Seuls 55% des dirigeants comprennent leurs cyberrisques

La dernière enquête «Directors’ & Officers’ Liability Insurance Survey 2026: Cyber in focus» menée par Willis, une division de WTW, société internationale de conseil, de courtage et de solutions, a révélé que 70% des organisations ont officiellement intégré les cyberrisques au niveau du conseil d’administration dans leurs cadres de gestion des risques à l’échelle de l’entreprise. L’étude a également révélé que 65% des membres des conseils d’administration sont informés au moins une fois tous les trois mois de la cybersécurité et du contexte général des menaces.

Selon Willis, ces résultats soulignent le rôle croissant des cyberrisques dans la prise de décision au sein des entreprises, les membres des conseils d’administration et les dirigeants jouant un rôle plus actif dans la supervision de la manière dont les organisations identifient et gèrent leurs risques.

Pour la première fois, les participants à l’enquête 2026 ont été interrogés sur la fréquence à laquelle leurs entreprises calculent l’impact financier potentiel d’un incident cybernétique. Au total, 60% ont déclaré quantifier les pertes éventuelles, 19% effectuant ces évaluations une fois par an et 41% de manière continue.

Malgré cette attention particulière, les résultats ont montré un manque de sensibilisation au sein des instances dirigeantes. Seuls 55 % des personnes interrogées ont déclaré avoir une bonne compréhension des cyberrisques auxquels leur organisation est exposée, tandis que 46 % estimaient que leur conseil d'administration était suffisamment informé de l'efficacité des dépenses en cybersécurité en matière de réduction des risques.

L'enquête s'est également penchée sur la manière dont les organisations gèrent les cyberassurances. Willis a constaté que 48% des personnes interrogées avaient déjà souscrit une police, tandis que 19% supplémentaires avaient l’intention de souscrire une couverture d’assurance au cours des deux prochaines années. Parmi les assurés, 71% disposaient d’une cyberassurance autonome, tandis que 29 % bénéficiaient d’une couverture dans le cadre d’une solution d’assurance générale ou combinée.

Les pratiques en matière de budgétisation variaient: 48% des personnes interrogées assurées comptabilisaient leurs primes de cyberassurance dans le cadre de leur budget global de cybersécurité. Les 52% restants géraient ces coûts séparément, selon Willis.

Le phishing et l'ingénierie sociale ont été identifiés comme les principales cybermenaces et cités par 48% des personnes interrogées à l'échelle mondiale. Les ransomwares arrivent en deuxième position avec 38 %. Les failles de sécurité dans les logiciels tiers et l’utilisation abusive de l’intelligence artificielle ont chacune recueilli 31 % des mentions, figurant ainsi parmi les cinq principales préoccupations. Willis a attribué ces résultats à l’évolution du paysage des cyberrisques et du contexte des sinistres.

La préparation organisationnelle a constitué un autre domaine mis en lumière dans le cadre de cette étude. Willis a indiqué que 62% des personnes interrogées avaient mené un test de réaction aux cyberincidents au cours des 12 derniers mois. Bien que 63% se soient dits confiants dans la capacité de leur entreprise à gérer efficacement un cyberincident, 78% ont déclaré disposer d’un plan de réaction formel.

Les résultats indiquent que les entreprises accordent davantage d’importance à leur capacité à gérer et à surmonter les cyberincidents plutôt que de se reposer exclusivement sur des mesures préventives. Willis a souligné que la planification de la réaction, la reprise des opérations et la réduction des interruptions d’activité constituaient des éléments clés de cette approche.

Glyn Thoms, responsable mondial de la stratégie cyber chez FINEX chez Willis, a ajouté: «Les cyberrisques constituent désormais un risque commercial majeur qui nécessite une surveillance et une responsabilisation accrues de la part du conseil d’administration. Les dirigeants devraient tester régulièrement la préparation et les capacités de reprise de leur organisation afin de réduire les interruptions d’activité et d’améliorer leur capacité de réaction et de reprise en cas d’incident.»

M. Thoms a poursuivi: «Notre enquête révèle une évolution dans la perception de la cyberassurance. Celle-ci n’est plus seulement une solution de transfert de risque, mais est de plus en plus reconnue comme un facteur de résilience. Leur intégration dans les budgets consacrés à la cybersécurité reflète leur importance en tant que moteur de la gouvernance d’entreprise et en tant que mécanisme de protection financière, ainsi que l’accès qu’elles offrent à des spécialistes de la réponse aux incidents. Afin de tirer pleinement parti de ces avantages, les polices doivent être réexaminées régulièrement, car les cyberrisques évoluent sans cesse.» (Reinsurance News/hzi/ps)