentielles de la gestion et des organisations. Le Master «  Comptabilité, Contrôle, Audit  » forme de futurs cadres dans les métiers dédiés à la maîtrise du chiffre dans les organisa- tions, plus précisément aux métiers de la comptabilité, du contrôle de gestion, du conseil et de la finance. La formation sensibilise les étudiants à la nécessité de conceptualiser des disciplines comp- tables et financières, afin de mieux appréhender dans leur vie professionnelle les conséquences et enjeux sociaux, économiques et organisationnels générés par l'évolution de ces disciplines. Le Master 2 «  Droit des assurances  » apprend aux juristes à établir un engagement d’assurances en accord permanent avec les actuaires et les financiers. Les enseignements délivrés dans le cadre de l’IAP Dauphine sont donc de nature juridique et tech- nique. Le Master est dirigé par Jérôme Kullmann, membre du Comité Scientifique Permanent de l’AMRAE. CHIFFRES-CLÉSATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 45 MÉTIER RISK MANAGER LE PÔLE RISQUES : UN CLUSTER AU SERVICE DE LA GESTION DES RISQUES EN PACA S ébastien Giraud explique que «  la vocation du Pôle Risques est d’accompagner ses adhérents (entreprises, laboratoires de recherche) dans le montage de projets collaboratifs sur la thématique du “Risque“ en vue de mettre au point des produits ou services commercialisables à court terme, générateurs d'ac- tivité économique et créateurs d'emploi  ». Le cluster aixois dispose de deux moyens : la R&D et l’accompagnement financier et stratégique. «  Nous accompagnons la commercialisation de produits auprès d’utilisateurs finaux. Nous repartons aussi de la caractéri- sation du besoin des utilisateurs finaux pour accompagner l’émergence de solutions de technologie  », explique le directeur du Pôle Risques. Début 2015, l'organisme a initié un projet collaboratif qui vise à réaliser un casque de pilote d'hélicoptère à vision nocturne et affichage tête haute. Trois PME, deux laboratoires de recherche ainsi que le SDIS de la Haute- Corse, y participent. RECHERCHE SUR DES RISQUES STRATÉGIQUES Les thématiques 2013-2015 du Pôle Risques s’articulent autour de trois grandes familles de risques : Risques naturels et changements clima- tiques, Risques industriels, Risques chroniques et émergents d’origine anthropique. «  Nous décloisonnons les risques pour nous intéresser aux effets de domino, comme Fukushima, et développer des approches systé- miques de prise en compte de ces risques  », détaille Sébastien Giraud. Six programmes d’animation découlent de ces trois domaines d’action stratégiques, le Pôle Risques se plaçant à la fois en amont et en aval. « Nous travaillons sur les enjeux de prévention avec le Ministère de l’Éco- logie et les collectivités territoriales pour accompagner le développe- ment des territoires, et nous collaborons aussi avec la DGSCGC (Direction Générale de la Sécurité Civile et de la Gestion des Crises du Ministère de l’Intérieur) et les SDIS (Services Départementaux d’Incendie et de Secours) pour le volet “gestion de crise“. Des synergies sont développées avec la police, la gendarmerie, pour mettre en place des outils communs d’assistance à la gestion de crise  », souligne Sébastien Giraud. UN RAYONNEMENT INTERNATIONAL Les dirigeants de PME/PMI membres du Pôle Risques n’ayant pas toujours l’expertise de la gestion des risques nécessaire à la mise en œuvre d’un projet, le Pôle Risques les accompagne de A à Z. Définition de la stratégie de développement commercial, accompagnement de projets en France, en Europe et à l’international, identification des opportunités de croissance et des risques, commercialisation d’inno- vations  : la demande évoluant, les thématiques du Pôle s’affinent en parallèle. «  Nous nous penchons sur la sûreté des sites industriels et des territoires, les infrastructures critiques, pour aider les acteurs à mieux se protéger de différentes vulnérabilités, d’origine accidentelle ou volon- taire », conclut Sébastien Giraud. Plus d’informations : www.pole-risques.com Depuis 2005, ce pôle unique en France rassemble plus de 280 acteurs industriels et économiques autour de la gestion des risques. Présentation avec Sébastien Giraud, son directeur. CHIFFRES-CLÉS 2015 284 adhérents dont 65  % de PME 77 % du réseau en PACA et Languedoc-Roussillon 219 projets labellisés 125 projets de R&D financés pour un total de 245 millions d'euros UN ORGANIGRAMME AXÉ RISK MANAGEMENT Les membres du bureau du Pôle Risques comprennent des professionnels confirmés de la gestion des risques, parmi lesquels : Président : Michel Fiat, Executive Vice President of Operation, Thales Alenia Space Vice-Président : Michel Jullien, Fondateur de Ecogeosafe (laboratoire d’études et de R&D dédié au développement durable et à la maîtrise des risques) Trésorière-adjointe : Françoise Salinas, Consultante en gestion de risques et audit d’assurances, Ginko Risk Sébastien Giraud, Directeur du Pôle RisquesATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 46 MÉTIER RISK MANAGER INITIATIVES ENVIRORISK : LE FORUM QUI MONTE EN PACA T riste ironie du sort, et véritable enjeu pour la région, les dramatiques inondations survenues dans le Sud-Est ont eu lieu 3 jours après le Forum Envirorisk 2015, dont le thème était «  Importance des enjeux humains et économiques en matière d’aléas naturels »… Une coïncidence qui montre en tout cas le besoin permanent d'une réflexion sur ce sujet, et l’utilité d’un tel évènement. «  On se rend compte qu’il y a évidemment une accélération de certains phénomènes naturels liés principalement au changement climatique, et nos terri- toires (la région PACA, N.D.L.R.) sont de plus en plus touchés : inon- dations, submersion marine, érosion côtière, feux de forêts... Il faut faire évoluer l’état d’esprit des décideurs  », résume Sébastien Giraud, Directeur du Pôle Risques, cluster d’entreprises qui est l’organisateur d’Envirorisk. DEUX MATINÉES SCIENTIFIQUES… Au programme, différentes sessions faisaient le lien entre risques naturels, industriels et sanitaires, et la gestion des territoires : elles étaient centrées à la fois sur les nouvelles technologies (l’un des aspects portés par le Pôle Risques), comme les drones ou les smart cities, et sur des aspects plus classiques comme la sécurité et la sûreté (protection des sites industriels). Originalité d’Envirorisk, l’hétérogénéité sur l’estrade des profession- nels : chercheurs, militaires, entrepreneurs, politiciens… chacun contribuant, précisant, complétant avec son propre éclairage, et parfois contredisant celui des autres intervenants, favorisant ainsi une réflexion nourrie. …ET DES APRÈS-MIDI BUSINESS Mais la simple prospective serait stérile sans des applications écono- miques directes. « Au-delà d’une réflexion macroscopique sur ces sujets, il faut dégager des opportunités pour créer de la valeur et des emplois pour les entre- prises de notre territoire. L’objet d’Envirorisk est aussi de mettre en exergue les compétences d’entreprises détentrices de solutions d’innova- tion technologiques, de services et d’usage  », détaille Sébastien Giraud. Envirorisk a donc cette année organisé des rendez-vous pour faire se rencontrer l’offre et la demande, prolongeant ainsi la mission du Pôle Risques. La majorité des participants affirment avoir identifié des suites possibles à ces rendez-vous, que ce soit pour un partenariat commercial ou technologique. «  L’objectif est d’avoir sur un même lieu des solutions sur-mesure pour les industriels qui pourraient être amenés à les utiliser  », explique Michel Fiat, Président du Pôle Risques. Pour en savoir plus : www.forum-envirorisk.com Depuis 15 ans, le forum Envirorisk fait son bonhomme de chemin. Consacré à la gestion des risques naturels, technologiques et sanitaires, l’événement scientifique a pris une nouvelle dimension cette année avec les Rencontres business, pour mettre les entreprises locales en réseau sur ces thématiques. Retour sur l‘édition 2015.ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 47 MÉTIER RISK MANAGER INITIATIVES La plupart des grands assureurs de la place ont, aujourd’hui, une offre couvrant les Cyber Risks. Mais si les entreprises se disent intéressées, elles sont longues à contractualiser. CYBER RISKS : UN MARCHÉ EN DÉVELOPPEMENT MAIS QUI MANQUE DE MATURITÉ I l y a 3 ans, seuls trois assureurs en France propo- saient réellement une assurance pour couvrir les Cyber Risks. Aujourd’hui, ils sont plus d’une dizaine dont six qui ont accepté de participer à l’enquête conduite par Atout Risk Manager avec François Beaume, le Président de la commission Systèmes d’Information et supervisée par Brigitte Bouquot, la Présidente de l’AMRAE. Objectif ? appré- hender les propositions des principaux acteurs de la place en termes de garantie et leur appréhension du marché. CAPACITÉS : L’ÉVENTAIL EST LARGE La lecture des grilles montre de nombreuses simi- litudes dans les couvertures avec néanmoins des capacités assez différentes : de 10 millions d’euros pour Hiscox jusqu’à 50  millions d’euros pour Axa Corporate Solutions («  la capacité a été multipliée par deux en deux ans  »). AIG atteint 95 millions d’euros. « Néanmoins », prévient Didier Seigneur, Directeur des risques financiers pour la France et le Benelux d’AIG, « il y a des demandes mais ce montant est très rarement engagé en tant que tel notamment car les capacités sont ventilées. Le plus important que nous ayons eu en France jusqu’à présent est de 35 millions d’euros ». QBE, pour sa part, intervient en apporteur de capacités. «  Notre offre en France est en cours de finalisation et devrait être lancée à la fin du premier semestre 2016 », précise Françoise Mari, Directrice lignes financières et spécialités de QBE. Selon plusieurs experts du secteur, la capacité maximum du marché français se situerait entre 250 et 300 millions d’euros. UN MARCHÉ QUI A DOUBLÉ VOIRE TRIPLÉ EN 3 ANS Si le nombre d’offres s’est ainsi développé, c’est aussi pour répondre à une demande croissante des entre- prises. «  85 à 90   % des sociétés du CAC 40 y réfléchissent ou font un mapping du Cyber Risk. C’est la seule ligne dans l’univers des produits non achetés sur laquelle nous voyons désormais un tel volume de demandes de cota- tion », confirme Didier Seigneur. Chez Axa Corporate Solutions, Irène Plichon, Responsable Cyber, explique que « même si nous recevons beaucoup de demandes de cotations, les entreprises sont encore réticentes pour souscrire réellement ce risque, notamment dans les temps où leurs budgets d’assurance restent serrés  ». En attendant la maturité du marché, l’assureur français s’adresse d’abord à son propre portefeuille de clients auxquels il propose du sur-mesure. Chez Beazley, la demande a été multipliée par trois en l’espace d’un an. «  Le marché a vraiment bougé à partir de 2012. Avant les produits étaient surtout axés sur les dommages subis par l’entreprise suite à un incident ou une interruption des systèmes d’information. Aujourd’hui, la demande va vers les produits assurant les dommages causés aux tiers, la gestion de crise ainsi que toute éven- tuelle réparation suite à une atteinte aux données personnelles  », précise Jimaan Sané, Souscripteur chez Beazley. François Beaume, Président de la commission Systèmes d’Information de l'AMRAE Brigitte Bouquot, Présidente de l’AMRAE Par Florence PuybareauATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 48 PRODUITS ET SERVICES Intérêt certain, intérêt croissant, mais les processus de décision restent longs  : entre 12 et 18 mois «  ce qui est assez courant pour un marché de First Time buyer  », précise Didier Seigneur. Les délais de décisions tendent cependant à se réduire du fait de tarifications plus attractives. «  Les niveaux de prix sont très compétitifs. Nous avons l’im- pression qu’aujourd’hui l’assurance cyber est un bonus apporté par les assureurs à leurs clients grands comptes  », note Françoise Mari, rappe- lant le souhait de QBE de se développer, pour ce type de produit, sur le segment encore peu exploité des ETI. PERTES D’EXPLOITATION ET ATTEINTE AUX DONNÉES : LES PRINCIPALES MOTIVATIONS Quant aux motivations de souscription des polices d’assurance pour les Cyber Risks, les avis convergent. Si la perspective de la mise en place de la directive européenne sur les données personnelles (qui obligera les entreprises à notifier l’incident à chacun de leur client) peut être un facteur de décision, il n’est plus en revanche l’élément moteur. D’autres raisons sont plus souvent invoquées. «  Nous voyons deux éléments déclencheurs : les atteintes aux données, celles de l’entreprise et celles qui lui sont confiées, et les atteintes aux systèmes d’infor- mation pour les dommages causés à l’entreprise et au tiers  », précise Jimaan Sané. Pour Didier Seigneur, la principale raison qui pousse les entreprises européennes à s’assurer, est «  la partie dommage et pertes d’exploitation  ». Sergio Pierro, Souscripteur Lignes Financières chez XL Catling, voit chez ses clients «  des demandes très pointues sur la garantie Perte d’exploitation directe ou indirecte (notamment liées aux prestataires) ou des pénalités contractuelles. Les niveaux de franchise et de prime sont aussi bien évidement déterminants. Les premiers achats de couverture cyber sont souvent peu suffisants en termes de limite de garantie, mais sont davantage déterminés par un budget cible alloué pour ces risques-là. Pour notre part, nous indemnisons également les assurés pour les frais de mitigation afin de limiter l’impact d’un sinistre potentiel dans le cas où leur responsabilité pourrait être engagée ». DOUBLONS, EXCLUSION, CONFIDENTIALITÉ : LES FREINS À LA CONTRACTUALISATION La crainte du doublon d’assurance subsiste dès que l’on évoque le Cyber Risk notamment avec la couverture Responsabilité Civile. «  Cela peut arriver puisqu’en France la RC est “tout risque sauf” mais, atten- tion, l’assureur peut être amené à formuler une exclusion ou à augmenter fortement la prime après un premier incident  », prévient Didier Seigneur. « La RC intervient uniquement suite à la réclamation d’un tiers alors que la police cyber, notamment en prise en charge de la gestion de crise, intervient bien avant. Et quoi qu’il en soit, les polices classiques de RC ne sont pas dimensionnées pour traiter le Cyber Risk  », insiste Jimaan Sané. Pour Sergio Pierro, «  il faut être prudent quant au contenu des polices RC qui excluent souvent les réclamations relatives aux virus ou autres « cyber-phénomènes  » et qui ne couvrent pas les garanties dommages que nous donnons comme l’extorsion ou les frais de notifications ». Autre frein à la contractualisation, l’obligation de révéler des informa- tions confidentielles ou de soumettre leur système d’information à des tests d’intrusion ou de vulnérabilité. Sur ce plan, les assureurs se veulent rassurants. «  La sécurité informatique au sein d’une entreprise joue un rôle clé. La culture de gestion des risques aussi. En effet, notre recul en la matière (près de 3 000 incidents gérés par nos équipes à ce jour) nous a montré qu’un nombre important d’incidents est également lié à des problèmes de gouvernance  », précise Jimaan Sané. Chez d’autres comme Axa Corporate Solutions, un audit peut être proposé au client. «  Ce n’est pas lié à la souscription d’une assurance. Cela peut néanmoins être une aide à la décision  », explique Irène Plichon. OSER FAIRE JOUER LES GARANTIES Même si elles sont assurées, certaines entreprises ne déclarent pas leurs éventuels sinistres «  cyber » en raison de craintes sur leur répu- tation. Néanmoins, cela change et les assureurs constatent plus de prises en charge. «  Dans 30 à 40   % des cas, il s’agit de cyber extorsion  », précise-t-on chez AIG qui dans ce cas s’appuie sur des consultants experts en kidnapping et en négociation. Néanmoins, peut-on vraiment chiffrer une attaque d’envergure ? Difficile, reconnaissent les assureurs. Face à certaines actions chif- frables (les frais de notification sont évalués à environ 100  euros par client), d’autres comme l’atteinte à la réputation sont moins évidentes à établir. «  Lors des grosses cyber-attaques, le préjudice subi par l’en- treprise victime peut prendre tellement de formes différentes qu’il n’est quasiment pas chiffrable. En termes de communication, il va y avoir un gros travail à faire vis-à-vis de la direction et des clients », constate Astrid-Marie Pirson.  À consulter Cyber risques : outil d'aide à l'analyse et au traitement assurantiel - AMRAE/ CESIN LA POSITION DE L’AMRAE l’analyse de François Beaume Ces grilles montrent que le marché est en croissance avec une augmentation des capacités et une amélioration des couver- tures proposées. L’offre semble globale- ment se rapprocher des attentes des organisations. Néanmoins les Risk Managers ou les directeurs des assurances devront rentrer dans le détail pour voir ce qu’elles couvrent précisément. Ils ne pourront faire l’économie d’une analyse en amont du risque pour qualifier les besoins de couverture. Maintenant que le marché se structure, les grandes entreprises peuvent espérer obtenir plus facilement des garanties sur-mesure à même de permettre une intégration optimisée des polices Cyber dans les dispositifs existants. Les ETI devront également profiter du développement du marché pour avoir des produits attractifs en termes de prix et de couverture. Reste un point essentiel : comment l’assureur peut-il comprendre et analyser l’exposition  ? Il va falloir la qualifier et la quantifier avant la souscription. C’est aujourd’hui une question de métho- dologie d’analyse de risque que doit résoudre le futur assuré bien en amont de la souscription. Commission Systèmes d’Information CYBER RISQUES Outil d’aide à l’analyse et au traitement assurantiel En partenariat avec le Cahiers Techniques 2015 ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 49 PRODUITS ET SERVICES CAPACITÉ MAXIMUM EN € 25 M€ 25 M€ À 50 M€ 10 M€ ESTIMÉ 95M€ (1) 50 À 75 M€, FOURCHETTE, À ÉTUDIER AU CAS PAR CAS. SELON LES AFFAIRES, DES SOUS-LIMITES SERONT APPLIQUÉES SUR CERTAINES GARANTIES CAPACITÉ THÉORIQUE 37,5 M€, CAPACITÉ RÉELLE 10 M€ INTERDIT DE SOUSCRIPTION : ACTIVITÉS ET/OU PAYS LES RISQUES DONT LA COUVERTURE SUPPOSERAIT LA VIOLATION D'UNE SANCTION COMMERCIALE NOTAMMENT SONT INTERDITS DE SOUSCRIPTION. PAS D'INTERDIT CONCERNANT L'ACTIVITÉ EN TANT QUE TELLE, MAIS NOUS PRIVILÉGIONS LES POSITIONS EN EXCESS S'AGISSANT DES GRANDES INSTITUTIONS FINANCIÈRES. NUCLÉAIRE, INSTITUTIONS FINANCIERES, SSII INSTITUTIONS FINANCIÈRES / SYSTÈMES DE CONTRÔLES INDUSTRIELS & SCADA / COMPAGNIES D'ASSURANCE / PORTAILS ET PROCESS DE PAIEMENT / PARIS & JEUX D'ARGENT / COMPAGNIES AÉRIENNES TRANSNATIONALES / AGENCES DE NOTATION / GOUVERNEMENTS / PAYS FAISANT L'OBJET DE SANCTIONS INTERNATIONALES OFAC INSTITUTIONS FINANCIÈRES (SAUF POUR LES FONDS D'INVESTISSEMENT) ; ENTITÉS PUBLIQUES OU GOUVERNEMENTALES ; ENTREPRISES DONT CA USA > 25  % CA GLOBAL (SPÉCIAL ; COURTIERS ASSURANCES DONT CA > 50 M€) DOMMAGES AUX BIENS ET/OU PERTES FINANCIÈRES OUI/ NON MONTANT MAX COMMENTAIRES OUI/ NON COMMENTAIRES OUI/NON MONTANT MAX OUI/NON COMMENTAIRES OUI/NON MONTANT MAX OUI/NON COMMENTAIRES FRAIS DE NOTIFICATION OUI DE 50 % À 100  % DU PLEIN DE GARANTIE OUI OUI 10 M€ OUI OUI 25 M€ OUI FRAIS DE DÉFENSE OUIPLEIN DE GARANTIESAUF POUR LES RISQUES EXCLUS DE LA GARANTIE ET APRÈS APPLICATION DE LA FRANCHISE.OUI OUI 10 M€ OUI CF RC OUI 25 M€ OUI FRAIS DE RECHERCHE ET DE DÉTECTION DES CAUSES OUIPLEIN DE GARANTIE SONT COUVERTS DANS LES FRAIS CONSÉCUTIFS À UNE ATTEINTE AU DONNÉES OU À UNE INTRUSION RÉSEAU, LES HONORAIRES RAISONNABLES VERSÉS À UN EXPERT EN SÉCURITÉ POUR DÉTERMINER L'EXISTENCE ET LA CAUSE D'UNE ATTEINTE AUX DONNÉES OU D'UNE INTRUSION RÉSEAU, OUI OUI (PRESTATAIRE EXTERNE) 10 M€ OUI OUI 25 M€ OUI FRAIS DE RECONSTITUTION DES DONNÉES (APRÈS ALTÉRATION, DESTRUCTION OU PERTE DE DONNÉES STOCKÉES EN INTERNE OU CHEZ DES TIERS : HÉBERGEURS, DATACENTERS, FOURNISSEURS DE CLOUDS…) OUI DE 50 % À 100  % DU PLEIN DE GARANTIE SAUF SI DES SAUVEGARDES NE SONT PAS EFFECTUÉES AU MOINS TOUS LES 15 JOURS ET STOCKÉES SUR UN SUPPORT EXPLOITABLE DISTINCT DE L'ORIGINAL. CELA REPRÉSENTE LE MONTANT MAXIMUM DE LA SOUS-LIMITE. A ÉVALUER AU CAS PAR CAS. OUI OUI SUITE À ACTE DE MALVEILLANCE 10 M€ OUI OUI 25 M€ OUI FRAIS DE MONITORING ET DE SURVEILLANCE OUIPLEIN DE GARANTIE SONT COUVERTS DANS LES FRAIS CONSÉCUTIFS À UNE ATTEINTE AU DONNÉES OU À UNE INTRUSION RÉSEAU, LES ACTIONS DE CONTRÔLE DE L’UTILISATION DES IDENTITÉS (NOMS D’UTILISATEUR, «  LOGIN ») ET DES MOUVEMENTS FINANCIERS AFFECTANT LES PERSONNES CONCERNÉES AINSI QUE LA RESTAURATION DES IDENTITÉS AFFECTÉES. OUI OUI POST-INCIDENT 10 M€ OUI OUI 25 M€ OUI INTERRUPTION DE RÉSEAUX (SUITE À UN ACTE DE MALVEILLANCE, D'UNE ERREUR HUMAINE, D'UN DOMMAGE MATÉRIEL…) NON OUI DOMMAGE MATÉRIEL HORS PÉRIMÈTRE PERTE DE REVENUS SUITE À ACTE DE MALVEILLANCE 10 M€ OUI MALVEILLANCE : OUI / ERREUR HUMAINE : AU CAS PAR CAS / DOMMANGE MATÉRIEL : NON 25 M€ OUI FRAIS ET PAIEMENT SUITE À DES MENACES D'EXTORSION (RANSOMWARE) OUI DE 50 % À 100  % DU PLEIN DE GARANTIE A ÉVALUER AU CAS PAR CAS OUI OUI 10 M€ OUI EN DOUBLE AVEC « RENCONÇONNAGE OU CYBER EXTORSION  » OUI 25 M€ OUI Y COMPRIS FRAIS DE STOCKAGE DES DONNÉES DE L'ASSURÉ CHEZ UN TIERS TANT QUE CES DONNÉES RESTENT VULNÉRABLES FRAIS DE RÉCUPÉRATION, DE RECOLLECTE OU DE RECONSTITUTION DES DONNÉES (APRÈS UNE FUITE OU UNE ATTEINTE À LA SÉCURITÉ DES DONNÉES) OUI DE 50 % À 100  % DU PLEIN DE GARANTIE SAUF SI DES SAUVEGARDES NE SONT PAS EFFECTUÉES AU MOINS TOUS LES 15 JOURS ET STOCKÉES SUR UN SUPPORT EXPLOITABLE DISTINCT DE L'ORIGINAL. CELA REPRÉSENTE LE MONTANT MAXIMUM DE LA SOUS-LIMITE. A ÉVALUER AU CAS PAR CAS OUI OUI (PRESTATAIRE EXTERNE) 10 M€ OUI OUI 25 M€ OUI FRAIS DE PERTES D'EXPLOITATIONOUI DE 50 % À 100  % DU PLEIN DE GARANTIE À ÉVALUER AU CAS PAR CAS OUI PERTE DE REVENUS SUITE À ACTE DE MALVEILLANCE 10 M€ OUI OUI 25 M€ OUI FRAIS INTERVENTION EXPERTS COMPTABLES DE L'ASSURÉ POUR QUANTIFICATION PE PERTE D'IMAGE ET DE CHIFFRE D'AFFAIRES ET/ OU BAISSE DE L'ACTION OUI PLEIN DE GARANTIE COUVERTURE LIMITÉE À L'ATTEINTE MÉDIATIQUE, LORSQUE LA FAUTE PRÉSENTE UN CARACTÈRE SYSTÉMATIQUE ET/OU LORSQUE L'ASSURÉ N'A PAS APPLIQUÉ LES MESURES DE SÉCURITÉ MINIMALES S'AGISSANT DE LA PROTECTION DE LA VIE PRIVÉE QUI AURAIENT EMPECHÉ LE DOMMAGE ET LORSQUE LA FAUTE A ÉTÉ SANCTIONNÉE PAR UNE AUTORITÉ ADMINISTRATIVE OUISELON LES CAS PERTE DE REVENUS SUITE À ACTE DE MALVEILLANCE 10 M€ OUI SAUF BAISSE DE L'ACTION PERTE DE CA OU BAISSE DE L'ACTION SUITE À PERTE D'IMAGE OUI (PERTE DE CHIFFRE D'AFFAIRES) 25 M€ OUI PERTE DE MARGE UNIQUEMENT AUTRES POSTES : GARANTIE PCI-DSS (PÉNALITÉS BANCAIRES) / FRAIS LÉGAUX / PLATEFORME TÉLÉPHONIQUE / DÉFAUT DE MISE EN CONFORMITÉ AVEC UNE CHARTE DE PROTECTION DES DONNÉES AU CAS PAR CASATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 50 PRODUITS ET SERVICES ENQUÊTE « GARANTIES CYBER-RISQUES » CAPACITÉ MAXIMUM EN € 25 M€ 25 M€ À 50 M€ 10 M€ ESTIMÉ 95M€ (1) 50 À 75 M€, FOURCHETTE, À ÉTUDIER AU CAS PAR CAS. SELON LES AFFAIRES, DES SOUS-LIMITES SERONT APPLIQUÉES SUR CERTAINES GARANTIES CAPACITÉ THÉORIQUE 37,5 M€, CAPACITÉ RÉELLE 10 M€ INTERDIT DE SOUSCRIPTION : ACTIVITÉS ET/OU PAYS LES RISQUES DONT LA COUVERTURE SUPPOSERAIT LA VIOLATION D'UNE SANCTION COMMERCIALE NOTAMMENT SONT INTERDITS DE SOUSCRIPTION. PAS D'INTERDIT CONCERNANT L'ACTIVITÉ EN TANT QUE TELLE, MAIS NOUS PRIVILÉGIONS LES POSITIONS EN EXCESS S'AGISSANT DES GRANDES INSTITUTIONS FINANCIÈRES. NUCLÉAIRE, INSTITUTIONS FINANCIERES, SSII INSTITUTIONS FINANCIÈRES / SYSTÈMES DE CONTRÔLES INDUSTRIELS & SCADA / COMPAGNIES D'ASSURANCE / PORTAILS ET PROCESS DE PAIEMENT / PARIS & JEUX D'ARGENT / COMPAGNIES AÉRIENNES TRANSNATIONALES / AGENCES DE NOTATION / GOUVERNEMENTS / PAYS FAISANT L'OBJET DE SANCTIONS INTERNATIONALES OFAC INSTITUTIONS FINANCIÈRES (SAUF POUR LES FONDS D'INVESTISSEMENT) ; ENTITÉS PUBLIQUES OU GOUVERNEMENTALES ; ENTREPRISES DONT CA USA > 25  % CA GLOBAL (SPÉCIAL ; COURTIERS ASSURANCES DONT CA > 50 M€) DOMMAGES AUX BIENS ET/OU PERTES FINANCIÈRES OUI/ NON MONTANT MAX COMMENTAIRES OUI/ NON COMMENTAIRES OUI/NON MONTANT MAX OUI/NON COMMENTAIRES OUI/NON MONTANT MAX OUI/NON COMMENTAIRES FRAIS DE NOTIFICATION OUI DE 50 % À 100  % DU PLEIN DE GARANTIE OUI OUI 10 M€ OUI OUI 25 M€ OUI FRAIS DE DÉFENSE OUIPLEIN DE GARANTIESAUF POUR LES RISQUES EXCLUS DE LA GARANTIE ET APRÈS APPLICATION DE LA FRANCHISE.OUI OUI 10 M€ OUI CF RC OUI 25 M€ OUI FRAIS DE RECHERCHE ET DE DÉTECTION DES CAUSES OUIPLEIN DE GARANTIE SONT COUVERTS DANS LES FRAIS CONSÉCUTIFS À UNE ATTEINTE AU DONNÉES OU À UNE INTRUSION RÉSEAU, LES HONORAIRES RAISONNABLES VERSÉS À UN EXPERT EN SÉCURITÉ POUR DÉTERMINER L'EXISTENCE ET LA CAUSE D'UNE ATTEINTE AUX DONNÉES OU D'UNE INTRUSION RÉSEAU, OUI OUI (PRESTATAIRE EXTERNE) 10 M€ OUI OUI 25 M€ OUI FRAIS DE RECONSTITUTION DES DONNÉES (APRÈS ALTÉRATION, DESTRUCTION OU PERTE DE DONNÉES STOCKÉES EN INTERNE OU CHEZ DES TIERS : HÉBERGEURS, DATACENTERS, FOURNISSEURS DE CLOUDS…) OUI DE 50 % À 100  % DU PLEIN DE GARANTIE SAUF SI DES SAUVEGARDES NE SONT PAS EFFECTUÉES AU MOINS TOUS LES 15 JOURS ET STOCKÉES SUR UN SUPPORT EXPLOITABLE DISTINCT DE L'ORIGINAL. CELA REPRÉSENTE LE MONTANT MAXIMUM DE LA SOUS-LIMITE. A ÉVALUER AU CAS PAR CAS. OUI OUI SUITE À ACTE DE MALVEILLANCE 10 M€ OUI OUI 25 M€ OUI FRAIS DE MONITORING ET DE SURVEILLANCE OUIPLEIN DE GARANTIE SONT COUVERTS DANS LES FRAIS CONSÉCUTIFS À UNE ATTEINTE AU DONNÉES OU À UNE INTRUSION RÉSEAU, LES ACTIONS DE CONTRÔLE DE L’UTILISATION DES IDENTITÉS (NOMS D’UTILISATEUR, «  LOGIN ») ET DES MOUVEMENTS FINANCIERS AFFECTANT LES PERSONNES CONCERNÉES AINSI QUE LA RESTAURATION DES IDENTITÉS AFFECTÉES. OUI OUI POST-INCIDENT 10 M€ OUI OUI 25 M€ OUI INTERRUPTION DE RÉSEAUX (SUITE À UN ACTE DE MALVEILLANCE, D'UNE ERREUR HUMAINE, D'UN DOMMAGE MATÉRIEL…) NON OUI DOMMAGE MATÉRIEL HORS PÉRIMÈTRE PERTE DE REVENUS SUITE À ACTE DE MALVEILLANCE 10 M€ OUI MALVEILLANCE : OUI / ERREUR HUMAINE : AU CAS PAR CAS / DOMMANGE MATÉRIEL : NON 25 M€ OUI FRAIS ET PAIEMENT SUITE À DES MENACES D'EXTORSION (RANSOMWARE) OUI DE 50 % À 100  % DU PLEIN DE GARANTIE A ÉVALUER AU CAS PAR CAS OUI OUI 10 M€ OUI EN DOUBLE AVEC « RENCONÇONNAGE OU CYBER EXTORSION  » OUI 25 M€ OUI Y COMPRIS FRAIS DE STOCKAGE DES DONNÉES DE L'ASSURÉ CHEZ UN TIERS TANT QUE CES DONNÉES RESTENT VULNÉRABLES FRAIS DE RÉCUPÉRATION, DE RECOLLECTE OU DE RECONSTITUTION DES DONNÉES (APRÈS UNE FUITE OU UNE ATTEINTE À LA SÉCURITÉ DES DONNÉES) OUI DE 50 % À 100  % DU PLEIN DE GARANTIE SAUF SI DES SAUVEGARDES NE SONT PAS EFFECTUÉES AU MOINS TOUS LES 15 JOURS ET STOCKÉES SUR UN SUPPORT EXPLOITABLE DISTINCT DE L'ORIGINAL. CELA REPRÉSENTE LE MONTANT MAXIMUM DE LA SOUS-LIMITE. A ÉVALUER AU CAS PAR CAS OUI OUI (PRESTATAIRE EXTERNE) 10 M€ OUI OUI 25 M€ OUI FRAIS DE PERTES D'EXPLOITATIONOUI DE 50 % À 100  % DU PLEIN DE GARANTIE À ÉVALUER AU CAS PAR CAS OUI PERTE DE REVENUS SUITE À ACTE DE MALVEILLANCE 10 M€ OUI OUI 25 M€ OUI FRAIS INTERVENTION EXPERTS COMPTABLES DE L'ASSURÉ POUR QUANTIFICATION PE PERTE D'IMAGE ET DE CHIFFRE D'AFFAIRES ET/ OU BAISSE DE L'ACTION OUI PLEIN DE GARANTIE COUVERTURE LIMITÉE À L'ATTEINTE MÉDIATIQUE, LORSQUE LA FAUTE PRÉSENTE UN CARACTÈRE SYSTÉMATIQUE ET/OU LORSQUE L'ASSURÉ N'A PAS APPLIQUÉ LES MESURES DE SÉCURITÉ MINIMALES S'AGISSANT DE LA PROTECTION DE LA VIE PRIVÉE QUI AURAIENT EMPECHÉ LE DOMMAGE ET LORSQUE LA FAUTE A ÉTÉ SANCTIONNÉE PAR UNE AUTORITÉ ADMINISTRATIVE OUISELON LES CAS PERTE DE REVENUS SUITE À ACTE DE MALVEILLANCE 10 M€ OUI SAUF BAISSE DE L'ACTION PERTE DE CA OU BAISSE DE L'ACTION SUITE À PERTE D'IMAGE OUI (PERTE DE CHIFFRE D'AFFAIRES) 25 M€ OUI PERTE DE MARGE UNIQUEMENT AUTRES POSTES : GARANTIE PCI-DSS (PÉNALITÉS BANCAIRES) / FRAIS LÉGAUX / PLATEFORME TÉLÉPHONIQUE / DÉFAUT DE MISE EN CONFORMITÉ AVEC UNE CHARTE DE PROTECTION DES DONNÉES AU CAS PAR CAS (1) Capacité maximum théorique ne constituant pas un engagement et dépendant de l'analyse du risque du client.ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 51 PRODUITS ET SERVICES ENQUÊTE « GARANTIES CYBER-RISQUES » RESPONSABILITÉ CIVILE OUI/NONMONTANT MAX COMMENTAIRE OUI/NON COMMENTAIRE OUI/NON MONTANT MAX OUI/NON COMMENTAIRES OUI/NON MONTANT MAX COMMENTAIRES OUI/NONCOMMENTAIRES PRISE EN CHARGE DES CONSÉQUENCES PÉCUNIAIRES AINSI QUE DES FRAIS DE DÉFENSE RÉSULTANT DES RÉCLAMATIONS INTRODUITES PAR TOUTE PERSONNE DONT LES DONNÉES AURONT ÉTÉ PIRATÉES ET QUI AURA SUBI UN DOMMAGE. OUI PLEIN DE GARANTIE OUI OUI 10 M€ OUI OUI 25 M€ OUI PROTECTION DE DONNÉES ET INCIDENT DE SÉCURITÉ DES SYSTÈMES OUI PLEIN DE GARANTIE OUI GARANTIE DES RÉCLAMATIONS DANS LE VOLET RC ET DES FRAIS ENCOURUS PAR L'ENTREPRISE ASSURÉE DANS LE VOLET PERTES FINANCIÈRES OUI SI DONNÉES PERSONNELLES OU CONFIDENTIELLES DE TIERS ATTEINTES / SI ATTAQUE PAR DÉNI DE SERVICE VIA L'ASSURÉ 10 M€ OUI OUI N/A FRAIS SUITE À L'ATTEINTE À LA RÉPUTATION DE L'ENTREPRISE APRÈS INCIDENT NON OUI (VOLET PERTES FINANCIÈRES) OUI (AGENCE DE COMMUNICATION DE CRISE) 10 M€ OUI CF DOMMAGES / PERTES FIN. OUI OUI CF DOMMAGES / PERTES FIN. FRAIS DE DÉFENSE SI DOMMAGES-INTERÊTS SI UN EMPLOYÉ DE L'ENTREPRISE DIVULGUE DES DONNÉES CONFIDENTIELLES. NON OUI OUI 10 M€ OUI OUI FRAIS DE DÉFENSE ET DOMMAGES-INTÉRÊT SI L'ENTREPRISE EST VICTIME D'UN VOL DE MATÉRIEL INFORMATIQUE CONTENANT DES DONNÉES PERSONNELLES NON SELON LES CAS OUI 10 M€ OUI OUI OUI DIVULGATION DE DONNÉES CONFIDENTIELLES (DONNÉES BANCAIRES, DATA BREACH…) OUI PLEIN DE GARANTIE OUI OUI 10 M€ OUI OUI OUI NETTOYAGE ET NOYAGE DE DONNÉES SI DES DONNÉES PRÉJUDICIABLES POUR L'ENTREPRISE SONT DIVULGUÉES SUR INTERNET. NON OUI (VOLET PERTES FINANCIÈRES) OUI (AGENCE DE COMMUNICATION DE CRISE) 10 M€ N/A AU CAS PAR CAS N/A CF DOMMAGES / PERTES FIN. DÉFAUT DE CONFORMITÉ DES PRODUITS TECHNOLOGIQUES NON IL S'AGIT DAVANTAGE DE RC PROFESSIONNELLE NON NON (RCP) N/A OUI UTILISATION MALVEILLANTE D'UN SYSTÈME NON OUI OUI (SAUF SI PAR L'ASSURÉ) 10 M€ OUI OUI OUI DIFFAMATION, INJURES, DÉNIGREMENTS SUR INTERNET OUI PLEIN DE GARANTIE COUVERTURE LIMITÉE À L'ATTEINTE MÉDIATIQUE, LORSQUE LA FAUTE PRÉSENTE UN CARACTÈRE SYSTÉMATIQUE ET/OU LORSQUE L'ASSURÉ N'A PAS APPLIQUÉ LES MESURES DE SÉCURITÉ MINIMALES S'AGISSANT DE LA PROTECTION DE LA VIE PRIVÉE QUI AURAIENT EMPECHÉ LE DOMMAGE ET LORSQUE LA FAUTE A ÉTÉ SANCTIONNÉE PAR UNE AUTORITÉ ADMINISTRATIVE OUI OUI 10 M€ OUI, EXTENSION MÉDIA OUI OUI CONSÉQUENCES D'UNE ERREUR DE PROGRAMMATIONNON IL S'AGIT DAVANTAGE DE RC PROFESSIONNELLE OUI NON (RCP) NON EXCLUSION MARCHÉ SUR L'ERREUR DE PROGRAMMATION ET SES CONSÉQUENCES EN "FIRST-PARTY". CONSÉQUENCES D'UNE ERREUR DE PROGRAMMATION IMPACTANT UN TIERS SI L'ASSURÉ EST UNE SSII = RC PRO. AU CAS PAR CAS OUI AMENDES ET SANCTIONS PÉCUNIAIRES (IMPOSÉES PAR DES AUTORITÉS DE PROTECTION DES DONNÉES PERSONNELLES) OUI 50 % DU MONTANT DE GARANTIE, PAR PÉRIODE DE GARANTIE ET PAR SINISTRE. CELA REPRÉSENTE LE MONTANT MAXIMUM DE LA SOUS-LIMITE. A ÉVALUER AU CAS PAR CAS OUI (VOLET PERTES FINANCIÈRES) OUI SI ASSURABLE10 M€ OUI OUI OUI CONSÉQUENCES D'UNE FRAUDE ET PERTES D'EXPLOITATION CONSÉCUTIVES NON OUI (VOLET PERTES FINANCIÈRES) SI OPTION FRAUDE NON (FRAUDE) OUI PASSER AU CHAPITRE DOMMAGES / PERTES FI PE / FRAIS SUPPLÉMENTAIRES OUI DÉTOURNEMENT DE FONDS AU CAS PAR CAS N/A CF DOMMAGES / PERTES FIN. AUTRES POSTES :ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 52 PRODUITS ET SERVICES ENQUÊTE « GARANTIES CYBER-RISQUES » RESPONSABILITÉ CIVILE OUI/NONMONTANT MAX COMMENTAIRE OUI/NON COMMENTAIRE OUI/NON MONTANT MAX OUI/NON COMMENTAIRES OUI/NON MONTANT MAX COMMENTAIRES OUI/NONCOMMENTAIRES PRISE EN CHARGE DES CONSÉQUENCES PÉCUNIAIRES AINSI QUE DES FRAIS DE DÉFENSE RÉSULTANT DES RÉCLAMATIONS INTRODUITES PAR TOUTE PERSONNE DONT LES DONNÉES AURONT ÉTÉ PIRATÉES ET QUI AURA SUBI UN DOMMAGE. OUI PLEIN DE GARANTIE OUI OUI 10 M€ OUI OUI 25 M€ OUI PROTECTION DE DONNÉES ET INCIDENT DE SÉCURITÉ DES SYSTÈMES OUI PLEIN DE GARANTIE OUI GARANTIE DES RÉCLAMATIONS DANS LE VOLET RC ET DES FRAIS ENCOURUS PAR L'ENTREPRISE ASSURÉE DANS LE VOLET PERTES FINANCIÈRES OUI SI DONNÉES PERSONNELLES OU CONFIDENTIELLES DE TIERS ATTEINTES / SI ATTAQUE PAR DÉNI DE SERVICE VIA L'ASSURÉ 10 M€ OUI OUI N/A FRAIS SUITE À L'ATTEINTE À LA RÉPUTATION DE L'ENTREPRISE APRÈS INCIDENT NON OUI (VOLET PERTES FINANCIÈRES) OUI (AGENCE DE COMMUNICATION DE CRISE) 10 M€ OUI CF DOMMAGES / PERTES FIN. OUI OUI CF DOMMAGES / PERTES FIN. FRAIS DE DÉFENSE SI DOMMAGES-INTERÊTS SI UN EMPLOYÉ DE L'ENTREPRISE DIVULGUE DES DONNÉES CONFIDENTIELLES. NON OUI OUI 10 M€ OUI OUI FRAIS DE DÉFENSE ET DOMMAGES-INTÉRÊT SI L'ENTREPRISE EST VICTIME D'UN VOL DE MATÉRIEL INFORMATIQUE CONTENANT DES DONNÉES PERSONNELLES NON SELON LES CAS OUI 10 M€ OUI OUI OUI DIVULGATION DE DONNÉES CONFIDENTIELLES (DONNÉES BANCAIRES, DATA BREACH…) OUI PLEIN DE GARANTIE OUI OUI 10 M€ OUI OUI OUI NETTOYAGE ET NOYAGE DE DONNÉES SI DES DONNÉES PRÉJUDICIABLES POUR L'ENTREPRISE SONT DIVULGUÉES SUR INTERNET. NON OUI (VOLET PERTES FINANCIÈRES) OUI (AGENCE DE COMMUNICATION DE CRISE) 10 M€ N/A AU CAS PAR CAS N/A CF DOMMAGES / PERTES FIN. DÉFAUT DE CONFORMITÉ DES PRODUITS TECHNOLOGIQUES NON IL S'AGIT DAVANTAGE DE RC PROFESSIONNELLE NON NON (RCP) N/A OUI UTILISATION MALVEILLANTE D'UN SYSTÈME NON OUI OUI (SAUF SI PAR L'ASSURÉ) 10 M€ OUI OUI OUI DIFFAMATION, INJURES, DÉNIGREMENTS SUR INTERNET OUI PLEIN DE GARANTIE COUVERTURE LIMITÉE À L'ATTEINTE MÉDIATIQUE, LORSQUE LA FAUTE PRÉSENTE UN CARACTÈRE SYSTÉMATIQUE ET/OU LORSQUE L'ASSURÉ N'A PAS APPLIQUÉ LES MESURES DE SÉCURITÉ MINIMALES S'AGISSANT DE LA PROTECTION DE LA VIE PRIVÉE QUI AURAIENT EMPECHÉ LE DOMMAGE ET LORSQUE LA FAUTE A ÉTÉ SANCTIONNÉE PAR UNE AUTORITÉ ADMINISTRATIVE OUI OUI 10 M€ OUI, EXTENSION MÉDIA OUI OUI CONSÉQUENCES D'UNE ERREUR DE PROGRAMMATIONNON IL S'AGIT DAVANTAGE DE RC PROFESSIONNELLE OUI NON (RCP) NON EXCLUSION MARCHÉ SUR L'ERREUR DE PROGRAMMATION ET SES CONSÉQUENCES EN "FIRST-PARTY". CONSÉQUENCES D'UNE ERREUR DE PROGRAMMATION IMPACTANT UN TIERS SI L'ASSURÉ EST UNE SSII = RC PRO. AU CAS PAR CAS OUI AMENDES ET SANCTIONS PÉCUNIAIRES (IMPOSÉES PAR DES AUTORITÉS DE PROTECTION DES DONNÉES PERSONNELLES) OUI 50 % DU MONTANT DE GARANTIE, PAR PÉRIODE DE GARANTIE ET PAR SINISTRE. CELA REPRÉSENTE LE MONTANT MAXIMUM DE LA SOUS-LIMITE. A ÉVALUER AU CAS PAR CAS OUI (VOLET PERTES FINANCIÈRES) OUI SI ASSURABLE10 M€ OUI OUI OUI CONSÉQUENCES D'UNE FRAUDE ET PERTES D'EXPLOITATION CONSÉCUTIVES NON OUI (VOLET PERTES FINANCIÈRES) SI OPTION FRAUDE NON (FRAUDE) OUI PASSER AU CHAPITRE DOMMAGES / PERTES FI PE / FRAIS SUPPLÉMENTAIRES OUI DÉTOURNEMENT DE FONDS AU CAS PAR CAS N/A CF DOMMAGES / PERTES FIN. AUTRES POSTES :ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 53 PRODUITS ET SERVICES ENQUÊTE « GARANTIES CYBER-RISQUES » DIVERS OUI/NON MONTANT MAXIMUM COMMENTAIRE OUI/NON COMMENTAIRE OUI/NON MONTANT MAXIMUM OUI/NON COMMENTAIRE OUI/NON OUI/NON COMMENTAIRE AUDIT DES RISQUES (IDENTIFICATION DES VULNÉRABILITÉS DU SI ; ÉVALUATION EN TERME D'IMPACTS ; PROABILITÉ DE SURVENANCE) NON OUI POSSIBLE DANS CERTAINS CAS N/A RÉPONSE PARTIELLE EN COMPLÉMENT DE LA POLICE - SCAN DE VULNÉRABILITÉS IBM NE RELÈVE PAS DE L'ASSURANCE. POSSIBILITÉ DE MISE EN RELATION AVEC DES PRESTATAIRES SPÉCIALISÉS. NON CYBER-ESPIONNAGE (ÉCONOMIQUE ET INDUSTRIEL) NON SELON LES CAS OUI (DOMMAGES SUBIS PAR L'ASSURÉ) 10 M€ OUI À PRÉCISER NON GESTION DE LA RÉPUTATION (AVANT L'INCIDENT) NON NON NON N/A NE RELÈVE PAS DE L'ASSURANCE. POSSIBILITÉ DE MISE EN RELATION AVEC DES PRESTATAIRES SPÉCIALISÉS. NON TRANSFERT DES SERVICES CRITIQUES EN CAS DE PRESTATAIRE DÉFAILLANT NON SELON LES CAS POSSIBLE DANS CERTAINS CAS (MESURES CORRECTIVES / FRAIS SUPPLÉMENTAIRES D'EXPLOITATION) ENJEU DU SINISTRE OUI AU CAS PAR CAS NON RANÇONNAGE OU CYBER EXTORSION OUI 50 % DU MONTANT DE GARANTIE, PAR PÉRIODE DE GARANTIE ET PAR SINISTRE CELA REPRÉSENTE LE MONTANT MAXIMUM DE LA SOUS-LIMITE. A ÉVALUER AU CAS PAR CAS OUI OUI 10 M€ OUI OUI OUI CF DOMMAGES / PERTES FIN. AUTRES POSTES : FRANCHISES FRANCHISE POUR LA PE 12H MINIMUM SELON LES CAS LA FRANCHISE EST DÉTERMINÉE EN FONCTION DU RISQUE. ELLE PEUT ALLER DE 1000€ POUR UNE PME AYANT DES ACTIVITÉS À RISQUE CYBER FAIBLE À PLUSIEURS MILLIONS D'EUROS POUR UNE GRANDE INSTITUTION FINANCIÈRE. AU CAS PAR CAS FONCTION DU PROFIL DE RISQUESATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 54 PRODUITS ET SERVICES ENQUÊTE « GARANTIES CYBER-RISQUES » DIVERS OUI/NON MONTANT MAXIMUM COMMENTAIRE OUI/NON COMMENTAIRE OUI/NON MONTANT MAXIMUM OUI/NON COMMENTAIRE OUI/NON OUI/NON COMMENTAIRE AUDIT DES RISQUES (IDENTIFICATION DES VULNÉRABILITÉS DU SI ; ÉVALUATION EN TERME D'IMPACTS ; PROABILITÉ DE SURVENANCE) NON OUI POSSIBLE DANS CERTAINS CAS N/A RÉPONSE PARTIELLE EN COMPLÉMENT DE LA POLICE - SCAN DE VULNÉRABILITÉS IBM NE RELÈVE PAS DE L'ASSURANCE. POSSIBILITÉ DE MISE EN RELATION AVEC DES PRESTATAIRES SPÉCIALISÉS. NON CYBER-ESPIONNAGE (ÉCONOMIQUE ET INDUSTRIEL) NON SELON LES CAS OUI (DOMMAGES SUBIS PAR L'ASSURÉ) 10 M€ OUI À PRÉCISER NON GESTION DE LA RÉPUTATION (AVANT L'INCIDENT) NON NON NON N/A NE RELÈVE PAS DE L'ASSURANCE. POSSIBILITÉ DE MISE EN RELATION AVEC DES PRESTATAIRES SPÉCIALISÉS. NON TRANSFERT DES SERVICES CRITIQUES EN CAS DE PRESTATAIRE DÉFAILLANT NON SELON LES CAS POSSIBLE DANS CERTAINS CAS (MESURES CORRECTIVES / FRAIS SUPPLÉMENTAIRES D'EXPLOITATION) ENJEU DU SINISTRE OUI AU CAS PAR CAS NON RANÇONNAGE OU CYBER EXTORSION OUI 50 % DU MONTANT DE GARANTIE, PAR PÉRIODE DE GARANTIE ET PAR SINISTRE CELA REPRÉSENTE LE MONTANT MAXIMUM DE LA SOUS-LIMITE. A ÉVALUER AU CAS PAR CAS OUI OUI 10 M€ OUI OUI OUI CF DOMMAGES / PERTES FIN. AUTRES POSTES : FRANCHISES FRANCHISE POUR LA PE 12H MINIMUM SELON LES CAS LA FRANCHISE EST DÉTERMINÉE EN FONCTION DU RISQUE. ELLE PEUT ALLER DE 1000€ POUR UNE PME AYANT DES ACTIVITÉS À RISQUE CYBER FAIBLE À PLUSIEURS MILLIONS D'EUROS POUR UNE GRANDE INSTITUTION FINANCIÈRE. AU CAS PAR CAS FONCTION DU PROFIL DE RISQUESATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 55 PRODUITS ET SERVICES ENQUÊTE « GARANTIES CYBER-RISQUES » L a donnée personnelle est aujourd’hui considérée comme plus importante que le pétrole. C’est pourquoi la prise en compte de la protection des données est essentielle et doit faire l’objet d’une attention toute particulière au sein des entre- prises. Les technologies avancées continuent leur développement et sont de plus en plus interconnectées (objets, applications, etc.). Le projet de règlement européen, actuellement en phase finale de négociations, devrait apporter les garanties nécessaires à la protection des données. Pour mémoire, la loi «  Informatique et Libertés  » telle que modifiée par la loi du 6 août 2004 a comme principale finalité de protéger l’indi- vidu contre l’utilisation abusive de ses données à caractère personnel. Ainsi, une collecte de données à caractère personnel doit être légitime, proportionnée avec des délais de conservation en adéquation avec la finalité de cette dernière. En outre, indépendamment du respect des droits des individus (information, consentement, accès, rectification, opposition), tout responsable de traitement de données personnelles doit mettre en œuvre des mesures de sécurité et de confiden- tialité. Des règles spécifiques doivent également être instaurées en cas de transfert des données en dehors de l’Union européenne. Ces principes fondamentaux dans le domaine des données à caractère personnel sont un premier socle de conformité d’un traitement qui doit, d’ores et déjà, être respecté au sein d’une entreprise. OBLIGATIONS ACCRUES DANS LE TRAI- TEMENT DE DONNÉES PERSONNELLES Le projet de règlement européen, texte très ambi- tieux et complexe, s’inscrit dans la continuité des principes fondateurs posés par la directive 95-45/CE sur la protection des données, tout en fixant un nouveau cadre de la conformité, ce qui induit un changement important de la pratique du traitement des données personnelles. Ainsi, le projet de règlement impose aux entre- prises une nouvelle démarche dans le cadre d’une prévention des risques, comme l’obliga- tion de notification des failles de sécurité ou encore l’obligation de faire réaliser des audits pour vérifier l’adéquation et l’efficacité des mesures mises en place. Parmi ces principes, le plus connu est sans doute celui de l’accountability ou engagement responsable qui fait référence à l’ensemble des mesures internes prises par un responsable du traitement afin d’attester sa conformité à la réglementation applicable. Ce principe est connu, il a été instauré dans les années quatre- vingt, notamment au Canada. Pour le responsable du traitement, il s’agit de prouver et de démontrer, a posteriori, à la Commission nationale de l’informatique et des libertés (CNIL) et aux personnes concernées par leurs traitements, que le respect des disposi- tions de la Loi «  Informatique et Libertés  » est assuré. Ces mesures peuvent être des procédures de gestion des incidents ou encore la documen- LE PROJET DE RÈGLEMENT EUROPÉEN SUR LES DONNÉES PERSONNELLES : UNE NOUVELLE DONNE DU RISQUE DE NON-CONFORMITÉ AU SEIN DE L’ENTREPRISE ? Les enjeux de l’évaluation du risque de non-conformité dit «  Informatique et Libertés  » ne sont pas nouveaux. Pour autant, à l’aune de l’adoption du règlement européen, refonte du droit de la protection des données personnelles, l’anticipation et la gestion des risques sont plus que jamais d’actualité. Maître Garance Mathias, GM Avocats Expert du droit des affaires et de l’accompagnement des entreprises notamment sur les enjeux juridiques liés aux technologies avancées et à la sécurité des systèmes d’information. Par Maître Garance MathiasATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 56 VEILLE ET POSITION tation des traitements mis en œuvre avec des mesures de confiden- tialité spécifiques, selon la typologie et la sensibilité des données. Le principe d’accountability conduit à assurer une véritable traçabilité et transparence vis-à-vis des autorités. La mise en œuvre de ce principe d’accountability nécessite, au sein de l’entreprise, l’intervention forte du CIL, futur Data Privacy Officer (pilier du respect de la conformité). D’autres principes fondamentaux sont mis en œuvre comme celui de la minimisation des données collectées (privacy by default) ou encore de privacy by design. En d’autres termes, chaque nouvelle application ou technologie traitant ou permettant de traiter des données personnelles doit être conçue et pensée ab initio, en garantissant le niveau de protec- tion le plus élevé. Ces deux principes sont semblables mais se différencient par le fait que le premier laisse une marge de manœuvre à l’utilisateur. Le concept du privacy by default a notamment son utilité dans le cadre du développement des applications mobiles. Les paramètres par défaut de ces applications feront ainsi en sorte que la plus grande protection des données possible soit garantie. L’utilisateur pourra alors modifier les paramètres (permettre la localisation par exemple) à sa guise même s’il se verra notifier les dangers de ces changements. UN PANEL DE SANCTIONS ÉLARGI EN CAS DE MANQUEMENTS Eu égard au contexte décrit ci-dessus, les risques associés à une non-conformité recouvrent de multiples aspects et ne se limitent pas uniquement aux sanctions qui peuvent être prononcées à l’encontre d’une entreprise. Outre la responsabilité civile de droit commun à laquelle s’expose une entreprise qui ne respecte pas la loi, rappelons que l’ensemble des obligations incombant à un responsable de traite- ment est sanctionné sur le plan pénal et administratif lorsqu’elles ne sont pas respectées. En effet, même si le montant des amendes, tel que mentionné dans le projet de règlement européen, se veut extrêmement dissuasif (5  % du chiffre d’affaires annuel mondial), d’autres actions peuvent être pronon- cées. Ainsi, à titre d’illustration, la CNIL a vu son pouvoir de sanction renforcé notamment avec la possibilité d’effectuer des contrôles en ligne et de prononcer des sanctions administratives ou encore de dénoncer au Parquet certaines infractions. DES RISQUES IMPORTANTS POUR L’ENTREPRISE À la suite du prononcé des sanctions, les effets collatéraux sont nombreux. Le premier effet est l’atteinte à l’image et à la réputation de l’entreprise en cas de non-conformité avérée. Cet effet peut s’accompagner d’autres conséquences sur les intérêts commerciaux comme le fait de voir des fichiers déclarés illicites ou voir des collectes de données non recevables par les tribunaux (comme l’absence de déclaration d’une badgeuse). Cette approche de la conformité est d’autant plus prégnante au regard des transferts de données internationaux, de la gestion de la sécurité et de la confidentialité, notamment à la suite de l’invalidation du Safe Harbor par la Cour de Justice de l’Union européenne, le 6 octobre 2015. Ainsi, dans ce contexte, les contrats portant sur les transferts de données vers les États- Unis doivent être renégociés dans les plus brefs délais. Les enjeux entourant la protection des données sont désormais primor- diaux pour la pérennité d’une entreprise. Ainsi, prendre en compte la protection des données n’est pas à négliger sur le plan commercial et renforce la crédibilité des entreprises, notamment auprès des éventuels investisseurs ou de leurs clients. En d’autres termes, la conformité au regard des données à carac- tère personnel est un véritable outil de Management du Risque et de l’image d’une entreprise. ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 57 VEILLE ET POSITION LE SÉMINAIRE DE RENTRÉE DE L’AMRAE : PORTEUR DE PROJETS UNE MATINÉE ÉCLAIRANTE… L a matinée était consacrée à des inter- ventions destinées à faire le point sur les défis de l’association, pour bien répondre au métier de Risk Manager de demain. Bénédicte Huot de Luze, Déléguée générale de l’AMRAE, a présenté les principaux challenges à relever pour l’As- sociation, les Commissions, les Rencontres, et AMRAE Formation (dans un contexte de réforme) pour les années à venir. Deux invités apportaient ensuite une vision externe très utile. Laurent Billès-Garabédian, ancien Président de l’AX (Association des anciens élèves et diplômés de Polytechnique), témoi- gnait de son expérience et dispensait de judi- cieux conseils : sur la gestion des Commissions, des relations presse, l’organisation générale de l’Association… Pour lui, une association «  doit savoir évoluer même quand tout va bien, pour aller de l’avant  ». Et de préciser certains points, comme la mise en valeur du réseau, «  qui doit faire l’objet d’une intense diffusion  ». Seconde invitée : Kadidja Sinz, Directrice générale de XL Catlin France. Durant son al- locution, la professionnelle de l’assurance a esquissé la vision qu’ont ses pairs des Risk Managers. Pour elle, cela ne fait pas de doute : « le Risk Manager est clairement un facteur de croissance de l’entreprise, et davantage un arbitre des différentes tendances internes ». Autre message fort, «  les Risk Managers ne doivent pas s’inquiéter des fusions d’assu- reurs : cela nous permet de couvrir un plus large spectre assurantiel, et nous donne une meil- leure maîtrise des accès aux marchés  ». …ET UNE APRÈS-MIDI STUDIEUSE Le déjeuner fut l’occasion d’échanges entre les administrateurs, les Présidents de Commissions, et le Bureau permanent, avant une après-midi plus pratique. Répartis en groupes de travail, les participants ont planché sur le thème «  Métier Risk Manager : quels défis pour demain ?  ». Au programme, trois questions distinctes  : Et demain : quel métier, quelle fonction, quelle perspective ? Visibilité, valeur ajoutée : comment nous faire voir, entendre ? Nos entre- prises bougent, évoluent : et nous ? Évolution de carrière, reconnaissance, anticipation des évolutions du business et du marché, et le rôle de l’AMRAE dans ces processus. Après quelques heures de réflexion, plu- sieurs axes se sont dégagés  : un mentoring à l’anglo-saxonne pour faciliter l’entrée des jeunes Risk Managers dans l’Association (et donc dans la profession), une poursuite du E-learning, la création de conférences en ligne pour mobiliser davantage de partici- pants aux différentes sessions et commis- sions, quelle que soit la distance. Enfin, la création d’un Club utilisateur de l’in- dicateur du coût du risque est actée. Cet outil développé par l’AMRAE en 2014 gagnerait à être mieux compris, diffusé, et adapté aux besoins des Risk Managers. Les pistes prospectives désormais posées, Brigitte Bouquot a retenu de 2016 que «  l’AMRAE sera ce que nous en ferons  ». À bon entendeur.  Le 10 septembre 2015, l’AMRAE a tenu son séminaire de rentrée annuel à Paris. Moment essentiel pour l’Association, cette journée a permis aux membres du Conseil d’administration et aux Présidents de Commissions de préparer les principaux sujets à venir. Focus. 1 Laurent Billès-Garabédian, ancien Président de l'AX, partage son expérience de gestion d'une association pro- fessionnelle 2 Kadidja Sinz, Directrice générale de XL Catlin France, donne la vision des assureurs sur les Risk Managers 3 Léopold Larios, Président du Groupe thématique «  Obser- vatoire des primes et des assurances  », échange avec un intervenant 4 Anne-Marie Fournier, Vice-présidente AMRAE en charge du Pôle scientifique, échange avec un intervenant. 12 34 « L’AMRAE souhaite ancrer son action et ses décisions dans les pas du métier, de son évolution et de ses défis ». Brigitte Bouquot, Présidente de l’AMRAE François Malan, Vice-président AMRAE en charge du Métier Risk Manager, présente le Baromètre du Risk Manager 2015.ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 58 ACTUALITÉ DE L’AMRAE ORGANISATION APRÈS TIANJIN : LA GESTION DES SINISTRES EN CHINE Pour analyser les explosions et les indemnisations au port de Tianjin, la Commission Dommages aux biens de l’AMRAE a tenu une session spéciale le 22 septembre dernier avec des experts et assureurs venus de Chine. M ercredi 12 août 2015, port de marchan- dises de Tianjin. Une explosion assour- dissante se fait entendre à 23 heures. Dans une zone de stockage de véhicules d’import et de conteneurs renfermant des matières hétérogènes, à forte valeur économique, les pompiers arrivent rapidement pour éteindre l’incendie. Et arrosent sans le savoir des produits chimiques qui, au contact de l’eau, provoquent une seconde explosion. Bilan : 123 morts, 167 blessés, 13 disparus, et une catastrophe écologique due à la dispersion de produits chimiques. Économiquement, les conséquences sont lourdes, puisque Grégoire Lancner, Responsable du Foreign desk au sein de PING’AN (compagnie chinoise d’assurances), estime à 10 milliards de dollars le total des dégâts. «  Seulement 1/7 e des marchandises étaient assurées, on ne sait pas si celles qui ont été endommagées l’étaient », précise-t-il. CULTURE DIFFÉRENTE = GESTION DIFFÉRENTE DES SINISTRES Venu de Pékin, Grégoire Lancner apporte aux auditeurs son regard d’assureur immergé dans les affaires et la culture chinoises. Il souligne «  la difficulté à être informé des polices Stand Alone : les grands groupes doivent inclure ces polices dans leurs programmes internationaux, afin que l’apériteur et le courtier global soient en contact régulier avec leurs homologues locaux  ». Autre spécificité locale, le fonctionnement du loss adjuster. «  En Chine, il se prononce sur la couverture assurantielle et doit donc avoir d’importantes capacités d’expertise ». Enfin, Grégoire Lancner explique que «  les Chinois aiment entretenir des relations d’amitié, même dans le business ». Avoir de bons rapports avec son assureur améliore la vitesse de traitement d’un dossier en cas de sinistre. GÉRER CORRECTEMENT L’APRÈS-TIANJIN Face à la volonté du gouvernement chinois de limiter la contamination, la vigilance est de mise. «  La preuve de la non-contamination de ses produits revient au client. Entourez-vous de bons experts, et faites établir des certificats de conformité pour prouver votre bonne foi en cas de contrôle surprise  », prévient Grégoire Lancner. «  En cas de doute, vos marchandises sont mises en quarantaine… et peuvent être détruites par l’État, sans que vous ayez un quelconque recours  ». Un Risk Manager averti en vaut deux.  Grégoire Lancner, Responsable du Foreign desk, PING’AN L’ÉCLAIRAGE DES EXPERTS DU GROUPE ERGET Le Groupe Erget : de capitaux privés, il est un spécialiste de l’expertise pour le compte des compagnies d’assurance, des risques de responsabilité civile, des risques techniques et des risques de construction. Jacques Le Goff revenait sur la géographie du lieu et le souffle de l’explosion. Pour lui, le fait que certains bâtiments aient été désagrégés dans le rayon de l’explosion, contrairement à d’autres, pose la question « d’une explosion interne de ces structures, peut-être due à un stockage de produits chimiques  ». L’expert doute que du gaz d’acétylène soit responsable de la seconde explosion. «  Un gaz ne forme pas un cratère en explosant, alors qu’un solide posé au sol, si  ». Et revient sur le nitrate d’ammonium, qui peut exploser sans oxygène… comme dans l’usine AZF de Toulouse. Philippe Gautier a résumé l’histoire du port de Tianjin, «  dont la croissance exponentielle est anarchique depuis 15 ans, et qui est plus important que la plupart des ports européens  ». Son estimation financière du sinistre diffère parfois de celle de Grégoire Lancner : «  60 millions de dollars de dégâts sur les conteneurs, 68 millions de dollars pour les marchandises stockées, 1,5 milliard de dollars de véhicules hors d’usage, pour un sinistre global d’environ 4 milliards de dollars ». Appelé récemment à Marseille pour examiner un conteneur provenant de Tianjin, l’expert pointe aussi le fait qu’aucun embargo sur les produits venant de ce port n’est observé malgré des risques évidents de contamination. Jacques Le Goff Philippe Gautier ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 59 ACTUALITÉ DE L’AMRAE ÉVÉNEMENTS UN CAFÉ D’ÉCHANGES SPÉCIAL ATTENTATS ENTRE RISK MANAGERS ET EXPERTS P our apporter des éléments de réponse, deux experts étaient invités : Bernard Mettetal, Avocat de HMN & Partners, et Benoît Vraie, Maître de conférences à la Sorbonne et Président de la Commission Intelligence économique, Crises et PCA de l’AMRAE. Rapidement, trois points majeurs ont émergé des problématiques des Risk Managers présents : renforcement de la sécurité dans les entreprises, programmes d’assurance spécifiques au terrorisme et protection des collaborateurs. LA SÉCURITÉ, UNE CHIMÈRE ? M e Mettetal a rappelé que «  le Code du travail français mentionne l’obli- gation de sécurité pour les entreprises, qui doivent prendre toutes les mesures nécessaires pour protéger leurs salariés  ». Le rôle de l’État est important, «  puisqu’il peut pour les SAIV (Secteurs d’Activité d’Importance Vitale) fixer certaines mesures obligatoires  », a rappelé Benoît Vraie, qui précise que l'État est aussi «  seul responsable de la sécurité publique ». Dans ce cadre, les fouilles de sacs et vigiles à l’entrée constituent plus un outil de dissuasion qu’une protection réelle. Quant à l’embauche et le suivi de personnes/salariés à risque, il est impossible. «  L’entreprise n’a pas le droit de s’immiscer dans la vie privée. Votre seul recours est de signaler le salarié aux autorités en cas de suspicion. À part les OIV (Organismes d’Importance Vitale), l’entreprise ne peut pas faire grand-chose pour examiner le passif d’un candidat  », a rappelé Benoît Vraie. ASSURANCES, INDEMNISATIONS ET EXCLUSIONS : SOYEZ VIGILANTS Côté assurances, un constat : «  la guerre est souvent exclue des contrats  ; les émeutes et attentats constituent un cas particulier pour lequel il faut négocier des garanties complémentaires  », explique Bernard Mettetal. À vous donc de vérifier vos polices avec votre courtier. Les dommages immatériels non-consécutifs «  ne feront pas l’objet d’une grande appétence du marché français, tant qu’il n’aura pas déli- mité l’étendue du risque  », a résumé l’avocat. Quant à la Responsabilité Civile, «  elle est difficilement chiffrable  ». Enfin, la réassurance obligatoire GAREAT concerne seulement les mon­ tants au-delà de 20 millions d’euros, donc majoritairement les grands groupes. PROTECTION DES COLLABORATEURS Autre conséquence des attentats : des salariés à l’étranger à protéger et des collaborateurs choqués. Benoît Vraie a préconisé un «  travail pédagogique de l’entreprise, qui doit éviter la sur-réaction, plus inquié- tante que rassurante. Sa réponse doit être adaptée à sa culture et à son secteur d’activité  ». Pour protéger les salariés à l’étranger, Bernard Mettetal a considéré que « l’affinage de la cartographie des risques, ainsi que la sous-trai- tance de la sécurité dans des États faibles ou faillis  », constituent deux leviers majeurs. Suivre les informations du Ministère des Affaires Étrangères concernant les zones à risque est utile, mais «  il faut croiser ces informations avec celles de ministères d’autres pays pour avoir une meilleure vision  », a ajouté un Risk Manager. La plus simple des protections reste pour Benoît Vraie de «  se fondre dans la masse, en travaillant sur place uniquement avec des relais bien identifiés par l’entreprise ».  En réaction aux attentats du 13 novembre, l’AMRAE a organisé un temps d’échanges autour de deux intervenants, qui a réuni une quinzaine de Risk Managers. L’occasion de se raconter le trau- matisme, de partager les bonnes pratiques, de dispenser des conseils et d'effectuer des retours d’expérience. Retrouvez toutes les informations sur la page « résilience attentats » : http://amrae.fr/resilience-attentats L’AMRAE vous invite à échanger avec vos courtiers et avocats spécialisés sur les points mentionnés dans l’article.ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 60 ACTUALITÉ DE L’AMRAE ÉVÉNEMENTS LA 3 e CONVENTION DE LA FRANCOPHONIE LA CONFÉRENCE SUR LA GOUVERNANCE DES RISQUES « L’actualité se fait en permanence l’écho de dégâts majeurs et de constats chiffrés, qui montrent l’absence satisfaisante d’accord sur la gouvernance des risques  », a résumé Denis Zandvliet, Associé Value€360 et organisateur de la conférence, en ouverture. Une gouvernance qui doit débuter bien en amont pour Benoît Lange, Directeur Commercial France de Bouygues Travaux Publics : «  la gestion des risques est un aspect central dans le management de projets, dont même la phase commer- ciale comporte une approche conséquente des risques liés  ». Et de constater que « la contractualisation de la gestion des risques à la demande du client est une demande qui s’accentue. En phase de travaux, la matrice de risques faite en amont devient un instrument de pilotage  ». LA GOUVERNANCE IDENTIFIÉE DES RISQUES, UNE DEMANDE CROISSANTE « Nous sommes passés en quelques années de la simple gestion des risques à l’Enterprise Risk Management, qui est une prise en compte globale de l’ensemble des paramètres au niveau corporate  » constate Brigitte Bouquot, Présidente de l’AMRAE et Directeur des Assurances et de la Gestion des risques de Thales. Constatant l’intérêt croissant des comités de direction pour ces thématiques, Brigitte Bouquot remarque que «  la question de leur présentation synthétique se pose  ». En présentant l’organigramme de l’ERM du position paper AMRAE / IFACI relatif aux lignes de Maîtrise, elle a décrit les enjeux de gouvernance et la nécessaire convergence des processus pour impliquer le Risk Management dans la décision stratégique. Sans grande surprise, Philippe Moutenet, Associé et Commissaire aux comptes de Mazars, a relevé que «  le CAC 40 a une appétence aux risques quasi exponen- tielle », car «  le principal risque comptable pour le CAC est l’anomalie significative dans les comptes d’une entreprise  ». D’où une surveillance à tous les niveaux des dispositifs de gestion des risques des grandes entreprises, «  à l’aide de référen- tiels qui se complètent chaque jour davantage  ». Pour lui, «  il faut maintenant un système de management intégré du risque qui permette une actualisation, une consolidation, et une restitution au plus haut niveau stratégique ». LA VIGILANCE SPONTANÉE… MAIS ORGANISÉE Comment alors organiser une vigilance permanente du risque  ? Jean-François Barbet, PDG de Sector, a noté que les consultants «  ont plutôt tendance à mobi- liser des vigilances qui rejoignent la notion de risques émergents  »... qu’il faut accompagner d’une «  vigilance transverse en interne, qui permet de dégager dans les grands groupes des problématiques différentes ». Cette conférence de haut niveau a également permis de jeter un pont entre ingé- nieurs et Risk Managers, les uns découvrant les problématiques professionnelles des autres.  Après les travaux préparatoires, le Club Francophone du Management des Risques et des Assurances (abré- gé en Club Franco Risk) a été officiellement créé en 2015. Il tiendra la 3 e Convention de la Francophonie à Lille, lors des 24 e Rencontres AMRAE. Un point d’étape avec son président Gilbert Canaméras. 54 ingénieurs et Risk Managers ont assisté à la conférence «  Risk Management : comment décider ?  »,organisée par Centrale Supélec en partenariat avec l’AMRAE le 22 octobre dernier. Au programme : des regards croisés sur la gestion et la gouvernance des risques. 2015, PREMIÈRES ACTIONS CONCRÈTES POUR LE CLUB FRANCO RISK ? Après une première réunion en 2014 à Casablanca, qui a rassemblé 120 Risk Managers francophones, le Club a participé cette année aux Rendez-vous de Casablanca de l’assurance en avril, ainsi qu’à la conférence annuelle de l’AGRAQ (Association des Gestionnaires de Risques et d'Assurance du Québec) au Canada. Le bureau est constitué, les statuts sont déposés ; le travail de mise en place du réseau peut à présent commencer. Nous avons ressenti lors des différents évènements une attente suscitée par le Club, et nous allons répondre aux besoins et demandes exprimés. Cela commence par la 3 e Convention de la Francophonie, qui aura lieu dans le cadre des 24 e Rencontres du Risk Management AMRAE, sur le thème «  Climats à hauts risques  ». Comment les pays francophones se préparent-ils au changement climatique ? Nous répondrons à cette ques- tion grâce aux témoignages des entreprises et assureurs qui interviendront. QUELLES SONT LES ATTENTES SUSCITÉES PAR LE CLUB ? VOS ACTIONS POUR Y RÉPONDRE ? Dans de nombreux pays francophones, le Risk Manager est isolé, faute d’existence d’une association professionnelle locale. La vocation du Club est de leur offrir un espace d’échanges, de partage des bonnes pratiques, de retours d’expérience entre pairs, d’accès aux informations. Nous travaillons à la mise en place de voyages d’étude professionnels, de soirées dédiées aux membres, et de jour- nées-conférences, afin d’essaimer les bonnes pratiques que nous aurons constatées dans les différents pays visités. Des contacts ont été pris dans des pays tels que le Maroc, la Tunisie, la Côte d’Ivoire, le Togo, le Sénégal, le Canada, le Benelux, pour préparer ces actions et déplacements. Nous sommes conscients des attentes suscitées par le Club  : à nous de gérer nos risques pour ne pas les décevoir !  Suivez le Club Franco Risk sur Twitter : @Clubfrancorisk Gilbert Canaméras, Président du Club Franco RiskATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 61 ACTUALITÉ DE L’AMRAE ÉVÉNEMENTS ASSISES DE LA SÉCURITÉ Les Assises de la Sécurité et des Systèmes d’Information fêtaient cette année leurs 15 ans d’existence. L’AMRAE y était présente. Objectif : anticiper les nouveaux Cyber Risks et se rapprocher des RSSI. Retour sur le futur. R éférence en matière de solution SI et de protection infor- matique, les Assises de la sécurité ont évolué ces dernières années. Conservant leur orientation business, elles ont déve- loppé un programme scientifique toujours plus dense pour anticiper les problématiques majeures à venir. Avec l’augmentation exponentielle des cyber-attaques, des piratages ou du phishing (fraude pour obtenir des renseignements person- nels dans le but de perpétrer une usurpation d'identité, N.D.L.R.), «  le Cyber Risk est entré dans les dix risques les plus craints par les entre- prises », rappelle Hélène Dubillot, Directrice de la Coordination scientifique de l’AMRAE et présente aux Assises 2015. «  L’AMRAE travaille depuis longtemps sur ce sujet, c’est un moyen de nous rendre visibles, d’enrichir notre réseau, de connaître les décisions des institutions et l’ac- tualité du domaine pour poursuivre nos travaux, et de capter des tendances ». L’AMRAE TRAITE DES POLICES D’ASSURANCES CYBER Cette année, Nadine Delouche, Risk Manager de GIRC AGIRC-ARRCO, intervenait en tant que membre AMRAE dans la table ronde «  Cyber assu- rances : répondent-elles aux besoins des entre- prises ? ». Si le public est spécialiste des SI en général, il est moins connaisseur des manières de garantir financièrement les conséquences du Cyber Risk. «  Les RSSI n’ont pas toujours conscience des différences entre les polices, d’où l’intérêt d’une bonne communication entre eux et les Risk Managers  », témoigne Nadine Delouche. Aux côtés d’un RSSI, d’un représentant des assureurs et courtiers, et du Clusif (Club de la Sécurité de l’Information Français), la Risk Manager énonçait une de ses problématiques majeures  : « définir des périmètres de recouvrement de la police cyber. Souvent l’entreprise est déjà assurée en RC, elle doit donc établir précisément la réalité du besoin à couvrir dans sa police cyber  ». Dans ce cadre, «  mieux vaut travailler ensemble en amont qu’a posteriori  », précise l’intervenante… qui souligne le travail de fond entre l’AMRAE et les RSSI. «  Ces derniers utilisent un jargon professionnel que les Risk Managers gagneraient à connaître  ; l’idée d’un dictionnaire du Cyber Risk est dans nos tuyaux  », conclut Hélène Dubillot.  LES ASSISES DE LA SÉCURITÉ EN QUELQUES CHIFFRES 2 100 professionnels 1 000 DSI et RSSI 537 sociétés représentées 55 experts Prochaine édition : du 5 au 8 octobre 2016 Nadine Delouche, Risk Manager de GIRC AGIRC-ARRCO Hélène Dubillot, Directrice de la Coordination scientifique de l’AMRAEATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 62 ACTUALITÉ DE L’AMRAE ÉVÉNEMENTS L’AMRAE RHÔNE-ALPES À PREVENTICA LYON 450 exposants, 9  000 visiteurs en 3 jours : l’édition lyonnaise est le fer de lance de Preventica. Dans l’enceinte d’Eurexpo, les PME fabriquant du matériel de sûreté/sécurité (de la vidéosurveillance en passant par l’équipement de protection indivi- duel) côtoient les organismes qui travaillent sur ces sujets. Dans les allées déambulent tour à tour et simultanément des consultants en risque, «  techniciens du risque  » spécialisés dans un domaine particu- lier, responsables sûreté et sécurité, et… des adhérents AMRAE. UNE CONFÉRENCE SUR LE DEVOIR DE VIGILANCE L’antenne AMRAE Rhône-Alpes a souhaité traiter du devoir de vigilance lors d’une conférence spéciale, inscrite à l’agenda du salon. Le thème : « Quelles responsabilités des multinationales envers leurs filiales et sous-traitants ? ». Xavier Mary, Pilote de l’antenne Rhône-Alpes, commençait en rappe- lant l’importance du tissu économique local, qui englobe maisons- mères employant des filiales à l’étranger. La question du devoir de vigilance était ensuite abordée sous un angle essentiellement juridique par Fabienne Raverdy, juriste à Axa Corporate Solutions. Avec en toile de fond le projet de loi actuellement débattu en France. Définissant une multinationale comme «  un ensemble de sociétés réparties dans des États différents et obéissant à une stratégie commune définie par une ou plusieurs sociétés mères », elle montrait aujourd’hui leur responsabilité juridique limitée en droit français, «  où existent les principes de l’autonomie des personnes morales, du droit de la responsabilité civile, et de la responsabilité pénale personnelle : nul n’est responsable que de son propre fait  », soulignait la juriste. Si le droit anglo-saxon a posé les bases d’une responsabilisation via la soft law assez peu contraignante, le contexte semble aujourd’hui favo- rable au contrôle de la supply chain. Une réaction juridique soulevée notamment par des drames tels que celui du Rana Plaza : faut-il passer à la hard law ? DE LA SOFT LAW À LA HARD LAW ? C’est l’objet du projet de loi français, plus coercitif. Le 11 février 2015, la deuxième proposition de loi comprenait «  deux volets majeurs : l’obligation d’établir un plan de vigilance, et une responsabilité de droit commun  », détaillait Fabienne Raverdy. Le plan de vigilance devra contenir, si la loi est adoptée, des éléments tels qu’une cartographie des risques pays par pays, des audits sociaux et envi- ronnementaux, des mesures de formation des salariés et d’information des syndicats, ou encore une contractualisation des engagements RSE. Dans sa forme actuelle, le projet de loi pose un certain nombre de questions  : quel sera l’objet du décret d’application  ? Quel rang de relation commerciale (N-1, N ?) ? Quelle étendue des pouvoirs du juge ? Parmi les sanctions prévues, une amende de 10 millions de dollars et une injonction pour la multinationale d’établir et de communiquer au public la mise en œuvre de son plan de vigilance, et d’afficher une déci- sion de justice à ses frais. D’autres problèmes apparaissent également, à l’instar de la possibilité pour une ONG de se porter partie civile et de réclamer un dédommage- ment pour préjudice moral. Et une question de taille : si la loi adoptée est française, un juge français pourrait-il appliquer cette loi à un acci- dent survenu à l’étranger ? Le 18 novembre 2015, le Sénat a supprimé les trois articles du texte. En conséquence, la proposition de loi n’a pas été adoptée. La soft law restera probablement la référence internationale, rappelant la posi- tion de l’AMRAE exprimée en avril dernier : «  faisons confiance à l’En- treprise et souhaitons que les acteurs de la maîtrise des risques jouent plus que jamais leur rôle moteur sur ces sujets  ».  Le salon consacré à la santé au travail, à la sûreté et à la sécuri- té a eu lieu du 13 au 15 octobre 2015. Pour élargir son réseau et se faire connaître, l’AMRAE Rhône-Alpes, partenaire du sa- lon, y était doublement présente, avec un stand, et lors d’une conférence sur le devoir de vigilance. L'ANTENNE DE NIORT ET LES HAPPY APÉROS T erminer une journée de travail avec des échanges professionnels informels dans un cadre détendu : c’est le principe des «  Happy apéros  ». Lancés par l’antenne régionale de l’AMRAE à Niort sous l’impulsion de sa Pilote Marie-Élise Lorin : «  nous nous retrouvons autour d’un verre pour échanger autour d’un thème prédé- fini, en lien avec nos activités. Les adhérents parlent très ouvertement des difficultés qu'ils ont pu rencontrer. Ils échangent sur la manière dont ils ont abordé le problème eux-mêmes ou apprennent de leurs pairs qui ont eu affaire aux mêmes obstacles  ». Moment convivial, les «  Happy apéros  » sont aussi une source d’enrichissement mutuel et un moment d'expression de l'intelligence collective. ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 63 ACTUALITÉ DE L’AMRAE RÉGIONS Rencontres AMRAE 2016 - Stand B4 sinistrespolices risques primes courtiers filiales S/P cartographie business intelligence compliance risques naturelscollaboratif ventilation flottes auto business Units renouvellements déclaration polices locales communication calculs expertscouvertures recommandations analyses logiciel attestations simulations franchises analyse géographiqueportail collecte des valeurs prévention Par Anne-Sophie David ÉTAT DU MARCHÉ DE L’ASSURANCE IARD C ette année, quatre cour- tiers (Diot, Marsh, Gras Savoye, Siaci Saint Honoré) ont apporté leur concours à l’enquête, conduite pour l’AMRAE par Léopold Larios, Pilote de l’Observatoire des primes et des assu- rances, et Hélène Dubillot, Directrice de la Coordination scientifique (sous la supervision d’Anne-Marie Fournier, Vice-présidente en charge du Pôle scien- tifique). Le mouvement de concentration des assu- reurs constaté cette année risque d’entraî- ner mécaniquement à moyen ou long terme – car pour l’heure les capacités financières sont abondantes et la sinistralité faible - une réduction des offres et une augmenta- tion des tarifs. L’AMRAE estime que s’il est aujourd’hui difficile pour les assureurs de trouver de nouvelles sources de revenus, «  on peut se demander si en augmentant les rétentions et les franchises, les assureurs n’ont pas perdu de la matière. En les réduisant, ils pourraient retrouver à la fois des volumes primes et sur- tout leur savoir-faire dans la gestion des si- nistres de fréquence.  » DOMMAGES ET PERTE D’EXPLOITATION Si les couvertures sont quasi inchangées et relativement larges, les capacités sont toujours aussi réduites sur les zones très exposées aux événements naturels. À noter que le marché des ETI est toujours aussi concurrentiel. En matière de perte d’exploi- tation sans dommage, l’AMRAE confirme que les assureurs sont à l’écoute : il n’y a pas de solution unique mais de multiples réponses selon les types de business concernés. Les Etat du Marché de l’assurance IARD Octobre 2015 80, Boulevard Haussmann 75008 PARIS L’AMRAE a publié son 11 e baromètre sur l’État du Marché de l’as- surance IARD. Très dur après le vent de panique provoqué par les attentats du 11 septembre 2001, le marché est «  soft » depuis 2005. Des réductions tarifaires sont encore constatées en cette fin d’année sur certains segments de marché… études sont lancées, les courtiers et assureurs s’intéressent enfin à la question  : un départ qui pourrait être prometteur… SUPPLY CHAIN Les garanties observées sont essentiellement adaptées aux entreprises travaillant avec peu de fournisseurs (10 à 15 maximum). Elles ne répondent donc pas aux besoins des grands groupes. Avec peu d’acteurs sur cette niche, les capacités sont limitées. Les franchises et tarifi- cation sont donc élevées. RISQUE TERRORISME L’AMRAE relève que les garanties se sont éten- dues, les franchises sont en baisse et les capacités en hausse, preuve que les assureurs se sont saisis du sujet pour les risques situés hors de France. RISQUE POLITIQUE Le marché devrait se diriger vers une étendue des garanties sans hausse de tarif. CONSTRUCTION Si les assureurs n’ont pas baissé de façon dras- tique les tarifications, ils ne les ont pas augmen- tées non plus et les capacités restent les mêmes. À noter que certains secteurs spécifiques ne suivent pas ces tendances : les travaux offshore, les tun- nels ou les forages, qui s’estiment au cas par cas. TRANSPORT Le baromètre révèle une hausse des capacités de 10 à 20  % et les prix parfois en baisse (jusqu’à 10 %). Coté étendue des couvertures, elles restent stables sur un marché où le risque est encore souvent difficile à appréhender car moins quan- tifié que les autres (valeurs transportées dans le monde). Le Raets, assureur majeur sur ce secteur en France, a d’ailleurs annoncé qu'il augmentait sa capacité à 1 milliard de dollars. RESPONSABILITÉ CIVILE La baisse de tarifs y est également observée. « Pour l’instant, les menaces liées à l’introduction des class actions en Europe ne se sont pas réalisées donc les assureurs sont plutôt à la baisse sur les tarifs de ces lignes  », note l’AMRAE. CYBER RISKS Si les produits sont plus sophistiqués, les assurés n’ont pas encore franchi le pas de la souscription car une quinzaine seulement d’entreprises du CAC 40 auraient souscrit de telles garanties. RISQUE CRÉDIT Malgré les contraintes liées à Solvency II, le mar- ché du risque crédit - toujours étroit car composé de trois acteurs - enregistre encore des capacités importantes et des baisses de tarifs (de 2 à 5  %) suivant l’historique des entreprises et leur profil de risque. LIGNES FINANCIÈRES Les franchises sont stables d'une manière gé- nérale sauf pour certains risques comme l’EPL (responsabilité litige droit du travail) et fraude notamment, qui connaissent un accroissement de la sinistralité en raison des nombreux cas de licenciements économiques ou encore la fraude au faux président (escroqueries aux virements internationaux). Au final, malgré un accroissement de l’exposition au risque et à la sinistralité, sur les lignes Fraude internet et externe, EPL, RCMS, les marchés restent sur-capacitaires et les tarifs stables. Rencontres AMRAE 2016 - Stand B4 sinistrespolices risques primes courtiers filiales S/P cartographie business intelligence compliance risques naturelscollaboratif ventilation flottes auto business Units renouvellements déclaration polices locales communication calculs expertscouvertures recommandations analyses logiciel attestations simulations franchises analyse géographiqueportail collecte des valeurs préventionATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 65 ACTUALITÉ DE L’AMRAE PUBLICATIONS UN GUIDE SUR LA GESTION DES RISQUES ET LA RSE « La Responsabilité Sociétale des Entre­ prises constitue une source de développement et d'activités nouvelles. La RSE est aussi génératrice de risques potentiels : risque d’image au premier chef en cas de manquements aux engagements pris par l’entreprise, mais aussi risques juridiques et financiers  », a expliqué Daniel Lebègue, Président de l’ORSE. C’est pourquoi le Club Finance de l’ORSE a intégré les risques RSE aux dispositifs de maîtrise des risques dans le secteur de l’assurance dans un guide, à partir de travaux débutés en 2011. Un ouvrage qui trouve sa pertinence à un moment où deux facteurs de nature réglementaire militent pour une plus large maîtrise de ces différents risques : ➊ l’adoption d’un nouveau cadre de réglementation Solvabilité II qui va s’imposer à compter de 2016 aux différents acteurs du secteur en vue de mieux sécuriser leurs activités ; ➋ les exigences des autorités françaises de contrôles et de régulation, AMF et APCR, qui portent notamment une attention croissante au devoir de conseil et à la protection des intérêts du client. RSE ET ASSURANCES : DE VRAIS LIENS ÉTROITS Le guide s’appuie sur quatre postulats majeurs : ERM (gestion des risques intégrée à la stratégie de l’entreprise) et assurance sont liés ; ERM et stratégie RSE sont devenues une nécessité pour les entreprises  ; RSE et assurance se placent toutes deux sur le terrain sociétal  ; et enfin, ce sont deux démarches méthodologiquement convergentes. Le guide est donc découpé en 3 parties majeures : la première section, intitulée «  Prendre connaissance  », permet au lecteur de découvrir son objectif, sa démarche, la synthèse des principaux enseignements tirés des analyses, et les définitions retenues pour sa réalisation. La seconde partie, «  Comprendre  », décline les enjeux RSE par processus clé (processus métier et support). La troisième partie, «  Mettre en œuvre  », fournit des lignes directrices pour l’utilisation opérationnelle du guide. « L’ORSE a réalisé un travail conséquent d’analyse et de ventilation des textes en relation avec les processus des entreprises d’assurance. C’est un document de référence, riche en informations (ou le cas échéant d’indications pour les trouver) et d’exemples. Ce guide peut permettre au Risk Manager de se poser des questions complémentaires dans sa propre démarche, de mieux appréhender certains impacts, auxquels il n’aurait pas forcément pensé  », souligne Anne-Marie Fournier, Vice-présidente de l’AMRAE. « COMMENT MIEUX MAÎTRISER LES RISQUES DANS LE SECTEUR DE L’ASSURANCE GRÂCE À LA RSE ?  » L’ORSE (Observatoire sur la Responsabilité Sociale des Entre­ prises) a présenté son guide « Comment mieux maîtriser les risques dans le secteur de l’assurance grâce à la RSE  ? » dont l’AMRAE est partenaire lors d’une conférence-débat le 16 octobre dernier. ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 66 ACTUALITÉ DE L’AMRAE PUBLICATIONS tttititi tititi tititiftitititi titiîtititititi titi tititi tititititititi titi titi tititititititititititititititititititititi Ttttititititititi tititititititititititititititititititititititititititititititititititititititititititititititititititititi tititititititititititititititititititititititititititititititititititititititititi tititititititititititititititititiflfltttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttt ttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttflfltttttttttttttttttttttttttttttttt tt tttitititititi tititi tititititi titi titttiîtiti titi tititititititi titi titi tititititititititititititititititititititititititititititititititititititititititititi titititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititi titititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititititi tititififififififififififififififififififfiffiffiffiffiffiffiffi Ctititititititiz-titititi Etitititititititititititititititititititi titititititititititititititi tititititititititititititititititititititititititi ttttttttttttttti tititt tttititttitttititttitt tttttititttttttt ti tttttttttitt titttttitiy tt Ltttititi tt titttttttttititttitttttttiti titt tititt tttittttttti titi tttttitittti tttttttitttttttititititi ttttttttttttttti tttitt tt tttttitttttttt titi titttitttttttiti tititttitititttttttiti tt tttttttiti titttitttttitt titi tttiti Ltt tittytitttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttt tttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttttitititititititititititititititititititititititititititititititititititititititititititititititititi Sans titre-1 1 25/11/2015 10:53:15 Comment définir la cybercriminalité ? Il s’agit de l’ensemble des infractions pénales commises à l’encontre ou au moyen d’un système d’information et de communication. Ce concept recoupe à la fois les atteintes aux biens (piratage d’ordina- teurs ou de sites internet, vols de données, etc.) et aux personnes. Ces atteintes se complexifient du fait des innovations technologiques et de la dématérialisation (big data, cloud computing). Les cibles principales sont les entreprises, victimes de cyber-attaques (failles de sécurité, fuite de l’information, vol et divulgation de don- nées sensibles, atteintes à leur e-reputation, etc.) et responsables des données personnelles traitées en leur sein (fraudes externes ou internes aux systèmes d’information). Les entreprises mettent en œuvre des politiques de cybersécurité afin de lutter contre le «  risque externe  » d’éventuelles intrusions fraudu- leuses, et de limiter le «  risque interne  » de non-conformité à la régle- mentation relative aux données personnelles (mise en place de chartes de protection, codes éthiques, etc.) dont la sécurité est à leur charge (article 226-17 du Code pénal). On constate une prise de conscience des entreprises avec aujourd’hui 60 milliards de dollars dépensés chaque année dans le domaine de la cybercriminalité et une hausse des dépenses évaluée à 10  % par an du- rant les 3 à 5 prochaines années (Etude PwC 1 ). Quel est le cadre juridique de la lutte contre la cybercriminalité ? Cette lutte nécessite une politique de «  cybersécurité  », de contrôle et de prévention des risques afin de sensibiliser les acteurs sur la protec- tion des données personnelles. Son cadre juridique se situe au niveau national (loi Informatique et Libertés de 1978, loi Godfrain de 1988 relative aux fraudes informa- tiques, loi n°2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique…) et européen (directive 95/46/CE sur les données person- nelles, Convention de Budapest de 2001 sur la Cybercriminalité…). On peut également citer la Charte des Droits Fondamentaux de l’UE et son article 8, relatif à la protection des données personnelles. Plusieurs organismes ont été créés, comme l’office central de lutte contre la criminalité liée aux technologies de l’information et de la communication, la brigade d’enquête sur les fraudes aux technologies de l’information, etc. La protection des données personnelles constitue le prolongement du droit au respect de la vie privée consacré par l’article 12 de la Déclaration Universelle des Droits de l’Homme et l’article 9 du Code civil. L’impératif de sécurité doit s’accorder aux droits fondamentaux en vue d’un équilibre entre la protection des intérêts de l’entreprise et la pro- tection de la vie privée des salariés et leurs données personnelles. Comment les entreprises gèrent-elles les risques nouveaux liés à la cybercriminalité ? Les entreprises mettent en œuvre une gestion de risques via une cartographie et une hiérarchisation des risques. L’avènement de la dématérialisation et le développement des objets connectés rendent nécessaire la création d’un espace de confiance. Parmi les mesures pouvant être mises en œuvre, on peut citer la sécuri- sation du système d’information via un cryptage des données, la mise en œuvre de chartes de sécurité, d’exercices de sécurité, ou encore la sensibilisation des salariés des entreprises, premiers concernés par le risque d’erreur humaine, lié notamment à l’apparition dans certaines entreprises de la politique du «  bring your own device  ». L’élimination totale des risques informatiques semble difficile pour une entreprise, ce qui pose la question de l’externalisation de ces risques et, bien sûr, de la souscription de couvertures d’assurance dédiées. Le marché de l’assurance en matière de cyber-risques est encore limi- té du fait de l’évolution constante des risques, de l’absence de recul suffisant et de la difficulté d’évaluer leurs conséquences financières. Néanmoins, des offres innovantes sont maintenant disponibles sur le marché français, et méritent d’être étudiées par toute entreprise en fonction de sa propre exposition. LA CYBERCRIMINALITÉ CADRE JURIDIQUE ET MOYENS DE DÉFENSE DE L’ENTREPRISE www.simmons-simmons.com Par Sarah Bailey et Alexandre Regniault, Avocats, Simmons & Simmons LLP. 1 étude en date du 30 janvier 2013, intitulée «  Tendances et enjeux de la sécurité de l’information ».ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N°7 I DÉCEMBRE 2015 69 NOS PARTENAIRES CONTACT : AMRAE Service abonnement 80 boulevard Haussmann 75 008 Paris Tél. : 01 42 89 33 16 atoutriskmanager@amrae.fr ATOUT RISK MANAGER ATOUT RISK MANAGER, LA REVUE DE L’AMRAE I N?7 I DÉCEMBRE 2015 70 Individuel Je désire m’abonner à la revue ATOUT RISK MANAGER   : 4 numéros à compter de la souscription France métropolitaine : Dom-Tom et étranger : Adhérent AMRAE : 50 € TTC 54 € TTC Non adhérent AMRAE : 75 € TTC 80 € TTC Collectif Je souscris un Package 10 abonnements à la revue ATOUT RISK MANAGER (non nominatifs, un seul contact de livraison pour les 10 exemplaires d’un Numéro) France métropolitaine : Dom-Tom et étranger : Adhérent AMRAE : 480 € TTC 495 € TTC Non adhérent AMRAE : 595 € TTC 615 € TTC Je désire recevoir uniquement la (les) revue(s) ATOUT RISK MANAGER N° ...................................................................................... France métropolitaine : 20 € TTC par exemplaire Dom-Tom et étranger : 23 € TTC par exemplaire Abonnement 2015 et achat au numéro Adresse de livraison Nom ............................................................................................................................... Prénom....................................................................................................................... Entreprise................................................................................................................ Adresse...................................................................................................................... Code Postal Ville ................................................................................................................................ Tél. ................................................................................................................................. E-mail ........................................................................................................................ Adresse de facturation si différente de l’adresse de livraison Nom ............................................................................................................................... Prénom....................................................................................................................... Entreprise................................................................................................................ Adresse...................................................................................................................... Code Postal Ville ................................................................................................................................ Tél. ................................................................................................................................. E-mail ........................................................................................................................ Mode de paiement Je renvoie ce formulaire en y joignant un chèque à l’ordre de l’AMRAE d’un montant de .......................€ TTC Je règle par virement bancaire (à réception de la facture) DOSSIER Risk Management sans frontières Retour sur les Rencontres AMRAE 2014 MÉTIER RISK MANAGER Gestion de cr ise : un essentiel à revisiter en permanence Quand un DRH et un conseil évoquent les Risk Managers : inter view croisée VEILLE ET POSITION Les défis de l’assurance construction PORTRAIT Xavier Mary Directeur du Management des Risques AÉROPORTS DE LYON ATOUT RISK MANAGER L A REVUE DES PROFESSIONNEL S DU RISQUE ET DE L’ASSURANCE TRIMES TRIEL • JUIN 2014 • 20€ TTCN°1 DOSSIER Indicateur AMRAE du coût de traitement des r isques assurables MÉTIER RISK MANAGER Définition des missions et de la structure du r isque Gestion de sinistres Formation à la loupe : les Ser ious Game débarquent VEILLE ET POSITION Les défis de la réparation du dommage environnemental PORTRAIT Alexandra Pfalzgraf VP Insurance and Risk Management Schneider Electr ic ATOUT RISK MANAGER L A REVUE DES PROFESSIONNEL S DU RISQUE ET DE L’ASSURANCE TRIMES TRIEL • SEPTEMBRE 2014 • 20 € TTCN°2 PORTRAIT Oliver Wild Directeur des r isques, assurances et conformité, Veolia ATOUT RISK MANAGER L A REVUE DES PROFESSIONNEL S DU RISQUE ET DE L’ASSURANCE TRIMES TRIEL • JANVIER 2015 • 20 € TTCN°3 DOSSIERS Communication sur les r isques Les entrepr ises face aux r isques d’épidémie MÉTIER RISK MANAGER Pilotage et Repor ting Financement des r isques Risque politique Formation à la loupe : IFA-Science Po VEILLE ET POSITION La notion de passé connu à la lumière d’un arrêt récent ATOUT RISK MANAGER L A REVUE DES PROFESSIONNEL S DU RISQUE ET DE L’ASSURANCE TRIMES TRIEL AVRIL 2015 20 ? TTcN°4 DOSSIERS Retour sur les Rencontres AMRAE 2015 Le SIGR MÉTIER RISK MANAGER Maîtr ise des r isques Les r isques non assurables La gestion de cr ise Le terror isme VEILLE ET POSITION Devoir de vigilance et supply chain PORTRAIT Brigitte Bouquot Directeur des Assurances et de la Gestion des Risques, Thales ATOUT RISK MANAGER L A REVUE DES PROFESSIONNEL S DU RISQUE ET DE L’ASSURANCE TRIMES TRIEL JUIN 2015 20 ? TTCN°5 DOSSIERS La quantifi cation des risques Les risques psychosociaux MÉTIER RISK MANAGER Le cyber r isk Formation à la loupe : la Compagnie des Exper ts VEILLE ET POSITION La réforme des contrats PORTRAIT Jean-François Marchand Directeur Risques Assurances Environnement, Valeo ATOUT RISK MANAGER L A REVUE DES PROFESSIONNEL S DU RISQUE ET DE L’ASSURANCE TRIMES TRIEL OCTOBRE 2015 20 ? TTcN°6 DOSSIERS Appel d'offre : choisir un courtier Le Baromètre 2015 du RM : retours et enseignements MÉTIER RISK MANAGER L'éolien (CNPP) Formations à la loupe : E-learning AMRAE RM à l'international : Jo Willaer t, AGFA-GEAVERT, nouveau Président de FERMA VEILLE ET POSITION BYOD : une pratique à r isque qui doit être par ticulièrement encadrée PORTRAIT Céline Fantin Le Calvé Directeur Audit Interne, Risques et Conformité, bioMér ieux