La SEC propose une divulgation obligatoire en matière de cybersécurité

La Securities and Exchange Commission (SEC) des États-Unis a proposé des modifications à ses règles le 9 mars 2022 afin d’améliorer et de normaliser les informations fournies par les entreprises publiques sur la gestion des risques, la stratégie, la gouvernance et les rapports d’incidents en matière de cybersécurité. Les modifications proposées visent à informer les investisseurs sur la gestion des risques, la stratégie et la gouvernance de la personne inscrite, et à informer en temps opportun les investisseurs des incidents de cybersécurité importants.

L’annonce de la SEC comprenait une déclaration du président de la SEC, Gary Gensler. « Aujourd’hui, la cybersécurité est un risque émergent auquel les émetteurs publics sont de plus en plus confrontés. Les investisseurs veulent en savoir plus sur la manière dont les émetteurs gèrent ces risques croissants.

Détails des divulgations proposées en matière de cybersécurité

Les modifications proposées exigeraient la déclaration à jour des incidents de cybersécurité importants et des mises à jour périodiques des incidents de cybersécurité signalés précédemment. Ils exigeront également des rapports périodiques sur : les politiques et procédures du déclarant liées à l’identification et à la gestion des risques de cybersécurité ; Comment le conseil d’administration de la personne inscrite surveille les risques de cybersécurité ; comment la direction évalue et gère les risques de cybersécurité ; et comment la direction met en œuvre les politiques et procédures de cybersécurité. La proposition exigerait également des rapports annuels ou certaines informations dans les déclarations de procuration concernant l’expertise en matière de cybersécurité, le cas échéant, parmi les membres du conseil d’administration de la personne inscrite.

Commentaires supplémentaires du président de la SEC, Gary Gensler

Histoires connexes

3 ETF à négocier en espérant une percée sur le Brexit

Nvidia a fait grimper les stocks de puces lundi alors que le marché se redressait

Le président de la SEC, Gary Gensler, a publié une déclaration détaillée sur les modifications proposées. Certains de ses commentaires ont été cités dans le communiqué de presse de la SEC cité ci-dessus. Des faits saillants supplémentaires sont présentés ci-dessous.

“Nous exigeons des entreprises qu’elles divulguent des informations importantes depuis la Grande Récession. L’accord de base est le suivant : les investisseurs peuvent décider quels risques ils veulent prendre. Les entreprises qui lèvent des fonds auprès du public ont l’obligation de partager régulièrement des informations avec les investisseurs.”

“Au fil des années, notre régime de divulgation a évolué pour refléter l’évolution des risques et des besoins des investisseurs.”

« L’interconnectivité de nos réseaux, l’utilisation de l’analyse prédictive des données et le désir insatiable de données ne font que s’accélérer, mettant en danger nos comptes financiers, nos investissements et nos informations personnelles. Les investisseurs veulent en savoir plus sur la manière dont les émetteurs gèrent ces risques croissants.

“Malheureusement, les incidents de cybersécurité sont répandus. Ils peuvent avoir des conséquences financières, opérationnelles, juridiques et de réputation importantes sur les émetteurs publics. En conséquence, les investisseurs recherchent de plus en plus d’informations sur les risques de cybersécurité, ce qui peut avoir un impact sur leurs décisions d’investissement et leurs rendements.”

« La publication d’aujourd’hui améliorera les informations fournies par les émetteurs en matière de cybersécurité de deux manières principales. »

“Premièrement, cela nécessiterait une divulgation obligatoire et continue de la gouvernance, de la gestion des risques et des stratégies des entreprises concernant les risques de cybersécurité.”

“Deuxièmement, cela exigerait une déclaration obligatoire et importante des incidents de cybersécurité. Ceci est important car de tels incidents de cybersécurité importants peuvent influencer la prise de décision des investisseurs.”

Déclaration dissidente de la commissaire de la SEC, Hester M. Peirce

La commissaire de la SEC, Hester M. Peirce, a publié une déclaration de dissidence concernant les modifications proposées. Les faits saillants sont présentés ci-dessous.

“Nous jouons un rôle important en garantissant que les investisseurs disposent des informations dont ils ont besoin pour comprendre les risques de cybersécurité des émetteurs s’ils sont importants. Cependant, cette proposition prétend nous positionner comme le centre de commandement de la cybersécurité du pays, un rôle que le Congrès ne nous a pas assigné.”

“Notre rôle dans les opérations des entreprises publiques, en matière de cybersécurité ou autre, est limité. La Commission réglemente la divulgation d’informations par les entreprises publiques ; elle ne réglemente pas les opérations des entreprises publiques.”

« Cette proposition, bien que formulée dans un langage standard de divulgation, fournit des orientations aux entreprises de manière substantielle, quoique quelque peu subtile. Premièrement, les exigences de divulgation en matière de gouvernance représentent une microgestion sans précédent de la part de la Commission de la composition et des opérations des conseils d’administration et de la direction des entreprises publiques.

“Ces exigences de divulgation précises ressemblent à une liste d’attentes sur ce à quoi devraient ressembler les programmes de cybersécurité des émetteurs et comment ils fonctionneront.”

“(B) bien que déguisées en exigence de divulgation, les règles proposées font pression sur les entreprises pour qu’elles envisagent d’adapter leurs politiques et procédures existantes pour se conformer à l’approche privilégiée par la Commission, exprimée dans huit sections de divulgation spécifiques.”

“Cependant, l’essentiel pour qu’une entreprise gère au mieux ses risques en matière de cybersécurité est que la direction de l’entreprise comprenne ses défis spécifiques, sous réserve des freins et contrepoids fournis par le conseil d’administration et les actionnaires.”

“Le point culminant de la proposition réside dans les règles liées au signalement des incidents de cybersécurité. Je ne pense pas que ces règles soient nécessaires car Orientations de la Commission pour 2018donne notre point de vue sur les obligations de divulgation d’informations des sociétés ouvertes en vertu de la réglementation actuelle. Cependant, les règles proposées semblent fournir des lignes directrices raisonnables que les entreprises doivent suivre pour signaler des incidents de cybersécurité importants.