Incident sur le SI du client pendant votre audit : qui paie et combien ?
Vous menez un audit chez un client. Trente-six heures plus tard, son ERP est à l'arrêt. La réclamation arrive sur votre bureau. Décryptage chiffré d'un risque sous-estimé.
- Une mission de conseil qui touche aux systèmes du client — audit, POC, paramétrage — engage votre responsabilité civile sur les dommages causés à ce SI.
- Les préjudices indirects (perte de production, perte de chiffre d'affaires) représentent l'essentiel de la note et atteignent rapidement plusieurs centaines de milliers d'euros.
- La RC Pro classique couvre mal les incidents cyber : une extension ou une police Cyber dédiée est souvent indispensable.
- Le contrat avec le client doit prévoir un partage de responsabilité clair sur les actions techniques et les responsabilités d'exploitation.
Le scénario type d'un incident pendant mission
Vous intervenez chez un client pour un audit d'intégration entre son ERP et sa plateforme e-commerce. Votre mandat : cartographier les flux, identifier les goulots d'étranglement, proposer une cible. Le client vous donne un accès en lecture seule à un environnement de pré-production.
Un de vos consultants junior, pressé par le planning, exécute une requête de comptage sur une vue d'agrégation lourde. La vue déclenche en cascade des verrous sur les tables transactionnelles. L'ERP ralentit, puis sature, puis tombe. La production e-commerce est interrompue pendant cinq heures pendant le pic de ventes du vendredi soir.
Le client chiffre la perte : 380 000 € de chiffre d'affaires non réalisé, 45 000 € de coûts de remédiation (équipes IT mobilisées, intervention de l'éditeur), 60 000 € de pénalités versées à un client B2B en raison du retard de livraison. Total réclamé : 485 000 €, plus le préjudice d'image.
Ce scénario, ou ses variantes (modification de configuration imprévue, accès accidentel à des données personnelles, brèche introduite par un script d'audit), survient sur des projets considérés au départ comme « inoffensifs ». L'audit en lecture seule n'existe pas vraiment.
La qualification juridique : faute professionnelle et imputabilité
Pour engager votre responsabilité, le client doit démontrer trois éléments : une faute, un préjudice, un lien de causalité.
La faute
Elle est rarement contestable : un professionnel du conseil doit connaître l'impact des requêtes sur un environnement de production-like. L'absence de test préalable en environnement isolé, la non-vérification du périmètre des droits d'accès, ou la conduite d'opérations en heure ouvrée sans procédure de précaution sont des manquements caractérisés.
Le préjudice
Il combine des dommages directs (coûts de remédiation, indemnités) et indirects (perte de marge, perte d'opportunité). Les seconds représentent presque toujours l'essentiel du chiffrage.
Le lien de causalité
C'est souvent le terrain de défense le plus efficace. Le SI du client était-il déjà fragile ? L'éditeur de l'ERP avait-il documenté la sensibilité de la vue concernée ? Les sauvegardes étaient-elles à jour ? Une expertise judiciaire est presque toujours diligentée pour répartir les responsabilités.
Le chiffrage type d'un sinistre
Voici les ordres de grandeur observés sur ce type d'incident, hors préjudice d'image.
| Poste de préjudice | PME (CA < 50 M€) | ETI (CA 50-500 M€) | Grand compte |
|---|---|---|---|
| Coûts de remédiation interne (équipes IT, astreintes) | 15-50 k€ | 40-150 k€ | 100-400 k€ |
| Intervention de l'éditeur en urgence | 5-25 k€ | 20-80 k€ | 50-200 k€ |
| Perte de chiffre d'affaires (par jour d'indisponibilité) | 20-100 k€ | 100-800 k€ | 500 k€ - 5 M€ |
| Pénalités contractuelles (clients B2B) | 10-60 k€ | 50-300 k€ | 100 k€ - 2 M€ |
| Si données personnelles compromises : notification, accompagnement | 20-80 k€ | 80-300 k€ | 200 k€ - 1 M€ |
Pour un consultant indépendant ou un cabinet de quelques personnes, ces montants représentent un risque existentiel s'ils ne sont pas couverts.
Ce que couvre — et ne couvre pas — la RC Pro classique
La RC Pro consultant standard couvre les dommages immatériels consécutifs à une faute professionnelle. Cela inclut en principe les pertes d'exploitation du client liées à votre erreur. Mais trois limites doivent être anticipées.
Les exclusions cyber
De nombreuses polices RC Pro excluent ou plafonnent fortement les dommages liés à une intrusion, une atteinte à la sécurité des systèmes, ou la perte de données. Or un incident d'audit franchit souvent cette frontière, même sans intention malveillante. La requête qui plante le serveur, l'export qui contient par erreur des données personnelles, le compte technique laissé actif après mission : tout cela bascule en territoire cyber.
Le plafond
Une RC Pro de consultant à 300 000 € de plafond est largement suffisante pour une mission de cadrage stratégique. Elle est sous-dimensionnée pour un audit technique chez un grand compte, où la facture peut dépasser un million d'euros.
La couverture des frais annexes
Les frais d'investigation forensique, de notification CNIL, d'accompagnement de communication de crise sont rarement inclus dans la RC Pro standard. Ils relèvent typiquement de la garantie Cyber.
L'apport d'une garantie Cyber dédiée
Une police Cyber couvre des postes que la RC Pro ne couvre pas, et inverse la logique de gestion du sinistre.
- Cellule de crise immédiate : appel à un numéro dédié, mobilisation sous quelques heures d'experts forensiques, juridiques et communication.
- Frais d'investigation : identification de la cause racine, périmètre des données affectées, preuves pour la défense.
- Frais de notification : information CNIL, courriers individuels aux personnes concernées si données personnelles compromises.
- Pertes d'exploitation du client et de vous-même, sur des plafonds adaptés au risque.
- Rançongiciel et frais de restauration des données si l'incident s'aggrave.
Pour un consultant indépendant traitant des missions chez des PME, une garantie Cyber à 250 000 - 500 000 € de plafond reste accessible. Pour un cabinet intervenant chez des ETI ou grands comptes, dimensionner à 1 million d'euros minimum devient prudent.
Les clauses contractuelles qui répartissent le risque
Au-delà de l'assurance, votre contrat avec le client peut déplacer significativement la charge du risque.
La clause de mise à disposition d'environnement
Stipulez que les opérations techniques sont réalisées sur un environnement non productif fourni par le client, isolé de la production, avec sauvegardes à jour. Si le client refuse cet isolement pour des raisons de coût, faites-le acter par écrit.
La clause de procédure d'accès
Décrivez la procédure : comptes nominatifs, périmètre de droits, plages horaires autorisées, validation préalable des opérations sensibles par le chef de projet client. Cette procédure devient un standard auquel se référer en cas d'incident.
La clause d'exclusion des dommages indirects
Excluez la réparation des pertes d'exploitation, de chiffre d'affaires et de marge. Cette clause est valable entre professionnels et capte l'essentiel du risque financier. Elle ne fonctionne pas en cas de faute lourde mais constitue une barrière utile.
La clause de plafond
Plafonnez votre responsabilité à un montant déterminé, indépendant de vos honoraires, calibré sur votre couverture d'assurance.
Sur les missions à risque technique, l'assurance et le contrat doivent être pensés ensemble : la limite contractuelle protège la limite assurantielle, et inversement.
Questions fréquentes
Oui. Une requête mal calibrée peut saturer la base, déclencher des verrous, ou exposer des données. La notion de « lecture seule » sécurise contre les modifications, pas contre les impacts de performance ou les fuites accidentelles.
Partiellement et avec des limites importantes. Les polices RC Pro classiques excluent ou plafonnent souvent les dommages liés aux systèmes d'information. Une extension ou une police Cyber dédiée est généralement nécessaire pour les consultants intervenant sur des SI.
Souvent oui. Une absence de sauvegarde à jour, un environnement non isolé, des droits d'accès trop larges sont des facteurs de partage de responsabilité. L'expertise judiciaire répartit les torts.
À partir de quelques centaines d'euros par an pour une couverture de base ; davantage pour des plafonds élevés ou des activités exposées. Le ratio coût-protection est généralement très favorable.
Oui si des données à caractère personnel sont compromises et présentent un risque pour les personnes concernées. La notification doit intervenir dans les 72 heures de la connaissance de la violation. C'est en principe le client (responsable de traitement) qui notifie ; mais comme sous-traitant vous devez l'alerter sans délai.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Consultant en transformation digitale — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Consultant en transformation digitale →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.