L'étude de cumul et l'étude de garantie répondent à deux questions différentes, et les confondre fait provisionner à faux dans les deux sens. Le cumul dit qui est exposé : combien d'assurés d'un portefeuille dépendent du même hébergeur, du même éditeur, de la même autorité de certification. La garantie dit qui est couvert, et elle le dit à partir de trois conditions qui n'ont rien à voir avec la panne elle-même. Une interruption chez un prestataire commun peut frapper trois cents assurés et ne produire aucune indemnité ; une interruption plus courte chez le même prestataire peut les produire toutes. Entre les deux, ce n'est pas la panne qui a changé, c'est le contrat.
La première condition porte sur la cause. Une garantie de perte d'exploitation classique se déclenche sur un dommage matériel atteignant un bien assuré, et une panne de nuage ne détruit rien, ne touche aucun bien de l'assuré, et se produit chez un tiers. C'est exactement le vide que la carence fournisseur est venue combler, en acceptant que l'évènement se produise ailleurs que chez l'assuré. Mais beaucoup de rédactions ne s'ouvrent que sur une défaillance de sécurité chez le prestataire, c'est-à-dire sur un acte malveillant. Or une mise à jour de configuration défectueuse n'est pas un acte malveillant. La panne est la même, les pertes des assurés sont les mêmes, et le déclencheur ne joue simplement jamais.
La deuxième condition porte sur la durée, et c'est là que la courbe de perte cesse d'être une courbe. Le délai de carence court sur chaque assuré, et il fonctionne comme un seuil, non comme une franchise proportionnelle : tant qu'il n'est pas atteint, il n'y a pas de sinistre du tout, et non un sinistre réduit. Une panne qui s'arrête une heure avant le seuil ne produit rien sur l'ensemble du portefeuille ; la même panne prolongée d'une heure produit le portefeuille entier d'un coup. La perte agrégée, vue comme fonction de la durée de l'interruption, est donc un escalier et non une pente. Deux scénarios que le modèle range côte à côte parce qu'ils diffèrent de deux heures peuvent être séparés par la totalité du livre.
La troisième condition porte sur la définition de la dépendance. Certaines rédactions ne couvrent que les prestataires nommés sur une annexe ; d'autres couvrent tout prestataire avec lequel l'assuré contracte directement ; très peu atteignent le prestataire de quatrième rang dont l'assuré ignore jusqu'à l'existence. Le point de défaillance unique qui compte est presque toujours plus profond que la relation contractuelle, parce qu'il est partagé par les fournisseurs directs eux-mêmes. Un tableau d'exposition qui compte les assurés par prestataire nommé manque donc systématiquement la concentration qu'il existe pour mesurer.
Ce que cela fait au modèle mérite d'être énoncé sèchement : la perte maximale probable d'un portefeuille en nuage n'est pas proportionnelle à son exposition au nuage. Elle est le produit d'un binaire sur la cause, d'un escalier sur la durée et d'un filtre sur la définition de la dépendance. Deux portefeuilles ayant la même exposition, la même prime et le même nombre d'assurés derrière le même hébergeur peuvent porter des pertes maximales très différentes, selon que leurs rédactions s'ouvrent sur toute indisponibilité ou sur la seule défaillance de sécurité. Rien dans un tableau d'exposition ne les distingue. Seule la lecture des rédactions les distingue.
L'erreur inverse coûte plus cher encore à l'assureur, et elle consiste à conclure d'un déclencheur étroit que l'exposition est faible. L'étroitesse vit dans la rédaction, et les rédactions dérivent à chaque renouvellement, courtier par courtier, ligne par ligne. Un livre constitué sur quatre saisons porte simultanément plusieurs générations de carence fournisseur, dont certaines ont été élargies sans que le modèle de cumul, lui, ait été rejoué. Le calcul tourne alors sur une génération de clauses et le portefeuille en contient trois. C'est une divergence silencieuse, qui ne se manifeste qu'au premier évènement de masse, c'est-à-dire au pire moment.
Il faut enfin remettre les deux horloges l'une en face de l'autre, celle du délai de carence et celle de la fenêtre d'agrégation, car elles tournent sur la même panne et en sens contraire. La carence retarde la naissance du sinistre : plus elle est longue, plus tard le sinistre existe. La fenêtre, elle, impose une date limite : passé son terme, le sinistre existe toujours mais ne rejoint plus l'évènement. Sur une interruption longue, les sinistres les plus certains d'exister, ceux des assurés les plus durement touchés, sont aussi les plus exposés à naître après la fermeture de la fenêtre. L'étude de cumul et l'étude de rédaction ne sont donc pas deux travaux qui se succèdent. C'est un seul travail, et le faire en deux fois produit un chiffre juste sur une question que personne ne pose.
Une cédante étudie son cumul en nuage. Trois cents assurés de son portefeuille dépendent du même hébergeur : deux cents polices comportent un délai de carence de douze heures, cent un délai de huit heures. Les rédactions se répartissent en deux générations, une ancienne qui n'ouvre la carence fournisseur que sur une défaillance de sécurité chez le prestataire, une récente qui l'ouvre sur toute indisponibilité quelle qu'en soit la cause, et le livre en compte à peu près autant de chaque. Le 8 avril, une mise à jour de configuration défectueuse chez l'hébergeur provoque une panne mondiale de neuf heures, sans aucune intrusion. Le 15 octobre, un rançongiciel chez le même hébergeur provoque une interruption de trente heures. Le modèle de cumul de la cédante retient pour ces deux dates un sinistre portefeuille identique.
Le modèle se trompe aux deux dates, et il se trompe en sens contraire, ce qui est la raison pour laquelle personne ne le corrige : les erreurs se compensent dans la moyenne annuelle et se révèlent seulement le jour où l'une des deux se produit. Le 8 avril, il n'y a pas de défaillance de sécurité, donc toute la génération ancienne reste hors jeu quelle que soit la durée. Dans la génération récente, les polices à douze heures ne franchissent pas leur seuil sur une panne de neuf heures et ne produisent rien du tout ; seules les polices à huit heures voient quelque chose, et pour une heure d'interruption au-delà du seuil, c'est-à-dire presque rien. La plus grande panne du livre produit un sinistre proche de zéro. Le 15 octobre, trente heures franchissent les deux seuils et un rançongiciel est une défaillance de sécurité, donc les deux générations jouent et les trois cents assurés répondent. L'erreur du professionnel compétent est d'avoir bâti le cumul sur la dépendance au prestataire, qui est un fait du monde, alors que le sinistre est décidé par la génération de rédaction, qui est un fait du livre. La dépendance dit qui est exposé, la rédaction dit qui est couvert, et seul le croisement produit une indemnité. Reste ce que le modèle ne voit dans aucun des deux cas : le 8 avril, les trois cents assurés déclarent, et l'instruction de trois cents dossiers dont presque aucun n'aboutira est une dépense réelle, immédiate, et couverte par personne. Un cumul qui ne modélise que des indemnités laisse ce coût entièrement hors du calcul.
- 01Le cumul dit qui est exposé, la rédaction dit qui est couvert : seul le croisement des deux produit une indemnité.
- 02Le délai de carence est un seuil et non une franchise en temps : la perte du portefeuille en fonction de la durée de la panne est un escalier, pas une pente.
- 03Une panne accidentelle n'est pas une défaillance de sécurité, et la plus grande panne d'un portefeuille peut ne déclencher aucune garantie.
- 04Un évènement non couvert coûte quand même : trois cents déclarations s'instruisent, même quand presque aucune n'aboutit.
- 05Les rédactions dérivent à chaque renouvellement, donc un livre porte plusieurs générations de carence fournisseur pendant que le modèle n'en connaît qu'une.