Le montant ne se déduit pas du chiffre d'affaires perdu : il se lit dans des réglages fixés bien avant l'attaque.
Sur votre marge brute perdue, et non sur votre chiffre d'affaires perdu. La marge brute est ce qui reste du chiffre d'affaires une fois retirées les charges qui suivent l'activité : marchandises, matières, sous-traitance. Ce calcul est ensuite encadré par deux durées, écrites dans votre police, le document contractuel que l'assureur vous a remis à la souscription. La franchise temporelle laisse les premières heures d'arrêt à votre charge. La période d'indemnisation borne la durée totale suivie, et elle démarre au sinistre, pas au jour où vous redémarrez.
Ces valeurs ont été choisies à la souscription, et l'assureur a tarifé en fonction d'elles.
| Le réglage | Ce qu'il décide | Ce que cela change |
|---|---|---|
| La franchise temporelle, que beaucoup de contrats appellent délai de carence | Les heures d'arrêt qui restent à votre charge | Sur un incident réglé en deux jours, elle peut absorber presque toute la perte |
| La période d'indemnisation | Jusqu'où l'assureur suit la perte, à compter du sinistre | Elle doit couvrir l'arrêt et la remontée en charge, pas la seule réparation technique |
| La base de calcul | Le montant auquel le calcul s'applique : la marge brute, non le chiffre d'affaires | Un chiffre d'affaires perdu de 100 000 euros ne donne pas 100 000 euros d'indemnité |
La franchise temporelle se compte en heures, pas en euros. Le code des assurances autorise expressément une déduction fixée d'avance sur l'indemnité (article L. 121-1). France Assureurs range ces franchises selon leur unité : durée, valeur ou pourcentage. En cyber, la durée domine. Quelques heures paraissent anodines sur un arrêt de six semaines ; sur un incident circonscrit en un week-end, elles décident s'il reste quelque chose à indemniser.
La période d'indemnisation, elle, court à compter du sinistre et non de la reprise : le temps passé à remonter la pente est pris sur elle. Vos serveurs peuvent repartir en trois semaines et vos clients mettre quatre mois à revenir. L'ensemble doit tenir dans la durée choisie.
Quand l'activité s'arrête, une partie de vos dépenses s'arrête avec elle : vous n'achetez plus la marchandise que vous ne vendez pas. Ce sont les charges variables, celles qui suivent le volume produit, et l'assureur ne vous les doit pas.
Vos charges fixes, elles, continuent de courir : loyers, emprunts, assurances. Les salaires se rangent selon le contrat, et souvent parmi les charges variables : c'est une ligne à vérifier nommément dans votre police, parce que la masse salariale d'un mois d'arrêt ne se rattrape pas. La marge brute est le chiffre d'affaires moins les charges variables. Prenons 100 000 euros de chiffre d'affaires non réalisé, dans une entreprise dont les charges variables pèsent 60 % : la perte de marge brute atteint 40 000 euros. C'est ce montant que la garantie vise.
Quelques contrats visent plutôt la perte de chiffre d'affaires. La formule paraît plus généreuse : lisez ce que la définition retranche ensuite, car une assurance de dommages vous replace là où vous seriez sans le sinistre, jamais au-delà.
Le calcul se corrige ensuite dans les deux sens. Les frais supplémentaires d'exploitation, ce que vous dépensez en plus pour limiter la casse, se remboursent lorsqu'ils ont été engagés en accord avec l'assureur. Les charges fixes que l'arrêt vous a fait économiser viennent, elles, en déduction.
Le chiffre que vous avez déclaré commande tout le reste
La marge brute assurée est une somme que vous déclarez, d'après votre dernier exercice connu. Si elle se révèle inférieure à la réalité au jour du sinistre, l'assureur réduit l'indemnité dans la même proportion. Vous avez déclaré 400 000 euros de marge et vous en réalisez 500 000 : vous êtes couvert pour quatre cinquièmes, et sur une perte de 100 000 euros vous en encaissez 80 000. Le code des assurances organise cette réduction à son article L. 121-5. Une entreprise qui a beaucoup grandi depuis sa dernière déclaration s'y expose, sur un contrat pourtant payé. Une clause d'ajustabilité corrige ce décalage dans beaucoup de polices : elle permet de régulariser la cotisation en fin d'exercice, sur la marge réellement constatée.
La perte d'exploitation classique, celle de votre multirisque, a une condition d'entrée que la cyberattaque ne remplit pas. France Assureurs l'énonce sans détour : elle ne joue que si l'interruption d'activité est due à un dommage matériel couvert par le contrat. Incendie, dégât des eaux, bris de machine, tempête. Un rançongiciel qui rend vos fichiers illisibles n'abîme aucun bien.
Cette garantie a été bâtie sur un sinistre visible et mesurable sur place. La perte d'exploitation après cyberattaque se souscrit donc ailleurs, dans un contrat cyber ou par une extension expressément prévue. Le contenu de ce contrat est décrit sur la page assurance cyber, et la page dommages aux biens et pertes d'exploitation traite l'autre versant.
Pour instruire, l'assureur reconstitue le résultat que vous auriez fait sans l'attaque, en comparant l'exercice prévu et l'exercice réalisé. Un expert qu'il mandate examine vos comptes, et vous pouvez en désigner un de votre côté, à vos frais sauf si votre police prévoit une garantie honoraires d'expert. Les deux experts travaillent alors ensemble, chacun présent aux constats de l'autre : c'est ce que les contrats appellent une expertise contradictoire. Les gestes des premières heures pèsent sur ce même dossier, puisque la plainte conditionne l'indemnisation, et ils sont réunis sur la page les 72 heures qui suivent une cyberattaque.
Votre marge brute change chaque année, la durée inscrite dans votre police ne change pas toute seule. Le cabinet reprend ces deux valeurs à chaque renouvellement et les corrige quand votre activité change d'échelle.
Audit gratuit
Nous chiffrons la marge brute que vous perdriez, puis nous lisons dans votre police les heures laissées à votre charge et la durée qu'elle accepte de suivre. La différence est ce que votre entreprise porterait seule.
Demander un audit en 30 minQuestions liées
Tout dépend d'un mot de votre contrat, et l'écart entre les deux réponses possibles est considérable. Une franchise dite absolue se retranche toujours : sur trois jours d'arrêt, deux sont indemnisés. Une franchise dite relative, ou simple, joue en seuil : une fois les vingt-quatre heures dépassées, la garantie couvre l'intégralité de la perte, les trois jours compris. Le code des assurances autorise explicitement la première forme, puisqu'il permet de fixer d'avance une déduction sur l'indemnité. La seconde est une variante que le contrat organise. Le terme employé figure dans vos conditions particulières. S'il reste ambigu, demandez à votre assureur de confirmer la lecture par écrit, avant tout sinistre.
Le plus souvent à l'interruption effective de l'activité. Certaines rédactions retiennent pourtant la découverte de l'atteinte, ou l'instant où le système a cessé de fonctionner. La nuance est loin d'être théorique : une intrusion peut être installée depuis des semaines avant de bloquer quoi que ce soit. Notez donc par écrit l'heure d'arrêt des systèmes et l'heure d'arrêt de la production. Ce ne sont pas toujours les mêmes, et votre contrat n'en retient qu'une. Notez aussi ce qui a continué de tourner, car un arrêt partiel se chiffre autrement qu'un arrêt total.
Oui, tant que vous restez dans la période d'indemnisation, et c'est précisément sa raison d'être. Le terme de la garantie n'est pas la remise en service, c'est le retour au niveau d'activité que vous auriez atteint sans l'attaque. Une reprise partielle donne alors une perte partielle, calculée sur l'écart entre le chiffre d'affaires prévu et le chiffre d'affaires réalisé. Cela explique pourquoi choisir la période la plus courte est une fausse économie : elle allège la cotisation, et elle coupe la garantie au moment exact où la trésorerie remonte le plus lentement. La durée se choisit sur le temps que met votre clientèle à revenir, pas sur celui que met votre informatique à redémarrer.
Les documents habituels de votre comptabilité suffisent : liasses fiscales, balances, grands livres, ventilation mensuelle du chiffre d'affaires des exercices précédents. Ajoutez le budget de l'exercice en cours et les factures de tout ce que l'incident vous a fait dépenser en plus. Une difficulté propre au risque cyber mérite d'être anticipée : ces pièces vivent souvent dans le système d'information que l'attaque vient de bloquer. Une sauvegarde comptable conservée hors du réseau, ou un jeu d'états à jour chez votre expert-comptable, évite d'avoir à prouver une perte avec des fichiers devenus illisibles.
Oui, au taux normal. La doctrine fiscale range les indemnités d'assurance qui ne se rapportent pas à un élément de l'actif immobilisé parmi les bénéfices d'exploitation, et cite expressément les sommes versées pour compenser des pertes de bénéfices. La logique est symétrique : les recettes que l'indemnité remplace auraient été imposées, et la cotisation d'assurance était déductible. Le régime diffère pour ce qui répare un bien inscrit au bilan, un serveur détruit par exemple, qui relève des plus-values et moins-values. Le rattachement à l'exercice suit la règle générale : l'indemnité s'inscrit dans l'exercice où la créance devient certaine dans son principe et dans son montant. Autrement dit, dès que l'assureur a écrit qu'il paiera et combien, sans attendre le virement. C'est le point à caler avec votre expert-comptable dès son accord.
Sources
Textes : article L. 121-1 du code des assurances, principe indemnitaire et faculté de franchise ; article L. 121-5, sous-assurance ; article L. 12-10-1, plainte sous 72 heures.
Doctrine administrative : BOFiP, BOI-BIC-PDSTK-10-30-20, régime fiscal des indemnités d'assurance de dommages.
Ressources professionnelles : France Assureurs, l'assurance des pertes d'exploitation de l'entreprise : marge brute, période d'indemnisation, frais supplémentaires, franchises.
Pour aller plus loin : qui paie quand la faille vient d'un prestataire informatique piraté, et l'état du marché dans primes en baisse, risque en hausse.
Cette page fait partie de nos réponses aux questions des employeurs.
Le cabinet : Accent Conseil est le nom commercial d'Accent Assurances, 80 rue de Paris, 93100 Montreuil. Courtier immatriculé à l'ORIAS sous le numéro 09049208 depuis le 30 avril 2009, registre consultable sur orias.fr.
Parce que notre métier chez Accent Conseil, c’est d’accompagner à la fois les décideurs dans la sélection des assurances les plus pertinentes, et les équipes qui sont les premières concernées par les options retenues.
