دستورالعمل حاکمیت شرکتی ناشران ثبت‌شده نزد سازمان بورس و اوراق بهادار، چارچوب مشخصی برای مسئولیت‌پذیری مدیران، استقرار کنترل‌های داخلی، مدیریت تعارض منافع و حمایت از حقوق سهام‌داران فراهم کرده است. با این حال، موضوعی که باید بیش‌تر مورد توجه قرار گیرد، کیفیت اجرای این الزامات در شرکت‌هاست.
ممکن است شرکتی کمیته‌های تخصصی مورد نیاز را تشکیل داده باشد، آیین‌نامه‌های مربوط را تصویب کرده باشد و گزارش‌های نظارتی را نیز به‌موقع ارائه دهد، اما صرف انجام این اقدامات به معنای اجرای موثر حاکمیت شرکتی نیست.
بر این اساس مهم است که مشخص باشد گزارش‌های کمیته‌ها چه جایگاهی در تصمیمات هیات‌مدیره دارند، پیشنهادهای حسابرسی داخلی تا چه اندازه پیگیری می‌شوند و برای رفع نارسایی‌های شناسایی‌شده چه برنامه‌ای وجود دارد.
اگر تشکیل کمیته‌ها و تدوین مقررات داخلی به تصمیم‌گیری بهتر و نظارت موثرتر منجر نشود، نمی‌توان انتظار داشت صرف وجود این ساختارها مشکلات مدیریتی شرکت را برطرف کند؛ زیرا به اعتقاد من، در کنار بررسی میزان رعایت الزامات دستورالعمل حاکمیت شرکتی، لازم است اثربخشی اجرای آن نیز ارزیابی شود.
یکی از برداشت‌هایی که باید در ساختار مدیریتی برخی شرکت‌ها اصلاح شود، محدود دانستن مدیریت ریسک فناوری اطلاعات به مسئولیت واحد فناوری است.
امروز بخش قابل توجهی از فرآیندهای مالی، تولیدی و عملیاتی بنگاه‌ها به سامانه‌های اطلاعاتی وابسته است و اختلال در این سامانه‌ها می‌تواند فعالیت شرکت را با مشکلات جدی مواجه کند.
در بسیاری از جلسات هیات‌مدیره، موضوعاتی مانند تولید، فروش، نقدینگی، تامین مالی و پیشرفت طرح‌های توسعه‌ای در اولویت بررسی قرار دارند. این موضوعات اهمیت زیادی دارند؛ اما ریسک فناوری اطلاعات نیز باید متناسب با ماهیت فعالیت شرکت، جایگاه مشخصی در دستور جلسات هیات‌مدیره پیدا کند.
اعضای هیات‌مدیره لازم نیست وارد جزئیات فنی تجهیزات و سامانه‌ها شوند، اما باید بدانند کدام بخش‌های شرکت در برابر اختلالات فناوری آسیب‌پذیرتر هستند، توقف هر سامانه چه پیامدهایی دارد و چه اقداماتی برای پیشگیری از اختلال یا کاهش خسارت احتمالی پیش‌بینی شده است.
با توجه به تفاوت ادبیات متخصصان فناوری اطلاعات با اطلاعات مورد نیاز مدیران برای تصمیم‌گیری، گزارش‌های فنی باید به‌گونه‌ای تنظیم شوند که هیات‌مدیره بتواند پیامدهای اقتصادی و عملیاتی ریسک‌ها را درک کند.
