Cybersecurity e società quotate

L’interessante convegno organizzato presso l’Università Cattolica su “Cybersecurity, market disclosure & industry” ha consentito di approfondire gli impatti sulle società quotate in un confronto ampio. Come ha ricordato in premessa Paolo Ciocca, Commissario Consob, le nuove regole proposte dalla SEC Securities and Exchange Commission), l’Autorità di regolamentazione e di vigilanza sui mercati finanziari degli Stati Uniti, segnano il punto di svolta verso una nuova era della cybersecurity; se approvate, trasformeranno l’informativa al mercato sugli incidenti informatici e sulle policies di presidio del rischio cyber da volontaria a obbligatoria, da incoerente e incompleta a standardizzata, costante e “utile per le decisioni”.

La SEC sta proponendo, in particolare con le proposed rules dirette alle public companies, di integrare l’informativa finanziaria periodica annuale e trimestrale, nonché ad evento con informazioni riguardanti:

• material cybersecurity incidents e relativi impatti sui dati finanziari (con aggiornamenti periodici sulle precedenti informative fornite);
• policies e procedure adottate per identificare e gestire il rischio cyber;
• ruolo e attività concreta del management nell’implementare le policies e le procedure di cybersecurity;
• l’expertise specifica in materia di cybersecurity dei membri del consiglio di amministrazione e le concrete modalità di supervisione del cybersecurity risk da parte degli stessi.

La direzione che sta tracciando la SEC parte certamente da presupposti comuni all’Europa: i mercati sono integrati, le infrastrutture sono spesso in comune e i servizi critici sono forniti dagli stessi provider (es. cloud). Stiamo assistendo a un crescente affidamento della finanza sull’elemento tecnologico, quasi a un ribaltamento degli equilibri (si pensi alla finanza decentralizzata, alla DLT, etc.) con netta prevalenza degli operatori tecnologici su quelli finanziari.

Le società quotate in Borsa dovrebbero prepararsi ad includere le informazioni sulla cybersecurity nella rendicontazione periodica obbligatoria resa al mercato, perché gli investitori hanno interesse a sapere quanto l’impresa in cui investono i propri soldi sia robusta o vulnerabile rispetto al rischio di attacchi hacker. È questa la posizione espressa da Luna Bloom della Sec . I rischi cyber sono in crescita e hanno subito un’accelerazione a seguito della digitalizzazione dell’economia e della finanza, con forti impatti operativi, legali e reputazionali sulle società quotate, ha osservato Bloom. È cruciale dotarsi di regole stringenti e di competenze nei CdA delle quotate, ha aggiunto Bloom, secondo cui la trasparenza in materia di cybersecurity deve essere obbligatoria e non discrezionale.

“Una divulgazione di informazioni sulla cybersecurity, coerente, comparabile e orientata alle decisioni, metterebbe gli investitori – ha commentato Elena Beccalli, preside della Facoltà di Scienze bancarie, finanziarie e assicurative della Cattolica – in una posizione migliore per comprendere rischi e incidenti”.

“La pandemia, la guerra in Ucraina e il frequente ricorso a fornitori esternalizzati hanno aumentato la minaccia di rischi sistemici”, ha osservato, invece, Alexander Harris dell’Esma, secondo cui è necessaria la collaborazione tra regolatori e gli altri attori del mercato.

Per i mercati finanziari dell’Unione Europea sarebbe un radicale cambiamento di prospettiva. Ad oggi, infatti, gli attacchi hacker sono soggetti alla disciplina di trasparenza degli eventi price sensitive. Questo significa che devono essere resi noti solo se e quando si verifica l’emergenza. È la stessa società, inoltre, a valutare se l’episodio sia oppure no di interesse per il mercato e in quali tempi eventualmente comunicare.
Se le proposte della Sec fossero recepite anche in ambito Ue, l’informativa sulla cybersecurity diventerebbe non più volontaria ma obbligatoria e sarebbe sottoposta ad una disciplina di trasparenza secondo criteri predefiniti e validi per tutti.