Fraude et malveillance en entreprise : quelles assurances peuvent couvrir les pertes financières ?

Un faux ordre de virement, un changement frauduleux de RIB ou un détournement commis par un salarié peut provoquer une perte financière en quelques minutes ou rester indétecté pendant plusieurs mois.

Plusieurs assurances peuvent être concernées : assurance fraude et malveillance, assurance cyber, multirisque professionnelle, protection juridique ou assurance-crédit. Aucune ne couvre cependant automatiquement tous les scénarios. Cette problématique s’inscrit plus largement dans la gestion des risques financiers de l’entreprise.

Pour identifier le contrat susceptible d’intervenir, il faut examiner quatre éléments : l’auteur de l’acte, le mode opératoire, la nature de la perte et les garanties effectivement souscrites.

Qu’est-ce que l’assurance fraude et malveillance en entreprise ?

L’assurance fraude et malveillance désigne un contrat ou un ensemble de garanties couvrant certaines pertes financières directement causées par des actes frauduleux définis dans la police. Son périmètre varie selon les assureurs et les options souscrites.

Certains contrats du marché couvrent les pertes directes liées à une fraude interne, ainsi que certaines fraudes externes reposant sur l’ingénierie sociale. Il ne faut toutefois pas déduire de l’intitulé commercial qu’un contrat couvre toutes les formes d’escroquerie.

La fraude interne est commise par une personne liée à l’entreprise : salarié détournant des paiements, responsable falsifiant des écritures ou collaborateur utilisant abusivement ses droits d’accès.

La fraude externe est commise par un tiers : faux fournisseur, escroc usurpant l’identité d’un dirigeant ou personne manipulant un collaborateur pour provoquer un transfert de fonds.

Le terme malveillance peut recouvrir un sabotage, une destruction volontaire de données, une atteinte intentionnelle aux biens ou d’autres actes expressément définis dans le contrat. Il ne constitue jamais, à lui seul, une garantie universelle.

Fraude interne, fraude externe ou cyberfraude : quels scénarios distinguer ?

Une fraude peut associer manipulation humaine, usurpation d’identité et compromission informatique. Cette combinaison explique pourquoi plusieurs contrats peuvent être concernés par un même événement, sans couvrir les mêmes postes de pertes.

Le détournement commis par un salarié

Un salarié peut détourner des virements, créer de faux remboursements, falsifier des factures ou soustraire des biens appartenant à l’entreprise.

La couverture dépend notamment :

• de la définition contractuelle du salarié ou du collaborateur ;
• de la nature des fonds ou des biens garantis ;
• de la preuve d’un acte intentionnel ;
• de la date de commission et de découverte de la fraude ;
• des éventuelles exclusions visant certains dirigeants ou mandataires.

Les dirigeants, intérimaires, prestataires ou salariés de filiales ne sont pas automatiquement inclus dans toutes les polices. Leur situation doit être contrôlée dans les définitions du contrat.

La fraude au président

La fraude au président est une forme de faux ordre de virement. L’escroc usurpe l’identité d’un dirigeant et invoque généralement une opération urgente, sensible ou confidentielle pour pousser un collaborateur à effectuer un paiement.

Le faux ordre de virement, ou FOVI, peut également reposer sur l’usurpation d’un fournisseur ou d’un salarié. Cybermalveillance.gouv.fr le définit comme une escroquerie destinée à amener la victime, par persuasion ou pression, à réaliser un virement non planifié.

Le changement frauduleux de RIB

Un fraudeur peut se faire passer pour un fournisseur et communiquer de nouvelles coordonnées bancaires. Dans certains cas, une messagerie a été compromise afin d’observer les échanges et d’intervenir au moment où une facture doit être réglée.

La perte liée au virement peut relever d’une garantie fraude externe ou ingénierie sociale. Les frais techniques liés au piratage peuvent, quant à eux, concerner une assurance cyber. La présence d’un incident informatique ne signifie pas que la somme transférée est automatiquement couverte par le contrat cyber.

Le sabotage et la destruction de données

La suppression volontaire de fichiers, le blocage d’un système ou la dégradation d’un équipement peut relever, selon les circonstances, d’une garantie cyber, dommages aux biens ou malveillance.

La qualification dépend notamment du support atteint, de l’auteur de l’acte, du mode opératoire et de la définition contractuelle du dommage.

Quelles pertes financières une assurance fraude peut-elle couvrir ?

Une assurance fraude peut couvrir certaines pertes directes de fonds, de valeurs ou de biens causées par un acte frauduleux garanti. Des frais complémentaires peuvent aussi être pris en charge lorsqu’ils sont expressément prévus.

Les postes à examiner comprennent notamment :

• les fonds et valeurs détournés ;
• certains biens appartenant à l’entreprise ou qui lui sont confiés ;
• les frais d’enquête comptable ou financière ;
• les frais d’expertise informatique ;
• les frais de reconstitution de données ou de documents ;
• certains frais juridiques ;
• les dépenses engagées pour limiter les conséquences du sinistre.

Ces frais ne doivent pas être considérés comme inclus par défaut. Ils peuvent être soumis à une sous-limite, c’est-à-dire à un plafond spécifique inférieur au plafond général du contrat.

Le montant indemnisable peut également être inférieur au préjudice total en raison de la franchise, des plafonds, des sous-limites et des catégories de pertes non garanties. Les pertes d’image, les pertes commerciales futures ou le manque à gagner ne sont couverts que si le contrat le prévoit expressément.

Quelle assurance mobiliser selon l’origine de la perte ?

Le contrat pertinent dépend de la chronologie du sinistre, du fait générateur, de la personne à l’origine de l’acte et de la nature exacte du préjudice.

Assurance fraude et malveillance

Elle vise certaines pertes directement causées par des actes frauduleux définis : détournement, vol, faux ou escroquerie.

Les fraudes externes, les faux fournisseurs et les faux ordres de virement peuvent être couverts, exclus ou soumis à un plafond spécifique. Le nom du contrat ne suffit donc pas à déterminer son périmètre.

Assurance cyber

L’assurance cyber traite principalement les conséquences d’un événement affectant les systèmes, les réseaux ou les données.

Selon les garanties souscrites, elle peut permettre de mobiliser des experts, d’accompagner la gestion de crise et de prendre en charge certains coûts techniques ou financiers liés à la reprise d’activité.

Elle ne doit cependant pas être présumée couvrir tout virement obtenu par manipulation humaine, même lorsque l’escroc a utilisé un courriel ou une messagerie.

Multirisque professionnelle

La multirisque professionnelle couvre principalement les dommages matériels et les événements énumérés dans le contrat : incendie, vol, vandalisme ou dommage aux biens.

Elle ne couvre pas nécessairement un détournement de fonds ou un transfert volontaire obtenu par manipulation. Une garantie spécifique peut être nécessaire. Il convient donc de vérifier précisément le périmètre de son assurance multirisque professionnelle avant de considérer qu’une perte liée à une fraude est couverte.

Protection juridique

La protection juridique fournit une information juridique, une assistance amiable et, dans les limites contractuelles, une prise en charge de certains frais de procédure, d’expertise ou d’avocat.

Elle peut aider l’entreprise à exercer un recours, mais elle n’a pas pour fonction principale de rembourser la somme détournée.

Assurance-crédit

L’assurance-crédit protège principalement l’entreprise contre certains risques d’impayés portant sur des créances commerciales garanties.

Elle peut également intégrer des services d’évaluation, de surveillance et de recouvrement. Elle ne remplace pas une assurance couvrant le détournement commis par un salarié ou un faux ordre de virement.

Responsabilité civile professionnelle et responsabilité des dirigeants

Ces contrats répondent principalement à des réclamations mettant en cause la responsabilité de l’entreprise, d’un professionnel ou d’un dirigeant.

Ils n’ont généralement pas pour objet d’indemniser directement la perte patrimoniale propre de l’entreprise en l’absence d’une réclamation couverte.

Quelles exclusions et conditions faut-il vérifier ?

Une assurance fraude se juge autant sur ses définitions, ses exclusions et ses sous-limites que sur le plafond général affiché.

Avant de souscrire ou d’auditer un contrat, il faut vérifier :

1. la définition de la fraude, de la malveillance et de l’ingénierie sociale ;
2. les personnes considérées comme salariés, dirigeants, mandataires ou tiers ;
3. l’inclusion éventuelle des intérimaires, prestataires et filiales ;
4. les pays, devises et comptes bancaires concernés ;
5. la nature des fonds, valeurs et biens garantis ;
6. la période pendant laquelle la fraude doit être commise ;
7. la période pendant laquelle elle doit être découverte et déclarée ;
8. les plafonds par sinistre et par année ;
9. les sous-limites applicables aux faux virements ;
10. la franchise restant à la charge de l’entreprise ;
11. les frais d’enquête, de récupération et d’expertise couverts ;
12. les procédures de validation déclarées ou exigées ;
13. les délais de déclaration ;
14. les clauses d’articulation avec les contrats cyber et dommages.

Une procédure de sécurité peut être une recommandation, un élément déclaré lors de la souscription ou une condition de garantie. Son absence ne produit donc pas automatiquement le même effet dans tous les contrats.

Lorsque le respect d’une procédure conditionne la garantie, les conséquences de son non-respect dépendent de la rédaction de la clause et des circonstances du sinistre.

Que faire immédiatement après la découverte d’une fraude ?

La rapidité de réaction peut favoriser la récupération des fonds et préserver les droits de l’entreprise auprès de ses assureurs.

1. Contacter immédiatement la banque. Lorsqu’un virement est déjà exécuté, demander une procédure de retour des fonds, appelée « recall ». La récupération reste incertaine, mais la Banque de France recommande d’agir sans délai.
2. Suspendre les paiements et sécuriser les accès. Vérifier les bénéficiaires enregistrés, les virements programmés et les comptes compromis.
3. Conserver les preuves. Archiver les courriels, factures, coordonnées bancaires, journaux de connexion et historiques de validation.
4. Alerter les personnes dont l’identité a été usurpée. Cette démarche peut empêcher d’autres paiements frauduleux.
5. Déposer plainte. La plainte documente officiellement les faits et peut être nécessaire aux démarches bancaires ou assurantielles.
6. Informer rapidement les assureurs susceptibles d’intervenir. Il ne faut pas attendre la fin de l’enquête pour respecter les délais de déclaration.
7. Vérifier si des données personnelles ont été compromises. Toute violation doit être documentée. Lorsqu’elle présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les meilleurs délais et, si possible, sous 72 heures. En cas de risque élevé, les personnes concernées doivent également être informées, sauf exception prévue par le RGPD.

Comment auditer sa couverture en six étapes ?

Une revue efficace part des situations réellement rencontrées par l’entreprise plutôt que du seul nom des contrats.

1. Cartographier les scénarios plausibles. Recenser les détournements internes, faux virements, changements de RIB et incidents informatiques.
2. Évaluer les montants exposés. Identifier les paiements maximaux, les délégations et les biens accessibles.
3. Réunir les contrats existants. Centraliser conditions générales, particulières, avenants, plafonds et franchises.
4. Tester chaque scénario. Demander quel contrat et quelle clause pourraient intervenir.
5. Identifier les doublons et les absences de couverture. Comparer notamment fraude, cyber, dommages, protection juridique et assurance-crédit.
6. Formaliser les décisions. Consigner les garanties à conserver, les extensions à étudier et les procédures internes à renforcer.

Lorsque plusieurs contrats peuvent intervenir sur un même scénario, le rôle d’un courtier en assurance est notamment de comparer les garanties, les exclusions, les plafonds et les franchises afin d’identifier les éventuels chevauchements ou défauts de couverture.

Pourquoi faire appel à un courtier en assurance ?

Le courtier accompagne son client dans l’analyse de ses besoins et dans les travaux préparatoires à la présentation ou à la conclusion d’un contrat. Le courtier agit sur mandat de son client et doit proposer une solution cohérente avec les exigences et les besoins identifiés.

Deux contrats présentant le même plafond peuvent différer sur les personnes assurées, la fraude au président, les mesures de sécurité exigées, la période de découverte ou les frais complémentaires.

Le rôle du courtier est d’expliquer ces différences. La décision d’indemnisation appartient ensuite à l’assureur, au regard du contrat souscrit et des circonstances du sinistre.

Fondé en 1988, Groupe GSA Assurances présente la fraude et la malveillance parmi les risques financiers auxquels les entreprises peuvent être exposées.

L’intervention précise de Groupe GSA doit être formulée par l’expert signataire en fonction des prestations réellement proposées. Le contenu ne doit pas promettre une garantie, une indemnisation ou un audit particulier qui n’aurait pas été préalablement confirmé.

À retenir

1. Une assurance cyber ou multirisque ne couvre pas automatiquement une perte provoquée par une fraude.
2. Le contrat susceptible d’intervenir dépend du mode opératoire, de l’auteur et de la nature du préjudice.
3. Les définitions, exclusions, franchises et sous-limites sont aussi importantes que le plafond général.
4. En cas de faux virement, la banque, les assureurs et les autorités doivent être contactés rapidement.
5. Une analyse croisée des contrats permet de repérer les chevauchements et les zones potentiellement non couvertes.

Faire analyser les risques de fraude de l’entreprise

La couverture appropriée dépend des scénarios auxquels l’entreprise est réellement exposée et des assurances qu’elle possède déjà.

Groupe GSA Assurances peut être sollicité pour étudier la situation et présenter les solutions correspondant aux besoins identifiés, sous réserve de la validation du périmètre exact de cet accompagnement par l’expert GSA signataire.

Aucun contrat ne doit être présenté comme universel. L’objectif est de rapprocher les risques réels de l’entreprise, ses procédures internes et les conditions proposées par les assureurs.

Sources

• Groupe GSA Assurances – Assurance des risques financiers pour les entreprises
  https://www.groupegsa.com/entreprises/risques-financiers/
• Cybermalveillance.gouv.fr – Fraude au virement bancaire ou faux ordre de virement (FOVI)
  https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/escroquerie-faux-ordres-virement-fovi
• Banque de France – Incidents et litiges relatifs aux virements SEPA
  https://www.banque-france.fr/fr/foire-aux-questions-les-incidents-et-litiges-relatifs-aux-virements-sepa