Publicly Disclosed Corporate Security Governance in Critical-Service Firms: Accountability Structures and Disclosure-Specificity Signals

Nel mondo moderno, certe aziende occupano una posizione unica: gestiscono i sistemi essenziali che tengono in movimento la società. Queste sono le imprese che alimentano le nostre luci, muovono i nostri treni, connettono le nostre reti digitali e gestiscono il flusso del denaro. Poiché il loro lavoro è così vitale, i governi e il pubblico si aspettano che siano sicure, resilienti e pronte ad affrontare le difficoltà. Per garantire ciò, a queste aziende viene chiesto di gestire i rischi con cura e di comunicare al pubblico come lo stiano facendo. Questa comunicazione pubblica è chiamata divulgazione (disclosure). È l'atto di scrivere cosa un'azienda intende fare, chi è responsabile e come controlla il proprio operato. Tuttavia, esiste una differenza cruciala tra scrivere un piano e seguirlo effettivamente. Un'azienda può pubblicare un documento dettagliato sulla sicurezza senza avere un sistema sicuro in atto, proprio come una persona può scrivere una promessa di fare esercizio fisico senza mai mettere piede in una palestra. La sfida per gli osservatori esterni è che non possono camminare all'interno di queste aziende per vedere il vero meccanismo. Possono solo leggere i documenti che le aziende scelgono di condividere. Ciò crea un divario tra ciò che viene detto e ciò che viene fatto, un divario che i ricercatori devono navigare con attenzione per comprendere il vero stato della sicurezza aziendale.

Uno studio recente condotto da Karim Hardy, un ricercatore dell'École Nationale Supérieure des Mines de Paris, si è proposto di mappare esattamente ciò che queste aziende essenziali dichiarano nei loro rapporti pubblici. Lo studio si è concentrato su ventiquattro società quotate in Europa che forniscono servizi critici come energia, trasporti, infrastrutture digitali e servizi bancari. Il ricercatore ha raccolto trentuno documenti pubblici di queste imprese, principalmente i loro rapporti annuali per l'anno 2025, e li ha letti con un insieme di domande molto specifiche in mente. Invece di cercare di indovinare quanto queste aziende stessero effettivamente performando, lo studio poneva una domanda più semplice e precisa: quanto sono specifiche le aziende quando parlano delle loro regole di sicurezza? Il ricercatore ha cercato dieci diverse aree di gestione della sicurezza, che vanno da chi siede nel consiglio di amministrazione per supervisionare la sicurezza, a come gestiscono i fornitori, fino a come imparano dagli errori. Ogni menzione nei documenti è stata classificata in uno di quattro livelli di dettaglio. Il livello più basso era una vaga promessa di essere sicuri. Il livello successivo era indicare una persona o un gruppo specifico incaricato. Il livello più alto era una descrizione chiara di un sistema funzionante che includesse controlli, feedback e un modo per misurare il successo.

I risultati hanno rivelato un modello chiaro in ciò che queste aziende sono disposte a condividere. Le informazioni più coerenti e dettagliate trovate nei rapporti riguardavano il modo in cui i rischi per la sicurezza sono collegati alla strategia di business complessiva dell'azienda. Quasi ogni singola azienda, ventiquattro su ventiquattro, ha descritto un processo specifico e nominato per integrare la sicurezza nei propri piani di gestione del rischio principali. Hanno dichiarato chiaramente chi era responsabile e come questo si inserisse nel quadro generale. Ciò suggerisce che, per queste imprese, parlare del collegamento tra sicurezza e strategia di business è diventato una pratica standard e ben definita nella loro scrittura pubblica. Tuttavia, il quadro cambia drasticamente quando il ricercatore ha esaminato come queste aziende gestiscono i loro partner esterni e i fornitori. Quest'area, nota come governance dei terzi (third-party governance), è stata la meno propensa a essere descritta con dettagli specifici. Mentre sedici aziende hanno menzionato un certo livello di supervisione per i loro fornitori, cinque aziende non l'hanno affatto menzionato nei documenti esaminati. Anche tra quelle che lo hanno fatto, le descrizioni erano spesso meno dettagliate rispetto a quelle per la strategia interna. Questo non significa che queste aziende stiano fallendo nella gestione dei propri fornitori; significa semplicemente che i documenti pubblici non mostrano lo stesso livello di dettaglio specifico per questa parte del loro lavoro come fanno per la loro pianificazione interna.

Lo studio ha anche esaminato se queste aziende rientrassero in gruppi distinti e prevedibili, come ad esempio imprese "orientate alla strategia" o "orientate alla resilienza". Il ricercatore ha cercato combinazioni ricorrenti di divulgazioni dettagliate per vedere se emergesse un tipo stabile di azienda. Sebbene alcuni modelli apparissero frequentemente, come le aziende forti sia nella strategia interna che nella rendicontazione esterna, questi modelli si sovrapponevano troppo per creare categorie nette. Un'azienda potrebbe essere forte in un'area e debole in un'altra senza rientrare in un'unica etichetta. La ricerca ha concluso che cercare di forzare queste aziende in tipi rigidi sarebbe fuorviante. Invece, la descrizione più onesta è che queste imprese condividono un linguaggio comune per parlare dei loro piani di sicurezza interni, ma variano significativamente in quanto rivelano riguardo alle loro relazioni esterne.

Un risultato significativo dello studio è stata la fonte stessa dell'informazione. Il ricercatore ha scoperto che quasi tutti i dettagli specifici trovati in questi rapporti erano legati alla sicurezza informatica e alla tecnologia dell'informazione. Quando il ricercatore ha rimosso qualsiasi menzione di computer, dati o reti digitali dall'analisi, la quantità di informazioni utilizzabili è diminuita drasticamente. Da centinaia di dettagli specifici trovati, solo una piccola frazione rimaneva che non fosse esplicitamente riguardante la sicurezza digitale. Ciò suggerisce che quando queste aziende parlano di sicurezza nei loro rapporti pubblici, parlano principalmente di minacce digitali. Altri aspetti importanti della sicurezza, come la protezione fisica degli edifici, la prevenzione delle frodi o la gestione delle crisi per eventi non digitali, erano molto meno visibili nei documenti. Questo non significa che quelle altre aree siano ignorate, ma significa che il record pubblico è pesantemente sbilanciato verso il mondo digitale.

Lo studio è stato attento a tracciare una linea netta tra ciò che era scritto e ciò che accadeva realmente. Il ricercatore ha sottolineato che trovare una descrizione dettagliata in un rapporto non prova che il sistema funzioni bene nella realtà. Un'azienda può scrivere un piano perfetto e poi fallire nell'esecuzione. Viceversa, un'azienda potrebbe avere un sistema robusto in atto ma scegliere di non descriverlo in dettaglio nel suo rapporto pubblico. Lo studio non ha misurato la sicurezza, la resilienza o l'efficacia. Ha misurato solo la specificità delle parole utilizzate nei documenti pubblici. Mantenendo questo confine chiaro, la ricerca fornisce una mappa affidabile di ciò che è visibile al pubblico, senza fare assunzioni su ciò che si cela dietro le porte chiuse di queste organizzazioni essenziali. Il lavoro funge da promemoria del fatto che, sebbene i rapporti pubblici offrano una finestra sulla governance aziendale, quella finestra mostra solo ciò che l'azienda sceglie di esporre, e spesso, tale esposizione è fortemente focalizzata sul dominio digitale.