Kluczowe polityki, kodeksy i zasady obowiązujące w Grupie

Pełnomocnik ds. Compliance oraz Koordynatorzy ds. Compliance w Grupie Kapitałowej TAURON opierają swoje działania na wytycznych przedstawionych w Standardach rekomendowanych dla systemu zarządzania zgodnością w zakresie przeciwdziałania korupcji oraz systemu ochrony sygnalistów w spółkach notowanych na rynkach organizowanych przez Giełdę Papierów Wartościowych w Warszawie S.A., przyjętych 8 października 2018 r.

W 2021 roku w Grupie TAURON prowadzono monitoring ryzyk Compliance. W ramach comiesięcznego monitoringu ryzyk, raportowane jest ryzyko nadużyć wewnętrznych, ryzyko nadużyć zewnętrznych, ryzyko zachowań nieetycznych, ryzyko braku zgodności z tytułu nieprzestrzegania przepisów prawa oraz ryzyko korupcji.

Wśród działań podjętych w ramach Polityki antykorupcyjnej Grupy TAURON kluczową rolę odgrywa badanie i wyjaśnianie działań korupcyjnych i innych nadużyć.

Każdy pracownik jest zobowiązany do zapoznania się z postanowieniami Polityki antykorupcyjnej Grupy TAURON, bezwzględnego stosowania się do jej treści oraz podpisania stosownego oświadczenia o zapoznaniu się z regulacją. Oświadczenia takie najczęściej przechowywane są w aktach osobowych pracownika.

Również nowoprzyjęci pracownicy zapoznawani są z Polityką antykorupcyjną.

W 2021 roku pracownicy działów/obszarów Compliance w Spółce Usług Górniczych oraz TAURON Wydobycie podjęli działania mające na celu poszerzenie zakresu szkoleń okresowych BHP o zagadnienia związane z Compliance oraz RODO.

Ponadto, TAURON Polska Energia zapewnia monitorowanie procedur postępowania oraz regulacji wewnętrznych i wewnątrzkorporacyjnych obowiązujących w Grupie Kapitałowej TAURON, także pod kątem doskonalenia oraz rozwijania systemu przeciwdziałania działaniom korupcyjnym i innym nadużyciom.

Do procedur należytej staranności w zakresie Korporacyjnej Polityki Zakupowej należy zaliczyć wszelkie działania mające na celu stałe usprawnianie procesów zakupowych, zarówno w obszarze pozyskiwania dóbr, jak i w zakresie operacyjnej obsługi zamówień. Aby móc pełniej realizować powyższy cel, wdrożone zostały Regulamin Udzielania Zamówień oraz Strategie Zakupu.

Regulamin Udzielania Zamówień

W 2015 roku wdrożono jeden wspólny regulamin zakupowy dla wszystkich spółek Grupy, wraz ze wzorcami dokumentacji przetargowych. Regulamin określa zasady planowania, przygotowywania oraz sposób procedowania i udzielania Zamówień. Dzięki temu proces zakupowy w całej Grupie Kapitałowej jest transparentny i nieskomplikowany z punktu widzenia potencjalnych wykonawców. Należy  podkreślić, że wspólna regulacja zakupowa jest sukcesywnie aktualizowana  w oparciu o zmieniające się przepisy prawa. Kolejne aktualizacje stanowią odpowiedź na zmieniające się otoczenie rynkowe. Warto również wspomnieć, że  obszar zakupów ściśle współpracuje z obszarami Compliance, audytu czy podatków w celu doskonalenia  procesu zakupowego.

Strategie Zakupu

Dzięki przygotowanym Strategiom zakupu możliwa jest budowa Bazy Wiedzy w Systemie Wsparcia Organizacji Zakupów (SWOZ) w zakresie optymalizacji zakupowych zastosowanych dla danej kategorii zakupowej.

Powyższe działania mają na celu przede wszystkim obniżenie ryzyka w obszarze łańcucha dostaw oraz uzyskanie dostępu do rozwiązań i innowacji stosowanych przez dostawców.

Zarządzanie kategoriami nierozerwalnie wiąże się z centralizacją zakupów, co pozwala między innymi
na wzmocnienie pozycji zakupowej zamawiającego, możliwość bezpośredniej komunikacji z dostawcami
na poziomie strategicznym, standaryzację procesów zakupowych w ramach całej organizacji, zunifikowanie warunków współpracy z dostawcami pomiędzy poszczególnymi spółkami oraz efektywne planowanie potrzeb.

Strategie zakupu ułatwiają również wymianę wiedzy w przypadku ewentualnej rotacji menadżerów kategorii zakupowej oraz umożliwiają długoterminowe gromadzenie wiedzy i doświadczeń miedzy nimi.

Wszystkie powyższe działania mają na celu uproszczenie i standaryzację procesu zakupowego. Zwiększenie konkurencyjności jest kluczowym zadaniem dla obszaru zakupów. Konkurencyjność jest gwarantem redukcji kosztów, obniżenia ryzyka w obszarze łańcucha dostaw oraz uzyskania dostępu do najlepszych rozwiązań na rynku. Wyższa konkurencyjność ofert, to także pozytywny wizerunek zamawiającego na rynku, jako podmiotu transparentnego i profesjonalnego.

Celem Kodeksu Postępowania dla Kontrahentów Spółek Grupy TAURON jest określenie jednolitych standardów oraz transparentnych zasad postępowania w ramach prowadzonej przez spółki działalności biznesowej, w szczególności w zakresie relacji z kontrahentami. Kodeks obejmuje również zasady z zakresu obszaru pracownika (m.in. bezpieczeństwo i higiena prac, dyskryminacja, polityka personalna, praca przymusowa, zatrudnianie dzieci i nieletnich), środowiska naturalnego (ochrona środowiska, odpowiedzialne gospodarowanie zasobami, dbałość o klimat), kontaktów z otoczeniem (m.in. uczciwa konkurencja, zwalczenie nadużyć, bezpieczeństwo i ochrona informacji, relacje inwestorskie).

Kodeks stosowany jest w relacjach z kontrahentami spółek należących do Grupy TAURON i obowiązuje wszystkich pracowników, członków zarządu i organów nadzorczych spółek, a także prokurentów i pełnomocników.

Kodeks jest powiązany z innymi dokumentami w Grupie Kapitałowej TAURON:

• Kodeksem Odpowiedzialnego Biznesu Grupy TAURON,
• Polityką Poszanowania Praw Człowieka w Grupie TAURON,
• Polityką Antykorupcyjną Grupy TAURON,
• Procedurą oceny wiarygodności kontrahentów TAURON Polska Energia S.A.,
• Zasadami dotyczącymi organizowania przedsięwzięć we współpracy z podmiotami zewnętrznymi w Grupie TAURON,
• Regulaminem Udzielania Zamówień w Grupie TAURON.

Kontrahent, który bierze udział w postępowaniu organizowanym przez spółki Grupy Kapitałowej TAURON, zobligowany jest do złożenia oświadczenia potwierdzającego zapoznanie się z Kodeksem Odpowiedzialnego Biznesu Grupy TAURON i przestrzegania jego postanowień. Powyższe oświadczenie zostało zamieszczone na stronie internetowej Spółki, pod adresem: https://swoz.tauron.pl/swoz2/platform/application?MP_action=publicFilesList&folder=000f0003&MP_module=main

• Pełnomocnik ds. Compliance,
• Koordynatorzy ds. Compliance,
• Komisja Etyki.

• przyjęcia i stosowania Kodeksu Odpowiedzialnego Biznesu Grupy TAURON,
• przyjęcia i stosowania Polityki Compliance Grupy TAURON,
• uregulowania funkcji zarządzania zgodnością w Grupie TAURON,
• przyjęcia i stosowania Polityki antykorupcyjnej Grupy TAURON,
• przeprowadzania szkoleń i kampanii informacyjno-edukacyjnych z zakresu Compliance,
• wdrożenia klauzul antykorupcyjnych do stosowania w umowach,
• przyjęcia i stosowania Zasad przyjmowania i wręczania upominków w Grupie TAURON,
• uregulowania i wdrożenia Systemu Zgłaszania Nadużyć w Grupie TAURON oraz prowadzenia postępowań wyjaśniających,
• wdrożenia i stosowania Procedury Oceny Wiarygodności Kontrahentów w Grupie TAURON,
• wdrożenia i stosowania Zasad postępowania w przypadku kontroli w spółkach Grupy TAURON,
• wdrożenia i stosowania Procedury przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu w Grupie TAURON.

1. Ogólne zasady przetwarzania danych osobowych określonych w art. 5 RODO.2. Zasady zapewniające, aby dane przetwarzane były zgodnie z prawem – art. 6 – 11 RODO.3;
2. Obowiązki Administratorów przestrzegania praw osób, których dane są przetwarzane – art. 12-23 RODO;
3. Regulacje wypełniania ogólnych obowiązków w zakresie przetwarzania danych ciążących na Administratorze i Podmiocie przetwarzającym (m. in. wzorzec umowy powierzenia przetwarzania danych osobowych) – art. 24 – 31 RODO;
4. Niezbędne działania bezpieczeństwa przetwarzania danych uwzględniając charakter zakres, kontekst i cele przetwarzania danych – art. 32- 36 RODO;
5. Mechanizmy kontroli nad przetwarzaniem danych w postaci monitorowania przestrzegania przepisów i przyjętych procedur przetwarzania przez Inspektora Ochrony Danych – art. 27- 43;
6. Wymagania w zakresie przekazywania danych do państw trzecich i instytucji międzynarodowych – art. 44 – 49 RODO.

Grupa Kapitałowa TAURON w 2021 roku podjęła dalsze intensywne działania wykazania dbałości o bezpieczeństwo przetwarzanych danych osobowych, poprzez:

1. Zapewnienie aktualizacji regulacji wewnętrznych, w tym przygotowania zmian do Polityki, w zakresie dotyczącym zmieniającego się otoczenia.
2. Utrzymanie aktualności inwentaryzacji sprzętu i oprogramowania służącego do przetwarzania informacji obejmującej ich rodzaj i konfigurację.
3. Przeprowadzanie okresowych analiz ryzyka utraty integralności, dostępności lub poufności informacji oraz podejmując działania minimalizujące to ryzyko, stosownie do wyników przeprowadzonej analizy.
4. Podejmowanie działań zapewniających, że osoby zaangażowane w proces przetwarzania informacji posiadają stosowne uprawnienia i uczestniczą w tym procesie w stopniu adekwatnym do realizowanych przez nie zadań oraz obowiązków mających na celu zapewnienie bezpieczeństwa informacji.
5. Bezzwłoczne zmiany uprawnień, w przypadku zmiany zadań osób, o których mowa w pkt 4.
6. Zapewnienie szkoleń osób zaangażowanych w proces przetwarzania informacji, ze szczególnym uwzględnieniem takich zagadnień, jak:
   1. zagrożenia bezpieczeństwa informacji,
   2. skutki naruszenia zasad bezpieczeństwa informacji, w tym odpowiedzialność prawna,
   3. stosowanie środków zapewniających bezpieczeństwo informacji, w tym urządzenia i oprogramowanie minimalizujące ryzyko błędów ludzkich,
7. Zapewnienie ochrony przetwarzanych informacji przed ich kradzieżą, nieuprawnionym dostępem, uszkodzeniami lub zakłóceniami, poprzez:
   1. monitorowanie dostępu do informacji,
   2. czynności zmierzające do wykrycia nieautoryzowanych działań związanych z przetwarzaniem informacji,
   3. zapewnienie środków uniemożliwiających nieautoryzowany dostęp na poziomie systemów operacyjnych, usług sieciowych i aplikacji.
8. Ustanowienie i przestrzeganie podstawowych zasad gwarantujących bezpieczną pracę przy przetwarzaniu mobilnym i pracy na odległość.
9. Zabezpieczenie informacji w sposób uniemożliwiający nieuprawnionemu jej ujawnienie, modyfikacje, usunięcie lub zniszczenie.
10. Zawieranie w umowach serwisowych podpisanych ze stronami trzecimi zapisów gwarantujących odpowiedni poziom bezpieczeństwa informacji.
11. Wyznaczenie zasad postępowania z informacjami, zapewniających minimalizację wystąpienia ryzyka kradzieży informacji i środków przetwarzania informacji, w tym urządzeń mobilnych.
12. Zaimplementowanie odpowiedniego poziomu bezpieczeństwa w systemach teleinformatycznych, polegającego w szczególności na:
    1. dbałości o aktualizację oprogramowania,
    2. minimalizowaniu ryzyka utraty informacji w wyniku awarii,
    3. ochronie przed błędami, utratą, nieuprawnioną modyfikacją,
    4. stosowaniu mechanizmów kryptograficznych w sposób adekwatny do zagrożeń lub wymogów przepisu prawa,
    5. zapewnieniu bezpieczeństwa plików systemowych,
    6. redukcji ryzyk wynikających z wykorzystania opublikowanych podatności technicznych systemów teleinformatycznych,
    7. niezwłocznym podejmowaniu działań po dostrzeżeniu nieujawnionych podatności systemów teleinformatycznych na możliwość naruszenia bezpieczeństwa,
    8. kontroli zgodności systemów teleinformatycznych z odpowiednimi normami i politykami bezpieczeństwa, w tym wdrożenia retencji danych.
13. Wdrożenie systemu bezzwłocznego zgłaszania incydentów naruszenia bezpieczeństwa informacji w określony i z góry ustalony sposób, umożliwiający szybkie podjęcie działań korygujących.
14. Audyt wewnętrzny w zakresie bezpieczeństwa informacji, w tym szczególnie audyt systemów IT, w których dochodzi do przetwarzania danych osobowych.

W ramach Systemu Zarządzania Bezpieczeństwem powołano szereg regulacji wewnątrzkorporacyjnych szczegółowo regulujących określone aspekty bezpieczeństwa w danym obszarze działania:

1. Polityka Systemu Zarządzania Bezpieczeństwem w Grupie TAURON – dokument generalny,
2. Polityka Klasyfikacji i Postępowania z Informacją w Grupie TAURON,
3. Polityka Bezpieczeństwa Fizycznego w Grupie TAURON, wraz z ze zbiorem wymagań szczegółowych dla Bezpieczeństwa fizycznego,
4. Zasady Zarządzania Systemami IT w Grupie TAURON,
5. Obszerny zbiór standardów bezpieczeństwa dla obszaru IT/OT,
6. Zasady Zarządzania Incydentami w Grupie TAURON.

Na potrzeby doprecyzowania aspektów zarządzania bezpieczeństwem spółki mogą tworzyć wewnętrzne regulacje, stosując zasadę, że regulacje te nie mogą obniżać poziomu bezpieczeństwa usankcjonowanego regulacjami wewnątrzkorporacyjnymi.

W ramach Systemu Zarządzania Bezpieczeństwem funkcjonuje zbiór procesów odpowiedzialnych za różne aspekty zarządzania bezpieczeństwem, które realizowane są odpowiednio w całej Grupie TAURON.

Z uwagi na to, że bezpieczeństwo Grupy TAURON to w dużej mierze postawy i zachowania pracowników i współpracowników, prowadzi się szereg działań edukacyjnych, mających na celu podnoszenie świadomości i kompetencji w zakresie szeroko rozumianego bezpieczeństwa:

1. Szkolenia e-learningowe obowiązkowe dla wszystkich pracowników,
2. Obowiązkowe szkolenia wstępne z podstawowych aspektów bezpieczeństwa dla nowozatrudnionych,
3. Szkolenia merytoryczne, dla pracowników odpowiedzialnych za różne aspekty bezpieczeństwa (bezpieczeństwo informacji, bezpieczeństwo IT/OT, audyty bezpieczeństwa),
4. Ponadto zasady obowiązujące w Polityce są przypominane poprzez akcje informacyjne oraz treści dostępne na stronie intranetowej Grupy,
5. Alerty i informacje bezpieczeństwa, jako reakcje na bieżące i pojawiające się zagrożenia dla Grupy TAURON.

Grupa TAURON podejmuje szereg działań w zakresie zapewnienia bezpieczeństwa infrastruktury Grupy TAURON, m.in. poprzez:

1. Utrzymywanie rozbudowanej infrastruktury monitorowania bezpieczeństwa, bezpieczeństwa fizycznego oraz IT/OT,
2. Stosowanie zabezpieczeń technicznych i organizacyjnych (bezpieczeństwo fizyczne, bezpieczeństwo teleinformatyczne),
3. Utrzymywanie struktur odpowiedzialnych za wykrywanie i szybką reakcję na incydenty bezpieczeństwa (własny CSIRT, SOC, SMA),
4. Współpracę z organami i służbami państwa w zakresie identyfikowania, neutralizowania zagrożeń i ataków na systemy i infrastrukturę Grupy TAURON,
5. Przeprowadzanie audytów i testów bezpieczeństwa,
6. Stosowanie pryncypiów security by design oraz security by default w projektowaniu, zamawianiu, utrzymywaniu systemów, infrastruktury mających wpływ na bezpieczeństwo,
7. Partycypowanie w strukturach Krajowego Systemu Cyberbezpieczeństwa,
8. Budowanie planów ciągłości działania w oparciu o wewnątrzkorporacyjne regulacje dotyczące zarządzania ciągłością działania,
9. Współpracę z podmiotami sektora eletro-energetycznego w zakresie wymiany informacji o zagrożeniach, reakcji na incydenty, opiniowania i uzgadniania wspólnych standardów bezpieczeństwa.

Grupa TAURON podejmuje szereg działań w zakresie zapewnienia bezpieczeństwa i podniesienia świadomości klientów Grupy TAURON, m.in. poprzez:

1. Przekazywanie informacji do klientów o zagrożeniach bezpośrednio ich dotyczących, np.: wyłudzenia, phishing, podszywanie się pod Grupę TAURON, fałszywe SMS-y, itd.,
2. Utrzymywanie i aktualizację informacji o zagrożeniach bezpośrednio dotyczących klientów na witrynie Grupy TAURON.