Perché la Sicurezza Informatica Deve Essere una Priorità a Livello Direzionale nelle Aziende?

La gestione dei rischi informatici deve essere trattata con la stessa importanza con cui si sviluppa l'infrastruttura IT all'interno di un'organizzazione. Le aziende devono sviluppare strategie per valutare la sicurezza informatica dei propri asset e i rischi associati a potenziali violazioni dei dati. Pertanto, il consiglio di amministrazione deve comprendere che la sicurezza informatica è un problema di gestione del rischio a livello aziendale che deve essere affrontato in modo strategico, trasversale tra i vari dipartimenti e con una visione economica complessiva.

La sicurezza informatica non deve essere vista come una questione esclusivamente IT, ma come una problematica che può arrecare danno agli stakeholder, interrompere le operazioni aziendali e compromettere la sicurezza delle informazioni confidenziali e degli asset aziendali. In questo contesto, la supervisione della gestione del rischio informatico deve essere una responsabilità condivisa da tutti i membri del consiglio di amministrazione. Non esiste una singola soluzione che possa affrontare tutti i rischi informatici, e i membri del consiglio devono sviluppare piani adeguati per gestire efficacemente tutte le forme di rischio cibernetico.

Un elemento fondamentale per mitigare i rischi informatici è la creazione di una cultura aziendale che garantisca che tutti i dipendenti prendano sul serio la sicurezza informatica. Le migliori pratiche in materia di sicurezza devono essere integrate nei programmi di formazione delle risorse umane e nei workshop aziendali. Inoltre, i dipendenti devono essere costantemente aggiornati sulle minacce cibernetiche emergenti in diverse regioni del mondo. La formazione e la consapevolezza sono quindi essenziali per la difesa collettiva contro gli attacchi informatici.

Il consiglio di amministrazione, quindi, deve adottare una strategia globale dell’organizzazione per affrontare le problematiche legate alla sicurezza informatica e mitigare le conseguenze degli attacchi informatici. La buona governance aziendale in relazione ai rischi informatici è essenziale per ridurre i danni derivanti dagli attacchi. In questo senso, i membri del consiglio devono essere pienamente coinvolti nello sviluppo, nell’implementazione e nell’adattamento delle strategie volte a contrastare le minacce cibernetiche. È inoltre fondamentale che il consiglio assegni risorse e fondi adeguati per affrontare le minacce informatiche, sia quelle conosciute che quelle sconosciute.

Affrontare i rischi informatici in un ecosistema aziendale comporta numerose difficoltà. Queste difficoltà derivano dall'approccio sofisticato adottato dai criminali informatici per lanciare attacchi, come nel caso del "spear phishing", che permette loro di compiere violazioni dei dati di alto profilo, compromettendo la riservatezza e l'integrità delle informazioni sensibili. Inoltre, l'adozione di strategie di distribuzione dei prodotti che coinvolgono più fornitori e venditori in diverse regioni e paesi aumenta l'esposizione dell'organizzazione ai rischi informatici. Anche le operazioni di acquisizione e fusione di aziende incrementano i rischi, poiché spesso non vi è un'integrazione adeguata dei sistemi complessi in tempi brevi.

Le aziende, inoltre, trovano difficoltà a creare un sistema sicuro che gestisca il livello di connessione tra fornitori, clienti, partner, affiliati e la rete aziendale. Molte delle violazioni più significative dei dati sono derivanti dalle vulnerabilità dei fornitori o dei venditori collegati alla rete aziendale. Poiché molte aziende stabiliscono relazioni di fiducia con i loro fornitori e condividono informazioni personali dei clienti, i criminali informatici sfruttano questo punto debole per ottenere accesso non autorizzato ai dati sensibili.

Un altro rischio potenziale per la sicurezza informatica di un’azienda è la conservazione di grandi quantità di dati sensibili su reti esterne o su cloud pubblici. Il fatto che queste aziende non gestiscano né abbiano il pieno controllo su tali reti rappresenta un rischio significativo. Molte aziende commettono l'errore di presumere che i fornitori di servizi cloud abbiano sviluppato adeguate misure di sicurezza per proteggere i propri dati. Questo errore può danneggiare gravemente la reputazione dell’azienda in caso di violazioni dei dati.

Pertanto, il consiglio di amministrazione deve assicurarsi che la direzione esegua una valutazione approfondita della sicurezza informatica sia della rete aziendale che dell’ecosistema aziendale più ampio in cui l’impresa opera. Il consiglio deve impegnarsi attivamente in discussioni frequenti con la direzione per identificare i vari livelli di rischio informatico che esistono nell’organizzazione. Deve anche collaborare con la direzione per sviluppare una postura di rischio informatico adeguata per l’azienda.

Un ulteriore compito del consiglio di amministrazione è prestare attenzione agli asset di valore dell’organizzazione. È responsabilità del consiglio indicare alla direzione i rischi di attacchi informatici a bassa o alta probabilità che potrebbero avere impatti catastrofici sull'azienda. La direzione, a sua volta, deve sviluppare strategie per proteggere tali asset, garantendo che le misure di protezione siano efficaci. I membri del consiglio, infine, devono essere periodicamente informati sull’efficacia delle strategie adottate per proteggere le informazioni riservate dell’organizzazione.

Nonostante sia ormai noto che la gestione dei rischi informatici spetti al consiglio di amministrazione, molti membri non sanno come gestirli efficacemente. Sebbene i rischi informatici possano essere gestiti con un approccio di gestione del rischio a livello aziendale, non possono essere completamente eliminati. Pertanto, è necessario che i membri del consiglio abbiano una comprensione approfondita della natura delle minacce cibernetiche nel contesto in cui l’azienda opera. Devono essere disposti a esplorare una varietà di approcci per migliorare la sicurezza dell’azienda, come delegare compiti specifici legati alla gestione dei rischi informatici a comitati di audit, tecnologia, rischi o internazionali, e discutere regolarmente con la direzione e il consiglio stesso su come affrontare le problematiche di sicurezza informatica.

L’efficace governance e la protezione dei dati sensibili non possono prescindere da un impegno costante a livello dirigenziale, il quale deve essere in grado di prevedere, prevenire e reagire prontamente alle minacce informatiche, che si evolvono costantemente. La cooperazione tra il consiglio di amministrazione e la direzione è cruciale per il successo della gestione dei rischi informatici.

Come Stabilire una Governance Efficace della Cybersecurity nell'Organizzazione

La governance della cybersecurity è un aspetto cruciale per qualsiasi organizzazione moderna, poiché le minacce informatiche sono in costante evoluzione e la protezione dei dati aziendali è fondamentale. La creazione di un quadro strategico per la cybersecurity deve essere allineata agli obiettivi aziendali e alle strategie organizzative. È essenziale che tutti gli attori coinvolti, come il consiglio di amministrazione, la direzione e i responsabili del rischio, comprendano appieno gli obiettivi di sicurezza informatica dell'organizzazione.

Il consiglio di amministrazione ha il compito di assicurarsi che la direzione e i responsabili del rischio stabiliscano obiettivi chiari, realizzabili e pertinenti per la cybersecurity. La cybersecurity non è una questione isolata, ma un sistema complesso di elementi interconnessi. Per questo motivo, è cruciale che il consiglio e la direzione lavorino insieme per sviluppare e ottimizzare le misure di protezione contro le minacce informatiche. Spesso, infatti, gli attacchi informatici mirano ai punti deboli del sistema aziendale, ed è quindi importante che la sicurezza informatica venga considerata come un insieme di componenti dipendenti che devono lavorare in modo integrato.

Un approccio efficace alla governance della cybersecurity implica l'adozione di una strategia sistematica che preveda limiti e quadri operativi per una gestione appropriata dei rischi informatici. La governance deve includere sia misure preventive che correttive per affrontare i rischi. Le politiche e le procedure formali devono essere sviluppate per guidare tutti gli attori coinvolti nella prevenzione dei rischi, ma anche nella gestione degli incidenti imprevisti, come le violazioni dei dati e gli attacchi informatici.

Inoltre, le misure di governance devono essere abbastanza flessibili da adattarsi sia agli attacchi convenzionali che a quelli non convenzionali, che sono sempre più sofisticati. I cybercriminali, infatti, sviluppano nuove tecniche per eludere le difese aziendali, rendendo necessaria una continua evoluzione delle strategie di sicurezza.

Per stabilire una governance flessibile ed efficace, il consiglio di amministrazione e la direzione devono seguire un processo in sei fasi, che include:

1. Identificazione delle necessità degli stakeholder: È fondamentale che il consiglio e la direzione identifichino gli interessi degli stakeholder interni ed esterni rispetto alla cybersecurity. Questo include la comprensione dei requisiti di riservatezza e segretezza, nonché l'articolazione delle aspettative e degli obblighi di reporting. La sicurezza delle informazioni deve essere garantita anche attraverso il coinvolgimento di consulenti esterni, rispettando i loro obblighi di riservatezza.

2. Gestione della strategia di trasformazione della cybersecurity: La trasformazione della cybersecurity è un processo che avviene dopo la revisione delle strategie esistenti, con l’obiettivo di migliorare il sistema di governance e gestione. Questo processo richiede una valutazione approfondita dei rischi legali e normativi legati alla criminalità informatica e alla guerra cibernetica, nonché un’analisi delle soglie di tolleranza al rischio e delle vulnerabilità sistemiche. È necessario anche definire gli spostamenti nei paradigmi di sicurezza che potrebbero influenzare l’efficacia della governance.

3. Definizione della struttura di cybersecurity: La definizione di una struttura organizzativa per la cybersecurity è un passo cruciale per garantire la corretta gestione dei rischi. Questo implica l’identificazione delle responsabilità all’interno dell’organizzazione e la garanzia che la governance sia in linea con la cultura e gli obiettivi aziendali.

Un elemento centrale di questo processo è la consapevolezza che la cybersecurity non è solo un problema tecnico, ma anche culturale e organizzativo. Le aspettative del consiglio e della direzione devono essere allineate alla strategia globale dell’organizzazione e alla sua cultura aziendale. Inoltre, il programma di sensibilizzazione sulla sicurezza deve essere promosso a tutti i livelli, per garantire che ogni membro dell'organizzazione comprenda il proprio ruolo nel mantenimento della sicurezza.

La governance efficace della cybersecurity non si limita quindi a rispondere alle minacce attuali, ma deve essere vista come un processo dinamico che si evolve con il mutare delle tecnologie e delle minacce. In questo contesto, è essenziale una costante interazione tra il consiglio di amministrazione, la direzione e i responsabili della cybersecurity per assicurare che tutte le risorse siano utilizzate in modo ottimale e che le misure di protezione siano continuamente aggiornate.

L'importanza di una cultura della sicurezza all'interno dell'organizzazione non può essere sottovalutata. Oltre alle misure tecniche, è cruciale che venga promossa una mentalità di sicurezza tra tutti i dipendenti, attraverso formazione continua e consapevolezza sui rischi e sulle best practice. La sicurezza informatica deve diventare una priorità condivisa che coinvolge ogni aspetto dell'operatività aziendale, creando un sistema di difesa resiliente, pronto ad affrontare le sfide future.

Quali misure devono adottare i consigli di amministrazione per gestire i rischi informatici?

La gestione della sicurezza informatica è una questione complessa che richiede una supervisione attenta e una struttura organizzativa ben definita. I consigli di amministrazione, insieme ai comitati indipendenti, hanno un ruolo cruciale nell’assicurare che le pratiche di sicurezza informatica siano integrate nelle politiche aziendali e che siano rispettate adeguatamente. La loro responsabilità non si limita alla sola approvazione di misure generali, ma include anche il monitoraggio continuo e l'adeguamento delle strategie per prevenire e rispondere a incidenti informatici.

Una delle prime azioni da intraprendere consiste nella chiarificazione della separazione organizzativa delle funzioni e delle informazioni. Il consiglio di amministrazione deve garantire che la gestione implementi una funzione di sicurezza informatica efficace, in grado di prevenire i rischi e rispondere agli attacchi informatici. Questo implica una valutazione approfondita della struttura decisionale all’interno dell’organizzazione, con l’introduzione di un modello di responsabilità chiaro (RACI) che definisca chi è responsabile, consultato, informato e responsabile per le attività di sicurezza informatica. Tale modello deve essere discusso e approvato dal consiglio prima della sua attuazione.

Inoltre, il consiglio e i membri del comitato indipendente devono considerare tutte le forme di diritti decisionali che potrebbero essere necessari durante una crisi informatica o un incidente di sicurezza. È fondamentale che i membri del consiglio e i comitati comprendano chiaramente le responsabilità e i compiti di tutti gli attori coinvolti, compresi amministratori delegati, direttori finanziari e responsabili del rischio, affinché le misure di sicurezza siano comprese e attuate in modo uniforme.

Il consiglio di amministrazione deve anche garantire che tutte le attività trasformative legate alla sicurezza informatica siano incluse nell’agenda dei comitati aziendali. Le pratiche di sicurezza devono essere integrate in tutti i livelli dell’organizzazione, senza lasciare aree vulnerabili o sottovalutate. Oltre alla gestione operativa, la comunicazione dei rischi informatici deve seguire un canale chiaro e privilegiato, privilegiando l’approccio di "necessità di sapere" e limitando l’accesso alle informazioni a chi effettivamente ne ha bisogno.

La gestione delle risorse per la sicurezza informatica deve essere ottimizzata in modo che le risorse esterne ed interne siano allineate alle necessità di protezione dei dati e alle minacce emergenti. Ogni risorsa deve essere valutata rispetto agli obiettivi stabiliti per la prevenzione e la mitigazione degli attacchi informatici. In questo contesto, il monitoraggio continuo dell'efficacia delle misure adottate è essenziale. Il consiglio deve assicurarsi che vengano utilizzati dei metriche per monitorare non solo gli incidenti passati, ma anche le vulnerabilità e le minacce emergenti, integrando queste informazioni nella strategia complessiva di sicurezza.

Tutti questi passaggi sono fondamentali per garantire che un’organizzazione sia in grado di rispondere tempestivamente a una crisi informatica e di mantenere un equilibrio tra opportunità di business e rischi informatici. Il consiglio di amministrazione, in collaborazione con la gestione e i dirigenti del rischio, deve monitorare costantemente la sicurezza e adattare le strategie in base all'evoluzione delle minacce, tenendo sempre in considerazione l’obiettivo di proteggere l’integrità dei dati e delle informazioni aziendali.

Inoltre, un aspetto fondamentale che i membri del consiglio di amministrazione devono comprendere appieno è la necessità di aggiornamenti costanti sulle leggi e le normative in continua evoluzione nel settore della cybersecurity. Ogni aggiornamento legislativo dovrebbe essere attentamente integrato nei protocolli aziendali, così da garantire la piena conformità e prevenire sanzioni o danni reputazionali. Una cultura aziendale orientata alla sicurezza deve essere promossa a tutti i livelli, partendo dai vertici fino ai dipendenti, affinché la cybersecurity diventi un obiettivo comune, condiviso da tutti gli attori coinvolti nell’organizzazione.

Come Implementare una Cultura del Rischio Efficace: Il Ruolo del Consiglio di Amministrazione e la Gestione del Rischio nell'Organizzazione

La responsabilità di garantire che la governance del rischio sia correttamente implementata all'interno di un'organizzazione è principalmente del consiglio di amministrazione. Gli stessi membri devono confermare che le pratiche di supervisione del rischio non siano fuorvianti o errate, come evidenziato da Gupta e Leech (2015). Sebbene le aspettative di regolazione siano in continuo cambiamento, le organizzazioni dovrebbero essere preparate a future modifiche normative riguardanti la cultura del rischio e la supervisione da parte dei regolatori, soprattutto nel contesto di aziende internazionali e settori finanziari.

L'implementazione di un'accurata valutazione della cultura del rischio all'interno di un'organizzazione dipende dalla specificità del settore e della giurisdizione in cui l'azienda opera. L'adozione delle linee guida fornite dal Financial Stability Board per il settore finanziario è fondamentale, in quanto queste offrono un quadro di riferimento per la gestione dei rischi a livello globale. Tuttavia, per le aziende fuori dal settore finanziario, dove le aspettative normative locali possono essere meno rigorose, la supervisione del rischio potrebbe seguire principi più generali, come quelli previsti dalle normative SEC, sebbene queste siano in continuo sviluppo.

L'approccio tradizionale alla gestione del rischio, che si concentra esclusivamente sul rischio stesso, ha mostrato dei limiti nella creazione di un'efficace cultura del rischio. In molti casi, le tecniche di audit interne e la gestione del rischio si sono rivelate insufficienti per affrontare le sfide odierne. In risposta a questa situazione, le organizzazioni dovrebbero adottare un approccio più centrato sugli obiettivi e sul coinvolgimento del consiglio di amministrazione e della leadership esecutiva. Questo implica un cambiamento nel ruolo dell'audit interno, che deve evolversi da una mera funzione di controllo verso un'analisi continua e olistica della gestione del rischio.

Gupta e Leech (2015) suggeriscono che, per garantire l'efficacia della gestione del rischio, i membri del consiglio di amministrazione devono ricevere garanzie concrete da parte della direzione riguardo alla validità delle metodologie utilizzate per la valutazione del rischio. La direzione, a sua volta, è tenuta ad implementare un sistema di gestione del rischio d'impresa che consenta di produrre report affidabili sui rischi residui, facendo in modo che le informazioni siano consolidate e di facile accesso per il consiglio.

Un aspetto cruciale che è stato modificato dalle nuove linee guida del Financial Stability Board è la funzione dell'audit interno. In passato, gli audit erano occasionali e focalizzati su una valutazione soggettiva dell'efficacia dei controlli sui rischi. Oggi, l'audit deve concentrarsi su report continui e precisi, allineati alle linee guida stabilite per la gestione del rischio d'impresa e il framework di appetito del rischio. Questi cambiamenti sono pensati per rafforzare la supervisione da parte del consiglio e garantire che le pratiche di gestione del rischio siano adeguate e allineate agli obiettivi strategici dell'organizzazione.

Un altro aspetto che dovrebbe essere preso in considerazione riguarda le implicazioni legali per i consigli di amministrazione e i rischi associati alla supervisione del rischio. La natura punitiva del sistema legale negli Stati Uniti, rispetto al sistema meno severo del Regno Unito, implica che le organizzazioni negli Stati Uniti potrebbero affrontare rischi di contenzioso più alti. Tuttavia, le autorità di regolamentazione dovrebbero prendere in considerazione la possibilità di introdurre disposizioni di "safe harbor" per proteggere i consigli di amministrazione che rispettano in buona fede le normative relative alla gestione del rischio. Questo approccio potrebbe aiutare a mitigare i rischi di responsabilità legale per i membri del consiglio, purché abbiano adottato correttamente le pratiche di governance previste.

Inoltre, la responsabilità diretta dei CEO è un tema sempre più importante per la gestione del rischio. Secondo il Financial Stability Board (2013), il CEO deve lavorare a stretto contatto con il Chief Risk Officer (CRO) e il Chief Financial Officer (CFO) per creare un framework di appetito del rischio che sia coerente con la strategia aziendale a lungo termine. Questo approccio dovrebbe includere la gestione dei rischi materiali, la tempestiva identificazione delle violazioni dei limiti di tolleranza al rischio e la gestione dei rischi residuali. Un altro obiettivo fondamentale è la delega efficace dei compiti, che può comprendere la nomina di ruoli specifici all'interno dell'organizzazione per garantire la corretta gestione del rischio.

Infine, è fondamentale che le organizzazioni comprendano che la gestione del rischio non è una mera questione di conformità alle normative, ma un elemento centrale per il successo a lungo termine. Un rischio mal gestito o ignorato può compromettere gravemente gli obiettivi strategici di un'impresa e la sua capacità di adattarsi ai cambiamenti del mercato. La cultura del rischio deve essere radicata nell'intero processo decisionale dell'organizzazione, e non limitarsi a una funzione di supporto isolata. In quest'ottica, l'interazione tra il consiglio di amministrazione, la leadership esecutiva e il team di audit deve essere continua e orientata a garantire che tutti gli aspetti del rischio siano gestiti in modo coerente e proattivo.

Come migliorare la supervisione dei rischi da parte del consiglio di amministrazione in un’organizzazione finanziaria?

La supervisione dei rischi è una funzione cruciale del consiglio di amministrazione, essenziale per proteggere l'organizzazione e le sue risorse da eventi imprevisti e dannosi. La comprensione e la gestione dei rischi è una delle sfide principali per le istituzioni finanziarie e le imprese in generale. Secondo Gupta e Leech (2015), una corretta informazione sullo stato dei rischi può aiutare il consiglio a identificare le aree con i rischi più elevati, migliorando la governance e la capacità di risposta dell'organizzazione.

La regolamentazione finanziaria è spesso influenzata dall'agenda politica dei governi. Leggi come il Dodd-Frank Wall Street Reform Act, il Sarbanes-Oxley Act (2002 e 2010), e il Consumer Protection Act sono stati fortemente influenzati dalla politica. Queste normative hanno facilitato le riforme nella governance del settore finanziario, ma non sempre sono riuscite a prevenire le crisi. Le recenti crisi finanziarie e gli scandali, tra cui manipolazioni dei tassi di cambio, insediamenti per il riciclaggio di denaro e pratiche fiscali aggressive in alcuni settori bancari, sollevano interrogativi sull'efficacia della supervisione del rischio nelle organizzazioni (Gupta & Leech, 2015). Le aziende devono monitorare attentamente le azioni della SEC e seguire le normative regionali, specialmente in paesi come gli Stati Uniti e il Regno Unito, per garantire una supervisione efficace.

La promozione di un dialogo continuo sui rischi tra il consiglio di amministrazione e la direzione senior è fondamentale. Lipton et al. (2018) suggeriscono che il consiglio di amministrazione debba stabilire relazioni tra i suoi membri e i comitati indipendenti per garantire una supervisione coerente e solida. In questo contesto, la gestione del rischio non deve essere solo una funzione reattiva, ma deve essere proattiva e radicata nelle decisioni strategiche dell'organizzazione.

Un aspetto cruciale di questa supervisione è l'allocazione di risorse adeguate per lo sviluppo e l'implementazione dei sistemi di gestione del rischio. I sistemi devono essere adattati alle specifiche esigenze dell'azienda, affrontando i rischi materiali in modo mirato. I seguenti punti devono essere presi in considerazione nella gestione del rischio (Lipton et al., 2018):

1. Facilitare l’identificazione tempestiva dei rischi materiali.

2. Implementare strategie di gestione dei rischi che siano in linea con le strategie aziendali, le soglie di tolleranza ai rischi e gli obiettivi corporativi.

3. Integrare la considerazione dei rischi nelle strategie e nei processi decisionali aziendali.

4. Assicurare che le informazioni sui rischi siano trasmesse in modo adeguato alla direzione senior, al consiglio e ai comitati indipendenti.

Il consiglio di amministrazione e i membri dei comitati indipendenti devono intraprendere una serie di azioni concrete per garantire una supervisione efficace della gestione del rischio. Tra queste:

• Rivedere regolarmente l’appetito e le soglie di tolleranza ai rischi dell'azienda. È necessario che la strategia aziendale sia coerente con questi parametri.

• Creare un quadro chiaro di responsabilità, in cui il CEO sia ritenuto responsabile per lo sviluppo e il mantenimento di un framework efficace di appetito al rischio, e per fornire al consiglio rapporti periodici sullo stato residuo dei rischi aziendali.

• Collaborare per identificare i rischi principali, esaminando le probabilità di accadimento, la concentrazione dei rischi e le loro interrelazioni in diverse aree aziendali.

• Stabilire misure di mitigazione e piani d'azione per affrontare i rischi specifici che si potrebbero materializzare.

• Rivedere come i rischi vengano misurati nelle varie aree dell’organizzazione e come possano essere gestiti in modo efficace.

• Analizzare continuamente i rischi emergenti e le modifiche sostanziali nei rischi già identificati, verificando l’efficacia delle procedure in atto per gestirli.

Ulteriormente, è essenziale che il consiglio di amministrazione e i comitati indipendenti rivedano la struttura di compensazione dei manager, per garantire che incentivino una gestione del rischio adeguata. Le politiche e le procedure di gestione del rischio dovrebbero essere valutate in modo continuo per assicurarne la completezza e l’adeguatezza rispetto agli obiettivi aziendali.

Infine, la trasparenza delle informazioni sui rischi è fondamentale. La qualità, il formato e il contenuto delle informazioni che il consiglio riceve dalla direzione devono essere continuamente revisionati per garantire che siano pertinenti e tempestive. Solo così il consiglio potrà monitorare efficacemente la gestione del rischio, assicurandosi che la direzione e i comitati indipendenti siano in grado di prendere decisioni informate e tempestive.