Face à la multiplication des cyberattaques, les entreprises de toutes tailles se trouvent exposées à des menaces numériques sans précédent. En 2023, le coût moyen d’une violation de données a atteint 4,45 millions de dollars selon IBM, tandis que la fréquence des ransomwares a augmenté de 37% en un an. Dans ce contexte alarmant, l’assurance cyber risques s’impose comme un pilier de la stratégie de cybersécurité des professionnels. Ce dispositif offre une protection financière et opérationnelle contre les conséquences des incidents informatiques, allant des attaques malveillantes aux erreurs humaines. Alors que le cadre réglementaire se durcit et que les tribunaux reconnaissent davantage la responsabilité des entreprises, comprendre les subtilités de cette couverture devient une nécessité pour tout dirigeant soucieux de pérenniser son activité dans l’écosystème numérique.
Les fondamentaux de l’assurance cyber risques
L’assurance cyber risques constitue un dispositif de protection spécifiquement conçu pour couvrir les préjudices liés aux incidents informatiques. Contrairement aux polices d’assurance traditionnelles qui excluent généralement les sinistres numériques, cette couverture spécialisée répond aux enjeux particuliers du monde digital. Sa naissance remonte aux années 1990 aux États-Unis, mais son développement s’est considérablement accéléré depuis 2010 avec l’intensification des cybermenaces.
Cette assurance se distingue par sa double dimension : préventive et curative. Sur le plan préventif, de nombreux assureurs proposent des services d’audit de sécurité, de formation des collaborateurs et d’accompagnement dans la mise en place de mesures de protection. L’aspect curatif intervient après un sinistre pour financer les opérations de remédiation technique, de notification aux personnes concernées, de gestion de crise médiatique et d’indemnisation des tiers lésés.
Les garanties couramment incluses dans une police d’assurance cyber risques couvrent plusieurs dimensions :
- La responsabilité civile liée à une violation de données personnelles
- Les frais de notification et de surveillance suite à une fuite de données
- Les coûts de restauration des systèmes informatiques
- La perte d’exploitation résultant d’une indisponibilité des systèmes
- Les frais d’expertise et d’investigation numérique
Le marché de l’assurance cyber se structure autour de plusieurs acteurs majeurs. Les compagnies traditionnelles comme AXA, Allianz ou Generali ont développé des offres dédiées, tandis que des acteurs spécialisés comme Hiscox ou Beazley se positionnent comme des références du secteur. Les courtiers jouent un rôle déterminant dans ce marché complexe en aidant les entreprises à identifier leurs besoins et à négocier des conditions adaptées.
La tarification d’une assurance cyber risques repose sur une évaluation multifactorielle du risque. Les assureurs analysent le secteur d’activité du professionnel, la nature des données traitées, le chiffre d’affaires, les mesures de sécurité déployées et l’historique des incidents. Cette approche personnalisée explique les variations importantes de primes observées sur le marché, allant de quelques centaines d’euros pour une TPE à plusieurs centaines de milliers pour un grand groupe.
Le cadre juridique entourant cette assurance évolue constamment. En France, l’ACPR (Autorité de Contrôle Prudentiel et de Résolution) a publié en 2022 des recommandations sur la commercialisation des contrats cyber, soulignant l’obligation de conseil renforcée des distributeurs. Au niveau européen, les travaux de l’EIOPA (Autorité européenne des assurances et des pensions professionnelles) visent à harmoniser les pratiques et à renforcer la résilience du marché face à des scénarios de cyberattaques systémiques.
Analyse des risques numériques pour les professionnels
Le paysage des cybermenaces évolue à une vitesse fulgurante, confrontant les professionnels à des risques protéiformes. Le ransomware (rançongiciel) demeure la menace la plus redoutée, avec des attaques qui ont touché 66% des organisations en 2023 selon Sophos. Ces logiciels malveillants chiffrent les données de l’entreprise et exigent une rançon pour leur déchiffrement, avec des montants qui peuvent atteindre plusieurs millions d’euros pour les grandes structures.
L’hameçonnage (phishing) constitue le vecteur d’attaque privilégié, exploitant l’erreur humaine plutôt que des failles techniques. Les campagnes deviennent de plus en plus sophistiquées, ciblant spécifiquement certains collaborateurs (spear phishing) ou usurpant l’identité de dirigeants (fraude au président). Le Business Email Compromise (BEC) a causé des pertes de plus de 2,7 milliards de dollars en 2022 selon le FBI.
Les attaques par déni de service (DDoS) visent à rendre inaccessibles les services en ligne en les submergeant de requêtes. Leur intensité ne cesse de croître, avec des attaques dépassant 3 Tbps observées en 2023. Pour les entreprises dépendantes de leur présence en ligne, chaque minute d’indisponibilité peut représenter des pertes considérables.
Vulnérabilités sectorielles spécifiques
Chaque secteur d’activité présente des vulnérabilités particulières. Le secteur santé constitue une cible privilégiée en raison de la sensibilité des données patients et de l’impact potentiel sur les soins. En France, les attaques contre les hôpitaux de Corbeil-Essonnes en 2022 et du CHU de Rouen en 2019 illustrent cette tendance préoccupante.
Les services financiers font face à des attaques sophistiquées visant les systèmes de paiement et les données bancaires. Le secteur industriel, longtemps épargné, devient vulnérable avec la convergence des technologies opérationnelles (OT) et informatiques (IT). L’attaque contre Colonial Pipeline en 2021 aux États-Unis, paralysant un oléoduc majeur, a démontré l’impact potentiel sur les infrastructures critiques.
Les PME constituent des cibles particulièrement vulnérables, combinant souvent attractivité des données et faiblesse des défenses. Une étude de Hiscox révèle que 43% des cyberattaques visent les petites entreprises, alors que seulement 14% d’entre elles se considèrent préparées. Le coût moyen d’un incident pour une PME française s’élève à 73 000 euros, un montant suffisant pour menacer la pérennité de nombreuses structures.
L’impact financier des cyberincidents dépasse largement le simple coût technique de remédiation. Une analyse complète doit intégrer :
- Les coûts directs de restauration des systèmes et de récupération des données
- Les pertes d’exploitation pendant la période d’indisponibilité
- Les frais juridiques liés aux violations de données
- Les amendes réglementaires potentielles (jusqu’à 4% du CA mondial avec le RGPD)
- L’atteinte à la réputation et la perte de confiance des clients
Le facteur humain demeure le maillon faible de la cybersécurité. Une étude de Stanford montre que 88% des violations de données impliquent une erreur humaine. La formation des collaborateurs et l’instauration d’une culture de sécurité constituent donc des investissements prioritaires, complémentaires à la souscription d’une assurance cyber risques.
Évaluation et sélection d’une police d’assurance adaptée
L’identification des besoins spécifiques de l’entreprise constitue la première étape du processus de souscription d’une assurance cyber risques. Cette analyse doit prendre en compte la nature de l’activité, la typologie des données traitées, le niveau de dépendance aux systèmes informatiques et l’exposition géographique. Un cabinet d’avocats manipulant des données confidentielles de clients n’aura pas les mêmes besoins qu’un e-commerçant dont l’activité dépend entièrement de la disponibilité de sa plateforme.
La cartographie des risques numériques de l’entreprise permet d’identifier les scénarios les plus probables et les plus impactants. Cette démarche méthodique évalue la probabilité d’occurrence et la gravité potentielle de chaque menace. Par exemple, une entreprise disposant d’une infrastructure cloud présentera des vulnérabilités différentes d’une société s’appuyant sur des systèmes on-premise. Cette cartographie guidera le choix des garanties prioritaires.
La comparaison des offres d’assurance cyber nécessite une analyse approfondie des contrats, au-delà du simple montant des primes. Plusieurs critères méritent une attention particulière :
- Le périmètre exact des garanties et leurs plafonds respectifs
- Les franchises applicables par type d’incident
- Les exclusions spécifiques (actes de guerre, négligence grave…)
- La territorialité de la couverture (notamment pour les entreprises opérant à l’international)
- Les services d’accompagnement inclus (prévention, gestion de crise)
Garanties fondamentales et optionnelles
Une police d’assurance cyber risques complète articule plusieurs niveaux de garanties. Les garanties fondamentales couvrent généralement la responsabilité civile en cas de fuite de données, les frais de notification aux personnes concernées, les coûts de restauration des systèmes et la perte d’exploitation consécutive. Ces protections de base répondent aux scénarios les plus courants.
Les garanties optionnelles permettent d’adapter la couverture aux spécificités de chaque entreprise. Parmi celles-ci, on trouve la couverture des fraudes par manipulation informatique (social engineering), l’extorsion cyber (paiement de rançons), l’atteinte à la réputation (frais de communication de crise) ou encore la responsabilité médias (contenus diffamatoires publiés en ligne).
Le processus de souscription implique généralement un questionnaire détaillé sur les pratiques de sécurité de l’entreprise. Les assureurs évaluent la maturité cybersécurité à travers des questions sur les mesures techniques (pare-feu, chiffrement, sauvegardes), organisationnelles (politique de sécurité, gestion des accès) et humaines (sensibilisation des collaborateurs). Pour les risques importants, un audit de sécurité préalable peut être exigé.
La PME doit porter une attention particulière aux conditions de mise en œuvre des garanties. Certains contrats imposent des obligations strictes, comme le maintien à jour des systèmes ou la réalisation régulière de sauvegardes. Le non-respect de ces conditions peut entraîner le refus de prise en charge en cas de sinistre. L’accompagnement d’un courtier spécialisé s’avère souvent précieux pour négocier des conditions équilibrées.
Le rapport coût/bénéfice d’une assurance cyber risques varie considérablement selon le profil de risque. Pour une TPE traitant peu de données sensibles, une couverture basique peut suffire, avec des primes annuelles débutant autour de 300-500 euros. Pour une ETI industrielle ou une entreprise de services numériques, l’investissement sera plus conséquent mais proportionné aux risques encourus.
Les retours d’expérience montrent que la valeur d’une assurance cyber se mesure autant par son intervention après sinistre que par les services d’accompagnement qu’elle propose. La réactivité de l’assureur, sa capacité à mobiliser des experts techniques et sa connaissance des procédures réglementaires font souvent la différence dans la gestion d’une crise.
Cadre juridique et obligations réglementaires
Le Règlement Général sur la Protection des Données (RGPD) constitue le socle réglementaire européen en matière de protection des données personnelles. Entré en vigueur en mai 2018, il impose aux entreprises des obligations strictes concernant la collecte, le traitement et la conservation des données. En cas de violation, les sanctions peuvent atteindre 20 millions d’euros ou 4% du chiffre d’affaires mondial, comme en témoigne l’amende de 50 millions d’euros infligée à Google par la CNIL en 2019.
Le RGPD instaure une obligation de notification des violations de données à l’autorité de contrôle (la CNIL en France) dans un délai de 72 heures après leur découverte. Cette contrainte temporelle exige une capacité de détection et de réaction rapide que l’assurance cyber peut faciliter grâce à ses services d’accompagnement d’urgence.
La Directive NIS (Network and Information Security) complète ce dispositif en ciblant les opérateurs de services essentiels (OSE) et les fournisseurs de services numériques (FSN). Ces entités doivent mettre en œuvre des mesures de sécurité appropriées et notifier les incidents significatifs à l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information). La Directive NIS 2, adoptée en 2022, élargit considérablement le champ d’application et renforce les obligations.
Au niveau sectoriel, des réglementations spécifiques s’ajoutent à ce cadre général. Le secteur financier est soumis aux exigences de l’Autorité Bancaire Européenne (EBA) concernant la gestion des risques informatiques. Le secteur de la santé doit respecter des dispositions particulières pour la protection des données de santé, considérées comme sensibles par le RGPD.
Responsabilité juridique des dirigeants
La responsabilité des dirigeants en matière de cybersécurité s’accroît à mesure que le cadre réglementaire se durcit. Le Code civil (article 1242) peut être invoqué pour établir la responsabilité de l’entreprise en cas de dommages causés à des tiers suite à un défaut de sécurité. La jurisprudence tend à considérer qu’un manquement aux obligations de sécurité constitue une faute engageant la responsabilité des dirigeants.
Le Code pénal prévoit des sanctions pour les atteintes aux systèmes de traitement automatisé de données (articles 323-1 à 323-7), mais aussi pour les manquements graves à l’obligation de sécurité. La responsabilité pénale du dirigeant peut être engagée en cas de négligence caractérisée ayant facilité une cyberattaque aux conséquences graves.
L’obligation d’assurance cyber n’est pas encore généralisée en France, contrairement à d’autres risques comme la responsabilité civile professionnelle. Toutefois, certains secteurs commencent à l’imposer contractuellement. Les grands donneurs d’ordre exigent de plus en plus que leurs prestataires disposent d’une couverture adaptée, transformant l’assurance cyber en prérequis commercial.
Les contrats d’assurance cyber risques intègrent ces dimensions réglementaires de plusieurs façons :
- Prise en charge des frais de notification conformes aux exigences du RGPD
- Couverture des amendes administratives assurables (variable selon les juridictions)
- Accompagnement juridique en cas d’enquête réglementaire
- Assistance à la préparation des déclarations obligatoires
La conformité réglementaire devient un critère d’assurabilité de plus en plus important. Les assureurs exigent désormais un niveau minimal de maturité en matière de protection des données et de cybersécurité avant d’accorder leur garantie. Cette tendance transforme l’assurance cyber en levier d’amélioration des pratiques de sécurité au sein des organisations.
Gestion des sinistres et retours d’expérience
La détection précoce d’un incident constitue la première étape critique du processus de gestion d’un sinistre cyber. Le délai moyen de détection d’une intrusion reste préoccupant : 207 jours selon le rapport IBM Cost of a Data Breach 2023. Les polices d’assurance valorisent donc les dispositifs de détection performants, comme les SOC (Security Operations Centers) ou les solutions de détection et réponse gérées (MDR).
La déclaration du sinistre à l’assureur doit suivre les modalités précisées au contrat, généralement via une plateforme dédiée ou une hotline disponible 24/7. La rapidité de cette notification conditionne l’efficacité de la réponse et peut influencer la prise en charge des coûts. Certains contrats prévoient des pénalités en cas de déclaration tardive.
La coordination des intervenants techniques, juridiques et communicationnels représente un défi majeur lors d’un incident cyber. Les assureurs structurent généralement leur réponse autour d’une cellule de crise multidisciplinaire incluant :
- Des experts en forensique numérique pour analyser l’attaque
- Des spécialistes en restauration de systèmes
- Des avocats spécialisés en droit du numérique
- Des consultants en communication de crise
Études de cas réels
Le cas d’une PME industrielle française victime d’un ransomware en 2022 illustre l’intérêt d’une assurance cyber adaptée. L’attaque a chiffré l’ensemble des serveurs de production et de gestion, paralysant l’activité pendant 8 jours. Grâce à sa police d’assurance, l’entreprise a bénéficié d’une intervention rapide d’experts en cybersécurité qui ont identifié la variante du malware et mis en œuvre une stratégie de restauration. L’assurance a couvert les frais d’expertise (32 000 €), la perte d’exploitation (145 000 €) et les coûts de reconstruction des systèmes (57 000 €), limitant l’impact financier de l’incident.
Une clinique privée confrontée à une fuite de données médicales présente un autre cas instructif. La violation, détectée lors d’un contrôle de routine, concernait les dossiers de plus de 15 000 patients. L’assureur a mobilisé des avocats spécialisés qui ont accompagné l’établissement dans sa notification à la CNIL et aux personnes concernées. La police d’assurance a pris en charge les frais de notification (48 000 €), l’audit de sécurité post-incident (25 000 €) et la mise en place d’un service de surveillance d’identité pour les patients affectés (62 000 €).
Pour un cabinet d’avocats victime d’une fraude au président, l’assurance cyber a démontré sa valeur sur un autre terrain. L’attaque, basée sur un email frauduleux imitant parfaitement le style du dirigeant, a conduit au virement de 95 000 € vers un compte étranger. La garantie « social engineering » du contrat a permis de récupérer 80% du préjudice, après application d’une franchise de 20%.
Les difficultés courantes lors de la gestion des sinistres incluent les désaccords sur l’évaluation du préjudice, particulièrement pour la perte d’exploitation ou l’atteinte à la réputation. Les exclusions contractuelles, notamment celles liées aux « actes de guerre » dans le contexte de cyberattaques d’origine étatique, suscitent également des contentieux. L’affaire Mondelez c. Zurich, où l’assureur a refusé d’indemniser les dégâts causés par NotPetya en invoquant l’exclusion guerre, illustre cette problématique.
L’évolution des conditions d’assurabilité reflète l’adaptation du marché aux risques émergents. Face à la recrudescence des attaques, les assureurs durcissent leurs exigences en matière de prévention. L’authentification multifacteur, les sauvegardes chiffrées hors ligne et les plans de continuité d’activité deviennent des prérequis incontournables. Certains risques, comme les infrastructures critiques ou les entités déjà ciblées multiple fois, rencontrent des difficultés croissantes pour obtenir une couverture complète.
Les enseignements tirés des sinistres passés montrent que la valeur d’une assurance cyber réside autant dans l’accompagnement opérationnel que dans l’indemnisation financière. Les entreprises qui maintiennent une documentation précise de leurs actifs numériques et qui disposent de procédures de réponse testées régulièrement obtiennent généralement une résolution plus rapide et plus favorable de leurs sinistres.
Perspectives et évolution du marché de l’assurance cyber
Le marché de l’assurance cyber risques connaît une croissance soutenue, estimée à 25-30% par an au niveau mondial selon Munich Re. En France, ce segment représentait environ 150 millions d’euros de primes en 2022, avec un potentiel de développement considérable puisque moins de 10% des PME françaises disposent actuellement d’une couverture spécifique.
Cette expansion s’accompagne d’un durcissement des conditions de souscription. Le ratio sinistres/primes défavorable observé entre 2019 et 2021 a conduit les assureurs à augmenter significativement les tarifs (+30 à 50% en moyenne) et à renforcer leurs exigences techniques. Cette phase de correction du marché, après des années de sous-tarification, témoigne de sa maturation progressive.
Les innovations technologiques transforment l’approche du risque cyber. Les outils d’évaluation continue de la posture de sécurité (CSPM) permettent désormais aux assureurs de surveiller en temps réel l’exposition de leurs assurés. Cette approche dynamique remplace progressivement l’évaluation statique basée sur des questionnaires annuels, ouvrant la voie à des polices adaptatives dont les conditions évoluent en fonction du niveau de risque observé.
Tendances émergentes
La paramétrisation des contrats constitue une tendance de fond. Ces polices déclenchent automatiquement une indemnisation lorsqu’un paramètre prédéfini est atteint (durée d’indisponibilité d’un service, nombre de systèmes affectés…), sans nécessiter une évaluation complexe du préjudice. Cette approche, inspirée de l’assurance agricole, accélère l’indemnisation et réduit les contentieux.
La mutualisation des risques au sein de pools sectoriels émerge comme solution face aux cyberattaques systémiques. À l’image du GAREAT pour le terrorisme, ces dispositifs permettraient de répartir les risques catastrophiques entre assureurs, réassureurs et potentiellement l’État comme réassureur de dernier ressort. Des initiatives comme le French Cyber Insurance Pool explorent cette voie.
L’intégration des services de cybersécurité et d’assurance représente une évolution majeure du marché. Les assureurs développent des écosystèmes complets associant couverture financière et services opérationnels :
- Évaluations régulières de vulnérabilité
- Surveillance continue des menaces
- Formation et sensibilisation des collaborateurs
- Intervention rapide en cas d’incident
Les défis de l’assurabilité des risques systémiques préoccupent l’ensemble du secteur. Une attaque massive contre des infrastructures cloud ou des fournisseurs critiques pourrait affecter simultanément des milliers d’entreprises, dépassant les capacités d’indemnisation du marché privé. Le rapport de l’OCDE sur l’assurabilité des risques cyber catastrophiques souligne la nécessité d’un partenariat public-privé pour adresser cette menace.
L’évolution du cadre réglementaire influence profondément le marché. La Directive NIS 2 élargit considérablement le périmètre des entités soumises à des obligations renforcées en matière de cybersécurité, créant mécaniquement une demande accrue d’assurance. Aux États-Unis, certains États comme New York imposent désormais des exigences spécifiques aux assureurs cyber pour garantir leur solvabilité face aux scénarios extrêmes.
Les enjeux de souveraineté numérique se reflètent dans l’émergence d’offres d’assurance nationales ou européennes. Face à la domination des acteurs anglo-saxons, des initiatives comme le Campus Cyber en France favorisent le développement d’un écosystème local associant assureurs, réassureurs et acteurs de la cybersécurité.
À long terme, l’évolution technologique pourrait transformer radicalement l’approche du risque. L’intelligence artificielle améliore la détection précoce des attaques et permet une modélisation plus fine des scénarios. L’informatique quantique, en revanche, présente un défi majeur en rendant obsolètes certains algorithmes cryptographiques, créant potentiellement une nouvelle classe de vulnérabilités que les assureurs devront intégrer dans leurs modèles.
Stratégies d’optimisation de votre protection cyber
L’approche intégrée de la gestion des risques numériques constitue le fondement d’une protection efficace. L’assurance cyber ne doit pas être envisagée comme une solution isolée, mais comme un élément d’une stratégie globale articulant mesures préventives, détectives et correctives. Cette vision holistique permet d’obtenir non seulement une meilleure protection, mais souvent des conditions d’assurance plus favorables.
Les investissements en cybersécurité et l’assurance cyber entretiennent une relation complémentaire plutôt que substitutive. Les dispositifs techniques comme les pare-feu nouvelle génération, les solutions EDR (Endpoint Detection and Response) ou les SIEM (Security Information and Event Management) réduisent la probabilité d’occurrence des sinistres, tandis que l’assurance atténue leur impact financier. Cette complémentarité se reflète dans les conditions préférentielles accordées aux entreprises démontrant un niveau élevé de maturité sécuritaire.
La mise en place d’une gouvernance dédiée aux risques numériques renforce considérablement la résilience de l’organisation. Cette gouvernance implique :
- La désignation claire des responsabilités (RSSI, DPO, Risk Manager)
- L’établissement de processus formalisés de gestion des incidents
- La définition d’indicateurs de suivi et d’objectifs mesurables
- L’implication régulière du comité de direction et du conseil d’administration
Préparer efficacement un sinistre cyber
La préparation à la gestion d’incident constitue un facteur déterminant dans la minimisation des impacts d’une cyberattaque. Le plan de réponse aux incidents (PRI) documente les procédures à suivre, les responsabilités de chaque intervenant et les canaux de communication à privilégier. Ce document vivant doit être régulièrement mis à jour et testé via des exercices de simulation impliquant l’ensemble des parties prenantes, y compris l’assureur.
La constitution d’une documentation technique exhaustive facilite considérablement la gestion d’un sinistre et accélère l’indemnisation. Cette documentation doit inclure l’inventaire des actifs numériques, la cartographie des flux de données, les schémas d’architecture réseau et les procédures de sauvegarde et restauration. Ces éléments permettront aux experts mandatés par l’assureur d’intervenir efficacement sans phase préliminaire de découverte.
La formation des collaborateurs représente l’investissement le plus rentable en matière de cybersécurité. Au-delà des sessions de sensibilisation traditionnelles, les exercices pratiques comme les simulations de phishing ou les ateliers de gestion de crise développent les réflexes appropriés. La création d’une culture de sécurité positive, où le signalement des incidents est valorisé plutôt que sanctionné, favorise la détection précoce des compromissions.
L’optimisation du transfert de risque passe par une stratification réfléchie des couvertures. Pour les ETI et grandes entreprises, la combinaison de plusieurs lignes d’assurance permet d’atteindre des plafonds élevés tout en maîtrisant le coût global. Cette approche peut associer :
- Une police cyber dédiée pour les risques spécifiques
- Une assurance responsabilité civile professionnelle avec extension cyber
- Une police responsabilité des dirigeants (D&O) couvrant les aspects gouvernance
La veille sur les menaces émergentes et les évolutions réglementaires constitue un processus continu indispensable. L’adhésion à des communautés sectorielles de partage d’information (ISAC), le suivi des publications de l’ANSSI et la participation à des exercices collectifs comme InterCERT permettent d’anticiper les risques et d’adapter la stratégie de protection.
L’évaluation régulière de l’efficacité du dispositif global associe tests techniques (tests d’intrusion, red team) et revues des processus. Les résultats doivent alimenter un cycle d’amélioration continue impliquant toutes les parties prenantes, y compris les courtiers et assureurs. Cette démarche proactive démontre l’engagement de l’organisation et renforce sa position lors des renouvellements de contrats.
Le retour sur investissement d’une stratégie cyber mature se mesure tant par la réduction des incidents que par la diminution de leur impact. Les organisations qui parviennent à démontrer cette performance bénéficient généralement de conditions d’assurance plus avantageuses, créant un cercle vertueux où l’investissement en sécurité se traduit par une optimisation du coût total de possession du risque.