Un’azienda può avere politiche di sicurezza, un audit recente e una tabella di marcia ambiziosa. Questi sono punti di partenza utili. Un investitore deve ancora capire cosa stabiliscono effettivamente le prove, quali rischi rimangono e cosa potrebbe dover fare il prossimo proprietario.
Definire la decisione prima di richiedere le prove
Un esercizio di diligenza ha un calendario e uno scopo. La domanda è se procedere, cosa indagare ulteriormente o a cosa dare priorità dopo il completamento? La risposta determina quali informazioni sono materiali.
Iniziare dalle attività commerciali e dalle dipendenze che sostengono l’investimento. Una revisione di ambito ristretto dovrebbe indicare cosa può stabilire nel tempo a disposizione e cosa resta al di fuori della sua portata.
Esaminare la portata dell'assicurazione esistente
L'esistenza di un rapporto non ne spiega la copertura. Quali sistemi sono stati esaminati? Quali versioni e ambienti? Il lavoro è stato una revisione documentale o una valutazione attiva? I risultati importanti sono stati successivamente verificati e corretti?
Queste domande aiutano a stabilire quanta fiducia un decisore può riporre nelle prove. Inoltre impediscono che una valutazione attentamente delimitata venga interpretata come una garanzia sull’intera organizzazione.
Guarda la proprietà operativa
Il lavoro di sicurezza dipende da persone, autorizzazioni e processi. Chiedi chi possiede i sistemi critici, chi può autorizzare il cambiamento e cosa succede quando una persona o un fornitore chiave non è disponibile.
Un problema può essere tecnicamente semplice da correggere ma operativamente difficile perché l’accesso, la conoscenza o l’autorità sono concentrati. Ciò influisce sulla praticità e sulla sequenza delle soluzioni correttive dopo una transazione.
Rendere visibile l’incertezza
L'accesso durante la diligenza è spesso limitato. Alcune domande rimarranno senza risposta e alcune asserzioni si baseranno sulle informazioni fornite dal bersaglio. Tali limitazioni appartengono al materiale decisionale.
Una valutazione chiara separa le osservazioni verificate, le dichiarazioni della direzione e le domande aperte. Ulteriori test o revisioni specialistiche possono quindi essere mirati laddove è più probabile che cambi la decisione.
Portare i risultati nell'integrazione
La diligenza è particolarmente utile quando i risultati sopravvivono alla transazione. Le esposizioni materiali dovrebbero tradursi in azioni denominate, dipendenze e una sequenza realistica per il periodo di integrazione.
I risultati informatici informano il processo di transazione più ampio. I giudizi legali, finanziari e contrattuali restano di competenza dei consulenti competenti. Il ruolo del governo è quello di fornire una chiara prospettiva di sicurezza che i decisori possano utilizzare.
L’obiettivo è una decisione di investimento più chiara e un piano più informato per ciò che verrà dopo.
Una prospettiva dal Consiglio dei Ministri
The Cybersecurity Cabinet