Selon un nouveau rapport d’Allianz Global Corporate & Specialty (AGCS), intitulé Financial Services Risk Trends : An Insurer’s Perspective, les établissements financiers et leurs administrateurs évoluent dans un monde en rapide mutation, marqué par des risques nouveaux et émergents, générés par leur exposition cyber, due à leur dépendance à la technologie, au durcissement de la réglementation et à la crise de la Covid-19. Dans le même temps, de nombreuses parties prenantes examinent de plus en plus attentivement leur comportement et leur culture en matière de développement durable, de pratiques d’emploi, de diversité et d’inclusion, et de rémunération des dirigeants.
« Le secteur des services financiers traverse une période de risques accrus. La Covid-19 a provoqué l’un des plus grands chocs que l’économie mondiale ait connus, entraînant des mesures de relance économique et budgétaire inédites, et un endettement public sans précédent. Malgré une amélioration des perspectives économiques, les incertitudes restent nombreuses. La volatilité de l’économie et des marchés demeure une menace pour l’avenir, et le secteur doit également prêter plus d’attention aux risques dits “non-financiers”. Il doit ainsi veiller à sa cyber-résilience, à la gestion de ses fournisseurs et de ses chaînes d’approvisionnement, mais aussi à l’impact du changement climatique et autres questions environnementales, sociales et de gouvernance (ESG) », observe Paul Schiavone, directeur mondial des solutions industrielles pour les institutions financières chez AGCS.
Dans son rapport, AGCS met en évidence les principales tendances de risques pour les banques, sociétés de gestion, fonds de capital-investissement, assureurs et autres acteurs du secteur des services financiers. D’après le classement du Baromètre des risques 2021 d’Allianz, qui analyse les opinions de plus de 900 professionnels, les incidents cyber, la pandémie et l’interruption d’activité sont les trois principaux risques. Arrivent ensuite les évolutions législatives et réglementaires, concernant notamment les questions ESG et le changement climatique. Les évolutions macroéconomiques, telles que la hausse du risque de crédit et l’environnement de taux d’intérêt bas, se placent en cinquième position.
Les conclusions du baromètre des risques sont confirmées par l’analyse d’AGCS, effectuée sur 7 654 sinistres survenus dans les services financiers au cours des cinq dernières années, et s’élevant à quelque 870 M€. Les incidents cyber, y compris d’origine criminelle, se classent en première position par le montant des pertes, suivis d’autres causes majeures de sinistres, comme la négligence et les actions dérivées, intentées par les actionnaires.
L’impact de la Covid-19
Les établissements financiers redoutent les effets probables des mesures mises en place par les gouvernements et les banques centrales contre la pandémie : baisse des taux d’intérêt, augmentation de la dette publique, ou réduction progressive des aides et prêts aux entreprises. D’importants ajustements ou corrections des marchés (actions, obligations ou crédit) pourraient multiplier les litiges avec les investisseurs et les actionnaires. La hausse du nombre de défaillances d’entreprises pourrait aussi peser sur les bilans de certains établissements financiers. « Des actions en justice pourraient viser les mandataires sociaux d’entreprises de services financiers, perçus comme incapables de prévoir, de déclarer, de gérer ou d’anticiper les risques liés à la Covid-19 », explique Shanil Williams, directeur mondial des lignes financières chez AGCS.
Les risques cyber : une exposition élevée malgré un important investissement dans la sécurité
La Covid-19 offre également un terrain favorable aux délinquants qui profitent de la crise, avec le développement rapide et imprévu du télétravail, du commerce électronique et du numérique. Malgré un fort investissement en cyber-sécurité, les entreprises de services financiers sont une cible attrayante. Elles font ainsi l’objet de nombreuses cyber-menaces, telles que la compromission d’e-mails, le ransomware, le “jackpotting” – ou piratage de distributeurs automatiques – et l’attaque de chaînes d’approvisionnement. La récente affaire SolarWinds, qui a visé des banques et des organes de l’administration, a mis en évidence la vulnérabilité du secteur financier aux pannes de système, en raison de sa dépendance aux prestataires de services tiers. La plupart des établissements financiers utilisent aujourd’hui des logiciels cloud, ce qui accroît leur dépendance à un petit nombre de prestataires. Lorsque la situation tourne mal, ils sont exposés à des risques élevés d’interruption d’activité, mais aussi de responsabilité civile.
Les prestataires de services tiers peuvent constituer le maillon faible de la cyber-sécurité. Une banque cliente a récemment subi une importante violation de données, parce qu’un prestataire tiers n’avait pas supprimé des informations personnelles avant de mettre un matériel au rebut. La façon dont les établissements financiers pilotent les risques liés au cloud s'avérera essentielle à l’avenir. Ils transfèrent déjà une grande part de leurs responsabilités en matière de cyber-sécurité à des tiers. En s’associant avec des prestataires de services cloud qualifiés, ils peuvent aussi utiliser le cloud pour gérer l’ensemble de leur cyber-exposition.
Les risques de conformité liés à la cyber-sécurité, aux crypto-monnaies et au changement climatique
La conformité est devenue un enjeu majeur pour le secteur des services financiers, avec le renforcement des dispositions relatives à la cyber-sécurité, aux nouvelles technologies, au changement climatique et aux critères ESG. Dans son rapport, AGCS fait état d’une évolution radicale dans la vision réglementaire de la confidentialité des données et de la cyber-sécurité, au cours de ces dernières années. Celle-ci a entraîné un foisonnement de règles auxquelles les banques doivent se conformer. Contrôles plus stricts, amendes et pénalités plus élevées, mise en cause de la responsabilité civile, actions en justice... les conséquences d’une violation de données peuvent être considérables. Après plusieurs pannes de système touchant des banques et des sociétés de services de paiement, les régulateurs s’intéressent de plus près à la continuité d’exploitation, à la résilience opérationnelle et à la gestion du risque de responsabilité civile. Les entreprises doivent non seulement veiller à leur cyber-sécurité, mais aussi mettre en œuvre une politique de conformité et de confidentialité.
Les applications des nouvelles technologies – intelligence artificielle (IA), biométrie et monnaies virtuelles – pourraient créer d’autres risques et responsabilités, notamment en matière de conformité et de réglementation. En ce qui concerne l’IA, plusieurs enquêtes du régulateur américain ont déjà été ouvertes pour des préjugés implicites dans les algorithmes d’évaluation du risque de crédit. Un certain nombre d’actions en justice visent également la collecte et l’utilisation de données biométriques. Par ailleurs, l’acceptation grandissante des monnaies virtuelles et autres crypto-monnaies en tant que classe d’actifs présente des risques opérationnels et réglementaires pour les établissements financiers. L’éventualité de bulles d’actifs s’ajoute aux préoccupations concernant le blanchiment de capitaux, les attaques par ransomware, les risques de responsabilité civile, voire les questions ESG, telles que la consommation d’énergie liée au “minage” ou à la création de crypto-monnaies. Enfin, la croissance des investissements sur les marchés actions, encouragée par les réseaux sociaux, provoque des suspicions de vente abusive, qui constitue déjà l’une des principales causes de sinistres d’assurance.
La montée en puissance des questions ESG
Les banques et les marchés financiers apparaissent comme d’importants acteurs du changement pour lutter contre le réchauffement climatique et encourager le développement durable. Là encore, c’est la réglementation qui impose son rythme. Depuis 2018, plus de 170 dispositions sur les ESG ont été introduites dans le monde, dont une grande partie en Europe. Pour les prestataires de services financiers, la profusion des normes, l’hétérogénéité des approches entre pays et le manque de données disponibles soulèvent des difficultés majeures sur le plan opérationnel et de la conformité. « En ce qui concerne les critères ESG, les services financiers sont en avance sur de nombreux autres secteurs. Ces questions resteront toutefois un facteur important de risques dans les années à venir, estime David Van den Berghe, directeur mondial des institutions financières chez AGCS. Les tendances sociales et environnementales sont de plus en plus sources d’évolution et de responsabilité réglementaires. Le renforcement des obligations d’information financière, entre autres, va sensiblement faciliter la mise en cause de la responsabilité des sociétés et de leurs conseils d’administration. »
Les parties prenantes et actionnaires activistes portent aussi leur attention sur les questions ESG. Les litiges relatifs au changement climatique, en particulier, commencent à toucher les établissements financiers. Alors qu’ils concernaient essentiellement la nature des investissements, ils visent davantage aujourd’hui à modifier les comportements et à forcer le débat sur la publication d’informations. En plus du changement climatique, les responsabilités sociales, notamment la rémunération et la diversité du conseil d’administration, ainsi que la conformité, sont maintenant examinées à la loupe. « Les entreprises qui s’engagent à lutter contre le réchauffement climatique et à promouvoir la diversité et l’inclusion devront aller jusqu’au bout, souligne David Van den Berghe. Si elles ne le font pas, elles en subiront les conséquences. »
Les tendances de la sinistralité et leur impact sur le marché de l’assurance
Dans son rapport, AGCS met aussi en évidence les principales causes de sinistres constatées par les assureurs dans les établissements financiers. La hausse du risque de conformité est d’autant plus préoccupante que la non-conformité constitue déjà un facteur majeur de sinistre. « Le maintien de la conformité dans un monde en rapide évolution s'avère particulièrement difficile pour les entreprises et leurs mandataires sociaux, explique Shanil Williams. Il s’agit pour eux de respecter une abondante réglementation dans un contexte d’activisme, d’actions en justice et de financement de contentieux en pleine croissance. »
Les incidents cyber donnent déjà lieu aux sinistres les plus coûteux. Les assureurs constatent une augmentation des sinistres d’origine technologique, notamment des actions intentées contre des administrateurs pour des violations de données de grande envergure. Entre autres exemples, un faux ordre de virement et une fraude au “faux président” peuvent donner lieu à des sinistres majeurs, s’élevant à des millions de dollars. AGCS a également réglé plusieurs sinistres en responsabilité civile survenus à la suite de problèmes techniques sur des systèmes électroniques de négociation et de traitement. Des clients qui n’avaient pas pu faire exécuter leurs ordres ont engagé une action pour perte de chance. D’autres sinistres sont associés à la défaillance d’un système causant des dommages à un tiers. Un établissement financier, par exemple, a subi des pertes importantes après la panne d’une plateforme de trading qui avait empêché l’exécution de certains ordres.
La sinistralité récente, aggravée par l’incertitude liée à la Covid-19, a contribué à un remaniement du marché de l’assurance des institutions financières, avec un ajustement des tarifs et un recentrage sur la sélection des risques par les assureurs. Et l'intérêt pour le transfert alternatif des risques, en plus de l’assurance traditionnelle, est croissant. L’assurance prend ainsi une place plus importante dans la structure du capital des banques dont un nombre croissant s’associe avec des assureurs afin de gérer le risque et les exigences de fonds propres, ou d’utiliser des captives pour neutraliser les variations des marchés de l’assurance ou financer des risques plus difficiles à placer.
« Chez AGCS, nous nous engageons à accompagner les établissements financiers pour atténuer leurs expositions. Nous élaborons aussi des solutions de transfert de risques dédiées à ce secteur engagé dans une transformation majeure, conclut Paul Schiavone. Elles visent à favoriser l’adoption rapide des technologies et à intégrer la montée en puissance des questions ESG, tout en faisant face aux conséquences de la pandémie de Covid-19. »