Aborder la cybersécurité sous l'angle de la titrisation

Augmentation des coûts et prévalence des cyberattaques

Ces dernières années, les atteintes à la cybersécurité sont devenues monnaie courante, et les coûts de ces violations ont augmenté. IBM a indiqué que le coût moyen mondial d'une violation de données avait augmenté de 10 % en 2024 par rapport à 2023, soit la plus forte hausse depuis la pandémie . Par ailleurs, les violations qui ont des cycles de vie plus longs ont entraîné une augmentation des coûts. Selon une étude de Cyber Rescue UK, les entreprises affectées par les violations de données sont confrontées à de nombreux impacts différents.

Illustration 1 et 2 : Impacts considérables des violations de données

Source : Cyber Rescue UK, Blancco, juin 2025. Enquête réalisée auprès de 2 000 dirigeants des secteurs informatiques et de la durabilité.

Au moment de la rédaction de cet article, Microsoft est confronté à une faille de cybersécurité majeure et a publié des mises à jour logicielles pour les serveurs Sharepoint sur site et autogérés. D’autres incidents très médiatisés ont affecté le National Health Service (NHS) britannique, Disney et l’assureur UnitedHealth. L’hameçonnage (le fait de berner les gens pour obtenir des informations sensibles) et le vol d’informations d’identification semblent être les méthodes d’attaques les plus courantes.

Les grandes institutions font la une des journaux, mais le monde de la titrisation ne fait pas exception. Les petites entreprises sont particulièrement touchées par les attaques, généralement via des flux de données tiers. Souvent, les entreprises doivent procéder à l’arrêt complet de leurs systèmes et à leur mise hors ligne jusqu’à ce qu’une solution soit trouvée.

L’Australie a été particulièrement ciblée en raison de son infrastructure numérique avancée et de son rôle clé dans la finance mondiale, le commerce et les industries critiques, qui en font une cible attrayante pour les cybercriminels. Nous avons connaissance d’au moins deux sociétés de prêt non bancaires australiennes, qui proposent des financements sur les marchés de la titrisation, qui ont récemment subi des cyberattaques importantes. Ces entreprises ont subi des impacts, notamment un arrêt temporaire des originations d'actifs et une augmentation des arriérés, l'activité de recouvrement ayant été perturbée. Cela met en évidence qu’au-delà du risque de gouvernance, de telles violations comportent un risque de crédit fondamental, compte tenu des perturbations opérationnelles, des coûts associés et des atteintes à la réputation. Cette situation nous concerne en tant qu’investisseurs dans les actifs titrisés compte tenu de notre exposition directe aux prêts sous-jacents.

Évaluer le risque de cybersécurité

Au départ, nous avons engagé le dialogue avec les émetteurs pour tenter de comprendre leurs systèmes et leur gouvernance, mais les réponses ont été limitées et souvent indigestes. Nous avons réalisé que la compréhension de l'environnement complexe et en rapide évolution de l’infrastructure de sécurité des informations nécessitait de recourir à des experts. Nous avons donc fait appel à notre équipe interne de sécurité des informations pour en savoir plus sur leur propre processus de due diligence et avons collaboré avec elle pendant plus d’un an pour élaborer notre cadre d’évaluation de la cybersécurité.

Identifier l'objectif d'engagement

Bien que le déploiement de ce cadre n'en soit encore qu'à ses débuts, les réponses ont été positives ; les émetteurs ont montré un vif intérêt et une prédisposition à participer à cette enquête. Le tableau ci-dessous présente la grande variété de réponses reçues :

Illustration 3 et 4 : Réponse des acteurs de la cybersécurité à l'enquête JHI par type d'entreprise et de juridiction

Source : Janus Henderson, au 23 juillet 2025.

De nombreux émetteurs ont indiqué que nous sommes le premier investisseur à engager de manière proactive le dialogue dans le domaine de la cybersécurité, soulignant le caractère unique et l'intérêt de notre approche. Notre processus implique un examen détaillé des réponses à l'enquête et des rapports techniques, suivi d’un engagement itératif. Nous faisons ensuite le point avec des questions complémentaires ciblées lorsque des vulnérabilités ou des lacunes de gouvernance sont identifiées. Afin de garantir la profondeur et l’exactitude de l'enquête, nous continuons de collaborer étroitement avec notre équipe interne de sécurité des informations, en tirant parti de son expertise technique pour guider notre enquête et interpréter des résultats complexes.

À la lumière de la fréquence et du coût croissants des cyberattaques, des pratiques de cybersécurité robustes ne sont plus facultatives, mais essentielles. Cet impératif s’applique non seulement aux émetteurs, mais également aux investisseurs, qui doivent comprendre et gérer le risque cybernétique dans le cadre de leur devoir fiduciaire. Nous pensons que le développement de ce cadre d’évaluation de la cybersécurité représente une avancée significative. En intégrant l’évaluation des risques cybernétiques à notre analyse de la gouvernance et du crédit, nous améliorons la due diligence, établissons un précédent pour les meilleures pratiques du secteur et contribuons à un environnement d’investissement plus résilient.