Modèle de gestion des risques d’entreprise (ERM)
En tant que président du comité d’audit pour une société publique, j’évalue continuellement le modèle de gestion des risques d’entreprise (ERM) pour surveiller plusieurs composants du risque pour l’organisation. Il peut s’agir de risques opérationnels tels que le départ de talents ou l’acquisition d’une nouvelle unité commerciale, ou de risques de reporting financier tels que le déploiement d’un nouveau système de transaction ou de nouveaux modèles de revenus. Mais le modèle ERM traditionnel peine à incorporer un composant qui est sans doute l’un des risques les plus dangereux pour certaines entreprises aujourd’hui : le risque de cybersécurité.
Dans le paysage cybernétique actuel, toute entreprise qui gère et conserve des données sensibles doit réfléchir à la manière dont le Conseil supervise ce risque. Cela peut se faire par l’intermédiaire d’un président des cyber-risques ou d’un directeur principal du comité d’audit de leur conseil d’administration.
En tant que président du comité d’audit, je m’assure que le budget du plan d’exploitation annuel dispose des ressources, du personnel et des outils appropriés pour soutenir les fonctions comptables et financières de l’entreprise. Si la cybersécurité est un risque élevé pour une entreprise, il doit y avoir un niveau d’enquête similaire pour s’assurer que les groupes informatiques et de sécurité disposent d’une assistance adéquate.
La cybersécurité ne doit pas être une réflexion après coup
Il ne s’agit pas d’une surveillance pour des raisons de surveillance. Dans une étude récente du NYSE, un administrateur du conseil sur cinq a indiqué n’avoir discuté de la cybersécuritéqu’ après un incident interne ou un dans le même secteur. Un président ou directeur principal désigné peut non seulement poser les bonnes questions de manière proactive, mais peut également travailler avec la direction pour établir un profil de cyber-risque d’entreprise de référence, surveiller les progrès de la direction vers l’amélioration/les objectifs, et s’assurer que la bonne quantité de ressources est mise à disposition pour atténuer les risques d’une entreprise et assurer sa confiance continue avec les parties prenantes.
De nombreuses entreprises ont déjà conclu qu’elles n’avaient pas pris en charge la cybersécurité de manière adéquate : la banque est un secteur leader. L’année dernière, le PDG Jamie Dimon a annoncé que JPMorgan Chase augmenterait ses dépenses de cybersécurité de 500 millions USD par an. D’autres institutions financières ont suivi cette direction et ont augmenté de manière similaire les dépenses de cybersécurité. Au total, les sociétés financières ont mis de côté 2 milliards USD supplémentaires pour réorganiser leurs systèmes au-delà de leur taux d’exécution des dépenses actuel.
Les cyber-risques modernes nécessitent un changement de paradigme pour les entreprises, mais beaucoup ne sont pas prêtes à évoluer pour résoudre ces problèmes émergents. Début 2000s, à la suite d’Enron et de WorldCom, la loi Sarbanes-Oxley a imposé des réformes comptables strictes sur les divulgations financières des entreprises et les systèmes de traitement des transactions sous-jacents, afin de prévenir la fraude comptable. Ce qui a suivi a été une augmentation substantielle des dépenses de conformité pour répondre à ces exigences. Aujourd’hui, alors que nous examinons les violations coûteuses et hautement médiatisées telles que Sony et Anthem, cela démontre que les entreprises ont besoin d’une nouvelle infusion du processus de gestion des cyber-risques.
Questions auxquelles réfléchir
Si vous êtes dans un secteur avec un degré élevé d’exposition aux cyber-risques , ce qui signifie que vous traitez et traitez les données financières et les données sensibles telles que les données PII, les données PIH, les données PCI, les données liées à l’IP , il incombe au conseil d’administration et à l’équipe de direction de considérer cela comme un risque opérationnel potentiel.
Commencez par les questions suivantes :
- Quel est le niveau de cyber-risque de l’entreprise et quelles sources et quels types de données sensibles alimentent cette évaluation ?
- L’entreprise a-t-elle créé une évaluation de référence des cyber-risques, et existe-t-il un processus continu pour cartographier l’amélioration au fil du temps ?
- Existe-t-il un plan d’intervention en cas de cyber-attaque ou un plan de gestion de crise ?
- Quelles informations seront partagées avec le Conseil concernant le cyber-risque ? Existe-t-il un processus régulier pour examiner le statut avec le DSI au niveau du comité du Conseil ?
- Devons-nous nommer un directeur principal au sein du comité d’audit, élargir officiellement la charte du comité d’audit pour inclure le cyber-risque, ou notre cyber-risque est-il jugé suffisamment élevé pour créer un comité de cyber-risque distinct et permanent ?
- Quel est le coût de la gestion des cyber-risques par rapport au coût d’une violation de données : avons-nous examiné les violations dans notre secteur pour comprendre ce que sont tous les coûts d’une violation ?
- L’entreprise doit-elle envisager une police d’assurance de cybersécurité ou d’autres nouvelles classes de technologies de sécurité pour atténuer les risques et les coûts ?
En fin de compte, la gestion de la cybersécurité incombe à l’ensemble de l’équipe de direction : il ne s’agit pas seulement d’un problème de DSI ou de RSSI, mais également d’un problème de PDG et d’équipe de direction. Avoir la cybersécurité représentée au niveau du Conseil permet de s’assurer que le bon niveau d’examen se produit lorsque le Conseil décharge sa responsabilité fiduciaire de surveiller les risques globaux de l’entreprise.
Eric Brown, directeur financier et directeur de l’exploitation
Vous souhaitez voir Tanium en action ? Planifiez une démo individuelle ou participez à notre webinaire hebdomadaire. Discutez avec nos experts Tanium lors de nos prochains événements.
