Quanto sono trasparenti le grandi aziende riguardo ai rischi di cybersicurezza nelle relazioni annuali?

Host: Benvenuti a un nuovo episodio di A.I.S. Insights — powered by Living Knowledge. Sono la vostra conduttrice, Anna Ivy Summers. Oggi affrontiamo un tema cruciale per qualsiasi leader aziendale: la cybersicurezza, ma vista attraverso una lente particolare, quella della trasparenza e della rendicontazione finanziaria. Analizzeremo uno studio molto interessante intitolato "Pratiche di trasparenza del rischio cyber: un'analisi delle relazioni annuali delle società del CAC 40". Con noi per approfondire i dettagli c'è il nostro analista, Alex Ian Sutherland. Ciao Alex, benvenuto!

Expert: Ciao Anna, e un saluto a tutti i nostri ascoltatori. È un piacere essere qui per parlare di questo studio.

Host: Alex, per iniziare: di cosa tratta esattamente questa ricerca?

Expert: Lo studio analizza il modo in cui le quaranta maggiori società quotate in Francia comunicano i propri rischi informatici all'interno delle relazioni finanziarie annuali. I ricercatori hanno osservato l'evoluzione delle informative tra il 2019 e il 2022, un periodo segnato da nuove linee guida europee emanate dall'ESMA, l'Autorità europea degli strumenti finanziari e dei mercati. Attraverso una griglia di valutazione qualitativa basata su nove criteri normativi, lo studio ha misurato quanto queste grandi aziende siano realmente trasparenti e dettagliate nel descrivere la propria esposizione al rischio informatico.

Host: Questo ci porta direttamente al grande problema di fondo. Gli attacchi cyber sono all'ordine del giorno e costano miliardi. Eppure, sembra che le aziende facciano un'enorme fatica a comunicare questo rischio agli investitori. Perché c'è questa asimmetria informativa?

Expert: Esattamente, Anna. Da un lato abbiamo le autorità di regolamentazione che spingono per una maggiore trasparenza, affinché i mercati possano prezzare correttamente i rischi. Dall'altro lato, i consigli di amministrazione si trovano in un dilemma: rivelare troppi dettagli sui propri sistemi di sicurezza potrebbe teoricamente fornire indizi preziosi ai criminali informatici o spaventare gli azionisti. Il problema centrale evidenziato dallo studio è che fino ad ora mancava un metro di giudizio chiaro e standardizzato per capire se le informazioni fornite nei bilanci fossero autenticamente utili o soltanto dichiarazioni di facciata.

Host: E come hanno affrontato metodologicamente questa sfida gli autori dello studio?

Expert: Hanno sviluppato un modello di analisi testuale molto rigoroso basato proprio sulle raccomandazioni dell'ESMA. Hanno definito nove criteri specifici per valutare la profondità della comunicazione: ad esempio, se l'azienda descrive la natura specifica delle minacce, se quantifica il potenziale impatto finanziario, o se illustra le procedure concrete di controllo interno e mitigazione del rischio. Hanno poi applicato questa griglia a tutti i documenti di registrazione universale del CAC 40 lungo l'arco dei quattro anni.

Host: Entriamo nei risultati principali. Cosa hanno scoperto i ricercatori?

Expert: Il quadro è agrodolce. La buona notizia è che la consapevolezza sta crescendo: tra il 2019 e il 2022, ben il settantasette per cento delle aziende analizzate ha migliorato il proprio punteggio di trasparenza. La brutta notizia, però, è che il livello di partenza era così basso che, ancora nel 2022, l'ottantasei per cento delle imprese otteneva una valutazione complessivamente insufficiente o bassa.

Host: L'ottantasei per cento è una percentuale impressionante per le più grandi aziende francesi. Dove risiede principalmente questa mancanza di trasparenza?

Expert: Lo studio rivela che la maggior parte delle relazioni si limita a formule generiche e ripetitive. Le aziende parlano apertamente del fatto che un attacco potrebbe danneggiare la loro reputazione o causare interruzioni operative, perché sono concetti ormai accettati dal mercato. Tuttavia, evitano quasi totalmente di fornire dati quantitativi. Non ci sono stime sulle potenziali perdite economiche, mancano dettagli sugli investimenti in sicurezza e si dice pochissimo sui meccanismi effettivi di controllo interno e di risposta agli incidenti. In breve: molta retorica, pochi dati concreti.

Host: Questo è un punto fondamentale per il nostro pubblico. Perché tutto questo è così rilevante per il business e per chi prende decisioni strategiche?

Expert: È rilevante per almeno tre motivi, Anna. Primo: la fiducia degli investitori. I mercati e le agenzie di rating non si accontentano più di formule preconfezionate; vogliono capire se un'organizzazione ha una governance solida della sicurezza informatica. Secondo: la conformità normativa. Con l'entrata in vigore di direttive europee sempre più stringenti, come la NIS 2 e il regolamento DORA, la trasparenza e la responsabilità del management non sono più opzionali. Terzo: la gestione del rischio. Trattare la cybersicurezza solo come un problema dell'ufficio IT è un errore strategico. Deve essere integrata nella pianificazione finanziaria e nella rendicontazione aziendale complessiva.

Host: In pratica, la gestione del rischio cyber è diventata a tutti gli effetti un dovere fiduciario del consiglio di amministrazione.

Expert: Proprio così. Chi saprà comunicare in modo chiaro, misurabile e trasparente la propria resilienza informatica guadagnerà un vantaggio competitivo importante in termini di credibilità e costo del capitale.

Host: Una lezione davvero preziosa per tutti i leader aziendali: non basta proteggersi dagli attacchi, bisogna anche saper rendicontare la propria sicurezza con serietà e trasparenza. Alex, grazie mille per aver condiviso queste intuizioni con noi.

Expert: Grazie a te, Anna, e a tutti i nostri ascoltatori.

Host: Grazie a tutti per aver seguito questa puntata di A.I.S. Insights — powered by Living Knowledge. Continuate a seguirci per comprendere le dinamiche che stanno trasformando il mondo degli affari e della tecnologia. Alla prossima puntata!