La propensione al rischio cyber: perché il board deve metterla per iscritto
Senza una soglia dichiarata, ogni decisione di sicurezza si prende daccapo — e si giustifica a posteriori.
Quasi ogni azienda ha una propensione al rischio dichiarata per il credito, per la liquidità, per l’esposizione valutaria. Molte meno ne hanno uno per il rischio cyber — e il risultato è che ogni decisione di sicurezza (accettare un rischio residuo, ritardare una patch critica, approvare un fornitore con controlli deboli) viene presa caso per caso, spesso da chi ha meno visibilità sulle conseguenze commerciali della scelta.
Cosa significa mettere la propensione al rischio per iscritto
Non significa un numero astratto. Significa poche frasi che il board approva esplicitamente: quali categorie di rischio l’azienda è disposta ad accettare entro certi limiti, quali richiedono sempre un’approvazione esplicita del vertice, e quali non sono negoziabili indipendentemente dal costo di mitigarli — tipicamente, quelli che comprometterebbero la continuità del business o la fiducia di clienti e regolatori in modo irreversibile.
Una propensione al rischio dichiarata cambia anche il modo in cui i tecnici presentano le opzioni: invece di chiedere «possiamo accettare questo rischio?», possono verificare se rientra già in una soglia approvata, e riservare l’attenzione del board alle vere eccezioni. Questo riduce sia il tempo perso in escalation inutili, sia il rischio che una decisione rilevante passi senza la giusta visibilità.
Il rischio di non averlo
Senza una propensione al rischio dichiarata, ogni decisione rischia di essere giudicata con il senno di poi, con lo standard più severo possibile — quello che si applica dopo un incidente, non quello con cui era ragionevole decidere prima. Una propensione al rischio scritta e approvata protegge chi ha preso la decisione tanto quanto guida chi deve prenderne di nuove.
In sintesi
La propensione al rischio cyber non elimina l’incertezza. La rende esplicita, la mette per iscritto e la fa approvare da chi ne risponde — così che le decisioni successive abbiano un metro, invece di doverlo inventare ogni volta.
