Le refus, ou quand un risque cyber ne se souscrit pas

Un souscripteur passe l'essentiel de son temps à tarifer et une petite partie à refuser, et c'est cette petite partie qui définit sa signature. Refuser n'est pas l'échec de la tarification, c'est une décision distincte, prise pour des raisons différentes, et qui suppose de savoir dire ce qu'aucun prix ne compense. La confusion la plus répandue consiste à traiter le refus comme le bout d'une échelle de prix : on cote de plus en plus cher jusqu'à ce que le client parte. Cette pratique a un nom dans le métier, elle s'appelle le prix dissuasif, et elle est mauvaise pour trois raisons qu'il faut nommer.

La première est qu'un prix dissuasif peut être accepté. Un courtier qui a besoin de placer un dossier le placera, un client sans alternative signera, et l'assureur se retrouve avec un risque qu'il ne voulait pas, à un prix qui paraît confortable et qui ne l'est pas si le risque est réellement inassurable. La deuxième est qu'il détruit l'information : le courtier apprend un chiffre au lieu d'apprendre un motif, il reviendra avec le même dossier l'an prochain, et le marché n'a rien corrigé. La troisième est qu'il abîme la relation, parce qu'un courtier professionnel reconnaît toujours un prix dissuasif et comprend qu'on ne lui a pas parlé franchement.

Il faut donc distinguer trois familles de motifs, qui n'appellent pas la même réponse. Ce qui se tarifie : un risque connu, mesurable, dont la fréquence ou l'intensité sont élevées mais bornées. Ce qui se conditionne : un défaut identifié et corrigeable, qui justifie une condition suspensive, une sous-limite, ou une garantie ouverte à une date où la correction sera faite. Ce qui se refuse : un risque dont on ne sait pas dire l'étendue, ou dont l'étendue dépasse la capacité qu'on peut y consacrer. Un souscripteur qui range chaque dossier dans l'une de ces trois familles ne cote jamais pour dissuader.

En cyber, quatre configurations reviennent dans la troisième famille et méritent d'être connues pour elles-mêmes. La première est l'absence de sauvegarde restaurable, non déclarée comme absente mais jamais testée : elle rend l'étendue du sinistre impossible à borner, puisque personne ne sait si l'entreprise remonte en trois jours ou ne remonte pas. La deuxième est un système d'information dont l'inventaire n'existe pas, ce qui rend toute déclaration invérifiable et toute condition inapplicable. La troisième est une dépendance à un tiers que l'assureur porte déjà massivement dans son portefeuille, ce qui n'est pas un jugement sur le risque mais sur son cumul. La quatrième est une entreprise déjà compromise sans le savoir, hypothèse qu'un audit récent réduit et n'élimine pas.

La différence entre les deux premières et les deux dernières mérite d'être posée, parce qu'elle change à qui l'on parle. Les deux premières sont des défauts de l'assuré, et elles se disent au client comme des conditions à remplir : on refuse aujourd'hui et on souscrit dans six mois si telle chose est faite. Les deux dernières ne sont pas des défauts de l'assuré, ce sont des faits du portefeuille de l'assureur ou de l'état du monde, et le client n'y peut rien. Confondre les deux produit le pire message qui soit, celui qui laisse croire à une entreprise qu'elle est mal gérée alors qu'elle a simplement le même hébergeur que trois cents autres assurés.

La manière de dire un refus est donc une part du travail, et pas une politesse. Un refus utile nomme le motif, dit s'il est corrigeable, et donne la condition qui rouvrirait le dossier : sauvegarde hors ligne testée et procès-verbal du test, inventaire des accès distants, ou rien, quand le motif est un cumul de portefeuille. Cette dernière franchise coûte moins qu'on ne le croit : un courtier à qui l'on dit que la ligne est fermée sur cette dépendance ira ailleurs sans rancune, alors qu'un courtier à qui l'on a coté trois fois le prix du marché racontera l'histoire pendant deux ans.

Il faut enfin savoir qu'un refus est une décision qui se relit, et que le refus systématique d'une classe de risques devient une politique dont personne n'a délibéré. Un souscripteur qui refuse toutes les entreprises d'un secteur, ou toutes celles en dessous d'une taille, a pris une décision de portefeuille sans la présenter comme telle. La discipline consiste à compter ses refus par motif, à les relire chaque trimestre, et à distinguer ceux qui viennent du dossier de ceux qui viennent d'une consigne implicite. C'est le seul moyen de savoir si l'on souscrit un marché ou si l'on s'en retire sans l'avoir dit.