Une cyberattaque coûte. Directement et indirectement. En 2024, le coût moyen mondial d’une violation de données a atteint 4,88 M$ selon IBM. Le secteur financier dépasse 6 M$. Ces montants incluent remédiation, interruption d’activité, pertes commerciales et amendes. Pour un comité de direction, c’est un P&L à part entière, pas une ligne annexe. (IBM)
Le risque n’est pas théorique. Le paysage des menaces évolue vite : disponibilité des services visée, ransomware, exfiltration de données. L’ENISA place ces scénarios au cœur des incidents observés en Europe. Traduction concrète pour la finance : pertes de revenus, cash immobilisé, dégradation du besoin en fonds de roulement, hausse des primes d’assurance, et parfois sanctions. (enisa.europa.eu)
En Europe, NIS2 élargit le périmètre d’entreprises concernées et impose des exigences de gestion des risques, de reporting et de gouvernance. Les États membres devaient transposer la directive au 17 octobre 2024. Beaucoup sont en retard, mais la pression juridique est là. Pour un DAF, cela signifie budget, preuves et suivi. (ECSO)
Dans la finance, DORA est déjà applicable depuis le 17 janvier 2025. Il impose des exigences d’exercices, de gestion des prestataires critiques, d’incident reporting et de tests. Là encore, le DAF et la cybersécurité pilote une partie des arbitrages : contrats, dépendances tierces, seuils d’appétence au risque, et financement des plans. (EIOPA)
La « fraude au président » et les fraudes au virement restent des menaces majeures. Les attaquants exploitent l’ingénierie sociale et, de plus en plus, les deepfakes. Des cas médiatisés ont montré des virements massifs déclenchés sur la base de visioconférences falsifiées. Pour la trésorerie, l’enjeu est clair : sécuriser les circuits d’ordonnancement et de validation. (The Guardian)
Les attaques de type BEC (Business Email Compromise) progressent en Europe. Plusieurs analyses signalent une hausse marquée entre 2023 et 2024. Cela impose des contrôles renforcés sur la chaîne fournisseur, la séparation des tâches et la confirmation hors bande des changements de RIB. (Hoxhunt)
Bonne nouvelle, certains indicateurs de fraude aux moyens de paiement en France reculent, grâce à la sensibilisation, au scoring et à de nouvelles obligations d’authentification. Cela prouve que les investissements ciblés paient. Mais la menace se déplace vite. (Le Monde.fr)
Le RSSI gère la technique. Le DAF gère la valeur, les risques et le temps. Ensemble, ils doivent :
L’assurance ne remplace pas les contrôles. Le marché durcit. Les assureurs exigent preuves de maturité, formation, MFA, sauvegardes testées, plan de réponse. Les primes et franchises varient fortement selon ces éléments. Anticipez les exigences pour éviter refus de couverture ou exclusions. (EIOPA)
Ciblez une police qui couvre : coûts de crise, expertise forensique, remise en état, interruption d’activité, extorsion, responsabilité RGPD, et assistance communication. Vérifiez les limites, les sous-limites ransomwares et les conditions sur les prestataires. Là encore, la coordination DAF–RSSI est clé.
L’IA améliore la détection. Elle aide à trier les alertes et à automatiser la réponse. Mais elle arme aussi les attaquants : hameçonnage personnalisé, usurpation vocale et vidéo, accélération du repérage de cibles. Intégrez ces risques dans les politiques de délégation et de validation de paiements. Exigez des validations hors bande et une preuve d’identité forte pour les ordres exceptionnels. Les cas de fraude par deepfake l’ont prouvé. (The Guardian)
Prenez un scénario d’arrêt de 3 jours. Estimez la marge perdue, les pénalités et les coûts de remise en état. Comparez avec le coût d’un projet de sauvegardes immuables et de tests trimestriels. Faites la même chose pour MFA universel vs probabilité d’un compte compromis donnant lieu à paiement frauduleux. Ce sont des arbitrages quantifiables. Les études de coûts de brèche donnent les ordres de grandeur initiaux. (IBM)
La cybersécurité est un sujet financier. Elle pèse sur le cash, la marge, l’assurance et la conformité. Le DAF doit co-piloter la stratégie avec le RSSI. Le cadre européen l’exige. Le marché l’attend. Les chiffres le confirment. En traitant le cyber comme un risque d’entreprise, en finançant les fondamentaux, en testant la reprise et en sécurisant la chaîne fournisseurs, la fonction finance transforme un risque diffus en levier de résilience mesurable. (enisa.europa.eu)
Note : ce texte s’appuie sur les rapports ENISA, IBM et les cadres NIS2/DORA, ainsi que sur des analyses publiques de fraudes et deepfakes récents. (enisa.europa.eu)