Faut-il passer par un courtier ou traiter directement avec un assureur pour la cyberassurance de votre PME au Québec ? Pour la majorité des PME, un courtier spécialisé en cyber-risque reste le choix le plus sûr : il compare plusieurs assureurs, négocie les exclusions, aide à remplir correctement le questionnaire de souscription et accompagne l'entreprise au moment critique d'une réclamation. Traiter directement avec un assureur peut convenir à une très petite structure au profil de risque simple, mais elle négocie alors seule, sans comparatif indépendant et sans avocat de son côté lors d'un sinistre contesté.
Ce guide s'adresse aux dirigeants et responsables de PME québécoises qui envisagent de souscrire — ou de renouveler — une police de cyberassurance et qui hésitent entre les deux chemins possibles. Nous couvrons en détail la différence réelle entre courtier et assureur direct, un tableau comparatif complet, la liste précise des questions à poser à un courtier avant de le mandater, les red flags qui doivent faire fuir, le budget concret en dollars canadiens, les ressources gouvernementales et réglementaires pertinentes au Québec, et trois études de cas d'entreprises québécoises fictives mais réalistes. Nos techniciens certifiés accompagnent régulièrement des PME dans la préparation technique qui précède la souscription d'une cyberassurance PME, notamment via un audit de sécurité informatique préalable — une étape que beaucoup de dirigeants découvrent trop tard être quasi indispensable pour obtenir une couverture complète.
Ce guide ne remplace pas un conseil juridique ou financier
La cyberassurance touche à la fois le droit des assurances et la gestion du risque informatique. Ce guide vous aide à poser les bonnes questions et à reconnaître les signaux d'alarme, mais la décision finale de souscription et l'analyse détaillée d'un contrat devraient toujours impliquer un courtier ou un conseiller juridique dûment autorisé au Québec.
Pourquoi ce choix compte plus qu'avant pour une PME québécoise
Il y a encore quelques années, la cyberassurance était un produit marginal, souscrit surtout par de grandes entreprises manipulant d'importants volumes de données. Ce n'est plus le cas en 2026. Trois réalités concrètes changent la donne pour toute PME établie au Québec, qu'elle soit à Montréal, à Québec ou en région.
Le marché de la cyberassurance s'est durci et complexifié
Face à la multiplication des rançongiciels et des fraudes par courriel d'affaires compromis, les assureurs ont resserré leurs conditions de souscription, ajouté des exclusions précises et exigent désormais des preuves techniques concrètes — authentification multifacteur généralisée, sauvegardes hors ligne testées, plan de réponse à incident documenté — avant d'accepter un risque ou d'offrir le meilleur tarif. Un dirigeant de PME qui tente de naviguer seul dans ce marché, sans comparatif ni expertise spécialisée, risque fort de payer trop cher pour une couverture pleine de trous, ou pire, de se voir refuser une réclamation pour non-respect d'une condition qu'il ignorait avoir acceptée.
Les exclusions déterminent en pratique ce qui sera vraiment payé
Une police de cyberassurance n'est jamais un simple chiffre de couverture affiché sur une brochure — c'est un contrat truffé de définitions, de sous-limites et d'exclusions qui déterminent, au moment d'un sinistre réel, ce qui sera effectivement remboursé. Deux polices affichant la même limite de couverture de 1 000 000 $ peuvent donner des résultats radicalement différents lors d'une réclamation, selon la façon dont sont rédigées les exclusions relatives à l'ingénierie sociale, à la négligence en matière de correctifs de sécurité, ou aux attaques par un État étranger. Comprendre ces nuances sans accompagnement spécialisé est pratiquement hors de portée pour un dirigeant de PME qui n'a ni le temps ni la formation juridique nécessaires.
Une mauvaise décision de souscription coûte cher au pire moment
Le problème avec un mauvais choix d'assureur ou de courtier ne se révèle généralement pas immédiatement — il se révèle au moment d'une réclamation, exactement quand l'entreprise a le plus besoin que tout fonctionne comme promis. Une PME victime d'un rançongiciel qui découvre, en pleine crise, que sa police exclut les rançons payées ou plafonne le remboursement des pertes d'exploitation à un montant dérisoire vit une double peine : l'incident lui-même, puis l'absence du filet de sécurité pour lequel elle payait une prime chaque année. C'est précisément ce risque que le bon choix entre courtier et assureur direct — et les bonnes questions posées en amont — permet de réduire de façon significative.
Courtier ou assureur direct : deux modèles bien différents
Avant de comparer les deux options en détail, il faut comprendre ce qui les distingue fondamentalement — pas seulement en théorie, mais dans la façon dont chacune se comporte concrètement pour une PME québécoise.
Le courtier : un intermédiaire indépendant qui représente votre PME
Un courtier en assurance de dommages est légalement tenu, au Québec, d'agir dans l'intérêt de son client — la PME — et non de l'assureur. Il n'est pas employé par une seule compagnie d'assurance : il travaille avec plusieurs assureurs, compare leurs offres pour un même profil de risque, négocie les termes et accompagne l'entreprise lors du renouvellement annuel et, surtout, lors d'une réclamation. Un courtier spécialisé en cyber-risque connaît en profondeur les particularités de ce type de police — bien plus techniques et évolutives qu'une assurance responsabilité civile classique — et sait généralement quels assureurs offrent les meilleures conditions selon le secteur d'activité et la taille de l'entreprise.
L'assureur direct : une négociation en tête-à-tête, sans intermédiaire
Traiter directement avec un assureur signifie que la PME négocie et souscrit sa police sans intermédiaire, souvent via une plateforme en ligne ou un représentant salarié de l'assureur lui-même. Ce représentant, contrairement au courtier, n'a pas d'obligation légale de représenter les intérêts de la PME — il représente l'assureur qui l'emploie. Ce modèle peut convenir à une entreprise avec un profil de risque très simple, un budget d'assurance limité, et une bonne compréhension autonome des enjeux de cyber-risque, mais il retire à la PME l'avantage d'un comparatif indépendant entre plusieurs assureurs et d'un allié dédié en cas de litige.
| Critère | Courtier spécialisé en cyber-risque | Assureur direct |
|---|---|---|
| Comparatif du marché | Compare plusieurs assureurs pour trouver le meilleur rapport couverture/prix | Un seul assureur, aucun comparatif indépendant possible |
| Obligation de représentation | Obligation légale de représenter les intérêts du client (PME) | Représente les intérêts de l'assureur, pas ceux de la PME |
| Coût pour la PME | Généralement inclus dans la prime via une commission de 10 % à 20 %, parfois honoraires additionnels | Aucune commission de courtage, mais parfois prime affichée non négociable |
| Accompagnement lors d'une réclamation | Souvent inclus — le courtier plaide activement pour son client auprès de l'assureur | La PME négocie seule directement avec l'assureur qui doit lui payer la réclamation |
| Accès à des services de réponse à incident | Fréquemment inclus ou facilité via le réseau du courtier (juristes, forensique, relations publiques) | Varie selon l'assureur, parfois limité à une ligne d'urgence générique |
| Complexité pour la PME | Le courtier gère la complexité du questionnaire et des exclusions | La PME doit comprendre seule le jargon technique et juridique |
| Idéal pour | PME de 5 employés et plus, secteurs réglementés, entreprises avec données sensibles | Très petite entreprise, profil de risque simple, budget très limité |
Avant de souscrire, savez-vous vraiment où vous en êtes en sécurité ?
Un audit de sécurité informatique préalable permet de répondre correctement au questionnaire de l'assureur, d'éviter un refus de réclamation pour fausse déclaration, et souvent d'obtenir une prime plus avantageuse. Nos techniciens certifiés IT Cares réalisent cet audit pour des PME partout au Québec.
Avantages et inconvénients détaillés de chaque option
Le tableau comparatif donne une vue d'ensemble, mais certains avantages et inconvénients méritent d'être approfondis pour une décision éclairée.
Les avantages concrets d'un courtier spécialisé en cyber-risque
Au-delà du simple comparatif de prix, un bon courtier apporte une valeur qui devient particulièrement visible au moment où une PME en a le plus besoin. D'abord, il connaît les appétits de risque propres à chaque assureur — certains assureurs acceptent volontiers les cabinets comptables mais sont réticents envers les commerces de détail en ligne, par exemple — et sait orienter la demande vers les bons interlocuteurs plutôt que d'essuyer des refus à l'aveugle. Ensuite, il négocie activement les termes du contrat, y compris des clauses souvent négociables que la plupart des dirigeants de PME ignorent pouvoir même discuter, comme l'ajustement d'une sous-limite ou l'ajout d'une clause de préavis plus généreuse en cas de non-renouvellement. Enfin, et c'est peut-être l'avantage le plus sous-estimé, un courtier expérimenté intervient directement auprès de l'assureur lorsqu'une réclamation est contestée ou traîne en longueur, un rôle qu'une PME seule ne peut généralement pas jouer avec le même poids.
Les inconvénients à considérer avec un courtier
Tous les courtiers ne se valent pas, et le principal risque n'est pas le modèle du courtage en soi, mais le choix d'un courtier généraliste sans expertise réelle en cyber-risque, qui se contente de transmettre une demande à un seul assureur habituel sans véritable comparatif ni analyse de la police. Un courtier peu impliqué peut aussi facturer une commission sans apporter de valeur ajoutée mesurable, ou tarder à répondre lors d'une urgence — d'où l'importance des questions à poser avant de mandater qui suivent plus loin dans ce guide.
Les avantages concrets de traiter avec un assureur direct
Pour une très petite entreprise au profil de risque simple — par exemple un travailleur autonome incorporé sans employés ni données sensibles — passer directement par une plateforme d'assureur en ligne peut permettre une souscription rapide, à moindre coût administratif apparent, sans intermédiaire à coordonner. Certains assureurs directs offrent aussi des interfaces numériques modernes et des délais de traitement très courts pour des profils de risque standardisés et bien documentés.
Les inconvénients à considérer avec un assureur direct
L'inconvénient majeur reste l'absence de comparatif : une PME qui négocie avec un seul assureur n'a aucun moyen fiable de savoir si les termes proposés sont compétitifs, ni si les exclusions sont plus ou moins généreuses qu'ailleurs sur le marché. De plus, en cas de sinistre contesté, la PME négocie seule face à une organisation dont l'intérêt financier direct est de minimiser le paiement de la réclamation, sans allié professionnel de son côté du dossier. Pour une PME avec des employés, des données clients, ou une exposition réglementaire (secteur financier, juridique, comptable, santé), ce désavantage pèse généralement plus lourd que l'économie apparente réalisée sur la commission de courtage.
Les questions précises à poser à un courtier avant de le mandater
Choisir un courtier ne devrait jamais se limiter à accepter la première recommandation venue d'un contact professionnel. Voici les questions concrètes à poser systématiquement avant de signer un mandat, regroupées dans une checklist que vous pouvez imprimer ou copier pour votre prochain appel avec un courtier.
Checklist — Questions à poser avant de mandater un courtier en cyberassurance
Un courtier sérieux répond à chacune de ces questions avec précision, sans détour et sans pression pour signer immédiatement. Prenez le temps de poser ces questions à deux ou trois courtiers différents avant de trancher — la comparaison entre leurs réponses en dit souvent plus long que les réponses elles-mêmes.
Red flags à surveiller chez un courtier ou un assureur
Certains signaux d'alarme reviennent régulièrement dans les dossiers problématiques observés par les techniciens et conseillers qui accompagnent des PME québécoises en matière de cybersécurité et d'assurance connexe. Voici les principaux à surveiller, du côté du courtier comme de l'assureur.
Red flags — Signaux d'alarme à ne jamais ignorer
Aucun de ces signaux, pris isolément, ne condamne automatiquement un courtier ou un assureur — mais la présence de deux signaux ou plus dans une même relation professionnelle justifie amplement de chercher ailleurs avant de s'engager pour une année complète.
Budget et prix de la cyberassurance au Québec en 2026
Les chiffres qui suivent donnent des repères réalistes pour une PME québécoise, mais varient selon le secteur d'activité, le volume de données traitées, la maturité en sécurité informatique et l'historique de sinistres de l'entreprise.
Commissions typiques de courtage
Au Québec, la commission d'un courtier en cyberassurance se situe généralement entre 10 % et 20 % de la prime annuelle, déjà intégrée dans le prix affiché par l'assureur — la PME ne paie donc normalement rien de plus que si elle traitait directement, sauf lorsque des honoraires professionnels distincts sont facturés pour un mandat plus complexe (analyse de risque approfondie, accompagnement lors d'un sinistre majeur), typiquement entre 500 $ et 2 500 $ CAD selon l'ampleur du mandat, toujours à confirmer par écrit avant d'être acceptés.
Primes annuelles selon la taille de la PME
| Taille de l'entreprise | Prime annuelle typique (CAD) | Facteurs qui font varier le prix |
|---|---|---|
| Travailleur autonome / micro-entreprise (1 à 4 employés) | 800 $ à 2 200 $ | Volume de données clients, présence d'un site transactionnel |
| Très petite PME (5 à 9 employés) | 1 200 $ à 4 000 $ | Secteur d'activité, usage du télétravail, historique de sinistres |
| PME (10 à 50 employés) | 4 000 $ à 12 000 $ | Maturité en sécurité (MFA, sauvegardes), secteur réglementé ou non |
| PME de taille moyenne (51 à 100 employés) | 10 000 $ à 25 000 $ | Volume de données sensibles, dépendance à des systèmes critiques |
| Entreprise de plus de 100 employés | 25 000 $ et plus | Complexité de l'infrastructure, exposition réglementaire, sinistres passés |
La taxe québécoise sur les primes d'assurance, pas la TPS/TVQ habituelle
Un point souvent mal compris par les dirigeants de PME : les primes d'assurance au Québec ne sont généralement pas assujetties à la TPS et à la TVQ de la même façon que la majorité des biens et services, mais à une taxe provinciale sur les primes d'assurance de 9 %, appliquée directement sur le montant de la prime par l'assureur. En revanche, si un courtier facture des honoraires professionnels distincts (et non une simple commission versée par l'assureur), ces honoraires peuvent être assujettis à la TPS et à la TVQ comme n'importe quel autre service professionnel — un détail à clarifier avec votre courtier et votre comptable au moment de budgéter le coût total réel de la police.
D'autres coûts à anticiper autour de la souscription
Au-delà de la prime elle-même, une PME devrait prévoir un budget pour les mesures de sécurité souvent exigées ou fortement recommandées par les assureurs avant l'émission d'une police à conditions avantageuses : authentification multifacteur sur l'ensemble des comptes critiques, solution de sauvegarde testée et isolée du réseau principal, et parfois un audit de sécurité informatique préalable, dont le coût varie généralement entre 800 $ et 3 000 $ CAD selon la taille de l'infrastructure évaluée — un investissement qui se rentabilise souvent par une prime réduite et une couverture plus solide.
La franchise (deductible) : un paramètre à négocier, pas à subir
La franchise, c'est-à-dire le montant que la PME doit assumer elle-même avant que la couverture de l'assureur ne s'active, varie généralement entre 1 000 $ et 10 000 $ CAD pour une petite ou moyenne PME, et peut grimper bien au-delà pour les entreprises de plus grande taille ou à risque élevé. Une franchise plus élevée réduit généralement la prime annuelle, mais augmente d'autant le coût à assumer au moment d'un sinistre — un arbitrage qu'un bon courtier explique clairement en fonction des réserves financières réelles de l'entreprise, plutôt que d'imposer une franchise standard sans discussion. Certaines polices appliquent aussi une franchise distincte, souvent plus faible, pour les frais de notification et d'accompagnement immédiat après un incident, un détail à clarifier avant de comparer deux offres uniquement sur la base de la prime affichée.
Comment réduire concrètement le montant de sa prime
Plusieurs mesures de sécurité, une fois documentées et démontrées à l'assureur, permettent d'obtenir une réduction réelle de la prime proposée, parfois de l'ordre de 10 % à 25 % selon l'assureur et le profil de risque. L'authentification multifacteur généralisée sur les courriels, les accès à distance et les systèmes financiers figure en tête de liste des mesures les plus valorisées par les assureurs en 2026, suivie de près par des sauvegardes régulièrement testées et isolées du réseau principal (immuables ou hors ligne), une solution de détection et réponse aux menaces sur les postes de travail (EDR), et un plan de réponse à incident documenté et déjà répété au moins une fois par simulation. Une PME qui investit dans ces mesures avant de magasiner sa police, plutôt qu'après avoir reçu une première soumission décevante, se présente en position de force devant n'importe quel courtier ou assureur.
Ressources gouvernementales et réglementaires au Québec
Plusieurs organismes publics offrent des ressources utiles, directement ou indirectement, aux PME québécoises qui naviguent la cyberassurance et la sécurité informatique qui l'entoure.
L'Autorité des marchés financiers (AMF) — le régulateur des courtiers en assurance
L'AMF encadre au Québec la distribution de produits d'assurance, y compris les courtiers et cabinets en assurance de dommages qui placent des polices de cyberassurance. Son registre public des personnes autorisées permet de vérifier gratuitement, en quelques clics, si un courtier ou un cabinet détient un certificat valide et s'il fait l'objet d'un historique disciplinaire. Cette vérification devrait faire partie systématique de la diligence raisonnable de toute PME avant de mandater un courtier.
La Banque de développement du Canada (BDC)
La BDC publie régulièrement des ressources et des outils d'évaluation destinés aux PME canadiennes pour évaluer leur maturité en cybersécurité et comprendre les risques financiers associés à une cyberattaque, un contexte utile avant même d'aborder la question de l'assurance. Certaines de ses solutions de financement peuvent aussi appuyer des investissements en sécurité informatique qui, indirectement, améliorent le profil de risque présenté à un assureur.
Investissement Québec
Investissement Québec accompagne les entreprises québécoises dans des projets de modernisation technologique, incluant parfois des volets liés à la cybersécurité, via différents programmes de financement et d'accompagnement. Une PME qui prévoit des investissements substantiels en sécurité informatique avant une souscription de cyberassurance a intérêt à vérifier si un programme applicable existe pour sa situation.
La Commission d'accès à l'information du Québec (CAI)
La CAI est l'organisme responsable de l'application de la Loi sur la protection des renseignements personnels dans le secteur privé au Québec, notamment les obligations de notification en cas d'incident de confidentialité touchant des renseignements personnels. Ces obligations légales influencent directement le type et le niveau de couverture de cyberassurance dont une PME a besoin, en particulier la couverture liée aux frais de notification et à l'accompagnement juridique en cas de fuite de données — un point à aborder explicitement avec votre courtier si votre entreprise traite des renseignements personnels de clients ou d'employés.
Ces ressources ne remplacent pas un avis professionnel personnalisé
Les organismes mentionnés ci-dessus offrent de l'information générale précieuse, mais ne remplacent pas l'analyse personnalisée d'un courtier autorisé pour le choix précis d'une police, ni celle d'un conseiller juridique pour les obligations spécifiques de conformité applicables à votre PME.
Trois études de cas de PME québécoises
Les scénarios suivants sont fictifs mais construits à partir de situations typiques rencontrées par des PME québécoises confrontées à ce choix entre courtier et assureur direct.
Une exclusion découverte avant la signature, pas après un sinistre
Un cabinet comptable de Sherbrooke comptant 14 employés avait reçu une soumission directe d'un assureur en ligne pour une prime de 3 100 $ CAD par année, séduisante par son prix. Avant de signer, le cabinet a consulté un courtier spécialisé en cyber-risque pour un second avis. Le courtier a identifié que la police excluait spécifiquement les pertes liées à la fraude par courriel d'affaires compromis (business email compromise) au-delà d'un plafond de 25 000 $ — une exclusion particulièrement risquée pour un cabinet comptable qui traite régulièrement des virements pour le compte de ses clients. En passant plutôt par le courtier vers un assureur spécialisé, le cabinet a obtenu une couverture sans ce plafond restrictif pour une prime de 4 400 $ CAD, soit 1 300 $ de plus par année, mais avec une protection réellement adaptée à son activité. Six mois plus tard, une tentative de fraude par courriel visant un virement de 38 000 $ a été détectée avant exécution — un scénario qui, s'il avait réussi avec l'ancienne police plafonnée, aurait laissé le cabinet responsable de plus de 13 000 $ non couverts.
Un red flag détecté à temps : commission non divulguée
Un manufacturier industriel de Trois-Rivières de 42 employés avait été approché par un courtier généraliste recommandé par un fournisseur d'équipement, sans vérification préalable de son expertise en cyber-risque. Lorsque le dirigeant a demandé, en suivant la checklist de questions présentée plus haut, comment le courtier était rémunéré, la réponse est restée vague, mentionnant seulement que « c'est inclus, ne vous en faites pas ». Après vérification au registre de l'AMF, le cabinet du courtier s'est révélé inscrit, mais sans mention d'expertise particulière en cyber-risque, et le dirigeant a découvert par la suite, via un second courtier consulté en parallèle, que la commission proposée pour le même profil de risque atteignait 22 %, au-dessus de la fourchette habituelle de 10 % à 20 %, sans justification claire du service additionnel correspondant. L'entreprise a finalement mandaté le second courtier, spécialisé en cyber-risque industriel, qui a placé une police comparable pour une prime totale inférieure de près de 1 800 $ CAD par année, tout en incluant un accès à une équipe de réponse à incident 24/7 absente de la première proposition.
L'audit de sécurité préalable qui a évité un refus de couverture
Une clinique de services professionnels de Gatineau, avec 8 employés et une base de données clients comportant des renseignements personnels sensibles, s'était vu proposer une prime attrayante par un assureur direct, sous condition de confirmer par écrit l'utilisation de l'authentification multifacteur sur l'ensemble de ses systèmes — une déclaration que la direction a signée sans vérification technique préalable, croyant la mesure déjà en place partout. Un audit de sécurité informatique commandé quelques semaines plus tard, à la suggestion d'un pair d'affaires, a révélé que l'authentification multifacteur n'était en réalité activée que sur la moitié des postes, une écart qui aurait constitué une fausse déclaration matérielle capable d'invalider entièrement une réclamation future en cas de sinistre. La clinique a corrigé la situation avant le renouvellement annuel, informé l'assureur de la correction, et évité ainsi un risque de refus de couverture qui aurait pu s'avérer catastrophique advenant une fuite de données touchant sa clientèle — un scénario particulièrement coûteux compte tenu des obligations de notification applicables sous la supervision de la Commission d'accès à l'information du Québec.
Comment procéder étape par étape pour bien choisir
Voici la démarche concrète recommandée pour une PME québécoise qui aborde ce choix pour la première fois, ou qui souhaite revoir une décision prise sans comparatif suffisant par le passé.
Évaluer honnêtement le profil de risque de votre PME
Volume et sensibilité des données traitées, dépendance aux systèmes numériques, secteur réglementé ou non, historique de sinistres — cette évaluation détermine si un assureur direct suffit ou si un courtier spécialisé devient nécessaire.
Réaliser ou mettre à jour un audit de sécurité informatique
Connaître précisément l'état réel de votre sécurité (authentification multifacteur, sauvegardes, correctifs) avant de répondre au questionnaire de souscription évite les fausses déclarations involontaires qui invalident une réclamation future.
Consulter au moins deux ou trois courtiers spécialisés en cyber-risque
Poser systématiquement les questions de la checklist présentée plus haut, et comparer non seulement les prix obtenus, mais la qualité et la précision des réponses données.
Vérifier l'inscription du courtier au registre de l'AMF
Une vérification gratuite qui prend moins de cinq minutes et qui élimine d'emblée tout intermédiaire non autorisé à exercer au Québec.
Exiger un comparatif écrit d'au moins deux ou trois assureurs
Un vrai courtier spécialisé peut fournir ce comparatif sans difficulté ; l'absence de comparatif écrit constitue en soi un red flag à ne pas ignorer.
Faire réviser les exclusions majeures avant de signer
Rançongiciel, ingénierie sociale, pertes d'exploitation, négligence en matière de correctifs de sécurité — chacune de ces exclusions mérite une explication claire, avec un exemple concret applicable à votre entreprise.
Revoir la police chaque année, pas seulement au premier achat
Le marché de la cyberassurance évolue rapidement ; un bon courtier retourne activement sur le marché à chaque renouvellement plutôt que de reconduire automatiquement la même police.
Reconnaître un courtier qui gère bien votre dossier après la signature
La qualité d'un courtier ne se juge pas uniquement au moment de la souscription, mais dans la façon dont il continue — ou non — de suivre le dossier par la suite. Un bon courtier prend l'initiative de vous contacter avant l'échéance annuelle, pas seulement quelques jours avant le renouvellement automatique. Il vous informe proactivement des changements dans le marché de la cyberassurance qui pourraient affecter votre couverture, comme une nouvelle exclusion devenue courante après une vague de sinistres dans un secteur donné. Il vous rappelle aussi, de façon proactive, les obligations contractuelles à respecter pour maintenir la police valide — par exemple confirmer annuellement que l'authentification multifacteur demeure active partout où elle a été déclarée. À l'inverse, un courtier silencieux pendant onze mois qui ne réapparaît qu'au moment de facturer le renouvellement, sans réel suivi entre-temps, n'apporte pas la valeur ajoutée qui justifie sa commission — un signal à surveiller même après la signature initiale, pas seulement avant.
Une PME québécoise qui prépare sa souscription à une cyberassurance ?
IT Cares accompagne les PME du Québec dans la préparation technique préalable à la souscription — audit de sécurité, mise en conformité de l'authentification multifacteur et des sauvegardes, documentation d'un plan de réponse à incident — pour répondre correctement aux questionnaires des assureurs et négocier une couverture plus solide avec votre courtier.
Questions fréquentes — Courtier ou assureur direct pour la cyberassurance
Pour la grande majorité des PME québécoises, un courtier spécialisé en cyber-risque est préférable, car il compare plusieurs assureurs, négocie les exclusions et accompagne l'entreprise lors d'une réclamation. L'assureur direct peut convenir à une très petite entreprise avec un profil de risque simple et un budget très limité, mais elle négocie alors seule et sans comparatif indépendant.
Le courtier est habituellement rémunéré par une commission versée par l'assureur, généralement entre 10 % et 20 % de la prime annuelle, déjà incluse dans le prix affiché — la PME ne paie donc pas de frais supplémentaires directs dans la majorité des cas. Certains courtiers facturent aussi des honoraires professionnels distincts pour des mandats plus complexes, ce qui doit être divulgué clairement avant la signature.
Oui. Au Québec, tout courtier ou cabinet en assurance de dommages doit détenir un certificat valide délivré par l'Autorité des marchés financiers (AMF), l'organisme qui encadre la distribution de produits d'assurance dans la province. Le registre des personnes autorisées de l'AMF permet de vérifier gratuitement en ligne si un courtier ou un cabinet est bel et bien inscrit et en règle.
La commission de courtage est versée au courtier directement par l'assureur et est déjà intégrée dans la prime payée par la PME, sans coût additionnel visible. Les honoraires professionnels, lorsqu'ils existent, sont facturés séparément par le courtier à son client pour des services précis comme une analyse de risque approfondie ou un accompagnement lors d'une réclamation complexe, et doivent être présentés par écrit avant d'être acceptés.
La plupart des assureurs exigent au minimum un questionnaire de sécurité détaillé, et plusieurs demandent une preuve technique (authentification multifacteur, sauvegardes testées, plan de réponse à incident) avant d'émettre une police ou d'appliquer le meilleur tarif disponible. Un audit de sécurité informatique préalable, réalisé par un fournisseur TI indépendant, permet souvent de répondre correctement au questionnaire et d'éviter une réclamation refusée pour fausse déclaration.
Une réponse vague ou évasive sur les exclusions d'une police de cyberassurance est un red flag sérieux, car les exclusions déterminent en pratique ce qui sera réellement payé lors d'un sinistre. Exigez que chaque exclusion majeure soit expliquée par écrit avec un exemple concret, et n'hésitez pas à consulter un second courtier ou un conseiller indépendant si les réponses demeurent insatisfaisantes avant de signer.
Oui, une PME peut généralement changer de courtier même en cours de police, en signant une lettre de courtage (broker of record letter) transférant la gestion du dossier au nouveau courtier, sans nécessairement changer d'assureur ni de prime en cours de terme. Le nouveau courtier prend alors en charge le renouvellement à venir et peut renégocier les conditions à cette occasion.
Les primes annuelles varient largement selon la taille de l'entreprise, son secteur et sa maturité en sécurité, mais se situent généralement entre 1 200 $ et 4 000 $ CAD par année pour une très petite entreprise de moins de 10 employés, entre 4 000 $ et 12 000 $ pour une PME de 10 à 50 employés, et au-delà de 12 000 $ pour des entreprises de plus grande taille ou manipulant des données sensibles en grand volume.
Commentaires (3)
On avait failli signer avec un assureur direct parce que le prix était plus bas. Après avoir posé les questions de la checklist à un courtier, on a réalisé que la police excluait presque tout ce qui nous inquiétait vraiment. Content d'avoir pris le temps de comparer.
Je ne savais pas qu'on pouvait vérifier un courtier sur le registre de l'AMF avant de signer quoi que ce soit. Ça devrait être la première étape pour tout le monde, ça prend deux minutes.
L'étude de cas sur l'audit de sécurité et le MFA pas vraiment activé partout, ça décrit exactement ce qu'on a découvert chez nous. Bon rappel qu'il faut vérifier avant de signer une déclaration à l'assureur, pas après.
Laisser un commentaire