Новые требования SEC по кибербезопасности

Публичные компании в США обязаны будут следовать новому руководству по раскрытию связанной с кибербезопасностью информации от Комиссии по ценным бумагам и биржам, которые та представила в среду.

Предыдущее руководство подобного рода вышло в октябре 2011 года и гласило, что публичные компании могут обязать раскрывать данные по рискам для кибербезорасности и имевших место инцидентах – однако оно не содержало в себе никаких конкретных требований. Растущее число случаев самих инцидентов в США вынудило SEC задуматься о конкретных требованиях.

Согласно опубликованному вчера документу, Комиссия теперь ожидает от компаний обязательного раскрытия информации по кибербезопасности и случаям ее нарушений (а также их финансовым, юридическим или репутационным последствиям) при условии ее существенности для инвесторов

“Полагаю, мнение Комиссии по этим вопросам сделает возможными более прозрачные и строгие раскрытия по киберрискам и инцидентам в компаниях, обеспечивая инвесторов более полной информацией”, - считает председатель SEC Джей Клейтон. – “В частности, я призываю публичные компании проанализировать свои механизмы контроля и процедуры, имея перед собой не только лишь требования по раскрытиям в рамках законодательства рынка ценных бумаг, но и репутационные соображения вокруг продажи ценных бумаг исполнительными лицами”.

Когда компания фиксирует инцидент или риск, имеющие существенное значение для инвесторов, она отныне обязана вовремя раскрыть эту информацию - до момента выпуска или продажи ценных бумаг. Дополнительные шаги нужно будет предпринять по недопущению торговли ценными бумагами директорами и представителями иных исполнительных должностей, до того как инвесторы будут надлежащим образом проинформированы. И хотя в момент раскрытия на руках может быть и не вся информация, это не дает компаниям права избежать раскрытия, прикрываясь необходимостью полноценного внутреннего или внешнего расследования.

По материалам: Journal of Accountancy