Publicly Disclosed Corporate Security Governance in Critical-Service Firms: Accountability Structures and Disclosure-Specificity Signals

In de moderne wereld nemen bepaalde bedrijven een unieke positie in: zij beheren de essentiële systemen die de samenleving draaiende houden. Dit zijn de firma's die onze lichten laten branden, onze treinen laten rijden, onze digitale netwerken verbinden en de geldstroom beheren. Omdat hun werk zo vitaal is, verwachten overheden en het publiek dat zij veilig, veerkrachtig en klaar voor problemen zijn. Om dit te waarborgen, wordt van deze bedrijven gevraagd om risico's zorgvuldig te beheren en aan het publiek te vertellen hoe zij dat doen. Deze publieke vertelling wordt bekend als disclosure (openbaarmaking). Het is de handeling van het opschrijven wat een bedrijf van plan is te doen, wie er verantwoordelijk is en hoe zij hun werk controleren. Er is echter een cruciaal verschil tussen het opschrijven van een plan en het daadwerkelijk uitvoeren ervan. Een bedrijf kan een gedetailleerd document over veiligheid publiceren zonder dat er een veilig systeem aanwezig is, net zoals een persoon een belofte kan opschrijven om te sporten zonder ooit een sportschool binnen te stappen. De uitdaging voor externe waarnemers is dat zij niet naar binnen kunnen lopen bij deze bedrijven om de werkelijke machinerie te zien. Zij kunnen alleen de documenten lezen die de bedrijven kiezen te delen. Dit creëst een kloof tussen wat er wordt gezegd en wat er wordt gedaan, een kloof waar onderzoekers voorzichtig doorheen moeten navigeren om de werkelijke staat van bedrijfsveiligheid te begrijpen.

Een recente studie door Karim Hardy, een onderzoeker aan de École Nationale Supérieure des Mines de Paris, zette zich af om precies in kaart te brengen wat deze essentiële bedrijven zeggen in hun publieke rapporten. De studie richtte zich op vierentwintig beursgenoteerde bedrijven in Europa die kritieke diensten leveren, zoals energie, transport, digitale infrastructuur en bankwezen. De onderzoeker verzamelde eenendertig publieke documenten van deze firma's, voornamelijk hun jaarverslagen voor het jaar 2025, en las deze met een zeer specifieke reeks vragen in gedachten. In plaats van te proberen te raden hoe goed deze bedrijven daadwerkelijk presteerden, stelde de studie een simpelere, meer precieze vraag: hoe specifiek zijn de bedrijven wanneer zij over hun veiligheidsregels spreken? De onderzoeker zocht naar tien verschillende gebieden van veiligheidsbeheer, variërend van wie er in de raad van bestuur zit om toezicht te houden op beveiliging, tot hoe zij met leveranciers omgaan en hoe zij leren van fouten. Elke vermelding in de documenten werd gesorteerd in één van vier detailniveaus. Het laagste niveau was een vage belofte om veilig te zijn. Het volgende niveau was het benoemen van een specifieke persoon of groep die de leiding heeft. Het hoogste niveau was een duidelijke beschrijving van een werkend systeem dat controles, feedback en een manier om succes te meten omvatte.

De resultaten onthulden een duidelijk patroon in wat deze bedrijven bereid zijn te delen. De meest consistente en gedetailleerde informatie die in de rapporten werd gevonden, betrof de wijze waarop veiligheidsrisico's verbonden zijn aan de algemene bedrijfsstrategie. Bijna elk enkel bedrijf, drieëntwintig van de vierentwintig, beschreef een specifiek, benoemd proces voor het integreren van beveiliging in hun hoofdplannen voor risicobeheer. Zij stelden duidelijk vast wie verantwoordelijk was en hoe dit paste in het grotere geheel. Dit suggereert dat voor deze firma's het praten over de verbinding tussen beveiliging en bedrijfsstrategie een standaard, welgedefinieerde praktijk is geworden in hun publieke verslaglegging. Echter, het beeld veranderde drastisch toen de onderzoeker keek naar hoe deze bedrijven hun externe partners en leveranciers beheren. Dit gebied, bekend als third-party governance (beheer van derden), was het minst waarschijnlijk om met specifieke details te worden beschreven. Hoewel zestien bedrijven enige vorm van toezicht op hun leveranciers vermelden, noemde vijf bedrijven dit helemaal niet in de beoordeelde documenten. Zelfs bij de bedrijven die het wel deden, waren de beschrijvingen vaak minder gedetailleerd dan die voor de interne strategie. Dit betekent niet dat deze bedrijven er niet in slagen hun leveranciers te beheren; het betekent simpelweg dat de publieke documenten niet dezelfde mate van specifiek detail tonen voor dit deel van hun werk als zij dat wel doen voor hun interne planning.

De studie onderzocht ook of deze bedrijven in duidelijke, voorspelbare groepen vielen, zoals "strategie-georiënteerde" firma's of "resilience-georiënteerde" (veerkracht-georiënteerde) firma's. De onderzoeker zocht naar terugkerende combinaties van gedetailleerde openbaarmakingen om te zien of er een stabiel type bedrijf naar voren kwam. Hoewel sommige patronen frequent voorkwamen, zoals bedrijven die sterk waren in zowel interne strategie als externe verslaglegging, overlapten deze patronen te veel om nette categorieën te creëren. Een bedrijf kon sterk zijn in het ene gebied en zwak in het andere zonder in een enkel label te passen. De onderzoeker concludeerde dat het proberen te dwingen van deze bedrijven in rigide typen misleidend zou zijn. In plaats daarvan is de meest eerlijke beschrijving dat deze firma's een gemeenschappelijke taal delen voor het praten over hun interne veiligheidsplannen, maar dat zij aanzienlijk verschillen in hoeveel zij onthullen over hun externe relaties.

Een belangrijke bevinding van de studie was de bron van de informatie zelf. De onderzoeker ontdekte dat bijna alle specifieke details in deze rapporten gekoppeld waren aan cybersecurity en informatietechnologie. Wanneer de onderzoeker elke vermelding van computers, data of digitale netwerken uit de analyse verwijderde, daalde de hoeveelheid bruikbare informatie drastisch. Van de honderden specifieke details die werden gevonden, bleef slechts een klein fractie over die niet expliciet over digitale beveiliging ging. Dit suggereert dat wanneer deze bedrijven over veiligheid praten in hun publieke rapporten, zij voornamelijk over digitale dreigingen praten. Andere belangrijke aspecten van beveiliging, zoals de fysieke bescherming van gebouwen, fraudepreventie of crisisbeheer voor niet-digitale gebeurtenissen, waren veel minder zichtbaar in de documenten. Dit betekent niet dat die andere gebieden worden genegeerd, maar het betekent wel dat het publieke verslag zwaar naar de digitale wereld is verschoven.

De studie was zorgvuldig in het trekken van een strikte lijn tussen wat er geschreven stond en wat er daadwerkelijk gebeurde. De onderzoeker benadrukte dat het vinden van een gedetailleerde beschrijving in een rapport niet bewijst dat het systeem in de werkelijkheid goed functioneert. Een bedrijf kan een perfect plan schrijven en er nog steeds naast zitten bij de uitvoering. Omgekeerd kan een bedrijf een robuust systeem hebben, maar ervoor kiezen om dit niet in detail te beschrijven in zijn publieke rapport. De studie mat geen veiligheid, veerkracht of effectiviteit. Zij mat enkel de specificiteit van de woorden die in de publieke documenten werden gebruikt. Door deze grens helder te houden, biedt het onderzoek een betrouwbare kaart van wat zichtbaar is voor het publiek, zonder aannames te doen over wat zich achter de gesloten deuren van deze essentiële organisaties afspeelt. Het werk dient als een herinnering dat hoewel publieke rapporten een venster bieden op bedrijfsbestuur, dat venster slechts laat zien wat het bedrijf ervoor kiest te tonen, en die presentatie is vaak zwaar gericht op de digitale wereld.