ESRS S4 – Kuluttajat ja loppukäyttäjät

Olennaiset vaikutukset, riskit ja mahdollisuudet

S4. Kuluttajat ja loppukäyttäjät

Siirtymäsäännösten käyttö ESRS 1 -standardin lisäyksen C mukaisesti

Bittium on päättänyt käyttää siirtymäsäännöstä ESRS 1 -standardin lisäyksen C mukaisesti S4-standardin alaisten tietojen osalta. Bittium tulee kuvaamaan tässä vähimmäistietojen raportoinnissa ne osa-aiheet, jotka on arvioitu olennaisiksi ja antamaan lyhyen kuvauksen siitä, miten kyseisiin seikkoihin liittyvät yrityksen vaikutukset otetaan huomioon yrityksen liiketoimintamallissa ja strategiassa. Vähimmäistietoraportointi sisältää myös lyhyen kuvauksen aikasidonnaisista tavoitteista sekä Bittiumin toimintaperiaatteista, toimista ja mittareista, jotka liittyvät kyseisiin seikkoihin.

Olennaisiksi arvioidut kuluttajiin ja loppukäyttäjiin liittyvät kestävyysseikat

Keväällä 2024 suoritetun kaksoisolennaisuuden arvioinnin prosessissa tunnistettiin S4 kuluttajat ja loppukäyttäjät olennaiseksi kestävyysseikaksi ja osa-aiheiden tasolla: Kuluttajien ja loppukäyttäjien henkilökohtainen turvallisuus sekä Tietoihin liittyvät kuluttajiin ja/tai loppukäyttäjiin kohdistuvat vaikutukset. Tarkempi kuvaus olennaisten vaikutusten, riskien ja mahdollisuuksien tunnistamis- ja arviointiprosessista on annettu osiossa ESRS 2 IRO-1.

Bittiumilla on laaja kuluttajien ja loppukäyttäjien asiakaskanta, joka hyödyntää yrityksen kehittämiä puolustusteollisuuden tuotteita, viestintä- ja liitettävyysratkaisuja sekä biosignaalien mittaamiseen ja monitorointiin tarkoitettuja ratkaisuja. Kuluttajien ja loppukäyttäjien terveyteen ja turvallisuuteen liittyvät riskit kytkeytyvät Bittiumin liiketoimintaan tuotteiden laadun ja turvallisuuden kautta. Toisaalta kuluttajien ja loppukäyttäjien terveyden ja turvallisuuden parantaminen Bittiumin tietoturvaa, viestintäratkaisuja ja terveydenhuoltoa edistävien tuotteiden avulla luovat yhtiölle liiketoimintamahdollisuuden. Bittium noudattaa tuotevastuuta koskevaa sääntelyä toiminnoissaan, noudattaen myös tuotteiden kohdemarkkinoiden vaatimuksia. Vaikutusten, riskien ja mahdollisuuksien suhde liiketoimintamalliin ja strategiaan on kuvattu yksittäisten vaikutusten, riskien ja mahdollisuuksien osalta osiossa ESRS 2 SBM-3.

Medical- ja Defense & Security -liiketoimintasegmenttien osalta strategiassa panostettiin tuotteiden kilpailukyvyn ja tuotettavuuden jatkuvaan parantamiseen, laadun kehittämiseen sekä toimintojen tehokkuuteen ja yritysten välistä kehitysyhteistyön hyödyntämiseen. Olennainen osa laatua ovat myös laadukkaat tuotetiedot, jotka puuttuessaan tai ollessaan epäselviä vaikuttaisivat negatiivisesti asiakkaiden ymmärrykseen tuotteiden käytöstä ja vaikuttaisivat välillisesti asiakkaiden turvallisuuteen. Laadukkaiden tuotetietojen puuttuminen heikentäisi asiakastyytyväisyyttä.

Bittiumin strategiassa nostetaan esille terveydenhuoltoteknologiassa käynnissä oleva merkittävä muutos potilaiden hoidossa. Varhaisdiagnostiikan kehittyminen ja aikaisemman kotiutumisen yleistyminen lisäävät terveydenhuollon prosessien tehokkuutta ja parantavat hoitokokemusta. Bittium voi edistää kuluttajien ja loppukäyttäjien henkilökohtaista terveyttä ja turvallisuutta mahdollistamalla tarkan seurannan ja mittauksen kotiolosuhteissa etämonitoroinnin avulla.

Bittiumin omien tuotteiden tietoturvan sekä uuden teknologian kehittäminen vaikuttaa asiakkaiden ja loppukäyttäjien yksityisyyteen tietoturvan ja -suojan kautta auttaen tietoon ja kansalliseen turvallisuuteen kohdistuvien uhkien torjumisessa. Tuotekehityspalveluprojekteissa tietoturva ja luottamuksellisuus ovat mukana suunnittelun alkuvaiheesta asti. Yhtiö on tunnettu tietoturvaosaamisestaan ja tietoturvallisista tuotteistaan puolustus- ja turvallisuusalalle sekä lääkinnällisistä laitteistaan. Bittiumille koituisikin merkittävä maineeseen liittyvä riski, mikäli havaittaisiin puutteita joko sen oman toiminnan tai tuotteiden tietoturvassa. Tietoturvauhkien lisääntyminen sekä kiristyvä turvallisuusilmapiiri kasvattavat tietoturvallisten laitteiden kysyntää, jolloin Bittiumin tarjoamat turvalliset tuotteet luovat kilpailuetua alan muihin toimijoihin ja luovat liiketoimintamahdollisuutta.

Olennaisiin kestävyysseikkoihin liittyvät tavoitteet

Bittiumin tavoitteena on säilyttää korkea asiakastyytyväisyys. Tämän tavoitteen saavuttamiseksi Bittium kehittää jatkuvasti prosessejaan ja järjestelmiään. Bittium on sitoutunut kattavaan laadunvarmistukseen varmistaakseen, että yhtiön tuotteet ja niiden tuotetiedot täyttävät asiakkaiden odotukset sekä noudatettavien säädösten ja standardien vaatimukset. Luottamukselliset asiakassuhteet ja turvallisuus ovat osa Bittiumin vuosille 2025–2028 päivittämää vastuullisuusstrategiaa, jonka linjaukset pyrkivät huomioimaan yhtiön asiakkaiden ja terveyden ja turvallisuuden.

Asiakas- ja projektityytyväisyyttä mitataan ja seurataan asiakastyytyväisyyskyselyn ja projektityytyväisyyden NPS-luvuilla (Net Promoter Score). Tavoitteiden toteutumista ja sovittuja kehitystoimenpiteitä seurataan koko henkilöstölle pidettävissä vuosineljänneksittäin toistuvissa henkilöstötilaisuuksissa. Hallitus seuraa tulosten ja tavoitteiden toteutumista vuosittain. Vuoden 2024 NPS-tavoitteiksi asetettiin 40, mikä on erittäin korkea asiakastyytyväisyyttä mittaava luku, mikä saavutettiin sekä asiakastyytyväisyys- että projektityytyväisyysmittauksissa. Bittiumin ylin asiakastyytyväisyyden ja asiakasyhteistyön toimintaperiaatteiden ja prosessien toteuttamisesta vastaava organisaation taso on yhtiön toimitusjohtaja ja johtoryhmän jäsenet.

Bittiumilla ei ollut palveluiden ja tuotteiden laatua edistäviä aikasidonnaisia tavoitteita vuodelle 2024. Vuonna 2024 aloitettiin Bittiumin tuotteiden elinkaaritietojen kartoittamista digitaalista tuotepassia varten, mikä lisää läpinäkyvyyttä toimitusketjussa ja vaikuttaa laadukkaiden tuotetietojen saatavuuteen. Tavoitteessa edettiin yhden avaintuotteen osalta Defense & Security and Medical -liiketoimintasegmenteissä. Tätä työtä jatketaan vuonna 2025 tavoitteena laajentaa tuotteiden määrää elinkaaritietojen keräämisen osalta. Tuotetietoja on parannettu myös kehittämällä materiaalitietokantojen hallintaa.

Bittiumin tavoitteena ovat tietoturvalliset tuotteet sekä pyrkimys vahvistaa rooliaan tietoturvauhkien tunnistamisessa ja tiedon hyödyntämisessä. Bittiumilla ei ole tietoturvauhkiin liittyviä aikasidonnaisia tavoitteita. Tietoturvauhkiin liittyvien ei-aikasidonnaisten tavoitteiden seurantaprosessiin Bittium on määrittänyt neljä kohdetta: 1) tietoturvasertifikaattien vaatimustenmukaisuus ja toiminnan tietoturvallisuus, 2) tietoturvallisuuden tilannetietoisuus ja poikkeamien havainnointikyky, 3) liiketoimintojen jatkuvuudenhallinta sekä 4) omien tuotteiden tietoturva ja uudet teknologiat. Tavoitteiden edistymistä seurataan vuotuisessa johdon katselmuksessa.

Henkilöstön tietoturvan ja tietosuojan osaamisen ylläpitäminen ja erityisosaamisen kasvattaminen on nostettu yhdeksi Bittiumin keskeiseksi tavoitteeksi. Bittiumin tavoitteena on oman roolin vahvistaminen tietoturvauhkien tunnistamisessa, tiedon hyödyntämisessä yhdessä sidosryhmien kanssa sekä osallistuminen tietoturvan EU- tai muihin kehittämisprojekteihin ja tärkeimpiin foorumeihin. Henkilöstön koulutus on osa pakollista toistuvaa koulutusta. Vuonna 2024 Bittium aloitti tietoturvakoulutuksen päivittämisen ja aloittaa uuden koulutuksen seurannan vuonna 2025.

Bittium asetti riskienhallinnan toimintaperiaatteen osalta tavoitteeksi täyttää kansainvälisten ISO 27001 -tietoturvasertifikaatin vaatimukset omassa toiminnassaan vuoden 2024 aikana. Tähän tavoitteeseen päästiin ja tavoitteen toteutuminen varmistettiin ulkoisen auditoinnin avulla.

Olennaisiin kestävyysseikkoihin liittyvät toimintaperiaatteet

Toimintaperiaatteet, jotka ohjaavat Bittiumin toimintaa kuluttajiin ja loppukäyttäjiin liittyen ovat yhtiön eettiset periaatteet (Code of Conduct), vastuullisuuspolitiikka, konsernin laatupolitiikka sekä Medical-liiketoimintasegmentin oma laatupolitiikka, joka ottaa huomioon kyseisen toimialan erityistarpeet. Eettiset periaatteet ja vastuullisuuspolitiikka määrittelevät Bittiumin yleiset vastuullisen liiketoiminnan harjoittamisen periaatteet kuten ihmisoikeuksien kunnioittaminen, tietoturvallisuudesta ja datan laadusta sekä tietoturvallisesta työympäristöstä ja -ilmapiiristä huolehtiminen, ympäristövastuu sekä toimittajasuhteista huolehtiminen.

Bittiumin laatupolitiikan tavoitteena on saavuttaa asiakastyytyväisyys tuotteiden ja palvelujen hyvällä laadulla. Bittium pyrkii varmistamaan asettamiensa toimintaperiaatteiden toteutumisen Bittiumin sertifioimien hallintajärjestelmien ja niiden asettamien vaatimusten avulla. Medical-liiketoimintasegmentin laatupolitiikan mukaan Bittium noudattaa lääkinnällisten laitteiden suunnittelua, kehittämistä ja tuotantoa sekä elinkaaren hallintaa koskevaa lääkinnällisten laitteiden asetusta (MDR (EU) 2017/745).

Bittiumin keskeiset tietoturvaan ja -suojaan liittyvät toimintaperiaatteet ovat yhtiön tietoturvapolitiikka ja sen alipolitiikat. Toimintaperiaatteet määrittävät yhtiön tapaa ylläpitää luottamuksellisia asiakassuhteita, valmistaa turvallisia ja tietoturvallisia tuotteita sekä kerätä, säilyttää ja käyttää luottamuksellisia tai omistusoikeudellisia tietoja. Bittiumin liiketoiminnan jatkuvuussuunnitelmat on laadittu varmistamaan, että Bittium pystyy jatkamaan toimintaansa myös vakavan häiriön aikana ja sen jälkeen. Bittiumin palautumissuunnitelman (Disaster Recovery Plan) tarkoituksena on minimoida mahdollisten katastrofien vaikutukset ja rajata palautumisen kestoa, jotta liiketoiminnan jatkuvuus voidaan säilyttää.

Olennaisiin kestävyysseikkoihin liittyvät toimet

Tuoteturvallisuuden varmistaminen

Kuluttajien ja loppukäyttäjien terveydestä ja turvallisuudesta pidetään huolta varmistamalla Bittiumin tarjoamien tuotteiden turvallisuus ja arvioimalla tuotekehityksessä systemaattisesti tuotteeseen ja sen elinkaareen liittyviä riskejä, tuotteeseen käytettyjen materiaalien ja komponenttien turvallisuutta sekä tietoturvaan liittyviä näkökohtia. Bittiumin tuotteilta edellytetään Euroopassa vaatimustenmukaisuutta (CE-merkintä) ja siihen liittyvää vaatimuksenmukaisuusvakuutusta. Kuluttajiin ja loppukäyttäjiin liittyviä toimia arvioidaan, katselmoidaan tai auditoidaan säännöllisesti sisäisten käytäntöjen mukaisesti osana Bittiumin tuotekehitysprosessien sisäisiä vaatimuksia. Bittium kouluttaa henkilöstöään tuotevastuusta.

Bittiumin kaikki lääketieteelliset laitteet on suunniteltu käyttäjien turvallisuutta (potilasturvallisuus) ajatellen, ja ne noudattavat joko 26.5.2021 voimaan tulleen EU:n MDR-asetuksen (Medical Device Regulation) tai aiemman vuoteen 2028 saakka voimassa olevan MDD-asetuksen (Medical Device Directive) vaatimuksia. Bittium on edennyt vuonna 2024 suunnitellusti tuotteidensa MDR-asetuksen mukaisissa tuotehyväksynnöissä. Vuonna 2024 Bittium on panostanut lääkinnällisten laitteiden regulatiivisen osaamisen kasvattamiseen ja aloittanut tuotetietojen systemaattisen läpikäynnin ja päivittämisen osana jatkuvia laadunhallintatoimia.

Varmistaakseen tuotetietojensa tietoturvallisuuden Bittium käyttää kerroksellisen suojauksen menetelmiä kattaen infrastruktuurin osa-alueet verkoista päätelaitteisiin. Tuotetietojen saatavuutta ja laatua seurataan Bittiumilla asiakasyhteydenpidon avulla, vuosittaisella asiakastyytyväisyyskyselyllä sekä relevanttien laatu- ja turvallisuusvaatimusten avulla.

Auditoinnit, vaatimustenmukaisuuden seuranta ja johdon katselmointi

Laadunhallintavaatimustenmukaisuuteen liittyen yhtiössä pidetään säännöllisesti johdon katselmointi, josta saatua palautetta käytetään Bittiumin toimintojen ja prosessien kehittämiseen. Vuonna 2024 yhtiö johdon katselmuksessa fokuksessa olivat päivitetyt liiketoimintaprosessit ja politiikat. Johdon katselmointi kattaa myös sisäiseen tai asiakkaisiin liittyvät toiminnot, tuotteet ja palvelut sekä niiden laadun. 

Bittium toteuttaa laajalti ulkoisia ja sisäisiä auditointeja varmistaakseen tuotteidensa ja prosessiensa laadun. Bittiumilla suoritetaan vuosittainen sisäinen auditointi ISO 9001- ja ISO 13485 -standardeista. Bittium auditoidaan tai arvioidaan myös asiakkaiden toimesta ja vuosittaisilla johtamisjärjestelmiin kohdistuvilla ulkoisilla auditoinneilla. Bittiumin ulkoisiin johtamisjärjestelmä auditointeihin kuuluvat KIWAn (Inspecta) suorittamat konsernitasoiset auditoinnit ISO 9001, ISO 14001, ISO 50001, ISO 27001, ISO 13485, AQAP 2110 sekä Eurofinsin tekemät auditoinnit ISO 13485, MDR 2017/745, MDSAP ja MDR-M 75. Vuoden 2024 aikana ulkopuolisessa auditoinnissa tunnistettiin lukuisten positiivisten laatutekijöiden ohella myös kehittämiskohteita. Medical-liiketoimintasegmentin prosesseihin liittyen havaittiin lisäksi muutamia poikkeamia, joiden käsittelyt ovat meneillään.

Koulutus- ja kehityshankkeet

Bittiumilla asiakaspalvelun ja asiakasyhteistyön osaamisen kehittämisessä ajankohtaisia teemoja ovat esimerkiksi tietoturva, laatujärjestelmät, ohjelmointikieliin, pilviympäristössä toimimiseen sekä sulautettuihin järjestelmiin liittyvät aiheet. Vuonna 2024 aloitettiin Sales Excellence -valmennusohjelma myynnissä toimiville henkilöille. Vuonna 2024 yhtiössä jatkettiin verkossa toimivan oppimisalustan käyttöä, jossa yhtiön työntekijät voivat osallistua laadukkaisiin tietoturvaan ja tietosuojaan keskittyviin miniwebinaareihin. Bittiumin tavoitteena on edistää henkilöstön jatkuvaa työssäoppimista tietoturvauhkien tunnistamisessa ja tiedon hyödyntämisessä.

Tietoturvan ja -suojan vahvistaminen

Bittiumin käytössä on kattavasti erilaisia tietosuojan ja tietoturvan suojaustoimia ja -menetelmiä, joilla yritys suojaa omia sekä asiakkaidensa liike- ja ammattisalaisuuksia sekä yksityisyyttä. Näitä ovat mm. palomuurien ja päätelaitteensuojausohjelmistot, tietosiirron salaaminen, monivaiheinen todennus ja pääsynhallinta, säännölliset tietoturvapäivitykset, haavoittuvuusskannaukset, SIEM-järjestelmä ja SOC-palvelut. Bittiumilla on käytössään yhtiön oma kvanttiturvallisuusvalmiudet omaava VPN-salaustuote ja Nato-hyväksytty tietoturvapuhelin, joilla yritys voi hyödyntää tietoturvaan ja -suojaan liittyviä olennaisia mahdollisuuksia.

Bittium toteutti vuodelle 2024 seuraavia toimia tietoturvaan ja tietosuojaan liittyvien kielteisten ja myönteisten vaikutusten hallitsemiseksi:

Olennaisiin kestävyysseikkoihin liittyvät mittarit

Bittium mittaa asiakkaidensa tyytyväisyyttä kahdella erityyppisellä kyselyllä: Asiakastyytyväisyydessä arvioidaan yhteistyön sujuvuutta, Bittiumin kykyä ymmärtää asiakasta sekä tyytyväisyyttä tuotteiden ja palveluiden laatuun. Projektityytyväisyydessä sen sijaan paneudutaan projektihallinnan onnistumiseen, teknisten ratkaisujen toimivuuteen ja laatuun sekä projektin lopputulokseen. Molempien kyselyiden avulla saadaan tietoa sekä poikkeamien että tuotteiden ja palveluiden laadusta, jota mitataan vakavien poikkeamien määrillä liiketoiminnoittain. Vuoden 2024 aikana ei tullut havaintoja merkittävistä laatupoikkeamista.

Bittium mittaa asiakastyytyväisyyttä NPS-luvulla eli Net Promoter Scorella.  Vuodelle 2024 sekä asiakas- että projektityytyväisyyskyselyissä mitattavien NPS:n tavoitteiksi oli asetettu 40, mikä on teknologiayhtiöiden keskuudessa keskivertoa korkeampi luku. Vuoden 2024 asiakastyytyväisyyskyselyn NPS-luku oli 48 ja projektityytyväisyyden NPS-luku 73 ylittäen vuodelle asetetut tavoitteet.

Kuluttajien ja loppukäyttäjien terveyteen ja turvallisuuteen liittyvinä mittareina Bittium käyttää laadunhallinnan sisäistä raportointia, joka tehdään kuukausittain laatujohtoryhmälle (Quality Board). Bittiumin asiakkaiden ja loppukäyttäjien potilasturvallisuuden toteutumista mitataan ISO 13485 -standardin laatu- ja turvallisuusvaatimusten avulla. Tuotetietojen laadun vaatimuksenmukaisuutta mitataan eri auditointien ja muiden vaatimusten kautta. Myös asiakastyytyväisyyskyselyssä palautetta on saatu tuotetietojen parantamisen osalta ja vuonna 2024 yhtiö on käynnistänyt tuotetietojen päivittämisen laadun parantamiseksi. 

Kuluttajien ja loppukäyttäjien  yksityisyyttä mitataan  tietoturvan ja tietosuojan osalta ISO/IEC 27001:2013 -tietoturvasertifikaatin avulla. Voimassa oleva sertifikaatti osoittaa, että sen saanut organisaatio on ottanut käyttöön tunnetut parhaat käytännöt liiketoimintansa ja käsittelemiensä tietojen suojaamiseen sekä tietoturvariskien hallintaan. Sertifikaatti edellyttää jatkuvaa voimassapitoa sekä jatkuvaa ja säännöllistä tietoturvatietojen kuten tietoturvapoikkeamien määrän ja laadun, riskienhallintatoimenpiteiden tehokkuuden sekä tietoturvaan ja tietosuojaan liittyvien kontrollien vaikuttavuuden seurantaa, mittaamista ja analysointia. Tietoturvaan liittyen tosiasiallisia tapahtuneita vahinkoja ei ole tunnistettu vuonna 2024.