Karolina Praszek-Gołębiewska, Kancelaria Bezpieczeństwa – komentarz ekspercki
ESG coraz częściej staje się elementem rozmów o strategii, finansowaniu i relacjach z partnerami biznesowymi. Firmy analizują swój wpływ na środowisko, sposób traktowania pracowników i zasady zarządzania. Przygotowują dane, porządkują procedury i komunikują podejmowane działania. To ważny kierunek, ale warto pamiętać, że odpowiedzialność organizacji nie kończy się na tym, co można opisać w raporcie.
Równie istotne jest to, czy przedsiębiorstwo potrafi odpowiedzialnie zarządzać informacjami, chronić prawa osób, których dane przetwarza, oraz zapewnić przejrzystość podejmowanych decyzji. Bezpieczeństwo informacji i ochrona danych osobowych nie zawsze pojawiają się na pierwszym planie w dyskusjach o ESG, a przecież dotyczą zaufania, ładu organizacyjnego i sposobu funkcjonowania firmy.
Odpowiedzialność zaczyna się od codziennych praktyk
Firma może deklarować wysokie standardy zarządzania, ale prawdziwy obraz organizacji poznajemy
w codziennych sytuacjach. Jak pracownicy postępują z danymi klientów? Czy informacje o zatrudnieniu i wynagrodzeniach są odpowiednio chronione? Czy wiadomo, kto odpowiada za poszczególne decyzje? Czy pracownicy mogą zgłosić problem bez obawy, że zostaną zignorowani? To nie są wyłącznie kwestie formalne. Pokazują, czy organizacja potrafi przełożyć deklarowane wartości na praktykę. Podobnie jest z ochroną danych osobowych. Firma może mieć dokumentację i procedury, ale jeżeli pracownicy nie wiedzą, jak postępować w konkretnych sytuacjach, poziom ochrony może pozostawać niewystarczający. Dlatego tak ważne jest, aby wymagania nie funkcjonowały wyłącznie na papierze, lecz były uwzględniane w rzeczywistych procesach.
Dane to również odpowiedzialność wobec ludzi
Współczesne przedsiębiorstwa przetwarzają ogromne ilości informacji. Dane klientów pomagają personalizować ofertę, dane pracowników wspierają zarządzanie zespołem, a analityka pozwala podejmować bardziej świadome decyzje biznesowe. Jednocześnie każda informacja odnosząca się
do konkretnej osoby wiąże się z odpowiedzialnością. Trzeba wiedzieć, po co jest zbierana, kto może
z niej korzystać i jak długo powinna być przechowywana. Ważne jest również, aby nie udostępniać jej szerzej, niż wymaga tego określony cel.
Szczególnego znaczenia nabierają te kwestie wraz z rozwojem sztucznej inteligencji. Narzędzia AI mogą wspierać analizę dokumentów, automatyzować zadania i przyspieszać obsługę klientów. Nie oznacza to jednak, że każdą informację można bezrefleksyjnie przekazać do zewnętrznego systemu. Przedsiębiorstwo powinno rozumieć, z jakiego rozwiązania korzysta, jakie dane do niego trafiają i jakie zasady ich przetwarzania obowiązują. Odpowiedzialna innowacja wymaga zarówno oceny korzyści, jak i świadomości ograniczeń.
Ład organizacyjny nie kończy się na strukturze zarządu
Kiedy mówimy o ładzie korporacyjnym, często koncentrujemy się na nadzorze, podziale odpowiedzialności i zasadach podejmowania decyzji. To ważne elementy, ale równie istotne jest to, jak organizacja zarządza ryzykiem w codziennym działaniu.
Czy wiadomo, kto odpowiada za ochronę informacji? Czy zarząd otrzymuje informacje o istotnych zagrożeniach? Czy firma potrafi ocenić konsekwencje incydentu? Czy dostawcy i partnerzy są wybierani z uwzględnieniem ryzyk związanych z dostępem do danych? Jeżeli odpowiedzi na te pytania nie są jasne, organizacja może mieć trudności z wykazaniem, że odpowiedzialność jest rzeczywiście realizowana.
Nie wystarczy bowiem wyznaczyć osoby odpowiedzialnej za dany obszar. Trzeba jeszcze zapewnić jej odpowiednie kompetencje, narzędzia i możliwość podejmowania działań.
Wiarygodność wymaga dowodów
Jednym z wyzwań związanych z ESG jest zapewnienie, że deklaracje odpowiadają rzeczywistym działaniom. W tym kontekście znaczenia nabierają jakość danych, możliwość ich weryfikacji oraz jasne określenie, kto odpowiada za ich przygotowanie. Podobna zasada dotyczy bezpieczeństwa informacji. Jeżeli firma deklaruje, że chroni dane, powinna potrafić pokazać, jakie rozwiązania stosuje, jak zarządza dostępem, jak szkoli pracowników i jak reaguje na nieprawidłowości. Nie chodzi o mnożenie dokumentów ani tworzenie procedur tylko po to, żeby dobrze wyglądały podczas audytu. Chodzi o to, żeby organizacja rozumiała własne ryzyka i potrafiła wykazać, że podejmuje adekwatne działania. Ważne jest przy tym dopasowanie wymagań do wielkości, charakteru i rzeczywistych obowiązków przedsiębiorstwa. Nie każda firma potrzebuje tak samo rozbudowanego systemu. Każda powinna jednak wiedzieć, jakie ryzyka są dla niej istotne.
ESG nie powinno być osobnym projektem
Jeżeli odpowiedzialność środowiskowa, społeczna i organizacyjna funkcjonuje wyłącznie w ramach jednego projektu, łatwo traci kontakt z codziennymi decyzjami biznesowymi. Tymczasem jej znaczenie ujawnia się właśnie w sposobie projektowania procesów, wyborze dostawców, wdrażaniu technologii
i zarządzaniu zespołem. Dlatego warto łączyć działania ESG z istniejącymi mechanizmami zarządzania ryzykiem, bezpieczeństwem informacji i jakością. Pozwala to uniknąć dublowania obowiązków oraz lepiej wykorzystać dane i kompetencje, które organizacja już posiada. Odpowiedzialny biznes nie polega na tym, że firma nie popełnia błędów. Polega na tym, że potrafi rozpoznawać ryzyka, reagować na nie
i wyciągać wnioski.
Zaufanie buduje się w praktyce
Klienci, pracownicy i partnerzy biznesowi coraz częściej zwracają uwagę nie tylko na to,
co przedsiębiorstwo deklaruje, ale również na sposób, w jaki postępuje. Odpowiedzialność wymaga spójności między komunikacją a działaniem. Dlatego ESG warto traktować nie tylko jako obszar raportowania, lecz także jako okazję do sprawdzenia, czy organizacja rzeczywiście działa w sposób przejrzysty i odpowiedzialny. Ochrona danych, zarządzanie ryzykiem i jasne zasady podejmowania decyzji nie zastąpią wszystkich działań związanych z ESG, ale są ważnymi elementami dojrzałego zarządzania. Wiarygodność firmy nie wynika wyłącznie z tego, co mówi o sobie na zewnątrz. Wynika przede wszystkim z tego, jak działa wtedy, gdy nikt nie patrzy jej na ręce.
Karolina Praszek-Gołębiewska – Dyrektor Zarządzający, CEO, Prawnik, Specjalista w dziedzinie ochrony danych osobowych, audytor Norm ISO 9001 i 27001. Wykładowca akademicki studiów podyplomowych SGGW – „Inspektor Ochrony Danych”.
Z bezpieczeństwem informacji związana od ponad 10 lat. Posiada duże doświadczenie we współpracy z klientami m.in. z sektora ochrony zdrowia, IT, sektora publicznego. W swojej działalności zajmuje się prawnymi aspektami bezpieczeństwa informacji,
w tym realizacją projektów, audytami, szkoleniami oraz bieżącym wsparciem Klienta. Szczególny obszar zainteresowania poświęca analizie rozwoju nowoczesnych technologii i jego wpływu na faktyczny i prawny poziom ochrony danych osobowych. Prelegent na wielu konferencjach poświęconych bezpieczeństwu informacji i ochronie danych osobowych. W Kancelarii Bezpieczeństwa Karolina Praszek jako Dyrektor Zarządzający/CEO nadzoruje zapewnienie wysokiej jakości świadczonych usług, buduje trwałe relacje handlowe, wspiera potencjalnych klientów w wyborze usług dostosowanych do potrzeb i wymagań
w zakresie efektywnego zarządzania bezpieczeństwem informacji.
