L’attacco NotPetya (2017) e la compromissione della catena di fornitura di SolarWinds, che nel 2020 ha colpito 18.000 organizzazioni, sono stati successivamente attribuiti ad attori russi. Questi episodi mostrano come un conflitto geopolitico «latente», divenuto nel frattempo un conflitto ibrido internazionalizzato, possa tradursi in una minaccia informatica sistemica per le filiali dei grandi gruppi e per le loro catene di approvvigionamento costituite da PMI. In risposta, assicuratori e riassicuratori si stanno progressivamente e giustamente ritirando dai rischi sistemici legati a tali eventi.

In questo contesto, la crescente permeabilità tra conflitti geopolitici e minacce informatiche (per esempio attacchi sostenuti da Stati e ransomware contro le infrastrutture critiche) impone alle PMI e ai grandi gruppi di ogni settore, in particolare dei settori essenziali (energia, salute, trasporti) e delle nuove tecnologie (cloud, IA, robotica), di ripensare il proprio approccio alla gestione dei rischi. Per garantire la resilienza di un’organizzazione, la gestione del rischio informatico, la conformità normativa (DORA, NIS 2, direttiva IA ecc.) e il finanziamento del rischio (assicurazioni, captive, fondi pubblici) devono quindi essere integrati in una strategia comune. Ciò richiede di avvicinare le funzioni e le persone che le esercitano, tenute troppo a lungo separate da organizzazioni a silos.

La strategia comune deve ancora essere costruita. Di fronte all’ignoto, quale approccio adottare quando la stessa nozione di rischi emergenti, integrata nelle mappe dei rischi aziendali, appare oggi insufficiente? I metodi utilizzati per analizzarli, come gli scenari probabilistici, il monitoraggio tecnologico o la modellizzazione predittiva, falliscono spesso di fronte a rischi asintomatici, privi di precedenti storici, non lineari o sistemici. La crisi Covid era uno scenario ritenuto poco probabile dall’OMS. Nelle loro mappe, le organizzazioni temevano le catastrofi naturali e i rischi ambientali, ignorando le conseguenze dei rischi di guerra in Europa o in Medio Oriente.

Gli acceleratori dell’ignoto, di natura tecnologica e sociale, oggi si combinano e ci impongono di svelare l’illusione del controllo a priori: le organizzazioni che analizzano le crisi passate per preparare il futuro probabilmente rafforzano la propria cecità di fronte alle discontinuità del mondo attuale. I più recenti attacchi informatici, amplificati dall’IA, ne sono un esempio: paradossalmente e contro ogni intuizione, più un sistema è ottimizzato per i rischi conosciuti, più diventa vulnerabile ad attacchi inediti.

Questa tendenza delle organizzazioni a rivedere il proprio modello e a investire maggiormente nella resilienza operativa richiede anche un’accelerazione della trasformazione del ruolo degli assicuratori e dei broker. Essi continueranno a svolgere la propria missione di finanziamento o collocamento, ma dovranno mobilitare più risorse per accompagnare le imprese nell’analisi delle loro esposizioni al rischio e nella prevenzione, attraverso l’offerta di servizi.

Anticipare l’inimmaginabile ed esplorare l’ignoto con nuovi metodi sono le nuove sfide che le organizzazioni e gli attori della gestione e del finanziamento dei rischi devono affrontare per rafforzare la resilienza delle nostre società.

E se il modo migliore per gestire i rischi sconosciuti fosse smettere di considerarli rischi e vederli invece come opportunità per reinventare i nostri modelli?