Across the Pond: How <scp>US</scp> Firms' Boards of Directors Adapted to the Passage of the General Data Protection Regulation†

One of the prime responsibilities board directors is to understand and oversee its firm's risk profile. We exploit a recent European Union (EU) regulation, General Data Protection Regulation (GDPR), as quasi-exogenous shock cyber landscape assess whether boards US firms changed their focus governance structures deal with this new challenge. The GDPR encompasses sweeping set regulations aimed at protecting EU citizens from unwanted uses personal Internet data. Although an applies all public least one user. Adopting difference-in-differences methodology, we use that already fall under data privacy regulation control group find treated firms, on average, increase risk, add more cyber/IT expertise, frequently assign oversight or committee. In cross-sectional tests, show these changes are positively associated ex ante but unrelated firm had large presence, suggesting global reaction GDPR. addition, examine some consequences changes. promptly responded by changing focus, monitoring assignment around passage fewer future cyberattacks/data breaches less related media attention. Our findings suggest that, American corporate in environment ways reduced firms' overall risk. results have implications for efficacy flexibility respond unexpected De l'autre côté de l'Atlantique : la manière dont les conseils d'administration des entreprises aux États-Unis se sont adaptés à l'adoption du RGPD L'une principales responsabilités conseil est comprendre et superviser le profil risque son entreprise. Nous utilisons un règlement récent l'Union européenne (UE), Règlement général sur protection données (RGPD), comme choc quasi exogène dans contexte cyberrisque pour évaluer si ont modifié leur orientation leurs gouvernance faire face ce nouveau défi. Le englobe vaste ensemble règlementations visant protéger citoyens l'UE contre utilisations non désirées personnelles Internet. Bien qu'il s'agisse d'un européen, s'applique toutes publiques ayant au moins utilisateur européen. En adoptant une méthode doubles différences, nous groupe contrôle constitué d'entreprises qui étaient déjà soumises données, constatons que états-uniennes traitées, en moyenne, examinent davantage cyberrisque, recrutent plus directeurs expertise cybernétique / TI, confient fréquemment surveillance ou comité conseil. À l'aide d'analyses transversales, montrons ces changements positivement associés d'une entreprise, mais ne pas liés fait l'entreprise ait présence importante l'UE, suggère réaction globale RGPD. outre, examinons certaines conséquences apportés par d'administration. réagi rapidement modifiant objectif, environs subi futures cyberattaques violations attiré l'attention médias. Nos résultats suggèrent qu'en d'environnement réduire futur entreprises. l'efficacité flexibilité répondre inattendus risque. All publicly available sources cited text, except TruValue Labs Insight360™ database, which proprietary database.