Argent, réputation, clients : combien coûte vraiment une crise ?

Une crise se définit comme une situation exceptionnelle et instable qui menace les objectifs stratégiques d’une entreprise, sa réputation, voire son existence. Il est difficile d’évaluer tous les aspects de ces situations exceptionnelles, et notamment l’aspect financier. Même le plus minime des incidents peut coûter très cher et, finalement, c’est la façon dont une crise est gérée qui permet d’en déterminer le coût. Pour ce faire, commençons par déterminer d’où proviennent les coûts.

distribution des chaînes d’approvisionnement, un accident de camion-citerne ou encore un événement climatique majeur : les crises coûtent beaucoup aux entreprises, que ce soit en temps, en argent, ou pire encore, en atteinte à la réputation. Les cyberincidents, plus particulièrement, sont une menace permanente pour les entreprises du monde entier. Selon le Baromètre des risques 2022 d’Allianz, les cyberattaques représentent la principale inquiétude des entreprises, suivies des interruptions d’activités et des catastrophes naturelles. Et c’est on ne peut plus vrai, si l’on constate les récents événements. En mai 2021, des cyberextorqueurs ont réclamé une rançon de 2,3 milliards de dollars à la compagnie pétrolière Colonial. Peu de temps avant, Acer a été victime d’une demande de rançon de 50 millions de dollars en échange de données piratées. Le laboratoire pharmaceutique Merck a, quant à lui, réclamé près de 1,4 milliard de dollars à sa compagnie d’assurance après avoir été victime d’une cyberattaque de la part du logiciel malveillant. Il ne s’agit pas de cas isolés, mais de quelques-uns parmi tant d’autres. Ces événements récurrents illustrent à quel point les cybercrimes peuvent menacer l’existence des entreprises. Le nombre croissant de cas et le montant toujours plus important des dommages ont également pour conséquence une augmentation du coût des cyberassurances. D’ailleurs, dans la plupart des cas, les polices d’assurance ne couvrent plus le paiement des rançons.

Même en excluant les cybercrimes, des données peuvent être perdues par accident, ce qui peut provoquer une crise plus importante. En mars 2021, quatre centres de données du plus grand fournisseur de cloud d’Europe, OVH Cloud, sont tombés en panne en raison d’un important incendie. À la suite de cet événement, beaucoup d’entreprises se sont rendu compte qu’elles ne possédaient aucune sauvegarde de leurs données.

Directs, indirects, peu de place pour la négociation : les facteurs de coût d’une crise
Quelle qu’elle soit, une crise engendre nécessairement des coûts en raison de trois mécanismes d’action simultanés.

• Tout d’abord, il y a les coûts « directs » qui permettent de faire face à la situation. Ils vont de la détection du problème à la simplification du retour à la normale des activités.
• Ensuite, il y a les coûts « indirects » : par exemple, une perte de chiffre d’affaires en raison de l’interruption des activités ou une diminution temporaire du volume de commandes en raison d’une atteinte à la réputation.
• Enfin, le troisième type de coûts concerne l’éventuel appel à une expertise externe ou l’achat de matériel pour gérer la crise. L’achat de matériel est généralement assuré dans des délais serrés, le montant de la facture est donc plus élevé. En raison du stress généré par la situation, les décisions sont souvent prises sur le vif et les investissements supplémentaires sont bien moins étudiés. Ainsi, des investissements supplémentaires supérieurs au prix du marché doivent être pris en compte. Prenons l’exemple des masques au début de la pandémie de Covid-19 : certains ont été achetés dix fois plus cher que le prix du marché.

De la découverte de l’incident à la reprise des activités : les facteurs de coût d’un cyberincident

L’étendue et la fréquence des cyberincidents sont relativement mieux documentées que les autres scénarios de crise (le plus souvent en raison des obligations de signalement légales). Quels sont donc les coûts engendrés par une cyberattaque ? Dans son Rapport sur le coût d’une violation de données en 2021, le Ponemon évalue le coût total moyen d’un incident à 4,62 millions de dollars. En cas de « méga-violation », c’est-à-dire une très importante violation de données touchant plus de 50 millions de dossiers de données, les coûts augmentent de 100 à 401 millions de dollars. Il y a quatre facteurs de coût principaux :

• Identification et escalade: En cas de cyberattaque, il s’agit des analyses forensiques et des investigations, des services d’évaluation et d’audit, de la gestion de crise et de la communication de crise interne.
  
  => Cela représente 33,1 % des coûts.

• Perte d’activité: En cas de cybercrime, il s’agit de pertes dues à une interruption des activités, d’une perte de chiffre d’affaires en raison d’une panne système, de coûts engendrés par la perte de clients et l’acquisition de nouveaux clients, ainsi que de pertes dues à une atteinte à la réputation ou à la dépréciation du goodwill.
  
  => C’est également un facteur important, puisqu’il représente 32,64 % des coûts.

• Communication de crise: Notifier les parties prenantes concernées via plusieurs canaux, échanger des informations avec les organes de surveillance voire faire appel à des experts externes engendre des coûts.
  
  => Cela représente 7,13 % des coûts.

• Retour à la normale: En cas de cyberincident, il s’agit de mettre en place un service d’assistance, de surveiller les comptes ou les identités touchés, de délivrer de nouveaux comptes ou de nouvelles cartes de crédit, des frais juridiques, des remises sur les produits ou des amendes réglementaires.
  
  => Cela représente 27,13 % des coûts.

Les solutions de gestion des crises et des incidents professionnelles répondent à tous les facteurs mentionnés dans la Partie 2: prévention, processus, formation, rapidité. Elles réunissent toutes les conditions pour maîtriser une crise, même lorsqu’elles surviennent, afin de limiter les dommages. Elles permettent en effet de raccourcir le cycle de vie de la crise, de limiter les dommages et l’intensité de la crise, de gérer les incidents de manière professionnelle et de renforcer la réputation et la fidélité client grâce à une méthode de communication rapide et efficace.

Mais investir en gestion de crise est-il une affaire rentable ? Il est évidemment complexe de calculer précisément le retour sur investissement, car les crises sont par définition dynamiques, complexes et dépendent de multiples facteurs. Il en va de même pour les coûts. Mais si nous prenons les données de l’étude menée par Ponemon, qui analyse les coûts des violations de données « normales », on obtient une idée de l’impact financier positif d’un processus de gestion des crises et des incidents.

Dans son Rapport sur les coûts d’une violation de données 2022, le Ponemon Institute a estimé qu’une seule violation de données (un cyberincident classique qui peut survenir à tout moment et n’est pas nécessairement une vraie crise) coûte à une grande entreprise environ 4,35 millions de dollars. Et la tendance est à la hausse. Les méga violations de données (c’est-à-dire les « vraies » crises liées à une violation de données avec plus de 50 millions de dossiers de données compromis) coûtent en moyenne 401 millions de dollars. C’est 100 fois plus qu’une petite violation de données avec moins de 100 000 dossiers concernés.