En bref : « Mon assureur exige un audit de cybersécurité » recouvre quatre réalités différentes : un scan automatisé, un questionnaire signé, une attestation ou un véritable audit indépendant. En 2026, la plupart des assureurs canadiens conditionnent le renouvellement d’une police de cyberassurance à une preuve de sécurité minimale : authentification multifacteur, sauvegardes testées hors ligne, plan de réponse aux incidents.
Le courriel arrive quelques semaines avant l’échéance de votre police. Le courtier écrit que le renouvellement est conditionnel à une « évaluation de sécurité » ou à un « audit de cybersécurité », sans préciser davantage. Vous transférez le message à votre équipe TI ou à votre fournisseur, et personne ne sait exactement quoi produire.
Ce flou n’est pas un accident. Les assureurs définissent rarement le terme dans leurs courriels de renouvellement, ils le précisent plutôt dans le questionnaire de souscription ou dans les conditions de la police elle-même. Le résultat : des dirigeants qui commandent le mauvais document, ou qui paient deux fois pour deux évaluations qui ne se parlent pas.
Dans cet article
Mon assureur exige un audit de cybersécurité : que veut-il dire exactement ?
Le terme recouvre au moins quatre réalités différentes dans le milieu de l’assurance cyber. Les distinguer avant d’appeler qui que ce soit vous évite un mauvais achat.
| Document | Ce qu’il mesure | Qui peut le produire | Ce qu’il prouve à l’assureur |
|---|---|---|---|
| Balayage automatisé (« scan ») | Les vulnérabilités techniques connues sur vos systèmes exposés | Un outil, souvent lancé par votre fournisseur TI lui-même | Qu’un balayage a eu lieu à un instant donné, rien sur vos processus |
| Questionnaire d’auto-évaluation | Vos propres réponses à une liste de contrôles (MFA active, sauvegardes testées, etc.) | Vous, ou un dirigeant qui signe en votre nom | Une déclaration sur l’honneur, non vérifiée par un tiers |
| Attestation | La présence d’un contrôle précis, sans en vérifier la mise en œuvre complète | Votre fournisseur TI ou un tiers | Qu’un élément ponctuel existe, sans portrait d’ensemble |
| Audit indépendant | L’ensemble de vos contrôles, vérifiés par une partie neutre, preuves à l’appui | Un vérificateur externe sans lien opérationnel avec vos systèmes | Une évaluation qui tient si la police est contestée après un incident |
Le document à produire dépend des mots exacts utilisés dans votre police et dans le courriel de votre courtier. Relisez la clause de renouvellement avant de commander quoi que ce soit : « évaluation », « audit », « questionnaire » et « attestation » n’engagent pas la même obligation, ni le même coût, ni le même délai.
Nous détaillons ce que couvre un audit de cybersécurité complet dans L’audit de cybersécurité pour PME : ce qu’il couvre vraiment. Si le mot « audit » reste flou pour vous au-delà du seul contexte d’assurance, notre guide L’audit informatique : le guide complet du dirigeant québécois part de zéro.
Un scan de vulnérabilités suffit-il ?
Rarement, si le mot employé par l’assureur est « audit » ou « évaluation de sécurité ». Le balayage automatisé cherche des failles techniques connues sur vos systèmes exposés à Internet. Il ne dit rien de vos processus de sauvegarde, de votre plan de réponse aux incidents ou de la formation de vos employés, trois éléments que les souscripteurs cyber examinent de près.
Les questionnaires de souscription les plus courants demandent typiquement la présence de ces contrôles :
- Authentification multifacteur (MFA) sur les accès à distance et les comptes administrateurs.
- Sauvegardes testées et conservées hors ligne.
- Détection et réponse aux postes de travail (EDR, pour Endpoint Detection and Response).
- Plan de réponse aux incidents documenté.
Un scan technique ne confirme aucun de ces quatre éléments à lui seul.
Le Centre canadien pour la cybersécurité publie des orientations sur les contrôles de base qu’une PME devrait maintenir, un bon point de départ pour comparer vos pratiques avant même de parler à un vérificateur.
Un scan garde sa place, comme preuve d’hygiène technique de base ou comme complément à un document plus large. Comme réponse complète à une exigence d’audit, il expose votre entreprise à voir sa demande refusée ou son dossier renvoyé pour compléments, ce qui vous fait perdre le temps que vous n’aviez déjà pas.
Qui doit signer le document, mon fournisseur TI peut-il le faire ?
Non, pas pour la partie qui doit être indépendante. Un audit réalisé par le fournisseur qui gère vos systèmes n’est pas une vérification indépendante : c’est l’opérateur qui évalue son propre travail. Un assureur qui a vu défiler suffisamment de réclamations sait reconnaître ce conflit d’intérêts, et certains le précisent explicitement dans leurs exigences de souscription.
Votre fournisseur TI garde un rôle légitime. Il peut attester qu’un contrôle précis est en place, fournir des preuves techniques, répondre aux questions du vérificateur. Ce qu’il ne peut pas faire, c’est se vérifier lui-même et présenter le résultat comme une opinion neutre. Un audit indépendant vient d’une partie qui n’a rien à gagner ni à perdre selon ce que le rapport conclut.
C’est le même principe qu’un état financier vérifié. L’entreprise qui tient ses propres livres ne peut pas signer le rapport de vérification externe que sa banque exige. La logique de l’assureur est identique, et elle n’est pas négociable.
Combien de temps avant le renouvellement de ma cyberassurance dois-je m’y prendre ?
Plus tôt que le courriel du courtier ne le laisse croire. Un audit indépendant qui couvre vos contrôles techniques, vos processus et votre gouvernance prend des semaines, pas des jours : collecte des preuves, entrevues avec votre équipe, tests, rédaction du rapport. Le jour où vous lisez « mon assureur exige un audit de cybersécurité » dans un courriel, le compte à rebours a déjà commencé, souvent avec moins de marge qu’il n’y paraît.
La date à retenir n’est pas la date de renouvellement, c’est la date à laquelle votre courtier doit transmettre le dossier complet à l’assureur, généralement plusieurs semaines avant l’échéance. Trois gestes, dans l’ordre :
- Demandez à votre courtier la date exacte à laquelle le dossier complet doit lui parvenir, pas seulement la date de renouvellement de la police.
- Relisez la clause qui déclenche l’exigence pour connaître le mot précis employé : scan, questionnaire, attestation ou audit.
- Faites l’inventaire de ce que vous avez déjà, un audit récent produit pour une banque ou un client, une certification, un questionnaire déjà rempli, avant de commander un nouveau document.
Les écarts découverts pendant l’audit, une sauvegarde jamais testée ou un plan de réponse aux incidents qui n’existe que dans la tête d’une personne, prennent eux aussi du temps à corriger. Un audit commandé tard vous laisse devant un choix entre deux mauvaises options : déposer un dossier avec des trous, ou rater l’échéance. Le renouvellement d’assurance n’est d’ailleurs qu’un des déclencheurs qui devraient mettre un audit à votre agenda, nous en détaillons d’autres dans À quelle fréquence faire un audit informatique ? Les déclencheurs qui ne pardonnent pas.
Que se passe-t-il si je ne fournis rien ?
Les conséquences varient selon l’assureur, mais aucune n’est bonne :
- Refus pur et simple du renouvellement.
- Augmentation de la prime, sans les preuves qui auraient pu la contenir.
- Retrait de certaines garanties de la police, souvent celles qui touchent les incidents les plus coûteux, comme la rançon ou l’interruption d’affaires.
Les assureurs canadiens ont resserré leurs normes de souscription en cyberassurance ces dernières années et en exigent désormais un respect rigoureux, une évolution que le Bureau d’assurance du Canada documente dans ses communications sur l’état du marché. Fournir moins qu’avant à votre courtier n’est plus une option qui passe inaperçue.
Il y a aussi la conséquence qui arrive plus tard, au pire moment. Si un incident survient et que l’assureur découvre que les déclarations faites à la souscription ne correspondaient pas à la réalité, il peut contester ou refuser la réclamation. Le formulaire signé de bonne foi un an plus tôt devient alors une pièce à charge plutôt qu’une formalité.
Ce rapport peut-il servir à autre chose qu’au renouvellement ?
Oui, et c’est souvent le meilleur argument pour choisir un audit indépendant plutôt que le document minimal. Un rapport d’audit rigoureux répond en même temps à quatre demandes : celle de votre assureur, celle d’une banque ou d’un investisseur qui exige une preuve de diligence, celle d’un client qui pose la même question dans son propre processus d’approvisionnement, et vos obligations de sécurité sous la Loi 25 envers les renseignements personnels que vous détenez.
La Commission d’accès à l’information du Québec rappelle que la Loi 25 impose des mesures de sécurité propres à assurer la protection des renseignements personnels, proportionnelles à leur sensibilité. Un audit qui documente vos contrôles sert de preuve de diligence si la Commission vous pose un jour la question, pas seulement à votre assureur.
Un audit indépendant, dont le rapport est écrit pour être remis à un assureur, à une banque ou à un client, est le seul audit dont le résultat n’est pas à vendre. Si votre renouvellement approche, vous pouvez planifier un appel exploratoire pour situer ce qu’il vous faut avant la date limite fixée par votre courtier.
Pour aller plus loin avec Factero :
Foire aux questions
Un test d’intrusion (pentest) équivaut-il à l’audit que demande mon assureur ?
Non. Un pentest est un test technique ponctuel qui simule une attaque contre vos systèmes exposés, généralement renouvelé une fois par an. Il ne couvre ni vos processus de sauvegarde, ni votre plan de réponse aux incidents, ni la formation de vos employés, des éléments que l’audit complet examine. Certains assureurs l’acceptent en complément du dossier, rarement comme seul document.
Combien coûte un audit de cybersécurité pour mon assurance ?
Il n’y a pas de tarif fixe : le coût dépend de la taille de votre entreprise, du nombre de systèmes à couvrir et de la profondeur des contrôles vérifiés. Un balayage automatisé coûte nettement moins qu’un audit indépendant complet, mais il ne répond pas à la même exigence. Mieux vaut demander une soumission basée sur votre parc informatique réel qu’un prix affiché en ligne, souvent calculé pour un contexte différent du vôtre.
Une erreur involontaire dans le questionnaire d’assurance peut-elle faire refuser une réclamation ?
Oui, c’est le risque le plus fréquent, plus que l’incident lui-même. Les assureurs comparent ce que vous avez déclaré à la souscription avec l’état réel de vos contrôles au moment du sinistre. Un écart, même non intentionnel, peut justifier un refus ou une contestation de la réclamation, d’où l’intérêt de documenter vos contrôles avec précision plutôt que de cocher rapidement un formulaire.
Un questionnaire d’auto-évaluation rempli par mon entreprise suffit-il, sans vérificateur externe ?
Rarement, si le mot « audit » apparaît dans votre police ou dans le courriel du courtier. Le questionnaire reste une déclaration sur l’honneur : personne d’autre que vous ne vérifie ce qui y est écrit. Un assureur qui veut réduire son risque de réclamation contestée préfère un document où une partie neutre confirme que les contrôles déclarés existent réellement.
