Pourquoi une réclamation de cyberassurance est-elle refusée, et que peut-on faire ? Les causes les plus fréquentes sont un défaut de divulgation à la souscription, le non-respect des mesures de sécurité minimales exigées par la police, une exclusion applicable, un délai de déclaration dépassé, ou un sinistre survenu avant l'entrée en vigueur du contrat. Une PME québécoise dont la réclamation est refusée dispose de plusieurs recours : révision interne auprès de l'assureur, médiation, plainte à l'Autorité des marchés financiers (AMF), et recours judiciaire à la Division des petites créances ou à la Cour supérieure selon le montant en jeu.
Recevoir un avis de refus après avoir subi une cyberattaque, un vol de données ou un rançongiciel est l'une des situations les plus stressantes qu'une PME québécoise puisse vivre : au choc de l'incident lui-même s'ajoute la découverte que la police d'assurance souscrite précisément pour ce genre de scénario ne paiera pas — du moins pas sans contestation. Ce guide s'adresse aux dirigeants de PME, aux responsables administratifs et aux conseillers juridiques qui font face à un refus de réclamation ou qui souhaitent comprendre comment en éviter un avant qu'il ne survienne. Nous couvrons en détail les cinq causes de refus les plus courantes avec des exemples concrets, un tableau comparatif pour visualiser rapidement chaque scénario, trois études de cas fictives mais réalistes de PME situées à travers le Québec, une checklist téléchargeable des étapes à suivre en cas de refus, le processus d'appel complet étape par étape, les recours disponibles au Québec incluant le rôle de l'AMF, un budget détaillé en dollars canadiens, et les ressources gouvernementales pertinentes. Nos techniciens certifiés accompagnent régulièrement des PME dans la préparation de leur dossier de conformité en cybersécurité, une étape qui devient cruciale au moment de souscrire — et plus encore au moment de réclamer.
Ce guide ne remplace pas un avis juridique
Le contenu de cet article est informatif et vise à orienter votre démarche. Chaque police de cyberassurance comporte ses propres clauses, exclusions et avenants, et chaque situation mérite une analyse individuelle. Pour un dossier de refus déjà en cours, consultez un avocat spécialisé en droit des assurances avant de prendre une décision qui pourrait affecter vos droits, notamment en matière de délais de prescription. Si vous cherchez plutôt à comprendre votre couverture avant un sinistre, notre guide Cyberassurance PME au Québec : Ce Qu'elle Couvre Vraiment est un bon point de départ.
Pourquoi les assureurs refusent des réclamations de cyberassurance
Contrairement à une croyance répandue, un refus de réclamation en cyberassurance n'est presque jamais arbitraire du point de vue de l'assureur : il repose généralement sur une clause précise du contrat, une condition de souscription non respectée, ou un élément factuel de l'incident qui, selon l'interprétation de l'assureur, sort du cadre de la couverture. Cela ne signifie pas que le refus est toujours justifié — l'interprétation de l'assureur peut être erronée, excessive, ou fondée sur une lecture défavorable d'une clause ambiguë — mais cela signifie que la contestation efficace commence toujours par comprendre précisément la clause invoquée, pas par une contestation générale du principe même du refus.
Les données du secteur de l'assurance montrent que le taux de refus initial en cyberassurance demeure plus élevé que dans plusieurs autres branches d'assurance commerciale, en partie parce qu'il s'agit d'un produit relativement jeune dont les clauses sont encore en évolution, et en partie parce que les incidents de cybersécurité impliquent souvent une part d'ambiguïté factuelle (quand exactement l'intrusion a-t-elle eu lieu ? quand l'entreprise l'a-t-elle réellement découverte ? les mesures de sécurité étaient-elles réellement en place au moment du sinistre ?) qui laisse une marge d'interprétation à l'assureur. C'est précisément cette marge que le processus d'appel et les recours décrits plus loin dans ce guide permettent de contester.
Il est aussi utile de rappeler que le refus initial n'est pas toujours définitif. Une part significative des refus de réclamation de cyberassurance sont révisés — partiellement ou totalement — à la suite d'une démarche structurée de contestation, particulièrement lorsque la PME fournit une documentation solide qui n'avait pas été présentée au moment de la décision initiale. C'est l'un des messages centraux de ce guide : un refus n'est pas la fin de la démarche, c'est le début d'un processus distinct.
Les cinq causes les plus courantes de refus
Ces cinq motifs représentent, dans l'expérience du secteur, la grande majorité des refus de réclamation en cyberassurance rencontrés par les PME québécoises. Les comprendre en détail permet à la fois de mieux se préparer avant de souscrire une police et de mieux argumenter en cas de refus déjà reçu.
1. Défaut de divulgation à la souscription
Au moment de souscrire une police de cyberassurance, l'assureur pose une série de questions précises sur la posture de sécurité de l'entreprise : incidents antérieurs, mesures en place (pare-feu, antivirus, authentification multifacteur, sauvegardes), formation des employés, et parfois un questionnaire technique détaillé rempli avec l'aide d'un fournisseur TI. Si l'entreprise a omis de déclarer un incident de sécurité antérieur — même mineur, même résolu sans conséquence apparente — ou a répondu de façon inexacte à une question sur ses mesures de sécurité, l'assureur peut invoquer un défaut de divulgation pour refuser toute réclamation ultérieure liée, de près ou de loin, à l'élément non divulgué. Ce motif est particulièrement fréquent lorsque la personne qui remplit le questionnaire de souscription (souvent un dirigeant ou un gestionnaire administratif) ne connaît pas l'historique technique complet de l'entreprise, notamment si un incident mineur a été géré directement par un employé sans être escaladé formellement.
2. Non-respect des mesures de sécurité minimales exigées par la police
La plupart des polices de cyberassurance modernes imposent des conditions de sécurité minimales comme préalable à la couverture — l'authentification multifacteur (MFA) sur les accès à distance et les comptes administrateurs, une solution de détection et réponse aux menaces (EDR), des sauvegardes régulières et testées, ou encore la formation périodique des employés contre l'hameçonnage. Si un sinistre survient et que l'enquête de l'assureur révèle que l'une de ces mesures, pourtant cochée « en place » dans le questionnaire de souscription, n'était en réalité pas déployée ou pas fonctionnelle au moment de l'incident, l'assureur dispose généralement d'un motif contractuel solide pour refuser la réclamation. C'est le motif de refus le plus fréquent chez les PME québécoises, notamment parce que les mesures de sécurité se dégradent souvent avec le temps sans que personne ne s'en aperçoive — une licence MFA expirée, une règle de pare-feu désactivée temporairement puis jamais réactivée, une sauvegarde qui échoue silencieusement depuis des mois.
3. Exclusion applicable de la police
Chaque police de cyberassurance comporte une liste d'exclusions — des situations explicitement non couvertes, peu importe les autres circonstances du sinistre. Les exclusions courantes incluent les actes de guerre ou de terrorisme (un enjeu particulièrement débattu depuis que certaines attaques de rançongiciel majeures ont été attribuées à des acteurs étatiques), les pertes causées par un employé actuel agissant de façon délibérément malveillante (selon la définition précise retenue dans la police), les défaillances d'infrastructure critique non liées à une cyberattaque, ou encore les pénalités réglementaires dans certaines juridictions où leur couverture est jugée contraire à l'ordre public. Le désaccord sur une exclusion applicable est souvent le motif de refus le plus contestable juridiquement, car l'interprétation précise du texte de l'exclusion — souvent rédigé dans un langage technique et juridique dense — laisse fréquemment place à débat.
4. Délai de déclaration dépassé
La quasi-totalité des polices de cyberassurance imposent un délai contractuel pour déclarer un sinistre à l'assureur après sa découverte — souvent entre 30 et 60 jours, parfois moins pour certains volets de la couverture comme les frais de notification en cas de violation de données personnelles. Une PME qui découvre une intrusion mais attend, par méconnaissance du processus, par espoir de régler la situation en interne, ou simplement par débordement pendant la gestion de crise, dépasse fréquemment ce délai sans s'en rendre compte. L'assureur peut alors invoquer le dépassement du délai comme motif de refus, même si le sinistre lui-même serait autrement couvert sans ambiguïté. Ce motif est particulièrement frustrant pour les PME, car il punit un délai administratif plutôt qu'un manquement réel en matière de sécurité.
5. Sinistre antérieur à la date d'entrée en vigueur de la police
De nombreuses polices de cyberassurance sont rédigées sur une base dite « réclamation présentée » (claims-made), ce qui signifie que la couverture s'applique aux réclamations présentées pendant la période de la police, pour un incident découvert pendant cette même période — et non à un incident qui aurait techniquement commencé avant la date d'entrée en vigueur, même si sa découverte est plus tardive. Un rançongiciel ou une intrusion peut demeurer présent dans les systèmes d'une entreprise pendant des semaines, voire des mois, avant d'être détecté. Si l'enquête technique établit que la compromission initiale a eu lieu avant la souscription de la police actuelle — par exemple sous une police précédente chez un autre assureur, ou avant toute couverture — l'assureur actuel peut refuser la réclamation au motif que le sinistre n'est simplement pas survenu pendant sa période de couverture.
La combinaison de plusieurs motifs est fréquente
Dans la pratique, un refus de réclamation invoque rarement un seul motif isolé. Il est fréquent qu'un assureur cite à la fois un délai de déclaration dépassé et un doute sur la date réelle de compromission, ou qu'un défaut de divulgation à la souscription soit invoqué en parallèle d'une mesure de sécurité manquante. Cette accumulation de motifs complique la contestation, d'où l'importance de traiter chaque motif séparément dans votre réponse plutôt que de répondre globalement au refus.
Tableau comparatif : causes de refus, prévention et recours
Ce tableau résume les cinq causes de refus, la façon de les prévenir avant même de souscrire ou pendant la durée de la police, et le recours le plus pertinent si le refus est déjà survenu.
| Cause de refus | Comment l'éviter | Recours applicable si refus déjà reçu |
|---|---|---|
| Défaut de divulgation à la souscription | Remplir le questionnaire de souscription avec l'aide du fournisseur TI, déclarer tout incident antérieur même mineur | Contestable si l'omission est jugée non substantielle ou sans lien avec le sinistre ; sinon, recours limité |
| Non-respect des mesures de sécurité minimales | Audit de conformité annuel aux exigences précises de la police, documentation continue (MFA, EDR, sauvegardes testées) | Révision interne avec preuve de correctifs appliqués ; médiation si désaccord sur l'interprétation de la clause |
| Exclusion applicable | Lire les exclusions avec un courtier avant de signer, négocier des avenants complémentaires si nécessaire | Contestation juridique fréquente si l'interprétation de l'exclusion par l'assureur semble excessive ou ambiguë |
| Délai de déclaration dépassé | Connaître le délai contractuel exact (souvent 30-60 jours), déclarer dès la découverte même sans détails complets | Médiation ; démonstration que le délai n'a causé aucun préjudice réel à l'assureur (argument reconnu dans certains dossiers) |
| Sinistre antérieur à la police | Vérifier le type de police (claims-made vs occurrence) et la continuité de couverture entre deux assureurs | Recours limité si la preuve technique est claire ; vérifier la couverture de la police précédente le cas échéant |
Votre police exige des mesures que vous n'êtes pas certain d'avoir en place ?
Nos techniciens certifiés IT Cares réalisent un audit de conformité qui compare vos mesures de sécurité réelles aux exigences précises de votre police de cyberassurance, avec un rapport documenté à conserver pour toute réclamation future.
Études de cas : trois PME québécoises face à un refus
Les scénarios suivants sont fictifs mais construits à partir de situations représentatives rencontrées par des PME québécoises. Les noms d'entreprises sont inventés ; les montants, motifs et issues reflètent des ordres de grandeur réalistes pour ce type de dossier.
Manufacturier de composants électriques — Sherbrooke
Une PME manufacturière de Sherbrooke subit une attaque par rançongiciel qui chiffre une partie de ses systèmes de production et de facturation, entraînant un arrêt partiel des opérations pendant six jours. La réclamation de 185 000 $ (rançon non payée, restauration des systèmes, pertes d'exploitation) est refusée par l'assureur, qui invoque l'absence d'authentification multifacteur sur les accès à distance des employés — une exigence explicite de la police, cochée « en place » au moment de la souscription dix-huit mois plus tôt, mais en réalité jamais complètement déployée sur l'ensemble des postes concernés. L'entreprise engage un avocat spécialisé et demande une révision interne, en démontrant que le MFA était bel et bien actif sur 80 % des accès à distance et que la faille exploitée touchait un compte spécifique oublié lors du déploiement initial, plutôt qu'une absence totale de la mesure. Après une médiation de six semaines, l'assureur accepte un règlement partiel de 95 000 $ — environ la moitié du montant initial — plutôt qu'un refus intégral, tout en maintenant que le manquement partiel justifiait une réduction de l'indemnité.
Cabinet comptable — Trois-Rivières
Un cabinet comptable de Trois-Rivières découvre qu'une boîte courriel d'un associé a été compromise pendant plusieurs semaines, exposant potentiellement des documents fiscaux de clients. L'incident est géré en interne dans un premier temps — changement de mot de passe, vérification des accès — sans déclaration immédiate à l'assureur, par méconnaissance du délai contractuel de 30 jours prévu à la police. La déclaration officielle est finalement envoyée 45 jours après la découverte de l'incident, une fois que l'ampleur réelle de l'exposition des données de clients devient apparente. L'assureur refuse la réclamation de 62 000 $ (notification aux clients affectés, surveillance de crédit, honoraires juridiques) au motif du dépassement du délai contractuel. Une première tentative de médiation échoue, l'assureur maintenant sa position. Le cabinet dépose une plainte à l'AMF concernant le traitement du dossier, puis engage un recours devant la Cour du Québec (chambre civile, le montant dépassant le plafond des petites créances) avec l'aide d'un avocat spécialisé en droit des assurances. Après quatorze mois de procédure, les parties concluent un règlement hors cour de 40 000 $, l'avocat du cabinet ayant fait valoir que le délai supplémentaire n'avait causé aucun préjudice démontrable à l'assureur dans l'enquête du dossier.
Firme de courtage immobilier — Gatineau
Une firme de courtage immobilier de Gatineau souscrit une police de cyberassurance après une brève tentative d'intrusion l'année précédente, résolue sans conséquence apparente par le fournisseur TI de l'époque et jamais mentionnée dans le questionnaire de souscription rempli par la direction, qui n'en avait pas gardé le souvenir précis. Dix mois plus tard, la firme subit une fraude par courriel compromis (usurpation de l'identité d'un dirigeant pour détourner un virement lié à une transaction immobilière) et réclame 90 000 $. L'enquête de l'assureur révèle, à travers les journaux techniques de l'ancien fournisseur TI, la tentative d'intrusion non divulguée de l'année précédente. L'assureur invoque le défaut de divulgation pour refuser intégralement la réclamation, une position que l'avocat consulté par la firme juge difficile à renverser, l'incident antérieur étant jugé raisonnablement pertinent à divulguer même sans conséquence apparente à l'époque. La firme choisit de ne pas engager de recours judiciaire coûteux face à des chances de succès jugées faibles, absorbe la perte, et fait réaliser un audit de conformité complet avant le renouvellement de sa police l'année suivante, avec divulgation exhaustive de tout historique technique documenté.
Que faire immédiatement après un refus de réclamation
Les premiers jours suivant un avis de refus déterminent souvent l'issue de toute la démarche de contestation qui suit. Cette checklist couvre les actions concrètes à poser, dans un ordre qui maximise les chances de succès d'un éventuel appel.
Checklist : après un refus de réclamation de cyberassurance
- ☐ Demander le refus par écrit avec les motifs détaillés et les clauses précises invoquées
- ☐ Relire la police d'assurance au complet — conditions générales, exclusions, avenants, annexes
- ☐ Vérifier les délais de contestation ou de révision prévus au contrat
- ☐ Rassembler tous les documents relatifs à l'incident lui-même (rapport d'intrusion, journaux techniques, chronologie)
- ☐ Rassembler les preuves de conformité aux mesures de sécurité exigées par la police au moment du sinistre
- ☐ Documenter la chronologie complète entre la découverte de l'incident et la déclaration à l'assureur
- ☐ Contacter le courtier d'assurance pour obtenir des clarifications et un avis préliminaire
- ☐ Demander formellement une révision interne ou un réexamen du dossier par l'assureur
- ☐ Consulter un avocat spécialisé en droit des assurances, surtout si le montant réclamé dépasse 15 000 $
- ☐ Évaluer l'option de la médiation avant d'envisager un recours judiciaire
- ☐ Vérifier son droit de déposer une plainte auprès de l'Autorité des marchés financiers (AMF)
- ☐ Évaluer le montant réclamé pour déterminer la bonne instance judiciaire (petites créances ou Cour supérieure)
- ☐ Conserver toutes les communications écrites échangées avec l'assureur, datées et classées
- ☐ Ne pas laisser expirer les délais de prescription applicables à un recours en justice
- ☐ Envisager un audit de conformité pour corriger les écarts identifiés et éviter un futur refus
Le processus d'appel étape par étape
Contester un refus de réclamation suit généralement une progression logique, des démarches les plus rapides et les moins coûteuses vers les recours plus formels. Sauter directement à un recours judiciaire sans épuiser les étapes précédentes est rarement la stratégie la plus efficace, à moins qu'un délai de prescription urgent ne l'exige.
Obtenir les motifs de refus par écrit
Toute compagnie d'assurance doit fournir par écrit les motifs précis d'un refus, avec référence aux clauses exactes de la police invoquées. Si le refus initial a été communiqué verbalement, exigez immédiatement une confirmation écrite — c'est le document de référence pour toute la suite du dossier.
Relire la police d'assurance au complet
Comparez le texte exact des clauses invoquées par l'assureur avec votre compréhension du contrat au moment de la souscription. Une lecture attentive révèle parfois que l'interprétation de l'assureur va au-delà de ce que le texte prévoit réellement, ou qu'un avenant complémentaire modifie une exclusion générale.
Rassembler toute la documentation disponible
Rapport d'incident technique, journaux de sécurité, preuves de mesures en place (captures d'écran de configuration, factures de licences MFA ou EDR), correspondance complète avec l'assureur et le courtier : plus le dossier est documenté, plus la contestation gagne en crédibilité.
Contacter le courtier ou l'agent d'assurance
Le courtier qui a placé la police connaît l'assureur, ses pratiques et parfois l'historique de dossiers similaires. Il peut signaler une erreur d'interprétation, clarifier une clause ambiguë, ou recommander directement de passer à l'étape suivante.
Demander une révision interne du dossier
La majorité des assureurs disposent d'un processus formel de réexamen des réclamations refusées, généralement confié à un service distinct de celui qui a rendu la décision initiale. Une demande de révision bien documentée, accompagnée des éléments manquants au dossier initial, aboutit à un renversement complet ou partiel dans une proportion significative des cas.
Recourir à la médiation
Si la révision interne ne change pas la décision, la médiation avec un tiers neutre — parfois proposée directement par l'assureur, parfois organisée de façon indépendante — permet souvent de résoudre le différend sans procédure judiciaire complète, à un coût et dans un délai généralement bien inférieurs à un procès.
Déposer une plainte à l'Autorité des marchés financiers (AMF)
Lorsque le traitement de la réclamation semble inéquitable, incomplet, ou non conforme aux obligations réglementaires de l'assureur envers ses assurés, une plainte peut être déposée à l'AMF, l'organisme qui encadre les assureurs opérant au Québec. L'AMF ne tranche pas le fond du litige, mais peut faire pression sur le processus de traitement du dossier.
Envisager un recours judiciaire
Selon le montant réclamé, la Division des petites créances (jusqu'à 15 000 $, sans avocat requis) ou la Cour supérieure (au-delà, généralement avec un avocat spécialisé en droit des assurances) permettent de faire trancher le litige par un tribunal lorsque toutes les démarches précédentes ont échoué.
Les recours possibles au Québec, en détail
Au-delà des huit étapes du processus d'appel, il vaut la peine de détailler chaque recours disponible pour une PME québécoise, car leurs coûts, délais et niveaux de formalité diffèrent considérablement.
La révision interne chez l'assureur
C'est la démarche la plus rapide et la moins coûteuse — elle ne coûte rien à entreprendre et ne requiert généralement aucune représentation professionnelle. Elle consiste à soumettre une demande formelle de réexamen, accompagnée de toute documentation additionnelle pertinente, au service de révision des réclamations de l'assureur (distinct du service qui a émis le refus initial). Le délai de traitement varie généralement entre 30 et 90 jours. Cette étape est presque toujours recommandée avant d'envisager toute démarche plus formelle, car elle donne à l'assureur une occasion de corriger une erreur sans qu'aucune des deux parties n'engage de frais juridiques.
La médiation
La médiation fait intervenir un tiers neutre, formé pour faciliter la négociation entre l'assuré et l'assureur, sans imposer de décision contraignante. Elle peut être proposée directement par l'assureur dans le cadre de son processus interne, organisée par l'entremise du courtier, ou obtenue par l'entremise d'un médiateur privé spécialisé en droit des assurances. La médiation fonctionne particulièrement bien lorsque le désaccord porte sur l'interprétation d'une clause ambiguë ou sur l'ampleur d'un manquement (comme un déploiement partiel de MFA plutôt qu'une absence totale), plutôt que sur un fait clairement établi et non contestable.
La plainte à l'Autorité des marchés financiers (AMF)
L'AMF est l'organisme provincial qui encadre les assureurs autorisés à opérer au Québec, incluant la surveillance de leurs pratiques de traitement des plaintes. Une PME peut déposer une plainte à l'AMF lorsque le processus suivi par l'assureur pour traiter sa réclamation semble ne pas respecter les obligations réglementaires applicables — délais de réponse déraisonnables, absence de motifs clairs, ou traitement jugé inéquitable. Il est important de comprendre les limites de ce recours : l'AMF n'a pas le pouvoir de forcer un assureur à payer une réclamation donnée ni de trancher le litige contractuel sur le fond. Son rôle porte sur la conformité du processus, pas sur le mérite du refus lui-même. Une plainte à l'AMF complète donc les autres recours, elle ne les remplace pas.
Le recours à la Division des petites créances
Pour les réclamations de 15 000 $ ou moins (le plafond en vigueur au Québec pour cette division), la Division des petites créances de la Cour du Québec offre une procédure simplifiée, rapide et peu coûteuse, où la représentation par avocat n'est généralement pas permise à l'audience — chaque partie présente elle-même son dossier. C'est une option accessible pour les PME dont le sinistre est de portée limitée, ou pour une portion d'une réclamation plus large qui pourrait être scindée stratégiquement, bien que cette stratégie mérite d'être validée avec un conseiller juridique.
Le recours à la Cour supérieure ou à la Cour du Québec (chambre civile)
Au-delà du plafond des petites créances, le litige se porte devant la Cour du Québec (chambre civile, pour les montants jusqu'à 85 000 $) ou la Cour supérieure (au-delà). Ces recours suivent une procédure judiciaire complète — interrogatoires préalables, échange de la preuve, plaidoiries — et s'étendent généralement sur plusieurs mois, parfois plus d'un an pour les dossiers complexes. La représentation par un avocat est fortement recommandée, sinon indispensable en pratique, compte tenu de la technicité du droit des assurances et de l'importance de bien présenter la preuve documentaire de conformité aux mesures de sécurité.
Le rôle de l'avocat spécialisé en droit des assurances
Un avocat qui pratique spécifiquement en droit des assurances — plutôt qu'en litige commercial général — connaît les arguments qui ont fonctionné dans des dossiers similaires, la jurisprudence applicable en matière de délais de déclaration et de divulgation à la souscription, et les pratiques habituelles des principaux assureurs actifs sur le marché québécois de la cyberassurance. Son rôle est utile dès l'étape de la révision interne pour formuler une demande solide, devient central lors d'une médiation pour négocier un règlement favorable, et est pratiquement indispensable pour tout recours devant la Cour du Québec ou la Cour supérieure.
Besoin d'aide pour documenter votre conformité à une police de cyberassurance ?
IT Cares accompagne les PME québécoises dans l'audit de leurs mesures de sécurité au regard des exigences précises de leur police — MFA, EDR, sauvegardes testées, formation des employés — avec un rapport documenté que vous pouvez présenter à votre assureur ou conserver en prévision d'une réclamation future.
Budget et prix au Québec : combien coûte la contestation d'un refus
Le coût d'une démarche de contestation varie énormément selon l'ampleur du désaccord et l'instance choisie. Voici des fourchettes réalistes en dollars canadiens, à titre indicatif, pour une PME québécoise en 2026.
| Démarche | Coût approximatif (CAD) | Délai typique |
|---|---|---|
| Révision interne chez l'assureur | Généralement sans frais | 30 à 90 jours |
| Consultation initiale avec un avocat spécialisé | 0 $ à 350 $ (souvent une première consultation forfaitaire) | Quelques jours à obtenir |
| Honoraires d'avocat spécialisé (taux horaire) | 250 $ à 500 $/heure selon l'expérience et la région | Variable |
| Dossier complet avec avocat jusqu'à règlement | 3 000 $ à 15 000 $+ selon la complexité | 2 à 8 mois |
| Médiation (frais partagés ou assumés par l'assureur) | 1 500 $ à 5 000 $ au total pour les deux parties | 4 à 10 semaines |
| Division des petites créances | Frais de dépôt d'environ 100 $ à 300 $ selon le montant réclamé, avocat non requis | 4 à 12 mois |
| Cour du Québec / Cour supérieure (litige complet) | 5 000 $ à 50 000 $+ en honoraires d'avocat selon la durée et la complexité | 8 à 24 mois |
| Plainte à l'AMF | Sans frais | Variable selon la charge de travail de l'organisme |
| Audit de conformité préventif (avant renouvellement) | 1 500 $ à 6 000 $ selon la taille de l'entreprise | 1 à 3 semaines |
Un constat pratique se dégage de ces fourchettes : pour une réclamation de moins de 15 000 $, les frais d'un litige complet devant la Cour du Québec ou la Cour supérieure peuvent facilement dépasser le montant même de la réclamation contestée, ce qui rend la révision interne, la médiation et la Division des petites créances nettement plus rationnelles sur le plan économique. Pour les réclamations plus importantes — souvent le cas en cyberassurance, où les pertes d'exploitation et les frais de restauration peuvent rapidement atteindre plusieurs dizaines de milliers de dollars — l'investissement dans un avocat spécialisé se justifie généralement, particulièrement lorsque la documentation de conformité est solide et que les chances de succès sont raisonnablement bonnes.
Ressources gouvernementales pertinentes
Plusieurs organismes publics, bien qu'ils n'interviennent pas directement dans un litige d'assurance, jouent un rôle pertinent en amont ou en périphérie d'un dossier de réclamation refusée.
Autorité des marchés financiers (AMF)
L'AMF encadre l'ensemble des assureurs autorisés à exercer au Québec et supervise leurs obligations envers les assurés, incluant le traitement équitable des plaintes. Toute PME qui estime que le processus suivi par son assureur dans le traitement d'une réclamation ne respecte pas les règles applicables peut déposer une plainte auprès de l'AMF, en plus (et non à la place) des autres recours contractuels ou judiciaires disponibles.
Commission d'accès à l'information du Québec (CAI)
Lorsqu'un sinistre implique une violation de données personnelles — un scénario fréquent en cyberassurance, notamment en cas de rançongiciel avec exfiltration de données ou d'accès non autorisé à des dossiers clients — l'entreprise a des obligations légales de déclaration auprès de la CAI en vertu de la Loi 25, indépendamment de sa relation avec son assureur. Un dossier de réclamation solide inclut généralement la preuve que ces obligations de déclaration ont été respectées, ce qui peut aussi renforcer la crédibilité de l'entreprise dans sa contestation d'un refus lié à un motif de délai ou de gestion de l'incident.
Banque de développement du Canada (BDC)
La BDC offre du financement aux PME canadiennes, incluant des solutions destinées à soutenir des investissements technologiques et en cybersécurité. Une PME qui vient d'essuyer un refus de réclamation et doit financer elle-même la restauration de ses systèmes ou le renforcement de ses mesures de sécurité en attendant l'issue d'un appel peut explorer les options de financement de la BDC pour éviter que le refus initial ne compromette sa capacité opérationnelle pendant la durée du litige.
Investissement Québec
Investissement Québec propose également des programmes d'accompagnement et de financement pour les PME québécoises qui investissent dans leur transformation numérique et leur sécurité informatique. Ces ressources sont particulièrement pertinentes pour une entreprise qui, à la suite d'un sinistre et d'un refus de réclamation, doit combler elle-même l'écart de mesures de sécurité identifié par l'assureur avant de pouvoir renouveler sa police ou souscrire une nouvelle couverture auprès d'un autre assureur.
Ces ressources ne remplacent pas un avis juridique
L'AMF, la CAI, la BDC et Investissement Québec jouent chacun un rôle spécifique, mais aucun de ces organismes n'agit comme représentant juridique de votre entreprise dans un litige avec votre assureur. Pour la contestation elle-même, un avocat spécialisé en droit des assurances demeure la ressource la plus directement pertinente au-delà de la révision interne et de la médiation.
Éviter un futur refus : la prévention par la conformité
La meilleure défense contre un refus de réclamation reste, de loin, de ne jamais en recevoir un — ce qui suppose une conformité continue aux exigences de la police plutôt qu'une conformité ponctuelle documentée uniquement au moment de la souscription initiale.
Documenter, pas seulement déployer
Les trois études de cas présentées plus haut partagent un point commun frappant : dans chacune, une mesure de sécurité ou une divulgation était partiellement en place, mais insuffisamment documentée pour résister à l'examen de l'assureur au moment du sinistre. Déployer l'authentification multifacteur ne suffit pas si personne ne peut démontrer, six mois plus tard, sur quels comptes précisément elle était active à la date du sinistre. Un audit de conformité régulier, avec rapport écrit daté, transforme une mesure de sécurité en preuve documentaire solide.
Revoir la police à chaque renouvellement
Les exigences des polices de cyberassurance évoluent rapidement d'une année à l'autre, à mesure que les assureurs ajustent leurs conditions en fonction des tendances de sinistralité du secteur. Une mesure jugée suffisante l'an dernier (par exemple, un MFA basé uniquement sur SMS) peut ne plus satisfaire les exigences du renouvellement actuel. Revoir attentivement chaque renouvellement avec le courtier, plutôt que de le reconduire automatiquement, évite les mauvaises surprises.
Impliquer le fournisseur TI dans le processus de souscription
Le questionnaire de souscription d'une police de cyberassurance contient des questions techniques précises que la direction d'une PME n'est pas toujours en mesure de répondre avec exactitude sans l'aide de son fournisseur TI. Impliquer ce dernier directement dans le remplissage du questionnaire, ou lui faire réviser les réponses avant soumission, réduit considérablement le risque d'un futur défaut de divulgation ou d'une déclaration inexacte sur les mesures en place.
Pour une compréhension plus large de ce que couvre réellement une police de cyberassurance avant même d'en arriver à une réclamation, notre guide Cyberassurance PME au Québec : Ce Qu'elle Couvre Vraiment détaille les couvertures, exclusions et coûts typiques pour une PME québécoise, et notre article Réduire sa Prime de Cyberassurance grâce à la Sécurité IT explique comment des mesures de sécurité bien documentées peuvent aussi réduire le coût de la police elle-même, en plus de sécuriser la couverture en cas de sinistre.
Questions fréquentes — Réclamation de cyberassurance refusée
Les cinq causes les plus fréquentes sont : un défaut de divulgation à la souscription (incident antérieur non déclaré), le non-respect des mesures de sécurité minimales exigées par la police (comme l'authentification multifacteur), une exclusion applicable au sinistre, un délai de déclaration dépassé après la découverte de l'incident, ou un sinistre survenu avant la date d'entrée en vigueur de la police.
Demandez les motifs de refus par écrit, relisez votre police en détail, rassemblez toute la documentation liée à l'incident et à vos mesures de sécurité, puis contactez votre courtier pour évaluer si une révision interne auprès de l'assureur est justifiée avant d'envisager la médiation ou un recours judiciaire.
Oui. Une PME québécoise peut demander une révision interne à l'assureur, recourir à la médiation, déposer une plainte à l'Autorité des marchés financiers si le traitement du dossier semble inéquitable, et ultimement porter le litige devant les tribunaux — à la Division des petites créances pour les montants de 15 000 $ ou moins, ou à la Cour supérieure au-delà de ce seuil.
L'Autorité des marchés financiers encadre les assureurs qui opèrent au Québec et reçoit les plaintes concernant le traitement des réclamations. Elle ne rend pas de décision sur le fond du litige (elle ne force pas l'assureur à payer une réclamation donnée), mais elle peut intervenir si le processus de traitement de votre dossier n'a pas respecté les obligations réglementaires de l'assureur envers les assurés.
Pas nécessairement pour une révision interne ou un recours à la Division des petites créances, où la représentation par avocat n'est généralement pas requise. Pour des montants plus importants, une médiation complexe ou un recours devant la Cour supérieure, un avocat spécialisé en droit des assurances augmente sensiblement les chances de succès et connaît les arguments qui ont fonctionné dans des dossiers similaires.
La médiation est un processus volontaire et non contraignant où un tiers neutre aide les deux parties à négocier un règlement, généralement plus rapide et moins coûteux qu'un procès. Le recours judiciaire est une procédure formelle devant un tribunal qui rend une décision contraignante, plus longue et plus coûteuse, mais nécessaire lorsque la médiation échoue ou que l'assureur refuse d'y participer.
Les délais varient selon la police et le type de recours envisagé, mais au Québec, le délai de prescription général pour une action en justice liée à un contrat d'assurance est de trois ans à partir du moment où l'assuré a connaissance de son droit d'agir. Certaines polices imposent aussi des délais contractuels plus courts pour une demande de révision interne, d'où l'importance d'agir rapidement plutôt que d'attendre.
Oui. Une part importante des refus est liée au non-respect de mesures de sécurité que la PME croyait avoir en place, sans documentation pour le prouver. Un audit de conformité aux exigences de la police, réalisé par un fournisseur TI, permet d'identifier les écarts avant un sinistre et de constituer la documentation qui sera exigée en cas de réclamation future.
Commentaires (3)
On a vécu presque exactement le scénario du délai de déclaration dépassé. On ne savait juste pas qu'il fallait déclarer aussi vite, même sans avoir tous les détails. Ça aurait pu être évité avec un peu plus d'information au moment de signer la police.
Je ne savais pas que l'AMF pouvait recevoir des plaintes contre un assureur pour la façon dont un dossier est traité. Bon à savoir, même si ça ne règle pas tout comme l'article l'explique bien.
La checklist est exactement ce qu'il nous manquait après notre refus. On a fait venir un technicien pour l'audit de conformité avant même de recontester, ça a beaucoup aidé à monter le dossier de révision.
Laisser un commentaire