Le operazioni di mergers and acquisitions (M&A) implicano lo svolgersi di molte attività prodromiche complesse che, a causa della necessità di procedere con tempistiche tendenzialmente serrate e dell’ambiente competitivo e pressurizzato, necessitano di una coerente integrazione tra le diverse discipline e attività connesse.
I ruoli privacy in un’operazione di M&A: come identificarli e garantire la compliance Gdpr
Le attività preparatorie sono solitamente di natura strettamente finanziaria, economica, di mercato; tuttavia, ampliare le valutazioni anche a rischi di diversa natura può risultare determinante.
Vediamo allora come l’impiego di tecnologie quali intelligenza artificiale e data analysis contribuisce all’accelerazione di tutti i processi prodromici alle operazioni M&A e come l’adozione di un modello di attività di security possa fornire l’adeguato supporto nelle operazioni.
Fusioni e acquisizioni: perché si fanno, i rischi
Le ragioni principali alla base delle operazioni M&A sono tendenzialmente:
- la mancanza di risorse interne (tecnologiche, economiche, umane, di competenza), necessarie a colmare un disallineamento tra la domanda esterna e la capacità aziendale;
- la necessità di un riposizionamento strategico in seguito a cambiamenti radicali nella regolamentazione di settore oppure nelle tecnologie emergenti;
- razionalizzazione infra-gruppo;
- strategie di crescita per linee esterne;
- volontà di dismettere aree di business non più strategiche;
- esigenze di razionalizzare l’assetto azionario anche al fine di gestire passaggi generazionali;
- coinvolgimento di nuovi investitori, finanziari o industriali,
- miglioramento dello standing creditizio della società attraverso la modifica della composizione, anche qualitativa, dei soci;
- realizzare una veloce
- al fine di raggiungere un fatturato più elevato o una quota di mercato più consistente, eliminare un concorrente, elevare la barriera d’ingresso di nuovi operatori, acquisire marchi, brevetti o talenti (in particolari settori) o integrare il proprio processo produttivo.
Tali operazioni possono presentare una serie di rischi tra cui:
- scontro di culture aziendali
- risorse acquisite meno preziose della previsione iniziale;
- costo dell’effettivo processo di fusione e acquisizione superiore al previsto;
- rischi reputazionali;
Le varie fasi di una operazione M&A
Le varie fasi di una operazione M&A possono essere sinteticamente racchiuse in:
- target screening;
- due diligence;
- valutazioni di business;
- integrazione post fusione/acquisizione.
Target screening
In questa fase viene scelto l’obiettivo dell’operazione e risulta determinante nella scelta la probabilità di successo in termini di ritorno di investimento (ROI).
L’intelligenza artificiale, in questo contesto, è un game changer in quanto consente agli stakeholders di valutare rapidamente potenziali target da acquisire e l’impatto delle transazioni finanziare sottostanti su strategie, mercati e performance finanziarie.
L’AI consente di comparare e analizzare dati da diverse fonti utilizzando algoritmi complessi che consentono di identificare degli scenari difficilmente inquadrabili mediante una analisi tradizionale (made by humans) generando previsioni di mercato con tempistiche talmente rapide da rendere il vantaggio informativo e temporale determinanti e facilitando l’assunzione di decisioni strategiche.
Due diligence
La Due Diligence è sicuramente la fase più corposa in quanto si analizza sotto innumerevoli sfaccettature il soggetto societario dell’operazione. In questa fase l’automazione, i metodi basati sull’AI, la visualizzazione dinamica dei dati acquisiti e validati, consultati e analizzati in una Virtual Data Room consentono di prendere decisioni con una base informativa superiore e con maggiore celerità.
Intelligenza artificiale e M&A, così il robot spinge la due diligence
Business valuation
Nella valutazione di business, solitamente, vengono utilizzate differenti metodologie basate sull’analisi di costi, mercati e ricavi e, anche in tali contesti, l’AI è determinante in termini di possibilità di moltiplicazione delle capacità di calcolo e di analisi.
Post-merger integration
Nelle attività di M&A si procede a integrare le due realtà societarie in termini di struttura, processi, persone. Costituisce una fase critica dove un qualunque passo falso può avere delle conseguenze anche gravi come ritardi operativi, interruzioni di flussi finanziari che potrebbero consentire a competitors di capitalizzare la conseguente incertezza che può ingenerarsi nei mercati e nella clientela.
In questi termini risulta vitale un piano che consenta di garantire la business continuity durante tutte le fasi esecutive dell’operazione.
La security nelle operazioni M&A
Le organizzazioni di security nelle aziende sono tendenzialmente dirette da figure professionali che spesso provengono da strutture militari, di intelligence o di polizia, dotati quindi di una certa inclinazione di tipo “investigativo” che può consentire ai Security Manager di diventare i driver operativi dei processi M&A o di fornire comunque un valore aggiunto di notevole impatto in quanto, per la loro indole, risultano le figure naturalmente incaricate di svolgere tali attività info-investigative.
Tale tipo di considerazione è alla base anche delle dottrine di svariate agenzie di sicurezza di diversi paesi dove l’intelligence governativa viene impiegata per garantire sicurezza industriale anche in termini di sostegno alle imprese nazionali in contesti esteri in un’ottica di collaborazione pubblico-privato.
Di fatto da quel tipo di attività di intelligence economica può essere delineato un modello di attività di security per guidare/supportare le operazioni M&A.
Le attività OSINT
Il primo valore aggiunto che la security può dare all’operazione è costituito, in questo scenario, dalle attività OSINT poiché consentono di acquisire importanti elementi informativi utili su come “aggredire il target” e sui macroscopici rischi reputazionali ancora prima di addentrarsi nel vero e proprio “ginepraio” delle attività di due diligence.
Deve essere ben chiaro che le attività OSINT non possono sostituire o rendere non necessarie le attività di due diligence, ma possono essere determinanti per avere una fotografia immediata macroscopica della target company individuata e per arricchire i risultati delle altre attività.
Questo valore aggiunto dato dalle attività OSINT è la primissima evidenza di come determinate attività di security possono essere performanti non solo in chiave “difensiva” e di protezione (di asset, persone etc) ma anche e soprattutto in fase “offensive”.
L’assessment di security
Prima di determinare dove si trovano le lacune di sicurezza è fondamentale comprendere l’aspetto generale dell’organizzazione da acquisire. Una volta compresi il background e la strategia, i problemi di sicurezza saranno più facilmente determinati e sarà possibile documentare i piani per affrontare eventuali lacune.
Innanzitutto, bisogna comprendere se l’operazione di M&A rappresenta una diversificazione rispetto all’attività esistente per capire se policy, standard o le procedure dovranno essere modificate per garantire che sia ridotto al minimo il rischio di impatto negativo.
Se la società target non è nello stesso paese della società madre bisognerà tenere conto dei profili normativi e regolamentari che possono impattare sulla società madre e che devono essere prese in considerazione da una policy.
L’analisi e lo studio di organigrammi e dipendenti aiutano a comprendere la struttura dell’azienda acquisita e ad identificare le persone chiave. In tale direzione sarà opportuno individuare com’è strutturata l’organizzazione IT e di Security, Risk Management e Business Continuity (BC).
Compreso organigramma e individuati gli interlocutori si procederà a degli assessment specifici su:
- Sicurezza fisica;
- Sicurezza informatica;
- Cybersecurity;
- Analisi reputazionale;
- Analisi di compliance (231, privacy,procedure di vetting, travel security etc);
- Business continuity & disaster recovery;
- Risk Management.
L’assessment di cui sopra sarà fondamentale per dimensionare il gap da colmare in termini di allineamento, tra le due realtà societarie sulle tematiche già indicate.
La due diligence reputazionale sarà poi, in parallelo, il passo successivo per andare a avere piena contezza dello specifico rischio che, su tutti, può avere impatti finanziari immediati e anche disastrosi.
In alcuni contesti ci si può imbattere in aree poco cristalline in cui possono anche essere svolte vere e proprie investigazioni, al limite dello spionaggio industriale nei confronti del soggetto societario da acquisire o svolge l’operazione. Tali attività possono consentire di acquisire vantaggi informativi capaci di ribaltare completamente tutte le previsioni e le analisi svolte così come di impattare grandemente sul costo finanziario dell’operazione se non addirittura bloccarla.
In questi termini è fondamentale il ruolo della security in chiave di protezione da tali tipologie di attività malevole con strumenti tecnologici, procedurali e di awareness.
La security nella fase post M&A
La security aziendale deve altresì essere il driver nella realizzazione di un BC plan finalizzato a garantire la continuità operativa e per gestire gli eventuali “intoppi” post M&A, specialmente nella fase di integrazione di processi, persone, strutture.
Una “situation room”, sia essa fisica che virtuale, dove la security svolge quantomeno il ruolo di direttore operativo, risulta fondamentale per tutte le fasi pre e post M&A.
Conclusioni
La superiorità informativa resta il leitmotiv del successo delle operazioni, siano esse di tipo finanziario, di mercato, di intelligence, di polizia e di qualunque altra natura. Ottenerla o proteggerla sono naturale espressione della security aziendale.
