Glass Lewis & Co. a récemment publié ses lignes directrices de référence mises à jour pour 2024 (la « Politique »), qui reflètent l’attention continue des investisseurs sur la divulgation d’informations par les entreprises et la surveillance par le conseil d’administration des cyber-risques. La politique indique que Glass Lewis peut formuler des recommandations « contre » les administrateurs à la suite d’un incident de cybersécurité si elle estime que la surveillance des risques par le conseil d’administration ou sa réponse après l’incident sont insuffisantes. La politique fournit également des indications sur ce que Glass Lewis attend des entreprises qu’elles divulguent après un tel incident.
Bien que la politique mise à jour indique que Glass Lewis ne fera généralement pas de recommandations de vote basées sur la surveillance ou la divulgation de la cybersécurité, elle indique que, si « une entreprise a été sensiblement touchée par une cyberattaque, nous pouvons recommander de ne pas nommer les administrateurs appropriés si nous constatons que la surveillance du conseil d’administration , les réponses ou les informations concernant les questions liées à la cybersécurité sont insuffisantes ou ne sont pas fournies aux actionnaires.
En ce qui concerne la divulgation, la politique mise à jour prévoit que, si « une entreprise a été sensiblement touchée par une cyberattaque », Glass Lewis « estime[s] Les actionnaires peuvent raisonnablement s’attendre à des mises à jour périodiques de la part de la société communiquant ses progrès continus vers la résolution et la réparation de l’impact de la cyberattaque. Par exemple, Glass Lewis indique que la divulgation d’une entreprise inclurait « des détails tels que la date à laquelle l’entreprise a entièrement restauré ses systèmes d’information, la date à laquelle l’entreprise a repris ses opérations normales, les ressources qu’elle fournit aux parties prenantes concernées et tout autre élément potentiellement pertinent ». informations, jusqu’à ce que l’entreprise considère que l’impact de la cyberattaque est entièrement remédié. La politique stipule cependant que les entreprises ne doivent pas « révéler des détails spécifiques et/ou techniques qui pourraient empêcher l’entreprise de réagir ou de remédier à l’incident ou qui pourraient aider les acteurs malveillants ».
