Sean Inggs de Leeward sobre las brechas de resiliencia cibernética que las juntas de fondos pasan por alto

Los ciberataques a firmas financieras rara vez hacen titulares por código ingenioso. Hacen titulares por lo que se rompió y quién era responsable de vigilarlo. Para los fondos de inversión, esa pregunta de responsabilidad es más difusa de lo que la mayoría de las juntas asumen, y es una brecha que Leeward, la firma de gobernanza y directores independientes con sede en las Islas Caimán, dice que está atrasada para recibir atención.

“Las juntas se dicen a sí mismas que la ciberseguridad está manejada porque el fondo no ejecuta ningún sistema propio”, dijo Sean Inggs, director independiente en Leeward. “Pero el dinero del fondo y los datos de los inversores del fondo aún se mueven a través de un gestor y un administrador todos los días. Esa es la superficie de ataque, y la junta es dueña de la supervisión de ella, ya sea que la regulación nombre al fondo directamente o no.”

Dónde llega la regulación, y dónde se detiene

La Autoridad Monetaria de las Islas Caimán ha tenido un régimen vinculante de ciberseguridad en vigor durante varios años a través de su Regla y Declaración de Orientación sobre Ciberseguridad para Entidades Reguladas. La Regla coloca la responsabilidad última de gestionar el riesgo cibernético en el órgano de gobierno de una entidad, requiere un marco documentado para identificar, monitorear y recuperarse de incidentes, exige revisiones independientes periódicas, y obliga a las entidades dentro del alcance a reportar incidentes materiales a CIMA dentro de las 72 horas.

El detalle que sorprende a muchas directivas es uno de alcance. La Regla se aplica a los gestores de inversión y a la mayoría de otras entidades reguladas por CIMA, pero no directamente a los fondos mutuos y fondos privados en sí mismos. Según Leeward, esa distinción es exactamente la razón por la cual las juntas de fondos no pueden leerla como un problema de otra persona.

“El gestor que está dentro del alcance es el mismo gestor que ejecuta tus suscripciones y redenciones”, dijo Inggs. “Así que el riesgo llega al fondo incluso cuando la regla no lo hace. Un director que deja de leer en ‘el fondo está fuera del alcance’ ha dejado de leer una línea demasiado pronto.”

De cuestionarios a supervisión genuina

La posición de Leeward es que la mayoría de los fondos ya recopilan los documentos correctos y preguntan demasiado poco por ellos. El informe de auditoría de un proveedor de servicios o el cuestionario de seguridad anual confirma que existe un proceso. No confirma que el fondo sobreviviría la semana si ese proveedor se viera desconectado.

La firma anima a las juntas a pasar del papeleo a las pruebas operativas. Eso significa entender qué proveedores son genuinamente críticos para la continuidad del fondo, conocer el plan de recuperación si uno de ellos falla, y confirmar que la respuesta a incidentes ha sido realmente ensayada en lugar de meramente documentada. También significa claridad en la cadena de notificación, para que la junta se entere de una brecha lo suficientemente rápido como para importar, particularmente dada la obligación de reportar en 72 horas que se aplica a las entidades alrededor del fondo.

“La resiliencia es una cuestión de continuidad, y la continuidad es el trabajo de la junta”, dijo Inggs. “No necesitas auditar un firewall. Necesitas saber qué sucede la primera mañana de un incidente, y necesitas saberlo antes de que llegue esa mañana.”

La divulgación eleva las apuestas

La presión también está aumentando desde el lado de la divulgación. Cuando las Islas Caimán renovaron su marco de fondos a principios de 2026, introdujeron requisitos para que los documentos de oferta detallaran los riesgos específicos de tecnología, incluida la ciberseguridad, y explicaran cómo se mitigan esos riesgos. Los inversores leerán esas declaraciones y las pondrán a prueba.

Leeward espera que la resiliencia operativa se convierta en una parte rutinaria de la debida diligencia institucional en lugar de una preocupación de nicho. Los fondos que puedan mostrar una junta genuinamente comprometida con la pregunta, argumenta la firma, tendrán más facilidad para ganar y mantener el capital institucional que aquellos que tratan el riesgo cibernético como una nota técnica al margen.

“Los fondos que lo hacen bien no son los que tienen las políticas más largas”, dijo Inggs. “Son los donde la junta puede decirte, en lenguaje claro, cómo funciona el fondo en un día malo.”

Leeward proporciona servicios de director independiente y gobernanza desde las Islas Caimán. Sean Inggs es un director independiente en Leeward y un director profesional registrado bajo la Ley de Registro y Licencia de Directores de las Islas Caimán, con más de 20 años de experiencia legal y de gobernanza internacional en fondos de cobertura, capital privado, estructuras de oficinas familiares y empresas de blockchain. Aprende más en leeward.ky.