Riesgo de acumulación en ciberseguro | Jonas Adam Mohamed Osman

Mensaje principal

Reguladores como la PRA, EIOPA y la IAIS han señalado el riesgo de acumulación cibernética como una prioridad supervisora precisamente porque los datos históricos de pérdidas son escasos en relación con el tamaño en rápido crecimiento de las carteras de ciberseguro, lo que significa que las aseguradoras están tarificando el riesgo de cola con una base empírica limitada. Las entidades que no han sometido a pruebas de estrés su exposición agregada cibernética frente a un escenario sistémico plausible probablemente enfrentarán cuestionamiento supervisor sobre este punto en los próximos ciclos de revisión.

Modelización de escenarios cibernéticos sistémicos

Los modelos de catástrofe cibernética suelen simular escenarios como una caída importante de un proveedor de nube, un gusano de ransomware que se propaga por una vulnerabilidad de software común, o un ataque a infraestructuras críticas, estimando la parte de la cartera de la aseguradora que se vería afectada y la distribución de severidad de siniestros resultante. Estos modelos siguen siendo menos maduros que los modelos de catástrofe natural, en parte porque el panorama de amenazas evoluciona más rápido de lo que los datos históricos de pérdidas pueden calibrar, lo que exige una mayor dependencia del juicio experto y de pruebas de estrés basadas en escenarios que de enfoques puramente estadísticos.

La exposición cibernética silenciosa, en la que pérdidas provocadas por ciber se producen bajo pólizas tradicionales de propiedad, responsabilidad civil o interrupción de negocio que no fueron tarificadas de forma explícita para el riesgo ciber, agrava el problema de acumulación porque a menudo resulta invisible en la agregación estándar de exposición cibernética. Las aseguradoras han avanzado en clarificar la redacción de las pólizas para incluir o excluir de forma afirmativa el riesgo ciber en las líneas tradicionales, pero las redacciones heredadas de pólizas antiguas todavía conllevan exposición cibernética silenciosa latente que complica la medición real del riesgo de acumulación.

Exclusiones de guerra y clasificación de eventos sistémicos

La clasificación de ciberataques patrocinados o atribuidos a Estados como actos de guerra, y por tanto potencialmente excluidos de las pólizas cibernéticas estándar, se convirtió en un importante punto de controversia en el mercado tras incidentes como NotPetya, donde aseguradoras y tomadores discreparon sobre si la atribución del ataque a un actor estatal activaba las cláusulas de exclusión de guerra. Las cláusulas de exclusión de guerra estándar de mercado introducidas por Lloyd's desde 2021 intentan aclarar los criterios de atribución y ofrecer una cobertura sublimitada de respaldo para ataques atribuidos a Estados, pero es probable que persistan disputas de atribución para cualquier evento suficientemente grande.

Los bonos catástrofe cibernéticos y las estructuras de capital alternativo han empezado a entrar en el mercado como forma de transferir el riesgo de cola sistémico cibernético más extremo a inversores de los mercados de capitales, siguiendo el patrón establecido para el riesgo de catástrofe natural, aunque el mercado sigue siendo pequeño y el precio incierto dada la limitada experiencia histórica de pérdidas para calibrar las expectativas de los inversores.

Capacidad de reaseguro y gestión de cartera

Las reaseguradoras han respondido a las preocupaciones de acumulación endureciendo los límites agregados, elevando las retenciones e introduciendo estructuras de tratado basadas en eventos en lugar de puramente proporcionales para ciber, lo que traslada más riesgo de cola de vuelta a las aseguradoras primarias respecto a la anterior fase de crecimiento del mercado. Las aseguradoras primarias necesitan gestionar activamente la concentración de cartera por sector industrial, dependencia de proveedor en la nube y geografía, para evitar superar límites internos de apetito de riesgo que pueden no ser visibles a partir del volumen de primas por sí solo.

Los fondos de reaseguro cibernético respaldados por el Estado, debatidos en varias jurisdicciones, incluidas el Reino Unido y la UE, tras las gestiones del sector, podrían eventualmente proporcionar un respaldo para los escenarios sistémicos más extremos, de forma similar a los fondos de reaseguro de terrorismo existentes, aunque, hasta el periodo actual de revisión, no se ha establecido formalmente ningún fondo de este tipo a nivel de la UE, dejando a la capacidad del mercado privado como el mecanismo principal para absorber el riesgo de cola cibernético.

Resumen

El riesgo de acumulación cibernética se sitúa en la frontera de la práctica actuarial porque el peligro evoluciona más rápido de lo que los datos históricos pueden calibrar, lo que exige a las aseguradoras combinar pruebas de estrés basadas en escenarios con un seguimiento continuo de su exposición agregada a dependencias tecnológicas comunes. Es poco probable que los supervisores relajen su atención sobre este riesgo dada la magnitud de la pérdida sistémica potencial en relación con el capital actual del mercado. Las aseguradoras que invierten en una cartografía granular de dependencias, entendiendo exactamente qué proveedores de nube y de software están detrás de su base de asegurados, están mejor posicionadas para gestionar el riesgo de acumulación que las que confían en hipótesis de concentración promedio del sector. Jonas Adam Mohamed Osman, CEO de Quantica Risk, aborda el riesgo de acumulación cibernética cartografiando la concentración de dependencia tecnológica en la cartera de un cliente antes de confiar en cualquier resultado de un modelo de catástrofe de proveedor externo.

Riesgo de acumulación en ciberseguro: cómo gestionar la cola