"¿Por qué aprobaría este tipo de inversión si no puede explicar algún tipo de reducción de costos, una oportunidad para habilitar el negocio, o el retorno asociado con la gestión más eficiente de mi exposición al riesgo existente?"
¿Cuántas veces, como profesionales, hemos tenido estas conversaciones? a se trate de un debate sobre el riesgo inherente de ciertas prácticas empresariales, o de los costos de inversión asociados en personas, procesos y tecnología destinados a gestionar dicho riesgo, los profesionales se enfrentan constantemente al reto de proporcionar alguna forma mensurable de comunicar el valor intrínseco de esas inversiones.
Nuestros colegas en los negocios hablan de ROI, retorno de la inversión, con frecuencia, ya que han estado condicionados durante mucho tiempo con la necesidad de ser capaces de demostrar algún tipo de valor o retorno en los programas, inversiones, iniciativas y similares. Tener una estrategia para comunicar claramente el "valor" en el negocio de la seguridad y el riesgo también es absolutamente crítico. Puede que a menudo se pase por alto, pero las funciones que llevamos a cabo son negocios dentro del negocio. En última instancia, proporcionamos servicios a nuestros clientes que permite que nuestro negocio funcione dentro de ciertas tolerancias para los procesos establecidos, al tiempo que les permiten transformarse y asumir más riesgos a medida que construyen nuevos modelos de negocio.
Entonces, ¿cuál es el problema? Básicamente, estamos luchando con el desafío de no poder comunicarnos en el mismo idioma. Por ejemplo, hay formas simples y establecidas para que un CEO determine el "retorno de la inversión" de algo como un nuevo edificio de oficinas. Las métricas previstas sobre el valor de las inversiones inmobiliarias y los aumentos de capacidad de un equipo más eficiente o de una nueva instalación son relativamente sencillas y están arraigadas en el tejido empresarial.
En nuestro negocio dentro del negocio, realmente sólo somos capaces de gestionar tres cosas asociadas a nuestras inversiones: la eficacia de la inversión en términos de gestión o reducción de riesgos, el coste total de propiedad de una inversión determinada, y la capacidad de asesorar sobre la transferencia de dicho riesgo de alguna manera (por ejemplo, un seguro, etc.). El desafío que la mayoría de nosotros ha encontrado con estos tres factores es que no hemos sido realmente buenos en la recolección de los datos requeridos y en la realización de los cálculos necesarios para darles sentido de manera efectiva. Esto es evidente en muchos programas que, efectivamente, han tomado un planteamiento generalista de “brocha gorda” para aplicar controles donde existen lagunas o problemas, lo que resulta en muchos casos en que a un riesgo de 500 dólares se le aplica un control de 100.000.000 dólares. Esto crea fricciones con los consumidores de nuestros servicios, creando así desafíos a largo plazo para la justificación de futuras inversiones.
¿El costo total de propiedad como punto de partida?
Un área en la que realmente podemos poner algunos datos empíricos sólidos es el costo total de propiedad (TCO) de los procesos y tecnologías de apoyo que sustentan los servicios que proporcionamos a nuestros clientes. La mayoría de nosotros hemos pasado mucho tiempo desarrollando métricas en torno a todas las actividades que hacemos para dar soporte a nuestro negocio. Estos datos métricos, junto con otra información disponible públicamente, pueden utilizarse para orientarnos hacia unos costes de propiedad relativamente precisos para los servicios y tecnologías en los que invertimos.
Tomemos, por ejemplo, el caso para determinar los costos de personal asociados con el análisis diario de las investigaciones de incidentes. Si sé que, en promedio, mi equipo de respuesta dedica el 20% de su día a actividades de investigación, que tengo dos recursos dedicados en ese equipo y que los recursos totalmente ocupados cuestan 75 dólares por hora, puedo determinar que este proceso, desde la perspectiva del capital humano, consume un poco más de 800 horas-hombre por año para ejecutarse y le cuesta a nuestro negocio alrededor de 60.000 dólares. Si entonces entiendo el inventario de todas las herramientas tecnológicas necesarias para ejecutar estos procesos, puedo calcular el costo anual de la tecnología de apoyo y tener una descripción bastante precisa del costo de ese servicio. Sin embargo, ¿esto me lleva a un punto donde pueda comunicar un verdadero retorno de la inversión? No del todo.
¿El costo del riesgo?
Bruce Schneier escribió un gran artículo sobre este mismo tema para CSO en septiembre de 2008 que ha envejecido muy bien. En lo que respecta al enfoque tradicional de poner un valor en dólares al riesgo, afirma: "La metodología clásica se llama expectativa de pérdida anual (ALE), y es sencilla. Calcula el costo de un incidente de seguridad en ambos, tangibles como tiempo y dinero, e intangibles, como reputación y ventaja competitiva. Multiplique eso por la probabilidad de que el incidente ocurra en un año. Eso te dice cuánto debes gastar para mitigar el riesgo."
Este enfoque de "probabilidad x impacto" ha sido el método que todos hemos tratado de aplicar de un modo, forma o manera, para obtener algo parecido a un indicador financiero del costo de los riesgos que hemos identificado y estamos tratando de gestionar. El problema, como también señala Bruce, es que los resultados de estos cálculos van esencialmente en contra nuestra cuando hablamos con los dirigentes empresariales, y se ven empañados por la falta de buenos datos para las variables de entrada.
Por ejemplo, si el costo calculado de un riesgo determinado es de 40.000 dólares anuales y el costo total de propiedad de las personas, los procesos y la tecnología que intentan gestionar mejor o reducir ese riesgo es de 65.000 dólares anuales, imagínese lo que el Director Financiero va a querer saber. ¿Cuán precisos son nuestros datos sobre los factores que entran en la medición del impacto (pérdida real, reputación, etc.) y cuán precisos son nuestros datos para determinar la probabilidad real? E, incluso si todos estamos de acuerdo con estas cifras, la forma en que el Director Financiero interpreta y en última instancia decide permitirle invertir, puede obviamente ser influenciada por estos, y muchos otros factores. Al hablar con muchas personas del sector, así como por mi propia experiencia como profesional, tenemos a menudo el reto de cerrar la brecha en la comprensión. Si no se comprenden financieramente los verdaderos niveles de tolerancia al riesgo de la organización, se podría estar librando una difícil batalla. Imagine que pide una inversión para reducir lo que ha calculado como 10 millones de dólares de riesgo debido a un proceso de negocio con falta de controles, pero ¿Considera el director financiero 110 millones de dólares como un error de redondeo? ¿Cree que va a conseguir la inversión que necesita?
Consideraciones para obtener mejores resultados
- Haga un esfuerzo coordinado para inventariar y organizar todos los servicios que su negocio dentro de un negocio ofrece a sus clientes.Dedique tiempo a calcular el costo total de propiedad de todos esos servicios para comunicar de manera transparente los costos de mano de obra y tecnología a la empresa. Esto le permitirá comenzar a comunicarse con los dirigentes de la empresa en términos que ellos entiendan y también le permitirá priorizar la evaluación futura de las diferentes tecnologías con el objetivo de proporcionar el mismo servicio a un costo menor o de proporcionar ese servicio de una manera más eficaz desde la perspectiva de la reducción o la gestión del riesgo. La capacidad de proyectar estos cálculos de TCO a lo largo de un plan de 3 a 5 años en el contexto de "costo del riesgo" y "costo del control" puede ser un punto de inflexión para la inversión futura del programa.
- Obtenga los datos. Dedique tiempo a obtener los datos asociados a los problemas, riesgos, costos o deficiencias de control que está tratando de resolver. Desafíe sus afirmaciones y a los datos que está recolectando. ¿Tenemos realmente datos específicos reales y precisos que permitan cualquier cálculo relevante del coste del riesgo? ¿Tenemos mejores fuentes de datos para comprender si nuestra evaluación de la probabilidad es exacta? Tenga estas conversaciones con sus socios de negocio y obtenga sus percepciones para llegar a un resultado más holístico y centrado en el negocio. (¡Podríamos pasar todo el día sólo en este tema!)
- Dedique tiempo a comprender el punto de vista de la organización sobre la tolerancia al riesgo y dónde están esos umbrales financieros para entender esos límites y cómo se gestionan. Probablemente será muy revelador obtener esa visión y le permitirá posicionar mejor las cosas que puede calcular con precisión o sobre las que tiene mejores datos. Esto le ayudará a evitar ir a la oficina del director financiero con el mensaje equivocado o el análisis equivocado, permitiendo una toma de decisiones más informada mientras analiza las prioridades. ¿Hay más valor en reducir el costo de un control caro donde el riesgo es bajo que simplemente añadir un nuevo control? ¿Y tiene sentido financiar el nuevo control con los ahorros del otro?
- Evite el utópico análisis de datos calculado por el fabricante acerca del retorno de la inversión. Están incluso menos preparados que usted para comprender el contexto de su organización, la probabilidad de un determinado evento o sus costos de operación. Un verdadero "socio" debe estar dispuesto a sentarse y comprender su TCO, entender los servicios que usted presta hoy en día y poder ayudarle a articular lo siguiente:
- ¿Cómo puede la inversión propuesta en tecnología reducir el costo de operación de un proceso o servicio existente que estoy ofreciendo? (por ejemplo con uno análogo, pero más barato / requiriendo menos mano de obra, etc.)
- ¿Cómo puede la inversión propuesta en tecnología mejorar la eficacia de un proceso o servicio existente que ofrezco desde una perspectiva de riesgo? (es decir, mejora la eficacia de un control general específico o proporciona una oportunidad de control/reducción de riesgos que antes no era posible, etc.)
- ¿Cómo puede la inversión propuesta en tecnología potenciar y/o proporcionar oportunidades futuras para la reducción de riesgos al hacer a “prueba de futuro" su arquitectura o entorno de control? Invirtiendo en capacidades para crear pilares básicos que estén alineadas con la proyección de hacia dónde se dirige su negocio, en lugar de esperar a que el negocio identifique la "fricción" o un caso de uso que sus servicios actuales no cubren.
- ¿Cómo puede la inversión propuesta en tecnológica proporcionar un valor mejorado o mayor a partir de mis inversiones actuales? Todos hemos escuchado que el valor del individuo óptimo en un equipo es aquel que hace que todos a su alrededor sean mejores. Lo mismo debe considerarse cuando se invierte en tecnología; ¿cómo puede esta inversión hacer que todas mis otras inversiones sean mejores? (es decir, ¿puede ayudarme a abordar más casos de uso? ¿Puede reducir mi carga operativa? ¿Evita la necesidad de construir una integración manual entre las tecnologías? etc.)
¿Está el ROI realmente defenestrado? En realidad no. Lo que realmente buscamos son mejores resultados de los servicios que ofrecemos a nuestros clientes; a nuestros socios de negocio. Comprender los costos operativos detallados de todas nuestras inversiones en tecnología, junto con la posibilidad de medir la eficacia de esos procesos y tecnologías para ayudar a gestionar el riesgo, nos posiciona mejor para hablar el lenguaje de los negocios.
Los elementos reales del retorno de inversión en este ámbito son: establecer una comprensión más clara del riesgo en nuestros negocios (e influir en él), ser capaces de proporcionar transparencia en torno a los costos y la eficacia de los servicios que ofrecemos a nuestros clientes, desafiar nuestras afirmaciones de siempre sobre la probabilidad frente al impacto en nuestro entorno con mejores datos, y obligarnos a utilizar todo esto para reducir el costo operativo y la fricción de los controles, no sólo para hoy, sino a medida que invertimos en la transformación de nuestros programas de seguridad.
Como Wayne Gretzky dijo una vez, "Un buen jugador de hockey juega donde está el disco, un gran jugador de hockey juega donde va a estar el disco." Del mismo modo, un buen departamento de seguridad gestiona donde está el negocio hoy, mientras que uno grande también está gestionando donde estará el negocio mañana.
