Doris Pajon : interview sur le nouveau produit sureté d'Hiscox

Doris Pajon, souscriptrice des risques Kidnapping & Extorsion / Sûreté chez Hiscox répond à nos questions et nous présente son nouveau contrat d'assurance nommé « Security Incident Response » (SIR) qui est dédié intégralement à la sureté.

Doris Pajon, diplômée de Sciences Po Bordeaux, de l’Ecole Nationale d’Assurances et de l’Université de Grenade (Espagne), est souscriptrice des branches Kidnapping & Extorsion / Sûreté chez Hiscox et également en charge du développement de cette branche.

Elle a occupé des postes d’analyse des risques en compagnie et en entreprises avant d’intégrer Hiscox pour développer et souscrire les produits d’assurances liés à la sécurité-sûreté des entreprises et de leur personnel.

Hiscox lance un nouveau produit « Sûreté » sur le marché de l’assurance.  Cela répond-il à un contexte particulier ?

Nous sommes leaders sur le marché du "Kidnapping & Extorsion" depuis plus de 40 ans. Nos polices d’assurances ont évolué au grès des menaces et des incidents subis par nos clients. Un élément est par contre immuable : nous travaillons en exclusivité avec Control Risks, un cabinet d'experts en gestion de crise. Ils interviennent depuis 40 ans aux côtés de nos clients en cas d’incident. Leur champ d’action est large : risques politiques, de sécurité, d’intégrité.

En fait, sur la base de cinq constats partagés avec eux et nos clients, nous avons créé et repensé intégralement un produit d’assurance dédié à la sûreté. Ces 5 constats sont les suivants :

• Le crime organisé ou les hackers utilisent des tactiques chaque fois plus sophistiquées,
• La menace terroriste - transnationale – continue de s’étendre,
• Nous pouvons trouver des pratiques de corruption dans de nombreux pays,
• Les biens, les actifs, et les informations des entreprises sont vulnérables aux attaques et aux vols.
• Nous connaissons un durcissement du contexte réglementaire: devoir de protection, politique anti-corruption etc.

Comment ce produit fonctionne-t-il ?

Lorsqu’un client fait face à un incident, ou nourrit des soupçons quant à son imminence, il contacte le centre d’assistance de Control Risks. Une gestion de crise est alors déclenchée, dont les principales séquences sont :

• La notification au centre d’assistance 24h/365j et déploiement : Control Risks prodigue de premiers conseils et déploie un ou des consultants spécialisés selon les circonstances.
• La réponse à un incident : expertise technique, collecte de faits, investigation, mesures de sécurité.
• Les conseils stratégiques : support en gestion de crise, options tactiques, liaison avec les parties prenantes, continuité d’activité.
• Le retour à une activité normale : débriefing post incident et rapport de recommandations.

Acte de terrorisme, tentative de corruption, extorsion… Quels sont les incidents couverts par cette assurance ?

Nous couvrons pas moins de 36 incidents, qui sont autant de risques pesant sur les personnes, les biens et opérations d’une organisation et/ou qui sont les conséquences d’un contexte politique et sécuritaire dégradé :

• les risques criminels (tentative de corruption, contamination de produits..) ;
• les risques politiques (confiscation, occupation..) ;
• les risques de terrorisme et de violence politique (acte de terrorisme, insurrection..) ;
• les risques liés à l’information  (cyber-menace, cyber-extorsion..) ;
• les risques de kidnapping, de détention, et d’extorsion.

Quels sont les avantages de ce nouveau contrat ?

C’est un mécanisme simple donnant accès à des experts « à la demande » afin de répondre à des incidents de sécurité/sûreté/intégrité pourtant complexes.

Cela permet par ailleurs d’initier le déclenchement d’une gestion de crise immédiatement, sans avoir à chercher un partenaire disponible le jour J. Le client sera rapidement en mesure d'informer son conseil d’administration, ses actionnaires, l’ensemble des parties prenantes que des actions sont prises pour résoudre un incident et enfin, l’intervention de ces experts permet de ne pas être dépendant de moyens logistiques limités, de l’octroi d’un budget supplémentaire non prévu, etc..

Et donc, de limiter le risque qui pèse sur le personnel, les opérations d’une organisation, son management, sa réputation, ses clients…

Si l’on se place dans une perspective « gestion des risques », Security Incident Response est un moyen pour les entreprises d’honorer leur devoir de protection, et les responsabilités associées à cette notion.

Financièrement c’est un moyen de maîtriser les coûts liés à la sûreté : la prime d’assurance est fixe. Il s'agit donc d'une démarche de transfert de risque alors même que la matière est très volatile.

Enfin, la prévention est cruciale, c’est pourquoi nos clients rencontrent un consultant Control Risks à la mise en place du contrat afin d’évaluer les principaux risques qui pèsent sur leur entreprise.

Hiscox a également créé des guides de bonnes pratiques et dédie une proportion de chaque prime d’assurance pour financer des activités de prévention tout au long de la vie du contrat.

Et les clients qui ont déjà un contrat kidnapping ? un contrat cyber-risk? 

Le produit SIR reprend intégralement en son sein un contrat "Kidnapping & Extorsion".

SIR a par ailleurs pour but de donner accès à des experts en gestion de crise sur des déclencheurs comme la cyber-attaque (par exemple).

Une police cyber prendra en charge la réparation des dommages causés à l’assuré par une cyber-attaque (coûts de notification, pertes de revenus, pénalités PCI-DSS) ou à des tiers du fait de cette attaque etc.De même, à la suite d’un acte de terrorisme, nous n’avons pas vocation à indemniser des dommages survenus sur un bâtiment.

Cette police de gestion de crise peut doit donc s’articuler avec d’autres.

Quels sont les clients concernés ?

Les clients qui souhaitent s’équiper d’un département de la sûreté "externalisé" pour un coût maîtrisé car mutualisé (principe de l’assurance) ou compléter le leur.

Le produit s’adresse en fait à toutes les entreprises mais en termes de taille, nous avons noté que les ETI sont les plus intéressées par ces solutions assistance / assurance.

Elles comptent en effet entre 250 et 5000 employés, avec des CA compris entre 50 Millions et 1.5 Milliard d’Euros et évoluent dans des pays à risque moyen ou élevé.

Un  chiffre retient notre attention : 74% d’entre elles sont présentes à l’international (source : ETI : industrie, investissements – Etat des lieux – METI – juin 2016). Cela dit, on a vu trop fréquemment que les attaques cyber ou les actes de terrorisme peuvent survenir en Europe.