150 empleados de medianas y grandes empresas han sido encuestados, incluyendo consejeros y consejeros independientes, gerentes de riesgo, profesionales de compliance y abogados, entre otros. Los resultados de las entrevistas, recogidos en el estudio D&O: Personal Exposure to Global Risk, son claros: los ciber riesgos y la gestión adecuada de los datos son las mayores preocupaciones de los Directivos a día de hoy.
De hecho, en el 40% de las compañías participantes alguno de sus D&O (directors and officers) se había visto involucrado en una investigación relacionada con ciberataques o riesgos derivados de fugas de datos sensibles en los 12 meses anteriores al estudio. Para la mitad de los encuestados, las brechas en la seguridad de los datos y los riesgos derivados del reglamento general de protección de datos de la Unión Europea (GDPR, por sus siglas en inglés) son sus principales preocupaciones. No es para menos, ya que incumplir el GPDR puede acarrear sanciones de hasta el 4% de facturación anual del grupo o de hasta 20 millones de euros.
Además, un porcentaje similar de los directivos aseguró que los ciberataques son su segunda gran preocupación. Las ciber amenazas ponen en riesgo la continuidad del negocio y la reputación de la compañía y pueden acarrear importantes riesgos en materia de responsabilidades a sus directivos. Por eso es cada vez más habitual que los consejos de administración de las compañías le den más importancia a mitigar y transferir los riesgos a los que está expuesta la organización.
El impacto que puede tener una brecha de seguridad o caída de los sistemas excede las consecuencias puramente financieras o
económicas que puedan suponer la investigación y restauración de los sistemas de la compañía, o la debida notificación a los usuarios y afectados: otros aspectos relativos a la reputación, las posibles multas y sanciones – tanto a la compañía como a sus responsables – o la caída de la valoración por parte de accionistas debido a las dudas sobre la gestión de la propia compañía por parte de sus directivos, son otras consecuencias clave a tener en cuenta.
Pólizas de D&O frente a brechas en la seguridad
Las pólizas de D&O están diseñadas para dar protección al patrimonio personal de la Alta Dirección ante posibles reclamaciones derivadas de errores u omisiones en sus funciones. Por ejemplo, decisiones que impliquen los sistemas informáticos, infraestructuras, gestión de datos a raíz del nuevo Reglamento General de Protección de Datos (RGPD) o ciberseguridad. En este contexto, cada vez es más frecuente, sobre todo en Estados Unidos, que estas pólizas cuenten con exclusiones específicas relacionadas con reclamaciones relacionadas con la privacidad y la ciberseguridad.
Así, exclusiones por daños materiales y personales que cubren los perjuicios físicos y morales tras un ataque o un robo de datos sensibles o exclusiones de terrorismo que protegen a las organizaciones y sus directivos de ataques perpetrados por “hacktivistas” son cada vez más habituales.
Por otro lado, tras la entrada en vigor del GDPR, las pólizas de D&O están adaptándose al nuevo marco normativo. Así, algunos seguros empiezan a incluir expresamente en la definición de persona asegurada la figura del Delegado de Protección de Datos, obligatorio en las organizaciones que gestionen gran cantidad de datos. Por otro lado, las pólizas se han adaptado al nuevo régimen de sanciones y a las responsabilidades derivadas de la gestión de la crisis por parte de los directivos tras un incidente cibernético.