Les réponses et les explications de chaque question s’affichent ici une fois le parcours terminé. Elles renvoient alors vers la fiche du glossaire correspondante, où la notion est traitée en entier avec son exemple chiffré.
1. En 2008, Milly et ses coauteurs écrivent dans Science que la stationnarité est morte pour l'hydrologie. Supposons un modèle de crues calé sur 1950 à 2020 qui sous-estime la sinistralité de 2021 à 2025 de quarante pour cent. Un actuaire veut tarifer le cyber sur cinq ans d'historique. Que lui oppose ce précédent ?
Que l'historique ne décrit une menace que si elle est restée la même, ce que le cyber ne fait pas
Toute tarification actuarielle repose sur une hypothèse qu'on énonce rarement parce qu'elle va de soi ailleurs : la distribution qui a produit les sinistres passés est celle qui produira les sinistres futurs. Elle tient pour l'incendie d'usine, dont les causes physiques ne changent pas d'une décennie à l'autre. Elle a cessé de tenir pour l'hydrologie, et le constat de 2008 est exactement celui-là : les données ne manquent pas, elles décrivent un climat qui n'est plus. Le cyber présente la même rupture, en plus rapide, parce que la menace est adverse : les techniques d'attaque, les vulnérabilités exploitées et la topologie des réseaux se transforment en quelques trimestres, et un attaquant modifie sa méthode précisément quand la défense s'adapte, ce qu'aucune crue ne fait. C'est pourquoi allonger l'historique ne répare rien et aggrave même le problème, puisqu'on ajoute des années de moins en moins représentatives. Le choix d'une loi à queue épaisse est utile pour d'autres raisons, mais il porte sur la forme de la distribution et non sur sa dérive : une mauvaise loi mal calée reste mal calée. Le point à retenir est qu'il s'agit d'une limite de la méthode elle-même, et non d'un défaut d'exécution qu'un actuaire plus soigneux corrigerait.
Fiche du glossaire →2. Une entreprise n'a connu qu'un seul sinistre cyber en cinq ans. L'actuaire refuse de tarifer sur cette seule expérience et la pondère avec la sinistralité moyenne de son secteur. Que fait-il exactement, et qu'est-ce que ce geste ne résout pas ?
Il donne à l'expérience un poids croissant avec son volume, sans rendre la référence plus stable
La crédibilité formalise un arbitrage que le bon sens pose déjà : un sinistre en cinq ans ne dit presque rien du risque propre, et tarifer dessus reviendrait à traiter un tirage isolé comme une tendance. On attribue donc à l'expérience individuelle un poids compris entre zéro et un, croissant avec le volume et la stabilité des données, et l'on reporte le complément sur une référence plus large. La tarification est ainsi une moyenne pondérée, qui évite à la fois de sur-réagir à un sinistre isolé et d'ignorer une spécificité réelle. Ce cadre, formalisé notamment par Bühlmann, est solide et il faut le savoir manier. Mais il faut aussi voir ce qu'il suppose, et c'est là que le cyber le met en difficulté : la référence collective est censée être plus fiable que l'expérience individuelle, parce qu'elle repose sur plus d'observations. Cette hypothèse est raisonnable en automobile, où la moyenne d'un segment est stable d'une année sur l'autre. Elle l'est beaucoup moins en cyber, où la moyenne sectorielle bouge elle-même d'un exercice au suivant sous l'effet de la non-stationnarité. La crédibilité répare le manque de données individuelles ; elle ne répare pas une référence qui dérive, et les deux difficultés se cumulent.
Fiche du glossaire →3. Un portefeuille de mille PME couvre des secteurs et des pays différents, et la corrélation de leurs sinistres en conditions normales est faible. Huit cents d'entre elles utilisent le même outil de sécurité, celui dont la mise à jour du 19 juillet 2024 a mis 8,5 millions de systèmes hors service. Qu'est-ce que la corrélation mesurée ne dit pas ?
Qu'une dépendance nulle en conditions normales peut devenir proche de un dans la queue
Deux risques peuvent être presque indépendants au quotidien et parfaitement solidaires dans l'extrême, et c'est exactement le cas ici. En conditions normales, les sinistres de ces mille entreprises n'ont aucune raison de se produire ensemble : elles ne partagent ni clientèle, ni marché, ni géographie, et la corrélation linéaire mesurée le confirme. Le jour de l'événement, la corrélation effective des huit cents entreprises qui partagent l'outil est proche de un, puisqu'un fichier unique déclenche simultanément l'intégralité de leurs sinistres. La conséquence est chiffrable et brutale : un capital calculé sous une hypothèse de corrélation modérée est massivement insuffisant, et il l'est d'autant plus que le portefeuille paraissait diversifié. C'est aussi la critique adressée aux copules gaussiennes, qui supposent une dépendance de queue nulle, et à l'agrégation par corrélations linéaires de la formule standard de Solvabilité II, qui en reprend implicitement l'hypothèse, là où les copules de Student ou archimédiennes en capturent une positive ; la crise de 2008 avait déjà montré ce que coûte l'hypothèse commode. Ce que le professionnel doit retenir est un réflexe plutôt qu'une formule : une mesure de dépendance prise en régime ordinaire ne renseigne pas sur le régime qui décide de la solvabilité, et la seule façon de la corriger est de chercher les dépendances communes une par une, dans les fournisseurs partagés.
Fiche du glossaire →4. Deux portefeuilles cyber affichent la même charge espérée. Le premier est fait de fraudes au virement, nombreuses et unitairement modestes ; le second de rançongiciels industriels, rares et très coûteux. Qu'apporte la décomposition en fréquence et sévérité que la charge espérée seule ne donne pas ?
La dispersion autour de l'espérance, donc le capital que chaque portefeuille immobilise
Le produit de la fréquence par la sévérité donne la charge espérée, qui fonde la prime pure ; mais deux portefeuilles de même espérance ne se ressemblent en rien dès qu'on regarde autour de cette moyenne. Un portefeuille de nombreux petits sinistres est proche du cas d'école de la loi des grands nombres : le résultat annuel s'écarte peu de son espérance, et l'assureur vend là quelque chose qui ressemble à un service de gestion. Un portefeuille de sinistres rares et lourds a la même moyenne et une dispersion sans commune mesure : plusieurs exercices sans rien, puis un exercice qui emporte le résultat de plusieurs années. Ce que la décomposition éclaire est donc la nature du risque et non son prix moyen, et c'est ce qui décide du capital immobilisé, de la volatilité du résultat et de la place de la réassurance dans le montage. Elle dit aussi où agir : on agit sur la fréquence par la prévention et l'hygiène, sur la sévérité par la continuité d'activité et la capacité à redémarrer. Le cyber a la particularité de cumuler les deux profils dans un même portefeuille, ce qui rend la lecture séparée d'autant plus nécessaire. La modélisation le reflète, avec des lois distinctes pour chaque composante, une loi de comptage pour la fréquence et une loi à queue épaisse pour la sévérité.
Fiche du glossaire →5. Un réassureur soumet son portefeuille dommages au péril tempête européenne : le modèle catastrophe rend une perte annuelle moyenne de 180 millions d'euros et une perte maximale à deux cents ans de 1,4 milliard. On veut la même chose pour le cyber. Lequel des quatre modules pose la difficulté la plus lourde ?
L'aléa, faute d'un catalogue d'évènements que la physique permettrait de simuler
Un modèle catastrophe existe précisément parce que l'historique de sinistralité est trop pauvre pour tarifer un péril rare, et il s'en passe en simulant. Sa force tient à son module d'aléa : on sait engendrer des milliers de tempêtes plausibles parce que l'atmosphère obéit à des lois physiques stables, qu'on observe depuis un siècle et qui ne changent pas d'intention. Les trois autres modules sont transposables au cyber sans obstacle de principe. L'exposition se renseigne, elle est simplement d'une autre nature, des systèmes et des dépendances plutôt que des bâtiments et des mètres carrés. La vulnérabilité s'estime, avec des fonctions plus grossières mais du même genre. Le module financier s'applique tel quel, les polices cyber portant des franchises, des plafonds et des sous-limites comme les autres. La difficulté est donc concentrée dans l'aléa, et elle est de fond : il n'existe pas de physique de l'attaquant, sa fréquence n'est pas une donnée de la nature mais le résultat d'une décision adverse, et un catalogue d'évènements cyber vieillit à mesure que les techniques changent. C'est pourquoi les modèles cyber du marché s'appuient sur des scénarios construits, la panne d'un hébergeur majeur, la vulnérabilité d'une bibliothèque très diffusée, plutôt que sur un catalogue engendré : on remplace une simulation qu'on ne sait pas faire par des hypothèses qu'on peut au moins discuter.
Fiche du glossaire →6. Le cyber est dit non stationnaire. Qu'est-ce que cette propriété interdit, dans le travail actuariel ordinaire ?
De supposer qu'une distribution ajustée sur le passé reste valable demain
Une difficulté fondamentale du cyber est l'insuffisance de données historiques homogènes, et elle a deux faces qu'il faut distinguer. La première est le volume : le cyber est un risque récent, l'historique est court. La seconde est plus profonde et c'est la non-stationnarité : la sinistralité évolue avec les capacités offensives des attaquants, si bien que les données d'hier ne décrivent pas le même phénomène que celles de demain. En incendie ou en vie, on ajuste une distribution sur le passé et on la projette, parce que le mécanisme physique ou biologique sous-jacent ne change pas. En cyber, l'adversaire s'adapte, les outils se diffusent, les modèles économiques criminels se recomposent, et une distribution ajustée sur trois ans vieillit pendant qu'on l'utilise. Calculer une moyenne reste possible, et travailler par scénarios est justement l'une des réponses ; ce qui devient illégitime est l'hypothèse de projection, c'est-à-dire précisément ce que l'actuariat classique tient pour acquis.
Fiche du glossaire →