Usluge
Razumevanje stvarnosti je ključno za sve poslovne subjekte jer im omogućava da usmere resurse u željenim pravcima kako bi ostvarili planirane poslovne rezultate. Međutim, doba u kom sada egzistiraju je postalo znatno složenije, a time za subjekte poslovanja znatno izazovnije. Stvarnost je postala višedimenzionalna, sledstveno tome zahtevnija za sagledavanje pre odlučivanja i planiranja.
Odabrani put za ostvarivanje željenih poslovnih rezultata, polako ali sigurno postaje nezamisliv bez sagledavanja učinaka aktivnosti poslovnih subjekata i resursnog angažovanja prilikom realizacije istog. Odgovor na to je ESG (Environmental, Social & Governance), skup standarda koji omogućavaju poslovnim subjektima da svoje korporativne politike usmeravaju u pravcima oblasti zaštite životne sredine, društvene odgovornosti i korporativnog upravljanja. Time bi poslovni subjekti uskladili svoje funkcionisanje sa konceptima održivog razvoja.
U Srbiji, važeći Zakon o računovodstvu je uveo kao obavezu nefinansijsko izveštavanje za poslovne subjekte koje imaju 500 zaposlenih. Prema članu 37, nefinansijski izveštaj sadrži informacije neophodne za razumevanje razvoja, poslovnih rezultata i položaja pravnog lica, kao i rezultata njegovih aktivnosti koje se odnose minimum na zaštitu životne sredine, socijalna i kadrovska pitanja, poštovanje ljudskih prava, borbu protiv korupcije i pitanja u vezi sa podmićivanjem. Nefinansijski izveštaj treba da sadrži sledeće elemente:
- kratak opis poslovnog modela pravnog lica;
- opis politika pravnog lica u vezi sa tim pitanjima, uključujući postupke osnovne analize koja se sprovodi;
- rezultate tih mera;
- osnovne rizike povezane sa tim pitanjima koji se odnose na poslovanje pravnog lica, uključujući, kad je to relevantno i nužno, njegove poslovne odnose, proizvode ili usluge koji mogu prouzrokovati negativne rezultate na tim područjima, kao i način na koji pravno lice upravlja tim rizicima;
- nefinansijske ključne pokazatelje uspešnosti važne za određeno poslovanje.
Ekonomski uticaji, uticaju na životnu sredinu, društveni uticaji se smeštaju u institucionalni okvir upravljanja, čime se poslovni subjekti pripremaju za delovanje u pravnom okruženju, ali što je još značajnije za dobru poslovna praksu. Razlog je jednostavan, ovo su značajna pitanja koja će itekako oblikovati tržišta kapitala i kredita.
Shodno tome, ESG kao deo poslovnih strategija, polako ali sigurno će postajati neophodnost za sve poslovne subjekte jer će biti neizostavan važan faktor izgradnje dugoročnog i održivog poslovnog uspeha. Sa druge strane, izostanak nefinansijskog izveštavanja će smanjivati mogućnosti zaduživanja poslovnih subjekata na tržištima kapitala ili u nekim slučajevima čak i obustavljanja finansiranja zbog nemogućnosti sagledavanja poslovnih aktivnosti koje su štetne po životnu sredinu i/ili zdravlje i živote ljudi.
Zakonske obaveze će rasti, jer će regulator dodatno osnaživati postojeću regulativu, a funkcionisanje u međunarodnim tokovima i poslovanje na poželjnim tržištima će uslovljeno upravo jasnim pregledom delovanja poslovnih subjekata i njihovim učincima u navedenim oblastima. Upravo zbog svega navedenog, pravi je trenutak da se odlučite za ESG. Global Standards Consortium će vam pomoći da implementirate ESG i time suočite sa izazovima koje novo vreme pred vama, sasvim izvesno donosi.
COBIT (Control Objectives for Information and Related Technologies) je okvir kreiran od strane ISACA-e za upravljanje informacionim tehnologijama (IT).
Okvir definiše skup generičkih procesa za upravljanje sa IT, pri čemu je svaki proces definisan zajedno sa ulaznim i izlaznim procesima, ključnim procesnim aktivnostima, ciljevima procesa, merama performansi i modelom elementarne zrelosti.
COBIT je povezan sa ISO/IEC 27000, ITIL, CMMI, COSO, BiSL, TOGAF i PMBOK.
COBIT komponente:
- Okvir: Organizuje ciljeve i dobre prakse upravljanja sa IT od strane IT domena i procesa i povezuje ih sa poslovnim zahtevima;
- Opisi procesa: Referentni model procesa i zajednički jezik za sve u organizaciji. Procesi se mapiraju na područja odgovornosti za planiranje, izgradnju, pokretanje i nadzor;
- Ciljevi kontrole: Obezbeđuje kompletan skup zahteva na visokom nivou koje menadžment treba razmotriti radi efikasne kontrole svakog IT procesa;
- Smernice za upravljanje: Pomaže u dodeli odgovornosti, dogovaranju ciljeva, merenju performansi i ilustriranju međusobne povezanosti sa drugim procesima;
- Modeli zrelosti: Procenjuje se zrelost i sposobnost po procesu i pomaže u otklanjanju nedostataka;
Standard za sigurnost podataka na platnim karticama (PCI DSS) je skup sigurnosnih standarda koje su 2004. godine formirali Visa, MasterCard, Discover Financial Services, JCB International i American Express. Šema usklađenosti koja je regulisano od strane Security Standards Council (PCI SSC), ima za cilj osigurati transakcije kreditnim i debitnim karticama od krađe podataka i prevara.
PCI DSS nivo usklađenosti
Usklađenost sa PCI-DSS podeljena je u 4. nivoa, na osnovu godišnjeg broja transakcija kreditnim ili debitnim karticama koje poslovni procesi obavljaju. Nivo klasifikacije određuje šta organizacija treba da uradi da bi ostvarila usklađenost.
Nivo 1: Odnosi se na trgovce koji godišnje obrađuju više od šest miliona transakcija sa kreditnim ili debitnim karticama. Sprovode ih ovlašćeni revizori PCI-DSS-a i oni moraju proći interni audit jednom godišnje. Pored toga, jednom kvartalno moraju se podvrgnuti PCI skeniranju od strane odobrenog dobavljača za skeniranje (ASV);
Nivo 2: Primenjuje se na trgovce koji obrađuju između jednog i šest miliona transakcija kreditnim ili debitnim karticama godišnje. Od njih se zahteva da sprovode procenu jednom godišnje korišćenjem Upitnika za samoprocenu (SAQ). Pored toga, može biti potrebno i kvartalno PCI-DSS skeniranje od strane odobrenog dobavljača za skeniranje (ASV);
Nivo 3: Odnosi se na trgovce koji obrađuju između 20.000 i milion transakcija godišnje. Oni moraju da urade godišnju procenu koristeći relevantni SAK. Takođe će biti potrebno tromesečno skeniranje PCI-DSS-a;
Nivo 4: Primenjuje se na trgovce koji obrađuju manje od 20.000 transakcija e-trgovine godišnje ili na one koji obrađuju do milion transakcija. Godišnja procjena pomoću odgovarajućeg SAQ-a mora se izvršiti i možda će biti potrebno tromesečno skeniranje PCI-DSS-a od strane odobrenog dobavljača za skeniranje (ASV).
PCI DSS zahtevi
PCI SSC je izneo 12 zahteva za rukovanje podacima vlasnika kartica i održavanje bezbedne mreže. Podeljeni između šest širih ciljeva, svi su neophodni da bi organizacija postala usaglašena.
1. Konfiguracija zaštitnog zida mora biti instalirana i održavana;
2. Sistemske lozinke moraju biti originalne (ne isporučuju se od dobavljača);
Bezbedni podaci vlasnika kartica
3. Sačuvani podaci vlasnika kartica moraju biti zaštićeni;
4. Prenos podataka vlasnika kartice preko javnih mreža moraja biti kriptovan;
Upravljanje ranjivošću
5. Antivirusni softver se mora koristiti i redovno ažurirati;
6. Bezbednost sistemia i aplikacija mora se razvijati i održavati;
Kontrola pristupa
7. Pristup podacima vlasnika kartice mora biti ograničen na osnovu poslovnih potreba;
8. Svakoj osobi sa pristupom računaru mora se dodeliti jedinstveni ID;
9. Fizički pristup podacima vlasnika kartice mora biti ograničen;
Nadgledanje i testiranje mreže
10. Pristup podacima vlasnika kartice i mrežnim resursima mora se pratiti i nadgledati ;
11. Bezbednost sistema i procesa mora se redovno testirati;
Bezbednost informacija
12. Mora se održavati politika bezbednosti informacija.
Nacionalni institut za standarde i tehnologiju (engl. National Institute of Standards and Technology, NIST) je glavna metrološka ustanova u SAD, odnosno istraživačka agencija koja deluje u okviru federalnog Ministarstva trgovine. Osnovana je 1901. pod imenom Nacionalni biro za standarde (engl. National Bureau of Standards, NBS), a današnji naziv je dobila 1988. U njoj trenutno radi oko 2900 naučnika, istraživača, tehničara i pomoćnog osoblja.
NIST 800-53 r4 - Kontrola bezbednosti i privatnosti za federalne informacione sisteme i organizacije
Katalog kontrola za bezbednost i privatnost za sve federalne informacione sisteme SAD-a, osim onih koji se odnose na nacionalnu bezbednost. Izdaje ga Nacionalni institut za standarde i tehnologiju, koji je neregulativna agencija Ministarstva trgovine Sjedinjenih Američkih Država.
NIST 800-171 - Zaštita kontrolisanih neklasifikovanih informacija u nefederalnim informacionim sistemima i organizacijama
Zaštita kontrolisanih neklasifikovanih informacija (CUI) tokom boravka u nefederalnim informacionim sistemima i organizacijama je od presudnog značaja za federalne agencije i može direktno uticati na sposobnost federalne vlade da uspešno obavlja svoje zadate misije i poslovne operacije.
Cybersecurity Framework v1.1 - Okvir za poboljšanje kritične bezbednosne infrastrukture
Sjedinjene Američke Države zavise od pouzdanog funkcionisanja kritične infrastrukture. Sajber bezbednosne pretnje koriste povećanu složenost i povezanost kritičnih infrastrukturnih sistema, stavljajući u pitanje bezbednost, ekonomiju i javnu bezbednost i zdravlje. Slično finansijskim i reputacijskim rizicima, rizik od sajber-bezbednosti utiče na poslovanje kompanija. Može povećati troškove i uticati na prihode. To može naštetiti sposobnosti organizacije za inoviranje i pridobijanje i održavanje klijenata. Sajber-sigurnost može biti važna i pojačavajući sastavni deo ukupnog upravljanja rizikom organizacije.
EU-U.S. i Swiss-U.S. Privacy Shield dizajnirali su Sjedinjene Američke Države. Ovaj okvir predstavlja garanciju organizacijama u Sjedinjenim Američkim Državama i njihovim partnerima u Evropi da su njihovi lični podaci zaštićeni na oba kontinenta.
Privacy Shield pruža brojne važne prednosti američkim organizacijama, kao i njihovim partnerima u Evropi.
Benefiti za organizacije su:
- Smatra se da organizacije koje su usaglašene sa Privacy Shield pružaju „adekvatnu“ zaštitu privatnosti, uslov (podložan ograničenim odstupanjima) za prenos ličnih podataka izvan Evropske unije prema Opštoj uredbi o zaštiti podataka (GDPR) i izvan Švajcarske u skladu sa švajcarskim zakonom o zaštiti podataka;
- Nije potreban zahtev država članica EU za prethodno odobrenje prenosa podataka ili će odobrenje biti automatski dodeljeno; i
- Uslovi za usaglašavanje su jasno postavljeni i ekonomični, što bi posebno trebalo da koristi malim i srednjim preduzećima.
