Quantificare il rischio cyber per il consiglio

Un consiglio decide con i numeri. Ricavi, multipli, leva, ritorni attesi: tutto è espresso in una lingua comune. Il rischio cyber, troppo spesso, arriva su quel tavolo in una lingua diversa — un elenco di findings tecnici, un punteggio da uno strumento, una scala di colori. Non si integra nella decisione perché non parla di soldi.

Quantificare il rischio cyber significa tradurlo in termini che il consiglio possa confrontare con qualsiasi altro rischio dell’operazione: un’esposizione economica, con un ordine di grandezza e un grado di incertezza dichiarato. Non serve una precisione da bilancio. Serve un numero difendibile e onesto su quanto è incerto.

Probabilità per impatto, senza falsa precisione

Alla base di ogni quantificazione c’è la stessa idea: il rischio è la combinazione di quanto è probabile che uno scenario accada e di quanto costerebbe se accadesse. Uno scenario raro ma devastante e uno frequente ma modesto possono valere lo stesso, e vanno trattati diversamente.

Il valore non sta nel modello, ma nel ragionamento esplicito. Definire pochi scenari plausibili — un ransomware che ferma la produzione, una violazione dei dati regolamentati, la compromissione di un fornitore critico — e stimare per ciascuno probabilità e impatto costringe a rendere espliciti gli assunti. Assunti espliciti si possono discutere e correggere; un punteggio opaco no.

Esposizione che sposta il prezzo contro rumore

La distinzione più utile che può offrire a chi valuta l’operazione è tra i rischi materiali e il rumore. Una diligence produce sempre decine di findings. La maggior parte sono igiene ordinaria: si risolvono con il lavoro normale dopo il closing e non meritano l’attenzione di chi decide.

Pochi findings, invece, spostano il prezzo: una remediation strutturale nell’ordine di milioni, una passività legale concreta legata a un incidente pregresso, una dipendenza critica senza alternative. Il compito di chi riporta è separare i due gruppi con chiarezza, così che il consiglio spenda attenzione dove conta e non anneghi in una lista indistinta.

Costruire un intervallo difendibile

Un numero singolo dà una falsa sicurezza. È più onesto e più utile presentare un intervallo — uno scenario prudente, uno centrale, uno avverso — con gli assunti che lo generano. Un intervallo comunica sia la stima sia la sua incertezza, ed è più difficile da contestare proprio perché non finge una precisione che non ha.

La credibilità dell’intervallo dipende dalla tracciabilità. Ogni cifra dovrebbe poter essere ricondotta a un finding, a un assunto o a un dato di riferimento. Quando un membro del consiglio chiede «da dove viene questo numero», deve esistere una risposta che regge.

È utile anche separare l’esposizione una tantum da quella ricorrente: il costo di colmare una lacuna strutturale si paga una volta, mentre la perdita attesa da uno scenario di rischio si ripresenta ogni anno finché il controllo non cambia. Chi decide ragiona diversamente sui due tipi di numero, ed è meglio non confonderli in un’unica cifra.

Parlare la lingua del consiglio

Il modo in cui presenta conta quanto il contenuto. Un consiglio ha poco tempo e molti rischi da confrontare. La versione utile è breve: qual è l’esposizione materiale in termini economici, come si colloca rispetto al valore dell’operazione, cosa cambierebbe la conclusione e quali azioni la ridurrebbero.

Il rischio cyber diventa una voce accanto alle altre — non un allegato tecnico che nessuno legge, ma un fattore che il consiglio può pesare, prezzare o mitigare come farebbe con qualsiasi altra esposizione.

Cosa evitare

Due errori ricorrenti indeboliscono una quantificazione. Il primo è la falsa precisione: presentare numeri con molte cifre decimali costruiti su assunti fragili invita a discutere il decimale invece della sostanza. Il secondo è l’allarmismo: gonfiare l’esposizione per attirare attenzione erode la credibilità alla prima verifica, e con essa il peso di tutto ciò che dice.

La misura giusta è la sobrietà: numeri prudenti, assunti espliciti, incertezza dichiarata. Un consiglio si fida di chi mostra il proprio ragionamento, non di chi promette certezze che il tema non consente.

In sintesi

Il rischio cyber conta per una decisione d’investimento solo se è espresso nella lingua della decisione. Ragioni per probabilità e impatto, separi l’esposizione materiale dal rumore, presenti un intervallo tracciabile invece di un numero finto preciso, ed eviti sia la falsa precisione sia l’allarmismo. Così il rischio cyber smette di essere un allegato e diventa parte del prezzo.