En bref : Oui, une case mal cochée sur votre questionnaire cyberassurance peut suffire à l’assureur pour contester votre réclamation. Le signataire, généralement le dirigeant, est responsable de l’exactitude des réponses, même si c’est son fournisseur TI qui les a rédigées. Vérifier factuellement 10 à 15 affirmations avant de signer coûte moins cher qu’une réclamation refusée.
Dans cet article
Pourquoi le questionnaire cyberassurance n’est-il pas une simple formalité ?
Vous l’avez probablement déjà vécu. Un courtier envoie un formulaire de plusieurs pages, votre équipe TI ou votre fournisseur externe le remplit rapidement, vous signez à la fin sans tout relire. Le renouvellement annuel prend la même forme, presque par réflexe.
Ce questionnaire cyberassurance n’est pourtant pas une formalité administrative. C’est la déclaration sur laquelle l’assureur :
- fixe votre prime ;
- détermine votre plafond de couverture ;
- vérifie, le jour d’un sinistre, si le contrat tient encore.
Chaque case cochée « oui » devient une affirmation contractuelle sur l’état réel de vos systèmes, pas une opinion générale sur votre niveau de sécurité.
La différence avec un formulaire fiscal ou une demande de subvention se trouve là. Personne ne compare vos réponses à la réalité tant que rien ne va mal. Le jour où un rançongiciel paralyse votre facturation, c’est précisément ce moment que l’assureur choisit pour relire le questionnaire ligne par ligne.
Qu’est-ce qu’une fausse déclaration, au sens de votre police ?
Une fausse déclaration n’exige pas d’intention de tromper. Une réponse inexacte, écrite de bonne foi par quelqu’un qui croyait dire vrai, peut être traitée de la même façon par l’assureur qu’une réponse sciemment fausse. L’assureur évalue d’abord l’exactitude au moment de la signature, pas les intentions derrière.
Le Code civil du Québec (C.c.Q.) encadre cette question sous le principe de la déclaration du risque : l’assuré doit déclarer les faits de nature à influencer la décision de l’assureur, et une déclaration inexacte peut, selon les circonstances, réduire l’indemnité ou entraîner la nullité du contrat. Éducaloi publie des explications accessibles de ce principe pour les non-juristes. C’est une lecture à faire avant votre prochain renouvellement, pas après un refus de réclamation.
Des assureurs nord-américains ont déjà invoqué l’inexactitude d’un questionnaire pour contester une réclamation après un sinistre. Ces causes ne visent pas exclusivement des PME (petites et moyennes entreprises) québécoises, mais le principe qu’elles illustrent s’applique ici de la même façon : ce que vous cochez doit correspondre à ce qui existe réellement dans votre environnement, pas à ce que vous souhaiteriez qu’il existe.
Qui porte la responsabilité si une réponse du questionnaire cyberassurance est fausse : vous ou votre fournisseur TI ?
Vous. Dans la très grande majorité des cas, le signataire du questionnaire est le dirigeant ou un représentant autorisé de l’entreprise, pas le fournisseur TI qui a fourni les réponses techniques.
Votre fournisseur TI n’est pas partie au contrat d’assurance. Il n’a signé aucune déclaration envers votre assureur. S’il s’est trompé, ou s’il a présenté une situation plus favorable qu’elle ne l’était réellement, la conséquence contractuelle retombe sur vous, pas sur lui. Vous pouvez ensuite chercher un recours contre votre fournisseur pour ses propres manquements, mais cela ne répare pas une couverture refusée le jour où vous en avez besoin.
Cette asymétrie mérite d’être dite clairement, parce qu’elle explique un réflexe dangereux. Un fournisseur TI qui remplit votre questionnaire a un intérêt structurel à cocher « oui » partout : une réponse honnête qui révèle un écart, c’est aussi un aveu sur son propre travail des deux ou trois dernières années. Ce n’est pas de la malhonnêteté la plupart du temps. C’est un conflit d’intérêts ordinaire, du genre que personne ne remarque tant que rien ne va mal.
Comment vérifier ce que vous cochez sans être technicien ?
Vous n’avez pas à comprendre chaque contrôle en détail. Vous avez seulement besoin de savoir quelle preuve exiger avant de laisser une case sur « oui ». Voici les affirmations qui reviennent le plus souvent dans un questionnaire cyberassurance, et la preuve concrète qui les appuie.
| Ce que le questionnaire demande | Ce que ça sous-entend réellement | Preuve à exiger avant de signer |
|---|---|---|
| MFA (authentification multifacteur) déployée partout | Sur 100 % des comptes, y compris l’accès à distance et les comptes administrateurs | Liste des comptes avec leur statut MFA, pas seulement « c’est activé sur la messagerie » |
| Sauvegardes régulières et testées | Des copies restaurables, pas seulement des copies qui existent quelque part | Rapport d’un test de restauration récent, daté |
| EDR (détection et réponse aux points de terminaison) déployé | Sur l’ensemble des postes et serveurs, pas sur un échantillon | Inventaire des appareils couverts par la solution EDR |
| Correctifs de sécurité appliqués rapidement | Un délai précis respecté, pas « on met à jour de temps en temps » | Politique de gestion des correctifs et journal des dernières applications |
| Journalisation centralisée des accès | Des journaux conservés et consultables, pas seulement générés localement | Preuve d’un système de collecte des journaux en place |
| Gestion des accès privilégiés | Des comptes administrateurs limités, suivis et révisés | Liste des comptes à privilèges élevés et justification de chacun |
| Formation de sensibilisation du personnel | Une formation récente, donnée à l’ensemble du personnel | Registre de participation à la dernière session |
| Plan de réponse aux incidents | Un document existant, connu et testé au moins une fois | Copie du plan et compte rendu d’un exercice |
Huit affirmations, huit preuves distinctes. Dans un mandat de vérification typique, on couvre 10 à 15 affirmations de ce genre : celles du tableau ci-dessus, plus quelques-unes propres à votre secteur ou à votre police précise. Le Centre canadien pour la cybersécurité, l’organisme fédéral qui définit ces contrôles pour les organisations canadiennes, publie des repères utiles pour comprendre chacun d’eux sans jargon inutile.
Votre fournisseur TI vous dit que tout est beau : est-ce une preuve ?
Non. C’est une opinion, pas une preuve, et elle vient de la personne la moins bien placée pour être neutre sur la question.
La logique est la même que pour un audit financier. L’entreprise qui a construit vos systèmes n’est pas la mieux placée pour attester, de façon indépendante, que ces systèmes fonctionnent comme annoncé. Nous détaillons ce principe dans pourquoi votre fournisseur TI ne devrait pas s’auditer lui-même : ce n’est pas une question de compétence, c’est une question de position.
Un fournisseur compétent et honnête peut malgré tout se tromper sur ce qui est réellement couvert, réellement testé, réellement à jour, simplement parce qu’il a configuré le système il y a deux ans et n’est jamais revenu vérifier si tout tenait encore. Une vérification indépendante ne remet pas en question sa compétence. Elle regarde ce qui existe aujourd’hui, sans lien avec qui l’a construit hier.
Que faire si vous découvrez qu’une réponse de l’an dernier était fausse ?
Le pire moment pour le découvrir, c’est après un sinistre. Le deuxième pire moment, c’est de le découvrir et de ne rien faire.
Si vous constatez, en préparant un renouvellement, qu’une réponse précédente ne correspondait pas à la réalité, la démarche prudente consiste à en parler à votre courtier avant la prochaine signature. Mieux vaut cela que de corriger silencieusement le nouveau formulaire en espérant que personne ne remonte à l’ancien. Un écart corrigé de bonne foi, documenté et communiqué, se traite très différemment d’un écart découvert par l’assureur lui-même au moment d’un sinistre.
C’est le même principe qui s’applique dans d’autres démarches de conformité au Québec : une autodéclaration se maintient à jour, elle ne se rédige pas une fois pour toutes. Notre guide complet de l’audit informatique explique pourquoi une vérification n’est jamais un exercice ponctuel dans un contexte réglementaire ou contractuel qui évolue chaque année.
Combien coûte une vérification avant signature, comparé à une réclamation cyber refusée ?
Une vérification structurée du questionnaire cyberassurance porte sur 10 à 15 affirmations et se mesure en heures, réalisée par un tiers qui connaît les contrôles sans avoir configuré vos systèmes. Elle produit un portrait factuel : ce qui est vrai, ce qui est partiellement vrai, ce qui doit être corrigé avant de signer.
Une réclamation contestée après sinistre se mesure autrement. En mois de procédure, en frais juridiques, et dans le pire cas, en indemnisation refusée au moment précis où l’entreprise en a le plus besoin, en pleine crise opérationnelle. La comparaison n’est pas entre deux montants équivalents. C’est entre un coût prévisible et modeste, et un risque qui se matérialise justement quand vous êtes le moins en position de l’absorber.
Un nombre croissant de polices intègrent aussi des clauses de garantie technique, des affirmations précises sur vos contrôles qui, si elles sont fausses, permettent à l’assureur de réduire l’indemnisation sans même parler de nullité complète du contrat. La tendance du marché de la cyberassurance va dans ce sens depuis plusieurs années, ce qui rend la vérification préalable plus pertinente d’année en année, pas moins.
Si votre entreprise a récemment reçu une exigence d’audit de la part de son assureur, notre article mon assureur exige un audit de cybersécurité : quoi fournir ? détaille ce que ce type de demande implique concrètement et comment y répondre sans improviser.
Par où commencer ?
Trois gestes, dans l’ordre, avant votre prochaine signature.
- Rassemblez le questionnaire cyberassurance à venir, la police en vigueur et les réponses cochées l’an dernier. Comparez-les : un écart entre les deux est souvent le premier signal d’un problème à régler.
- Faites vérifier factuellement 10 à 15 affirmations techniques, MFA, sauvegardes, EDR, correctifs et les autres du même genre, par un tiers indépendant qui n’a pas construit vos systèmes et qui n’a rien à vous vendre en retour.
- Corrigez et documentez avant de signer, pas après un sinistre. Une case ajustée à temps ne coûte rien de plus que le questionnaire lui-même. Une case découverte fausse après coup peut coûter votre couverture au complet.
Avant de signer votre prochain questionnaire, faites vérifier vos réponses par un tiers qui n’a rien à vous vendre. Une demi-journée de vérification vaut mieux qu’une réclamation contestée. C’est exactement le mandat que couvre notre audit TI indépendant : des affirmations vérifiées une à une, un rapport factuel, aucune vente de solution technique à la clé. Le Bureau d’assurance du Canada publie de son côté des guides destinés aux PME sur les bonnes pratiques à adopter avant de remplir ce type de formulaire, un complément utile à lire en amont de votre prochain renouvellement.
Pour aller plus loin avec Factero :
- accompagnement cyberassurance avant de signer
- audit informatique de vos contrôles réels
- rapport de témoin expert pour réclamation contestée
Foire aux questions
Le fournisseur TI peut-il être tenu responsable d’une fausse déclaration au questionnaire ?
Pas envers l’assureur directement : le contrat d’assurance lie l’entreprise assurée et l’assureur, pas le fournisseur TI. L’entreprise peut, séparément, chercher un recours contractuel contre son fournisseur si celui-ci a commis une erreur, mais cela ne rétablit pas la couverture refusée.
Une erreur de bonne foi est-elle traitée différemment d’un mensonge délibéré ?
L’intention peut jouer un rôle dans certaines circonstances, mais l’assureur évalue d’abord l’exactitude factuelle de la déclaration au moment de la signature. Une erreur honnête peut donc entraîner les mêmes conséquences contractuelles qu’une déclaration délibérément fausse.
Faut-il refaire la vérification chaque année ?
Oui. Vos systèmes changent, votre questionnaire change, et une vérification faite il y a deux ans ne dit rien sur l’état actuel de vos contrôles. La plupart des polices se renouvellent annuellement, avec un nouveau questionnaire à chaque fois.
Qui, concrètement, doit signer le questionnaire cyberassurance dans une PME ?
Généralement le dirigeant ou un représentant autorisé à engager l’entreprise. C’est cette personne, pas le fournisseur TI, dont le nom apparaît au bas du document et dont la responsabilité est engagée si une réponse s’avère inexacte.
Une fausse déclaration peut-elle annuler ma couverture même après la survenue d’un sinistre ?
Oui. L’assureur peut invoquer une déclaration inexacte au moment même où vous en avez le plus besoin, après le sinistre, pas avant. Le principe de la déclaration du risque prévu au Code civil du Québec permet, selon les circonstances, une réduction de l’indemnité ou la nullité du contrat, rétroactive à la signature. C’est précisément pourquoi la vérification doit se faire avant de signer, jamais après.
