Warren Buffett está preocupado por las “enormes pérdidas” en el floreciente mercado de seguros

Uno de los mensajes que Warren Buffett y el principal ejecutivo de seguros de Berkshire Hathaway, Ajit Jain, enviaron a los inversores durante la reciente reunión anual de accionistas de la compañía en Omaha fue que el seguro cibernético, aunque actualmente rentable, todavía tiene demasiadas incógnitas y riesgos para Berkshire, un enorme actor en el mercado de seguros, para sentirse plenamente cómodo suscribiendo.

El seguro cibernético se ha convertido en “un producto muy de moda”, dijo Jain en la reunión anual. Y ha sido una fuente de ingresos para las aseguradoras, al menos hasta la fecha. Describió la rentabilidad actual como “bastante alta”: al menos el 20% de la prima total termina en los bolsillos de las aseguradoras. Pero en Berkshire, el mensaje que se envía a los agentes es de precaución. Una razón principal es la dificultad para evaluar cómo las pérdidas de un solo suceso no se convierten en una suma de posibles pérdidas cibernéticas. Jain dio el ejemplo hipotético de cuando la plataforma de un importante proveedor de nube “se paraliza”.

“Ese potencial de agregación puede ser enorme, y lo que nos asusta es no poder tener una brecha en el peor de los casos”, dijo.

“No hay lugar donde ese tipo de dilema entre más que en el ámbito cibernético”, dijo Buffett. “Es posible que se enfrente a una suma de riesgos con los que nunca había soñado, y tal vez peores que un terremoto que ocurra en algún lugar”.

Berkshire está en el negocio de los seguros cibernéticos

Los analistas de la industria generalmente dicen que si bien parte de la cautela de Berkshire está justificada, el estado general del mercado de seguros de ciberseguridad se está estabilizando a medida que se vuelve rentable. Y Gerald Glombicki, director senior del grupo asegurador estadounidense de Fitch Rating, señala que Berkshire Hathaway está emitiendo políticas de ciberseguridad a pesar de la cautela de Buffett. Según el análisis de Fitch, Berkshire Hathaway es el sexto mayor emisor de este tipo de políticas. Chubb, en la que Berkshire reveló recientemente una gran inversión, y AIG son las más grandes.

“Ahora mismo [cybersecurity insurance] sigue siendo un modelo de negocio viable para muchas aseguradoras”, afirmó Glombicki. Todavía es un mercado pequeño, que representa sólo el uno por ciento de todas las pólizas emitidas, según Glombicki. Debido a que el negocio de la ciberseguridad es tan pequeño, da a las compañías de seguros libertad para implementar diversas políticas para ver qué funciona y qué no, sin una enorme exposición.

Berkshire, así como Chubb y AIG, declinaron hacer comentarios.

“Hay un elemento de imprevisibilidad que es muy inquietante, y entiendo dónde [Buffett] “Pero creo que es muy difícil evitar por completo el riesgo cibernético”, dijo Glombicki. Sin embargo, añadió que todavía no ha habido ningún litigio significativo que asigne culpabilidad o ponga a prueba los límites de las políticas, y hasta que los tribunales escuchen alguna culpabilidad En algunos casos, algunas aseguradoras pueden actuar con más cautela.

“Podría arruinar la empresa”, dice Buffett

El problema de redactar muchas pólizas, incluso con un límite de $1 millón por póliza, es si un “único evento” resulta afectar a 1.000 pólizas. “Usted ha escrito algo por lo que de ninguna manera estamos obteniendo el precio adecuado y podría arruinar a la empresa”, dijo Buffett.

Si bien algunos líderes notables, como el exjefe de Seguridad Nacional Michael Chertoff, que ahora dirige una empresa global de gestión de riesgos de seguridad, han pedido algún tipo de respaldo gubernamental a la ciberseguridad, la mayoría de los expertos no creen que sea necesario en este momento. Glombicki dice que mientras los federales están analizando qué papel pueden desempeñar, es probable que no se intervenga hasta que un incidente lo solicite.

Cualquier participación del gobierno “probablemente ocurrirá después de un ciberincidente grande y costoso”, dijo. “Después del 11 de septiembre, el gobierno elaboró ​​un programa de riesgo terrorista. En el ámbito cibernético, todavía no hemos visto un ataque de esa escala. Todavía estamos en la etapa de pensar en posibles enfoques”.

Los datos de los seguros cibernéticos muestran crecimiento y confianza del mercado

Si bien el número de políticas de ciberseguridad que se están redactando es pequeño ahora, los analistas no esperan que siga así.

“Los tipos están bajando, lo que demuestra la estabilidad del mercado”, afirmó Mark Friedlander, portavoz del Insurance Information Institute. Según sus datos, se estima que las primas cibernéticas se duplicarán durante la próxima década. En 2022, las primas ascendieron a 11.900 millones de dólares. Para 2025, dice Friedlander, se espera que se dupliquen a 22.500 millones de dólares y aumenten a 33.300 millones de dólares para 2027.

“Este es claramente uno de los segmentos de seguros de más rápido crecimiento. Más empresas que nunca están redactando pólizas de ciberseguridad”, dijo Friedlander, atribuyendo la confianza entre las aseguradoras a una suscripción más sofisticada y a unas tasas de estabilización. Citó una caída del 6% en las tasas de seguros de ciberseguridad en el primer trimestre de 2024, luego de una caída del 3% en 2023, como una señal clara de que las aseguradoras se sienten más seguras a la hora de lanzarse al negocio.

“La mayoría de los seguros comerciales, como los de automóviles y de propiedad, han ido aumentando, por lo que la disminución es significativa. Es una señal de estabilidad y una disminución en la gravedad de las reclamaciones”, dijo Friedlander.

Y cada vez más aseguradoras están entrando al mercado porque tienen las herramientas y los datos para valorar el riesgo. “Si puedes hacerlo a precios razonables, suscribirás esa cobertura”, dijo Friedlander.

‘Estás perdiendo dinero’

Buffett y su principal lugarteniente de seguros no están de acuerdo. Es el “costo de pérdida” del seguro (cuál podría ser potencialmente el costo de los bienes vendidos) lo que tiene a Berkshire indeciso ante un movimiento más grande hacia el seguro cibernético. Jain dijo que las pérdidas han estado “bastante bien contenidas” hasta la fecha (no excediendo los 40 centavos por dólar de póliza durante los últimos cuatro o cinco años), pero añadió que “no hay datos suficientes para poder colgarse el sombrero y decir lo que se espera”. El verdadero costo de la pérdida es.”

Jain dijo que en la mayoría de los casos se desaconseja a los agentes de Berkshire suscribir un seguro cibernético, a menos que necesiten hacerlo para satisfacer necesidades específicas del cliente. E incluso si lo hacen, Jain les deja este mensaje: “No importa cuánto cobres, debes decirte a ti mismo que cada vez que escribes una póliza de seguro cibernético, estás perdiendo dinero. Podemos discutir sobre cuánto dinero recibirás”. “Estamos perdiendo, pero la mentalidad debe ser que no estás ganando dinero con eso… Y luego debemos partir de ahí”.

Google Cloud dice que se están exagerando los riesgos

Existe la percepción de que el riesgo cibernético está cambiando rápidamente y, por lo tanto, es demasiado impredecible para cubrirlo de manera sistemática, dice Monica Shokrai, directora de riesgos comerciales y seguros de Google Cloud. Pero añadió que la percepción no coincide con la realidad y que el riesgo se puede gestionar en gran medida.

“No compartimos la misma opinión que Warren Buffet sobre este tema”, afirmó. En opinión de Google, la mayoría de las pérdidas cibernéticas se pueden prevenir o mitigar mediante una higiene cibernética básica.

“Al comprender la seguridad, se puede llegar a un lugar donde los controles estén en un lugar mucho mejor, donde el riesgo sea más manejable”, dijo Shokrai. Mientras tanto, los ataques devastadores de los Estados-nación se encuentran en una categoría separada y han sido raros. Las aseguradoras ya se están vacunando contra riesgos potenciales al hacer exclusiones para ciertos eventos catastróficos. Muchas políticas de ciberseguridad tienen exenciones de cobertura para ataques de estados-nación.

“Lo que están tratando de hacer es permanecer resilientes y solventes en caso de un evento generalizado; lo que han hecho para gestionar eso son exclusiones”, dijo Shokrai, y esas incluyen infraestructura crítica, guerra cibernética y otros eventos disruptivos generalizados. .

Quedan ambigüedades y subjetividades. ¿Qué pasa si alguien es víctima de un ciberataque de una pandilla con sede en el extranjero que no está oficialmente vinculada a un Estado-nación pero que puede haber recibido algún apoyo logístico auxiliar? ¿Puede una compañía de seguros invocar una exclusión de Estado-nación? Shokrai dice que categorizar cómo atribuir un evento es tema de mucho debate entre las compañías de seguros. “Ese es un gran debate entre las compañías de seguros; es una distinción importante que necesita claridad”, dijo Shokrai.

Algunos expertos dicen que es la ambigüedad que rodea a los márgenes de la industria lo que asusta a inversores como Buffett y a actores de seguros como Berkshire. Pero hasta ahora, el negocio ha demostrado ser sólido en general. “Sigue siendo un modelo de negocio viable para muchas aseguradoras”, afirmó Josephine Wolff, profesora asociada de política de ciberseguridad en la Escuela Fletcher de la Universidad de Tufts, que ha estado estudiando la evolución del mercado durante los últimos años. Pero agregó que la creencia de que el negocio es viable no significa que las cosas no cambien constantemente, señalando el reciente aumento del ransomware en los últimos años, que generó grandes pagos por parte de las compañías de seguros, aunque en particular todavía no son suficientes para hacer crecer el negocio. no rentable para la mayoría de los emisores.

El seguro cibernético ayuda a que todo el ecosistema sea más seguro, según Steve Griffin, cofundador de L3 Networks, un proveedor de servicios gestionados con sede en California que se especializa en ciberseguridad. Las políticas exigen que las empresas cumplan ciertos estándares cibernéticos para obtener cobertura, y cuantas más empresas se registren para obtener cobertura, más seguro será todo el sistema. Y si una empresa sabe que se le negará un reclamo si no cuenta con algunas salvaguardias básicas de ciberseguridad, eso actúa como un incentivo para implementarlas.

Berkshire cree que el negocio crecerá, pero no está seguro a qué costo. “Creo que en algún momento podría convertirse en un gran negocio, pero podría estar asociado con enormes pérdidas”, dijo Jain.

“Les diré que la mayoría de la gente quiere estar en cualquier cosa que esté de moda cuando suscriben seguros. Y lo cibernético es un tema fácil”, dijo Buffett. “Se puede redactar mucho. A los agentes les gusta. Obtienen una comisión por cada póliza que redactan… Yo diría que la naturaleza humana es tal que la mayoría de las compañías de seguros se entusiasmarán mucho y sus agentes obtendrán muy emocionado, está muy de moda y es algo interesante, y como Charlie [Munger] Yo diría que puede ser veneno para ratas”.

Si bien Griffin comprende la cautela de Buffett, ve una división generacional sobre las perspectivas de riesgo y es optimista sobre el sector de seguros de ciberseguridad.

“Probablemente Warren Buffet habría considerado el seguro de ciberseguridad una oportunidad cuando era más joven”, dijo.

Corrección: Las tasas de seguros de ciberseguridad disminuyeron un 6 % en el primer trimestre de 2024, luego de una caída del 3 % en 2023. Una versión anterior de este artículo expresaba erróneamente la disminución de 2023.