Cybersecurity nell’M&A: oltre la checklist
Perché una due diligence basata sulle evidenze cambia l’esito di un’operazione.
La maggior parte delle due diligence cyber si ferma dove dovrebbe iniziare: un questionario, una revisione delle policy, una spunta verde. È abbastanza per soddisfare un processo. Non è abbastanza per proteggere una valutazione.
Il problema del questionario
L’autodichiarazione Le dice cosa il target crede di sé. Raramente Le dice cosa troverebbe un attaccante, quanto è davvero costato l’ultimo incidente o quali responsabilità viaggiano con l’operazione. Le evidenze sì.
Una due diligence basata sulle evidenze guarda all’esposizione come farebbe un avversario, quantifica ciò che trova e separa i problemi che spostano il prezzo da quelli che sono semplicemente rumore.
Le evidenze cambiano anche la conversazione al tavolo. Un rischio documentato — un accesso privilegiato mai revocato, un fornitore critico senza controlli, una violazione mai chiusa davvero — diventa una leva concreta: un aggiustamento di prezzo, una garanzia specifica, una condizione alla firma. Un rischio soltanto sospettato resta un’opinione, e le opinioni non spostano un prezzo.
Dai riscontri a un Day 1 sotto controllo
Il senso della diligence non è un report: è una decisione, e poi cento primi giorni puliti. Questo significa un piano di Day 1 concordato prima del closing: accessi, monitoraggio e i controlli che non possono aspettare.
Il piano di Day 1 non deve essere esaustivo: deve essere onesto sulle priorità. Quali credenziali ruotare prima di consegnare le chiavi all’acquirente? Quale monitoraggio minimo attivare per accorgersi se qualcosa era già in corso? Quali integrazioni rallentare finché identità e visibilità non sono sotto controllo? Sono decisioni che si prendono meglio prima della firma, con la testa lucida, che nella prima settimana sotto pressione.
Fatta bene, l’acquirente eredita un piano, non una sorpresa. Fatta male, la prima violazione arriva prima dell’integrazione.
In sintesi
Tratti la diligence cyber come parte dell’operazione, non come un passaggio di compliance a fianco. Le evidenze cambiano il prezzo, i termini e la qualità del primo anno.
