Di Christopher Hetner, Senior Executive, Direttore del Consiglio e Leader nella Cybersecurity; Dominique Shelton Leipzig, CEO, Global Data Innovation e Fondatrice del Digital Trust Summit; Robert Straw, CEO, CEIBS Zurich Campus; David Curran, Co-Presidente, Sustainability Advisory Practice, Paul, Weiss; e Vanessa Mesics, Co-Responsabile, Nasdaq Center for Board Excellence
Negli ultimi anni, la cybersecurity è stata principalmente affrontata come una questione di prevenzione: rafforzare i controlli, ridurre le vulnerabilità e migliorare la supervisione. Tuttavia, la sfida per il consiglio non è più solo quella di determinare se un incidente possa essere prevenuto. Ora è fondamentale valutare se l’organizzazione sia abbastanza resiliente da continuare a operare, servire i clienti e proteggere il valore in caso di attacco riuscito.
Con l’integrazione sempre più profonda di tecnologie come l’intelligenza artificiale (AI) all’interno delle organizzazioni, il lavoro di routine è sempre più automatizzato e le competenze manuali che un tempo supportavano il recupero possono deteriorarsi. Gli eventi informatici possono, pertanto, estendersi ben oltre la tecnologia, trasformandosi in interruzioni operative, catastrofi reputazionali, esposizioni finanziarie, decisioni di divulgazione e questioni legate al valore dell’impresa.
Un esempio recente illustra questa evoluzione. Nel mese di agosto 2026, Boston Scientific ha reso noto un incidente di cybersecurity che ha interrotto parte delle sue operazioni globali. Meno di due settimane dopo, l’azienda ha concluso che l’incidente era ragionevolmente probabile che influenzasse in modo materiale i suoi risultati finanziari e ha presentato una comunicazione ai sensi dell’Articolo 1.05 della SEC. Ciò che era iniziato come un’interruzione tecnologica si era trasformato in un evento commerciale e di utili.
Le pratiche di governance che erano efficaci 25 anni fa non sono più sufficienti nell’attuale ambiente dinamico dell’AI. Le comunicazioni pubbliche dell’organizzazione descrivono un programma di cybersecurity maturo che include supervisione da parte del consiglio, integrazione della gestione del rischio aziendale, controlli tecnici, competenze esterne e esercitazioni di simulazione. Se c’è una lezione centrale che emerge dall’incidente, è che anche le organizzazioni con programmi di cybersecurity sofisticati rimangono vulnerabili se non si concentrano – preventivamente – sull’assicurare la resilienza per le parti del business che sono fondamentali per il fatturato, le operazioni e la strategia.
La domanda, quindi, non è più semplicemente: “Siamo al sicuro?” Ma piuttosto se l’organizzazione può assorbire un’interruzione senza permettere che diventi un evento commerciale materiale. La resilienza, l’adattabilità, la capacità di recupero e la protezione del valore aziendale sono diventati sempre più i veri indicatori di una supervisione efficace nel campo della cybersecurity.
Dal Rischio di Cybersecurity al Rischio Aziendale
Molte discussioni in consiglio continuano a concentrarsi su vulnerabilità, livelli di patching, metriche di phishing e efficacia dei controlli. Questi indicatori rimangono importanti, ma offrono un quadro incompleto dell’esposizione aziendale.
I membri del consiglio dovrebbero cercare risposte a un diverso insieme di domande:
- Se domani si verificasse un’interruzione tecnologica critica, quali attività aziendali si fermerebbero?
- Quanto valore sarebbe a rischio?
- Quanto rapidamente l’organizzazione potrebbe recuperare?
- Quali servizi critici per il fatturato e le operazioni potrebbero compromettere i risultati finanziari se fossero offline per giorni?
- Quali incidenti si sono verificati in altre aziende riguardo all’uso della nostra tecnologia e abbiamo mitigato tali rischi nel nostro ambiente?
Rispondere a queste domande richiede che il rischio informatico venga tradotto in termini aziendali e finanziari. I consigli dovrebbero aspettarsi che la direzione valuti scenari basati sull’esposizione ai ricavi, interruzione della produzione, conseguenze per i clienti, costi di recupero, obblighi normativi, rischi di contenzioso, copertura assicurativa e impatto potenziale sugli utili. La reportistica dovrebbe evolversi da descrizioni delle attività di sicurezza a valutazioni dei risultati aziendali. Invece di sentire solo: “Abbiamo implementato controlli aggiuntivi,” i membri del consiglio dovrebbero cercare di capire come la direzione stia riducendo l’esposizione finanziaria, accorciando i tempi di recupero e rafforzando la continuità operativa.
Questo non è solo un esercizio teorico. Resilienza e adattabilità possono creare un valore economico misurabile. Dopo i rispettivi incidenti informatici nel 2025 e nel 2026, si prevede che Marks & Spencer recupererà fino a 100 milioni di sterline di protezione attraverso la copertura assicurativa, mentre Clorox ha recuperato circa 70 milioni di dollari tramite un’assicurazione informatica pre-accordata. Questi esempi dimostrano come gli investimenti in resilienza possano proteggere i bilanci tanto quanto le operazioni.
Espressi in termini finanziari, i rischi informatici possono essere valutati più efficacemente insieme ad altri rischi strategici e aziendali, supportando decisioni più informate riguardo all’allocazione di capitali, alla propensione al rischio e agli investimenti in resilienza.
