Uma empresa pode ter políticas de segurança, uma auditoria recente e um roteiro ambicioso. Estes são pontos de partida úteis. Um investidor precisa ainda de compreender o que as provas realmente estabelecem, quais os riscos que permanecem e o que o próximo proprietário poderá ter de fazer.
Defina a decisão antes de solicitar as provas
Um exercício de diligência tem um cronograma e um propósito. A questão é se devemos avançar, o que investigar mais a fundo ou o que priorizar após a conclusão? A resposta determina quais as informações que são materiais.
Comece pelas atividades comerciais e dependências que sustentam o investimento. Uma revisão com um âmbito restrito deve indicar o que pode estabelecer no tempo disponível e o que permanece fora do seu alcance.
Examinar o âmbito da garantia existente
A existência de um relatório não explica a sua cobertura. Que sistemas foram examinados? Quais as versões e ambientes? O trabalho foi uma revisão documental ou uma avaliação ativa? As descobertas importantes foram posteriormente verificadas como corrigidas?
Estas questões ajudam a estabelecer quanta confiança um decisor pode depositar nas provas. Evitam também que uma avaliação cuidadosamente delimitada seja interpretada como uma garantia sobre toda a organização.
Veja a propriedade operacional
O trabalho de segurança depende de pessoas, permissões e processos. Pergunte quem é o proprietário dos sistemas críticos, quem pode autorizar alterações e o que acontece quando uma pessoa ou fornecedor importante não está disponível.
Um problema pode ser tecnicamente simples de corrigir, mas operacionalmente difícil porque o acesso, o conhecimento ou a autoridade estão concentrados. Isto afeta a praticabilidade e a sequência da remediação após uma transação.
Torne a incerteza visível
O acesso durante a diligência é muitas vezes limitado. Algumas questões permanecerão sem resposta e algumas afirmações dependerão de informações fornecidas pelo alvo. Estas limitações pertencem ao material de decisão.
Uma avaliação clara separa as observações verificadas, as representações da gestão e as questões abertas. Testes adicionais ou análises especializadas podem então ser direcionados para onde há maior probabilidade de alterar a decisão.
Leve as descobertas para a integração
A diligência é mais útil quando as suas descobertas sobrevivem à transação. As exposições materiais devem traduzir-se em ações nomeadas, dependências e uma sequência realista para o período de integração.
As descobertas cibernéticas informam o processo de transação mais amplo. Os juízos legais, financeiros e contratuais permanecem com os consultores relevantes. O papel do Gabinete é proporcionar uma perspectiva de segurança clara que os decisores possam utilizar.
O objetivo é uma decisão de investimento mais clara e um plano mais informado para o que se segue.
Uma perspectiva do Gabinete
The Cybersecurity Cabinet