Modelo de gestión de riesgos empresariales (ERM)
En mi calidad de presidente del Comité de Auditoría de una empresa que cotiza en bolsa, evalúo continuamente el modelo de gestión de riesgos empresariales (ERM) con el fin de supervisar los diversos componentes de riesgo a los que se enfrenta la organización. Pueden tratarse de riesgos operativos, como la salida de personal cualificado o la adquisición de una nueva unidad de negocio; o de riesgos relacionados con la información financiera, como la implantación de un nuevo sistema de transacciones o de nuevos modelos de ingresos. Sin embargo, el modelo tradicional de gestión de riesgos empresariales (ERM) tiene dificultades para incorporar un componente que podría considerarse uno de los riesgos más peligrosos para algunas empresas en la actualidad: el riesgo de ciberseguridad.
En el panorama cibernético actual, cualquier empresa que gestione y conserve datos confidenciales debería plantearse cómo supervisa el Consejo de Administración este riesgo. Esto podría llevarse a cabo a través de un responsable de riesgos cibernéticos o de un consejero principal del Comité de Auditoría de su Consejo de Administración.
En mi calidad de presidente del Comité de Auditoría, me aseguro de que el presupuesto del plan operativo anual cuente con los recursos, el personal y las herramientas adecuados para respaldar las funciones de contabilidad y finanzas de la empresa. Si la ciberseguridad supone un riesgo elevado para una empresa, debería llevarse a cabo un análisis de igual nivel para garantizar que los departamentos de TI y seguridad cuenten con el apoyo adecuado.
La ciberseguridad no debería ser una cuestión secundaria
No se trata de una supervisión por el mero hecho de supervisar. En un estudio reciente de la Bolsa de Nueva York (NYSE) (se abre en una nueva pestaña), uno de cada cinco consejeros señaló que solo abordaban el tema de la ciberseguridad tras un incidente interno o uno ocurrido en el mismo sector. Un presidente designado o un consejero principal no solo puede plantear las preguntas adecuadas de forma proactiva, sino que también puede colaborar con la dirección para establecer un perfil de referencia del riesgo cibernético corporativo, supervisar los avances de la dirección hacia la mejora y el cumplimiento de los objetivos, y garantizar que se destinen los recursos adecuados para mitigar el riesgo de la empresa y asegurar la confianza continuada de las partes interesadas.
Muchas empresas ya han llegado a la conclusión de que no han prestado la atención suficiente a la ciberseguridad; el sector bancario es uno de los que más destaca en este sentido. El año pasado, el consejero delegado Jamie Dimon anunció que JPMorgan Chase aumentaría su inversión en ciberseguridad en 500 millones de dólares al año (se abre en una nueva pestaña). Otras entidades financieras han seguido este ejemplo y han realizado aumentos similares, al margen del ciclo presupuestario, en el gasto en ciberseguridad. En total, las entidades financieras han destinado una partida adicional de 2 000 millones de dólares para modernizar sus sistemas, por encima de su ritmo de gasto actual.
Los riesgos cibernéticos actuales exigen un cambio de paradigma por parte de las empresas, pero muchas de ellas no están preparadas para adaptarse y hacer frente a estos nuevos retos. A principios de 2000s, a raíz de los casos de Enron y WorldCom, la Ley Sarbanes-Oxley impuso estrictas reformas contables en materia de información financiera de las empresas, así como en los sistemas de procesamiento de transacciones subyacentes, con el fin de prevenir el fraude contable. A raíz de ello se produjo un aumento considerable del gasto en materia de cumplimiento normativo para satisfacer dichos requisitos. Hoy en día, al observar casos de violaciones de seguridad tan costosas y tan sonadas como las de Sony y Anthem, queda patente que las empresas necesitan una nueva inyección de procesos de gestión de riesgos cibernéticos.
Preguntas para reflexionar
Si se encuentra en un sector con un alto grado de exposición al riesgo cibernético —lo que significa que maneja y procesa datos financieros y datos sensibles, como datos de identificación personal (PII), datos de salud personal (PIH), datos de la norma PCI y datos relacionados con la propiedad intelectual—, corresponde al consejo de administración y al equipo directivo considerar esto como un posible riesgo operativo.
Empiece por estas preguntas:
- ¿Cuál es el nivel de riesgo cibernético de la empresa y qué fuentes y tipos de datos sensibles se tienen en cuenta para realizar esta evaluación?
- ¿Ha elaborado la empresa una evaluación inicial del riesgo cibernético y existe un proceso continuo para hacer un seguimiento de las mejoras a lo largo del tiempo?
- ¿Existe algún plan de respuesta ante incidentes cibernéticos o un plan de gestión de crisis?
- ¿Qué información se compartirá con el Consejo de Administración en relación con el riesgo cibernético? ¿Existe un proceso periódico para analizar la situación con el director de sistemas de información (CIO) en el ámbito de una comisión del Consejo de Administración?
- ¿Deberíamos nombrar a un consejero principal dentro del Comité de Auditoría, ampliar formalmente los estatutos del Comité de Auditoría para incluir el riesgo cibernético, o se considera que nuestro riesgo cibernético es lo suficientemente elevado como para crear un Comité de Riesgo Cibernético independiente y permanente?
- ¿Cuál es el coste de la gestión de los riesgos cibernéticos en comparación con el coste de una filtración de datos? ¿Hemos analizado las filtraciones que se han producido en nuestro sector para comprender cuáles son los costes totales que conlleva una filtración?
- ¿Debería la empresa plantearse contratar una póliza de seguro de ciberseguridad u otras nuevas clases de tecnología de seguridad para mitigar los riesgos y los costes?
Al fin y al cabo, la gestión de la ciberseguridad es responsabilidad de todo el equipo directivo: no es solo una cuestión que atañe al director de sistemas de información (CIO) o al director de seguridad de la información (CISO), sino también al director general (CEO) y al equipo ejecutivo. Contar con representación en materia de ciberseguridad en el Consejo de Administración contribuye a garantizar que se lleve a cabo el nivel adecuado de revisión, dado que el Consejo de Administración asume su responsabilidad fiduciaria de supervisar el riesgo general de la empresa.
Eric Brown, director financiero y director de operaciones
¿Le interesa ver cómo funciona Tanium? Concierte una demostración e individual o participe en nuestro seminario web semanal. Hable con nuestros expertos en Tanium en nuestros próximos eventos « » ().
