Rol clave de Cíberseguridad en fusiones y adquisiciones

Por Juan Ignacio Renna (*)

Grandes capitales que han sabido potenciarse en etapas complicadas, han salido nuevamente a abarcar oportunidades de negocios con conducta agresiva. En ese contexto, se puede destacar el crecimiento en el número de operaciones de M&A (fusiones y adquisiciones por sus siglas en inglés) realizadas, sobre todo en lugares donde las políticas asociadas a la inversión han acompañado las motivaciones de los privados que buscan desarrollar negocios.

Esta situación ha provocado que los procesos denominados de “due-diligence” sean más frecuentes y se refuercen las áreas a analizar para ofrecernos tranquilidad en la inversión.

Tradicionalmente, este tipo de procesos se basa en una auditoría general que abarca entre los aspectos a evaluar temas económicos, financieros, fiscales, previsionales, legales, de negocio o incluso de TI según el tipo de compañía, pero cada vez con más frecuencia se incluyen la ciberseguridad y la privacidad como áreas a analizar de manera previa a una posible adquisición. Pero ¿esto por qué?

Según el informe de una compañía líder en ciberseguridad (Forescout), en el que participaron responsables en operaciones M&A para Estados Unidos, Europa del centro y occidental, Oceanía y la India, la Ciberseguridad es uno de los riesgos más grandes para una posible adquisición de un negocio, mencionado por más del 60 % de los consultados.

Estas cifras no son casuales, ya que más de la mitad de los participantes indicaron que en procesos de due-diligence donde la ciberseguridad fue parte, encontraron algún tema relevante a considerar, que afectó o pudo poner en peligro la transacción.

Factores clave

Existen varios factores claves que deben tenerse en cuenta en la actualidad en una revisión de este tipo, que no teníamos en el radar habitualmente. Estos pueden ser:

1. Integración tecnológica: la adquisición de una compañía implica la integración entre los sistemas de la compradora y de la potencial adquirida, lo que desde el punto de vista de ciberseguridad genera una serie de riesgos a considerar, independientemente de si el objetivo principal es o no la adquisición de una empresa con un producto tecnológico.
2. Recursos y procesos de continuidad en la contingencia tecnológica: una enseñanza de la pandemia, sin duda, es estar preparado ante situaciones de alto impacto y baja probabilidad, en consecuencia, revisar y evaluar el estado de madurez de la gestión de la contingencia tecnológicaes clave.
3. Seguridad de los datos, personales y confidenciales: los procesos de M&A colocan a las compañías en una situación de mayor exposición, y por lo tanto, también es necesario tener en cuenta el traspaso de información confidencial y de datos personales que se realizará en la posible adquisición.

¿A qué riesgos se pueden enfrentar las compañías?

Dada la relevancia que en la actualidad tiene la ciberseguridad en las empresas, y el impacto económico o reputacional que puede causar sufrir una incidencia o ataque exitoso (según algunos estudios la pérdida de valor media de una empresa 3 años después de sufrir un ataque es del 15%), es casi una conclusión lógica que esta preocupación se traspase a la hora de evaluar una posible adquisición o realizar una inversión en una compañía.

En conclusión, nos ha tocado vivir una época de cambios y transformaciones constantes, que a nivel tecnológico generó muchos beneficios, pero también una serie de riesgos relativos a la protección de la información a considerar, tanto en la cotidianeidad de las empresas, como a la hora de evaluar una posible adquisición o inversión.

Parece ser que es un pensamiento obsoleto considerar la ciberseguridad como un aspecto menor perteneciente únicamente a un área específica de la empresa, cuando se está adquiriendo o invirtiendo en una compañía en la que una potencial fuga de información o ataque de ciberseguridad puede provocar un impacto económico y reputacional que cambiaría la ecuación del negocio y que se podría haber identificado o mitigado con una buena planificación y gestión en el proceso de la Due Diligence.

(*) Socio de Auditoría de Lisicki Litvin & Asociados – Oficina Mendoza