L'ambiguïté des modèles : le véritable frein à la capacité de réassurance cyber

Source: Aslan, I. (2026). Ambiguity and the supply of cyber reinsurance capacity [Preprint]. SSRN.

Sommaire : Selon l'article, le marché de la réassurance cyber ne souffrirait pas d'un manque de capital, mais plutôt d'une forme d'ambiguïté découlant de l'absence d'un modèle probabiliste unique pour évaluer le risque systémique. L'auteur souligne que, face à des modèles divergents, les réassureurs adopteraient une posture pessimiste en surpondérant les scénarios les plus sombres, ce qui provoquerait une surcharge tarifaire et un rationnement de l'offre.
Pour contourner ce frein, l'article indique que le marché privilégierait les traités en quote-part, susceptibles de diluer l'incertitude, tout en affinant le langage contractuel grâce à des exclusions claires. Selon la publication, seules la standardisation des données et la convergence des modèles permettront, à terme, de libérer pleinement la capacité de réassurance.

1. Introduction : Au-delà des contraintes de capital traditionnelles

Le marché de la réassurance cyber est marqué par une anomalie structurelle majeure : un taux de cession exceptionnellement élevé (environ 50 % des primes cyber mondiales, soit trois à cinq fois plus que dans les branches IARD traditionnelles) coexistant avec une capacité dédiée chroniquement rare et une offre de rétrocession quasi inexistante.

La théorie économique standard du cycle de l'assurance (Winter 1994, Gron 1994) attribue généralement une telle contraction de l'offre à un choc de capital, où une catastrophe majeure épuise les fonds propres, provoquant une hausse des prix jusqu'à l'entrée de nouveaux capitaux. Or, le segment cyber n'a subi aucun événement de ce type. La capacité se comporte comme si elle était entravée par un facteur exogène au bilan.

Cet article soutient que la contrainte fondamentale n'est pas le capital, mais l'ambiguïté : l'absence d'une distribution de probabilité unique et crédible pour les pertes d'accumulation. Contrairement au risque pur où les probabilités sont connues, le risque cyber est caractérisé par une génération de pertes non stationnaire et des modèles divergents. Le blocage actuel résulte de l'incapacité des réassureurs à réduire l'ensemble des modèles disponibles à une loi de probabilité unique.

2. L'Anatomie du Marché Cyber : Quatre Faits Stylisés

L'analyse de l'infrastructure de transfert de risques cyber révèle quatre observations clés :

• Prédominance de la proportionnalité : Contrairement aux périls naturels où l'excédent de perte (excess-of-loss) domine pour transférer les queues de distribution, le cyber est massivement cédé via des traités en quote-part (quota share). Ce choix suggère une volonté de partager le modèle lui-même plutôt que de segmenter une distribution contestée.
• Rareté de la capacité dédiée : Le capital de soutien peine à suivre la croissance des primes. Fin 2024, les obligations catastrophes (cat bonds) cyber ne représentaient que 1,7 % du marché total des ILS, avec un nombre d'investisseurs spécialisés limité (10 à 15 fonds contre 30 à 40 pour les périls naturels).
• Réponse définitionnelle plutôt que tarifaire : Face à l'incertitude (notamment suite à l'épisode NotPetya et au phénomène du "silent cyber"), le marché réagit par le langage contractuel. Les exclusions de guerre de la LMA et les mandats de la Lloyd's (2023) visent à empêcher que le péril ne soit « découvert devant les tribunaux » au travers de contrats mal définis.
• Tarification des ILS et multiples élevés : En 2025, les multiples de marge de risque (spread / perte attendue) pour le cyber avoisinaient 7,3, contre environ 2,44 pour les périls naturels, signalant une charge d'incertitude massive.

3. Modélisation de l'Offre sous Ambiguïté Lisse

La source modélise l'offre de capacité selon l'approche de l'ambiguïté lisse de Klibanoff et al. (2005). Le réassureur considère un ensemble de modèles θ ∈ Θ, où chaque modèle assigne une probabilité πθ à un événement systémique. La fonction d'utilité est :

V = Eμ[ϕ(Eθ[u(W)])]

Où :

• u(W) = -exp(-αW) représente l'attitude face au risque (α).
• ϕ(x) = -(-x)^(β/α) représente l'attitude face à l'ambiguïté (β), avec β > α pour l'aversion à l'ambiguïté.

Le coût de la capacité sous un modèle θ est le principe de prime exponentielle : Rθ(L) = (1/α) ln ( 1 - πθ + πθ exp(αL) )

Le coût équivalent-certain total Π(L) est alors : Π(L) = (1/β) ln Eμ [ exp(β Rθ(L)) ]

Lemme 1 : Un réassureur averse à l'ambiguïté tarife la capacité marginale selon une distribution de probabilité "basculée" de manière pessimiste (pessimistically tilted posterior). Les poids de ce basculement, ŵθ(L) ∝ μθ exp(β Rθ(L)), sont croissants en πθ selon un ordre de rapport de vraisemblance à mesure que l'exposition L augmente. En d'autres termes, plus l'engagement est important, plus le réassureur accorde de poids aux modèles les plus sombres.

4. Le "Load" d'Ambiguïté et le Rationnement du Capital

La charge d'ambiguïté A(L) = Π(L) - Rπ̄(L) est strictement positive dès que β > α et que les modèles divergent (d > 0). Cette charge est une conséquence directe de l'inégalité de Jensen appliquée à la fonction convexe g(π) qui lie le coût à la probabilité.

Le mécanisme de rationnement (Proposition 2) s'explique par les règles de solvabilité :

• Si le capital requis est évalué selon le « pire scénario crédible » (maxθ πθ), une augmentation du désaccord entre experts (d) fait augmenter la charge de capital bien plus vite que la prime de marché.
• Il en résulte un effondrement discontinu de l'offre : lorsque le pire modèle dépasse un seuil de tolérance (τ), le rendement du capital de solvabilité devient moins attractif que celui des périls naturels. Le capital migre alors vers d'autres lignes en raison de son prix d'ombre (shadow price), provoquant un rationnement insensible au prix.

5. Le Design Contractuel comme Levier de Gestion de l'Ambiguïté

La conception des contrats devient la variable d'ajustement principale pour restaurer la capacité :

• Exclusions de périls contestés (Prop. 3) : Une exclusion (ex: cyber-guerre) vaut strictement plus pour un réassureur qu'une simple réduction de la perte attendue. En tronquant la région du domaine de perte où les modèles divergent le plus, on élimine le "load" d'ambiguïté. Cela libère de la capacité pour les périls restants par un effet de levier sur le capital de solvabilité.
• Domination de la quote-part (Prop. 4) : Les structures proportionnelles sont privilégiées car elles permettent une « dilution » de l'ambiguïté. Le segment de risque attritionnel (mieux défini) porte une charge de risque mais aucune charge d'ambiguïté, compensant ainsi le segment systémique ambigu. À l'inverse, les couvertures par couches (layered) sont des « positions concentrées en désaccord », rendant leur tarification prohibitive.
• La double pénalité de l'agrégation (Prop. 5) : L'agrégation est pénalisée deux fois. Premièrement, par un effet de corrélation (C_n) : un modèle inconnu commun rend les tirages positivement corrélés (échangeables mais non indépendants). Deuxièmement, par l'ambiguïté (B_n), que l'aversion (β) amplifie. Cela explique la préférence pour les déclenchements par événement (per-occurrence) et les périodes de risque courtes.
• Triggers d'indemnisation : Les investisseurs préfèrent détenir une part définie d'un portefeuille auditable plutôt que de s'exposer à un indice paramétrique contesté, évitant ainsi que l'ambiguïté ne se déplace sur la définition même de l'indice (comme illustré par l'incident CrowdStrike).

6. Analyse des Données de Marché et Multiples Impliqués

Le tableau ci-dessous, basé sur les émissions de cat bonds fin 2025, illustre le « ratio d'ambiguïté impliqué » :

Note : Le ratio d'ambiguïté compare le multiple cyber au benchmark du marché (2,44). Ce ratio représente une borne supérieure du rapport π_worst / π_central, car il inclut également des primes de nouveauté et d'illiquidité. Le marché tarife ainsi le risque cyber comme si le pire modèle crédible était 2 à 3,5 fois supérieur à l'estimation centrale, un ajustement cohérent mais bien plus modeste que la dispersion réelle des modèles académiques.

7. Conclusion et Implications de Politique de Risque

L'analyse démontre que le marché cyber subit des chocs d'information (étalement des croyances préservant la moyenne) plutôt que des chocs de capital. Dans ce contexte, les recommandations de politique publique doivent être réorientées :

1. Priorité à l'infrastructure de données : Le partage obligatoire des incidents, les protocoles d'attribution clairs et les scénarios de référence publics sont plus efficaces pour libérer de la capacité qu'une simple injection de capital public.
2. Efficacité des interventions : Un backstop public agissant comme réassureur de dernier ressort ne devrait viser que le résiduel incalculable, car le capital injecté sans réduction de l'ambiguïté sera tarifé aussi chèrement que le capital privé.
3. Perspective d'évolution : La migration des structures proportionnelles vers des structures par couches sera le signal véritable de la convergence des modèles et de la maturation du marché. À mesure que le désaccord (d) diminue, le transfert de risque cyber convergera vers les standards de la réassurance catastrophe traditionnelle.