La configuration la plus fréquente de cette branche est aussi celle qui se refuse le plus souvent, et le paradoxe s'explique en une phrase : l'entreprise a payé volontairement. Personne n'est entré dans son système, aucun document n'a été falsifié à l'intérieur, aucun préposé n'a pris d'argent. Une personne autorisée a exécuté un virement qu'elle croyait régulier, parce qu'on l'avait trompée. La question que le contrat doit trancher est de savoir si un paiement consenti sous l'effet d'une tromperie est une fraude au sens de la garantie.
Il faut d'abord décrire le mécanisme, parce que sa banalité est ce qui le rend efficace. Un tiers observe l'entreprise, apprend les noms, le vocabulaire, le calendrier d'une opération en cours, puis écrit à la bonne personne au bon moment en imitant une adresse connue. L'instruction est plausible, urgente et confidentielle, et elle demande une dérogation légère à la procédure ordinaire. Le salarié qui exécute n'est ni négligent ni complice : il fait son travail dans un contexte fabriqué pour cela, et c'est pourquoi les entreprises les mieux tenues y passent aussi.
La difficulté contractuelle tient à ce que beaucoup de rédactions décrivent la fraude par ses moyens plutôt que par son résultat. Une garantie qui vise la falsification d'un document, l'altération d'un système ou l'introduction frauduleuse dans un traitement informatique décrit des actes qui n'ont pas eu lieu ici. Une garantie qui vise l'obtention de fonds par une manoeuvre frauduleuse décrit exactement ce qui s'est passé. Deux polices du même marché, deux résultats opposés sur les mêmes faits, et la différence tient à quelques mots que personne ne lit avant le sinistre.
Il faut ensuite connaître les deux conditions que ces garanties assortissent presque toujours, car elles décident des dossiers plus souvent que la définition. La première est une exigence de procédure : la police demande que l'entreprise applique une vérification par un canal indépendant avant tout paiement au-delà d'un seuil, un rappel téléphonique sur un numéro connu et non sur celui indiqué dans le message. La seconde est une exigence de conformité de l'exécution : le paiement doit avoir été fait par une personne habilitée, selon le circuit prévu. Une dérogation acceptée par bonté ou par urgence peut donc coûter la garantie.
Cette deuxième condition mérite qu'on s'y arrête, parce qu'elle produit un effet contre-intuitif. Le fraudeur réussit précisément en obtenant une dérogation à la procédure ; or la police exige que la procédure ait été suivie. Autrement dit, la garantie se retire au moment même où le risque se réalise, et il ne s'agit pas d'un piège mais d'une conséquence assumée : l'assureur couvre la tromperie, pas le relâchement du contrôle. Un souscripteur honnête le dit à son client avant, et un client averti met le rappel indépendant hors de portée de toute dérogation individuelle.
Il faut ajouter la frontière avec la police cyber, qui produit le renvoi le plus fréquent en volume. Lorsqu'aucune intrusion n'a eu lieu, la police cyber objecte qu'aucun système n'a été atteint ; lorsqu'un salarié a payé volontairement, la police de fraude objecte que le circuit n'a pas été respecté. Le dossier peut ainsi rester des mois entre deux assureurs du même assuré. La réponse ne se trouve pas dans le sinistre, elle se prépare à la souscription, en plaçant les deux garanties chez le même porteur ou en faisant écrire laquelle intervient en premier.
Le geste utile tient donc en trois lectures faites ensemble, et jamais après coup. Comment ma police définit la fraude, par les moyens employés ou par le résultat obtenu. Quelles conditions de procédure elle impose, à partir de quel seuil, et ces conditions sont-elles réellement appliquées chez moi plutôt que décrites dans un classeur. Et que se passe-t-il si mon assureur cyber et mon assureur fraude se renvoient le dossier. Un professionnel qui a ces trois réponses sait ce que couvre sa police ; celui qui ne les a pas achète un intitulé.
Une PME industrielle de 90 salariés est en cours d'acquisition d'un concurrent, opération connue de quelques personnes. Le 22 mai, la comptable unique reçoit un courriel du président, en déplacement, lui demandant d'exécuter un acompte confidentiel de 240 000 euros vers un compte d'avocat à l'étranger, en précisant que la procédure de double validation ralentirait l'opération et que le directeur financier est dans l'avion. L'adresse d'expédition diffère d'un caractère. La comptable exécute le virement seule, à 17h40. La fraude est découverte le 26 mai. La police prévoit la garantie de « la fraude commise par un tiers ayant obtenu des fonds au moyen d'une manoeuvre », sous condition d'« une vérification par un canal indépendant pour tout paiement supérieur à 50 000 euros » et d'« une exécution conforme au circuit de validation en vigueur ». Que se passe-t-il ?
La définition est favorable à l'assurée et les conditions lui sont défavorables, ce qui est la configuration exacte de cette leçon. Sur la définition, il n'y a pas de débat : la police vise l'obtention de fonds par une manoeuvre, c'est-à-dire le résultat et non les moyens, et un courriel imitant l'adresse du président pour obtenir un virement est précisément cela. Une rédaction qui aurait visé la falsification d'un document ou l'altération d'un système aurait au contraire fermé le dossier d'emblée, puisque rien de tel n'a eu lieu. Sur les conditions, les deux sont en défaut et il faut les distinguer plutôt que les additionner. La vérification par canal indépendant au-delà de 50 000 euros n'a pas eu lieu : aucun rappel sur un numéro connu, alors que le montant est presque cinq fois le seuil. L'exécution conforme au circuit n'a pas eu lieu non plus : la double validation a été écartée, et elle l'a été sur la demande contenue dans le message frauduleux lui-même. C'est ici que la leçon se vérifie de la manière la plus dure : le fraudeur a réussi en obtenant la dérogation, et c'est cette même dérogation qui retire la garantie. L'assureur couvre la tromperie, pas le relâchement du contrôle, et il opposera très probablement ces deux manquements. Trois observations pour la suite, et la première est une question de fait à ne pas préjuger. Il faut vérifier ce que le circuit de validation prévoyait réellement pour une comptable unique en l'absence du directeur financier : un circuit qui n'a pas de suppléant désigné est un circuit qui ne peut pas être suivi, et une condition impossible à respecter se discute. Ensuite, l'entreprise doit chercher du côté de sa banque et du recouvrement, la fraude ayant été découverte en quatre jours, ce qui laisse une chance de blocage des fonds. Enfin, et c'est le seul enseignement transposable, la faiblesse structurelle n'était pas la comptable : c'était une organisation où une personne seule peut exécuter un paiement de 240 000 euros parce que deux autres sont indisponibles.
- 01L'entreprise a payé volontairement, et c'est ce qui rend ce sinistre difficile : personne n'est entré, rien n'a été falsifié, un salarié a fait son travail.
- 02Une police qui définit la fraude par ses MOYENS ferme le dossier ; une police qui la définit par son RÉSULTAT l'ouvre. Quelques mots séparent les deux.
- 03Deux conditions décident plus souvent que la définition : la vérification par canal indépendant, et l'exécution conforme au circuit.
- 04Le fraudeur réussit en obtenant une dérogation, et c'est cette dérogation qui retire la garantie : l'assureur couvre la tromperie, pas le relâchement.
- 05Un circuit sans suppléant désigné est un circuit qu'on ne peut pas suivre, et une condition impossible à respecter se discute.