Chapitre 77 : Assurance et responsabilité professionnelle : qui paie pour le dommage ?

Le scénario suivant est un exemple pédagogique basé sur des modèles de fraude courants. Les personnages et les événements sont destinés uniquement à des fins d'illustration.

Il était deux heures du matin lorsque le téléphone de Rami, PDG d'une entreprise d'infrastructure, a vibré sur sa table de nuit. En général, Rami ignorait les appels à cette heure, mais le numéro affiché était celui de sa directrice financière. Lorsqu'il a décroché, il n'a pas entendu sa voix calme et autoritaire, mais des respirations courtes et étouffées.

"Rami", a-t-elle murmuré, "l'argent n'est pas arrivé chez le fournisseur italien. Et la banque dit... la banque dit que le compte sur lequel nous avons transféré les 800 000 euros hier ne leur appartient pas du tout. Il appartient à une entité à Singapour qui a été fermée ce matin".

À cet instant, Rami a senti le sol se dérober sous ses pieds. Mais au milieu de la panique, une pensée rassurante a surgi : "Nous avons une assurance". Il avait toujours veillé à ce que l'entreprise soit assurée. Responsabilité professionnelle, responsabilité des dirigeants, assurance responsabilité civile – il payait des primes importantes chaque année précisément pour ce genre de moment. Il ne savait pas alors, au cours de cette nuit fatidique, que la vraie bataille ne faisait que commencer et que la police d'assurance sur laquelle il s'appuyait pourrait se révéler être un roseau fragile.

Dans les chapitres précédents, nous avons traité des techniques des escrocs et des moyens de prévention. Mais que se passe-t-il lorsque la prévention échoue ? Quand l'argent a déjà quitté le compte et disparu dans les méandres du réseau mondial ? C'est ici qu'intervient la question juridique et économique la plus douloureuse : qui supporte le dommage ? Est-ce la banque qui n'a pas arrêté le transfert suspect ? Est-ce la compagnie d'assurance signataire de la police de responsabilité professionnelle ? Ou peut-être le comptable et le service comptabilité qui ont échoué à détecter l'escroquerie ?

L'histoire de l'entreprise d'infrastructure : quand l'assurance dit "non"

L'entreprise était en plein milieu d'un projet de construction d'un pont complexe. Son principal fournisseur, une société italienne, avait envoyé un e-mail contenant une mise à jour sur un changement de coordonnées bancaires en raison d'un "audit comptable interne". La directrice financière avait vu le logo familier, le style d'écriture poli du responsable des ventes, et avait autorisé le transfert de la somme sur le nouveau compte.

Trois jours plus tard, lorsque le fournisseur a envoyé une relance pour non-paiement, l'ampleur du désastre est apparue. Des pirates avaient piraté la boîte e-mail du fournisseur (ou celle de l'entreprise d'infrastructure – cela devra être vérifié lors de l'enquête), avaient surveillé les échanges pendant une période, et au moment décisif, avaient "inséré" la fausse facture avec leurs coordonnées bancaires.

Lors d'une réunion avec l'agent d'assurance, il a été indiqué au PDG qu'une police de responsabilité professionnelle et une assurance cyber de base existaient, et qu'il y avait donc une couverture. Cependant, peu de temps après, la lettre de la compagnie d'assurance est arrivée. La réponse était un refus de la demande d'indemnisation.

"Selon les conditions de la police", était-il écrit dans la lettre de refus, "l'assurance ne couvre pas les dommages causés à la suite d'une 'ingénierie sociale' (Social Engineering) ou d'un transfert volontaire de fonds par l'assuré, à moins qu'une extension spécifique ait été souscrite. De plus, il est prétendu que l'assuré a échoué à effectuer une vérification téléphonique comme l'exigent les conditions de protection, ce qui pourrait être considéré comme une négligence".

À cet instant, il est devenu clair que la bataille ne se jouait pas seulement contre les escrocs, mais aussi dans le cadre du système juridique et assurantiel. Un "triangle des Bermudes" juridique s'est formé : la compagnie d'assurance invoque la négligence de l'entreprise ; la banque affirme avoir suivi les instructions du client ; et le fournisseur réclame son argent et menace d'arrêter le projet.

C'est ici que le droit et la réalité se rencontrent. Dans ce chapitre, nous analyserons la responsabilité possible de chacun des acteurs sur le terrain, et comprendrons pourquoi le mot "assurance" est parfois seulement le début d'un parcours juridique complexe.

Le trou noir des polices d'assurance : responsabilité professionnelle contre assurance cyber

L'un des échecs majeurs que nous rencontrons au cours des années de travail professionnel en représentant des entreprises victimes d'une escroquerie est le manque de compréhension des différences entre les types de couverture d'assurance. De nombreux chefs d'entreprise pensent que l'"assurance responsabilité professionnelle" est une sorte de certificat d'assurance pour toute erreur humaine. La réalité juridique est plus complexe.

Une police de responsabilité professionnelle est conçue pour couvrir les dommages causés à un tiers en raison d'une erreur professionnelle de l'assuré. Mais lorsqu'il s'agit d'une fraude numérique où l'entreprise elle-même a perdu son argent, les compagnies d'assurance peuvent soutenir qu'il s'agit d'un dommage financier pur pour l'entreprise elle-même, et non d'une responsabilité envers un tiers couverte par la "responsabilité professionnelle".

C'est ici qu'intervient l'"assurance cyber". Ces dernières années, cette assurance est devenue un produit courant. Mais le piège réside ici : de nombreuses polices cyber standard couvrent les dommages aux systèmes informatiques, les frais de restauration de données, et peut-être les pertes d'exploitation dues à une interruption. Elles n'incluent pas nécessairement et automatiquement les transferts de fonds effectués à la suite d'une fraude.

Le terme professionnel qu'il est important de connaître est Social Engineering Fraud (fraude par ingénierie sociale). Les compagnies d'assurance peuvent considérer un tel transfert comme un "transfert volontaire". De leur point de vue, c'est l'employé qui a effectué les actions techniques pour autoriser le transfert. Sans une extension spécifique pour les fraudes par ingénierie sociale, la possibilité d'obtenir une indemnisation de la compagnie d'assurance peut être extrêmement complexe.

De plus, les compagnies d'assurance imposent des conditions de seuil. Elles peuvent exiger de l'entreprise qu'elle démontre qu'elle a appliqué des contrôles internes – par exemple, une confirmation téléphonique de tout changement de coordonnées bancaires auprès d'un responsable autorisé chez le fournisseur. Si cette action n'a pas été effectuée, la compagnie d'assurance peut invoquer une aggravation du risque ou une négligence de la part de l'assuré, ce qui affecte le droit à l'indemnisation selon la loi sur le contrat d'assurance, 1981.

Responsabilité de la banque : le gardien s'est-il endormi ?

Lorsqu'une difficulté survient avec la compagnie d'assurance, l'attention se tourne parfois vers la banque. La question se pose de savoir comment la banque a autorisé un transfert d'un montant significatif vers une destination inhabituelle sans effectuer de vérification supplémentaire.

La question juridique est celle du "devoir de vigilance" de la banque envers son client. D'un côté, la banque est tenue d'exécuter les instructions du client. Un retard dans un transfert financier pourrait causer des dommages commerciaux. D'un autre côté, la banque dispose de systèmes de surveillance censés détecter une activité inhabituelle.

L'analyse juridique sur ce sujet est en pleine évolution. Autrefois, l'approche dominante était que la responsabilité incombait au client qui avait donné l'instruction. Mais aujourd'hui, on peut observer une tendance à examiner le devoir de vigilance accru des banques. Dans certaines circonstances, lorsque le transfert est manifestement anormal – par exemple, une destination dans un pays à risque, un montant qui ne correspond pas à l'historique du compte, ou des détails de bénéficiaire ne correspondant pas au nom du titulaire du compte – il est possible que la responsabilité de la banque soit examinée si elle n'a pas effectué une vérification suffisante.

Cependant, il est important de comprendre la limite : dans les systèmes de transfert internationaux, les banques fonctionnent généralement selon des numéros de compte et ne vérifient pas toujours la correspondance complète avec le nom du bénéficiaire. Une analyse des options juridiques révèle que la banque n'a pas toujours une obligation globale de vérifier chaque correspondance de ce type, et la responsabilité de la saisie des détails corrects incombe généralement au client.

Les cas où l'on peut envisager d'engager la responsabilité des banques sont ceux où il y avait des "signaux d'alerte" clairs qui ont été ignorés, ou des cas où la banque n'a pas respecté ses promesses de vérification accrue.

Responsabilité du comptable et du service comptabilité

Le troisième facteur dans la discussion est le personnel professionnel qui gère les finances. Dans un scénario de fraude, une question peut se poser concernant la responsabilité du cabinet d'expertise comptable ou des comptables.

Un comptable lors d'un audit annuel est-il censé détecter une telle fraude ? En général, la réponse est non, car son rôle est d'examiner les états financiers. Cependant, lorsqu'il s'agit de la comptabilité courante, la responsabilité peut augmenter. Si le professionnel a été exposé à un e-mail suspect et n'a pas soulevé de doute, ou si des procédures de travail de base de "double validation" n'ont pas été établies, une plainte pour négligence professionnelle pourrait être soulevée.

Dans un tel cas, la police de responsabilité professionnelle du professionnel est examinée. Si la négligence est prouvée, il est possible qu'il soit possible d'envisager une indemnisation de la part de sa compagnie d'assurance, bien que les compagnies d'assurance puissent invoquer des exclusions en raison de la nature de l'acte ou d'une négligence contributive du propriétaire de l'entreprise.

L'aspect juridique : lois et règles de répartition de la responsabilité

Dans l'analyse juridique de tels cas, plusieurs sources sont examinées :

1. Loi sur le contrat d'assurance, 1981 : Le respect par la compagnie d'assurance de son obligation d'information est examiné. L'assuré a-t-il été informé de ce que comprend l'assurance cyber ? Les exclusions ont-elles été mises en évidence comme l'exige l'article 3 de la loi ? Les restrictions qui n'ont pas été mises en évidence peuvent parfois être annulées lors d'un examen juridique.
2. Ordonnance sur les préjudices [nouvelle version] : Examen du délit de négligence. Le devoir de vigilance a-t-il été violé par la banque ou la compagnie d'assurance ? Était-il possible de prévoir et d'éviter le dommage ?
3. Loi sur les services de paiement, 2019 : Cette loi réglemente la responsabilité dans les cas d'utilisation abusive de moyens de paiement. Ses principes imprègnent également le monde des virements bancaires, notamment en ce qui concerne la définition de la négligence de la part du client.
4. Doctrine de la "faute contributive" : Les banques et les compagnies d'assurance ont tendance à prétendre que la faute principale incombe à l'entreprise qui a agi selon un e-mail falsifié. Dans une analyse des options juridiques, il est possible que le tribunal répartisse la responsabilité entre les parties en fonction des circonstances de l'affaire.

Signes d'alerte avant des difficultés de couverture

• Offre d'assurance cyber à un coût extrêmement bas : Elle pourrait ne pas inclure de couverture pour les fraudes financières (Funds Transfer Fraud).
• Absence d'annexe "ingénierie sociale" : Sans une telle couverture explicite, l'entreprise pourrait ne pas être protégée en cas d'usurpation d'identité.
• Absence d'exigences de sécurité de la part de la banque : Si aucun mécanisme de confirmation accru n'a été défini, cela pourrait constituer une faille.
• Dépendance excessive vis-à-vis de l'assurance : Penser que l'assurance couvrira tout sans prendre de mesures de précaution est un risque significatif.

Actions recommandées lors de l'identification d'un incident (aspect assurance et responsabilité)

1. Notification immédiate à l'assureur : Une notification en temps opportun est cruciale pour l'examen de la réclamation. Il faut documenter chaque communication.
2. Documentation des procédures de travail : La collecte de preuves du respect des procédures établies peut aider à faire face aux accusations de négligence.
3. Appel urgent à la banque : Exigence par écrit et via un appel enregistré d'arrêter les fonds (Recall). La rapidité de réaction de la banque peut influencer sa responsabilité.
4. Examen par un expert cyber : Un expert indépendant peut aider à déterminer la source de la faille, ce qui constitue un élément important dans la détermination de la responsabilité.
5. Examen de la responsabilité du fournisseur : Si la source de la fraude se trouve dans la boîte mail du fournisseur, on peut examiner sa responsabilité pour le dommage.

Aspect juridique : résumé du scénario pédagogique

Dans un scénario possible, après examen des preuves et conduite d'une procédure juridique, les parties pourraient parvenir à un compromis. La banque pourrait supporter une certaine partie du dommage s'il est prouvé que ses systèmes avaient identifié des signes suspects qui n'ont pas été traités correctement. La compagnie d'assurance pourrait accepter de payer une indemnisation partielle s'il s'avère que les exclusions dans la police n'étaient pas assez claires pour l'assuré.

Le message qui ressort des cas variés au fil des années est que les tribunaux pourraient élargir la responsabilité des organismes financiers, mais la chance dépend des circonstances et du degré de prudence dont a fait preuve le propriétaire de l'entreprise. Le droit est destiné à protéger ceux qui agissent avec une prudence raisonnable et qui ont été victimes d'une sophistication exceptionnelle.

Dans le chapitre suivant, nous aborderons la construction d'un "plan de défense pour l'entreprise" – incluant des aspects juridiques et assurantiels – dans le but de minimiser le risque d'arriver à un débat juridique en premier lieu. Comme le montrent de nombreux cas, une prévention professionnelle est l'outil le plus efficace.