Les entreprises au carrefour de toutes les menaces

Si la gestion du risque entre pleinement dans leur champ de compétences, c’est à de nouveaux phénomènes exogènes que les entreprises doivent aujourd’hui faire face.

Le risque est inhérent à toute activité entrepreneuriale et économique. La gestion du risque fait donc pleinement partie de la culture et de l’activité des entreprises. Lorsque l’on évoque les risques majeurs auxquels elles sont confrontées, on pense bien sûr aux accidents industriels. C’est d’ailleurs le retour d’expériences de catastrophes majeures, au premier chef desquelles l’explosion sur le site AZF à Toulouse en 2001, qui a inspiré la loi de modernisation de la sécurité civile du 13 août 2004, aujourd’hui transférée dans le code de la sécurité intérieure.

Mais, en tant qu’organisations économiques et humaines centrales pour le fonctionnement de nos sociétés, les entreprises sont au premier chef concernées par l’intensification de risques exogènes majeurs. La pandémie a eu un impact colossal sur les entreprises du transport aérien du tourisme, de l’hôtellerie et la restauration. Il y a dix ans, le drame de Fukushima a montré à quel point la mauvaise appréciation d’un risque naturel peut être à la source même du déclenchement d’une catastrophe industrielle ravageant un vaste territoire.

“Métropolisation” des risques

En matière de risques majeurs, les entreprises doivent composer avec un facteur démultiplicateur : leur polarisation géographique dans les zones urbaines et périurbaines. La densification démographique, la centralisation d’activités du secteur tertiaire supérieur (entités politico-administratives, structures économiques, établissements scientifiques et culturels), la présence de fonctions logistiques stratégiques (10 millions de tonnes de matières dangereuses sillonnent annuellement les réseaux routiers et ferroviaires de l’agglomération parisienne) : autant de facteurs qui rendent les grandes métropoles structurellement et fonctionnellement très vulnérables aux aléas exceptionnels.

A l’échelle d’une métropole, les services vitaux, les infrastructures et les réseaux sont éminemment interdépendants, ce qui en cas de crise favorise et accélère des effets dominos où les entreprises sont à la fois des cibles et des relais privilégiés. 

En Ile-de-France, la menace de la crue centennale

Prenons le cas de l’Île-de-France. Le principal risque pour la région capitale est, bien avant tous les autres, la crue centennale de la Seine et de ses affluents (Marne, Oise). Pour rappel, une crue centennale n'est pas un phénomène qui survient tous les cent ans, mais un événement qui a une chance sur cent de se produire chaque année. Ce qui signifie qu’on peut ne pas en connaître durant trois siècles, tout comme on peut en subir deux en quinze ans. La Seine a connu 81 crues depuis l’an 1500, les deux dernières remontant à 2016 et 2018.

Quelles seraient aujourd’hui les conséquences d’une crue centennale ? Ludovic Faytre, Référent risques majeurs / aménagement au Département Environnement Urbain et Rural de l’Institut Paris Région, décrit un scénario inédit par son ampleur, qui augure de la difficulté extrême à laquelle les entreprises se trouveraient confrontées. "Aucune zone d’Ile-de-France ne serait épargnée. On chiffre à plus de 450 000 le nombre de logements qui seraient exposés et à près d’un million le nombre de personnes qu’il faudrait évacuer ou faire vivre dans des conditions de vie très dégradées. Mais au-delà, ce sont des millions de personnes qui seraient touchées d’une manière ou d’une autre. La dégradation ou l’interruption des services publics, des infrastructures et des réseaux (électricité, eau potable, communications, transport, assainissement, etc.) bouleverserait fortement et durablement les activités économiques et la vie quotidienne des Franciliens. Des centaines de milliers d’emplois seraient impactés. Selon l’OCDE, le coût des dommages directs pourrait atteindre plusieurs dizaines de milliards d’euros."

L’explosion de la cyber criminalité

Mais c’est à une menace beaucoup plus immédiatement tangible que sont confrontées aujourd’hui les entreprises : le risque cyber. Le plus récent des risques majeurs, celui aussi qui connaît la courbe d’occurrence la plus exponentielle.

La pandémie lui a offert un phénoménal terrain de jeu. En un temps record, pour répondre aux exigences techniques et organisationnelles du télétravail, les entreprises ont déployé à marche forcée des ressources digitales inédites, déportant dans le cloud une myriade d’applications et créant par là-même un véritable appel d’air pour les dysfonctionnements et atteintes informatiques.

Le Club des experts de la sécurité de l’information et du numérique (CESIN) estime que 63% des entreprises ont constaté une augmentation du nombre d’attaques en 2020.

Aujourd’hui, les organisations doivent se préparer à plusieurs types d’attaque : cybercriminalité à but lucratif ; malveillance par négligence de l'entreprise et/ou de ses collaborateurs ; atteinte à l'image et à la notoriété ; espionnage ; sabotage. Parmi les techniques préférées des pirates : les arnaques au président, qui reposent sur l’usurpation d’identité du patron, et le ransomware, qui consiste à s’introduire illégalement dans le système informatique de l’entreprise pour en crypter les données et réclamer une rançon contre restitution de l’accès à l’information. Où en sont les entreprises face à ce nouveau risque ? Selon la 18ème étude d’EY sur la cybersécurité, 36 % d’entre elles ne savent pas détecter des attaques sophistiquées et 20 % ne sont pas en mesure de quantifier l’impact d’attaques.

"Le travail de sensibilisation est important, mais il est aussi rendu de plus en plus délicat par la sophistication des attaques et la motivation des attaquants. On ne pourra pas toujours faire reposer la sécurité de nos patrimoines sur la vigilance des utilisateurs. Il va falloir miser sur des outils de protection plus efficaces et sur des standards informatiques plus sécurisés", affirme Alain Bouillé, président du CESIN.

Face aux limites du système assurantiel

Si le phénomène de la cybercriminalité est encore difficilement mesurable, les experts s’accordent sur le poids considérable de ce risque pour les années à venir. "Nous sommes très préoccupés par le risque cyber, qui va devenir préoccupant en termes de sinistralité. Aujourd’hui, exception faite des États-Unis, qui ont de l’avance sur le reste du monde, ce risque est très peu assuré et très peu réassuré. Mais il est difficilement assurable, car c’est un risque susceptible de survenir au même moment partout dans le monde, avec des montants de sinistre tels qu’ils deviennent dissuasifs pour des sociétés financières", développe Bertrand Romagné, Président de l’Association des professionnels de la réassurance en France (APREF) et responsable de la réassurance pour AXA XL en Europe. La fragilité des entreprises face aux risques majeurs doit devenir une priorité du monde économique et de ses organisations. Faute de quoi, c’est le pronostic vital d’établissements, voire se secteurs entiers d’activité, qui pourrait être prononcé.