Изучите вместе с нами все более важную роль кибербезопасности в сделках
В этом аудио-блоге Доменик Марино (Domenic Marino), руководитель практики услуг в рамках сделок в PwC Canada, беседует с коллегами Джен Джонсон (Jenn Johnson), руководителем направления стратегии и трансформации, и Дэнни Гарвудом (Danny Garwood), партнером по кибербезопасности, защите данных и борьбе с финансовыми преступлениями, о возрастающей роли кибербезопасности в слияниях и поглощениях (M&A). Они обсуждают, как организация может защитить себя от киберпреступности при объявлении о сделке и как наличие надежного профиля кибербезопасности должно стать частью долгосрочной бизнес-стратегии организации.
Доменик: Добро пожаловать и спасибо, что присоединились к нам. Меня зовут Доменик Марино, я возглавляю практику услуг в рамках сделок в PwC Canada. Сегодня со мной Джен Джонсон, наш руководитель направления стратегии и трансформации, а также Дэнни Гарвуд, партнер нашей практики по кибербезопасности, защите данных и борьбе с финансовыми преступлениями. Наша цель сегодня — предоставить вам актуальную информацию и рекомендации по вопросам кибербезопасности в сделках, включая проведение эффективной комплексной юридической проверки (due diligence), чтобы вы могли принимать обоснованные решения внутри своей организации. Мы начнем с обсуждения того, как защитить вашу организацию от киберпреступности при объявлении о сделке. Затем мы рассмотрим, как наличие надежного профиля кибербезопасности может стать частью вашей долгосрочной стратегии. Мы также углубимся в то, почему сейчас самое подходящее время начать рассматривать инвестиции в кибербезопасность как способ создания новой стоимости. Итак, начнем с кибербезопасности. Дэнни, можете ли вы рассказать нам о некоторых киберрисках, которым подвергаются компании после объявления о сделке?
Дэнни: Конечно, Дом. После объявления о сделке необходимо учитывать ряд факторов с точки зрения киберрисков. Во-первых, появляются наши более состоятельные игроки. Это определенно делает приобретенную компанию более интересной целью для киберпреступников. В зависимости от характера сделки, между покупателем и целью может происходить интеграция, и при наличии несоответствий киберриски, как правило, возрастают. Таким образом, даже если у организации может быть высокий общий уровень киберзрелости, она может приобрести компанию, у которой его нет, и это может стать серьезным риском для покупателя. Вот почему в рамках интегрированного процесса due diligence важно заблаговременно выявлять некоторые из этих крупных красных флагов с точки зрения кибербезопасности. А затем, после закрытия сделки, мы видим, что многие покупатели проводят более глубокую оценку кибербезопасности, что действительно позволяет им понять ключевые проблемы и разработать план действий для устранения любых пробелов.
Доменик: Это звучит очень логично. Спасибо, Дэнни. Джен, меняя тему: как наличие более надежного профиля кибербезопасности может стать частью долгосрочной стратегии инвесторов?
Джен: Это отличный вопрос, Дом, и я бы действительно хотела начать с развития мысли, которую озвучил Дэнни. Мы наблюдаем значительный рост внимания к кибербезопасности на этапе due diligence. Речь идет о том, чтобы с открытыми глазами оценивать состояние кибербезопасности компании, которую планируется приобрести, и потенциальные инвестиции, которые вам, возможно, придется сделать, чтобы довести ее до приемлемого уровня и зрелости. Кроме того, многие инвестиции часто предполагают интеграцию с существующим бизнесом или возможность значительно вырасти и управлять этим бизнесом гораздо более прибыльным способом, и все это имеет критически важный технологический компонент, верно? Когда есть инвестиции в технологии и фокус на них, кибербезопасность должна быть на первом месте. Она имеет решающее значение для формирования доверия и уверенности у заинтересованных сторон этого бизнеса. Это также может привести к росту стоимости. Независимо от того, решаете ли вы удерживать бизнес или выйти из него тем или иным способом (мы вернемся к этому позже), крайне важно рассматривать кибербезопасность как один из ключевых рычагов в вашей истории создания стоимости и убедиться, что ваша общая стратегия ясна и поддерживается.
При этом существуют различные стратегии в зависимости от типа заключаемой вами сделки. Мы видели некоторые компании прямых инвестиций (PE), которые придерживаются подхода «купить, удерживать, а затем продать» в отношении инвестиций, а также более проактивные взгляды на кибербезопасность. Например, фирмы прямых инвестиций и пенсионные фонды не только оценивают собственное состояние кибербезопасности на уровне фонда, но и изучают киберриски в каждой отдельной портфельной компании, устанавливают минимальные ожидания относительно того, как должна выглядеть хорошая защита, а затем регулярно проверяют эти активы, чтобы убедиться, что они остаются защищенными на минимальном уровне — опять же, основываясь на бизнес-модели, в которой они работают, и своих инвестиционных целях. Цель здесь состоит в том, чтобы снизить риски актива, но при этом поддержать их инвестиционную стратегию по дальнейшему росту и/или надлежащей интеграции этого бизнеса с их существующими бизнес-моделями.
Доменик: Да, спасибо, Джен. Это отличные замечания. Дэнни, если мы подумаем о кибербезопасности и M&A, инвесторы начинают применять все более защитный подход к своим активам. Как вы думаете, почему это находится в центре внимания?
Дэнни: Да, инвесторы определенно начинают занимать более защитную позицию в отношении своих активов, и именно поэтому мы наблюдаем всплеск проверок due diligence в сфере кибербезопасности как части более широкой интегрированной проверки, поскольку это один из основных рисков для оценки. Но процесс due diligence также дает покупателю или инвестору возможность понять, какие инвестиции необходимо сделать для устранения некоторых из этих пробелов в кибербезопасности после сделки. Джен упоминала об этом минуту назад, но многие организации проходят через цифровую трансформацию или цифровую эволюцию, и это часто является фактором дифференциации, который может быть причиной приобретения в первую очередь. Всякий раз, когда возрастает зависимость от технологий, возрастают и риски кибербезопасности.
В дополнение к этому мы также видим, что все больше страховых компаний задают вопросы о кибербезопасности при андеррайтинге сделок. Они хотят знать, как покупатели снижают киберриски. Все чаще мы видим, что компании прямых инвестиций и особенно пенсионные фонды выделяют в организации специального человека, который отслеживает киберриски по всему портфелю, анализирует их и определяет, куда будут направлены инвестиции. Все это — факторы того, почему кибербезопасность находится в центре внимания при сделках M&A.
Доменик: Да. Спасибо, Дэнни. И Джен, у меня есть еще один вопрос для вас. Я хочу затронуть то, о чем вы упомянули чуть раньше, и подробнее развить концепцию кибербезопасности и истории создания стоимости. Итак, как инвесторы могут расширить свой кругозор, чтобы учесть создание стоимости во время сделки?
Джен: Да, это интересная область, и я думаю, что сейчас она довольно сильно развивается. Возвращаясь к тому, о чем говорил Дэнни, и к инвестиционной стратегии: практически каждый известный нам сегодня бизнес реализует ту или иную программу цифровизации или трансформации, и кибербезопасность должна быть и является центральным фокусом в этих программах. Риск допустить ошибку очень велик и может очень быстро подорвать доверие стейкхолдеров. Но с точки зрения создания стоимости мы также видим, что ряд организаций осознают отсутствие у них бездонных карманов и необходимость подходить к киберинвестициям с умом, верно? Для многих организаций кибербюджеты продолжают довольно существенно расти из года в год уже на протяжении нескольких лет, и поэтому многие действительно начинают задаваться вопросом: «Как мне более эффективно распоряжаться средствами, которые я трачу в этой ключевой сфере?». Поэтому одна из областей, которые мы начинаем замечать все чаще, — это количественная оценка киберрисков, и она позволяет вам использовать моделирование для выявления вашей подверженности киберрискам.
И затем, если вы оцениваете эту подверженность и выражаете ее в цифровом эквиваленте, вы можете определить, устраивает ли вас эта цифра, то есть комфортна ли вам такая степень риска? И если она слишком высока (что бывает часто), вы можете смоделировать ситуацию: если я внесу определенные улучшения (и я могу выбрать эти улучшения), то я действительно увижу снижение этой подверженности киберрискам. Таким образом, это позволяет вам использовать сценарное планирование по принципу «если — то» и помогает четко и целенаправленно определить, куда именно вы направите эти киберинвестиции, чтобы максимизировать создаваемую с их помощью стоимость. Так, например, мы работали с одной инвестиционной компанией прямых инвестиций, которая приобрела актив в по своей сути высокорискованном секторе бизнеса, и мы провели кибераудит этого актива примерно через 90 дней после закрытия сделки. К сожалению, результаты оказались немного ниже тех, которых мы ожидали от столь по своей сути рискованного бизнеса.
Это заставило покупателя вернуться к вопросу и пересмотреть свою первоначальную оценку стоимости бизнеса и перспектив его развития. Тем не менее, в этой истории есть и хорошие новости. Они также начали изучать вопрос количественной оценки киберрисков. Они использовали ее, чтобы определить направления для киберинвестиций с целью максимизации создаваемой для организации стоимости и снижения киберрисков. Итак, прошло чуть больше 12 месяцев, и они активно работают над улучшением своей киберзащиты, чтобы восстановить стоимость, которая, как считалось, была утрачена, и теперь действительно создавать стоимость по мере дальнейшего движения вперед. Так что, я думаю, в конце концов это хорошая история. Но если вы правильно подходите к инвестициям в кибербезопасность, это может оказаться очень полезным для создания желаемой стоимости компании. И опять же, многие из этих инвестиционных стратегий основаны на интеграции в существующую деятельность, а это означает технологические интерфейсы, рост за счет масштабной цифровизации, и кибербезопасность абсолютно критически важна для воплощения этих амбиций в реальность.
Доменик: Джен и Дэнни, спасибо вам обоим за ваши сегодняшние мысли. Мне особенно понравилось, как вы затронули тему того, как можно играть как в защиту, так и в нападение, думая о кибербезопасности в условиях M&A. Также спасибо нашей аудитории за прослушивание. И если вы ищете дополнительную информацию о том, как начать работу над своей стратегией кибербезопасности в сделках, наши контактные данные можно найти в нижней части этой страницы, и мы будем рады услышать от вас весточку.
