Należyta staranność zarządu w praktyce – odpowiedzialność, dokumentacja i nowe obowiązki compliance
Pełnienie funkcji członka zarządu coraz rzadziej sprowadza się wyłącznie do podejmowania trafnych decyzji biznesowych. Kluczowe znaczenie ma przy tym właściwe rozumienie należytej staranności zarządu. Nie wystarczy bowiem powierzyć określonych obowiązków pracownikom, działowi IT, księgowości, czy zewnętrznym doradcom. Istotne jest to, czy zarząd potrafi wykazać, że decyzje były podejmowane na podstawie adekwatnych informacji, analiz, rekomendacji ekspertów i realnej oceny ryzyka.
Protokoły posiedzeń, uchwały, raporty z audytów, opinie doradców, potwierdzenia szkoleń i dokumentacja wdrożenia zaleceń nie są zbędną biurokracją – w razie kontroli, incydentu lub sporu mogą stać się podstawowym dowodem, że osoby zarządzające działały z należytą starannością i w granicach uzasadnionego ryzyka gospodarczego. Szczególne znaczenie mają dziś regulacje dotyczące cyberbezpieczeństwa i zrównoważonego rozwoju. Dyrektywa NIS2 wzmacnia rolę organów zarządzających w zatwierdzaniu i nadzorowaniu środków zarządzania ryzykiem cyberbezpieczeństwa.
Członkowie zarządu muszą zapewnić funkcjonowanie skutecznego systemu nadzoru, raportowania i reakcji na incydenty. Podobnie obowiązki ESG, choć formalnie dotyczą określonych kategorii podmiotów, coraz częściej wpływają również na ich kontrahentów, dostawców i partnerów biznesowych, od których oczekuje się potwierdzenia odpowiednich standardów compliance.
Jak brak dokumentacji utrudnia wykazanie należytej staranności
Dlaczego warto się tym zainteresować – case study KR Group:
- Zarząd spółki postrzegał ochronę systemów IT jako zadanie techniczne.
- Nie prowadzono regularnych audytów ryzyka na poziomie zarządczym, nie zatwierdzano protokolarnie kluczowych środków bezpieczeństwa, a procedura reagowania na incydenty była nieaktualna.
- Po ataku ransomware doszło do czasowego paraliżu systemów oraz naruszenia poufności części danych.
- Spółka musiała jednocześnie prowadzić działania naprawcze, analizować obowiązki wynikające z przepisów o ochronie danych osobowych i komunikować się z kontrahentami.
- Największą trudnością okazał się brak dokumentacji potwierdzającej, że ryzyka były systematycznie analizowane, zabezpieczenia zatwierdzane na właściwym poziomie, a pracownicy przygotowani do działania w sytuacji kryzysowej.
- Wykazanie należytej staranności w toku postępowania stało się przez to znacznie trudniejsze niż byłoby przy prawidłowo prowadzonej dokumentacji zarządczej.
Kiedy warto zweryfikować procedury compliance, cyberbezpieczeństwa i ESG
Jeżeli Państwa organizacja nie weryfikowała dotąd procedur compliance, cyberbezpieczeństwa, ESG lub sposobu dokumentowania decyzji zarządczych, warto rozważyć audyt odpowiedzialności zarządczej. Pozwala on uporządkować procesy, które w razie kontroli, incydentu lub sporu mogą mieć kluczowe znaczenie dla bezpieczeństwa spółki i osób nią zarządzających.
