En lo que respecta a la ciberseguridad, la responsabilidad recae en el consejo de administración.
Ese es el mensaje que transmitió la Comisión de Valores y Bolsa de Estados Unidos (SEC) el March 9, 2022, cuando dio a conocer una propuesta de nuevas normas que exigen una mayor divulgación de la gestión de los riesgos cibernéticos y la notificación de incidentes en los documentos que se presentan a las autoridades reguladoras.
¿Cuál es el motor de la agencia? El número y el coste de las filtraciones cibernéticas a gran escala se están disparando, al igual que las expectativas de los accionistas en materia de transparencia.
Aunque la SEC aún se encuentra en proceso de ultimar las nuevas normas, una cosa está clara: la agencia exigirá en breve a los consejos de administración que revelen cada año un nivel de detalle sin precedentes sobre su gobernanza en materia de seguridad, así como si se produce una infracción significativa y cuándo tiene lugar.
Cabe destacar que los consejeros deberán indicar quién «se encarga» de la supervisión —si se trata de un comité ya existente, como el de auditoría o el de riesgos, de un nuevo comité de ciberseguridad o del consejo en pleno— y cómo se lleva a cabo dicha supervisión. La inminente normativa está ejerciendo una mayor presión sobre los consejos de administración para que no solo reevalúen su estructura de supervisión, sino que también replanteen la composición del propio consejo.
Para prepararse ante el cambiante panorama normativo de , a continuación se presentan cuatro cuestiones relacionadas con la gobernanza de la ciberseguridad que los consejos de administración deberían dar prioridad en su agenda.
1. ¿Debería el consejo de administración incorporar a un experto en ciberseguridad?
Hoy en día, contar con expertos en ciberseguridad en los consejos de administración es más la excepción que la regla. Según el Centro de Calidad de la Auditoría, solo el 34 % de las 500 empresas del S&P cuentan con un experto en ciberseguridad entre los miembros de su consejo de administración.
Las nuevas normas de la SEC exigirían que las empresas informaran de quién, en su caso, de entre los miembros del consejo de administración cuenta con conocimientos especializados en ciberseguridad. No se trata tanto de una obligación de incorporar a un experto para supervisar los riesgos cibernéticos como de una medida destinada a ofrecer a los inversores transparencia sobre las capacidades de supervisión del consejo de administración.
«Si está buscando un CISO para su consejo de administración, le va a resultar muy difícil encontrar uno, ya que tienen una gran demanda.»Carolyn Frantz, codirectora del grupo de empresas cotizadas de Orrick
En cualquier caso, ¿deberían los consejos de administración buscar a un experto en riesgos cibernéticos para incorporarlo a su plantilla? Son muchos los que tienen la intención de hacerlo: en 2021, el 65 % de los consejos de administración afirmaron que la ciberseguridad es un ámbito de especialización que se busca en el consejo, lo que supone un aumento con respecto al 36 % registrado en 2018, según un informe de Ernst & Young.
Es posible que la búsqueda resulte complicada. «Si está buscando un CISO para su consejo de administración, le resultará muy difícil encontrarlo, ya que tienen una gran demanda y, en definitiva, hay una escasez e e», afirma Carolyn Frantz, codirectora del grupo de empresas cotizadas del bufete de abogados especializado en tecnología Orrick.
Frantz señala que, en caso de que encuentre un candidato al puesto de CISO, «este también debe contar con una amplia gama de competencias que aporten valor añadido a su consejo de administración». «No conviene incorporar a alguien a su consejo de administración únicamente porque posea una sola competencia».
Otro escollo que deben tener en cuenta los consejos de administración es que estos puedan recurrir en exceso a un «experto» como excusa para eludir su propia responsabilidad de supervisión, advierte Joe Nocera, socio del área de riesgos cibernéticos y normativa de PricewaterhouseCoopers (PwC).
«He asistido a reuniones de consejo en las que hay un consejero con experiencia en ciberseguridad y el resto del consejo tiende a seguir sus indicaciones en todos los temas», afirma Nocera, quien forma parte de varios consejos de administración de organizaciones sin ánimo de lucro. «Es como decir: “Ah, Sally solía trabajar para una empresa de ciberseguridad, así que no tengo por qué preocuparme por eso”».
Según Nocera, un ámbito en el que un experto puede aportar un valor añadido real es el de elevar el nivel intelectual del consejo de administración. Los expertos pueden animar a los consejeros a formarse a través de programas como el curso de certificación en ciberseguridad « » ( ), impartido por la Asociación Nacional de Consejeros de Empresas (NACD). (Hasta la fecha, solo , aproximadamente el 700 de sus 23,000 miembros, han obtenido certificados.)
Tenga en cuenta que la SEC incluyó expresamente lo siguiente en su propuesta « » (): «No es nuestra intención que la designación de un experto en ciberseguridad en el consejo de administración reduzca las funciones, obligaciones o responsabilidad de los demás miembros del consejo».
Dicho de otro modo: aunque la incorporación a la junta directiva de un consejero con experiencia en ciberseguridad resultará valiosa para la supervisión en general, en última instancia, la responsabilidad —y la obligación— de dicha supervisión recae sobre el conjunto de la junta directiva.
2. ¿Qué comité del consejo de administración debería «hacerse cargo» de la ciberseguridad?
En la actualidad, más de dos de cada tres consejos de administración (66 %) asignan la responsabilidad de la supervisión de la ciberseguridad a su comité de auditoría , según una encuesta 2021 del Centro para la Eficacia de los Consejos de Administración de Deloitte, realizada en colaboración con la Sociedad para el Gobierno Corporativo. De los encuestados, el 15 % atribuye la responsabilidad al comité de riesgos. Según Deloitte, solo el 9 % atribuye la responsabilidad a un comité específico de ciberseguridad.
«: La ciberseguridad es, ante todo, un reto de gestión de riesgos». No existe la seguridad perfecta.»Joe Nocera, socio del área de riesgos cibernéticos y marketing regulatorio de PricewaterhouseCoopers
«El hecho de que la mayoría lo haga no significa que sea la respuesta correcta», afirma Nocera. «Hemos constatado que las organizaciones que supervisan la ciberseguridad a través de un comité de riesgos son las que mejor gestionan dicho riesgo».
¿Por qué es preferible el comité de riesgos al comité de auditoría? Las listas de tareas « » de los comités de auditoría ya están repletas de funciones relacionadas con la supervisión de la información financiera y los controles internos, la protección de datos, las cuestiones éticas y de cumplimiento normativo, entre otras. Dado que la ciberseguridad se está convirtiendo en un riesgo empresarial cada vez mayor, es posible que los miembros del comité dispongan de recursos limitados para dedicar a la gobernanza.
«La ciberseguridad es, ante todo, un reto de gestión de riesgos», afirma Nocera. «No existe la seguridad perfecta. La pregunta es: ¿qué nivel de riesgo estamos dispuestos a asumir y nos encontramos dentro de los límites de tolerancia de nuestra actual propensión al riesgo? ”
3. ¿Debería el consejo de administración crear un comité de ciberseguridad?
Los consejos de administración podrían optar por prescindir por completo de los comités de auditoría y de riesgos en los próximos años, según la consultora Gartner, que prevé que el número de consejos con comités específicos de ciberseguridad se cuadruplicará en un plazo de cinco años, pasando del 10 % en 2021 al 40 % en 2025.
Gartner formuló su predicción en el informe « January 2021», y la propuesta de la SEC podría reforzar los argumentos a favor de separar la supervisión de la ciberseguridad del resto de funciones de la comisión —en particular, su requisito de que las empresas presenten el formulario 8-K ante la SEC en un plazo de cuatro días hábiles tras producirse un «incidente de ciberseguridad» significativo.
«Las empresas sufren a diario ataques menores de tipo , malware , , phishing », señala Nocera. «No resulta viable informar a la junta directiva sobre cada uno de esos incidentes». El consejo de administración debe establecer criterios sobre lo que la SEC podría considerar «relevante», incluyendo qué tipo de incidentes requerirían la convocatoria de una reunión extraordinaria del consejo.
La evaluación de la gravedad de los incidentes cibernéticos —incluido el momento en que dichos incidentes deben elevarse a la atención de la junta directiva al completo— podría y debería ser responsabilidad de un comité de ciberseguridad, sugiere James Turgal, vicepresidente de la empresa de asesoramiento y soluciones cibernéticas Optiv.
Turgal recomienda que dicho comité siga «un modelo híbrido» e incluya a altos directivos, miembros del comité de auditoría y miembros del consejo de administración con conocimientos en ciberseguridad, capaces de armonizar la estrategia de ciberseguridad y los procesos de gobernanza de la empresa con los nuevos requisitos de divulgación de la SEC.
4. ¿Con qué frecuencia debería el comité informar al pleno del consejo de administración?
Para muchos consejos de administración hoy en día, la ciberseguridad solo figura en el orden del día una vez al año. Casi el 77 % de las empresas privadas afirman que se aborda anualmente, al igual que ocurre en el 40 % de las empresas de gran capitalización y en el 52 % de las de mediana capitalización, según Deloitte.
¿Es suficiente una vez al año para llevar a cabo una supervisión rigurosa? No es así según Nocera, quien recomienda que una comisión informe al consejo de administración sobre cuestiones de ciberseguridad seis veces al año, o al menos una vez al trimestre, incluso en el caso de aquellas empresas que no se consideran de alto riesgo.
Estas sesiones informativas no solo deben abordar los riesgos cibernéticos más acuciantes del momento, sino también los planes estratégicos plurianuales; los planes de respuesta ante incidentes, de recuperación del negocio y de relaciones públicas; la formación y los conocimientos sobre ciberseguridad entre la dirección y los empleados; y el nivel general de madurez y resiliencia de la organización en materia de ciberseguridad.
Volver a lo esencial
Turgal coincide en que la formación de los miembros del consejo de administración sobre las amenazas cibernéticas actuales y en constante evolución, expresada en un lenguaje sencillo, es imprescindible para una supervisión eficaz. «Los miembros del consejo de administración deben plantear las preguntas difíciles y exigir a la alta dirección que impulse y proteja el valor para los accionistas», afirma. «Sin unos fundamentos, no se sabe lo que no se sabe».
Y, en este momento, los miembros del consejo coinciden en que no disponen de información suficiente. Solo el 33 % de los consejeros considera que su consejo de administración comprende las vulnerabilidades cibernéticas de su empresa, según una encuesta de PwC, lo que supone un enorme obstáculo para garantizar una gobernanza adecuada.
Por lo tanto, es posible que el primer paso hacia una supervisión eficaz, especialmente a la luz de las próximas normativas de la SEC, no consista en que los consejeros incorporen a un experto en ciberseguridad, creen un comité de ciberseguridad o incluso aumenten el número de sesiones informativas para el pleno del consejo.
En un primer momento, pueden y deben adquirir unos conocimientos básicos sobre ciberseguridad, de modo que no solo puedan plantear las preguntas adecuadas, sino también comprender las respuestas.
