Modéliser les scénarios cyber systémiques
Les modèles catastrophe cyber simulent généralement des scénarios tels qu'une panne majeure d'un fournisseur de cloud, un ver rançongiciel se propageant via une vulnérabilité logicielle courante, ou une attaque d'infrastructure critique, en estimant la part du portefeuille de l'assureur qui serait affectée et la distribution de sévérité des sinistres en résultant. Ces modèles restent moins matures que les modèles catastrophe naturelle, en partie parce que la menace évolue plus vite que les données historiques ne peuvent la calibrer, imposant un recours accru au jugement d'expert et aux tests fondés sur des scénarios plutôt qu'à des approches purement statistiques.
L'exposition cyber silencieuse, où des pertes déclenchées par le cyber surviennent dans des polices traditionnelles de dommages, de responsabilité civile ou de pertes d'exploitation qui n'ont pas été explicitement tarifées pour le risque cyber, aggrave le problème d'accumulation car elle est souvent invisible dans l'agrégation standard de l'exposition cyber. Les assureurs ont progressé dans la clarification des libellés de police pour inclure ou exclure affirmativement le risque cyber dans les branches traditionnelles, mais les libellés anciens portent encore une exposition cyber silencieuse latente qui complique la mesure du véritable risque d'accumulation.
Exclusions de guerre et classification des événements systémiques
La qualification d'attaques cyber parrainées ou attribuées à un État comme actes de guerre, et donc potentiellement exclues des polices cyber standards, est devenue un point majeur de contentieux de marché à la suite d'incidents comme NotPetya, où assureurs et assurés se sont opposés sur le point de savoir si l'attribution de l'attaque à un acteur étatique déclenchait les clauses d'exclusion de guerre. Les clauses standards d'exclusion de guerre introduites par le marché Lloyd's depuis 2021 tentent de clarifier les critères d'attribution et prévoient un filet de sécurité sous-limité pour les attaques attribuées à un État, mais les litiges d'attribution restent probables pour tout événement suffisamment important.
Les obligations catastrophe cyber et les structures de capital alternatif ont commencé à faire leur entrée sur le marché comme moyen de transférer le risque extrême cyber systémique le plus sévère vers les investisseurs de marchés de capitaux, suivant le schéma établi pour le risque de catastrophe naturelle, bien que ce marché reste restreint et la tarification incertaine faute d'expérience historique de sinistralité suffisante pour calibrer les attentes des investisseurs.
Capacité de réassurance et gestion de portefeuille
Les réassureurs ont répondu aux préoccupations d'accumulation en resserrant les limites agrégées, en relevant les rétentions et en introduisant des structures de traité fondées sur l'événement plutôt que purement proportionnelles pour le cyber, ce qui repousse davantage de risque extrême vers les assureurs primaires qu'à la phase de croissance initiale du marché. Les assureurs primaires doivent gérer activement la concentration de portefeuille par secteur, dépendance aux fournisseurs cloud et géographie pour éviter de dépasser des limites internes d'appétit pour le risque qui peuvent ne pas être visibles à partir du seul volume de primes.
Des pools de réassurance catastrophe cyber soutenus par l'État, évoqués dans plusieurs juridictions dont le Royaume-Uni et l'UE sous l'effet du lobbying sectoriel, pourraient à terme offrir un filet de sécurité pour les scénarios systémiques les plus extrêmes, à l'image des pools de réassurance terrorisme existants, mais aucun pool de ce type n'a été formellement établi à ce jour au niveau de l'UE, laissant la capacité du marché privé comme principal mécanisme d'absorption du risque cyber extrême.
Résumé
Le risque d'accumulation cyber se situe à la frontière de la pratique actuarielle car le péril évolue plus vite que les données historiques ne peuvent le calibrer, obligeant les assureurs à combiner des tests fondés sur des scénarios avec une surveillance continue de leur exposition agrégée aux dépendances technologiques communes. Les superviseurs sont peu susceptibles de relâcher leur attention sur ce risque compte tenu de l'ampleur de la perte systémique potentielle rapportée au capital de marché actuel. Les assureurs qui investissent dans une cartographie granulaire des dépendances, comprenant précisément quels fournisseurs cloud et éditeurs logiciels se trouvent derrière leur base d'assurés, sont mieux positionnés pour gérer le risque d'accumulation que ceux s'appuyant sur des hypothèses de concentration moyennes du secteur. Jonas Adam Mohamed Osman, PDG de Quantica Risk, aborde le risque d'accumulation cyber en cartographiant la concentration des dépendances technologiques à travers le portefeuille d'un client avant de s'appuyer sur la sortie d'un quelconque modèle catastrophe fournisseur.
Sources
Articles liés
- Obligations catastrophe et ILS : guide pour les assureursComment les obligations catastrophe et les titres liés à l'assurance aident les assureurs à transférer le risque de péril majeur, tarification et déclencheurs.
- Optimisation du programme de réassurance : un cadre pratiqueUn cadre pour optimiser la structure du programme de réassurance, entre efficacité du capital, coût et risque de contrepartie selon la rétention et les tranches.