Een bedrijf kan een beveiligingsbeleid, een recente audit en een ambitieuze routekaart hebben. Dat zijn bruikbare uitgangspunten. Een belegger moet nog steeds begrijpen wat het bewijsmateriaal feitelijk aantoont, welke risico's er nog steeds bestaan en wat de volgende eigenaar mogelijk moet doen.
Definieer de beslissing voordat u het bewijsmateriaal opvraagt
Een zorgvuldigheidsoefening heeft een tijdschema en een doel. Is het de vraag of we verder moeten gaan, wat we verder moeten onderzoeken of waar we na voltooiing prioriteit aan moeten geven? Het antwoord bepaalt welke informatie materieel is.
Begin met de bedrijfsactiviteiten en afhankelijkheden die ten grondslag liggen aan de investering. Bij een enge reikwijdte evaluatie moet worden aangegeven wat er in de beschikbare tijd kan worden vastgesteld en wat buiten het bereik blijft.
Onderzoek de reikwijdte van de bestaande zekerheid
Het bestaan van een rapport verklaart niet de dekking ervan. Welke systemen zijn onderzocht? Welke versies en omgevingen? Was het werk een documentaire recensie of een actieve beoordeling? Zijn belangrijke bevindingen vervolgens geverifieerd en gecorrigeerd?
Deze vragen helpen bepalen hoeveel vertrouwen een beslisser in het bewijsmateriaal kan stellen. Ook voorkomen ze dat één zorgvuldig afgebakende beoordeling wordt geïnterpreteerd als zekerheid over de hele organisatie.
Kijk naar operationeel eigenaarschap
Beveiligingswerk is afhankelijk van mensen, machtigingen en processen. Vraag wie de eigenaar is van kritieke systemen, wie wijzigingen kan autoriseren en wat er gebeurt als een sleutelpersoon of leverancier niet beschikbaar is.
Een probleem kan technisch eenvoudig te corrigeren zijn, maar operationeel moeilijk omdat de toegang, kennis of autoriteit geconcentreerd is. Dat heeft invloed op de uitvoerbaarheid en de volgorde van herstel na een transactie.
Maak onzekerheid zichtbaar
De toegang tijdens diligence is vaak beperkt. Sommige vragen zullen onbeantwoord blijven, en sommige beweringen zullen afhankelijk zijn van informatie die door het doelwit wordt verstrekt. Die beperkingen horen thuis in het beslismateriaal.
Bij een duidelijke beoordeling worden geverifieerde observaties, managementrepresentaties en open vragen gescheiden. Verder onderzoek of specialistisch onderzoek kunnen vervolgens worden gericht op de plek waar de kans het grootst is dat de beslissing wordt gewijzigd.
Breng de bevindingen over naar de integratie
Diligence is vooral nuttig als de bevindingen de transactie overleven. Materiële blootstellingen moeten zich vertalen in benoemde acties, afhankelijkheden en een realistische volgorde voor de integratieperiode.
Cyberbevindingen informeren het bredere transactieproces. Juridische, financiële en contractuele oordelen blijven bij de betreffende adviseurs. De rol van het kabinet is om een duidelijk veiligheidsperspectief te bieden waar deze besluitvormers gebruik van kunnen maken.
Het doel is een duidelijkere investeringsbeslissing en een beter geïnformeerd plan voor wat daarna komt.
Een perspectief van het kabinet
The Cybersecurity Cabinet