La transformació digital ha ampliat les capacitats de les empreses, però també les seves dependències. La qüestió ja no és només disposar de tecnologia eficient i segura, sinó preservar la capacitat de decisió quan les circumstàncies canvien.

La sobirania tecnològica ha adquirit una presència creixent en el debat empresarial i institucional. Sovint s'associa amb la propietat de les infraestructures, l'origen dels proveïdors o la localització de les dades. Però la qüestió de fons és més àmplia: fins a quin punt una organització conserva la capacitat de decidir sobre els recursos dels quals depèn?

Aquesta va ser una de les reflexions que vaig trobar més rellevants a la jornada Beyond Cybersecurity, especialment en la intervenció de Demetri Rico, director gerent del Centre de Telecomunicacions i Tecnologies de la Informació de la Generalitat de Catalunya (CTTI).

El seu plantejament situava la resiliència, l'autonomia i la innovació dins d'una mateixa equació. No es tractava de defensar indiscriminadament les infraestructures pròpies, sinó de valorar quines decisions permeten mantenir el control sobre serveis essencials sense renunciar a les oportunitats de la transformació tecnològica.

És una reflexió que transcendeix l'àmbit de l'Administració pública i que interpel·la directament la direcció de les empreses.

L'eficiència també genera dependències

Durant anys, moltes decisions de transformació digital s'han justificat principalment per la millora de l'eficiència, la reducció de costos, l'escalabilitat o l'accés a capacitats tecnològiques que difícilment es podrien desenvolupar internament.

Aquestes raons continuen sent vàlides.

Però incorporar una tecnologia també pot significar assumir una dependència. I aquesta dependència no sempre es limita a la disponibilitat del servei contractat.

Pot afectar l'accés a la informació, la capacitat de modificar processos, la possibilitat de substituir un proveïdor o el temps necessari per recuperar l'activitat davant d'una interrupció.

La decisió tecnològica té, per tant, una dimensió empresarial que no queda completament reflectida en el cost d'implantació ni en els beneficis operatius previstos.

Una solució pot ser eficient en condicions normals i, al mateix temps, limitar les alternatives de l'empresa quan aquestes condicions deixen de donar-se.

Això no converteix l'externalització en una mala decisió. Però obliga a distingir entre aprofitar les capacitats d'un tercer i traslladar-li, de fet, una part de la capacitat de decisió pròpia.

La sobirania no exigeix tenir-ho tot en propietat

Un dels aspectes més interessants de la intervenció de Demetri Rico va ser precisament la necessitat d'equilibrar resiliència i innovació.

Les diferents tecnologies evolucionen a velocitats diferents. Allò que pot justificar una inversió en infraestructura pròpia en un àmbit no necessàriament té sentit en un altre, especialment quan la innovació és constant i les capacitats externes ofereixen avantatges difícils de reproduir.

La qüestió no és escollir entre dependència o independència absolutes.

És determinar quines capacitats convé preservar, quines es poden compartir i quines dependències resulten assumibles en funció de la importància dels processos afectats.

Carles Flamerich, en la seva intervenció de cloenda, també va vincular la sobirania tecnològica amb la llibertat d'escollir tecnologies i aliances, i amb la possibilitat de continuar prenent decisions quan l'entorn es complica.

Traslladada a l'empresa, aquesta idea introdueix un criteri que va més enllà de la propietat dels sistemes.

L'autonomia empresarial no depèn únicament dels recursos que es posseeixen, sinó de les alternatives reals de què es disposa quan una dependència esdevé crítica.

Una empresa pot operar amb infraestructures externes i conservar un marge de decisió considerable. Una altra pot disposar de sistemes propis i, tanmateix, estar condicionada per tecnologies, coneixements o proveïdors que no pot substituir amb facilitat.

La diferència no és necessàriament la titularitat dels actius, sinó la capacitat efectiva de governar les dependències.

Quan la continuïtat condiciona la competitivitat

La resiliència sovint es presenta com una capacitat de resposta davant d'incidents. Però també té una dimensió estratègica.

La dependència tecnològica també s'ha d'interpretar en un entorn en què la intel·ligència artificial està modificant les capacitats dels ciberdelinqüents. A la jornada Beyond Cybersecurity, Roberto Espina, director global de ciberseguretat d'IndraMind, va advertir que la IA facilita la multiplicació dels atacs contra petites i mitjanes empreses, moltes de les quals són proveïdores de grans corporacions. Això amplia la dimensió del risc: una empresa pot veure compromesa la seva activitat per un atac directe, però també per les conseqüències d'un incident que afecti una organització de la qual depèn. La seguretat i la continuïtat empresarial ja no es poden valorar únicament dins dels límits de la pròpia organització.

Una empresa que no pot recuperar determinats processos en un termini compatible amb les seves obligacions comercials pot veure compromesa la seva continuïtat, encara que la causa inicial de la interrupció sigui externa.

Les conseqüències poden afectar la producció, els lliuraments, els fluxos de caixa o les relacions amb clients i proveïdors.

Per això, la continuïtat empresarial no es pot desvincular de les decisions sobre arquitectura tecnològica, dependència de tercers i concentració de funcions essencials.

Aquesta qüestió adquireix una rellevància particular en les pimes i les empreses mitjanes. La seva capacitat per accedir a tecnologies avançades sovint depèn de proveïdors especialitzats, però les conseqüències d'una interrupció poden recaure directament sobre una estructura financera i operativa amb menys marge per absorbir-les.

La competitivitat no es mesura només per la capacitat d'incorporar innovació. També està condicionada per la possibilitat de mantenir l'activitat quan falla algun dels elements dels quals depèn.

Una decisió que millora l'eficiència pot modificar simultàniament el perfil de risc de l'empresa. I totes dues conseqüències formen part de la mateixa decisió empresarial.

La governança de les dependències

Les decisions tecnològiques acostumen a involucrar responsables de sistemes, operacions, finances i direcció general. Cadascun observa una part diferent del problema.

La qüestió de governança apareix quan aquestes perspectives no s'integren en una valoració comuna de les conseqüències empresarials.

Un proveïdor pot oferir garanties tècniques elevades sense que això elimini totes les dependències. Un servei pot complir els nivells de disponibilitat contractats i, tanmateix, no resoldre completament les necessitats de continuïtat d'un procés essencial.

La direcció no ha de substituir el criteri tècnic, però sí que ha de poder interpretar les implicacions empresarials de les decisions que s'adopten.

Això exigeix reconèixer que la dependència tecnològica no és únicament una característica de l'organització dels sistemes, sinó una exposició que pot condicionar la seva capacitat de resposta i de decisió.

En aquest sentit, la governança no consisteix a eliminar totes les dependències, una pretensió difícilment compatible amb l'activitat empresarial actual.

Consisteix a assumir-les amb coneixement de les conseqüències que poden comportar.

Preservar la capacitat de decidir

La transformació digital ha permès a moltes empreses accedir a capacitats que abans quedaven fora del seu abast. Renunciar a aquests avantatges en nom d'una autosuficiència absoluta seria una simplificació del problema.

Però també ho seria considerar que les decisions tecnològiques es poden valorar exclusivament per la seva eficiència immediata.

Entre la innovació i la resiliència no hi ha necessàriament una contradicció. Hi ha decisions que requereixen comprendre quin marge d'autonomia es conserva i quines conseqüències s'assumeixen.

La reflexió que deixa Beyond Cybersecurity és especialment pertinent per als òrgans de direcció: la capacitat de decidir no és independent de les dependències que una empresa ha construït.

I això planteja una pregunta que va més enllà de la tecnologia:

Quan una empresa decideix com vol operar, també està decidint fins a quin punt podrà continuar fent-ho si algun dels recursos dels quals depèn deixa d'estar disponible?