Guvernanța corporativă și auditul intern sunt două concepte esențiale pentru buna funcționare a oricărei organizații, indiferent de domeniul de activitate sau de dimensiunea acesteia. Acestea vizează respectarea unor principii și standarde de calitate, etică, transparență și responsabilitate, care contribuie la creșterea performanței, a competitivității și a încrederii actorilor interesați într-o entitate.
În contextul actual, marcat de digitalizarea accelerată a economiei și societății, în general, guvernanța corporativă și auditul intern trebuie să țină cont și de un alt aspect vital: securitatea cibernetică. Aceasta se referă la protejarea sistemelor informatice și a datelor de atacuri sau incidente care pot afecta disponibilitatea, integritatea sau confidențialitatea acestora. Securitatea cibernetică este o componentă importantă a managementului riscului, care presupune identificarea, evaluarea, tratarea și monitorizarea riscurilor la care este expusă o organizație.
Iată câteva elemente esențiale despre ce este Directiva NIS și despre modul în care aceasta influențează guvernanța corporativă și auditul intern al entităților
Directiva NIS (Network and Information Security) este un act normativ european, adoptat în 2016 și transpus în legislația națională a statelor membre până în 2018, care stabilește cerințe de securitate cibernetică pentru două categorii de entități:
– Operatorii de servicii esențiale (OSE): aceia care furnizează servicii care sunt indispensabile pentru societate și economie, cum ar fi energia, transportul, sănătatea, apa, serviciile financiare sau infrastructura digitală.
– Furnizorii de servicii digitale (FSD): aceia care oferă servicii online, cum ar fi motoarele de căutare, platformele de cloud computing sau platformele de comerț electronic.
Directiva NIS are drept scop asigurarea un nivel ridicat și comun de securitate cibernetică în Uniunea Europeană, prin impunerea unor obligații și sancțiuni pentru entitățile vizate, dar și prin facilitarea cooperării și schimbului de informații între statele membre și autoritățile competente.
Obligațiile prevăzute de Directiva NIS și impuse entităților menționate sunt următoarele:
– Să adopte măsuri tehnice și organizatorice adecvate pentru a gestiona riscurile de securitate cibernetică și pentru a preveni, detecta și remedia incidentele care pot afecta securitatea rețelelor și a sistemelor informatice.
– Să notifice autorităților competente orice incident care are un impact semnificativ asupra continuității serviciilor furnizate sau asupra utilizatorilor acestora, în termen de 72 de ore de la producerea sau constatarea acestuia.
– Să desemneze un punct de contact pentru securitatea cibernetică, care să asigure comunicarea și cooperarea cu autoritățile competente și cu alte entități vizate de Directiva NIS.
– Să se supună controalelor și inspecțiilor efectuate de autoritățile competente, care pot impune măsuri corective sau sancțiuni în caz de nerespectare a obligațiilor.
Sancțiunile prevăzute de Directiva NIS pot fi de natură administrativă sau penală, în funcție de gravitatea și de consecințele incidentelor. De exemplu, în România, amenzile pot ajunge până la 5% din cifra de afaceri anuală conform Legii nr. 362 din 28 decembrie 2018, privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice
Directiva NIS are un impact semnificativ asupra guvernanței corporative și auditului intern, deoarece implică o evaluare periodică a riscurilor de securitate cibernetică, o implementare a măsurilor de protecție adecvate, raportarea incidentelor și cooperarea transfrontalieră. Toate acestea presupun revizuirea și îmbunătățirea proceselor și a politicilor de guvernanță corporativă și de audit intern, cu sprijinul unor experți în domeniu.
Astfel, în aceste cazuri, companiile vizate pot apela la experții Mazars în România – o firmă internațională de audit și consultanță, prezentă în peste 90 de țări, care oferă servicii integrate și personalizate pentru a răspunde nevoilor și așteptărilor clienților săi. Experții Mazars în România au o vastă experiență și cunoștințe în domeniul guvernanței corporative și auditului intern, precum și în domeniul securității cibernetice fiind atestați CERT-RO pentru realizarea de audituri în acest domeniu.
Astfel, în contextul în care deja este previzibil că viitoarea ”Directivă NIS 2” va lărgi cadrul de aplicare al directivei anterioare și va obliga efectiv mai multe entități din mai multe domenii de activitate economică să ia măsurile necesare de creștere a nivelului de securitate cibernetică, este de la sine înțeles că asigurarea sprijinului unor experți în domeniu reprezintă o decizie strategică benefică pe termen mediu și lung.
