La transferencia del riesgo no se determina por el número de pólizas contratadas, sino por la correspondencia entre las consecuencias que puede sufrir una empresa y las coberturas que realmente ha acordado con las aseguradoras.

El riesgo no desaparece cuando se contrata un seguro

Cuando una empresa asegura sus instalaciones, existencias o interrupción de la actividad, puede considerar que ha transferido una parte significativa de las consecuencias económicas de un siniestro.

Pero esa percepción no siempre coincide con el alcance real de las coberturas contratadas.

El caso de los supermercados franceses afectados por un ciberataque en los sistemas de refrigeración, analizado en Cuando el ciberiesgo compromete la continuidad empresarial, permite plantear una cuestión especialmente relevante.

Si un sistema conectado es manipulado y provoca la pérdida de productos refrigerados, estamos ante un incidente de origen cibernético con consecuencias materiales.

Las existencias pueden estar aseguradas. La empresa podrá, igualmente, disponer de una cobertura de pérdida de beneficios vinculada a determinados daños materiales.

Sin embargo, esto no permite concluir que las consecuencias de este incidente estén cubiertas.

La respuesta depende de las causas del siniestro, de los riesgos garantizados, de las exclusiones, de las condiciones de las coberturas y de la relación entre el daño material y la interrupción de la actividad.

Asegurar un activo no equivale necesariamente a asegurar todas las causas que pueden provocar su pérdida.

Cuando el origen del daño modifica la respuesta aseguradora

Los seguros tradicionales de daños materiales se han estructurado históricamente en torno a determinados eventos que pueden afectar al patrimonio empresarial.

Pero la digitalización ha introducido situaciones en las que el origen de un daño físico es una alteración de sistemas informáticos o de control.

Esta distinción es relevante porque determinadas pólizas incorporan exclusiones o limitaciones relativas a los incidentes cibernéticos. En otros casos, pueden existir extensiones específicas o formulaciones contractuales que permitan cubrir determinadas consecuencias.

No hay, por tanto, una respuesta universal.

Dos empresas con existencias aseguradas pueden obtener respuestas distintas frente a un incidente aparentemente similar, en función de las condiciones de sus pólizas.

La situación puede ser aún más compleja cuando la pérdida de beneficios depende de la existencia de un daño material cubierto por el mismo seguro.

Si la causa del daño queda excluida, la cobertura de la interrupción de la actividad puede verse también afectada, según la configuración contractual.

Esto pone de manifiesto una cuestión de fondo: el valor económico de los activos asegurados y el alcance de los riesgos efectivamente transferidos son dos dimensiones distintas.

El ciberseguro tampoco es una respuesta uniforme

La evolución del mercado asegurador ha permitido desarrollar coberturas específicas para determinadas consecuencias de los incidentes cibernéticos.

Pero hablar de ciberseguro como una cobertura homogénea puede generar una expectativa equivocada.

Las pólizas pueden diferir en los supuestos que activan la cobertura, perjuicios indemnizables, límites económicos, períodos de espera, franquicias y exclusiones.

Algunas pueden contemplar determinadas pérdidas derivadas de la interrupción de sus propios sistemas. Otros pueden incorporar, con condiciones específicas, la interrupción provocada por incidentes que afectan a proveedores tecnológicos.

Las consecuencias materiales, como la destrucción de existencias, pueden requerir un tratamiento contractual diferenciado y no deben darse por cubiertas por el simple hecho de disponer de una póliza de ciberriesgos.

La cuestión adquiere especial relevancia en empresas que dependen de plataformas externas, servicios en la nube, sistemas de control industrial o proveedores que intervienen en procesos esenciales.

La empresa puede haber transferido determinadas consecuencias de un incidente originado en sus propios sistemas y, al mismo tiempo, conservar exposiciones significativas cuando el origen de la interrupción es un tercero.

La diferencia no siempre resulta evidente a partir de la denominación comercial de la póliza.

La transferencia empieza antes de contratar

Ésta es, probablemente, la decisión más importante.

La calidad de la transferencia no depende únicamente de la comparación entre ofertas aseguradoras. Empieza con la capacidad de identificar y explicar las consecuencias económicas que puede tener un incidente sobre la actividad concreta de la empresa.

No es lo mismo asegurar una organización en la que la indisponibilidad temporal de un sistema genera una demora administrativa que una empresa en la que una alteración tecnológica puede interrumpir la producción, deteriorar mercancías o impedir el cumplimiento de compromisos comerciales.

En ambos casos puede existir un riesgo cibernético, pero la naturaleza de las consecuencias es distinta.

Esta información condiciona la forma en que el riesgo se presenta en el mercado asegurador y la posibilidad de obtener una respuesta contractual adecuada.

Las aseguradoras no tendrán necesariamente los mismos criterios de suscripción, la misma disposición a asumir determinadas exposiciones ni la misma capacidad para ofrecer coberturas específicas.

La disponibilidad de coberturas no es uniforme. Las aseguradoras pueden diferir en los riesgos dispuestos a asumir, en las condiciones que ofrecen y en los límites de su respuesta.

Esto sitúa la transferencia en el terreno de la decisión empresarial: no se trata únicamente de valorar las alternativas disponibles, sino de determinar qué consecuencias económicas quieren transferirse y cuáles continuarán dentro de la empresa.

No se trata sólo de conseguir una póliza.

Se trata de que la decisión de transferencia se tome sobre una representación fiel del riesgo que la empresa quiere dejar de asumir.

Aquello que no se transfiere continua sienldo una decisión empresarial

Ninguna estructura aseguradora elimina necesariamente todas las consecuencias de un incidente.

Pueden existir límites de indemnización, franquicias, períodos de espera, exclusiones o perjuicios que no encajen en las garantías contratadas.

También pueden existir riesgos para los que el mercado no ofrezca una respuesta adecuada a las necesidades o posibilidades económicas de la empresa.

Esta realidad no implica, de por sí, una mala gestión del riesgo.

Una empresa puede decidir asumir determinadas exposiciones siempre que esta decisión sea consciente y coherente con su capacidad económica y operativa.

El problema aparece cuando la parte del riesgo que sigue dentro de la empresa no es el resultado de una decisión, sino de una expectativa equivocada sobre las coberturas.

Para un CEO o CFO, la diferencia es sustancial.

La transferencia del riesgo afecta a la previsibilidad de las consecuencias patrimoniales de un incidente ya la capacidad de la empresa para absorber pérdidas sin comprometer la continuidad.

Por eso, no es una cuestión que pueda quedar completamente desconectada de las decisiones financieras y de gobernanza.

El riesgo no transferido no desaparece. Sigue formando parte de la exposición económica de la empresa, tanto si la dirección es consciente como si no.

El riesgo que continua dentro de la empresa

A La dependencia tecnológica i la autonomía de decisión empresarial examinábamos cómo las dependencias tecnológicas pueden condicionar la capacidad de decisión de las organizaciones.

Un incidente puede comprometer la continuidad del negocio. Y un seguro sólo transfiere aquellas consecuencias que quedan efectivamente recogidas en el contrato.

Estas tres dimensiones forman parte de una misma cuestión de gobernanza: ¿hasta qué punto la dirección conoce las consecuencias económicas de los riesgos que asume?

Una empresa puede decidir conservar determinadas exposiciones al considerar que tiene capacidad para soportarlas. También puede constatar que algunas consecuencias no son transferibles en condiciones adecuadas.

Lo que resulta más difícil de justificar, desde una perspectiva de gobernanza, es asumir un riesgo sin saber que sigue dentro de la empresa.

La diferencia entre tener un seguro y transferir adecuadamente un riesgo no se encuentra en el número de pólizas contratadas, sino en el conocimiento de las consecuencias que continuarán siendo responsabilidad económica de la empresa.

Y ésta es una decisión que no debería descubrirse cuando se produce el siniestro.