La transferència del risc no es determina pel nombre de pòlisses contractades, sinó per la correspondència entre les conseqüències que pot patir una empresa i les cobertures que realment ha acordat amb les asseguradores.

El risc no desapareix quan es contracta una assegurança

Quan una empresa assegura les seves instal·lacions, les existències o la interrupció de l'activitat, pot considerar que ha transferit una part significativa de les conseqüències econòmiques d'un sinistre.

Però aquesta percepció no sempre coincideix amb l'abast real de les cobertures contractades.

El cas dels supermercats francesos afectats per un ciberatac als sistemes de refrigeració, analitzat a Quan el ciberrisc compromet la continuïtat empresarial,  permet plantejar una qüestió especialment rellevant.

Si un sistema connectat és manipulat i provoca la pèrdua de productes refrigerats, ens trobem davant d'un incident d'origen cibernètic amb conseqüències materials.

Les existències poden estar assegurades. L'empresa pot disposar, igualment, d'una cobertura de pèrdua de beneficis vinculada a determinats danys materials.

Tanmateix, això no permet concloure que les conseqüències d'aquest incident estiguin cobertes.

La resposta depèn de les causes del sinistre, dels riscos garantits, de les exclusions, de les condicions de les cobertures i de la relació entre el dany material i la interrupció de l'activitat.

Assegurar un actiu no equival necessàriament a assegurar totes les causes que poden provocar-ne la pèrdua.

Quan l'origen del dany modifica la resposta asseguradora

Les assegurances tradicionals de danys materials s'han estructurat històricament al voltant de determinats esdeveniments que poden afectar el patrimoni empresarial.

Però la digitalització ha introduït situacions en què l'origen d'un dany físic és una alteració de sistemes informàtics o de control.

Aquesta distinció és rellevant perquè determinades pòlisses incorporen exclusions o limitacions relatives als incidents cibernètics. En altres casos, poden existir extensions específiques o formulacions contractuals que permetin cobrir determinades conseqüències.

No hi ha, per tant, una resposta universal.

Dues empreses amb existències assegurades poden obtenir respostes diferents davant d'un incident aparentment similar, en funció de les condicions de les seves pòlisses.

La situació encara pot ser més complexa quan la pèrdua de beneficis depèn de l'existència d'un dany material cobert per la mateixa assegurança.

Si la causa del dany queda exclosa, la cobertura de la interrupció de l'activitat també pot veure's afectada, segons la configuració contractual.

Això posa de manifest una qüestió de fons: el valor econòmic dels actius assegurats i l'abast dels riscos efectivament transferits són dues dimensions diferents.

La ciberassegurança tampoc no és una resposta uniforme

L'evolució del mercat assegurador ha permès desenvolupar cobertures específiques per a determinades conseqüències dels incidents cibernètics.

Però parlar de ciberassegurança com si fos una cobertura homogènia pot generar una expectativa equivocada.

Les pòlisses poden diferir en els supòsits que activen la cobertura, els perjudicis indemnitzables, els límits econòmics, els períodes d'espera, les franquícies i les exclusions.

Algunes poden contemplar determinades pèrdues derivades de la interrupció dels sistemes propis. Altres poden incorporar, amb condicions específiques, la interrupció provocada per incidents que afecten proveïdors tecnològics.

Les conseqüències materials, com la destrucció d'existències, poden requerir un tractament contractual diferenciat i no s'han de donar per cobertes pel simple fet de disposar d'una pòlissa de ciberriscos.

La qüestió adquireix una rellevància especial en empreses que depenen de plataformes externes, serveis al núvol, sistemes de control industrial o proveïdors que intervenen en processos essencials.

L'empresa pot haver transferit determinades conseqüències d'un incident originat als seus propis sistemes i, al mateix temps, conservar exposicions significatives quan l'origen de la interrupció és un tercer.

La diferència no sempre resulta evident a partir de la denominació comercial de la pòlissa.

La transferència comença abans de contractar

Aquesta és, probablement, la decisió més important.

La qualitat de la transferència no depèn únicament de la comparació entre ofertes asseguradores. Comença amb la capacitat d'identificar i explicar les conseqüències econòmiques que pot tenir un incident sobre l'activitat concreta de l'empresa.

No és el mateix assegurar una organització en què la indisponibilitat temporal d'un sistema genera una demora administrativa que una empresa en què una alteració tecnològica pot interrompre la producció, deteriorar mercaderies o impedir el compliment de compromisos comercials.

En tots dos casos pot existir un risc cibernètic, però la naturalesa de les conseqüències és diferent.

Aquesta informació condiciona la manera com el risc es presenta al mercat assegurador i la possibilitat d'obtenir una resposta contractual adequada.

Les asseguradores no tenen necessàriament els mateixos criteris de subscripció, la mateixa disposició a assumir determinades exposicions ni la mateixa capacitat per oferir cobertures específiques.

La disponibilitat de cobertures no és uniforme. Les asseguradores poden diferir en els riscos que estan disposades a assumir, en les condicions que ofereixen i en els límits de la seva resposta.

Això situa la transferència en el terreny de la decisió empresarial: no es tracta únicament de valorar les alternatives disponibles, sinó de determinar quines conseqüències econòmiques es volen transferir i quines continuaran dins de l'empresa.

No es tracta només d'aconseguir una pòlissa.

Es tracta que la decisió de transferència es prengui sobre una representació fidel del risc que l'empresa vol deixar d'assumir.

Allò que no es transfereix continua sent una decisió empresarial

Cap estructura asseguradora elimina necessàriament totes les conseqüències d'un incident.

Poden existir límits d'indemnització, franquícies, períodes d'espera, exclusions o perjudicis que no encaixin en les garanties contractades.

També poden existir riscos per als quals el mercat no ofereixi una resposta adequada a les necessitats o a les possibilitats econòmiques de l'empresa.

Aquesta realitat no implica, per si mateixa, una mala gestió del risc.

Una empresa pot decidir assumir determinades exposicions, sempre que aquesta decisió sigui conscient i coherent amb la seva capacitat econòmica i operativa.

El problema apareix quan la part del risc que continua dins de l'empresa no és el resultat d'una decisió, sinó d'una expectativa equivocada sobre les cobertures.

Per a un CEO o un CFO, la diferència és substancial.

La transferència del risc afecta la previsibilitat de les conseqüències patrimonials d'un incident i la capacitat de l'empresa per absorbir pèrdues sense comprometre la continuïtat.

Per això, no és una qüestió que pugui quedar completament desconnectada de les decisions financeres i de governança.

El risc no transferit no desapareix. Continua formant part de l'exposició econòmica de l'empresa, tant si la direcció n'és conscient com si no.

El risc que continua dins de l'empresa

A La dependència tecnològica i l'autonomia de decisió empresarial examinàvem com les dependències tecnològiques poden condicionar la capacitat de decisió de les organitzacions.

Un incident pot comprometre la continuïtat del negoci. I una assegurança només transfereix aquelles conseqüències que queden efectivament recollides en el contracte.

Aquestes tres dimensions formen part d'una mateixa qüestió de governança: fins a quin punt la direcció coneix les conseqüències econòmiques dels riscos que assumeix?

Una empresa pot decidir conservar determinades exposicions perquè considera que té capacitat per suportar-les. També pot constatar que algunes conseqüències no són transferibles en condicions adequades.

El que resulta més difícil de justificar, des d'una perspectiva de governança, és assumir un risc sense saber que continua dins de l'empresa.

La diferència entre tenir una assegurança i haver transferit adequadament un risc no es troba en el nombre de pòlisses contractades, sinó en el coneixement de les conseqüències que continuaran sent responsabilitat econòmica de l'empresa.

I aquesta és una decisió que no hauria de descobrir-se quan es produeix el sinistre.