« La gestion des risques dans un contexte d’externalisation de service »

L’hypothèse de départ est la suivante : l’externalisation représente pour l’entreprise mandante de multiples risques. Si les entreprises y recourent pour réduire leurs coûts, elles doivent en revanche se préserver des risques pouvant impacter leurs activités et leur image. Sans préparation adéquate, l’externalisation est néfaste, voire vouée à l’échec. Il convient d’analyser des aspects organisationnels, techniques et juridiques afin que le changement de paradigme soit une réussite commerciale durable pour l’entreprise et in fine positive non seulement du point de vue de la rentabilité, mais aussi sur le plan de la maîtrise des risques – opérationnels notamment.

Nous menons une étude dans le cadre de l’association avec le concours de l’Université de Lausanne. Nous explorons au travers d’une enquête qualitative de terrain, la question de recherche suivante :

Comment maîtriser les processus de l’entreprise et les risques dans le contexte d’une externalisation de service ? Etude menée en Suisse romande avec des PME sur leurs motivations d’externaliser, et, les approches de gestion des risques déployées dans ce contexte.

Les résultats de l’étude feront l’objet d’une présentation publique ou d’un article dans la presse. N’hésitez pas à nous contacter en cas d’intérêt pour nos travaux.

Le 10 novembre 2017 à la FER Genève l’observatoire des risques opérationnels a restitué les résultats des travaux menés lors ateliers cybercriminalité avec 3 groupes d’entrepreneurs en présence de Monsieur Pierre Maudet, Conseiller d’Etat :

Cybercriminalité – Restitution des travaux avec des entrepreneurs

Présenté par Cyrille Reynard avec l’aimable collaboration d’Yves Le-Thiec.

La présentation est consultable ici :
https://rushfiles.one/client/publiclink.aspx?id=02gEes0N1P

Les thèmes des ateliers étaient les suivants menés sous la Direction des membres d’Oprisko :

Atelier 1 : Pablo Faus Perez, Dan Bihi-Zenou,
Sécurité cyber, implémentation de normes étatiques similaires à la sécurité physique ou alimentaire (par exemple normes incendie, hygiène, etc.)

Imaginez que l’Etat impose aux entreprises privées ou publiques de nouvelles normes règlementaires liées à la cybersécurité (exemple normes de sécurité de base, détection et réaction, prévention). Dans ce cas, quels seraient les défis/problèmes pour ces entreprises?

Atelier 2 : Jean-Jaques Kohler, Bénédict Mugnier,
Etendre la compétence et la prise de conscience des employés et le management sur le risque cyber.

Imaginez que l’Etat impose aux entreprises privées ou publiques une licence «cyber» pour pouvoir exercer leurs activités. Dans ce cas, quels seraient les défis/problèmes pour ces entreprises?

Atelier 3 : Maria Tootell et Erwin Kessler

Gestion et communication des incidents pour capter l’évolution des menaces, informer les entreprises et préparer un plan d’action

Imaginez que l’Etat impose aux entreprises privées ou publiques victimes d’une attaque de communiquer les cas auprès d’un organisme central (cantonal ou fédéral). Dans ce cas, quels seraient les défis/problèmes pour ces entreprises?

L’étude complète Cybercriminalité menée par les membres d’OpRisko avec l’aide de deux universités qui présente l’état de préparation d’entreprises suisses et motivations des hackers est consultable ici :

https://rushfiles.one/client/publiclink.aspx?id=XUhyyzzi0o

Le 15 septembre de 9h à 17h00, à la FER Genève l’observatoire des risques opérationnels a présenté les premiers résultats de l’études 2017.

Cybercriminalité – perception du risque pour des entreprises suisses et motivations des hackers
La présentation est consultable ici : https://rushfiles.one/client/publiclink.aspx?id=JrQpZyS0y2
Durant cette journée, l’observatoire des risques opérationnels a animé 3 ateliers auxquels ont participé 25 entreprises. Les thèmes des ateliers étaient les suivants :
Atelier 1 : Sécurité cyber, implémentation de normes étatiques similaires à la sécurité physique ou alimentaire (par exemple normes incendie, hygiène, etc.)

Imaginez que l’Etat impose aux entreprises privées ou publiques de nouvelles normes règlementaires liées à la cybersécurité (exemple normes de sécurité de base, détection et réaction, prévention). Dans ce cas, quels seraient les défis/problèmes pour ces entreprises?

Atelier 2 : Etendre la compétence et la prise de conscience des employés et le management sur le risque cyber.

Imaginez que l’Etat impose aux entreprises privées ou publiques une licence «cyber» pour pouvoir exercer leurs activités. Dans ce cas, quels seraient les défis/problèmes pour ces entreprises?

Atelier 3 : Gestion et communication des incidents pour capter l’évolution des menaces, informer les entreprises et préparer un plan d’action

Imaginez que l’Etat impose aux entreprises privées ou publiques victimes d’une attaque de communiquer les cas auprès d’un organisme central (cantonal ou fédéral). Dans ce cas, quels seraient les défis/problèmes pour ces entreprises?

Le résultat des travaux menés lors des ateliers sera présenté en novembre 2017, lors d’un débat public dans lequel sera représenté l’observatoire des risques opérationnels. Nous vous tiendrons informé prochainement.

Youtube: https://youtu.be/VyFYb0-BH1k

Oprisko Swissmadesecurity_2017_11_10v_finale

2017_Oprisko Swissmadesecurity_v_finale

Nous avons le plaisir de vous présenter l’étude publiée par Emmanuel Fragnière et Cyrille Reynard de l’observatoire des risques opérationnels. Le thème de l’étude est risque humain en entreprise dont l’origine est causé par un déséquilibre pour l’employé entre :
i. les demandes de l’employeur à employé, (job demand).
ii. les ressources allouées par l’employeur à l’employé (job resource).
Lorsque la demande de travail est beaucoup plus conséquente que les ressources allouées à l’employé, le déséquilibre sur la durée engendre chez l’employé, du cynisme et désengagement , des burnouts, de la frustration, et, de la fraude par vengeance. En résumé, lorsque ce déséquilibre est manifeste au sein d’une entreprise l’entreprise détruit plus de valeur qu’elle n’en crée. Des solutions peuvent être initiées, notamment au niveau du management ou à défaut des indicateurs peuvent être déployés pour anticiper les problèmes. Cette étude a été menée en Suisse romande, et, plus particulièrement dans le secteur bancaire auprès de plus de 35 établissements bancaires en Suisse. Elle est disponible librement ici :

https://www.researchgate.net/publication/308092398_HOW_HUMAN_RISK_COULD_LEAD_TO_VALUE_DESTRUCTION_IN_SERVICES_AN_EXPLORATORY_STUDY_ABOUT_OCCUPATIONAL_STRESS_IN_THE_SWISS_WEALTH_MANAGEMENT_SECTOR

Mots clés : human risk, occupational stress, psychosocial risk, banking regulations

Définition de la cybercriminalité

L’observatoire des risques opérationnels définit la cybercriminalité comme l’ensemble des agissements malveillants commis à l’aide de moyens informatiques et d’un réseau de télécommunication. Le régulateur bancaire suisse classe la cybercriminalité dans les évènements de risque opérationnel[1] sous les catégories fraude interne et externe.

Particularités de la cybercriminalité

Selon Bruce Schneier expert américain en sécurité[2] informatique, la nature des attaques cybercriminelles se distingue de la criminalité traditionnelle par les caractéristiques principales suivantes :

1. les ordinateurs permettent d’automatiser, et de répéter à large échelle les attaques.
2. les attaques ciblées de base de données (banques, assurances, émetteurs de cartes de crédits, compagnie aérienne, amazon, etc…) donnent accès à un très grand nombre d’informations personnelles.
3. les malversations peuvent être opérées à distance. La pénalisation de certaines affaires est rendue d’autant plus difficile du fait des cadres juridiques différents.
4. les techniques d’effraction infractions peuvent être copiées ; les outils sont disponibles sur internet et des malversations peuvent être propagées par d’autres groupes d’attaque.

Cybercriminalité : Risques opérationnels pour l’entreprise

La cybercriminalité peut induire des dommages à la réputation, des pertes financières directes ou indirectes, ou encore des interruptions de services. On remarque qu’il n’existe pas de profil-type du cybercriminel. En effet, il peut aussi bien s’agir d’un Etat, d’un groupe de hackers organisés ou bien d’un hacker isolé.

Ces dernières années, la presse n’a cessé de relater des cas de fraudes, vols de données, demandes de rançon, etc. Tous ces actes avaient pour point commun l’usage de moyens informatiques et de réseau de communication. Les cyber-attaques peuvent rapporter beaucoup d’argent à leurs auteurs. On pourrait croire que seuls les établissements financiers sont la cible privilégiée des cybercriminels, à tort. En janvier 2015, la compagnie d’assurance américaine Anthem a été victime d’un vol de données cruciales concernant 80 millions de ses clients. En avril 2015, la chaîne de télévision TV5 a été victime d’une cyberattaque d’une telle ampleur qu’elle a été contrainte d’arrêter ses programmes pendant plusieurs heures. En août 2015, le site Internet de rencontres extraconjugales Ashley Madison a vu les données confidentielles de ses 32 millions clients disponibles sur la toile.

Description de notre étude sur la cybercriminalité 

Notre étude vise d’une part à comprendre qui sont les hackers, leur motivation, comment sont sélectionnées les entreprises ciblées par des attaques ainsi que le mode opératoire des attaquants. D’autre part nous souhaitons comprendre les principaux risques pour les organisations, les menaces et mesures de défense. Nous appliquons une méthodologie de recherche scientifique avec l’appui de personnel académique.

Nous garantissons aux personnes interviewées l’anonymat : Aucune information sur les personnes interviewées ne sera communiquée. Dès lors que les propos auront été analysés, un article de synthèse sera publié dans la presse.

Nous remercions par avance les entreprises de service ainsi que les hacker pour leur précieuse aide dans notre étude.

[1] Finma – circulaire sur les risques opérationnels 2008/21 annexe 2

[2] SCHNEIER, Bruce. Secrets and lies: digital security in a networked world. John Wiley & Sons, 2011

Les institutions financières suisses sont impactées significativement par les changements de lois et règlements, les actions des organismes de contrôle, les corporations professionnelles, les conventions et traités internationaux, les conventions comptables, les pratiques nationales bancaires. Des conditions économiques difficiles entrainent une aggravation des trois facteurs générateurs de fraude : pression, justification, opportunité. Le risque de fraude s’entend d’un acte intentionnel, dans le but de tromper, causant un préjudice ou des pertes à la banque. Nous distinguons deux types de fraudes : la fraude interne et la fraude externe. La fraude externe se caractérise par des actes délictueux commis par des fournisseurs, des clients, des faux clients, ou d’autres parties extérieures aux établissements bancaires, notamment des membres du crime organisé. La fraude interne est le fait de personnes œuvrant à l’intérieur d’une organisation, que ce soit des membres de la direction ou du personnel. Les deux types de fraudes peuvent avoir notamment pour conséquence des pertes financières.

L’observatoire des risques opérationnels a exploré au travers d’une enquête qualitative de terrain, les comportements des banques suisses en Suisse Romande face à l’évolution des risques de fraude interne.

Nous avons notamment relevé :

1. Les types de fraude interne.
2. Les causes de la fraude interne ; quels sont les inducteurs de la fraude interne.
3. Les mesures qui permettent de détecter la fraude interne.
4. Les mesures qui permettent de prévenir la fraude interne.

Cette étude est maintenant achevée, une conférence pour présenter les résultats sera annoncée prochainement.