Publicly Disclosed Corporate Security Governance in Critical-Service Firms: Accountability Structures and Disclosure-Specificity Signals

आधुनिक दुनिया में, कुछ कंपनियाँ एक अनूठा स्थान रखती हैं: वे उन आवश्यक प्रणालियों को चलाती हैं जो समाज को गतिशील बनाए रखती हैं। ये वे फर्में हैं जो हमारी रोशनी जलाती हैं, हमारी ट्रेनों को चलाती हैं, हमारे डिजिटल नेटवर्क को जोड़ती हैं, और धन के प्रवाह का प्रबंधन करती हैं। क्योंकि उनका कार्य इतना महत्वपूर्ण है, सरकारें और जनता उनसे सुरक्षित, लचीली और संकट के लिए तैयार रहने की अपेक्षा करते हैं। यह सुनिश्चित करने के लिए, इन कंपनियों से अनुरोध किया जाता है कि वे जोखिमों का सावधानीपूर्वक प्रबंधन करें और जनता को बताएं कि वे इसे कैसे कर रही हैं। इस सार्वजनिक बताने की प्रक्रिया को 'डिस्क्लोजर' (प्रकटीकरण) कहा जाता है। यह वह कार्य है जिसमें एक कंपनी लिखती है कि वह क्या करने की योजना बना रही है, जिम्मेदारी किसकी है, और वे अपने काम की जाँच कैसे करते हैं। हालाँकि, एक योजना लिखने और वास्तव में उसका पालन करने के बीच एक महत्वपूर्ण अंतर है। एक कंपनी सुरक्षा के बारे में एक विस्तृत दस्तावेज़ प्रकाशित कर सकती है बिना किसी सुरक्षित प्रणाली के, ठीक वैसे ही जैसे कोई व्यक्ति जिम में कदम रखे बिना व्यायाम करने का वादा लिख सकता है। बाहरी पर्यवेक्षकों के लिए चुनौती यह है कि वे इन कंपनियों के भीतर जाकर वास्तविक मशीनरी को नहीं देख सकते। वे केवल उन्हीं दस्तावेजों को पढ़ सकते हैं जिन्हें कंपनियाँ साझा करने के लिए चुनती हैं। यह एक ऐसी खाई पैदा करता है जो कहे गए और किए गए के बीच होती है, एक ऐसी खाई जिसे शोधकर्ताओं को कॉर्पोरेट सुरक्षा की वास्तविक स्थिति को समझने के लिए सावधानीपूर्वक नेविगेट करना पड़ता है।

ईकोले नेशनल सुपिरियर डेस माइन्स डी पेरिस के एक शोधकर्ता करीम हार्डी द्वारा किए गए एक हालिया अध्ययन ने यह मानचित्रित करने का प्रयास किया कि ये आवश्यक कंपनियाँ अपनी सार्वजनिक रिपोर्टों में वास्तव में क्या कह रही हैं। अध्ययन ने यूरोप की उन चौबीस सूचीबद्ध कंपनियों पर ध्यान केंद्रित किया जो ऊर्जा, परिवहन, डिजिटल बुनियादी ढांचे और बैंकिंग जैसी महत्वपूर्ण सेवाएँ प्रदान करती हैं। शोधकर्ता ने इन फर्मों के इकतीस सार्वजनिक दस्तावेज़ एकत्र किए, जो मुख्य रूप से वर्ष 2025 के लिए उनकी वार्षिक रिपोर्ट थे, और उन्हें एक बहुत ही विशिष्ट सेट के प्रश्नों के साथ पढ़ा। यह अनुमान लगाने के बजाय कि ये कंपनियाँ वास्तव में कितना अच्छा प्रदर्शन कर रही थीं, अध्ययन ने एक सरल, अधिक सटीक प्रश्न पूछा: जब ये कंपनियाँ अपने सुरक्षा नियमों के बारे में बात करती हैं तो वे कितनी विशिष्ट होती हैं? शोधकर्ता ने सुरक्षा प्रबंधन के दस अलग-अलग क्षेत्रों की तलाश की, जिसमें बोर्ड के सदस्य से लेकर सुरक्षा की निगरानी करने, उनके आपूर्तिकर्ताओं (सप्लायर्स) को संभालने, और गलतियों से सीखने तक शामिल था। दस्तावेजों में प्रत्येक उल्लेख को विवरण के चार स्तरों में से एक में वर्गीकृत किया गया था। सबसे निचला स्तर सुरक्षा का एक अस्पष्ट वादा था। अगला स्तर जिम्मेदार व्यक्ति या समूह का नाम लेना था। उच्चतम स्तर एक कार्यशील प्रणाली का स्पष्ट विवरण था जिसमें जाँच, फीडबैक और सफलता को मापने का एक तरीका शामिल था।

परिणामों ने उन पैटर्न को प्रकट किया जो इन कंपनियों द्वारा साझा किए जाने वाले विवरणों में दिखाई देते हैं। रिपोर्टों में पाया गया सबसे सुसंगत और विस्तृत विवरण इस बात से संबंधित था कि सुरक्षा जोखिम कंपनी की समग्र व्यावसायिक रणनीति से कैसे जुड़े हुए हैं। लगभग हर एक कंपनी, चौबीस में से तेईस ने सुरक्षा को उनकी मुख्य जोखिम प्रबंधन योजनाओं में एकीकृत करने के लिए एक विशिष्ट, नामित प्रक्रिया का वर्णन किया। उन्होंने स्पष्ट रूप से बताया कि इसके लिए कौन जिम्मेदार था और यह बड़े परिदृश्य में कैसे फिट बैठता है। यह सुझाव देता है कि इन फर्मों के लिए, सुरक्षा और व्यावसायिक रणनीति के बीच संबंध के बारे में बात करना एक मानक, सुपरिभाषित अभ्यास बन गया है। हालाँकि, तस्वीर नाटकीय रूप से बदल गई जब शोधकर्ता ने देखा कि ये कंपनियाँ अपने बाहरी भागीदारों और आपूर्तिकर्ताओं को कैसे प्रबंधित करती हैं। यह क्षेत्र, जिसे 'थर्ड-पार्टी गवर्नेंस' (तृतीय-पक्ष शासन) कहा जाता है, विवरण के साथ वर्णित होने की सबसे कम संभावना वाला क्षेत्र था। जबकि सोलह कंपनियों ने अपने आपूर्तिकर्ताओं के लिए निगरानी के किसी स्तर का उल्लेख किया, पाँच कंपनियों ने समीक्षा किए गए दस्तावेजों में इसका बिल्कुल भी उल्लेख नहीं किया। यहाँ तक कि जो कंपनियाँ ऐसा करती थीं, उनके विवरण भी अक्सर आंतरिक रणनीति की तुलना में कम विस्तृत थे। इसका मतलब यह नहीं है कि ये कंपनियाँ अपने आपूर्तिकर्ताओं का प्रबंधन करने में विफल हो रही हैं; इसका सीधा सा अर्थ यह है कि सार्वजनिक दस्तावेज़ उनके काम के इस हिस्से के लिए आंतरिक योजना की तुलना में विवरण का उतना स्तर नहीं दिखाते हैं।

अध्ययन ने यह भी जांचा कि क्या ये कंपनियाँ विशिष्ट, अनुमानित समूहों में आती हैं, जैसे कि "रणनीति-केंद्रित" फर्में या "लचीलापन-केंद्रित" फर्में। शोधकर्ता ने विस्तृत प्रकटीकरणओं के आवर्ती संयोजनों को देखने के लिए खोज की कि क्या एक स्थिर प्रकार की कंपनी उभरती है। हालांकि कुछ पैटर्न बार-बार दिखाई दिए, जैसे कि वे कंपनियाँ जो आंतरिक रणनीति और बाहरी रिपोर्टिंग दोनों में मजबूत थीं, लेकिन ये पैटर्न इतने अधिक ओवरलैप थे कि इनसे स्पष्ट श्रेणियाँ बनाना कठिन था। एक कंपनी एक क्षेत्र में मजबूत और दूसरे में कमजोर हो सकती है बिना किसी एकल लेबल में फिट हुए। शोध ने निष्कर्ष निकाला कि इन कंपनियों को कठोर प्रकारों में जबरदस्ती फिट करना भ्रामक होगा। इसके बजाय, सबसे ईमानदार विवरण यह है कि ये फर्में अपने आंतरिक सुरक्षा प्लान के बारे में बात करने के लिए एक सामान्य भाषा साझा करती हैं, लेकिन वे अपने बाहरी संबंधों के बारे में कितना खुलासा करती हैं, इसमें काफी भिन्नता होती है।

अध्ययन का एक महत्वपूर्ण निष्कर्ष स्वयं सूचना का स्रोत था। शोधकर्ता ने पाया कि इन रिपोर्टों में पाए गए लगभग सभी विशिष्ट विवरण साइबर सुरक्षा और सूचना प्रौद्योगिकी से जुड़े थे। जब शोधकर्ता ने विश्लेषण से कंप्यूटर, डेटा या डिजिटल नेटवर्क से जुड़ी किसी भी चर्चा को हटा दिया, तो उपयोगी जानकारी की मात्रा नाटकीय रूप से गिर गई। सैकड़ों विशिष्ट विवरणों में से, केवल एक छोटा सा हिस्सा ही बचा जो स्पष्ट रूप से डिजिटल सुरक्षा के बारे में नहीं था। यह सुझाव देता है कि जब ये कंपनियाँ अपने सार्वजनिक रिपोर्टों में सुरक्षा के बारे में बात करती हैं, तो वे मुख्य रूप रूप से डिजिटल खतरों के बारे में बात कर रही होती हैं। सुरक्षा के अन्य महत्वपूर्ण पहलू, जैसे इमारतों की भौतिक सुरक्षा, धोखाधड़ी की रोकथाम, या गैर-डिजिटल घटनाओं के लिए संकट प्रबंधन, दस्तावेजों में बहुत कम दृश्यमान थे। इसका मतलब यह नहीं है कि उन अन्य क्षेत्रों की अनदेखी की गई है, लेकिन इसका मतलब यह है कि सार्वजनिक रिकॉर्ड डिजिटल दुनिया की ओर अत्यधिक झुका हुआ है।

अध्ययन ने लिखे गए और वास्तव में हो रहे कार्यों के बीच एक सख्त रेखा खींचने में सावधानी बरती। शोधकर्ता ने इस बात पर जोर दिया कि रिपोर्ट में एक विस्तृत विवरण मिलना इस बात का प्रमाण नहीं है कि वास्तव में प्रणाली अच्छी तरह से काम कर रही है। एक कंपनी एक आदर्श योजना लिख सकती है और फिर भी विफल हो सकती है। इसके विपरीत, एक कंपनी के पास एक मजबूत प्रणाली हो सकती है लेकिन वह अपनी सार्वजनिक रिपोर्ट में इसका विस्तृत विवरण देने का विकल्प चुन सकती है। अध्ययन ने सुरक्षा, लचीलेपन या प्रभावशीलता को नहीं मापा। इसने केवल सार्वजनिक दस्तावेजों में उपयोग किए गए शब्दों की विशिष्टता को मापा। इस सीमा को स्पष्ट रखकर, शोध सार्वजनिक रूप से क्या दृश्यमान है, इसका एक विश्वसनीय मानचित्र प्रदान करता है, बिना इस धारणा के कि इन आवश्यक संगठनों के बंद दरवाजों के पीछे क्या है। यह कार्य एक अनुस्मारक के रूप में कार्य करता है कि हालांकि सार्वजनिक रिपोर्ट कॉर्पोरेट प्रशासन में एक खिड़की प्रदान करती है, वह खिड़की केवल वही दिखाती है जो कंपनी प्रदर्शित करना चुनती है, और अक्सर, वह प्रदर्शन डिजिटल क्षेत्र पर भारी रूप से केंद्रित होता है।