Sean Inggs di Leeward sulle lacune di resilienza informatica trascurate dai consigli di amministrazione dei fondi

Gli attacchi informatici alle aziende finanziarie raramente fanno notizia per via di codice sofisticato. Fanno notizia per ciò che si è rotto e per chi era responsabile della sua sorveglianza. Per i fondi di investimento, la questione della responsabilità è più nebulosa di quanto la maggior parte dei consigli di amministrazione ipotizzi, ed è una lacuna che Leeward, l’azienda di governance e direttori indipendenti con sede nelle Cayman, ritiene sia da tempo in attesa di essere affrontata.

"I consigli si dicono che la cybersecurity è gestita perché il fondo non gestisce alcun sistema di propria proprietà", ha detto Sean Inggs, direttore indipendente presso Leeward. "Ma i soldi del fondo e i dati degli investitori del fondo si muovono comunque attraverso un manager e un amministratore ogni giorno. Questa è la superficie di attacco, e il consiglio possiede la supervisione di essa indipendentemente dal fatto che la regolamentazione nomini direttamente il fondo o meno."

Dove arriva la regolamentazione e dove si ferma

L’Autorità Monetaria delle Isole Cayman (CIMA) ha implementato da diversi anni un regime vincolante di cybersecurity attraverso la sua Normativa e Dichiarazione di Orientamento sulla Cybersecurity per le Entità Regolamentate. La Normativa attribuisce la responsabilità ultima della gestione del rischio informatico all’organo di governo dell’entità, richiede un framework documentato per identificare, monitorare e recuperare dagli incidenti, impone revisioni indipendenti periodiche e obbliga le entità rientranti nell’ambito di applicazione a segnalare gli incidenti materiali alla CIMA entro 72 ore.

Il dettaglio che sorprende molti direttori riguarda l’ambito di applicazione. La Normativa si applica ai gestori di investimenti e alla maggior parte delle altre entità regolamentate dalla CIMA, ma non direttamente ai fondi comuni e ai fondi privati stessi. Secondo Leeward, questa distinzione è esattamente il motivo per cui i consigli di amministrazione dei fondi non possono considerarla un problema di qualcun altro.

“Il gestore che rientra nell’ambito di applicazione è lo stesso gestore che gestisce le vostre sottoscrizioni e riscossioni,” ha detto Inggs. “Quindi il rischio raggiunge il fondo anche quando la norma non lo fa. Un direttore che smette di leggere alla frase ‘il fondo non rientra nell’ambito di applicazione’ ha smesso di leggere una riga troppo presto.”

Da questionari a una vera supervisione

La posizione di Leeward è che la maggior parte dei fondi raccoglie già i documenti corretti e ne chiede troppo poco. Il report di audit di un fornitore di servizi o il questionario di sicurezza annuale conferma che un processo esiste. Non conferma che il fondo sopravviverebbe alla settimana se quel fornitore venisse disconnesso.

L’azienda incoraggia i consigli di amministrazione a passare dalla carta all’operatività, attraverso test effettivi. Questo significa comprendere quali fornitori sono genuinamente critici per la continuità del fondo, conoscere il piano di recupero se uno di essi fallisce e confermare che la risposta agli incidenti sia stata effettivamente esercitata e non solo documentata. Significa anche chiarezza sulla catena di notifica, in modo che il consiglio venga a conoscenza di una violazione abbastanza rapidamente da poter agire, specialmente considerando l’obbligo di segnalazione entro 72 ore che si applica alle entità circostanti il fondo.

“La resilienza è una questione di continuità, e la continuità è compito del consiglio,” ha detto Inggs. “Non hai bisogno di fare un audit di un firewall. Hai bisogno di sapere cosa succede la prima mattina di un incidente, e devi saperlo prima che arrivi quella mattina.”

La divulgazione alza le puntate

La pressione aumenta anche dal lato della divulgazione. Quando le Isole Cayman hanno aggiornato il loro quadro normativo per i fondi all’inizio del 2026, hanno introdotto requisiti per i documenti di offerta di specificare i rischi specifici della tecnologia, inclusa la cybersecurity, e di spiegare come tali rischi vengono mitigati. Gli investitori leggeranno quelle dichiarazioni e le testeranno.

Leeward prevede che la resilienza operativa diventi una parte routine della due diligence istituzionale piuttosto che una preoccupazione di nicchia. I fondi che possono dimostrare un consiglio di amministrazione genuinamente impegnato su questa questione, sostiene l’azienda, avranno più facilità a ottenere e mantenere il capitale istituzionale rispetto a quelli che trattano il rischio informatico come una nota tecnica.

“I fondi che gestiscono bene questa materia non sono quelli con le policy più lunghe,” ha dichiarato Inggs. “Sono quelli in cui il consiglio di amministrazione è in grado di spiegarti, in parole semplici, come il fondo continua a operare anche nei giorni difficili.”

Leeward fornisce servizi di direttore indipendente e governance dalle Isole Cayman. Sean Inggs è un direttore indipendente presso Leeward e un direttore professionale registrato ai sensi della Legge sulla Registrazione e Licenza dei Direttori delle Isole Cayman, con oltre 20 anni di esperienza internazionale nel settore legale e di governance attraverso hedge fund, private equity, strutture di family office e aziende blockchain. Scopri di più su leeward.ky.