Quand la cyber-perturbation devient un problème de liquidité pour les établissements de santé
Il n’est pas nécessaire qu’une cyberattaque pénètre directement dans un système de santé pour affecter sa liquidité. Une perturbation chez un organisme de traitement des réclamations, un fournisseur de technologie ou un autre fournisseur critique peut interrompre les recouvrements, retarder les paiements et affecter les opérations cliniques et administratives.
Les responsables du secteur de la santé se demandent de plus en plus non seulement si une organisation peut prévenir ou contenir une attaque, mais aussi si elle peut continuer à fonctionner et à maintenir ses flux de trésorerie lorsqu'un système critique ou un tiers devient indisponible. Cette question incombe directement aux directeurs financiers et aux responsables financiers du secteur de la santé, pour qui la cyber-résilience devient un élément essentiel de la continuité des activités et de la planification des liquidités.
Le défi de liquidité des directeurs financiers
Les directeurs financiers du secteur de la santé doivent traduire les cyber-perturbations en scénarios de liquidité crédibles. Les organisations doivent faire la distinction entre la perte de revenus, les recouvrements temporairement retardés, les coûts supplémentaires d'exploitation et de recouvrement, ainsi que le calendrier des produits d'assurance potentiels. L’objectif n’est pas de prédire un seul chiffre de perte, mais de comprendre les besoins de financement potentiels selon différentes durées et différents types de perturbations.
Les dépendances tierces compliquent ce calcul. Un système de santé peut exercer un contrôle strict sur son propre environnement et être néanmoins confronté à des conséquences opérationnelles et de trésorerie lorsqu'un fournisseur de services essentiels se déconnecte. La planification de la résilience doit donc tenir compte non seulement des systèmes qu’une organisation exploite, mais également des services externes sans lesquels elle ne peut pas fonctionner.
Réduire cette exposition nécessite plus que la simple conformité réglementaire. La cybersécurité et les risques liés aux tiers doivent être considérés comme faisant partie d’une gestion plus large des risques d’entreprise, en mettant l’accent sur le maintien des opérations critiques et la préparation à la reprise.
Ce que les responsables de la santé devraient prioriser
- Identifiez les dépendances tierces critiques. Déterminez quels services externes pourraient affecter matériellement les soins aux patients, les réclamations, les recouvrements ou d’autres opérations essentielles en cas d’interruption.
- Modélisez l’impact sur la liquidité. Tenez compte des retards de recouvrement, des revenus potentiellement irrécupérables, des coûts supplémentaires, de la couverture d'assurance et des besoins de financement potentiels selon différents scénarios de perturbation.
- Testez les plans de reprise au-delà des murs de l’organisation. Évaluez si les plans de continuité des activités tiennent compte des pannes prolongées impliquant des fournisseurs, des plates-formes technologiques et des services critiques.
Les évaluations des risques d'entreprise, l'audit interne, la gestion des performances des fournisseurs et la cyberconformité peuvent soutenir ces efforts, mais l'objectif va plus loin que la conformité. Il s'agit de garantir que l'organisation peut continuer à soigner les patients, maintenir ses opérations critiques et protéger ses liquidités lorsqu'un système clé ou un tiers devient indisponible.
Pour en savoir plus sur la cybersécurité, consultez notre Rapport spécial 2026.
