AM Best compte sur les exclusions de guerre pour borner les pertes des réassureurs du Moyen-Orient : en cyber, la borne tient à une attribution qu'aucun gouvernement du Golfe n'est tenu de faire

AM Best a publié le 12 octobre 2026 un rapport de segment sur les réassureurs du Moyen-Orient et d'Afrique du Nord, repris le jour même par Reinsurance News sous un titre qui parle de croissance. La phrase qui compte est plus bas : les pertes directes des réassureurs de la région « devraient pour l'instant rester limitées par les exclusions de guerre et des déclencheurs de police étroits ». L'agence date l'escalade du début de 2025, avec l'intensification des tensions régionales et le déclenchement du conflit qui oppose les États-Unis et Israël à l'Iran. Si la désescalade échoue, ou si le blocage du détroit d'Ormuz persiste, l'effet économique passera par le pétrole, les chaînes d'approvisionnement et l'inflation, et pèsera lourdement sur les assureurs de la région comme sur les autres. Le FMI prévoit désormais 1,1 % de croissance régionale en 2026 et une inflation remontée à 13,5 %.

Le même rapport décrit où se trouve la croissance. Fleur Ngassa, analyste d'AM Best et l'une des autrices, cite la réduction de l'écart de protection, qui a fait naître des offres spécialisées : « l'assurance cyber, l'assurance paramétrique et les produits de retakaful ». De nouveaux capitaux entrent, avec Riyadh Re et Reinsurance Intelligence Quotient. La demande de garanties guerre, violence politique et terrorisme « a bondi ». Les tarifs restent jugés adéquats, malgré une capacité abondante qui fait baisser certaines lignes.

Le rapport range côte à côte deux mécanismes qui ne se déclenchent pas de la même façon : l'exclusion de guerre qui protège le bilan et la police cyber qui le fait croître. Dans une police dommages ou maritime, l'exclusion de guerre joue sur un fait que personne ne conteste, une frappe, un navire touché dans le détroit. Dans la police cyber du marché de Londres, la guerre a une définition étroite. LMA 5564A, révisée le 18 janvier 2023, appelle guerre un « conflit armé impliquant la force physique ». Une intrusion, un rançongiciel ou un effacement de données n'en relèvent pas, même en plein conflit. Ils tombent sous le second volet de la clause, l'opération cyber, qui n'est exclue que si on l'attribue à un État souverain.

Et la clause dit vers qui regarder. Pour attribuer l'opération, assuré et assureur « prennent en compte les éléments de preuve objectivement raisonnables dont ils disposent », qui peuvent inclure l'attribution formelle ou officielle « par le gouvernement de l'État dans lequel le système informatique affecté est physiquement situé ». Pour une banque de Riyad ou un opérateur portuaire de Doha touché pendant ce conflit, ce gouvernement est celui d'un État de la région, extérieur au conflit tel que l'article le décrit, pour qui nommer l'Iran engage une position diplomatique avant de constater un fait technique. Le Fil du 9 octobre montrait la distance entre lié et attribué à Londres ; dans le Golfe, cette distance passe en plus par un calcul de voisinage.

Pour le réassureur dont AM Best décrit le bilan, la borne n'a donc pas la même solidité d'une ligne à l'autre. En dommages et en maritime, elle tient dès que le fait de guerre est établi. En cyber, elle ne tient que si un gouvernement parle, et tant qu'il se tait, le sinistre se présente comme de la cybercriminalité ordinaire et reste dans la garantie. Le souscripteur cyber qui écrit la croissance décrite par Ngassa tarife donc une fréquence d'attaques liées à l'Iran qui, faute d'attribution, sera payée. L'analyste des accumulations, lui, voit le même scénario trois fois : exclu dans le portefeuille dommages, garanti dans le portefeuille cyber, acheté expressément dans le portefeuille violence politique dont la demande a bondi.

Position de l'observatoire, datée du 13 octobre 2026 : dans le Golfe, pendant ce conflit, l'exclusion cyber-guerre du type 5564A borne les pertes moins sûrement que l'exclusion de guerre des polices dommages, parce que son déclencheur appartient à des gouvernements qui ont des raisons de ne pas l'actionner. L'argument d'AM Best tient pour le bilan pris en bloc ; il tient mal pour la ligne cyber prise seule. À relire au premier sinistre cyber significatif de la région qu'un gouvernement attribuera publiquement, ou à la fin du conflit si aucun ne l'est d'ici là.

Ce qu'on ne sait pas borne l'analyse. Les faits viennent d'un article résumant le rapport d'AM Best, non du rapport lui-même, et une partie manque encore. On ignore quelles clauses cyber-guerre emploient les cédantes de la région, et si les traités de réassurance cyber reprennent la 5564A, une version plus large ou une rédaction locale. L'article ne mentionne aucune attribution officielle, par un État du Golfe, d'une opération cyber liée au conflit, et ne chiffre aucune perte déjà subie. À regarder ensuite : le texte complet du rapport, les renouvellements du 1er janvier 2027 dans la région, et la première déclaration d'un gouvernement du Golfe sur une opération cyber.