Oggi quasi ogni decisione importante di un consiglio ha dentro una componente di rischio informatico: un'acquisizione, un fornitore critico, una piattaforma di intelligenza artificiale, una dichiarazione al mercato. Quasi mai, attorno a quel tavolo, c'è qualcuno che sappia leggerla senza avere un interesse.
La nomina arriva come esperto di sicurezza a supporto dell'amministratore delegato, in consiglio, in comitato rischi o in advisory board. Non è formazione: è una posizione, e quando serve viene messa per iscritto, perché resti agli atti.
Su questi temi la responsabilità non è più della funzione informatica. Ha un nome, un cognome e una firma.
Il rischio informatico ha smesso di essere una voce di spesa ed è diventato una responsabilità di chi amministra.
Non è una previsione: è già successo, ed è il motivo per cui negli ultimi anni i consigli hanno cominciato a cercare al proprio interno una competenza che prima compravano fuori.
GDPR, NIS2, DORA e AI Act spostano l'obbligo sull'organo amministrativo. Non basta più aver delegato: il consiglio deve poter dimostrare di aver deciso sapendo di che cosa stava decidendo.
Davanti a un'autorità o a un contenzioso, quello che conta è ciò che risulta a verbale.
Un'acquisizione, un fornitore critico, una migrazione, l'adozione di strumenti di intelligenza artificiale. Scelte che pesano quanto una voce di bilancio e che non si riavvolgono.
Chi le porta in consiglio, quasi sempre, ha un interesse a che vengano approvate. La voce che serve al tavolo è l'unica che non ce l'ha.
Un consiglio ragiona su piani pluriennali. Le protezioni che approva vengono quasi sempre comprate con un orizzonte di dodici mesi, e le due cose non coincidono.
La domanda da portare al tavolo non è se il dato sia protetto oggi, ma se lo sarà ancora quando quel piano arriverà a scadenza. Perché oggi la risposta è quasi sempre no →
Un consulente che vende software non può dire a un consiglio che il problema non si risolve comprando software. Chi non lo vende può, e a volte è esattamente la risposta giusta.
È la ragione della chiamata, ed è la sola cosa che renda utile quella presenza al tavolo.
Insediamento. Si comincia da quello che il consiglio ha già e che nessuno ha mai messo in fila: contratti con i fornitori critici, esiti degli audit, polizze, piano di continuità. Nelle prime settimane il consiglio riceve una pagina sola.
Le sedute. Presenza in consiglio o in comitato rischi. Sui punti con una componente informatica la posizione si prende prima del voto, e va a verbale.
Fra una seduta e l'altra. Un fornitore da scegliere, una due diligence, uno strumento di intelligenza artificiale da autorizzare. Le decisioni vere raramente aspettano il calendario: in quei giorni la reperibilità fa parte dell'incarico.
L'incidente. Quando succede, il consiglio deve sapere entro due ore che cosa dire all'autorità, ai clienti e al mercato. È la parte che si prepara prima, e che non si improvvisa da dietro una scrivania.
Sono quasi sempre queste. E quasi mai sono domande tecniche.
Nomina formale in consiglio di amministrazione, per la durata del mandato. È la forma che dà al parere il peso di un voto, e al consiglio la possibilità di dimostrare che quella competenza al tavolo c'era.
Presenza a calendario senza responsabilità di amministrazione. È la forma più frequente nei gruppi che hanno già un consiglio completo e vogliono l'istruttoria, non un altro voto.
Affiancamento su una sola decisione: un'acquisizione, un fornitore critico, l'adozione dell'intelligenza artificiale, un incidente in corso. Comincia e finisce.
Gli incarichi accettati sono pochi ogni anno e uno solo per settore: mai due tavoli in concorrenza. La condizione è posta prima della nomina, non dopo. Sulle nomine i tempi sono lunghi, e i comitati nomine guardano i profili con mesi di anticipo.
Sono co-fondatore e direttore tecnico di CyberGrant, e i brevetti che trova nel registro sono miei. Quando siedo in un consiglio la mia tecnologia non è fra le opzioni e non lo diventa: se una valutazione dovesse arrivare lì, mi astengo e chiedo che l'astensione risulti a verbale. È la sola condizione che pongo prima di accettare un incarico, e la pongo io.
Valerio Pastore
Se il vostro consiglio sta per aprire una posizione, o se una decisione è già sul tavolo, mi scriva. Rispondo personalmente.
ParliamoneBrevetti depositati e concessi, incarichi, istituzioni, società. Non affermazioni, ma atti: cose depositate presso un ufficio, assegnate da una giuria o iscritte a un registro.
Apri il registro →Perché proteggere la rete non basta più, e che cosa succede quando un agente di intelligenza artificiale legge le vostre informazioni. Con la dimostrazione eseguita dal vivo.
Leggi la tesi →L'esame che arriva a un comitato investimenti prima di un'operazione è lo stesso che arriva poi al tavolo di un consiglio. Tecnologia, brevetti, sicurezza, persone.
Come lavoro →