Quand la peur devient un signal : ce que le stress du dirigeant révèle de ses risques

Un dirigeant qui dort mal ne souffre pas d'un trouble du sommeil. Il porte souvent, seul, une exposition que personne d'autre dans l'entreprise ne mesure avec la même acuité. Ce n'est pas de la faiblesse, c'est un signal. Et dans la plupart des dossiers que nous instruisons depuis trente ans, ce signal précède un écart entre ce que l'entreprise peut encaisser et ce qui la menace vraiment.

Les peurs des dirigeants de PME et d'ETI ne sont pas abstraites. Elles portent sur des sujets précis : une cyberattaque qui bloque la facturation, un fournisseur unique qui disparaît, un litige client qui se retourne en mise en cause personnelle, une perte d'exploitation mal calibrée qui laisse six mois de charges à découvert. Ce ne sont pas des scénarios catastrophes, ce sont des dossiers que nous avons portés.

La question n'est pas de supprimer la peur. Elle est de comprendre ce qu'elle désigne, de vérifier si l'exposition est couverte, et de transformer l'angoisse diffuse en décision pilotable.

La peur comme symptôme d'une cartographie incomplète

Quand un dirigeant évoque ses craintes, il mentionne rarement l'incendie ou le dégât des eaux. Il parle de ce qui peut arrêter son activité sans prévenir : la dépendance à une personne clé partie du jour au lendemain, une attaque informatique qui chiffre les données un vendredi soir, un retard de livraison critique qui déclenche des pénalités contractuelles. Ces sujets ont un point commun : ce sont des risques combinés, où plusieurs défaillances s'enchaînent.

En 2017, le ransomware NotPetya a paralysé les systèmes informatiques du géant du transport maritime Maersk pendant dix jours. L'entreprise a dû réinstaller 4 000 serveurs et 45 000 postes de travail. Le coût total de l'attaque a été estimé entre 250 et 300 millions de dollars. Ce qui a frappé dans ce dossier, ce n'est pas seulement l'ampleur de la paralysie technique, c'est l'enchaînement : impossibilité de traiter les réservations, blocage des opérations portuaires, retards en cascade sur les livraisons clients, perte de parts de marché pendant la reconstruction. L'assurance couvrait une partie des frais techniques, mais pas l'ensemble des conséquences commerciales et opérationnelles.

Dans ce type de dossier, la peur initiale du dirigeant était fondée. Il pressentait une fragilité, mais il ne disposait d'aucun inventaire précis des scénarios d'arrêt, des délais de reprise, des coûts de crise ou des obligations contractuelles en cas de défaillance. Ce qui manquait, ce n'était pas une police de plus, c'était une cartographie.

Ce qui pèse réellement sur un dirigeant

Les sujets qui obsèdent les dirigeants ne sont pas ceux que leur courtier évoque systématiquement. Ils tournent autour de quelques thèmes récurrents : la responsabilité personnelle, la continuité de trésorerie, la défaillance d'un tiers critique, la conformité réglementaire et la perte de confiance d'un client structurant.

La cybersécurité, par exemple, n'est plus un risque technique délégué au responsable informatique. Depuis la loi d'orientation et de programmation du ministère de l'Intérieur, une cyberattaque doit être traitée comme un dossier juridique : dépôt de plainte sous 72 heures pour permettre l'indemnisation dans les cas visés, notification CNIL sous le même délai en cas de violation de données personnelles, gestion de crise communicationnelle. Un dirigeant qui découvre ces obligations au moment du sinistre se retrouve en faute de gestion avant même d'avoir parlé à son assureur.

Nous avons accompagné une PME du secteur de la logistique, 50 salariés, qui a subi un ransomware. Le dirigeant a appelé son prestataire informatique en premier. Il a perdu deux jours avant de nous contacter. Quand nous avons ouvert le dossier, le délai de plainte était dépassé, la notification CNIL tardive, et l'assureur réclamait des preuves de sécurité minimale, notamment sur l'authentification multifacteur et les sauvegardes hors ligne, qui n'existaient pas. Le sinistre a été indemnisé partiellement, après négociation. Mais le coût réel pour l'entreprise a dépassé de loin le montant récupéré.

L'événement rare contre l'événement combiné

Un incendie total reste statistiquement peu probable. Ce qui arrive, en revanche, c'est l'enchaînement : une cyberattaque bloque la production, les livraisons sont en retard, le client principal déclenche les pénalités, la banque s'inquiète d'un report d'échéance, et la trésorerie se tend en six semaines.

Dans ce type de scénario, aucune garantie prise isolément ne couvre l'ensemble. La perte d'exploitation indemnise l'arrêt d'activité à partir d'un certain délai de carence, souvent trois jours. La responsabilité civile professionnelle couvre les fautes dans la prestation, pas les pénalités contractuelles. L'assurance cyber prend en charge les frais techniques de reconstruction, parfois les pertes directes, rarement les conséquences commerciales secondaires. Et si le contrat comporte des exclusions pour défaut de prévention, comme l'absence de sauvegardes testées ou de gestion des accès, le dossier devient difficile à défendre.

Ce que nous constatons dans l'examen des polices existantes, c'est que la plupart des entreprises sont couvertes pour des événements isolés, mais pas pour leurs conséquences cumulées. Le dirigeant, lui, raisonne en mois de trésorerie et en impact client. Il a raison de le faire, parce que c'est ce qui détermine la survie de l'entreprise. Mais son contrat, souvent, ne suit pas cette logique.

Quand la peur conduit à l'évitement

La peur devient un risque collectif quand elle pousse à ne pas décider. Nous avons vu des dirigeants reporter l'examen de leur couverture parce qu'ils redoutaient de découvrir un trou. D'autres refusent d'arbitrer entre plusieurs garanties par crainte de se tromper. Certains préfèrent ne pas poser de questions précises à leur courtier actuel, de peur que cela déclenche une révision tarifaire ou un refus de renouvellement.

Ce silence autour des incidents est particulièrement coûteux. Une entreprise qui subit une tentative de phishing, une fuite de données limitée ou un début de litige client et qui n'en informe personne passe à côté d'une opportunité d'ajuster sa couverture avant le sinistre majeur. Nous avons instruit des dossiers où le dirigeant nous expliquait, après coup, qu'il avait déjà eu trois alertes similaires dans les mois précédents. À ce stade, ce n'est plus de la malchance, c'est un mode de fonctionnement non sécurisé.

Je préfère annoncer une mauvaise nouvelle tôt qu'une bonne trop tard. Et dans ce métier, la mauvaise nouvelle, c'est souvent : votre contrat ne couvre pas ce que vous croyez, votre franchise est plus élevée que votre trésorerie disponible, ou votre délai de carence dépasse votre capacité à tenir sans chiffre d'affaires.

L'assurance comme levier de résilience, pas comme solution unique

L'assurance achète du temps et de la capacité de rebond. Elle ne remplace pas un plan de continuité d'activité, une sauvegarde testée chaque trimestre, un inventaire des fournisseurs critiques ou une clause de sortie négociée avec un prestataire unique. Un contrat mal calibré ou souscrit trop tard ne compense ni l'absence de prévention, ni la dépendance à une seule personne clé.

Les assureurs durcissent leurs conditions de souscription, notamment en cyber. Ils demandent des preuves concrètes de sécurité : authentification multifacteur, sauvegardes hors ligne, EDR ou antivirus de nouvelle génération, sensibilisation régulière des salariés, inventaire des actifs numériques. Certains exigent des audits simplifiés. Ces critères ne sont pas arbitraires : ils correspondent aux failles exploitées dans 80 % des attaques réussies.

Pour un dirigeant, cela signifie qu'un contrat cyber ne se souscrit plus comme une assurance classique. Il faut d'abord mettre en conformité le système d'information, documenter les mesures prises, puis seulement présenter le dossier. Sans cette préparation, soit le tarif explose, soit le contrat est refusé, soit les exclusions rendent la garantie inutile au moment du sinistre.

Transformer l'angoisse en pilotage

Un dirigeant n'a pas besoin d'être sans peur. Il a besoin d'un cadre de décision qui transforme l'inquiétude en action. Ce cadre repose sur trois étapes : identifier les scénarios d'arrêt qui pèsent réellement sur l'activité, vérifier si la couverture actuelle les prend en charge, et ajuster les garanties en fonction des délais et des montants que l'entreprise peut ou non absorber.

Nous travaillons souvent avec des entreprises qui découvrent, à l'examen du contrat, que leur plafond de perte d'exploitation correspond à trois mois de charges alors que leur délai de reconstruction d'un outil de production est estimé à six mois. Ou que leur franchise en responsabilité civile professionnelle équivaut à deux trimestres de résultat net. Ces écarts ne sont pas le fruit du hasard, ils résultent d'une souscription où les montants ont été choisis en fonction d'un budget, pas en fonction d'une exposition mesurée.

La maîtrise des risques devient un outil de sérénité quand elle sert à nommer ce qui inquiète, à quantifier ce que cela engage, et à arbitrer entre ce qu'on transfère et ce qu'on conserve. Elle devient aussi un argument de crédibilité auprès des parties prenantes : clients qui auditent leurs fournisseurs, banques qui financent une croissance, ou acquéreurs qui examinent la solidité d'une cible.

Ce qu'un dirigeant peut vérifier maintenant

Si vous êtes dirigeant, il existe quelques points que vous pouvez contrôler sans attendre le prochain renouvellement. Votre contrat de perte d'exploitation couvre-t-il un arrêt d'origine numérique, ou seulement un sinistre matériel ? Votre plafond correspond-il à une estimation récente de vos charges fixes et de votre marge, ou à un montant fixé il y a cinq ans ? Votre délai de carence est-il compatible avec votre trésorerie disponible ? Vos garanties cyber intègrent-elles les frais de gestion de crise, la notification réglementaire, les pertes indirectes ?

Et surtout : avez-vous une liste écrite des scénarios qui vous empêchent de dormir, avec les délais, les montants et les responsables identifiés pour chacun ? Parce que cette liste, c'est le début d'une cartographie. Et une cartographie, c'est ce qui permet de passer de la peur à la décision.