Publicly Disclosed Corporate Security Governance in Critical-Service Firms: Accountability Structures and Disclosure-Specificity Signals
本研究分析了 24 家欧盟/欧洲经济区关键服务企业的 2025 年公开披露信息，旨在绘制其安全治理的特异性与问责结构，结果显示，尽管企业风险管理集成得到了一致性的报告，但第三方治理缺乏具名的机制，且披露数据反映的是披露模式而非实际的运营有效性。
原始论文采用 CC BY 4.0 许可（https://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
在现代世界中，某些公司占据着独特的地位：它们运行着维持社会运转的核心系统。这些企业为我们的灯火提供动力，驱动我们的列车，连接我们的数字网络，并管理资金的流动。由于其工作至关重要，政府和公众都期望它们是安全、具有韧性且能应对麻烦的。为了确保这一点，这些公司被要求谨慎管理风险，并向公众说明其做法。这种向公众说明的行为被称为“披露”。披露是指写下一家公司计划做什么、由谁负责以及如何检查其工作的行为。然而，写下一份计划与实际执行计划之间存在着本质的区别。一家公司可以发布一份关于安全的详细文件，却未必建立了一套安全的系统，就像一个人可以写下锻炼的诺言，却从未踏入过健身房一样。对于外部观察者而言，挑战在于他们无法走进这些公司内部去观察真实的机器运作。他们只能阅读这些公司选择分享的文件。这在“所言”与“所行”之间造成了差距，研究人员必须谨慎地应对这一差距，以理解企业安全的真实状态。
一位名为卡里姆·哈迪（Karim Hardy）的研究员（来自巴黎高等矿业学院）进行了一项近期研究，旨在精确绘制出这些关键型企业在公开报告中所述内容的图谱。该研究聚焦于欧洲二十四家提供能源、交通、数字基础设施和银行业务等关键服务的上市企业。研究人员收集了这些公司三十一份公开文件（主要是其2025年度的年报），并带着一套非常特定的问题进行了阅读。该研究并非试图猜测这些公司的实际表现如何，而是提出了一个更简单、更精确的问题：当这些公司谈论其安全规则时，其描述的明确程度如何？研究人员调查了安全管理的十个不同领域，从董事会如何监督安全，到他们如何处理供应商，再到他们如何从错误中学习。文件中的每一次提及都被归类为四个不同的详细程度等级。最低等级是关于安全的模糊承诺；下一等级是指明负责的具体人员或团体；最高等级则是对一套包含检查、反馈和衡量成功方式的运作系统的清晰描述。
结果揭示了这些公司愿意分享信息的清晰模式。在报告中发现的最一致且最详细的信息，是关于安全风险如何与公司的整体业务战略相结合。几乎每一家公司——二十四家中的二十三家——都描述了一个将安全集成到其主要风险管理计划中的具体且具名的流程。它们清晰地阐述了谁负责以及这如何融入宏观蓝图。这表明，对于这些企业而言，讨论安全与业务战略之间的联系已成为其公开写作中一种标准且定义明确的做法。然而，当研究人员观察这些公司如何管理其外部合作伙伴和供应商时，情况发生了剧烈变化。这个被称为“第三方治理”的领域，被描述得最不具体。虽然有十六家公司提到了某种程度的供应商监管，但仍有五家公司在所审阅的文件中完全没有提及此事。即便是在那些有所提及的公司中，其描述也往往不如内部战略那样详尽。这并不意味着这些公司未能管理好其供应商，而仅仅意味着其公开文件在这一部分工作上的细节呈现，并不如其内部规划那样具体。
研究还探讨了这些公司是否属于不同的、可预测的类别，例如“侧重战略型”企业或“侧重韧性型”企业。研究人员寻找了重复出现的详细披露组合，以观察是否会出现一种稳定的公司类型。虽然出现了一些频繁的模式，例如在内部战略和外部报告方面都表现强劲的公司，但这些模式重叠过多，无法创建整齐的分类。一家公司可能在某一领域表现强劲而在另一领域表现薄弱，而不符合任何单一标签。研究结论认为，试图将这些公司强行归入固定的类型会产生误导。相反，最诚实的描述是：这些企业在谈论其内部安全计划时拥有一种共同语言，但在披露其外部关系方面则存在显著差异。
该研究的一个重要发现是信息本身的来源。研究人员发现，这些报告中几乎所有具体的细节都与网络安全和信息技术有关。当研究人员从分析中移除任何关于计算机、数据或数字网络的内容时，可用的信息量便大幅下降。在数百个具体细节中，只有极小一部分是不直接涉及数字安全的。这表明，当这些公司在公开报告中谈论安全时，它们主要是在谈论数字威胁。其他重要的安全方面，如建筑物的物理防护、欺诈预防或针对非数字事件的危机管理，在文件中明显透明度较低。这并不意味着其他领域被忽视了，但确实意味着公共记录在数字领域方面存在严重的倾斜。
该研究严谨地在“书面内容”与“实际情况”之间划定了界限。研究人员强调，在报告中发现详细描述并不证明该系统在现实中运作良好。一家公司可以写出一份完美的计划，却在执行中失败。反之，一家公司可能拥有稳健的系统，但选择不在其公开报告中进行详细描述。该研究并未衡量安全性、韧性或有效性，它仅衡量了公开文件中所使用的词汇的明确程度。通过保持这一界限的清晰，该研究提供了一份关于公众可见内容的可靠地图，而没有对这些核心组织背后的实况做任何假设。这项工作提醒我们，虽然公开报告为企业治理提供了一个窗口，但那个窗口展示的仅仅是公司选择展示的内容，而且通常，这种展示在数字领域表现得尤为集中。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。