Les fusions-acquisitions sont motivées par l’amélioration de l’efficacité financière et opérationnelle, la réduction des coûts IT et l’élargissement des parts de marché.
Néanmoins, ces avantages peuvent être nuancés par l’impact financier lié à l’intégration des nouveaux systèmes IT, les risques associés à la gestion de nouveaux types de données et aux obligations de conformité réglementaire de l’entreprise acquise. Toutes ces contraintes soulignent l’importance d’intégrer la quantification des risques cyber (CRQ) avant et après la fusion.
Depuis 2019, le nombre d’opérations de fusion-acquisition dans le monde dépasse les 40 000 par an (S&P Global Market Intelligence, 2023). La transformation numérique ajoute à la complexité du processus, car les entreprises dépendent aujourd’hui d’une constellation de processus numériques. Avant de finaliser l’acquisition, l’acheteur doit absolument procéder à un audit de cybersécurité. Cet audit est l’occasion d’affiner sa vision de l’impact opérationnel et financier de l’intégration des nouveaux systèmes IT, des risques de conformité réglementaire et des éventuelles lacunes de sécurité au sein de l’entreprise acquise.
Notre approche de la CRQ permet d’identifier les ressources numériques stratégiques (joyaux de la couronne) de l’environnement IT cible et de cartographier sa chaîne de valeur. Grâce à notre bibliothèque de scénarios de risque, nous définissons l’univers des risques de l’entreprise et cadrons les risques principaux. Les résultats quantifiés ainsi obtenus constituent la première étape dans l’identification des risques importants susceptibles de découler de la fusion.
Étude de cas : une petite startup opérant dans le domaine de la santé, possédant des actifs de propriété intellectuelle précieux, est acquise par une grande entreprise du secteur.
Avant l’acquisition, l’acheteur souhaite s’assurer qu’il pourra intégrer l’entreprise cible tout en maintenant les services d’assistance de cette dernière pour ses clients actuels. Il souhaite également gagner en visibilité sur le risque potentiel encouru par les actifs de propriété intellectuelle et sur le coût de l’intégration.
Il est crucial d’évaluer le risque cyber et technologique de l’entreprise cible au cours des audits préalables à la fusion-acquisition. En amont de la fusion, il est important de cartographier la chaîne de valeur intégrant les ressources numériques critiques. Dans l’exemple ci-dessus, il peut s’agir de propriété intellectuelle (IP), d’informations de santé protégées, d’informations à caractère personnel ou d’autres types de données structurées ou non. Les nouveaux types de données amènent leur lot d’exigences réglementaires, requièrent différents contrôles de sécurité et font émerger de nouveaux scénarios de risque. Après la fusion, il est important de savoir sous quels délais les systèmes IT pourront être connectés ou intégrés.
Chaque phase (découverte, quantification, évaluation des contrôles) informe la suivante. C’est pourquoi il convient d’identifier les nouveaux scénarios de risque qui découlent de la fusion, ainsi que les actions d’atténuation à mettre en place et leurs coûts. Par exemple, il peut s’avérer nécessaire de renforcer les contrôles ou d’élargir le service d’assistance. La CRQ est une approche basée sur le risque qui identifie et quantifie les menaces qui pèsent sur vos ressources numériques critiques. Elle vous permet d’aligner votre stratégie d’investissement fusion-acquisition sur votre appétence au risque.
Voyons comment nous avons géré les audits préalables à la fusion-acquisition grâce à la CRQ.
Cartographiez la chaîne de la valeur de l’entreprise cible, ainsi que celle de l’entreprise acquéreuse, si cela n’a pas déjà été fait. Identifiez ensuite les ressources numériques critiques.
- Quelles sont les différences entre l’entreprise acquéreuse et l’entreprise rachetée ?
- Ces différences introduisent-elles de nouveaux scénarios de risque cyber pour l’acheteur ?
Définissez un univers du risque et cadrez les scénarios de risque probables en vue de comparer plus facilement les deux entreprises.
Identifiez les pratiques infosec et menez une évaluation des contrôles dans les deux entreprises.
- Constatez-vous des lacunes ? Si c’est le cas, pourquoi ?
Une fois que la quantification et l’évaluation des contrôles auront produit leurs résultats, vous serez en mesure d’estimer le coût et les délais d’implémentation.
- En tenant compte de votre stratégie d’investissement et de votre appétence au risque, le prix d’acquisition doit-il être ajusté ?
- L’acquisition s’inscrit-elle convenablement dans votre stratégie de croissance et votre calendrier ?
Ne laissez pas l’incertitude cyber nuire à la valeur de votre prochaine acquisition. La quantification des risques cyber ajoutera de la valeur à votre processus d’audit préalable en identifiant les ressources critiques de l’entreprise absorbée et en quantifiant les risques les plus fréquents et les plus coûteux que vous risquez de rencontrer après l’acquisition.
L’intégration des systèmes d’information peut s’avérer plus coûteuse ou plus longue que prévu, ce qui peut avoir un impact sur le prix d’acquisition. Si des imprévus restent possibles, la CRQ transforme ces difficultés en opportunités stratégiques.
Les lacunes de sécurité créées par les disparités des fonctionnalités et des données peuvent se manifester de différentes façons. Il est vital de combler ces lacunes afin de réduire les effets financiers potentiels liés à la gestion du risque, de la sécurité et de la conformité.
L’harmonisation des exigences de conformité réglementaire et l’adaptation de l’environnement aux différentes juridictions exigent une planification stratégique. Le durcissement des exigences réglementaires peut entraîner une augmentation des coûts opérationnels après la fusion.
Vos ressources numériques critiques représentent la clé de voûte de votre chaîne de valeur. Au cours des activités d’audit préalables, il est important d’identifier les ressources numériques critiques de l’entreprise rachetée et de les cartographier par rapport à la chaîne de valeur avant de quantifier tout nouveau scénario de risque.
Nous comprenons qu’il est essentiel de poser les bonnes questions pour mener à bien les audits préalables. Notre approche vise avant tout à identifier les risques et les opportunités potentiels, chaque étape du processus fournissant des perspectives exploitables. Nous nous appuyons sur notre analyse quantitative pour réduire les biais et garantir que les données seront défendables.
Notre équipe facilite un processus de diligence raisonnable en matière de fusions et d'acquisitions basé sur le risque, dans lequel les risques sont non seulement identifiés mais aussi quantifiés, ce qui permet d'éclairer vos décisions.
Nous vous répondrons avec plaisir.
Le contrôle préalable du risque cyber est un élément essentiel de tout processus de fusion et d'acquisition. L'acquéreur et la cible peuvent tous deux être confrontés à des problèmes. Par exemple, la combinaison de systèmes ou de plateformes informatiques peut créer des vulnérabilités. Il peut y avoir des risques liés à des tiers, des problèmes de confidentialité des données et des protocoles de cybersécurité inadéquats. Une bonne compréhension de la chaîne de valeur de l'entreprise cible, l'établissement d'un scénario de risque et l'évaluation des contrôles peuvent contribuer à protéger votre investissement.
Réaliser une analyse de quantification des risques cyber (CRQ) peut être une démarche stratégique et régulière. Elle peut être utile aux différentes phases du cycle de vie et des processus décisionnels d'une organisation. Elle peut être utilisée dans le cadre de la planification stratégique, de la vérification préalable des fusions et acquisitions, de l'introduction de nouvelles technologies, etc.
Les échecs des fusions et acquisitions peuvent être dus à des difficultés d'intégration des systèmes et de gestion de données diverses, entraînant des violations ou des cas de non-conformité. L'audit cyber préalable à l'acquisition, enrichie par la quantification, permet aux acheteurs de valider le prix d'acquisition et d'assurer une intégration réussie en connaissant les risques financiers.
C-Risk est un expert reconnu dans la quantification des risques cyber selon la méthodologie FAIR™. Nous proposons des solutions de CRQ, des services de conseil et des formations à la quantification des risques.
