Răspunderea personală sub NIS2 și controlul DNSC: Cele 5 deficiențe care subminează Board-urile din România

Undeva în România, chiar acum, un membru al unui consiliu de administrație poate răspunde personal pentru un incident de securitate cibernetică pe care nu îl înțelege pe deplin.

Nu este o exagerare. Prin OUG nr. 1552024 și Legea nr. 1242025, care transpun în legislația românească Directiva europeană NIS2, membrii consiliilor de administrație și echipele de conducere ale entităților esențiale – zeci de mii de organizații din sectoare precum energie, servicii financiare, transport, sănătate, industria alimentară și tehnologie – poartă acum o responsabilitate personală directă pentru supravegherea securității cibernetice.

Termenele pentru înregistrare au expirat în septembrie 2025. Amenzile pot ajunge până la 10 milioane de euro sau la 2% din cifra de afaceri globală, iar Directoratul Național de Securitate Cibernetică (DNSC) are acum competența de a efectua controale, de a solicita planuri de remediere și de a aplica sancțiuni.

Majoritatea consiliilor de administrație din România nu au fost construite pentru această realitate. Ele au fost concepute pentru a respecta legislația societăților comerciale, pentru a răspunde cerințelor acționarului majoritar și pentru a aproba situațiile financiare anuale.

NIS2 reprezintă doar cel mai vizibil exemplu al unei probleme mult mai ample: consiliilor de administrație din România li se cere tot mai des să îndeplinească un rol pentru care structura lor, mecanismele de evaluare și competențele existente nu au fost niciodată concepute.

De la departamentul IT la răspunderea administratorilor: Ce verifică DNSC?

Dacă faci parte dintr-un consiliu de administrație din România sau răspunzi de activitatea acestuia din perspectiva acționarului, investitorului ori autorității de reglementare, nu este vorba despre o problemă de IT care poate fi delegată către departamentele tehnice.

Este o problemă de capacitate și maturitate a Consiliului de Administrație, iar cinci lacune recurente explică de ce atât de multe consilii sunt expuse.

1. Influența acționarului majoritar continuă să stabilească agenda

Consiliile de administrație din România sunt încă puternic influențate de acționarii majoritari, fie că este vorba despre o familie antreprenorială, fondatorul companiei sau, în cazul a peste 400 de societăți, statul român.

Atunci când un singur acționar poate numi, revoca sau controla voturile din Consiliu, supravegherea independentă devine secundară față de alinierea la interesele acestuia. Această situație nu este specifică doar României, însă gradul de concentrare a proprietății este neobișnuit de ridicat comparativ cu alte state europene și influențează toate celelalte aspecte ale guvernanței.

Un consiliu care răspunde în primul rând unui singur acționar are mai puține stimulente să dezvolte competențele, mecanismele de evaluare, transparența și diversitatea profesională necesare pentru protejarea intereselor tuturor acționarilor.

2. Multe consilii gestionează încă obligațiile de conformitate, nu construiesc strategie

Dacă întrebi un consiliu de administrație din România cu ce și-a ocupat cea mai mare parte a ultimelor patru ședințe, este foarte probabil ca răspunsul să includă situații financiare, obligații de conformitate, raportări către autorități și formalități juridice.

Acest lucru este explicabil în contextul ritmului accelerat al schimbărilor legislative recente: înregistrarea conform NIS2, primul ciclu de raportare conform noului Cod de Guvernanță Corporativă al Bursei de Valori București și modificările aduse Legii societăților privind pragurile de capital social și notificarea transferului controlului au fost introduse într-un interval de aproximativ 18 luni.

Riscul este ca respectarea conformității să devină întreaga fișă a postului unui Consiliu de Administrație, în loc să reprezinte doar baza activității sale. Un consiliu preocupat exclusiv de respectarea termenelor impuse de reglementatori nu mai dispune de timpul și energia necesare pentru a analiza strategia companiei, pentru a testa ipotezele privind poziționarea competitivă sau pentru a evalua dacă planul de dezvoltare pe următorii cinci ani mai este relevant.

Conformitatea protejează compania de sancțiuni. Ea nu generează, în sine, valoare.

3. Evaluarea performanței Consiliului de Administrație rămâne insuficient dezvoltată

În Europa Occidentală, evaluările periodice ale performanței consiliilor de administrație, ale membrilor individuali și ale funcționării colective a board-ului reprezintă deja o practică standard de guvernanță, fiind realizate anual sau o dată la doi-trei ani, uneori cu sprijinul evaluatorilor independenți.

În România, această practică este încă insuficient consolidată. Multe consilii funcționează fără un proces structurat și periodic de autoevaluare, bazându-se mai degrabă pe percepții informale asupra propriului mod de funcționare. Acest aspect este esențial deoarece evaluarea reprezintă mecanismul prin care ar trebui identificate celelalte patru probleme prezentate în acest articol.

Un consiliu care nu își evaluează sistematic competențele, dinamica internă și gradul real de independență nu are cum să știe dacă se confruntă cu influența excesivă a acționarului majoritar, cu lipsa orientării strategice sau cu deficiențe de competențe — până în momentul în care apare o criză.

4. Calitatea raportării și a transparenței diferă semnificativ

Nivelul transparenței în România variază considerabil în funcție de companie, structura acționariatului și statutul de listare. Unele companii listate la Bursa de Valori București publică informații la standardele așteptate de investitorii instituționali europeni.

Altele — în special companiile listate de dimensiuni reduse, societățile controlate de familii antreprenoriale și o parte dintre întreprinderile de stat — furnizează doar nivelul minim de informații cerut de lege, fără a oferi investitorilor o imagine clară asupra raționamentului Consiliului de Administrație, a tranzacțiilor cu părți afiliate sau a modului în care sunt supravegheate riscurile.

Această lipsă de consecvență produce efecte concrete. Investitorii includ incertitudinea în evaluările lor, iar o piață în care transparența este imprevizibilă va fi întotdeauna evaluată la un discount comparativ cu una în care raportarea este consecventă și credibilă.

Pe măsură ce standardele internaționale privind raportarea tranzacțiilor cu părți afiliate devin mai stricte, diferența dintre cele mai performante și cele mai slabe practici de guvernanță din România devine tot mai vizibilă pentru capitalul internațional pe care țara încearcă să îl atragă.

5. Deficitul de competențe în securitate cibernetică și ESG

Aici exemplul NIS2 ilustrează cel mai clar o tendință mai amplă. Consiliilor de administrație din România li se cere din ce în ce mai mult să supravegheze riscuri care nici măcar nu existau în forma lor actuală atunci când majoritatea administratorilor au fost numiți.

Securitatea cibernetică. Atât NIS2, cât și DORA, în cazul instituțiilor financiare, impun consiliilor de administrație – nu doar departamentelor IT – să înțeleagă profilul specific de risc cibernetic al organizației, să aprobe măsurile de gestionare a riscurilor și să documenteze activitatea de supraveghere pe care autoritățile de reglementare o pot verifica. Un administrator care nu poate participa în mod competent la aceste discuții reprezintă astăzi un risc de conformitate, nu doar unul strategic.

Transformarea digitală. Deciziile privind adoptarea inteligenței artificiale, automatizarea și investițiile în platforme digitale necesită din ce în ce mai mult discernământ la nivelul Consiliului de Administrație, deoarece au implicații comerciale și reputaționale directe. Multe consilii nu dispun încă de expertiza internă necesară pentru a evalua independent recomandările formulate de management.

Guvernanța ESG. Chiar dacă ESG întâmpină provocări politice în alte jurisdicții, obligațiile europene privind raportarea de sustenabilitate continuă să se aplice companiilor românești vizate, ceea ce obligă consiliile de administrație să supravegheze procese de raportare pentru care majoritatea membrilor nu au fost pregătiți.

Managementul riscurilor. Dincolo de securitatea cibernetică și ESG, consiliile trebuie să fie capabile să pună sub semnul întrebării evaluările riscurilor realizate de management și nu doar să aprobe registrele de risc prezentate. Aceasta este diferența dintre o supraveghere autentică și o simplă validare procedurală.

Strategia internațională. Pe măsură ce companiile românești se extind regional sau se confruntă cu o concurență internațională tot mai intensă, crește nevoia unor administratori care înțeleg piețele externe, nu doar cadrul de reglementare și structurile de proprietate din România. Recrutarea unor membri cu aceste competențe a început, însă evoluează inegal și este întâlnită în principal în cadrul companiilor mari, cu expunere internațională. Companiile listate de dimensiuni mai mici, afacerile de familie și numeroase întreprinderi de stat sunt considerabil mai în urmă, exact acolo unde concentrarea acționariatului și lipsa unor mecanisme solide de evaluare reduc presiunea pentru schimbare.

Protecția liderilor: Asigurarea de răspundere profesională pentru administratori nu mai este suficientă

Aceste cinci probleme nu sunt independente; ele se amplifică reciproc.

Influența excesivă a acționarului majoritar reduce motivația pentru dezvoltarea unor sisteme solide de evaluare a Consiliului. Lipsa evaluărilor face ca deficitul de competențe să rămână neidentificat. Deficitul de competențe împinge consiliile către o abordare limitată la conformitate, deoarece administratorii care nu dețin expertiză de specialitate tind să aprobe formal documentele, în loc să provoace și să testeze în mod substanțial deciziile managementului.

În același timp, raportarea inconsistentă face dificil pentru piață să distingă între consiliile care și-au rezolvat aceste probleme și cele care nu au făcut-o, până în momentul în care un incident cibernetic, un scandal privind tranzacțiile cu părți afiliate sau o decizie strategică greșită aduce situația în atenția publică.

Directiva NIS2 nu a creat o problemă nouă pentru consiliile de administrație din România. Ea a scos la iveală una deja existentă: un model de guvernanță construit pentru conformitate și alinierea la interesele acționarului este acum obligat să ofere supraveghere de specialitate asupra unor riscuri care nici măcar nu existau atunci când majoritatea acestor consilii au fost constituite.

Amenzile reprezintă doar o parte a problemei. Costul real este existența unor consilii de administrație care aprobă decizii pe care nu le înțeleg pe deplin și descoperă importanța acestui lucru abia după producerea consecințelor.
 

Partajare pe: Facebook Linkedin