Este artículo tiene su referencia en una información previa de Diligent, elaborada por Ana Plaza, enfocado en la figura del Presidente No Ejecutivo, donde ya se menciona al Consejero Independiente Coordinador o también conocido como LID, por sus siglas en inglés, de Lead Independent Director. En este reportaje se profundiza en lo que representa la figura del Consejero Coordinador, aportando información sobre quién es y qué responsabilidades tiene, por qué es importante su función, al tiempo que se analizan las tendencias de mercados en la separación de funciones entre el Presidente y el LID.

Definición del rol del Consejero Independiente Coordinador

En países de la Unión Europea, como España, los Códigos de Gobierno Corporativo se refieren a la posibilidad (no se estipula como tal una obligación), de contar con la figura de un Consejero Coordinador entre los miembros independientes del Consejo de Administración.

Al no haber un consenso a escala europea, la legislación en relación al LID varía en función de cada país. Según el Informe titulado ´El Consejero Coordinador´, producido por las entidades Global Corporation Center, la auditora EY, y la escuela de negocios IE: “En España, sin perjuicio de sus obligaciones legalmente establecidas de forma específica, el Código recomienda que el consejero coordinador asuma responsabilidad en las relaciones con accionistas en materia de gobierno corporativo, gestione el plan de sucesión del presidente, y presida el Consejo de Administración en los casos de ausencia del presidente; asimismo, debería canalizar las preocupaciones de los consejeros no ejecutivos, sean independientes, sean dominicales no ejecutivos.”

Por qué es importante el Consejero Independiente Coordinador

En dicho Informe, se indica la fecha oficial de inicio: “La figura del consejero coordinador se introdujo legalmente en España con la reforma de la Ley de Sociedades de Capital para la mejora del gobierno corporativo llevada a cabo por la Ley 31/2014, de 3 de diciembre.” No obstante, la problemática venía de lejos, ya se había planteado la posibilidad de la creación de un cargo de Consejero Coordinador para sociedades que operan en los mercados bursátiles desde el año 1997.

El LID debe de aunar una serie de experiencias, conocimientos y valores, como, por ejemplo, trayectoria profesional en Consejos de Dirección y Administración de empresas. También resulta muy relevante que aglutine experiencia a escala internacional en gobierno corporativo, capacidad de análisis y síntesis para escuchar y aportar ideas en base a casos previos, etc. Gracias a esa clase de bagaje, podrá actuar de manera creíble, honrada e independiente, manejando con perspectiva las presiones del Consejo de Administración y establecerá su rol de forma clara y respetada dentro del mismo.

Separación de cargos del Presidente y del Consejero Independiente Coordinador

El informe El gobierno corporativo y los inversores institucionales, publicado en el año 2022 por parte de Georgeson, empresa norteamericana dedicada a la comunicación a accionistas, y Cuatrecasas, bufete de abogados destacado en países de habla hispana, analiza cómo ha ido evolucionando la separación de cargos y funciones que desempeñan el presidente, el primer ejecutivo y el LID en los últimos tres años.

El estudio constata que sigue apareciendo con frecuencia la figura de un presidente ejecutivo en empresas cotizadas en la bolsa de valores. En ese sentido, queda de relieve que ha sido muy habitual constatar que el cargo de presidente del Consejo de Administración es desempeñado por un consejero ejecutivo.

En ese sentido, resulta clave mantener una serie de medidas para dicho nombramiento, que requiere el voto a favor de dos tercios de los miembros del Consejo de Administración. También se debe de nombrar a un LID para que intermedie entre los consejeros independientes y el presidente.

En general, se aconseja votar en contra de la reelección de presidentes que a su vez son primeros ejecutivos de la compañía, teniendo siempre en cuenta que no existe tal legislación en España y, por tanto, hay que analizar de manera específica las peculiaridades de cada Consejo de Administración.

Dicho informe sobre el gobierno corporativo y los inversores institucionales, también aclara que: “los proxy advisors Glass Lewis y Corporance indican que podrían emitir una recomendación de voto en contra del presidente del Consejo cuando los cargos de presidente y consejero ejecutivo estén unificados y no se hayan implementado medidas para prevenir potenciales conflictos de intereses derivados de la combinación de ambos cargos, como, por ejemplo, nombrar un lead independent director.”

Cómo se articula la figura del consejero coordinador en las empresas del IBEX 35

Para comprender mejor la situación a escala local en España, el informe describe que: “en julio de 2021, seis de las compañías del IBEX 35 analizadas tenían los cargos unificados. Las 28 compañías restantes contaban con un presidente del consejo y un consejero delegado y, en 11 de ellas, el presidente tenía la condición de ejecutivo. No obstante, y de acuerdo con los estándares internacionales, pese al carácter ejecutivo del presidente, la presencia de un Consejero Delegado, con facultades y funciones diferenciadas de las del presidente del consejo, sirve como una medida de contrapeso para evitar la concentración de poder.”

En España, la mitad de los presidentes del IBEX-35 son también ejecutivos, aunque se espera que se desarrolle una tendencia en la que habrá una mayor división de funciones en los años venideros, para mejorar así el gobierno corporativo y garantizar una mayor independencia en la toma de decisiones del Consejo de Administración.

The post El papel del Consejero Coordinador appeared first on Diligent - España.

En este artículo se definen las claves que definen un liderazgo de referencia en una crisis. A continuación, profundizamos en los factores que posibilitan una comunicación fluida y una adecuada toma de decisiones, que fortalecerán la cohesión de su equipo y le permitirán desarrollar una conducta referencial para orientar a sus profesionales en el manejo de esa situación de dificultad corporativa.

Principios que favorecen un liderazgo competente en la gestión de una crisis 

La importancia de la comunicación interna y externa. La principal pauta con la que se debe articular ese intercambio de ideas e información es que sea un proceso en el que prime la seguridad de las informaciones, la claridad, el respeto y la empatía, ingredientes esenciales para llevar a buen término esa comunicación. El rigor en el traslado de la información contribuye a tomar las decisiones más atinadas, al tiempo que se genera una atmósfera de confianza, claridad y organización en los públicos de interés que conforman la estructura interna y externa de desarrollo de nuestra organización.

En segundo lugar, resulta fundamental que el líder asuma en primera persona el control y la gestión de la situación, lo que le permitirá tomar las decisiones acertadas de acuerdo a su criterio, experiencia e información disponible. Esas situaciones deben caracterizarse por la celeridad. No obstante, también resulta esencial en la articulación del correcto liderazgo de la crisis que ese consejero o ejecutivo sepa delegar parte de su trabajo y confíe en el buen desempeño y las habilidades gestoras de los responsables de su organización. Gracias a ese trabajo en equipo, el liderazgo de la crisis será más equilibrado y eficiente. Al tiempo que se genera un clima laboral posibilitador, en el que se transmite seguridad, tranquilidad y confianza en el desempeño de sus profesionales, lo que estimulará su productividad y enfoque en una situación tan compleja como la que representa una crisis corporativa. Esas coordenadas posibilitarán una atmósfera cooperativa que unificará y multiplicará el valor de los talentos, formaciones y experiencias de su equipo, orientándolos en una dirección resolutiva de mitigar, reparar y aprender de la crisis.

Cómo un plan de acción favorece el desarrollo de una dirección coherente en la resolución de una crisis. Para estructurar un adecuado liderazgo en la crisis, resulta crucial también definir un plan de acción y ponerlo en marcha. El desarrollo de esa hoja de ruta, en la que se articula un liderazgo colegiado, contribuye a afinar en la definición de expectativas y responsabilidades.

El propósito de su organización como brújula para manejar la crisis con un horizonte a medio y largo plazo. Finalmente, resulta fundamental tener presente y cuidar la visión a largo plazo, al tiempo que se ejercitan los valores de la empresa y los propios en el desarrollo de todo ese plan de crisis, que pondrá a prueba la consistencia, planificación y flexibilidad del liderazgo en su organización. En este punto, es relevante señalar que en situación de crisis resulta muy sencillo acabar obcecado en resolver el corto plazo, lo que puede suponer un talón de aquiles en el manejo de la crisis, para cuya resolución hay que contemplar también el medio y el largo plazo. Una brújula que le ayudará a orientarse adecuadamente en el liderazgo de la crisis consiste en ser muy consciente de cuál es el propósito de su empresa y recordar que esta situación que están atravesando es temporal.

Pautas que articulan una comunicación financiera fiable de una crisis 

El ámbito financiero juega un papel fundamental en la estabilidad y viabilidad de una empresa, así como en la resolución de una crisis. A la hora de comunicar estas situaciones económicas, las organizaciones suelen estar lastradas por una doble limitación. A saber: a la falta de formación concreta de los gestores en la faceta comunicativa, se agrega, en muchas ocasiones, las limitaciones en cuanto a conocimientos financieros de los responsables de comunicación de las compañías.

Esas carencias resultan especialmente delicadas en el universo financiero, en el que la información juega un papel central en la percepción del valor de las empresas, intangible crucial cuando estas cotizan en bolsa. Por lo que, una mala comunicación, puede comportar una pérdida estimable de recursos y reputación.

¿Cómo gestionar adecuadamente la comunicación en el ámbito financiero?

Se trata de emplear un lenguaje común, descriptivo y pedagógico, accesible para toda clase de analistas e inversores, con independencia de cual sea su grado formativo y foco inversor, ya que estos actores estratégicos en la capitalización de las empresas no suelen invertir en entidades y sectores que no conocen, salvo en casos muy específicos de situaciones de burbuja. En ese sentido, resulta muy recomendable citar uno de los mantras de Financial Times: “un negocio puede ser complicado de gestionar, pero hay que explicarlo de manera sencilla y entendible, sin perderse en la inmensidad de los detalles”.

Sea el camino que quiere ver en su empresa para lidiar con las dificultades 

Parafraseando la famosa frase de Mahatma Gandhi, líder de la no violencia activa, “sé el cambio que quieres ver en el mundo”, un consejero o ejecutivo que guíe la gestión de una crisis con su liderazgo debe asumir el mando a partir del ejemplo activo. La idea es demostrar en primera persona el tipo de actitud que quiere convertir en norma de actuación para liderar esa compleja situación. En esa línea, será el primero en compartir información que considere relevante y que puede ayudar a comprender y manejar la situación a su equipo. Además, deberá crear referencia de trabajo en conjunto respondiendo a las preguntas que se le planteen con asertividad y compartiendo pautas sobre un argumentario de respuestas.

En suma, un líder que dedica el tiempo adecuado a escuchar y conversar con sus empleados está poniendo las bases de una conducta referencial, que favorece una comunicación más fluida y sitúa a su equipo de profesionales en unas coordenadas de aprendizaje, aporte y trabajo en equipo.

Cualidades a entrenar para ofrecer un liderazgo sólido en situaciones de crisis 

Buena lectura de la situación. Un líder valioso en tiempos de crisis es aquel que aprende a interpretar esa clase de dificultades con destreza y que, analizada la crisis, toma decisiones valientes, rápidas y fundamentadas en la recolección e interpretación de los datos disponibles.

Capacidad de adaptación. A partir de la virtud anterior, el gestor de nuestra compañía debe saber adaptarse rápidamente a la situación y orienta su conducta y acciones (y los del personal a su cargo) en una dirección atenta, resolutiva y comunicativa.

Habilidad para ‘contagiar’ su punto de vista. Es decir, pedagogía, paciencia, sentido diplomático y persuasión, para hacer partícipe a su equipo de sus decisiones y transmitirles confianza en esa dirección, de manera que adopten genuina y libremente esa dirección a partir de la argumentación de nuestro líder.

Compasión. En una situación de crisis se multiplican las presiones y, en consecuencia, la carga de estrés. Por eso es tan importante que el líder sepa lidiar con esos agobios y transmita serenidad y confianza a su equipo de profesionales, al tiempo que ejercita una tolerancia activa ante las situaciones de nervios, bloqueos y dificultades con las que a veces tienen que manejar los compañeros y compañeras con los que trabajamos.

El valor de abrir nuevos canales de comunicación como estrategia de liderazgo en una crisis 

En esa dirección, es interesante que se puedan abrir nuevos canales de comunicación durante la gestión de la crisis. De esta manera, los empleados estarán informados de primera mano de la situación. En esa sintonía, pueden aportar mucho valor los mensajes de WhatsApp corporativo, circulares, boletines en papel y correos electrónicos. En esa misma vertiente, también funcionan las reuniones y encuentros periódicos para estar actualizados con frecuencia de lo que está sucediendo en su empresa mientras transitan (y ponen las bases para solventar) esta crisis.

The post Claves de un buen liderazgo en una crisis appeared first on Diligent - España.

En este artículo, se describen las funciones y los horizontes de desarrollo del canal de denuncias, así como de los mecanismos a través de los que debe establecerse su utilidad. Para contextualizar su realidad actual en España y en Europa, sintetizamos la esencia de la directiva europea centrada en el canal de denuncias. También se pormenoriza qué empresas deben tenerlo y qué tipo de canales de denuncia existen, así como las ventajas que ofrece este mecanismo corrector corporativo.

Qué es un canal de denuncias: funciones y modalidades

Un canal de denuncias es algo así como un puente de mejora; un elemento de comunicación que permite corregir malas praxis en diferentes ámbitos: ciudadanos, sociales y empresariales. Nos interesa profundizar en la función que cumple el canal de denuncias en el ámbito corporativo. Gracias a las formidables posibilidades que abre el desarrollo tecnológico, el canal de denuncia se fórmula actualmente en el ámbito empresarial a través de alertadores o whistleblowers.

En virtud de este mecanismo correctivo, los empleados de una empresa y entidad, o los proveedores, pueden aplicar denuncias anónimas acerca de abusos o infracciones ilegales que hayan observado, sin temor ninguno a padecer represalias a resultas de esa denuncia. Hablamos, en suma, de un mecanismo correctivo, equilibrador y potenciador de buenas prácticas corporativas, cuyo uso y aprovechamiento ha quedado perfectamente regulado por la Unión Europea (UE). Un marco legal gracias al cual los alertadores están protegidos de sufrir ninguna clase de discriminación o intimidación, al tiempo que se establecen las garantías para que conserven su puesto laboral y este no se vea afectado por la denuncia.

Claves que caracterizan la directiva de la Unión Europea que ampara a los alertadores o denunciantes

La directiva de la Unión Europea de protección de denunciantes de infracciones o whistleblowers entró en vigor el 16 de diciembre de 2019 y responde a la necesidad de regular el creciente uso de los canales de denuncias, y a la importancia de salvaguardar los derechos de los alertadores de ejercer este mecanismo de denuncia y corrección de prácticas, ya sea en el ámbito empresarial o ciudadano.

Uno de los ejes vertebradores que caracterizan esta directiva es que no solamente afecta a los grandes empresas o bancos, también se normativiza para un futuro próximo, cuando todas las empresas de más de 50 empleados, al igual que las ciudades y municipios de más de 10.000 habitantes estarán obligadas a establecer canal canales de denuncias internas.

Análisis de los diferentes canales de denuncias que existen

Buzones. Se trata del método tradicional y más antiguo de formular estas denuncias o disconformidades con el entorno. En nuestro caso, el que más nos interesa es el ámbito empresarial. A  favor del buzón funciona el factor de la universalidad, ya que favorece un ejercicio intergeneracional de este derecho a la corrección y denuncia, que puede ser ejercitado por personas de muy diferentes edades y grados formativos.

Esas personas de muy diferentes edades disponen de esta posibilidad gracias a la intermediación de los empleados de correos. Como factor positivo, está la posibilidad de enviar las correcciones a cualquier parte del mundo.

La pega de este sistema es que hay bastantes intermediarios y cabe la posibilidad de que no reciba la denuncia la persona o profesional más adecuado para gestionarla, valorarla e incorporarla como elemento correctivo en el funcionamiento de la empresa. Además, como las denuncias internas se elaboran de forma anónima, ese hecho dificulta enormemente la comunicación, al lastrar la posibilidad de que se puedan realizar preguntas vinculadas al incidente descrito.

Sistema de denuncias por voz. Como gran ventaja añadida, este sistema ofrece la posibilidad de que se puedan emplear 24 horas al día los 7 días de la semana. Como dificultades, el contestador no permite la función de una comunicación bidireccional para que el denunciante formule consultas (o al menos para que deje sus datos personales). También tiene factor en contra de la demora en la respuesta y sus dificultades para preservar el anonimato del denunciante.

Mediadores. Una de las opciones que más confianza genera en el denunciante y en la actividad receptora de esa denuncia es brindar un punto de encuentro con un mediador o mediadora. Hablamos de una fórmula muy interesante para articular correctamente el mensaje, y evaluar la veracidad y credibilidad de las denuncias internas. Entre las dificultades que comporta este canal, están las restricciones físicas y temporales para desarrollar los encuentros, así como posibles problemas de cobertura lingüística.

El canal más adecuado para formular un canal de denuncias en el 2022: mediante un servidor web

Nos referimos a los canales de denuncia accesibles, que la Directiva de la UE de Protección de Denunciantes de infracciones o whistleblowers apuntan como el método más adecuado para vehicular un canal de denuncias en nuestro tiempo. Este formato, estructurado en un sistema de red online, posibilita la emisión universal de los mensajes sin restricciones, horarias de ningún tipo ni vinculados a las barreras lingüísticas. Otro gran valor añadido este formato es que ofrecen una comunicación confidencial, que permite preservar la identidad del emisor de la denuncia.

Las ventajas de los canales de denuncia

1. Descubrir y aclarar con margen de tiempo las malas praxis, abusos y comportamientos delictivos que se gestan en el entorno corporativo. 
2. Se eluden daños de reputación y cuantiosos costes económicos. Gracias a esa alerta anónima, autorregulatoria, que describe las malas acciones que se dan en el ámbito corporativo se cuida el prestigio de su organización y se preserva el bienestar de su entorno y la generación de recursos.  Además, se corrigen de manera anticipatoria las conductas inadecuadas.
3. El canal de denuncias favorece el desarrollo de una cultura empresarial y laboral transparente y fundamentada en valores. 
4. Una articulación correcta (y sostenida en el tiempo) de un canal de denuncias incrementa la confianza y la predisposición a compartir información sostenible de un modo interno, lo que contribuye a la resolución de los problemas.

The post Preguntas clave para establecer el canal de denuncias appeared first on Diligent - España.

La búsqueda de las mejores prácticas ambientales, sociales y de gobierno de una empresa ha pasado a jugar un papel central en el desarrollo empresarial durante los últimos años. Tanto es así que su implementación representa un imperativo estratégico. En este artículo, se detallan las pautas y factores principales que se deben tener en cuenta para que su organización incorpore una estrategia ESG consistente. También describimos cuáles son los ingredientes ESG primordiales, así como las claves que configuran una estrategia de alto impacto y largo aliento ESG, que posibilite un crecimiento empresarial integral de su organización, al tiempo que le permite sortear futuras crisis corporativas con una mayor resiliencia y adecuación a los criterios y requerimientos de sus grupos de interés.

Una hoja de ruta ESG confiable cotiza al alza en el ámbito corporativo. Esas estrategias ESG, bien optimizadas, permiten incrementar la eficiencia, minimizar los desechos y aminorar los costes. También permite construir vínculos más estrechos con la comunidad local, al tiempo que su empresa afina en la interacción con los clientes, proveedores y grupos interesados potenciales.

Los cinco pasos críticos que posibilitan el establecimiento de una estrategia ESG

1) Identifique cuáles son las mejores prácticas ESG. Se trata de localizar las referencias que aporten a su compañía el impulso que necesita. Por ejemplo, las empresas del sector energético se centran a menudo en cuál es su impacto ecológico. Se trata, en suma, de identificar a las empresas, equipos y profesionales que son líderes en la implementación de una estrategia ESG. A partir de ahí, a través del estudio de sus enfoques, puede incorporar algunos consejos valiosos para aplicarlos y adaptarlos a su negocio.

2) Consulte a sus grupos de interés. Hoy día los grupos de interés comprenden a una amplia variedad de actores estratégicos. En el ámbito interno, están los accionistas, los directivos y los trabajadores. En el plano externo, figuran los inversores, las entidades financieras, las organizaciones sociales, la comunidad local y los consumidores o clientes. Se trata de escudriñar los temas y asuntos que más valoran estos stakeholders, lo que le proporcionará una información muy útil para afinar en sus propias prioridades corporativas ESG.

3) Vincular con los profesionales adecuados, expandiendo una cultura activa de responsabilidad en la aplicación de las estrategias ESG. Para incorporar las estrategias ESG en acciones concretas de una manera integral, resulta esencial persuadir del valor de esas políticas a los profesionales que despliegan liderazgo en su entidad, ya sea en el Consejo de Administración o en el equipo directivo. En esa sintonía, trabaje de manera colaborativa con cada uno de los responsables de los departamentos que conforman su empresa. La idea es que los responsables de su compañía se involucren primero en la implementación activa de las estrategias ESG. A través de ese diálogo, de esa pedagogía, se consigue que esos profesionales y sus equipos se comprometan activamente, después, en el desarrollo de la estrategia ESG. Cuántas más complicidades construya en su negocio con este eje vertebrador, más posibilidades de éxito tendrán sus estrategias para hacer crecer y robustecer su organización en la faceta ESG.

4) Recopile los datos y pruebas de avance que necesite. Hablamos de un factor fundamental de una estrategia ESG. Si afina en los criterios (y las herramientas más adecuadas) para compilar los datos que necesita, podrá definir y medir más claramente los objetivos, logros y avances. El caso es establecer una estrategia ESG, y luego monitorear, informar y comunicar sus logros, lo que requiere de un enfoque estructurado y constante, que permite poner en valor el desempeño ESG de su entidad.

5) Medir y reelaborar las estrategias ESG de una manera dinámica. Ninguna estrategia empresarial es estática, lo que queda especialmente de relieve cuando hablamos de estrategias ESG. Esas reformulaciones vendrán definidas por razones tan diversas como imperativos externos, nuevas legislaciones o requisitos inversores, al tiempo que se procura incorporar las preocupaciones cambiantes de los grupos de interés.

En ese sentido, resulta pertinente señalar que la pandemia ha fortalecido la tendencia de las empresas para desarrollar proyectos y negocios sostenibles. La idea que subyace en esa corriente corporativa está clara: construir y posibilitar un tipo de economía más resistente y resiliente frente a los riesgos climáticos y ambientales. Para que estas estrategias ESG tomen cuerpo y generen las influencias anheladas en la faceta reputacional y comercial, los factores ESG deben convertirse en el eje vertebrador de la empresa.

La digitalización y los indicadores medioambientales

Si quiere fortalecer esa dirección en su organización, debe revisar la cadena de valor de su entidad y pesquisar en detalle cuáles son los riesgos más relevantes de la misma. En ese contexto de políticas ESG, muchas empresas están centradas en impulsar su transformación digital, lo que le permitirá contar con mayores posibilidades, flexibilidad operativa y garantías competitivas ante probables crisis futuras.

Valore así mismo cómo estructurar su transición a una economía baja en carbono, también de qué manera implementa o quiere incorporar las energías renovables, así como otros principios de eficiencia medioambiental, como el uso del agua, el desarrollo de la economía circular o el reciclaje de los residuos, entre otras acciones y tácticas

En el ámbito social, resulta primordial poner el foco en el fomento de la inclusión y la diversidad. En esa faceta, también resulta crucial velar por la integridad de la cadena de suministro, los salarios, la lucha contra la corrupción, así como la aplicación práctica y sistemática de los derechos humanos en su organización, entre otras facetas.

En síntesis, las estrategias ESG impulsadas desde su Consejo de Administración deben responder a una lógica cooperativa y transversal, con acciones integrales e intencionadas, en las que el reto es hacer partícipes y corresponsables a todos los departamentos de su organización de recursos humanos, medio ambiente, departamento financiero, marketing y logística para favorecer así la incorporación de ese enfoque ESG.

En ese sentido, le puede resultar de gran ayuda a la realización de auditorías internas.  Después, cuando fije sus metas de desarrollo de las estrategias ESG, necesitará instrumentos potentes y afinados que le permitan gestionar, reportar y divulgar los datos ESG. Gracias a esa información correctamente segmentada, podrá establecer una narrativa ESG coherente, bien articulada y atractiva para todos sus grupos de interés: desde los inversores a los accionistas, pasando por los proveedores y, claro, los clientes finales, cada vez más atentos y exigentes con los aspectos vinculados al cuidado ambiental, el desarrollo social y el buen gobierno corporativo de una empresa.

The post 5 pasos para establecer estrategias ESG exitosas appeared first on Diligent - España.

En este artículo se aportan 4 pautas, sintetizadas en 4 frases guía, que ilustran el procedimiento que deben seguir el CISO (El Director de Sistemas de Información de una empresa) para transmitir a los líderes empresariales las claves que deben estructurar un protocolo corporativo cuando una empresa debe afrontar un ciberataque. Además, se detallan los ejes que conforman la prevención y gestión de una brecha de seguridad: preparación, identificación, contención, mitigación, recuperación y aprendizaje.

En ese proceso comunicativo, el CISO debe prescindir de la jerga técnica de su oficio, para hacer más inteligible su discurso, traduciendo el contenido de su mensaje a un vocabulario accesible a todos los componentes del Consejo de Administración o del equipo directivo de su organización. La idea es que el CISO salpimiente su relato con ejemplos comprensibles, que ayuden a dimensionar la gravedad (o complejidad) del evento a los consejeros y ejecutivos con los que mantiene la interlocución.

Hitos que delimitan un adecuado manejo de un ataque informático

Para profundizar en las claves que posibilitan un manejo competente de una ciberagresión, se recomienda estudiar con detenimiento las pistas que se aportan en este artículo centrado en la ciberseguridad, en el que se inspiran las pautas para solventar una brecha de seguridad que se aportan a continuación:

Preparación. Una correcta previsión y entrenamiento previo contribuyen de manera muy significativa a gestionar de manera eficiente un incidente. Entre los factores más importantes de esta fase está el hecho de disponer de información actualizada del personal (interno y externo) que puede manejar adecuadamente esta información. También resulta crucial mantener los procedimientos actualizados, definir las herramientas más valiosas para neutralizar la brecha de seguridad, cartografiar el alcance de los riesgos (por ejemplo, entre mitigados, transferidos y aceptados), así como afinar en la operativa de gestión y coordinación ante un ataque.

Identificación. El eje central de esta fase estriba en definir su origen, alcance e impacto, para así reconocer y reparar la brecha de seguridad. En ese propósito juega un papel muy importante registrar y monitorizar toda clase de eventos, sistemas, aplicaciones y anomalías. También contar con los instrumentos adecuados para medirlos y describirlos a los profesionales y equipos más capacitados, así como la recuperación de los mismos desde una copia de seguridad. Entre las acciones de mitigación, juega un papel relevante la recuperación de la última copia de seguridad limpia.

Recuperación. La clave de esta fase se centra en retomar el nivel de operación a su estado normal, y las áreas de negocio afectadas recuperarán su actividad.

Aprendizaje. Gracias a las métricas, se puede definir cuánto tiempo se tarda en resolver una brecha de seguridad con un alto impacto en los sistemas de la organización: desde que se notifica hasta que se resuelve. También resulta crucial delimitar cuál es el número de horas por profesional dedicadas a resolver incidentes de seguridad, al tiempo que se dilucida si es necesario incrementar la fuerza del trabajo.

4 principios-frase que orientan una gestión apropiada de una brecha de seguridad 

1) “Sí, somos conscientes que estamos sufriendo una brecha de seguridad y hemos iniciado el Plan de Continuidad de Negocio”. Con una frase tan sencilla como esta confirmamos que la información que ha recibido nuestro interlocutor de otras fuentes (un dato que, con suerte, no sale en prensa antes de que el CISO reporte la situación a los órganos de gobierno) es verídica y que el departamento de ciberseguridad está en proceso de manejarlo y resolverlo. Además, esta frase funciona como recordatorio sobre cuál es el plan de continuidad, y permite generar una sensación de manejo de la situación, acorde con el manual de gestión de crisis.

2) “Hemos identificado qué tipo de ataque hemos sufrido y sabemos el impacto que ha generado en la empresa”. Conocer la clase de ciberataque que hemos recibido determinará la respuesta que debemos de dar. Esa capacidad para identificar el problema tranquilizará al Consejo y les permitirá percatarse de que se están adoptando las medidas adecuadas. En ese sentido, resulta pertinente remarcar que los líderes no necesitan conocer todos los detalles de la situación ni querrán explicaciones pormenorizadas, pero sí necesitan saber que su experto en ciberseguridad está informado y actuando como la situación requiere.

3) “Hemos informado al INCIBE (el centro de respuesta a incidentes de seguridad de referencia para los ciudadanos y entidades de derecho privado en España, operado por el Instituto Nacional de Ciberseguridad) y estamos colaborando con la agencia de RRPP (departamento de relaciones públicas de la empresa), nuestros abogados, y el departamento de comunicaciones internas a través de nuestra plataforma de comunicación segura”. Saber que se han tomado las medidas necesarias y se ha contactado con los proveedores pertinentes y se ha informado a los empleados, permitirá que ellos se centren en otros aspectos estratégicos en la gestión de una brecha de seguridad.

4) “A continuación os presento el progreso hasta el momento”. No hay que entrar en detalles, pero hay que mantener al Consejo de Administración y el equipo directivo continuamente informados. Para ello, va a ser necesario que el CISO se ocupe solo de comunicar el progreso en el correcto manejo de la crisis ante la ciberagresion. Una única interlocución favorece una sensación de control y orden en la gestión del ataque. La idea es manejar la situación con buenas dosis de neutralidad, capacidad comunicativa, adaptando el discurso a una realidad accesible para todos los consejeros y directivos, así mismo resulta pertinente ejercitar una atención activa a sus preocupaciones, gestos y preguntas, para construir un relato conectado con la realidad al tiempo que divulgativo de la situación (y de las medidas que se están desarrollando para mitigarla o resolverla).

En esa sintonía, también podría funcionar bien el procedimiento de que el CISO delegue esa función informativa en alguien en quien confía en su equipo, dotado de buenas cualidades comunicativas, para que cumpla esa función como interlocutor mientras se resuelve la brecha de seguridad. También es importante recordar que, aunque el CISO es el responsable máximo de la seguridad, dispone de una red de apoyo estimable que le puede apoyar para manejar la situación con más garantías. Esto se traducirá en que puede confiar en esos profesionales para recibir la actualización de cómo discurre la crisis, para lidiar con desajustes e imprevistos que se presenten durante el ciberataque y también para resolver las incidencias y para comunicarse con los proveedores externos.

Sea como fuere, no todas estas responsabilidades recaen en el CISO, de ahí el valor de contar con un equipo de expertos en nuevas tecnologías, competente y bien sincronizado. Finalmente, es fundamental que se recuerde, en todo momento, que los órganos de gobierno determinarán si la resolución de la brecha de seguridad ha sido pertinente o no y esa valoración tendrá consecuencias evidentes para el puesto de trabajo del experto en ciberseguridad.

The post 4 frases que debes mencionar cuando sufras una brecha de seguridad appeared first on Diligent - España.