En Perú, aunque no existe una norma contable específica que obligue a revelar riesgos cibernéticos, las empresas deben considerar la evaluación del impacto financiero, pues la transparencia financiera fortalece la confianza de inversionistas y reguladores, especialmente cuando los incidentes cibernéticos afectan activos, provisiones o ingresos. Por ejemplo, las empresas registradas ante la SEC en EE. UU. están obligadas a revelar estos eventos en el formulario 10‑K, conforme a los lineamientos de la SEC Cybersecurity Disclosure Rules vigentes desde 2023.
Para mitigar el impacto financiero de los ciberataques, se recomienda a las empresas alinear estratégicamente la gestión de ciberseguridad entre el CISO y el C‑suite. Esto implica integrar controles desde la planificación comercial y operativa, y abordar brechas clave como: establecer un marco de ciber‑gobernanza respaldada por el Directorio, definir niveles adecuados de inversión en tecnologías emergentes como IA generativa, asegurar el cumplimiento regulatorio en protección de datos personales, y fortalecer la capacitación del personal, especialmente en sectores con alta rotación como el retail. Estas acciones contribuyen a reducir riesgos operativos y financieros, y a mejorar la presentación de los estados financieros conforme a las NIIF.
La ciberseguridad debe ser abordada como un componente estratégico de la gestión financiera.
Los C‑suites, Comités de Auditoría y Directorios deben adoptar una postura proactiva, evaluando si el impacto de un ciberataque es material para los estados financieros y asegurando que los controles internos estén alineados con las nuevas exigencias digitales. La anticipación estratégica, más que la defensa reactiva, será clave para preservar el valor empresarial y la confianza del mercado.
