{"id":884,"date":"2026-09-25T07:00:00","date_gmt":"2026-09-25T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=884"},"modified":"2026-09-04T13:00:44","modified_gmt":"2026-09-04T18:00:44","slug":"assureur-exige-audit-cybersecurite","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/assureur-exige-audit-cybersecurite\/","title":{"rendered":"Mon assureur exige un audit de cybers\u00e9curit\u00e9 : quoi fournir ?"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>\u00ab Mon assureur exige un audit de cybers\u00e9curit\u00e9 \u00bb recouvre quatre r\u00e9alit\u00e9s diff\u00e9rentes : un scan automatis\u00e9, un questionnaire sign\u00e9, une attestation ou un v\u00e9ritable audit ind\u00e9pendant.<\/strong> En 2026, la plupart des assureurs canadiens conditionnent le renouvellement d&rsquo;une police de cyberassurance \u00e0 une preuve de s\u00e9curit\u00e9 minimale : authentification multifacteur, sauvegardes test\u00e9es hors ligne, plan de r\u00e9ponse aux incidents.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/gouvernance_ti.png\" alt=\"mon assureur exige un audit de cybers\u00e9curit\u00e9 : les quatre documents possibles\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Le courriel arrive quelques semaines avant l&rsquo;\u00e9ch\u00e9ance de votre police. Le courtier \u00e9crit que le renouvellement est conditionnel \u00e0 une \u00ab \u00e9valuation de s\u00e9curit\u00e9 \u00bb ou \u00e0 un \u00ab audit de cybers\u00e9curit\u00e9 \u00bb, sans pr\u00e9ciser davantage. Vous transf\u00e9rez le message \u00e0 votre \u00e9quipe TI ou \u00e0 votre fournisseur, et personne ne sait exactement quoi produire.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce flou n&rsquo;est pas un accident. Les assureurs d\u00e9finissent rarement le terme dans leurs courriels de renouvellement, ils le pr\u00e9cisent plut\u00f4t dans le questionnaire de souscription ou dans les conditions de la police elle-m\u00eame. Le r\u00e9sultat : des dirigeants qui commandent le mauvais document, ou qui paient deux fois pour deux \u00e9valuations qui ne se parlent pas.<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#mon-assureur-exige-un-audit-de-cybersecurite-que-veut-il-dire-exactement\">Mon assureur exige un audit de cybers\u00e9curit\u00e9 : que veut-il dire exactement ?<\/a><\/li><li class=\"\"><a href=\"#un-scan-de-vulnerabilites-suffit-il\">Un scan de vuln\u00e9rabilit\u00e9s suffit-il ?<\/a><\/li><li class=\"\"><a href=\"#qui-doit-signer-le-document-mon-fournisseur-ti-peut-il-le-faire\">Qui doit signer le document, mon fournisseur TI peut-il le faire ?<\/a><\/li><li class=\"\"><a href=\"#combien-de-temps-avant-le-renouvellement-de-ma-cyberassurance-dois-je-m-y-prendre\">Combien de temps avant le renouvellement de ma cyberassurance dois-je m&rsquo;y prendre ?<\/a><\/li><li class=\"\"><a href=\"#que-se-passe-t-il-si-je-ne-fournis-rien\">Que se passe-t-il si je ne fournis rien ?<\/a><\/li><li class=\"\"><a href=\"#ce-rapport-peut-il-servir-a-autre-chose-qu-au-renouvellement\">Ce rapport peut-il servir \u00e0 autre chose qu&rsquo;au renouvellement ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"mon-assureur-exige-un-audit-de-cybersecurite-que-veut-il-dire-exactement\" class=\"wp-block-heading\">Mon assureur exige un audit de cybers\u00e9curit\u00e9 : que veut-il dire exactement ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Le terme recouvre au moins quatre r\u00e9alit\u00e9s diff\u00e9rentes dans le milieu de l&rsquo;assurance cyber. Les distinguer avant d&rsquo;appeler qui que ce soit vous \u00e9vite un mauvais achat.<\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Document<\/th><th>Ce qu&rsquo;il mesure<\/th><th>Qui peut le produire<\/th><th>Ce qu&rsquo;il prouve \u00e0 l&rsquo;assureur<\/th><\/tr><\/thead><tbody><tr><td>Balayage automatis\u00e9 (\u00ab scan \u00bb)<\/td><td>Les vuln\u00e9rabilit\u00e9s techniques connues sur vos syst\u00e8mes expos\u00e9s<\/td><td>Un outil, souvent lanc\u00e9 par votre fournisseur TI lui-m\u00eame<\/td><td>Qu&rsquo;un balayage a eu lieu \u00e0 un instant donn\u00e9, rien sur vos processus<\/td><\/tr><tr><td>Questionnaire d&rsquo;auto-\u00e9valuation<\/td><td>Vos propres r\u00e9ponses \u00e0 une liste de contr\u00f4les (MFA active, sauvegardes test\u00e9es, etc.)<\/td><td>Vous, ou un dirigeant qui signe en votre nom<\/td><td>Une d\u00e9claration sur l&rsquo;honneur, non v\u00e9rifi\u00e9e par un tiers<\/td><\/tr><tr><td>Attestation<\/td><td>La pr\u00e9sence d&rsquo;un contr\u00f4le pr\u00e9cis, sans en v\u00e9rifier la mise en \u0153uvre compl\u00e8te<\/td><td>Votre fournisseur TI ou un tiers<\/td><td>Qu&rsquo;un \u00e9l\u00e9ment ponctuel existe, sans portrait d&rsquo;ensemble<\/td><\/tr><tr><td>Audit ind\u00e9pendant<\/td><td>L&rsquo;ensemble de vos contr\u00f4les, v\u00e9rifi\u00e9s par une partie neutre, preuves \u00e0 l&rsquo;appui<\/td><td>Un v\u00e9rificateur externe sans lien op\u00e9rationnel avec vos syst\u00e8mes<\/td><td>Une \u00e9valuation qui tient si la police est contest\u00e9e apr\u00e8s un incident<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<p class=\"wp-block-paragraph\">Le document \u00e0 produire d\u00e9pend des mots exacts utilis\u00e9s dans votre police et dans le courriel de votre courtier. Relisez la clause de renouvellement avant de commander quoi que ce soit : \u00ab \u00e9valuation \u00bb, \u00ab audit \u00bb, \u00ab questionnaire \u00bb et \u00ab attestation \u00bb n&rsquo;engagent pas la m\u00eame obligation, ni le m\u00eame co\u00fbt, ni le m\u00eame d\u00e9lai.<\/p>\n\n<p class=\"wp-block-paragraph\">Nous d\u00e9taillons ce que couvre un audit de cybers\u00e9curit\u00e9 complet dans <a href=\"https:\/\/factero.ca\/blog\/audit-cybersecurite-pme\/\">L&rsquo;audit de cybers\u00e9curit\u00e9 pour PME : ce qu&rsquo;il couvre vraiment<\/a>. Si le mot \u00ab audit \u00bb reste flou pour vous au-del\u00e0 du seul contexte d&rsquo;assurance, notre guide <a href=\"https:\/\/factero.ca\/blog\/audit-ti-independant-guide\/\">L&rsquo;audit informatique : le guide complet du dirigeant qu\u00e9b\u00e9cois<\/a> part de z\u00e9ro.<\/p>\n\n<h2 id=\"un-scan-de-vulnerabilites-suffit-il\" class=\"wp-block-heading\">Un scan de vuln\u00e9rabilit\u00e9s suffit-il ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Rarement, si le mot employ\u00e9 par l&rsquo;assureur est \u00ab audit \u00bb ou \u00ab \u00e9valuation de s\u00e9curit\u00e9 \u00bb. Le balayage automatis\u00e9 cherche des failles techniques connues sur vos syst\u00e8mes expos\u00e9s \u00e0 Internet. Il ne dit rien de vos processus de sauvegarde, de votre plan de r\u00e9ponse aux incidents ou de la formation de vos employ\u00e9s, trois \u00e9l\u00e9ments que les souscripteurs cyber examinent de pr\u00e8s.<\/p>\n\n<p class=\"wp-block-paragraph\">Les questionnaires de souscription les plus courants demandent typiquement la pr\u00e9sence de ces contr\u00f4les :<\/p>\n\n<ul class=\"wp-block-list\"><li>Authentification multifacteur (MFA) sur les acc\u00e8s \u00e0 distance et les comptes administrateurs.<\/li><li>Sauvegardes test\u00e9es et conserv\u00e9es hors ligne.<\/li><li>D\u00e9tection et r\u00e9ponse aux postes de travail (EDR, pour Endpoint Detection and Response).<\/li><li>Plan de r\u00e9ponse aux incidents document\u00e9.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Un scan technique ne confirme aucun de ces quatre \u00e9l\u00e9ments \u00e0 lui seul.<\/p>\n\n<p class=\"wp-block-paragraph\">Le <a href=\"https:\/\/www.cyber.gc.ca\/fr\/\" target=\"_blank\" rel=\"noopener nofollow\">Centre canadien pour la cybers\u00e9curit\u00e9<\/a> publie des orientations sur les contr\u00f4les de base qu&rsquo;une PME devrait maintenir, un bon point de d\u00e9part pour comparer vos pratiques avant m\u00eame de parler \u00e0 un v\u00e9rificateur.<\/p>\n\n<p class=\"wp-block-paragraph\">Un scan garde sa place, comme preuve d&rsquo;hygi\u00e8ne technique de base ou comme compl\u00e9ment \u00e0 un document plus large. Comme r\u00e9ponse compl\u00e8te \u00e0 une exigence d&rsquo;audit, il expose votre entreprise \u00e0 voir sa demande refus\u00e9e ou son dossier renvoy\u00e9 pour compl\u00e9ments, ce qui vous fait perdre le temps que vous n&rsquo;aviez d\u00e9j\u00e0 pas.<\/p>\n\n<h2 id=\"qui-doit-signer-le-document-mon-fournisseur-ti-peut-il-le-faire\" class=\"wp-block-heading\">Qui doit signer le document, mon fournisseur TI peut-il le faire ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Non, pas pour la partie qui doit \u00eatre ind\u00e9pendante.<\/strong> Un audit r\u00e9alis\u00e9 par le fournisseur qui g\u00e8re vos syst\u00e8mes n&rsquo;est pas une v\u00e9rification ind\u00e9pendante : c&rsquo;est l&rsquo;op\u00e9rateur qui \u00e9value son propre travail. Un assureur qui a vu d\u00e9filer suffisamment de r\u00e9clamations sait reconna\u00eetre ce conflit d&rsquo;int\u00e9r\u00eats, et certains le pr\u00e9cisent explicitement dans leurs exigences de souscription.<\/p>\n\n<p class=\"wp-block-paragraph\">Votre fournisseur TI garde un r\u00f4le l\u00e9gitime. Il peut attester qu&rsquo;un contr\u00f4le pr\u00e9cis est en place, fournir des preuves techniques, r\u00e9pondre aux questions du v\u00e9rificateur. Ce qu&rsquo;il ne peut pas faire, c&rsquo;est se v\u00e9rifier lui-m\u00eame et pr\u00e9senter le r\u00e9sultat comme une opinion neutre. Un audit ind\u00e9pendant vient d&rsquo;une partie qui n&rsquo;a rien \u00e0 gagner ni \u00e0 perdre selon ce que le rapport conclut.<\/p>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est le m\u00eame principe qu&rsquo;un \u00e9tat financier v\u00e9rifi\u00e9. L&rsquo;entreprise qui tient ses propres livres ne peut pas signer le rapport de v\u00e9rification externe que sa banque exige. La logique de l&rsquo;assureur est identique, et elle n&rsquo;est pas n\u00e9gociable.<\/p>\n\n<h2 id=\"combien-de-temps-avant-le-renouvellement-de-ma-cyberassurance-dois-je-m-y-prendre\" class=\"wp-block-heading\">Combien de temps avant le renouvellement de ma cyberassurance dois-je m&rsquo;y prendre ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Plus t\u00f4t que le courriel du courtier ne le laisse croire.<\/strong> Un audit ind\u00e9pendant qui couvre vos contr\u00f4les techniques, vos processus et votre gouvernance prend des semaines, pas des jours : collecte des preuves, entrevues avec votre \u00e9quipe, tests, r\u00e9daction du rapport. Le jour o\u00f9 vous lisez \u00ab mon assureur exige un audit de cybers\u00e9curit\u00e9 \u00bb dans un courriel, le compte \u00e0 rebours a d\u00e9j\u00e0 commenc\u00e9, souvent avec moins de marge qu&rsquo;il n&rsquo;y para\u00eet.<\/p>\n\n<p class=\"wp-block-paragraph\">La date \u00e0 retenir n&rsquo;est pas la date de renouvellement, c&rsquo;est la date \u00e0 laquelle votre courtier doit transmettre le dossier complet \u00e0 l&rsquo;assureur, g\u00e9n\u00e9ralement plusieurs semaines avant l&rsquo;\u00e9ch\u00e9ance. Trois gestes, dans l&rsquo;ordre :<\/p>\n\n<ol class=\"wp-block-list\"><li>Demandez \u00e0 votre courtier la date exacte \u00e0 laquelle le dossier complet doit lui parvenir, pas seulement la date de renouvellement de la police.<\/li><li>Relisez la clause qui d\u00e9clenche l&rsquo;exigence pour conna\u00eetre le mot pr\u00e9cis employ\u00e9 : scan, questionnaire, attestation ou audit.<\/li><li>Faites l&rsquo;inventaire de ce que vous avez d\u00e9j\u00e0, un audit r\u00e9cent produit pour une banque ou un client, une certification, un questionnaire d\u00e9j\u00e0 rempli, avant de commander un nouveau document.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Les \u00e9carts d\u00e9couverts pendant l&rsquo;audit, une sauvegarde jamais test\u00e9e ou un plan de r\u00e9ponse aux incidents qui n&rsquo;existe que dans la t\u00eate d&rsquo;une personne, prennent eux aussi du temps \u00e0 corriger. Un audit command\u00e9 tard vous laisse devant un choix entre deux mauvaises options : d\u00e9poser un dossier avec des trous, ou rater l&rsquo;\u00e9ch\u00e9ance. Le renouvellement d&rsquo;assurance n&rsquo;est d&rsquo;ailleurs qu&rsquo;un des d\u00e9clencheurs qui devraient mettre un audit \u00e0 votre agenda, nous en d\u00e9taillons d&rsquo;autres dans <a href=\"https:\/\/factero.ca\/blog\/quand-faire-audit-informatique-frequence\/\">\u00c0 quelle fr\u00e9quence faire un audit informatique ? Les d\u00e9clencheurs qui ne pardonnent pas<\/a>.<\/p>\n\n<h2 id=\"que-se-passe-t-il-si-je-ne-fournis-rien\" class=\"wp-block-heading\">Que se passe-t-il si je ne fournis rien ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Les cons\u00e9quences varient selon l&rsquo;assureur, mais aucune n&rsquo;est bonne :<\/p>\n\n<ul class=\"wp-block-list\"><li>Refus pur et simple du renouvellement.<\/li><li>Augmentation de la prime, sans les preuves qui auraient pu la contenir.<\/li><li>Retrait de certaines garanties de la police, souvent celles qui touchent les incidents les plus co\u00fbteux, comme la ran\u00e7on ou l&rsquo;interruption d&rsquo;affaires.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Les assureurs canadiens ont resserr\u00e9 leurs normes de souscription en cyberassurance ces derni\u00e8res ann\u00e9es et en exigent d\u00e9sormais un respect rigoureux, une \u00e9volution que le Bureau d&rsquo;assurance du Canada documente dans ses communications sur l&rsquo;\u00e9tat du march\u00e9. Fournir moins qu&rsquo;avant \u00e0 votre courtier n&rsquo;est plus une option qui passe inaper\u00e7ue.<\/p>\n\n<p class=\"wp-block-paragraph\">Il y a aussi la cons\u00e9quence qui arrive plus tard, au pire moment. Si un incident survient et que l&rsquo;assureur d\u00e9couvre que les d\u00e9clarations faites \u00e0 la souscription ne correspondaient pas \u00e0 la r\u00e9alit\u00e9, il peut contester ou refuser la r\u00e9clamation. Le formulaire sign\u00e9 de bonne foi un an plus t\u00f4t devient alors une pi\u00e8ce \u00e0 charge plut\u00f4t qu&rsquo;une formalit\u00e9.<\/p>\n\n<h2 id=\"ce-rapport-peut-il-servir-a-autre-chose-qu-au-renouvellement\" class=\"wp-block-heading\">Ce rapport peut-il servir \u00e0 autre chose qu&rsquo;au renouvellement ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Oui, et c&rsquo;est souvent le meilleur argument pour choisir un audit ind\u00e9pendant plut\u00f4t que le document minimal. Un rapport d&rsquo;audit rigoureux r\u00e9pond en m\u00eame temps \u00e0 quatre demandes : celle de votre assureur, celle d&rsquo;une banque ou d&rsquo;un investisseur qui exige une preuve de diligence, celle d&rsquo;un client qui pose la m\u00eame question dans son propre processus d&rsquo;approvisionnement, et vos obligations de s\u00e9curit\u00e9 sous la Loi 25 envers les renseignements personnels que vous d\u00e9tenez.<\/p>\n\n<p class=\"wp-block-paragraph\">La Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information du Qu\u00e9bec rappelle que la Loi 25 impose des mesures de s\u00e9curit\u00e9 propres \u00e0 assurer la protection des renseignements personnels, proportionnelles \u00e0 leur sensibilit\u00e9. Un audit qui documente vos contr\u00f4les sert de preuve de diligence si la Commission vous pose un jour la question, pas seulement \u00e0 votre assureur.<\/p>\n\n<p class=\"wp-block-paragraph\">Un audit ind\u00e9pendant, dont le rapport est \u00e9crit pour \u00eatre remis \u00e0 un assureur, \u00e0 une banque ou \u00e0 un client, est le seul audit dont le r\u00e9sultat n&rsquo;est pas \u00e0 vendre. Si votre renouvellement approche, vous pouvez <a href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\">planifier un appel exploratoire<\/a> pour situer ce qu&rsquo;il vous faut avant la date limite fix\u00e9e par votre courtier.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-cyberassurance\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-cyberassurance\/\">accompagnement au renouvellement de votre cyberassurance<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\">audit TI ind\u00e9pendant remis \u00e0 l&rsquo;assureur<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Un test d&rsquo;intrusion (pentest) \u00e9quivaut-il \u00e0 l&rsquo;audit que demande mon assureur ?<\/summary><p class=\"wp-block-paragraph\">Non. Un pentest est un test technique ponctuel qui simule une attaque contre vos syst\u00e8mes expos\u00e9s, g\u00e9n\u00e9ralement renouvel\u00e9 une fois par an. Il ne couvre ni vos processus de sauvegarde, ni votre plan de r\u00e9ponse aux incidents, ni la formation de vos employ\u00e9s, des \u00e9l\u00e9ments que l&rsquo;audit complet examine. Certains assureurs l&rsquo;acceptent en compl\u00e9ment du dossier, rarement comme seul document.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Combien co\u00fbte un audit de cybers\u00e9curit\u00e9 pour mon assurance ?<\/summary><p class=\"wp-block-paragraph\">Il n&rsquo;y a pas de tarif fixe : le co\u00fbt d\u00e9pend de la taille de votre entreprise, du nombre de syst\u00e8mes \u00e0 couvrir et de la profondeur des contr\u00f4les v\u00e9rifi\u00e9s. Un balayage automatis\u00e9 co\u00fbte nettement moins qu&rsquo;un audit ind\u00e9pendant complet, mais il ne r\u00e9pond pas \u00e0 la m\u00eame exigence. Mieux vaut demander une soumission bas\u00e9e sur votre parc informatique r\u00e9el qu&rsquo;un prix affich\u00e9 en ligne, souvent calcul\u00e9 pour un contexte diff\u00e9rent du v\u00f4tre.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Une erreur involontaire dans le questionnaire d&rsquo;assurance peut-elle faire refuser une r\u00e9clamation ?<\/summary><p class=\"wp-block-paragraph\">Oui, c&rsquo;est le risque le plus fr\u00e9quent, plus que l&rsquo;incident lui-m\u00eame. Les assureurs comparent ce que vous avez d\u00e9clar\u00e9 \u00e0 la souscription avec l&rsquo;\u00e9tat r\u00e9el de vos contr\u00f4les au moment du sinistre. Un \u00e9cart, m\u00eame non intentionnel, peut justifier un refus ou une contestation de la r\u00e9clamation, d&rsquo;o\u00f9 l&rsquo;int\u00e9r\u00eat de documenter vos contr\u00f4les avec pr\u00e9cision plut\u00f4t que de cocher rapidement un formulaire.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Un questionnaire d&rsquo;auto-\u00e9valuation rempli par mon entreprise suffit-il, sans v\u00e9rificateur externe ?<\/summary><p class=\"wp-block-paragraph\">Rarement, si le mot \u00ab audit \u00bb appara\u00eet dans votre police ou dans le courriel du courtier. Le questionnaire reste une d\u00e9claration sur l&rsquo;honneur : personne d&rsquo;autre que vous ne v\u00e9rifie ce qui y est \u00e9crit. Un assureur qui veut r\u00e9duire son risque de r\u00e9clamation contest\u00e9e pr\u00e9f\u00e8re un document o\u00f9 une partie neutre confirme que les contr\u00f4les d\u00e9clar\u00e9s existent r\u00e9ellement.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/www.cai.gouv.qc.ca\/protection-renseignements-personnels\/sujets-et-domaines-dinteret\/principaux-changements-loi-25\" target=\"_blank\" rel=\"noopener nofollow\">Commission d&rsquo;acc\u00e8s \u00e0 l&rsquo;information du Qu\u00e9bec, obligations de s\u00e9curit\u00e9 sous la Loi 25<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/\" target=\"_blank\" rel=\"noopener nofollow\">Centre canadien pour la cybers\u00e9curit\u00e9<\/a><\/li><li><a href=\"https:\/\/www.ibc.ca\/\" target=\"_blank\" rel=\"noopener nofollow\">Bureau d&rsquo;assurance du Canada (BAC)<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Un test d\\u0027intrusion (pentest) \u00e9quivaut-il \u00e0 l\\u0027audit que demande mon assureur ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. Un pentest est un test technique ponctuel qui simule une attaque contre vos syst\u00e8mes expos\u00e9s, g\u00e9n\u00e9ralement renouvel\u00e9 une fois par an. Il ne couvre ni vos processus de sauvegarde, ni votre plan de r\u00e9ponse aux incidents, ni la formation de vos employ\u00e9s, des \u00e9l\u00e9ments que l\\u0027audit complet examine. Certains assureurs l\\u0027acceptent en compl\u00e9ment du dossier, rarement comme seul document.\"}},{\"@type\":\"Question\",\"name\":\"Combien co\u00fbte un audit de cybers\u00e9curit\u00e9 pour mon assurance ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Il n\\u0027y a pas de tarif fixe : le co\u00fbt d\u00e9pend de la taille de votre entreprise, du nombre de syst\u00e8mes \u00e0 couvrir et de la profondeur des contr\u00f4les v\u00e9rifi\u00e9s. Un balayage automatis\u00e9 co\u00fbte nettement moins qu\\u0027un audit ind\u00e9pendant complet, mais il ne r\u00e9pond pas \u00e0 la m\u00eame exigence. Mieux vaut demander une soumission bas\u00e9e sur votre parc informatique r\u00e9el qu\\u0027un prix affich\u00e9 en ligne, souvent calcul\u00e9 pour un contexte diff\u00e9rent du v\u00f4tre.\"}},{\"@type\":\"Question\",\"name\":\"Une erreur involontaire dans le questionnaire d\\u0027assurance peut-elle faire refuser une r\u00e9clamation ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Oui, c\\u0027est le risque le plus fr\u00e9quent, plus que l\\u0027incident lui-m\u00eame. Les assureurs comparent ce que vous avez d\u00e9clar\u00e9 \u00e0 la souscription avec l\\u0027\u00e9tat r\u00e9el de vos contr\u00f4les au moment du sinistre. Un \u00e9cart, m\u00eame non intentionnel, peut justifier un refus ou une contestation de la r\u00e9clamation, d\\u0027o\u00f9 l\\u0027int\u00e9r\u00eat de documenter vos contr\u00f4les avec pr\u00e9cision plut\u00f4t que de cocher rapidement un formulaire.\"}},{\"@type\":\"Question\",\"name\":\"Un questionnaire d\\u0027auto-\u00e9valuation rempli par mon entreprise suffit-il, sans v\u00e9rificateur externe ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Rarement, si le mot \u00ab audit \u00bb appara\u00eet dans votre police ou dans le courriel du courtier. Le questionnaire reste une d\u00e9claration sur l\\u0027honneur : personne d\\u0027autre que vous ne v\u00e9rifie ce qui y est \u00e9crit. Un assureur qui veut r\u00e9duire son risque de r\u00e9clamation contest\u00e9e pr\u00e9f\u00e8re un document o\u00f9 une partie neutre confirme que les contr\u00f4les d\u00e9clar\u00e9s existent r\u00e9ellement.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>\u00ab Mon assureur exige un audit de cybers\u00e9curit\u00e9 \u00bb : scan, questionnaire, attestation ou audit ind\u00e9pendant, ce qu&rsquo;il faut fournir avant le renouvellement.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[26],"tags":[1156,1158,1162,1164,108,1152,1154,1160],"class_list":["post-884","post","type-post","status-publish","format-standard","hentry","category-gouvernance_ti","tag-attestation-cybersecurite-assurance","tag-audit-cybersecurite-pour-assurance","tag-cyber-insurance-security-requirements","tag-exigences-assureur-cybersecurite-pme-quebec","tag-gouvernance-ti","tag-mon-assureur-exige-un-audit-de-cybersecurite","tag-renouvellement-cyberassurance-exigences","tag-scan-de-vulnerabilites-ou-audit"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/884","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=884"}],"version-history":[{"count":3,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/884\/revisions"}],"predecessor-version":[{"id":1377,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/884\/revisions\/1377"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=884"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=884"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=884"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}