Poslovno politična logika razumevanja organizacijske (korporativne) varnosti ali neodgovornost

Uvod

Organizacijska (korporativna) varnost je v zadnjem desetletju pridobila na pomenu zaradi naraščajočih groženj in zahtev regulative. Poleg klasične fizično tehnične varnosti morajo organizacije danes obvladovati tudi kibernetsko varnost in tovrstna tveganja, zaščito osebnih podatkov in informacij ter zagotavljati neprekinjeno poslovanje. Številne mednarodne študije in standardi (npr. ISO 27001) poudarjajo, da mora varnostna funkcija delovati strateško in biti povezana s poslovnimi cilji organizacije. Organizacijska (korporativna) varnost je eno najbolj pomembnih področij v organizacijah oziroma institucijah, saj brez ustrezne celovite varnosti ljudi in premoženja, poslovnih procesov, informacij in podatkov, ne morejo brez motenj delovati ostale poslovne funkcije. Pri tem je prav tako pomembno zavedanje, da varnost organizacije pomeni tudi varnost njenih predstavnikov izven fizičnega okolja organizacije, kot so službene in druge poti. Pri vsem pa ne smemo mimo tega, da varnost ni ogrožena samo takrat, ko se ljudje počutijo ogrožene in ko nastane škoda, temveč tudi takrat, ko se pokažejo šibke točke, da je mogoče izvesti določene aktivnosti, ki bi oslabele varnost in delovanje organizacije. Varnost prav tako ni samo preprečevanje izgub in zagotavljanje varnega delovnega in poslovnega okolja, temveč ohranjanje ugleda organizacije v javnosti, pri poslovnih partnerjih, konkurentih na trgu itd. Prispevek izpostavlja, kako naj organizacije odgovorno razumejo varnostna tveganja in celovito pristopijo k uvajanju preventivnih načinov in rešitev, ter pri tem ne zanemarijo integriteto strokovnjakov za varnost.

Celostna organizacijska (korporativna) varnost, kot strateška funkcija v 21. stoletju

Organizacijska (korporativna) varnost se je v 21. stoletju uveljavila kot eno ključnih področij organizacijskega vodenja, saj celostno obravnava tako varnost pri delu, kot zaščito pred zunanjimi grožnjami (Boustras & Waring, 2020). Tradicionalno ločevanje med varnostjo (safety) in zaščito (security) se je izkazalo za neučinkovito, ker sodobne grožnje – kot so terorizem, kibernetski kriminal in podnebne spremembe – vplivajo tako na javno kot delovno okolje (Boustras & Waring, 2020). V odgovor na te kompleksne izzive organizacije vse pogosteje uvajajo pristope, ki temeljijo na oceni tveganj ter razvijajo sisteme upravljanja informacijske varnosti (ISMS) v skladu z mednarodnimi standardi, kot so ISO 31000 in serija standardov ISO/IEC 27000 (Varsos idr., 2020). Ti okviri organizacijam omogočajo obvladovanje zapletenih socio-tehničnih infrastruktur, ki vključujejo, tako fizične kot digitalne komponente. Napredek tehnologije pa je prinesel tudi povečano število in kompleksnost kibernetskih groženj, kar zahteva robustne, večnivojske varnostne strategije (Fakiha, 2021). Pri tem so priporočena orodja, kot je Security Information and Event Management (SIEM), ki omogočajo centraliziran vpogled v potencialne grožnje, hitro zaznavanje anomalij in učinkovitejši odziv (Fakiha, 2021). Kljub napredku in digitalni transformaciji pa nekateri vidiki organizacijske (korporativne) varnosti ostajajo podobni kot pred 30 leti, zlasti na področjih, kjer prevladuje reaktivni pristop ali kjer vodstva še vedno dojemajo varnost kot strošek, namesto investicijo (Stenning, 2017) v varnejše in stabilnejše poslovanje. V teh pogledih je organizacija in vrhnje vodstvo samo sebi največje tveganje.

Razlogi za nerazumevanje organizacijske (korporativne) varnosti

Do nerazumevanja pri organizacijski (korporativni) varnosti lahko pride zaradi številnih dejavnikov. Pomanjkanje učinkovitega sodelovanja med oblikovalci varnostnih politik in izvajalci ukrepov pogosto izvira iz uporabe različnega strokovnega jezika, kar lahko vodi v napačno interpretacijo pomena varnostnih politik (Fernandez idr., 2023). Jezikovne ovire so še posebej izrazite v kulturno in jezikovno raznolikih delovnih okoljih, kjer lahko vplivajo na jasnost komunikacije in razumevanje varnostnih navodil (Fiset, 2023). Poleg tega imajo pomembno vlogo percepcije notranjih deležnikov – zaposlenih/vodstva – glede varnostnih praks. To vključuje njihovo zavedanje groženj, poznavanje incidentov in varnostnih politik ter kakovost medosebnih odnosov znotraj organizacije (Choi idr., 2018). Takšni dejavniki neposredno vplivajo na uspeh strategij organizacijske (korporativne) varnosti. Pričakovanja potrošnikov glede prispevka organizacij k zagotavljanju varnosti lahko prav tako pomembno oblikujejo organizacijske (korporativne) varnostne strategije (Saáry idr., 2021). Organizacije, ki uspešno vključujejo vidik odgovornosti do kupcev in širše skupnosti, lažje gradijo zaupanje in ugled, kar dolgoročno prispeva k stabilnosti poslovanja. Za zmanjšanje teh izzivov bi morale organizacije vlagati v izboljšanje komunikacijskih procesov, kar vključuje:

• Redundantno komunikacijo – ključna sporočila je treba posredovati večkrat in po različnih kanalih.
• Konsistentno sporočanje – enaka vsebina, ne glede na uporabljeni medij.
• Vizualizacijo varnostnih politik – uporaba grafičnih orodij, infografik in vizualnih vodičev za lažje razumevanje.

Dodatno je priporočljivo spodbujati sistematično sodelovanje med oblikovalci politik in izvajalci ukrepov, da se prepreči semantično razhajanje med načrtovanimi cilji in izvedbo. Upoštevanje perspektive zaposlenih in potrošnikov omogoča razvoj celovitejših in odpornejših varnostnih praks, ki bolje odgovarjajo dejanskim tveganjem in družbenim pričakovanjem. Običajno je tako, da se pogledi strokovnjakov za varnost pogosto razhajajo s poslovno politični logiki razumevanja varnosti vrhnjega vodstva, ki gleda iz neke svoje perspektive. Pri tem se tudi dogaja, da so tovrstni pogledi vodstva zaradi vplivov iz ozadja koruptivno namenski, za kar morajo poskrbeti ustrezni nadzorni mehanizmi in organi pregona. V primeru, ko strokovnjaki za varnost na operativnem nivoju nimajo dostopa do vrhnjega vodstva z integriteto, informacije pogosto ostanejo v ozkem grlu.  Razlogi zakaj je temu tako so naslenji:

• Nerazumevanje varnosti in pomembnosti področja.
• Osebe v vodstvu niso kos svoji managerski funkciji, kjer je potreben širši in celovit pogled razumevanja poslovanja.
• V ozadju vodenja in poslovanja obstajajo skriti in nepošteni razlogi za nerazumevanje varnosti.
• Razume se, da je zagotavljanje varnosti strošek, čeprav je preventiva cenejša kot kurativa.
• Statistika je zavajujoča, če resnih varnostnih incidentov še ni bilo, ne pomeni, da jih nikoli ne bo.
• Predsednik uprave, direktor, predstojnik nima posluha za varnost, zato se ne želi s tem področjem ukvarjati. Ker da to jasno vedeti, ga s tem področjem nihče ne želi obremenjevati.
• Ne želi se obremenjevati vodstva, ker bi izgledalo, da oseba pod katero spada področje varnosti ni sposobna poskrbeti za varnost in, da ne bo varnostnih incidentov. Pri tem je pomembno, da na površju izgleda stanje varno in zdravo. Kaj je globlje se pokaže ob prvem resnem incidentu, ko pa je pogosto že prepozno.

Kljub temu je odgovornost vodstva, če nastavi nekompetentne področne vodje, ki so izko grlo. Poslovno politična logika razumevanja varnosti pa se zelo hitro spremeni, ko se zgodi kaj hudega (poškobe, smrt, kriminalna dejanja, omajen ugled organizacije zaradi neprofesionalnega pristopa k zagotavljanju varnosti, itd) in potem se čez noč sprejema nepremišljene ukrepe. Eden od pogostih izzivov je, da vodstva organizacij varnost ne dojemajo kot strateško nujnost, ampak kot strošek ali zalogo. Raziskave kažejo, da brez učinkovite komunikacije in kvantifikacije tveganj v poslovnih kategorijah podjetja težko ocenijo vrednost varnosti (Rasheed, 2023) (ASIS International, 2022)

Slovenskim menedžerjem pogosto manjkajo formalna znanja o sodobnih grožnjah in dojemajo varnost preko klasičnih okvirjev, kar vodi v podcenjevanje tveganj in zamujene priložnosti za rast. Dobre prakse iz ZDA poudarjajo, da varnostni strokovnjaki prevzemejo vlogo svetovalcev vodstvu: s kazalci varnostnih tveganj izraženih v denarju (ROI) lahko lažje zagotovijo podporo execs (Rasheed, 2023). Lahko bi celo rekli, da je v državah, kjer imajo celovito razvit varnostni sistem na državni ravni, le ta razvit tudi na nižjih nivojih in zato tudi v organizacijah. Gre namreč za razumevanje pomena varnosti in varnostne kulture.

Varnostne funkcije v eni službi

Zagotavljanje organizacijske (korporativne) varnosti ne more biti ustrezno vzpostavljeno in zagotovljeno, če vse varnostne funkcije niso umeščene v eno strokovno službo, ki je neposredno odgovorna vrhnjem vodstvu. Vsi ostali modeli delovanja imajo preveč pomanjkljivosti, ki lahko zelo ovirajo učinkovito delovanje organizacijske (korporativne) varnosti in s tem zmanjšujejo varnost organizacije, ugled in učinkovitost njenih poslovnih procesov. Zato je zelo pomemben element organizacijskega modela in delovanja varnosti, kje v strukturi organizacije je umeščen varnostni management. V Sloveniji je položaj varnostne funkcije raznolik, čeprav se trendi v praksi spreminjajo. Je pa v največji meri tako, da so varnostne funkcije razdeljene med več služb ali oddelkov brez centralnega vodenja in usklajevanja, kar ima zelo veliko pomanjkljivosti.

Odgovornost vodstva

Nedavne raziskave poudarjajo, da se narava organizacijskega upravljanja varnosti hitro spreminja in vse tesneje povezuje z načeli širšega korporativnega upravljanja. Pristopi ocenjevanja tveganj se vse bolj usmerjajo v analitične metode, ki temeljijo na podatkovno podprtih ocenah in vključujejo elemente korporativnega upravljanja, kar omogoča strateško porazdelitev virov in bolj usklajeno odločanje (Heyerdahl, 2023). Zanimiv filozofski pogled ponuja Bruegger, ki trdi, da bi morala biti ena od primarnih odgovornosti korporativnih menedžerjev »iskanje Boga« – kar v poslovnem kontekstu pomeni globoko refleksijo o vlogi in poslanstvu podjetja kot samostojnega subjekta (Bruegger, 2023). Tak pristop bi lahko odprl nove poglede na usmerjenost menedžmenta, vloge deležnikov, lastništvo in ustvarjanje vrednosti, pri čemer bi moral upravljalni proces bolj celostno vključevati etične in družbene dimenzije varnosti. Skupno te raziskave potrjujejo, da je organizacijsko upravljanje varnosti večplastno področje, ki presega zgolj tehnično zaščito in zahteva integracijo z drugimi ključnimi upravljavskimi odgovornostmi, od strateškega vodenja do etičnega in družbeno odgovornega delovanja.

Poslovno politična logika razumevanja varnosti, ki temelji na tem, da če se (še) ni nikoli nič hudega zgodilo, se tudi v bodoče ne more. Doktrina, ki izhaja na tovrstnih temeljih in predpostavkah in če se jo poslužuje vodstvo in odgovorni za varnost na strateško taktičnem nivoju je lahko zelo nevarna in slabi varnostno politiko in kulturo organizacije. S tem pa se tudi povečujejo tveganja za varnost zaposlenih in organizacije ter njenih poslovnih procesov kot celote. Če strokovnjaki ne vedo, kako morajo (po)skrbeti za celovito varnost v organizaciji je prva težava. Še večja pa je težava, če strokovnjaki vedo, nimajo pa sogovornikov pri odgovornih. V tem primeru bo bolj kot ne začelo prihajati do tega, da se bodo strokovnjaki bolj fokusirali na morebitno zaščito svoje odgovornosti in na shranjevanje dokumentov, s katerimi bodo zaščitili svojo strokovno integriteto v primeru, da bi prišlo do incidenta in napada na organizacijo. Tukaj je mišljeno, da so opozarjali na neustrezno delovanje varnostnih funkcij. Takrat bo strokovna in laična javnost neizprosna, še posebej, če gre za pomembne organizacije ali institucije v državi. Cilj je torej vzpostaviti kulturo, v kateri vrhnje vodstvo razume, da sta varnost in tveganja del poslovnega odločanja. Kot je povzel Security Executive Council, mora varnostna funkcija komunicirati z direktorji v jeziku tveganj, kjer »višje vodstvo in poslovne enote nosijo odgovornost za tveganja«, medtem ko varnost ponuja možnosti obvladovanja (SEC, 2024).

Zaključek

Celostna varnostna kultura zahteva, da se najboljše tuje prakse prilagodijo slovenskim razmeram in standardom. Hkrati morata zakonodaja in nacionalne strategije nuditi oporo in nadzor, ne pa biti zgolj “birokratsko breme”. Razširjeni pristop k varnosti v Sloveniji se razvija od reaktivnega urejanja novic (po incidentu) k proaktivnemu strateškemu upravljanju, ki upošteva tako mednarodne smernice, kot domače posebnosti. Seveda ni vse idealno. Tudi v tujini obstaja razlika med državami in organizacijami glede organizacijske (korporativne) varnosti. Rešitve so v smeri, da morajo biti strokovnjakom za varnost omogočeni redni sestanki pri vrhnjem vodstvu ali lastnikih in da jih pri tem ne ovirajo vmesni birokrati oziroma zaviralci razvoja organizacijske (korporativne) varnosti. Tovrstni pristop mora biti sistemsko urejen, da se razumevanje varnosti ne prepušča birokratom, ki prihajajo na vrh v mandatih in se vizije varnosti menjajo z njihovimi pogledi oziroma pogledi njihovih svetovalcev brez integritete. Eno je sicer gospodarska dejavnost in pogledi lastnikov, drugo je če gre za državne sisteme in organizacije v državni lasti, kjer lahko nastaja nepopravljiva materialna in poslovna škoda, tudi ugleda. Pri tem pa je zelo pomembno, da se z organizacijsko (korporativno) varnostjo ukvarjajo ljudje in strokovnjaki z integriteto, ki jih ne bremeni kriminalna preteklost, ki je bila uspešno pometena pod preprogo in ni bila sistemsko obravnavana. Le tako se bomo lahko soočili s pošteno organizacijsko (korporativno) varnostjo, ki zaradi nepoštenih strokovnjakov ne bo na slabem glasu.

Avtorja: prof. dr. Andrej Raspor, Andrej Kovačič

Viri in literatura

1. ASIS International. (2022, avgust 1). How to be Successful in Corporate Security Management. https://www.asisonline.org/security-management-magazine/monthly-issues/security-technology/archive/2022/august/How-to-be-Successful-in-Corporate-Security-Management/
2. Banciu, D., Vevera, A. V., & Popa, I. (2023). Digital Transformation Impact on Organization Management and Several Necessary Protective Actions. Studies in Informatics and Control, 32(1), 49–56. https://doi.org/10.24846/V32I1Y202305
3. Boustras, G., & Waring, A. (2020). Towards a reconceptualization of safety and security, their interactions, and policy requirements in a 21st century context. V Safety Science (Let. 132). https://doi.org/10.1016/j.ssci.2020.104942
4. Bradatsch, L., & Kargl, F. (2024). Integration of Security Service Functions Into Network-Level Access Control. IEEE Access.
5. Bruegger, T. (2023). Management’s First Responsibility**. Management Revue, 34(2). https://doi.org/10.5771/0935-9915-2023-2-146
6. CISA. (2025). Shields Up: Guidance for Corporate Leaders and CEOs . https://www.cisa.gov/shields-guidance-corporate-leaders-and-ceos
7. ENISA. (2021). GUIDELINE ON SECURITY MEASURES UNDER THE EECC. https://www.enisa.europa.eu/sites/default/files/publications/ENISA – Guideline on Security Measures under the EECC- 4th edition.pdf#:~:text= ISO 27005%3A2018%2C a standard,Security domains Addressed in Details
8. Fernandez, R., Cheng, P. C. H., Nhlabatsi, A., Khan, K. M., & Fetais, N. (2023). Effective Collaboration in the Management of Access Control Policies: A Survey of Tools. V IEEE Access (Let. 11, str. 13929–13947). https://doi.org/10.1109/ACCESS.2023.3242863
9. Fiset, J. (2023). Is this all just a language-related misunderstanding? Acta Psychologica, 241. https://doi.org/10.1016/j.actpsy.2023.104097
10. Heyerdahl, A. (2023). From prescriptive rules to responsible organisations–making sense of risk in protective security management–a study from Norway. European Security, 32(1), 147–169. https://doi.org/10.1080/09662839.2022.2070006
11. Luo, J. L., Yu, S. Z., & Peng, S. J. (2020). SDN/NFV-Based Security Service Function Tree for Cloud. IEEE Access, 8, 38538–38545. https://doi.org/10.1109/ACCESS.2020.2974569
12. Saáry, R., Csiszárik-Kocsir, Á., & Varga, J. (2021). Examination of the consumers’ expectations regarding company’s contribution to ontological security. Sustainability (Switzerland), 13(17). https://doi.org/10.3390/su13179987
13. SEC. (2024). What Is Corporate Security? https://securityexecutivecouncil.com/insight/corporate-security-career/what-is-corporate-security-2097
14. Shameli-Sendi, A., Jarraya, Y., Pourzandi, M., & Cheriet, M. (2016). Efficient Provisioning of Security Service Function Chaining Using Network Security Defense Patterns. IEEE Transactions on Services Computing, 12(4), 534–549. https://doi.org/10.1109/tsc.2016.2616867
15. Stenning, P. (2017). Corporate security in the 21st century: theory and practice in international perspective. Policing and Society, 27(2), 248–250. https://doi.org/10.1080/10439463.2016.1266146
16. Ludbey, R., C., Brooks, J., D., Coole, P., M. (2018). Corporate Security: Identifying and Understanding the Levels of Security Work in an Organisation, Jianhong, L. (ur.), Asian Journal of Criminology, (str. 109-128).
17. Kovačič, A., Štefanič, K., (2024), http://www.varensvet.si/organizacijska-varnost/

Prispevek je bil objavljen v reviji Nacionalna varnost 2025.

Uvodna foto: Pixabay