UK Cyber security. The role of insurance in managing and mitigating the risk

Fuente: Gobierno inglés

Título: Ciberseguridad en Reino Unido. El papel del seguro en la gestión y mitigación del riesgo

Fecha: Marzo 2015

Autor: Gobierno inglés

La amenaza cibernética es una de las más importantes y crecientes riesgos a los que se enfrentan las empresas inglesas: el 81% de las grandes empresas y el 50% de las pymes han sufrido una brecha de ciber seguridad en el pasado año, y el coste de dicha brecha ha supuesto aproximadamente el doble que desde el año 2103.

Este informe es el resultado de un grupo de trabajo entre el gobierno inglés y el sector asegurador. Pone de manifiesto el papel que las aseguradoras y el seguro pueden jugar en la reducción del ciber riesgo.

Mediante cuestionarios con las preguntas adecuadas para valorar los ciber riesgos, las aseguradoras y los corredores de Seguros pueden colaborar en la adopción de buenas prácticas, incluyendo el denominado “Cyber Essentials Scheme” del gobierno inglés, el cual reducirá la frecuencia y coste de las brechas.

Existe la necesidad de valorar adecuadamente el riesgo de ciber ataques.

Muchas empresas están sobreestimando el papel de sus seguros en la cobertura del ciber riesgo.

Algunas empresas aún sienten que no entienden adecuadamente el ciber riesgo. Este informe proporciona una horquilla de consejos y guías para las empresas que pueden servir de inspiración para establecer criterios básicos para todas las organizaciones a través del “Cyber Essentials Scheme”.

***************************************************************

Source: UK Government

Title: UK Cyber security. The role of insurance in managing and mitigating the risk

Date: March 2015

Author: UK Government

The cyber threat remains one of the most significant and growing risks facing UK business: 81% of large businesses and 60% of small businesses suffered a cyber security breach in the last year, and the average cost of breaches to business has nearly doubled since 2013.

This report is the result of close working between the Government and the insurance sector. It highlights the role insurers and insurance can play in reducing cyber risk.

By asking the right questions in addressing cyber risks, insurers and insurance brokers can help promote the adoption of good practice, including the Government’s Cyber Essentials scheme, which will reduce the frequency and cost of breaches.

There is the need to value the risk of cyber attack properly.

Many businesses are overestimating the extent to which their existing insurance provides cover for cyber risk.

Some businesses still feel they do not fully understand cyber risk. We have provided a range of advice and guidance to business, which it can draw on, and a set of basic criteria for all organizations through the Cyber Essentials Scheme.

Operational Risk associated with the strategy implementation

Fuente: De Gruyter, Management, Vol. 18, nº 2

Título:  Operational Risk associated with the strategy implementation

Fecha: 2014

Autor: J. Radomska

La gestión estratégica es un conjunto de decisiones y acciones relativas a la estrategia. Dicho proceso de gestión estratégica consiste en:

·         Establecimiento de una estrategia: consiste en establecer objetivos a largo plazo.

·         Desarrollo de una estrategia: consiste en la selección de las opciones más óptimas y en la toma de decisiones.

·         Implantación de una estrategia: consiste en adoptar las acciones que aseguren que las decisiones son llevadas a cabo de manera adecuada y efectiva.

Cada uno de estos pasos van acompañados de varios tipos de riesgos, incluidos los operacionales.

En este contexto, el riesgo operacional está asociado con la materialización de las amenazas en la implantación de los objetivos estratégicos.

El riesgo operacional adopta dos perspectivas:

·         Perspectiva interna: relacionado con el desarrollo del proceso de gestión estratégica en el contexto de todas sus etapas individualmente consideradas.

·         Perspectiva externa: cubriendo los aspectos asociados con la implantación de la estrategia y, por tanto, determinada por el entorno y las turbulencias que en él tienen lugar.

Pero el análisis y valoración de la tipología de riesgos que afectan a las diferentes etapas del proceso de gestión estratégica no es idéntica. La identificación, análisis y valoración de los riesgos en del establecimiento y desarrollo de la estrategia es bueno, pero el interés decae durante la etapa de la implantación.

La autora ha calculado la correlación tau-b de Kendall, es decir, la relación existente entre los elementos del riesgo operacional y la efectividad en la implantación de la estrategia.

De acuerdo con este estudio, en relación al factor externo y las personas, hay una correlación negativa, lo que significa que la efectividad de la implantación de la estrategia decrece al tiempo que la resistencia de los empleados se incrementa así como de la velocidad de los cambios derivados de la modificación frecuente de la estrategia implementada.

Por el contrario, existe una correlación positiva en el cado de los procesos internos y los sistemas. Por ello, la introducción de procesos para medir periódicamente el progreso de la implantación y la construcción de sistemas de supervisión mediante la designación de personas, individuales o grupos, responsables de la coordinación del proceso de implantación de la estrategia, da como resultado un incremento en la efectividad de la implantación de la misma y en una reducción del nivel de los riesgos asociados.

++++++++++++++++++++++++++++++++++++++++++

Source: De Gruyter, Management, Vol. 18, nº 2

Title: Operational Risk associated with the strategy implementation

Date: 2014

Author: J. Radomska

Strategic management is a set of decisions and actions relating to a strategy. This strategic management process includes:

·         Establishment of the strategy: consists in establishing the long-term goals.

·         Development of the strategy: consists in the selection of optimal development options and making the decisions and

·         Implementation of the strategy: consists in taking the actions that ensure that decisions are properly and effectively put in place

Each of these steps is accompanied by various types of risk, including operational risk.

In this context, operational risk is associated with the occurrence of threats to the implementation of strategic objectives.

Operational risk takes two perspectives:

·         Internal perspective: related to the course of the strategic management process in the context of its individual stages.

·         External perspective: covering the aspects associated with the strategy implementation and therefore determined also by the environment and the turbulences occurring in it.

Individual stages of the strategic management process are not treated equally when analyzing and assessing various types of risk. The risk identification, analysis and assessment predominate during the work associated with the establishment and development of a strategy, but the interest in the risk drops at the stage of the strategy implementation.

The author has calculated the Kendall’s tau-b correlation; that is to say, the relationship between the aforementioned elements of the operational risk and the effectiveness of the strategy implementation.

According to this study, with respect to the environment and people, this relationship is negative, which means that the effectiveness of the strategy implementation decreases along with an increase in the employee resistance and the speed of changes in the environment forcing frequent modification of the strategy implemented.

In turn, a positive relationship was observed in the case of internal processes and the supervision system. Thus the introduction of the processes for regular measurements of the progress in the implementation work and building an adequate supervision system by appointing a person or a group responsible for coordinating the strategy implementation process result in an increased effectiveness of the strategy implementation and a reduced level of the accompanying risk.

Operational Risk Management for Insurers

Source: Canadian Center of Science and Education

Title: Operational Risk Management for Insurers

Date: 2013

Author: M.I. Martínez Torre-Enciso and R. Hernandez Barros

  

Definition

Operational risk is increasingly important in the management and corporate governance of insurance companies, especially to the light of the new European regulation, Solvency II.

This new regulation defines Operational risk as the risk of loss arising from inadequate or failed internal processes, personnel or systems or from external events.

Solvency II definition focuses on the source of losses, but that does not express the major risk factors operating in most companies. The events that trigger losses may have been caused by several factors.

The event types are as follows:

1. Internal fraud.
2. External fraud.
3. Employment practices and workplace safety.
4. Clients, products and business practices.
5. Damage to physical assets.
6. Business disruptions and system failures.
7. Execution, delivery and process management.

The operational risk management mission is to identify, analyze and mitigate the different risks business operations are exposed to. We can identify in the organizations two main risks business operations are exposed to:

1. The existence and integrity of management and operational controls of the company.
2. The ability to fulfill the promise made to customers. Management has always paid more attention to this risk.

The internal control

COSO defines the internal control as the process carried out by a company in order to assess, with reasonable assurance, the activities into three main categories:

1. Effectiveness and operational efficiency.
2. Reliability of financial reporting.
3. Compliance with policies, laws and regulations.

Internal control has five components:

1. Environment of control.
2. Risk assessment.
3. Control activities (policies and procedures).
4. Information and communication.
5. Supervision.

Nevertheless, the focus of risk management on internal controls is not the right path towards a long term solution to these problems that risk raises. Internal control should be regarded as a tool for making informed decisions about risk.

Quantification of the Operational Risks

Quantification and measurement of operational risk is only a tool among others.

The internal models propose a definition and measurement of capital requirements according to the characteristics of the activity of the company. The economic capital solvency is estimated based on the risk profile of each entity, taking into account the particular techniques of risk mitigation and diversification of the company.

For operational risks the models most used are the probabilistic ones; and among these, the Operational Value at Risk (OpVaR).

++++++++++++++++++++++++++++++++++++++++++

Fuente: Canadian Center of Science and Education

Título:  Operational Risk Management for Insurers

Fecha: 2013

Autor: M.I. Martínez Torre-Enciso and R. Hernandez Barros

Definición

El riesgo operacional ha adquirido una importancia creciente en la gestión y gobierno corporativo de las compañías de seguros, especialmente a la luz de la nueva regulación europea denominada Solvencia II.

Esta nueva regulación define el riesgo operacional como el riesgo de pérdida derivado de la inadecuación o de la disfunción de procesos internos, del personal o de los sistemas, o de sucesos externos.

Por tanto, Solvencia II se centra en la fuente de las pérdidas, pero no se refiere a los factores de riesgos que afectan a las compañías. Los eventos que dan lugar a pérdidas pueden traer causa de diferentes factores.

Los tipos de eventos de pérdida son:

1. Fraude interno.
2. Fraude externo.
3. Relaciones laborales y seguridad en el puesto de trabajo.
4. Prácticas con clientes, productos o negocios.
5. Daños a los activos físicos.
6. Fallos de sistemas.
7. Ejecución y gestión de los procesos.

La misión de la gestión del riesgo operacional es identificar y mitigar los diferentes riesgos a los que la operativa de negocio se encuentra expuesta. Dentro de las organizaciones, se pueden diferencias dos grandes grupos de riesgos en la operativa de negocio:

1. Existencia e integridad de controles de gestión y operativos.
2. La habilidad para cumplir la promesa adquirida con los clientes. La Dirección tradicionalmente ha prestado más atención a este riesgo.

El control interno

COSO define el control interno como el aquel proceso por el cual una compañía valora con un nivel razonable de seguridad las siguientes tres actividades:

1. Efectividad y eficiencia de las operaciones.
2. Fiabilidad de los informes financieros.
3. Cumplimiento de las políticas y requlación.

El control interno presenta cinco componentes:

1. Ambiente de control.
2. Evaluación del riesgo.
3. Actividades de control.
4. Información y comunicación.
5. Actividades de supervisión.

En cualquier caso,fijar la atención de la gestión del riesgo en los controles internos nos es el camino adecuado para dar solución a los problemas que los riesgos hacen surgir. El control interno debe ser una herramienta para tomar decisiones informadas sobre los riesgos. 

La cuantificacion del riesgo operacional

La cuantificación y medición de los riesgos operacionales sólo son una herramienta entre otras. 

Los modelos internos proponen una definición y medición de los requerimientos de capital de acuerdo a las características de la actividad de la compañía. La solvencia del capital económico es una estimación basada en el perfil de riesgo de cada organización, teniendo en cuenta sus técnicas de mitigación del riesgo y a diversificación de la compañía.

Para los riesgos operacionales los modelos más frecuentemente empleado son los probabilísticos, y entre estos, el Operational Value at Risk (OpVaR).

Operational risk associated with the strategy implementation

Fuente: Management. De Gruyter

Título: Operational risk associated with the strategy implementation

Fecha: 2014

Autor: J. Radomska

Managing differences. The central challenge of global strategy

Fuente: Harvard Business Review

Título: Managing differences. The central challenge of global strategy

Fecha: 2007

Autor: P. Ghemawat

Desde el punto de vista del riesgo operacional, este documento resulta interesante ya que proporciona una herramienta para valorar la estrategia y permite prever los futuros riesgos a los que se enfrente la compañía a la luz de la estrategia definida.

A menudo, los líderes de empresa analizan una terna limitada de alternativas cuando diseñan la estrategia global porque:

• Piensan que el principal reto es encontrar el equilibrio entre las economías de escala y la respuesta a las condiciones locales.
• Esta hipótesis hace que los líderes ignoren otras respuestas a la integración transfronteriza: el arbitraje.

El autor presenta un modelo para abordar la integración global: el Triángulo AAA:

• La adaptación busca maximizar la relevancia de la unidad de negocio local (p.e. creando sucursales en cada uno de los mercados).
• La agregación busca crear economías de escala creando operaciones regionales o globales (p.e. estandarizando la oferta de productos o servicios). 
• El arbitraje busca obtener beneficios de las diferencias entre los diferentes mercados locales (p.e. distribuyendo las diferentes partes de la cadena de suministro entre los países).

El modelo del Triángulo AAA permite entender a los directivos cuál de las tres estrategias tiene más posibilidad de apalancar a la compañía; por ejemplo:

• Empresas que dedican muchos recursos al marketing necesitan adaptarse a los mercados locales.
• Empresas que destinan muchos recursos a la investigación y desarrollo buscarán crear economías de escala.
• Empresas cuyas operaciones sean intensivas en mano de obra, buscarán el arbitraje.

El autor presenta en su documento ejemplos sobre cómo evolucionar de un modelo A a otro AA, incluso a una estrategia AAA.

++++++++++++++++++++++++++++++++++++++++++

Source: Harvard Business Review

Title: Managing differences. The central challenge of global strategy

Date: 2007

Author: P. Ghemawat

This document is interesting in terms of operational risk as it provides a tool to assess strategy and how to foresee future risks to the light of the strategy defined.

Quite often, business leaders analyze a narrow set of alternatives when designing a global strategy, because:

• They think that the main challenge is to come up with the right balance between economies of scale and responsiveness to local conditions.
• This assumption make business leaders to ignore another response to cross border integration: arbitrage.

The author presents a framework for approaching to global integration: the AAA Triangle:

• Adaptation seeks to maximize a firm’s local relevance (v.gr. creating local units in each national market).
• Aggregation attempts to deliver economies of scale by creating region l or global operations (v.gr. standardizing the product or service offering). 
• Arbitrage attempts to profit from differences between national markets (v.gr. locating separate parts of the supply chain in different places).

The AAA Triangle allows managers to understand which of the three strategies is likely to afford the most leverage for the company; for instance:

• Companies that do a lot of advertising will need to adapt to the local market.
• Companies that do a lot of R&D may want to aggregate to improve economies of scale.
• Companies whose operations are labor intense will see arbitrage is a major concern.

The author presents examples of how to move from an A to AA strategy, or even to an AAA strategy.

How smart-connected products are transforming competition

Fuente: Harvard Business Review

Título: How smart-connected products are transforming competition

Fecha: 2014

Autor: M. Porter and J.E. Heppelmann

Dentro de la práctica de los gerentes de riesgo operacional, a la hora de analizar los factores externos, se suele diferenciar entre:

1. Factores del macro entorno
2. Factores del sector
3. Factores de los competidores

Los productos inteligentes y conectados permiten entender mejor al consumidor a través de la captura de datos sobre el uso de los productos y servicios o del coste de cambiar a un proveedor diferente.

Los gerentes de riesgo operacional deben asegurarse de que la Dirección de la compañía entiende todos los riesgos que rodean a la decisión de apostar por una estrategia de productos inteligentes y conectados.

La Alta Dirección tiende a centrarse en las bondades y oportunidades de este tipo de productos, y en cómo permiten la diferenciación, haciendo que la competencia no se reduzca a una guerra de precios.

Además tiene que tener en consideración que es posible que el poder de compra del cliente se vea incrementado cuando se les hace partícipe del conocimiento del rendimiento de los productos y servicios.

En cuanto a la aparición de nuevos jugadores en el negocio, este entorno hace que encuentren numerosos obstáculos: mayores costes fijos para diseño de productos más complejos, implantación de la tecnología, etc. Pero al mismo tiempo, pueden introducirse en el mercado poderosos y relevantes proveedores.

En el documento objeto de análisis, y basándose en el hecho de que la tecnología de la información está revolucionando los productos, los autores proporcionan un ejemplo de cómo los productos inteligentes y conectados pueden alterar las cinco fuerzas clásicas. Es más, los productos inteligentes y conectados no sólo afectan a los competidores dentro del sector sino que pueden hacer expandirse el mismo.

Por último, los autores establecen las siguientes cuestiones clave que deben preguntarse a la Alta Dirección para valorar los potenciales riesgos que pueden surgir:

1. ¿Qué conjunto de características y capacidades deben establecerse para los productos de la compañía?
2. ¿Cuántas funcionalidades debería estar establecidas internamente y cuántas en la nube?
3. ¿Debería la compañía pretender sistemas abiertos o cerrados?
4. ¿Debería la compañía desarrollar internamente o externalizar el conjunto total de capacidades e infraestructura de los productos inteligentes y conectados?
5. ¿Qué tipo de información debe la empresa retener y analizar para maximizar la propuesta de valor?
6. ¿Cómo va a gestionar la empresa la propiedad y acceso de los derechos a los datos?
7. ¿Debería la compañía desintermediar total o parcialmente el canal de distribución o las redes de servicios?
8. ¿Debería la compañía cambiar el modelo de negocio?
9. ¿Debería la compañía entrar en nuevos negocios para monetizar sus productos a través de la venta a terceros?
10. ¿Debería la compañía ampliar su alcance?

  

Source: Harvard Business Review

Title: How smart-connected products are transforming competition

Date: 2014

Author: M. Porter and J.E. Heppelmann

When analyzing business environment or external factors, Operational Risk practitioners tend to distinguish among:

1. Macro-environment factors
2. Industry factors
3. Competitors factors

Smart-connected products allows understanding better customers through capturing historical and product-usage data or buyers’ costs of switching to a new supplier. And, as competitors can better differentiate and add value to services, they have the potential to shift rivalry. 

Operational Risk practitioners needs to make sure top management understand all risk surrounding the decision of going for a smart-connected products strategy.

Top management tend to see how these types of products expand opportunities for product differentiation, moving competition away from price alone.

But, also, they need to take into account that they can increase buyer power by giving them a better understanding of the product performance.

For new entrants this environment makes a significant number of obstacles: high fixed costs of more complex product design, embedded technology, etc.  But, also, smart-connected products often introduce powerful new suppliers.

In this essay, based on the fact that IT is revolutioning products, the coauthors provide an example of how smart-connected products shift the five classical forces. Further more, smart-connected products not only affect the competition within an industry, but they can expand the definition of the industry itself.

Finally, the coauthors set the following 10 key questions that can be asked to the top management in order to assess what the potential risks could be popping-up:

1. Which set of smart-connected product capabilities and features should the company pursue?
2. How much functionality should be embedded in the product and how much in the cloud?
3. Should the company pursue an open or closed system?
4. Should the company develop the full set of smart-connected product capabilities and infrastructure internally or outsource to vendors and partners?
5. What data must the company capture, secure, and analyze to maximize the value of its offering?
6. How does the company manage ownership and access rights to its product data?
7. Should the company fully or partially disintermediate distribution channels or service networks?
8. Should the company change its business model?
9. Should the company enter new businesses by monetizing its product data through selling it to outside parties?
10. Should the company expand its scope?