● Защита информационных активов во взаимосвязанном мире. В нашем все более взаимосвязанном мире безопасность и сохранность информационных активов часто зависит от поставщиков услуг за пределами организации, таких как поставщики облачных систем хранения и обработки данных. Это затрудняет непосредственный контроль защиты информационных активов со стороны совета директоров. Надлежащий надзор за управлением данными (data governance) – ключевая область, требующая пристального внимания.

● Конфиденциальность данных. Широкие обсуждения скандалов, связанных с утечками персональных данных в сети, подчеркивают растущую осведомленность общественности и политиков об информационных рисках. Недостатки корпоративного управления персональными данными вызывают справедливую критику и могут оказать влияние на бизнес-результаты.

Потенциал и риски современной информационной среды должны быть хорошо сбалансированы, что тем самым будет стимулировать инновации. Возрастающая сложность управления операционными рисками, обеспечения нормативно-правового соответствия и безопасности данных, повышения эффективности бизнес-процессов и качества обслуживания клиентов требует от совета директоров лидерства и выработки общего видения.

7.6. Управление корпоративной информацией: сегодняшняя повестка дня для совета директоров

Приведем пункты «Сегодняшней повестки дня для совета директоров», сформулированные с учетом отмеченных факторов[317],[318].

Совет директоров должен убедиться в том, что его собственная деятельность осуществляется таким образом, что члены совета:

● уверены в том, что информация, которую они используют для разработки стратегии и принятия решений, достаточна и необходима для их целей;

● имеют возможность получать доступ и запрашивать всю информацию и подтверждающие данные, необходимые в качестве основы для их решений, и уверены, что эта информация предоставляется объективно;

● уверены в том, что практика использования ими информации, как на коллективном, так и на индивидуальном уровне соответствует применимым законам, нормативным актам и признанным этическим стандартам (национальным и международным);

● решительно настроены поддерживать осведомленность о новых разработках в области управления информацией, ресурсах и инструментах. Этого можно достичь, возложив ответственность за управление информацией на конкретного директора или старшего менеджера, который отчитывается об управлении информацией непосредственно на уровне совета.

Если приведенные выше принципы соблюдаются в работе совета директоров, то это естественным образом обусловливает его ответственность за стратегию и политику в области работы с информацией.

1. Совету нужно выработать информационно-центричное видение бизнеса. Для реализации такого видения ему необходимо обеспечить разработку и регулярный пересмотр стратегии организации в области работы с информацией (information strategy). Стратегия должна быть направлена на увеличение ценности, которую можно извлечь из корпоративных информационных активов и направить на поддержание текущей и будущей бизнес-стратегии. Она откроет для организации новые возможности, основанные на использовании данных, и будет способствовать капитализации разработок в информационной среде. Сегодня компаниям необходимо быть среди лидеров. Анализ данных должен предупреждать о конкурентных угрозах и выявлять потенциальные направления роста и инновационной деятельности.

2. Совету необходимо рассмотреть и принять политику в области работы с информацией (information policy), охватывающую все аспекты управления ею, критически важные для деятельности организации.

– Идентификация. Организация должна уметь идентифицировать информационные активы и проводить различие между теми, что представляют ценность и важность, и теми, что этого не делают. Совету директоров следует отдавать себе отчет в том, что ценность информации может меняться по мере того, как меняется бизнес-среда.

– Ценность. Политика должна способствовать выявлению возможностей получения организацией выгоды (за счет правовой защиты, лицензирования, повторного использования, объединения, публикации или приобретения информационных активов).

– Руководство данными (data governance)[319]. Политика работы с информацией должна включать частные политики (и предусматривать внедрение соответствующих процедур), направленные на надлежащее (в соответствии с применимыми правовыми, нормативными, операционными и этическими нормами и стандартами) использование информации. Cюда же относится и контроль за соблюдением требований по защите информации (включая информацию, принадлежащую другим лицам) от кражи, потери, несанкционированного доступа, злоупотреблений и неправильного использования.