L’appetito al rischio cyber: perché il board deve metterlo per iscritto

Quasi ogni azienda ha un appetito al rischio dichiarato per il credito, per la liquidità, per l’esposizione valutaria. Molte meno ne hanno uno per il rischio cyber — e il risultato è che ogni decisione di sicurezza (accettare un rischio residuo, ritardare una patch critica, approvare un fornitore con controlli deboli) viene presa caso per caso, spesso da chi ha meno visibilità sulle conseguenze commerciali della scelta.

Cosa significa mettere l’appetito per iscritto

Non significa un numero astratto. Significa poche frasi che il board approva esplicitamente: quali categorie di rischio l’azienda è disposta ad accettare entro certi limiti, quali richiedono sempre un’approvazione esplicita del vertice, e quali non sono negoziabili indipendentemente dal costo di mitigarli — tipicamente, quelli che comprometterebbero la continuità del business o la fiducia di clienti e regolatori in modo irreversibile.

Un appetito dichiarato cambia anche il modo in cui i tecnici presentano le opzioni: invece di chiedere "possiamo accettare questo rischio?", possono verificare se rientra già in una soglia approvata, e riservare l’attenzione del board alle eccezioni genuine. Questo riduce sia il tempo perso in escalation inutili, sia il rischio che una decisione rilevante passi senza la giusta visibilità.

Il rischio di non averlo

Senza un appetito dichiarato, ogni decisione rischia di essere giudicata con il senno di poi, con lo standard più severo possibile — quello che si applica dopo un incidente, non quello con cui era ragionevole decidere prima. Un appetito scritto ed approvato protegge chi ha preso la decisione tanto quanto guida chi deve prenderne di nuove.

In sintesi

L’appetito al rischio cyber non elimina l’incertezza. La rende esplicita, la mette per iscritto e la fa approvare da chi ne risponde — così che le decisioni successive abbiano un metro, invece di doverlo inventare ogni volta.