Processus par lequel un assureur évalue un risque, décide de l'accepter ou de le refuser et en fixe les conditions tarifaires et contractuelles.
La souscription, ou underwriting, est le processus central par lequel un assureur ou un réassureur évalue un risque qui lui est présenté, décide de l'accepter ou de le décliner, et, en cas d'acceptation, en fixe les conditions tarifaires (prime, franchise, sous-limites) et contractuelles (garanties, exclusions, clauses). Le souscripteur est l'acteur qui incarne cette fonction: il combine une analyse technique du risque, un jugement sur la qualité de l'assuré, une connaissance du marché et la maîtrise d'outils actuariels pour produire une offre qui soit compétitive tout en satisfaisant les objectifs de rentabilité du porteur de risque. La souscription est souvent décrite comme un art autant qu'une science: les modèles quantitatifs fournissent une base de tarification, mais l'appréciation de facteurs qualitatifs, la réputation de l'assuré, la qualité de son management du risque, la transparence de ses déclarations, la cohérence de son historique de sinistres, relève d'un jugement humain que les algorithmes ne remplacent pas encore totalement. On distingue la souscription directe, entre l'assureur et l'assuré, de la souscription par délégation, dans laquelle un tiers (managing general agent) est autorisé à souscrire au nom de l'assureur, ainsi que la souscription de réassurance, qui porte sur des portefeuilles ou des traités plutôt que sur des risques individuels. En assurance cyber, la souscription présente des défis particuliers: l'asymétrie d'information est forte (l'assuré connaît son environnement SI bien mieux que l'assureur), le risque évolue plus vite que les cycles de renouvellement, et la corrélation entre expositions rend la construction d'un portefeuille équilibré difficile. Ces contraintes ont conduit à l'essor de questionnaires de souscription cyber très détaillés et à des outils de scan externe du SI des assurés.
Un souscripteur cyber reçoit une demande d'une entreprise industrielle de 500 salariés. Il consulte son questionnaire cyber: l'entreprise utilise des systèmes SCADA non segmentés du réseau IT, n'a pas d'authentification multifacteur et n'a pas de plan IR documenté. Le souscripteur accepte le risque mais réduit la limite de 5 M à 2 M euros et impose une franchise de 100 000 euros, traduits dans la police comme conditions de souscription.
underwriting, souscripteur, underwriter, sélection des risques