El ataque NotPetya (2017), así como la vulneración de la cadena de suministro de SolarWinds, que en 2020 afectó a 18.000 organizaciones, han sido atribuidos posteriormente a actores rusos. Estos incidentes ilustran cómo un conflicto geopolítico «latente», convertido desde entonces en un conflicto híbrido internacionalizado, puede traducirse en una amenaza cibernética sistémica para las filiales de grandes grupos y sus cadenas de suministro formadas por pymes. Como reacción, las aseguradoras y reaseguradoras se están retirando progresivamente, y con razón, de los riesgos sistémicos asociados a estos acontecimientos.

En este contexto, la creciente permeabilidad entre conflictos geopolíticos y amenazas cibernéticas (por ejemplo, ataques patrocinados por Estados y ransomware dirigido contra infraestructuras críticas) obliga a las pymes y a los grandes grupos de todos los sectores, en particular de los sectores esenciales (energía, salud, transporte) y de las nuevas tecnologías (nube, IA, robótica), a replantear su enfoque de gestión de riesgos. Para garantizar la resiliencia de una organización, la gestión del riesgo cibernético, el cumplimiento normativo (DORA, NIS 2, Directiva de IA, etc.) y la financiación del riesgo (seguros, cautivas, fondos públicos) deben integrarse en una estrategia común. Esto exige acercar las funciones y a las personas que las desempeñan, separadas durante demasiado tiempo por organizaciones en silos.

La estrategia común está aún por construir. Ante lo desconocido, ¿qué enfoque adoptar cuando la propia noción de riesgos emergentes, incorporada a los mapas de riesgos de las empresas, parece hoy insuficiente? Los métodos empleados para analizarlos, como los escenarios probabilísticos, la vigilancia tecnológica o la modelización predictiva, fracasan con frecuencia ante riesgos asintomáticos, sin antecedentes históricos, no lineales o sistémicos. La crisis de la Covid era un escenario considerado poco probable por la OMS. En sus mapas, las organizaciones temían las catástrofes naturales y los riesgos medioambientales, ignorando las consecuencias de los riesgos de guerra en Europa o en Oriente Medio.

Los aceleradores de lo desconocido, de naturaleza tecnológica y social, se combinan hoy y nos obligan a desenmascarar la ilusión del control previo: las organizaciones que analizan las crisis pasadas para preparar el futuro probablemente refuerzan su ceguera ante las disrupciones del mundo actual. Los últimos ciberataques, intensificados por la IA, son una muestra de ello: paradójicamente y contra lo que cabría esperar, cuanto más se optimiza un sistema para riesgos conocidos, más vulnerable resulta a ataques inéditos.

Esta tendencia de las organizaciones a revisar su modelo e invertir más en resiliencia operativa exige también acelerar la transformación del papel de aseguradoras y corredores. No dejarán por ello de cumplir su misión de financiación o colocación, pero deberán movilizar más recursos para acompañar a las empresas en el análisis de sus exposiciones al riesgo y en la prevención, mediante la oferta de servicios.

Anticipar lo inimaginable y explorar lo desconocido mediante nuevos métodos son los nuevos retos que deben afrontar las organizaciones y los actores de la gestión y financiación de riesgos para reforzar la resiliencia de nuestras sociedades.

¿Y si la mejor forma de gestionar los riesgos desconocidos fuera dejar de considerarlos riesgos y verlos como oportunidades para reinventar nuestros modelos?