C'est inévitable. Le trésorier d'une entreprise de taille moyenne reçoit un e-mail confidentiel marqué « urgent » de la part du PDG, lui demandant de virer 750 000 dollars sur un compte bancaire à l'étranger à titre d'acompte dans le cadre d'une acquisition en cours.
Sachant qu'une telle transaction est en cours et ne souhaitant pas remettre en cause la directive d'un haut responsable, le trésorier s'exécute rapidement et rentre chez lui pour la journée.
Le lendemain matin, le trésorier a été réveillé par un appel téléphonique furieux du PDG, qui exigeait de savoir pourquoi une somme d'argent aussi colossale avait été versée sans son accord personnel. Plus tard dans l'après-midi, lorsqu'il apparaît clairement que cette confusion résulte d'une attaque de spear phishing visant le site et que les fonds ont été dérobés, ce trésorier est licencié.
En général, les trésoriers ne retiennent pas beaucoup l'attention au sein des entreprises. Ce sont généralement des rouages invisibles du système financier qui traitent les décaissements internes et externes et veillent au bon fonctionnement et à l'efficacité du service financier. Mais depuis peu, avec la mise en ligne des systèmes de gestion de trésorerie (TMS), les opérations de trésorerie sont désormais exposées au monde entier… et aux pirates informatiques.
De ce fait, de nombreux trésoriers se retrouvent à endosser un nouveau rôle auquel ils ne s'attendaient pas : celui de combattant contre la cybercriminalité.
« La mine de données personnelles et d’entreprise dont dispose un Trésor, son pouvoir d’effectuer des paiements et de transférer d’importantes sommes d’argent, ainsi que sa structure souvent complexe en font une cible de choix pour les cybercriminels », selon un rapport intitulé « » ( ) publié par l’Economist Intelligence Unit et la Deutsche Bank.
Les piratages informatiques visant les services de trésorerie des entreprises ne tarderont pas à se produire
Bon nombre des attaques les plus médiatisées impliquant des trésoriers ont visé des organismes publics. Mais cela ne signifie pas pour autant que les trésoriers d'entreprise soient à l'abri. Une enquête de l'Association for Financial Professionals (AFP) intitulée « » ( ) révèle que 71 % des entreprises ont été victimes d'attaques ou de tentatives de fraude aux paiements en 2021, et que près de 70 % ont été ciblées par des attaques de type « Business Email Compromise » (BEC), les services de comptabilité fournisseurs étant les plus exposés.
«Il y aura forcément quelqu’un, quelque part, qui trouvera un moyen de s’introduire dans votre système. » Les trésoriers doivent prévoir les mesures à prendre lorsque cela se produira. »Naresh Aggarwal, directeur adjoint chargé des questions politiques et techniques, Association of Corporate Treasurers
Naresh Aggarwal, directeur adjoint chargé des questions politiques et techniques au sein de l’Association of Corporate Treasurers (ACT) au Royaume-Uni, affirme que, même si bon nombre de ces attaques passent souvent inaperçues aux yeux du grand public, ce n’est qu’une question de temps avant que les trésoriers d’entreprise ne voient leurs services devenir la cible des piratages de grande envergure qui ont déjà frappé leurs homologues du secteur public.
« C’est une erreur de croire qu’une organisation, quelle qu’elle soit, peut se prémunir contre toute attaque », déclare M. Aggarwal. « Dans ce jeu du chat et de la souris auquel nous jouons en matière de sécurité, il y aura forcément quelqu’un, quelque part, qui trouvera un moyen de s’introduire dans votre système. » « Les trésoriers doivent prévoir ce qu’ils feront lorsque cela se produira. »
Selon M. Aggarwal, les trésoriers, en tant que gardiens des fonds, ont effectivement une tendance naturelle à jouer le rôle de gestionnaires des risques. Malheureusement, très peu d'entre eux ont une formation en technologie ou en sécurité.
Les trésoriers prennent conscience des risques liés à la cybersécurité
Avec la sophistication croissante des cyberattaques et la nécessité impérieuse d'empêcher que les systèmes de gestion de trésorerie ne deviennent des autoroutes numériques menant aux caisses des entreprises, la situation est en train de changer.
En effet, les trésoriers interrogés dans le cadre d’une enquête mondiale menée par 2022 ACT (« Les trésoriers en état d’alerte ») ont cité la cybersécurité comme leur principale préoccupation, devant l’inflation, la COVID-19, les incertitudes géopolitiques et les défis environnementaux. Huitante pour cent des trésoriers interrogés ont déclaré que leurs organisations investissaient dans les technologies de cybersécurité, contre 72 % en 2021.
En règle générale, les trésoriers ne choisissent pas les solutions de sécurité que leur entreprise acquiert, même si bon nombre d'entre eux participent aux décisions d'achat en matière de cyberassurance. Par rapport à la situation d'il y a une dizaine d'années, ils collaborent de plus en plus avec les responsables des services financiers, des opérations et de la sécurité pour ce type d'achats. Ils partagent également la responsabilité d'obtenir l'accord de la direction générale et du conseil d'administration d' pour le financement des projets technologiques.
Lutter contre les risques et recenser les responsables
Selon M. Aggarwal, les trésoriers d’entreprise les plus efficaces ne se contentent pas d’échanger et de communiquer régulièrement avec leurs homologues de haut niveau au sujet de gestion des risques ; ils contribuent également à planifier et à clarifier les rôles et les responsabilités de chaque service en prévision de futures cyberattaques. De plus, ils tiennent la direction générale et le conseil d'administration informés des mesures de sécurité qu'ils ont mises en place et des tests d'intrusion qu'ils ont réalisés. En résumé, ils font preuve d'esprit de collaboration et de communication.
« L'équipe de trésorerie ne devrait jamais fonctionner en vase clos », souligne M. Aggarwal. « Il est important qu’ils mènent le débat dans ce domaine de la gestion des risques financiers. » « Cela signifie donc qu’ils devront bien comprendre les risques liés à la cybersécurité, même s’ils ne maîtrisent pas tous les détails techniques qui les sous-tendent. »
Afin d'aider les organisations à prévenir une cyberattaque et à en minimiser les conséquences si celle-ci venait à se produire, les trésoriers interrogés par Endpoint recommandent de suivre les étapes suivantes.
1. Contribuez à l'élaboration de politiques de sécurité à l'échelle mondiale. Selon l'ACT, le trésorier devrait collaborer avec les responsables de la cybersécurité afin d'élaborer et de faire respecter des politiques de sécurité cohérentes, notamment celles relatives aux paiements. Les politiques doivent prévoir une série de contrôles et de contrepoids numériques afin de prévenir les cas de « spear phishing », dans lesquels les employés sont amenés, par la ruse, à transférer de l'argent vers des comptes tiers. M. Aggarwal indique que ces mesures pourraient également consister à désigner un « responsable des paiements » chargé d'examiner minutieusement les versements importants avant leur validation définitive.
2. Veillez à ce que le service informatique accorde la priorité à la fonction de trésorerie. Les responsables informatiques accordent souvent la plus grande attention aux services qui comptent le plus grand nombre d'utilisateurs accédant à leurs systèmes. Mais Royston Da Costa, trésorier adjoint du groupe Ferguson, une entreprise spécialisée dans la plomberie et le chauffage dont le chiffre d'affaires s'élève à 23 milliards de dollars, affirme que les responsables de la cybersécurité devraient se préoccuper tout autant de la protection des actifs critiques , tels que la trésorerie d'une entreprise, que de celle de ses terminaux.
Lorsqu'il a rejoint son entreprise il y a 20 ans, M. Da Costa a cherché à obtenir des services de sécurité haut de gamme pour son service, qui ne comptait alors que quatre employés. L'équipe informatique a dans un premier temps rejeté cette demande. « Nous nous sommes retrouvés relégués dans un no man’s land », se souvient-il. « Il m'a fallu un certain temps pour les faire changer d'avis. »
Finalement, M. Da Costa a réussi à convaincre le service informatique que le principal enjeu résidait dans le risque géré par la trésorerie, et non dans le nombre de personnes utilisant les systèmes. « Cela leur a vraiment ouvert les yeux », dit-il. « À cette époque, nous gérions environ 2,1 milliards de dollars d'actifs. » « Dès qu’ils ont compris cela, ils ont pris conscience de la situation et nous ont placés en tête de leur liste de priorités. »
3. Mettez en place un programme de cybersécurité spécifique au Trésor. Dans son rapport, la Deutsche Bank a souligné que si la cybersécurité constitue un objectif, la trésorerie devrait disposer de sa propre initiative de gestion de la cybersécurité, idéalement alignée sur la stratégie d’entreprise — et que cette stratégie devrait s’étendre à l’ensemble des personnes et des processus susceptibles d’interagir avec la trésorerie, y compris l’ensemble du personnel de la trésorerie d’entreprise, les banques qui traitent les transactions de l’entreprise, les bureaux SWIFT qui fournissent des solutions de connectivité bancaire, les chambres de compensation automatisées qui fournissent des solutions de paiement, ainsi que les prestataires de services de traitement des cartes de crédit.
4. Adoptez les technologies actuelles. Les systèmes de gestion de trésorerie jouent un rôle essentiel dans la gestion des flux de trésorerie et des risques d'une entreprise. Cependant, les systèmes conçus il y a plusieurs années peuvent ne pas disposer des fonctionnalités de sécurité nécessaires pour se prémunir contre les cybermenaces actuelles. Même s'ils sont plus récents, les systèmes peuvent tout de même présenter des failles s'ils ne sont pas régulièrement mis à jour ou corrigés via .
«Nous gérions environ 2,1 milliards de dollars d'actifs. » Dès que [l'équipe informatique] a reçu cette information, l'alerte a été donnée et ils nous ont placés en tête de leur liste de priorités. »Royston Da Costa, trésorier adjoint du groupe Ferguson
ACT recommande aux services de trésorerie de vérifier régulièrement s'ils utilisent bien les versions actuelles du TMS et s'ils disposent de ressources informatiques internes suffisantes pour assurer le fonctionnement et la sécurité du système. Si un service de trésorerie décide de concevoir ou de déployer sa propre technologie propriétaire, M. Da Costa recommande en outre de s'assurer que le RSSI de l'entreprise a donné son accord, afin d'éviter d'éventuels problèmes de compatibilité ou d'assistance à l'avenir.
5. S'entraîner, s'entraîner, s'entraîner. Cependant, même avec les technologies les plus performantes et les plus récentes, des failles finissent toujours par apparaître. « La principale faiblesse en matière de cybersécurité réside dans les êtres humains, et cela a toujours été le cas », déclare Chris van Dijl, trésorier international, formateur et fondateur du cabinet de conseil en gestion d'entreprise Cugavadi. « Les fraudeurs font preuve de plus en plus d’ingéniosité pour exploiter les gens, et ils peuvent prendre le pas sur n’importe quel service de trésorerie qui n’est pas suffisamment préparé. »
[Lire aussi : Pourquoi les employés enfreignent les politiques de cybersécurité]
Les professionnels de la sécurité soulignent qu’il est essentiel — en particulier alors que de nombreux employés travaillent à domicile — de former les collaborateurs aux procédures de paiement sécurisées, ainsi qu’aux menaces liées au phishing ( ), à l’ingénierie sociale ( ), aux techniques de phishing () et aux logiciels malveillants ( ) ( ). While 69% of employees in a 2021 TalentLMS and Kenna Security survey said they had completed cybersecurity training, 61% failed follow-up quizzes.
En fin de compte, les trésoriers d'entreprise doivent jouer un rôle plus actif dans la cybersécurité de leur organisation. Cela implique de prendre leurs responsabilités, de s'imposer et de montrer l'exemple afin de protéger les fonds de leur entreprise.
Car s'ils ne le font pas, rien ne garantit que quelqu'un d'autre le fera. Après tout, c'est à eux que revient la responsabilité finale.
