Modello di gestione del rischio aziendale (ERM)
In qualità di presidente del Comitato di revisione contabile di una società quotata in borsa, valuto costantemente il modello di gestione del rischio aziendale (ERM) al fine di monitorare le diverse componenti di rischio per l’organizzazione. Si può trattare di rischi operativi, quali l’abbandono di figure chiave o l’acquisizione di una nuova unità aziendale; oppure di rischi legati alla rendicontazione finanziaria, quali l’implementazione di un nuovo sistema transazionale o di nuovi modelli di ricavo. Tuttavia, il modello tradizionale di gestione del rischio aziendale (ERM) fatica a integrare una componente che può essere considerata uno dei rischi più pericolosi per alcune aziende al giorno d’oggi: il rischio legato alla sicurezza informatica.
Nell’attuale panorama informatico, qualsiasi azienda che gestisca e conservi dati sensibili dovrebbe valutare in che modo il Consiglio di Amministrazione vigili su tale rischio. Ciò potrebbe avvenire tramite un responsabile dei rischi informatici o un amministratore di riferimento all’interno del Comitato di revisione contabile del proprio Consiglio di amministrazione.
In qualità di presidente del Comitato di revisione, mi assicuro che il bilancio preventivo del piano operativo annuale disponga delle risorse, del personale e degli strumenti adeguati a supportare le funzioni contabili e finanziarie dell’azienda. Se la sicurezza informatica rappresenta un rischio elevato per un’azienda, occorre prestare la stessa attenzione per garantire che i reparti IT e di sicurezza dispongano di un supporto adeguato.
La sicurezza informatica non dovrebbe essere un aspetto secondario
Non si tratta di una supervisione fine a se stessa. In un recente studio della Borsa di New York (NYSE) (si apre in una nuova scheda), un amministratore su cinque ha dichiarato di aver discusso di sicurezza informatica solo a seguito di un incidente interno o di un caso verificatosi nello stesso settore. Un presidente designato o un amministratore di riferimento non solo è in grado di porre le domande giuste in modo proattivo, ma può anche collaborare con la direzione per definire un profilo di riferimento dei rischi informatici aziendali, monitorare i progressi compiuti dalla direzione verso il miglioramento e il raggiungimento degli obiettivi, nonché garantire che siano messe a disposizione risorse adeguate per mitigare i rischi dell’azienda e assicurarne la fiducia costante da parte degli stakeholder.
Molte aziende hanno già constatato di non aver garantito un livello adeguato di sicurezza informatica — il settore bancario è in prima linea in questo ambito. L’anno scorso, l’ CEOe Jamie Dimon ha annunciato che JPMorgan Chase avrebbe aumentato la propria spesa per la sicurezza informatica di 500 milioni di dollari all’anno (si apre in una nuova scheda). Altri istituti finanziari hanno seguito questo esempio e hanno effettuato aumenti analoghi, al di fuori del ciclo previsto, della spesa destinata alla sicurezza informatica. Complessivamente, le società finanziarie hanno stanziato ulteriori 2 miliardi di dollari per rinnovare i propri sistemi, oltre al livello attuale di spesa.
I moderni rischi informatici richiedono un cambiamento di paradigma da parte delle imprese, ma molte di esse non sono pronte ad adeguarsi per affrontare queste nuove sfide. In the early 2000s, in the wake of Enron and WorldCom, the Sarbanes-Oxley Act imposed strict accounting reforms on corporate financial disclosures, and the underlying transaction processing systems, to prevent accounting fraud. Ne è conseguito un aumento sostanziale delle spese destinate alla conformità, al fine di soddisfare tali requisiti. Oggi, se si considerano le violazioni costose e ampiamente pubblicizzate, come quelle subite da Sony e Anthem, risulta evidente che le aziende necessitano di un nuovo approccio alla gestione dei rischi informatici.
Domande su cui riflettere
Se la Sua azienda opera in un settore caratterizzato da un elevato livello di esposizione al rischio informatico — il che significa che gestisce e tratta dati finanziari e dati sensibili quali dati PII, dati PIH, dati relativi all’ PCI e e dati relativi alla proprietà intellettuale — spetta al consiglio di amministrazione e al team dirigenziale considerare tale aspetto come un potenziale rischio operativo.
Inizi con queste domande:
- Qual è il livello di rischio informatico dell’azienda e quali sono le fonti e le tipologie di dati sensibili su cui si basa tale valutazione?
- L’azienda ha effettuato una valutazione di riferimento dei rischi informatici ed esiste un processo continuo volto a monitorare i miglioramenti nel tempo?
- Esiste un piano di risposta alle violazioni informatiche o un piano di gestione delle crisi?
- Quali informazioni verranno condivise con il Consiglio di Amministrazione in merito al rischio informatico? Esiste una procedura regolare per esaminare la situazione con il CIO a livello di comitato del Consiglio di Amministrazione?
- Dovremmo nominare un amministratore responsabile all’interno del Comitato di revisione contabile, ampliare formalmente il mandato del Comitato stesso per includervi il rischio informatico, oppure il nostro rischio informatico è ritenuto sufficientemente elevato da giustificare la creazione di un Comitato per la sicurezza informatica (Cyber Risk ) separato e permanente?
- Qual è il costo della gestione dei rischi informatici rispetto al costo di una violazione dei dati? Abbiamo analizzato i casi di violazione verificatisi nel nostro settore per comprendere quali siano i costi complessivi di una violazione?
- L’azienda dovrebbe prendere in considerazione una polizza assicurativa sulla sicurezza informatica o altre nuove categorie di tecnologie di sicurezza per mitigare i rischi e i costi?
In definitiva, la gestione della sicurezza informatica spetta all’intero team dirigenziale: non è solo una questione che riguarda il CIO o il CISO, ma anche l’ CEO e e il team esecutivo. La presenza di rappresentanti della sicurezza informatica a livello di Consiglio di Amministrazione contribuisce a garantire che venga effettuato un adeguato livello di verifica, nell’ambito dell’adempimento da parte del Consiglio stesso della propria responsabilità fiduciaria di monitorare il rischio complessivo dell’azienda.
Eric Brown, Direttore finanziario e Direttore operativo
Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento con per una dimostrazione individuale oppure partecipate al nostro webinar settimanale. Si rivolga ai nostri esperti di “ Tanium” in occasione dei nostri prossimi eventi “ ”.
