Raportointikausi: 1.1.2024-31.12.2024
Raportin hyväksynyt: Hallitus, 10.06.2025
Kulunut vuosi 2024 oli hyvin poikkeuksellinen yhtiömme historiassa. Mikkelin kaupunginvaltuuston vuonna 2022 tekemä päätös myydä 49 % vähemmistöosuus Etelä-Savon Energiasta konkretisoitui kaupan ehdolliseen allekirjoitukseen marraskuussa 2023. Kauppakirjan allekirjoittamisen jälkeen alkoi liiketoimintasiirto vasta perustettuun operatiiviseen yhtiöön ESE-Energia Oy:hyn. Liiketoimintasiirrossa kaikki toiminta, henkilöstö, vastuut, sopimukset, luvat, lisenssit, varat ja velat siirrettiin Etelä-Savon Energiasta ESE-Energiaan. 1.3.2024 alkaen Etelä-Savon Energia jäi tyhjäksi hallintayhtiöksi, josta Mikkelin kaupunki omistaa 51 % ja Aberdeen (Aberdeen Standard Core Infrastructure III SCSp) 49 %. Vuosi 2024 oli myös vastuullisuusraportoinnin ensimmäinen raportointivuosi tässä laajuudessa. Ensimmäisen raportoinnin tavoitteena oli kartoittaa vastuullisuustyön nykytilanne direktiivin vaatimusten näkökulmasta ja löytää kehittämiskohteet seuraavan vuoden raportoinnille. Raportoinnin tarkoituksena oli myös tuottaa omistajillemme osakassopimuksessa määritellyt kestävän kehityksen tiedot. Tulevina vuosina kehitämme raportointia myös huomioiden tarkemmin sidosryhmiemme tarpeet. Vastuullisuusraportti kattaa koko ESE-konsernin. Toimintamme on ollut sertifioitua jo vuodesta 2002. ESE-konsernilla on sertifikaatit ISO9001, ISO 14001, ISO 45001 ja ETJ+. ISO 27001 -sertifiointijärjestelmän rakentaminen on käynnissä.Vastuullisuus näkyy kaikessa toiminnassamme. Se tarkoittaa, että etsimme ja toteutamme liiketoiminnoissa ne ratkaisut ja investoinnit, jotka parhaalla tavalla edistävät kestävää kehitystä ja vastuullisuutta konsernissa. Työskentelemme pitkäjänteisesti päästöjen vähentämiseksi ja vihreän siirtymän edistämiseksi. Tavoitteenamme on edelleen lisätä uusitutuvan energian tuotantoa sekä lopettaa fossiilisten polttoaineiden käyttö. Kaukolämmön tuotantokapasiteetti kasvoi keväällä 2024, kun uusi 30 MW sähkökattila otettiin käyttöön. Kaukolämpöverkko kattaa tällä hetkellä suurimman osan Mikkelin keskustan alueesta. Erillinen kaukolämpöverkko Ristiinassa tuottaa lämpöä taajaman asukkaille ja organisaatioille. Sähköverkon pituus vuonna 2024 on noin 1 000 kilometriä. Kaapelointiaste 20 kV:n verkossa on noin 75% ja 0,4 kV:n verkossa 85%. Pitkäaikainen työmme sähköverkon toimitusvarmuuden parantamiseksi on pitänyt asiakkaille aiheutuneet keskeytysajat pieninä. Useiden vuosien ajan asiakkaiden keskimääräinen sähkönjakelun keskeytysaika on on ollut alle 10 minuuttia. Vastuullisena työnantajana kehitämme avointa ja välittävää työkulttuuria. Vuonna 2024 osallistuimme ensimmäistä kertaa Great Place to Work -sertifiointiin ja saimme sertifikaatin osoituksena jatkuvasta työstä työyhteisön parantamiseksi tuloksella 88%. Tämä kertoo ESE-konsernin olevan kokonaisuudessaan todella hyvä työpaikka.Erkki Karppanen, toimitusjohtaja, ESE-konserni
Toiminnan kuvaus ESE-konsernin vastuullisuusohjelma on laadittu kattamaan kaikkia konsernin yhtiöitä, joita ovat ESE-Energia Oy (emoyhtiö) sekä sen 100% omistamat tytäryhtiöt ESE-Verkko Oy ja ESE-Tekniikka Oy. Vuodesta 2024 raportoitaessa vastuullisuusohjelmassa ovat rajoitetusti mukana arvoketjun alku- ja loppupäät. Arvoketjun alkupäästä mukana ovat merkittävimmät tavaroiden ja palveluiden toimittajat. Loppupäästä vastuullisuusohjelmaan liitettiin asiakkaat, loppukäyttäjät, omistajat, rahoittajat ja oma henkilöstö. Vastuullisuusohjelman ulkopuolelle on rajattu konsernin osakkuusyhtiöt, sekä ESE-Energian 94% omistama Haukivuoren Lämpö Oy.ESE-konsernin tehtävänä on tuottaa sähköä, lämpöä ja höyryä omassa Pursialan voimalaitoksessamme sekä osakkuusvoimalaitoksissa. Lämpöä ja höyryä tuotamme voimalaitoksien lisäksi myös huippu- ja vara- sekä aluelämpökeskuksissa. Lämpö toimitetaan Mikkelin alueelle ja tuotettu sähkö myydään pörssiin. Sähköä siirretään Mikkelin keskustan alueella.
ESE-konsernin energiantuotanto vuonna 2024 oli 519 GWh, käytettyjä polttoaineita yhteensä 648 GWh ja sähkön kokonaistuotanto 178,9 GWh
ESE-konserni ja osakkuudet
Toimitamme asiakkaillemme energiaa vastuullisesti, luotettavasti ja kannattavasti. Toiminnallamme luomme positiivisia taloudellisia vaikutuksia, ylläpidämme yhteiskunnan huoltovarmuutta ja edistämme ilmastonmuutoksen torjuntaa.
ESEn arvot ovat kilpailukyky, asiakastyytyväisyys, henkilöstön arvostus, paikallisuus ja ympäristöystävällisyys.
ESE-konsernin kilpailukyky perustuu laadukkaaseen palveluun, ympäristö-, energiatehokkuus- sekä työterveys- ja -turvallisuusasioiden huomioimiseen. ESEn työturvallisuuspäämääränä on turvallinen ESE, jossa kaikki huolehtivat työturvallisuuden ja työhyvinvoinnin ylläpitämisestä ja kehittämisestä.Toiminnan tavoitteena on tuottaa ympäristöystävällisiä ja kilpailukykyisiä energiapalveluja tyytyväisille asiakkaille. Energiapalvelujen perustana on ympäristöystävällinen, luotettava ja energiatehokas tuotantoketju, jolla pääosin uusiutuvista raaka-aineista tuotetaan laadukkaita energiapalveluja. Kaiken toiminnan varmistaa ammattitaitoinen ja hyvinvoiva henkilöstö.Tavoitteiden saavuttamiseksi yhtiö on sitoutunut toimintansa systemaattiseen suunnitteluun, seurantaan ja jatkuvaan kehittämiseen. Kaikki toimialaa koskevat lainsäädännön vaatimukset on tunnistettu ja niitä sitoudutaan noudattamaan. Toiminnan tavoitteista ja tuloksista raportoidaan suunnitelmallisesti henkilöstölle sekä kaikille sidosryhmille.
[Ympäristö]
[Sosiaalinen]
[Hallinnollinen]
Tämän hankintapolitiikan tarkoitus on kuvata hankinnoissa käytettävät sopimukset, hankintavaltuudet ja sopimusten elinkaaren hallinnan, joita noudatetaan ESE-konsernin hankinnoissa. Kaikkien hankintojen osalta pyritään siihen, että hankinnoista tehtävät sopimukset täyttävät tässä dokumentissa kuvatut sopimusehdot. I Hankintojen sopimusehdot1. Sopimukset, niiden voimassaolo, muutokset ja lisäykset on aina tehtävä kirjallisesti.2. Sopimuksessa on määriteltävä tarkasti sopimuskumppanien vastuut ja velvollisuudet, kuten toimituksen sisältö ja laajuus.3. Asiakaskohtaisen sopimuksen rinnalla käytetään tilanteesta riippuen vakiintuneita yleisiä sopimusehtoja, kuten NLM 10 ehtoja tai YSE 1998. Sopimusehdoilla varmistetaan, että keskeiset sopimusoikeudelliset velvoitteet on huomioitu.4. Sopimuksen maksuehtojen tulee olla tavanomaiset (enintään 30 päivää). Hinnankorotuksista on sovittava selkeästi kirjallisesti.5. Viivästyssakot ja esim. palvelutason alituksen seuraamukset on sovittava selkeästi.6. Vastuunrajoitukset on sovittava tarkasti. ESE ei koskaan korvaa välillisiä vahinkoja. Suorien vahinkojen korvausvelvollisuudeksi suositellaan enimmäisrajaa (euromääräinen tai prosentuaalinen) tilanteesta riippuen etenkin silloin, kun ESE on myyjän roolissa.7. Pankkitakauksia annetaan vain tavanomaisessa määrin, kun itse myydään urakointityötä.8. Rakentamis- ja takuuajanvakuudet pyydetään sopimusehtojen mukaan esim. NLM 10.9. Kilpailukieltoa, rekrytointikieltoa tai muuta ESEn toimintavapautta rajoittavaa ehtoa ei lähtökohtaisesti hyväksytä sopimuksiin.10. Sopimusta ei saa siirtää kolmannelle osapuolelle ilman ESEn kirjallista suostumusta.11. Sopimukseen sovelletaan vain Suomen lakia. Oikeuspaikaksi pyritään sopimaan välimiesmenettely. Pienemmissä sopimuksissa voi oikeuspaikka kuitenkin olla Etelä-Savon käräjäoikeus.12. Sopimuksesta pitää käydä selkeästi ilmi, milloin ja miten sopimus päättyy sekä miten sopimuksesta pääsee tarvittaessa irti sopimuskauden aikana.II Hankintasopimukset Kaikki sopimukset, jotka ovat arvoltaan yli 400.000 euroa (alv. 0%) tai ovat sopimuksia, jollaisia ei ole aiemmin tehty, tulee laittaa juristien kommentoitavaksi ennen sopimuksen allekirjoittamista. Sopimuksen allekirjoittanut henkilö vastaa siitä, että juristien kommentit on huomioitu ja että tämä voidaan todentaa. Sopimus muodostuu kaikesta kirjeenvaihdosta, jota käydään esim. sähköpostien välityksellä sopimusta neuvoteltaessa, joten ne tulee säilyttää. Mikäli palvelu tai tavara ei vastaa sovittua, tulee siitä todistettavasti reklamoida toimittajalle. Myös puutteet tulee dokumentoida. Kaikki reklamaatioon liittyvä dokumentaatio tulee säilyttää.III SopimusvaltuudetHankintasopimuksen voi allekirjoittaa asemavaltuutuksen perusteella, mikäli myyjä ei edellytä nimenkirjotusoikeudellisen tai prokuran omaavan henkilön allekirjoitusta sopimukseen. Myyntisopimuksen voi allekirjoittaa asemavaltuutuksen perusteella.IV Sopimustenhallinta ja elinkaariSopimukset arkistoidaan.
Tämä tietosuojapolitiikka linjaa ESE-konsernin tietosuojan (GDPR) toteuttamista. Tietosuojapolitiikan linjausten perustana käytetään vuosisuunnitteluun kuuluvaa riskienarviointia, jonka pohjalta tietosuojaa kehitetään käyttäen mahdollisimman tarkoituksenmukaisia sekä kustannustehokkaita ratkaisuja. Tietosuojapolitiikka on osa ESE-konsernin toimintajärjestelmää.1. TarkoitusTietosuojaan kuuluvat henkilöiden yksityiselämän suoja ja yksityisyyden suojaa turvaavat muut oikeudet henkilötietoja käsiteltäessä.Tietosuojapolitiikan avulla pyritään turvaamaan lainsäädännön mukaiset henkilötietojen käyttöön liittyvät, Organisaation asiakkaiden, työntekijöiden ja muihin sidosryhmiin kuuluvien henkilöiden oikeudet sekä varmistamaan tietojen käsittelijän oikeudet ja heidän velvollisuuksiensa noudattaminen henkilötietoja käsiteltäessä.Tietosuojaa toteutettaessa kiinnitetään erityistä huomiota henkilötietojen salassapitoon sekä siihen, ettei asiattomilla ole pääsyä tietoihin ja ettei tietoja käytetä henkilöä vahingoittavasti.2. SoveltamisalaTietosuojapolitiikka koskee ESE-konsernin henkilökuntaa, asiakkaita ja kumppaneita.3. VastuutESE-konsernin toimitusjohtajat vastaavat juridisesti tietosuoja-asetuksen mukaisista toimista or-ganisaatiossa. Liiketoimintajohtajat valvovat tämän menettelyn käytäntöön panoa.Liiketoimintajohtajat hallinnoivat ja koordinoivat ajantasaisen Tietosuojapolitiikka-dokumentin toteutusta omissa liiketoimintayksiköissään.4. Menettelyt4.1. TietosuojatietoisuusOrganisaation tietosuojapolitiikalla tuetaan tietosuojatietoisuudenkasvattamista erityisen tietosuojakoulutuskäytännön nojalla, joka on aikataulutettu vuosikelloon.4.2. RiskienhallintaTietosuojariskit arvioidaan vuosittain liiketoimintojen vuosisuunnittelun yhteydessä. Riskienarviointi koostuu riskin määrittelystä sekä sen todennäköisyyden sekä vaikuttavuuden arvioinneista. Tässä yhteydessä voidaan suunnitella myös toimenpiteitä, miten riski voidaan poistaa tai miten sen toteutumisen vaikutuksiin voidaan varautua. 4.3. Henkilötietojen käsittelyHenkilötietojen käsittely perustuu henkilön suostumukseen tai laissa määriteltyyn muuhun perusteeseen. Käytettävien tietojen oikeellisuus pyritään varmistamaan ja tietoja päivitetään henkilöltä itseltään tai luotettavista lähteistä.Henkilötietoja käsitellään vain perustellun käyttötarkoituksen johdosta ja vain siinä määrin ja niin kauan, kun se on käyttötarkoituksen kannalta tarpeellista. Kun tiedot eivät enää ole käyttötarkoituksensa vuoksi tarpeellisia, tiedot tuhotaan asianmukaisesti.Tietoja käytetään niitä kerättäessä kuvattuihin tarkoituksiin lainsäädännön kulloinkin sallimissa rajoissa. Tietoja luovutetaan vain nimenomaisesti kerrotulla tai laissa mainitulla perusteella ja nimenomaisesti kerrotuille tai laissa mainituille luovutuksen saajille.Tietoja saatetaan siirtää rekisterinpitäjän sijaintivaltion ulkopuolelle, mikäli kyseistä rekisteriä koskeva lainsäädäntö sallii siirron. Tällöin noudatetaan siirtoa koskevia, kunkin maan lainsäädännössä mahdollisesti säädettyjä menettelyitä.4.4. Henkilötietojen käsittelyn turvallisuusHenkilötietojen käsittelijöiden käyttöoikeudet ovat ajan tasalla ja dokumentoituja. Henkilötietoja katsellaan vain siinä laajuudessa kuin se dokumentoidun käyttötarkoituksen mukaisesti on tarpeen.Henkilötietoja sisältäviä tietojärjestelmiä käyttävien henkilöiden tunnistamisessa ja todentamisessa käytetään luotettavia tunnistamismekanismeja.Käytössä olevat tietoliikenneyhteydet on suojattu. Käytettävien järjestelmien turvaominaisuudet testataan määrävälein luotettavasti.Toimitilat, missä järjestelmiä säilytetään ovat fyysisesti suojattuja. Erilaisia vikatilanteita, sähkökatkoja ja tulipaloja sekä valtuudetonta pääsyä vastaan on suojauduttu.4.5. Rekisteröityjen informointi ja oikeudetKustakin henkilörekisteristä laaditaan lainsäädännön edellyttämä dokumentaatio. Rekisteröidyille tarjotaan laissa tarkoitettu tai muuten tarpeellinen informaatio tietosuojaselosteena henkilötietojen käsittelystä tietoja kerättäessä. Rekisteröidyllä on oikeus tarkastaa mitä tietoja hänestä on tallennettu rekisteriin, sekä oikeus vaatia itseensä liittyvän virheellisen tiedon korjaamista. Rekisteröidyllä on oikeus pyytää henkilötietojensa poistamista rekisteristä. Tällöin henkilötietojen poistaminen toteutetaan mahdollisimman pian, mikäli lain vaatimaan säilytysvelvollisuutta ei ole.Evästekäytäntömme on kuvattu ja ajantasaisesti saatavilla nettisivuillamme.Rekisteröidyn oikeudet omien tietojensa osalta ovat:• Oikeus saada pääsy omiin tietoihinsa• Oikeus tietojen oikaisemiseen• Oikeus poistaa tiedot (”oikeus tulla unohdetuksi”)• Oikeus siirtää tiedot järjestelmästä toiseen• Oikeus vastustaa käsittelyä, automaattista päätöksentekoa ja profilointia• Oikeus saada ilmoitus henkilötietojen tietoturvaloukkauksesta4.6. Tietosuoja- ja tietoturvapoikkeamien käsittely ESEllä raportoidaan tietoturvaan ja tietosuojaan liittyvistä uhista, poikkeamista ja ohjeiden vastaisista menettelyistä Falcony-havintojen keruujärjestelmään. Kirjatut havainnot tulevat järjestelmän kautta ESEn GDPR-ryhmälle, joka vastaa jatkotoimenpiteiden suorittamisesta.Mikäli tietosuojan epäillään tai havaitaan vaarantuneen, asia tutkitaan viipymättä ja ilmoitetaan tietosuojaviranomaiselle. Rekisterinpitäjä on velvollinen ilmoittamaan viranomaisille tietosuojarikkomuksista 72 h sisällä ilmoituksesta ja/tai löydöksestä. Lisäksi asiasta ilmoitetaan viipymättä rekisteröidylle, jonka tietosuoja on vaarantunut, edellyttäen, että ilmoittaminen on aiheellista korjaavien toimenpiteiden suorittamiseksi tai vahingon rajaamiseksi. 5. KurinpitomenettelytTietosuoja-asetuksen (GDPR) tai tämän tietosuojapolitiikka-dokumentin noudattamatta jättäminen tai laiminlyönti käsitellään organisaation kurinpitomenettelyn mukaisesti. Lisäksi tällainen rikkomus saattaa olla rikos, missä tapauksessa asia ilmoitetaan tarvittaville viranomaisille mahdollisimman pian.Organisaation tai sen kanssa toimivien kumppaneiden ja kolmansien osapuolten, jotka pääsevät tai saattavat päästä käsiksi henkilötietoihin, edellytetään lukevan ja ymmärtävän tämän tietosuojapolitiikka-dokumentin ja sitoutuvan siihen. Kukaan kolmas osapuoli ei saa päästä organisaation säilyttämiin henkilötietoihin solmimatta ensin salassapitosopimusta.6. MäärittelytHenkilötiedot – tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyvät tiedot; tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella.Rekisterinpitäjä – luonnollinen henkilö tai oikeushenkilö, viranomainen, virasto tai muu elin, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot.Rekisteröity – tunnistettu tai tunnistettavissa oleva luonnollinen henkilö jonka henkilötietoja käsitellään organisaatiossa.Käsittely – toiminto tai toiminnot, joita kohdistetaan henkilötietoihin tai henkilötietoja sisältäviin tietojoukkoihin joko automaattista tietojenkäsittelyä käyttäen tai manuaalisesti, kuten tietojen keräämistä, tallentamista, järjestämistä, jäsentämistä, säilyttämistä, muokkaamista tai muuttamista, hakua, kyselyä, käyttöä, tietojen luovuttamista siirtämällä, levittämällä tai asettamalla ne muutoin saataville, tietojen yhteensovittamista tai yhdistämistä, rajoittamista, poistamista tai tuhoamista.Henkilötietojen tietoturvaloukkaus – tietoturvaloukkaus, jonka seurauksena on siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin. Rekisterinpitäjä on velvollinen ilmoittamaan henkilötietojen tietoturvaloukkauksista valvontaviranomaisille ja kertomaan loukkauksen todennäköisistä kielteisistä vaikutuksista rekisteröidyn henkilötietoihin, yksityisyyteen tai tietosuojaan.Kolmas osapuoli – luonnollinen henkilö tai oikeushenkilö, viranomainen, virasto tai muu toimielin kuin rekisteröity, rekisterinpitäjä, henkilötietojen käsittelijä ja henkilö, joilla on oikeus käsitellä henkilötietoja suoraan rekisterinpitäjän tai henkilötietojen käsittelijän välittömän vastuun alaisena.Rekisteri – mikä tahansa jäsennelty henkilötietoja sisältävä tietojoukko, josta tiedot ovat saatavilla tietyin perustein, oli tietojoukko sitten keskitetty, hajautettu tai toiminnallisin tai maantieteellisin perustein jaettu.7. HyväksyntäTietoturvapolitiikan hyväksyy ESEn johtoryhmä ja sitä päivitetään osana toimintajärjestelmän ylläpitämistä.
Tämä tietoturvapolitiikka linjaa ESE-konsernin tietoturvan toteuttamista. Tietoturvapolitiikan linjausten perustana käytetään vuosisuunnitteluun kuuluvaa riskienarviointia, jonka pohjalta tietoturvaa kehitetään käyttäen mahdollisimman tarkoituksenmukaisia sekä kustannustehokkaita ratkaisuja. Tietoturvapolitiikka on osa ESE-konsernin toimintajärjestelmää. 1. Tietoturvapolitiikan päämääräTietoturvapolitiikan ensisijainen päämäärä on ESE-konsernin toimintojen turvaaminen kaikissa olosuhteissa. Tämä tarkoittaa sitä, että ICT-infra on käytettävissä kaikissa olosuhteissa sekä voidaan luottaa siihen, että tietojen luottamuksellisuus säilyy sekä että tietojen eheys ja saatavuus varmistetaan. Tietoturvapolitiikka linjaa, miten tietojärjestelmien ja tietojenkäsittelyn turvallisuus suojataan.2. Tietoturvan toteuttaminen2.1 Riskien arviointiTietoturvariskit arvioidaan vuosittain liiketoimintojen vuosisuunnittelun yhteydessä. Riskienarviointi koostuu riskin määrittelystä sekä sen todennäköisyyden sekä vaikuttavuuden arvioinneista. Tässä yhteydessä voidaan suunnitella myös toimenpiteitä, miten riski voidaan poistaa tai miten sen toteutumisen vaikutuksiin voidaan varautua.2.2 Henkilötietojen käsittelyESE-konsernissa käsitellään vain niitä henkilötietoja ja siinä laajuudessa kuin toiminnan kannalta on välttämätöntä. Henkilötietojen käsittely on dokumentoitu Digiturvamalli -järjestelmässä, joka kattaa GDPR säännösten vaatimukset.2.3 Tietoturvavaatimukset yhteistyökumppaneilleTietoturvavaatimuksissa määritellään, mitä vaaditaan sopimuskumppanien tietoturvan ja henkilötietojen käsittelyn osalta. Tietoturvan osalta vaatimukset on avattu liitteessä 1. Ulkopuolisia tahoja, kuten palvelutoimittajia koskeviin sopimuksiin liitetään tämän politiikan tietoturvavaatimukset soveltuvin osin. Näiden tahojen vastuulla on noudattaa sopimuksellisia tietoturvavaatimuksia siten kuin eri tahojen välillä on sovittu. Toimittajille tehdään riskiperusteisesti tarkastuksia tietoturvan toteutumisen varmistamiseksi.Henkilötietojen käsittelyn osalta vaaditaan, että henkilötiedot on suojattu tietoturvaperiaatteiden sekä lain vaatimusten mukaisesti. Rekisterinpitäjän tulee pystyä osoittamaan tietoturvaperiaatteiden tehokas toteutuminen henkilötietojen suojaamisessa sekä käsittelyssä ja niiden tulee perustua riskikartoitukseen. Riskikartoituksen perusteella arvioidaan henkilötietojen käsittelyn aiheuttama riski rekisteröidylle ja suojaamistoimenpiteet mitoitetaan tämän arvioinnin perusteella. Arvioinnissa tulee huomioida mm. missä tietoa käsitellään, ketkä tietoa käsittelevät, henkilötietojen käsittelyn luonne ja laajuus, asiayhteys sekä tietojenkäsittelyn tarkoitus. Henkilötietojen käsittelyn tulee aina olla luottamuksellista ja tiedot tulee pitää ajan tasalla. Henkilötietoja tulee myös käsitellä vain siinä laajuudessa kuin toiminnan kannalta on välttämätöntä. 2.4 TietoturvavastuutVastuu tietoturvan toteuttamisesta on ylimmällä johdolla, joka käytännön toteuttamisen on vastuuttanut IT- ja kyberturvallisuudesta organisaatiossa vastuussa oleville tahoille. Jokainen käyttäjä vastaa osaltaan tietoturvan toteuttamisesta annettujen ohjeiden mukaisesti.2.5 Tietoturvasuojakoulutus ja –ohjeetHenkilöstölle on laadittu ”Tietoturvaohje, käyttäjän pikaopas”, jonka mukaisesti tulee toimia tietokoneiden, tallennusvälineiden sekä matkapuhelinten kanssa. Siinä ohjeistetaan myös kulunvalvontaan liittyvästä tietoturvasta. Tarpeen mukaan henkilöstölle järjestetään tietoturvakoulutusta.2.6 Tietoturvallisuuden toteutumisen valvontaTietojärjestelmiä valvotaan automaattisesti jatkuvasti. Järjestelmiä, prosesseja ja toimintatapoja tarkastetaan säännöllisesti, ja niitä verrataan ajankohtaisiin suositeltuihin käytäntöihin. Tietoturva auditoidaan säännöllisesti yrityksen sisäisesti sekä ulkoisten auditoijien toimesta.2.7 Tietoturvapoikkeamat ja -havainnotESE-konsernin käytössä on järjestelmä, johon henkilöstö voi kirjata poikkeamat ja havainnot puhelimella ja tietokoneella. Havainnot käsitellään, ja mahdollisiin korjaaviin toimenpiteisiin ryhdytään viiveettä. Mahdolliset tietoturvan puutteet ja uudet suositukset pyritään ottamaan käyttöön niin nopeasti, kuin mahdollista.2.8 Toiminta häiriötilanteissa Tärkeimmille järjestelmille on tehty toipumissuunnitelmat, joissa on ohjeet tiedottamiseen ja korjaustoimenpiteisiin häiriötilanteen sattuessa. Erikseen nimetyillä henkilöillä on häiriötilanteissa oikeus ryhtyä välittömiin toimenpiteisiin organisaatioon tai sen tietoihin kohdistuvan riskin minimoimiseksi.2.9 Tiedottaminen häiriötilanteissaHäiriötilanteista tiedotetaan ensin konsernin sisällä IT:n toimesta. Mikäli ulkoista tiedottamista tarvitaan, toteutetaan se häiriöviestintäsuunnitelman mukaisesti?2.10 Tietoturvapolitiikan päivittäminen Tietoturvapolitiikan hyväksyy ESEn johtoryhmä ja sitä päivitetään osana toimintajärjestelmän ylläpitämistä.
Tässä politiikassa kuvataan ESE-Energia –konsernin (ESE) riskienhallinnan päämäärät ja periaatteet, organisointi ja vastuut sekä toimintatavat. Politiikan tueksi on laadittu tarkempaa ohjeistusta eri osa-alueille.Riskienhallinnan päämäärätRiskienhallinnan päämääränä on varmistaa ESEn strategian toteutuminen. Päämäärän saavuttaminen edellyttää, että- tunnetaan toimintaan kohdistuvat riskit ja mahdollisuudet- käytössä on yhdenmukaiset ja tehokkaat menetelmät tunnistaa, arvioida ja hallita riskejä- riskinottohalu on suhteessa riskinkantokykyyn ja tavoiteltuihin hyötyihin- riskien raportointi on systemaattistaRiskienhallinnan periaatteetRiskienhallinta on systemaattista toimintaa, jonka tarkoituksena on taata koko konsernin kattava riskien tunnistaminen, arviointi, hallinta sekä valvonta. ESEllä riskejä arvioidaan liiketoimintalähtöisesti ja kokonaisvaltaisesti. Tämä tarkoittaa sitä, että keskeisiä riskejä tunnistetaan, arvioidaan, hallitaan, seurataan ja raportoidaan järjestelmällisesti osana ESEn toimintajärjestelmää.Riskienhallinnan prosessiRiskien tunnistaminen tapahtuu osana toimintajärjestelmän mukaista vuosisuunnittelua. Jokainen yksikkö tekee seuraavalle vuodelle oman vuosisuunnitelmansa, jonka yhteydessä käydään läpi tunnistetut riskit, niiden mahdolliset vaikutukset, toteutumistodennäköisyys, vaikutuksen laajuus ja vaikutuksen seuraus. Näin saadaan laskettua eri riskien kriittisyysasteet ja ne voidaan laittaa tärkeysjärjestykseen. Vuosisuunnittelun yhteydessä katsotaan toimenpiteet, joilla riskejä hallitaan ja mitkä riskienhallintakeinot otetaan mukaan vuositavoitteisiin. Vuositavoitteet saadaan, kun mietitään, mitä mahdollisuuksia eri toiminnot tarjoavat riskien hallintaan.Riskit tunnistetaan seuraavista toiminnan alueista:1. Liiketoiminnan riskit2. Huoltovarmuusriskit3. Ympäristöriskit4. Työturvallisuus- ja työterveysriskit5. Energiatehokkuusnäkökohdat6. TietoturvallisuusriskitToteutuneista riskeistä laaditaan poikkeamat, jotka käsitellään johtoryhmässä ja poikkeamat suljetaan vasta, kun riski on poistettu.Riskiottohalu ja riskinkantokykyRiskinottohalu on se riskin määrä, jonka ESE on tiettynä aikana valmis ottamaan pyrkiessään asettamiinsa tavoitteisiin. Riskinkantokyky on se taloudellisten resurssien määrä jota vastaan riskiä voidaan ottaa. Riskinottohalu määritellään strategiatyössä. Riskinkantokykyä määriteltäessä pitää huomioida myös riskin poistamisen tai rajoittamisen aiheuttama kustannus.Organisaation roolit ja vastuut riskienhallinnan osaltaRiskien tunnistaminen: riskien tunnistaminen on jokaisen yksikön vetäjän vastuulla. Riskien hallinta: tunnistettujen riskien hallinnasta vastaa yksikönvetäjä tai hänen vastuuttamansa henkilö.Poikkeamien laadinta: jokaisella konsernin työntekijällä on vastuu raportoida toteutuneista riskeistä eli tehdä poikkeamailmoitus.Poikkeamien korjaus: yksikön vetäjä vastaa omaan yksikköönsä kohdistuvien poikkeamien käsittelystä.Poikkeamien seuranta: johtoryhmäPoikkeamien sulkeminen: kehityspäällikköRiskeihin liittyvät raportointimenettelytTunnistetut riskit ja niiden hallintatoimenpiteet dokumentoidaan vuosisuunnittelulomakkeelle. Toteutuneet riskit raportoidaan poikkeamailmoituksella, jotka käsitellään johtoryhmässä ja poikkeamat suljetaan vasta, kun riski on poistettu. Riskienhallinnan onnistumista ja toteutuneita riskejä seurataan myös johtoryhmän pitämissä johdon katselmuksissa. Hallitukselle raportoidaan merkittävät riskien toteumat esim. kokouksissa käsiteltävissä toimitusjohtajan hallitusraporteissa. Lisäksi hallitukselle raportoidaan puolivuosittain omistajalle toimitettava seurantaraportti sen aikataulun mukaan.Riskienhallinnan keskeiset käsitteetSeuraavassa on esitetty määrittelyt keskeisimmistä riskienhallinnan käsitteistä.Riski tarkoittaa epävarmuuden vaikutusta tavoitteisiin, poikkeamaa odotetusta. Vaikutus voi olla myönteinen tai kielteinen odotettuun verrattuna.Riskienhallinta tarkoittaa koordinoitua toimintaa, jolla organisaatiota johdetaan ja ohjataan riskien osalta. Se on systemaattista ja jatkuvaa toimintaa, jonka avulla tunnistetaan, analysoidaan, arvioidaan, käsitellään ja seurataan riskejä. Riskienhallintapolitiikka sisältää organisaation riskienhallintaan liittyvät periaatteet ja tavoitteet.Riskienhallintaprosessi on menettely riskien arviointiin (tunnistamiseen, analysointiin, merkityksen arviointiin), käsittelyyn, seurantaan ja viestintään.Vuosisuunnitelma on dokumentti, joka sisältää riskit ja niille tehtävät toimenpiteet, vastuut, käsittelyn tavoiteaikataulut, raportoinnin ja seurannan.
Vastuullisuusraportti julkaistaan yhtiön verkkosivuilla. Sisäisesti vastuullisuusseurantaa raportoidaan johtoryhmässä ja yhtiön hallitukselle sekä henkilöstölle. Ulkoisille sidosryhmille vastuullisuudesta raportoidaan tilinpäätösjulkaisun yhteydessä.
TarkoitusViestinnän tarkoituksena on edistää ja tukea konsernin tavoitteiden saavuttamista. Sisäisessä viestinnässä hyödynnetään monikanavaisuutta, jotta konsernin vastuullisuustoiminta saavuttaa koko henkilöstön. Sidosryhmäviestinnässä tavoitellaan vuorovaikutteisuutta ja hyvien suhteiden luomista, ylläpitämistä ja kehittämistä.Viestinnälle asetetut tavoitteetViestinnän tavoitteena on oikea-aikainen, aktiivinen, oikeasisältöinen ja totuudenmukainen viestintä. Tällä tarkoitamme, että tietoa on saatavilla tarvittaessa, asioista viestitään niiden ollessa ajankohtaisia ja tieto on luotettavaa ja oikeaa, eikä tietoja salata. Tavoitteena on myös olla viestinnässä proaktiivinen ja säännöllinen. Viestimme henkilöstölle ja omistajillemme asioista ennen muita kohderyhmiä.
Viestinnän kohderyhmätKonsernin viestinnän keskeisimmät tunnistetut kohderyhmät ovat
Viestintävastuut
Yhtiöiden sidosryhmä-, kriisi- ja talousviestinnästä vastaavat pääsääntöisesti yhtiöiden toimitusjohtajat. Liiketoimintajohtajat viestivät oman vastuualueensa sisällöistä. Sisäisen viestinnän koordinoinnista ja toteutuksesta vastaavat konsernin viestintä- ja markkinointihenkilöstö.
Raportointikausi