Le secteur financier est-il suffisamment armé pour faire face aux cyberattaques ? Depuis deux ans, la Banque de France alerte sur le « risque structurel » que représente la digitalisation accrue de l’activité pour les banques et les assureurs. Avec l’invasion de l’Ukraine en février dernier, ce risque a franchi un cran, passant d’«élevé » à « très élevé » dans l’évaluation des risques du système financier publiée ce jeudi 30 juin par le superviseur.
« Après la pandémie de Covid-19, la guerre en Ukraine n’a fait qu’accroître la probabilité des cyberattaques », souligne Emmanuelle Assouan, directrice générale déléguée de la stabilité financière et des opérations. A ce jour, aucune attaque d’ampleur systémique ne s’est encore produite. Mais « les occurrences d’incidents de grande ampleur augmentent », pointe la Banque de France. En témoigne le coût représenté par ces cyberattaques : 1.000 milliards de dollars tous secteurs confondus au niveau mondial en 2021.
Le secteur financier est en première ligne : 22% des attaques mondiales sont dirigées contre des banques et des assureurs, selon les données d’IBM, ce qui en fait le deuxième secteur le plus exposé à ce risque derrière l’industrie manufacturière. Et en France ? Les autorités de supervision financière touchent ici leurs limites. « Nous mesurons difficilement les attaques dont le secteur est victime car le degré de collecte n’est pas satisfaisant et les obligations de reporting des banques et des assureurs sont encore en cours d’élaboration », reconnaît Emmanuelle Assouan.
L’Autorité de contrôle prudentiel et de résolution (ACPR) ne dispose aujourd’hui que de « données individuelles » remontées par les banques et les assureurs. Ces exigences statistiques sont « à parfaire », précise Emmanuelle Assouan. « Il y a un problème de taxonomie mais aussi de perception du degré de criticité de ces attaques par les banques et les assureurs », ajoute-t-elle. C’est précisément l’objectif du règlement Dora, qui vient d’être adopté par les législateurs européens : il doit permettre d’harmoniser et de renforcer cette surveillance à l’échelle européenne, en l’élargissant aux prestataires externes des acteurs financiers, notamment les fournisseurs de services cloud.
A ce stade, la Banque de France se veut toutefois rassurante. Elle n’a relevé « aucune corruption de données ou attaque suffisamment nocive pour entraver le fonctionnement des banques françaises ». Assis sur une véritable mine de données, les assureurs sont plus vulnérables et doivent encore renforcer leur cybersécurité, comme l’ont illustré les récentes attaques subies par MMA et la Mutuelle nationale hospitalière (MNH). L’ACPR a émis l’été dernier une notice en vue de les encourager à muscler leur défense et se dit prête à renforcer ses contrôles si ses recommandations ne sont pas suivies d’effets.
Outre le risque cyber, la guerre en Ukraine a également accru les risques de marché en raison de la dégradation des conditions macroéconomiques. S’il est « très élevé », la Banque de France considère toutefois que ce risque est maîtrisé à court terme. D’une part, l’exposition directe du secteur financier français à la Russie est limitée : moins d’un milliard d’euros pour les assureurs et 29 milliards d’euros pour les banques françaises au premier trimestre 2022. Un chiffre qui a encore diminué depuis que la Société Générale a cédé sa filiale Rosbank. D’autre part, la Banque de France souligne le bon niveau de solvabilité et de liquidité des acteurs financiers.
Si une détérioration du coût du risque n’est pas exclue en cas de nouveau choc géopolitique sévère, telle une coupure de l’accès au gaz pour les Européens, la Banque de France juge que les pressions sur la rentabilité du secteur restent modérées. Les banques devraient bénéficier de la hausse « ordonnée » des taux d’intérêt, juge-t-elle. Un choc de 200 points de base sur les taux toutes maturités confondues devrait entraîner une hausse de 15% de leurs marges nettes d’intérêts, selon ses calculs. Ces dernières représentent 45% des revenus des banques.
Quant aux assureurs, la hausse des taux entraîne un risque d’arbitrages défavorables de la part des épargnants et de rachats sur leurs contrats d’assurance vie. Pour le moment, « les rachats se situent dans leur moyenne de long terme », mais ce risque n’est pas à négliger en cas de remontée trop brutale des taux. A court terme, c’est surtout sur les assureurs non-vie que l’inflation pèse. Tandis que les assureurs dommages mettent en avant la hausse du coût de la réparation, la Banque de France relève la vulnérabilité des « branches longues », c’est-à-dire la prévoyance et la responsabilité civile pour lesquelles les assureurs versent des rentes à long terme sans pouvoir réviser régulièrement leurs tarifs.
