حوكمة الشركات في COVID-19: الأمن السيبراني واعتبارات التكنولوجيا
By Audrey Katcher, CPA/CITP, CGMA
بالتصرف سليمان سليم شعبان
ماجستير في المحاسبة المالية
sleimanshaaban@gmail.com
تعد مراقبة الأمن السيبراني مسؤولية ائتمانية رئيسية لمجلس الإدارة وكانت مصدر قلق كبير للشركات حتى قبل أن يجبر جائحة COVID-19 العديد من المنظمات على التحول فجأة إلى العمل عن بعد. تشكل انتهاكات البيانات والتهديدات السيبرانية الأخرى مخاطر كبيرة على المنافسة والسمعة والتقاضي وتتطلب استثمارات متزايدة التكلفة لمنعها واكتشافها والاستجابة لها. خلقت التغييرات في البيئة نتيجة للوباء مخاطر جديدة يجب إدارتها بإشراف مجلس الإدارة.
نظرًا لوجود اختراق إلكتروني يعتبره معظم الخبراء أمرًا حتميًا ، يجب أن تكون المخاطر الإلكترونية جزءًا من مراقبة المخاطر العامة لمجلس الإدارة. ضع في اعتبارك أن المديرين لا يحتاجون إلى أن يكونوا خبراء تقنيين ليلعبوا دورًا فعالاً في مراقبة المخاطر الإلكترونية. يمكن لكل مجلس أن ينتهز الفرصة لتحسين فعالية ممارسات الرقابة الإلكترونية الخاصة به.
يجب على مجلس الإدارة طرح الأسئلة العامة التالية لفهم مخاطر الأمن السيبراني:
ما هي أكبر خمس مخاطر للأمن السيبراني لمنظماتنا؟
كيف ندير هذه المخاطر؟
كيف تدار إدارة الأمن؟
في حالة حدوث خرق خطير ، هل طورت الإدارة بروتوكول استجابة قوي؟
يجب على مجلس الإدارة أيضًا طرح الأسئلة التالية المتعلقة بالتكنولوجيا والوباء ، مقسمة إلى أربع فئات: الالتزامات ، والعمل من أي مكان ، والامتثال ، والخطط.
إلتزامات:
ما مدى ثقة الشركة (والمجلس) في الوفاء بالالتزامات التكنولوجية على الرغم من تعطل الأفراد والتكنولوجيا بسبب الوباء؟
العمل من أي مكان:
كيف قامت الشركة بتأمين المعلومات بسبب عمل الموظفين والمقاولين عن بعد؟
هل توفر الشركة للموظفين ضمانات مناسبة للعمل بأمان عن بُعد ، بما في ذلك التدريب؟
الامتثال:
كيف تحافظ الشركة على الامتثال لمتطلباتها القانونية والتنظيمية وتتحقق من صحتها؟
الخطط:
ما هي خطط الشركة "لسيناريو أسوأ حالة" للحوادث المرتبطة بالوباء أو الانقطاعات؟ هل تم إجراء تمارين منضدية؟
ما هي المقاييس الجديدة التي توفرها الشركة لمجلس الإدارة لمراقبة المخاطر ، بما في ذلك قابلية الشركة للاستمرار؟ هل توجد محفزات للتواصل في حالات الاضطراب غير المتوقع؟
كيف طبقت الشركة الدروس المستفادة حول استعدادها للوباء من مواقفها أو مواقفها الأخيرة من الآخرين في صناعتهم؟
ما التغييرات التي يجب إجراؤها على تخطيط السيناريو لتحسين مرونة الشركة في المستقبل؟
هل تم تخصيص الموارد المناسبة ، بما في ذلك التمويل والموظفين ، لإدارة المخاطر المستقبلية؟
توسيع دور مجلس الإدارة
تحدد الرابطة الوطنية لمديري الشركات دورين أساسيين لمجالس إدارة الشركات: (1) "الإشراف على الإدارة نيابة عن المساهمين والجهات الأخرى" ؛ و (2) "تقديم المشورة للإدارة ، وإن كان ذلك بمشاركة محدودة في عمليات الشركة اليومية." وسط الوباء ، يتحمل مجلس الإدارة مسؤولية معززة لتقديم المشورة بناءً على التجارب السابقة ، عبر الصناعات ، وبناءً على التجارب الحالية ، عبر المنظمات. لدعم هذه المسؤولية الموسعة ، فإن المجالس هي:
إضافة مدراء لمخاطر التكنولوجيا بسبب ، على سبيل المثال ، بيئة العمل من أي مكان.
اعتماد لجنة التكنولوجيا والإنترنت للعمل مع فريق مكافحة الأوبئة بالشركة.
طلب جلسات الخبراء للاعتبارات التقنية والأمنية لإدارة الوباء.
الاستمرار في السؤال عن مخاطر الأمان والتكنولوجيا في سلسلة التوريد ، بما في ذلك تبعيات البائعين والأعمال.
دور الشركة
في محادثة المجلس هذه ، تتحمل الشركة أيضًا مسؤوليات. فيما يلي بعض العناصر المتعلقة بالتكنولوجيا التي يتعين على الشركة معالجتها مع مجلس الإدارة.
يجب أن تكون الشركات مستعدة لإبلاغ مجلس الإدارة بأنها تتعلم من الماضي ، وتقوم بتخطيط السيناريو / التدريبات على الطاولة ، وتقوم بتحديث خططها الإستراتيجية عند الضرورة ، وتكون جاهزة للتشغيل عند تقديمها مع التغييرات والتحديات الجديدة.
يجب أن يكون لدى الشركات خطط إستراتيجية لـ "الوضع الطبيعي التالي" وتنفيذ تخطيط السيناريو لأخذها في الاعتبار:
كيف:
تبعية الموظف الرئيسي وتخطيط التعاقب.
الالتزامات التي تم التعهد بها للعملاء والمنظمين وما إلى ذلك للأمن والتوافر والسرية والامتثال.
اعتماد المورد الأساسي وشريك العمل ومؤسسة الخدمة للالتزامات المتعلقة بالتكنولوجيا والأمان (مع العلم أن الاستعانة بمصادر خارجية لا يزيل مساءلة الشركة).
ماذا:
عدم وجود عامل متداول ومقاول.
المتداول عدم توفر سلسلة التوريد.
عدم توفر منشأة مفاجئة.
إفلاس العميل أو كيان سلسلة التوريد أو قضايا الجدوى الأخرى.
الالتزامات المعتمدة على التكنولوجيا والتكنولوجيا التي يتم إجراؤها عبر العقود أو الاتفاقيات الأخرى.
بعد ذلك ، يجب أن تكون الشركات مستعدة للإجابة على الأسئلة المتعلقة بالعناصر المذكورة أعلاه.
بالاقتران مع الإستراتيجية الشاملة وتخطيط السيناريو ، تعتبر التكنولوجيا عامل تمكين للنجاح. يجب على قادة التكنولوجيا مثل كبير مسؤولي المعلومات وكبير مسؤولي أمن المعلومات إبلاغ المخاطر الإلكترونية إلى مجلس الإدارة.
هذا فن أكثر منه علم. لا ينبغي لقادة التكنولوجيا أن يقعوا في فخ تقديم التفاصيل الفنية حول نقاط الضعف. بدلاً من ذلك ، يجب أن يستعدوا لمناقشة القضايا من حيث "مخاطر العمل" والخيارات التي يتعين على الشركة إدارة المخاطر بحيث يمكن للمديرين التنفيذيين ومجلس الإدارة اتخاذ القرارات.
على سبيل المثال: "للحفاظ على قدرتنا التنافسية وقدرتنا التجارية ، يجب أن نكون قادرين على التعاون في أمور العميل في أي وقت وفي أي مكان" ، وللقيام بذلك ، لدينا ثلاثة خيارات:
الخيار أ: لا تفعل شيئًا.
الخيار ب: تنفيذ حل سحابي لمعالجة المخاطر المتعلقة بالأمان والامتثال والاحتفاظ بالمعلومات وما إلى ذلك.
الخيار ج: تنفيذ حل السحابة للمساعدة في دعم التزاماتنا القانونية والتنظيمية وإدارة المخاطر ؛ أو تنفيذ تحسينات أمنية مثل المصادقة متعددة العوامل والتشفير لاتصالات العميل وموارد النسخ الاحتياطي لدعم الاسترداد بشكل أسرع.
اعتبارات لجنة التدقيق لمسؤوليات المدقق
أخيرًا ، يتحمل المدققون الخارجيون المسؤوليات أيضًا. يجب أن يتعرف المدققون على مستوى الرقابة من مجلس الإدارة وأن يراجعوا محاضر الاجتماع ، مع ملاحظة تقييمات المخاطر التي تم استعراضها ، والخطط الاستراتيجية التي تم تقييمها ، وتنفيذ تخطيط السيناريو. كمدققين خارجيين ، سيكون هناك تركيز على الإفصاحات العامة حول الوباء وتأثيره العام على الكيان المبلّغ عنه ، إلى جانب مواضيع أخرى ، مثل:
اضمحلال الأصول
الاستمرارية ؛
استخدام التقديرات ؛
امتيازات الإيجار
إعادة الهيكلة
قروض برنامج حماية شيكات الرواتب وقروض الكوارث من الأضرار الاقتصادية ؛
ضرائب الدخل؛ و
الأحداث اللاحقة.
دور قيادي رئيسي
تعد قيادة المجلس أمرًا بالغ الأهمية ويجب أن تستمر في التطور استجابةً للوباء. تعد التكنولوجيا والأمن من المجالات الأساسية لمراقبة نجاح الشركة. أصبحت حماية معلوماتك التنظيمية الآن أكثر أهمية وتعقيدًا من أي وقت مضى.
كوفيد -19
تخفيف المخاطر
المحاسبة الإدارية
إدارة المعلومات وضمان التكنولوجيا
إدارة مخاطر تكنولوجيا المعلومات
أمن معلومات البيانات
تعليقات
إرسال تعليق