Kitobni o'qish: «Корпоративная безопасность, как бизнес-процесс»

От автора

Я не вполне обычный "безопасник". В промежутке между работой в государственной и коммерческой службах безопасности, мне довелось в течение почти пяти лет заниматься закупочной деятельностью, складской и транспортной логистикой (в том числе международной).

Проведение тендеров, взаимодействие (не всегда бесконфликтное) с контрагентами подарили уникальный опыт, а главное, совершенно иной взгляд и понимание безопасности, не с позиции уголовного кодекса, а с точки зрения влияния на бизнес и его результаты.

С тех пор рассматриваю «безопасность», как бизнес-функцию, основная задача которой заключается в позитивном влиянии EBITDA¹, посредством сокращения потерь от фрода и неэффективности. И, конечно, сама служба безопасности (СБ) должна иметь положительный P&L²! В этом случае, обеспечение безопасности превращается в бизнес-процесс, где роли распределены, операции регламентированы и увязаны с активностями других функций (дирекций).

В результате «безопасность» перестает жить для себя и сама по себе, а превращается в часть производственного процесса Компании.

В настоящем издании содержится результат эволюции идей, изложенных автором ранее в книге «Как обеспечить безопасность бизнеса, если Вам лень этим заниматься», но с учетом специфики предприятий, непосредственно управляемых отцами-основателями, частично раскрытой в другой – «Бизнес по понятиям или как выжить наемнику в частной компании». Учитывая, что не все читатели знакомы с ними, некоторые тезисы и примеры будут повторяться для сохранения связности повествования.

Книга может быть полезна, как действующим сотрудникам или руководителям подразделений безопасности в качестве пособия, так и лидерам бизнеса для понимания потенциала и путей повышения эффективности использования, подчиненных СБ.

Что такое корпоративная безопасность

Wikipedia определяет «безопасность», как состояние защищенности…. Но иногда, угрозы бывают незримыми - неэффективные затраты, утечки чувствительных данных могут происходить дни, месяцы и годы до того, как будут выявлены.

То есть, мы можем пребывать в уверенности, что защищены, но на самом деле это будет не так. Именно поэтому очень важно разделить понятия «ощущение» и «состояние» защищенности.

В отличие от ощущения, состояние защищенности материально, его можно создать, а результаты измерить.

В общем случае, служба безопасности должна оказывать влияние на благополучие Компании, сокращая ее затраты, путем возмещения ущерба, предотвращения потерь, а также неэффективных расходов.

Последнее, особенно важно. Большинство «безопасников», по привычке продолжают мыслить и классифицировать происшествия по статьям уголовного кодекса: «Кража», «Присвоение и растрата», «Коммерческий подкуп» и т.д. Однако, если отталкиваться не от УК РФ, а от факта наступления потерь, оказывается, что из поля зрения СБ выпадают до 80%, заслуживающих внимания историй. Случается, что все участники процесса добросовестно выполнили свои обязанности, а убыток возник. Причем, умысла на нанесение вреда предприятию ни у кого из них не было. При детальном изучении оказалось, что какая-то операция не была выполнена, так как отсутствовало лицо, которому она была бы поручена, либо риск потерь в этой точке процесса не рассматривался.

Получается, что безопасность — это не только организация постов охраны, внедрение систем видеонаблюдения, управления доступом и установка «антивирусов» на рабочие станции, но и эффективный инструмент управления рисками, позволяющий выявлять системные проблемы и уязвимости в бизнес-процессах.

Обобщив, можно выделить четыре основных причины потерь:

Умышленные действия сотрудников или третьих лиц, противоречащие требованиям Законодательства или внутренних нормативных актов Компании (только для сотрудников), в результате которых причинен ущерб (в данном случае нам не важно был ли направлен умысел на личное обогащение или нет, рассматриваем только угрозы предприятию).

Уязвимость бизнес-процесса, когда (как описано в примере выше) все участники в полном объеме исполнили свои функции, однако, потери возникли, так как защитные мероприятия оказались недостаточными (неэффективными), либо не были предусмотрены вовсе.

Кросс-функциональная несогласованность – когда условия начала следующего процесса не совпадают с финальными параметрами предыдущего, участники обоих в полном объеме исполнили свои функции, а на стыке полномочий возникла «серая зона», где и случились потери.

Недостатки планирования – когда убытки возникают там, где такая возможность не предполагалась. Чаще всего, кейсы такого типа фиксируются при маркетинговых активностях или запуске новых продуктов, когда продуктовая команда не проработала в достаточной степени вопросы безопасности.

Классические «безопасники», опираясь на свой опыт работы в правоохранительных органах рассматривают только первую причину, игнорируя остальные, так как считают, что раз виновное лицо отсутствует, то проблема лежит вне зоны их ответственности.

Чтобы охватить все источники возникновения потерь и убытков, процесс обеспечения безопасности можно разбить на несколько простых этапов:

Нормотворчество – разработка (актуализация) внутренних нормативных документов Компании, регламентирующих вопросы безопасности.

Внедрение (совершенствование) контролей безопасности в наиболее рисковые операционные процессы.

Профилактические мероприятия – обучение персонала элементарным правилам информационной безопасности, порядку обращения со сведениями, составляющими коммерческую тайну, персональными данными, товарно-материальными ценностями.

Мониторинг контрольной среды – систематический контроль измеряемых значений и оценка соблюдения участниками бизнес-процессов требований ВНД), сравнение их с эталонными значениями (нормативами или ВНД).

Выявление и отработка инцидентов безопасности – регистрация отклонения от нормального состояния какого-либо операционного процесса (нарушение требований Регламента, Положения, Должностной инструкции, расхождение данных учета и фактического наличия товарно-материальных средств и т.п.).

Идентификация риска - имеются ли в инциденте признаки системных проблем, то есть существует ли вероятность его повторения в другом месте с другим составом участников.

Оценка риска – цена (сколько уже потеряли, сколько можем потерять в будущем), степень влияния на непрерывность/устойчивость бизнеса, вероятность реализации (для потенциальных рисков), предварительная стоимость мероприятий по закрытию (снижению) риска.

Выработка стратегии управления риском – избежание/передача/снижение/принятие.

Реализация митигирующих мероприятий и/или защитных мер.

Постконтроль – мониторинг эффективности реализованных митигирующих мероприятий, выявление возможных признаков повторения риска.

Аналитика – изучение выявленных рисков с точки зрения быстроты их выявления и идентификации, выработка и реализация мер по улучшению качества мониторинга инцидентов.

Оценка работы подразделения безопасности и его сотрудников.

Переход к п.1.

Как мы видим, деятельность по обеспечению безопасности циклична и при правильной организации может представлять собой самостоятельный бизнес-процесс.

Однако, чтобы эта штука заработала необходимо заручиться поддержкой руководства Компании для выполнения нескольких условий:

Стратегическое планирование. Безопасность должна быть включена в общую стратегию развития компании и обеспечена необходимыми ресурсами для совершенствования собственных процессов и контролей.

Интеграция с другими функциями. Контроли безопасности необходимо встроить в бизнес-процессы других дирекций.

Автоматизация процессов. Мониторинг больших массивов данных с генерацией оповещений об отклонениях и автоматическая блокировка нежелательных или опасных действий (как пользователей информационных ресурсов, так и финансовых операций).

Регулярный аудит и улучшение. Постоянный анализ текущих мер безопасности и их совершенствование помогают поддерживать высокий уровень защиты и адаптироваться к новым угрозам.

И, конечно, для того, чтобы ощущение защищенности стало состоянием, требуется определить подразделению безопасности значимые для бизнес-заказчика цели, оценочные метрики и инструменты для их измерения.

Предпосылки

Любой человек в процессе своего роста и развития проходит несколько этапов: детство, юность, зрелость и старость и для каждого из них необходим собственный подход к обучению, воспитанию и управлению.

Маленькому ребенку можно сказать «сделай то-то», и он сделает. Авторитета родителя или воспитателя будет достаточно. Подростку уже следует объяснить зачем это делать и почему именно на него возложена такая задача. Взрослый совершает требуемые действия осознанно и самостоятельно.

Похожие метаморфозы происходят и с Компаниями.

На «детском» этапе, всем управляет и принимает все решения собственник лично. Он готов воспринимать и реализовывать новые идеи, но все еще в ручном режиме, точечно и бессистемно. Горизонт планирования не превышает нескольких месяцев.

«Подростковый» этап характеризуется ростом масштаба бизнеса, физической неспособностью собственника уследить за всеми процессами, при сохраняющихся попытках всем управлять и во все вникать лично. Иногда принимаются на работу опытные управленцы, но полномочия им не делегируются, что не позволяет изменить ситуацию. Горизонт планирования 1-3 года, но текущие (месячные, квартальные) планы со стратегическими целями, как правило, не увязаны.

«Зрелость» - преодоление подростковых проблем. Выстраивание многоуровневой иерархии, закрепление за менеджерами зон ответственности, делегирование полномочий, внедрение процессного подхода управления бизнесом. Есть видение развитие Компании и десятилетия и четкие цели на 3 года, увязанные с текущими планами.

«Старость» - управленческая иерархия усложнена, процесс принятия решений бюрократизирован, сложная система бизнес-отчетности в большей степени отражает ожидания топ-менеджмента, а не реальное положение дел. Все изменения спланированы на десятилетия вперед и корректировка целей невозможна, либо сильно затруднена.

Можно предложить и более развернутую структуру жизненного цикла Компании, например, бизнес-консультант и основатель Adizes Institute Ицхак Адизес выделяет целых десять этапов.

В нашем случае, требуется всего лишь понять, на каком этапе возможно выстраивание системы безопасности предприятия в виде бизнес-процесса.

Исходя из предложенной упрощенной классификации, в «детских» и «подростковых» Компаниях такие попытки скорее всего будут обречены на неудачу, так как у собственника еще не сформировалась соответствующая потребность и, зачастую, масштаб бизнеса уже выходит (или вышел) за границы его восприятия.

«Старые» Компании закостенели в своих подходах и «старая гвардия» не допустит потрясений, особенно, в таком консервативном подразделении, как Дирекция безопасности.

Организации, на пороге зрелости, как раз то, что надо!

При этом, совершенно логично, что бизнес-процессы выстраиваются в первую очередь в «профитных» дирекциях, то есть там, где генерируется прибыль. Вспомогательные функции могут пребывать в подростковом или даже детском состоянии еще долгие годы – до них просто не доходят руки управленцев уровня МВА, а местных руководителей все устраивает.

Так нужна ли Компаниям корпоративная безопасность, организованная в формате бизнес-процесса?

Полагаю, что да! Учитывая, что деятельность любого предприятия циклична, а бизнес-процесс - это стандартный и повторяемый набор действий, который использует Компания для получения результата, то и активности Дирекции безопасности имеют повторяющийся характер.

В качестве иллюстрации…

Одним из направлений деятельности подразделений безопасности является проведение расследований по фактам происшествий. Если рассматривать каждый инцидент в контексте бизнес-процессов, то есть искать не только ответ на вопрос «Кто виноват?», но и «Что сделать, чтобы подобное не повторилось?», то можно выявить, а затем и устранить уязвимости в них. Проведение расследований, а также анализ и обобщение их результатов – постоянная цикличная активность, которая может и должна стать частью организованного, описанного и закрепленного внутренними нормативными документами бизнес-процесса Дирекции безопасности.

Или работа по возвращению проблемной дебиторской задолженности.

До того момента, когда дебиторская задолженность (ДЗ) становится безнадежной, она сначала бывает сверхнормативной (выходящей за временные рамки, установленные договором) и проблемной (когда разумные сроки ее возвращения истекли, а досудебное взаимодействие с контрагентом-должником результатов не принесло).

В большинстве случаев, причинами возникновения ДЗ, становятся:

некачественная проверка потенциального контрагента на риски взаимодействия;

игнорирование менеджментом установленного высокого (повышенного) риска взаимодействия;

необоснованное применение предоплатой формы расчетов (излишний оптимизм и пренебрежение мерами должной осмотрительности);

отсутствие контроля за исполнением договорных обязательств со стороны линейных менеджеров и их руководителей;

неэффективность контроля за накоплением дебиторской задолженности со стороны финансового подразделения и бухгалтерии предприятия;

несвоевременное принятие мер по взысканию накапливающейся задолженности контрагентов в досудебном порядке.

Наличие сверхнормативной дебиторской задолженности, в большинстве случаев, является следствием упущений в организации договорной работы, начиная с момента выбора контрагента (поставщика), определения формы расчетов и заканчивая приемкой работ или услуг.

Предпосылки к ее возникновению и накоплению могут складываться на всех этапах договорного взаимодействия, а, следовательно, необходимо включение мероприятий по обеспечению безопасности на каждом из них.

Поскольку договорная работа осуществляется снова и снова, то и участие СБ является повторяющимся процессом.

Совокупность цикличный активностей Дирекции безопасности – ее бизнес-процесс.

Таким образом, если в Компании сформировались предпосылки и потребность в трансформации функции безопасности, то дальнейшие действия укладываются в довольно простую последовательность: Как сейчас? (As Is) – Как должно быть? (To Be) – Как из «как сейчас» сделать «как должно быть»? (How)

Как правило, задачи по трансформации предлагается решить вновь принятым руководителям. В этом случае выделенные этапы можно привязать к испытательному сроку:

Корпоративная безопасности, как бизнес-процесс

Рассмотрение корпоративной безопасности как бизнес-процесса — это современный и наиболее эффективный подход. Он позволяет перейти от реакции на инциденты к proactive-управлению рисками и интеграции безопасности в работу каждого сотрудника.

Как вариант, можно использовать следующую последовательность действий по построению системы корпоративной безопасности в форме бизнес-процесса, используя цикл Деминга (PDCA) и лучшие практики (ISO 27001, NIST CSF).

Шаг 0: Философия подхода

Прежде всего, важно понять парадигму: безопасность — это не продукт (например, купленный фаервол), а сквозной процесс, который:

Имеет цель — защитить активы компании и обеспечить непрерывность бизнеса.

Имеет владельца (CSO³).

Взаимодействует с другими бизнес-процессами (HR, IT, разработка, финансы, юристы).

Измеряется показателями (KPI).

Постоянно улучшается на основе обратной связи.

Шаг 1: Проектирование процесса (Plan)

Это этап стратегического планирования и анализа.

1. Определение владельца процесса и команды. Назначьте ответственного (CSO) и сформируйте рабочую группу с представителями ключевых департаментов (IT, HR, юридический, административный).

2. Идентификация активов. Что мы защищаем?

Информация: базы данных, документация, ноу-хау.

Технологии: серверы, компьютеры, сети, ПО.

Персонал: ключевые сотрудники, их знания.

Коммерция: взаимодействие с поставщиками, партнерами и подрядчиками.

Физические активы: офисы, оборудование.

3. Анализ рисков. Выявите угрозы и уязвимости для ваших активов. Оцените вероятность реализации угрозы и потенциальный ущерб. Используйте методологии (например, OCTAVE, NIST Risk Assessment).

4. Определение требований.

Внутренние: Политика безопасности компании, требования бизнеса.

Внешние: Законодательство (152-ФЗ о персональных данных, 187-ФЗ о КИИ, GDPR), отраслевые стандарты (ПЦН БД, PCI DSS).

5. Разработка стратегии и политик. Создайте главный документ — Политику корпоративной безопасности. На ее основе разработайте регламенты, инструкции и процедуры (например, политика использования электронной почты, правила парольной защиты, инструкция по реагированию на инциденты, регламент проведения корпоративных расследований и т.п.).

Шаг 2: Внедрение и реализация (Do)

Это этап, когда планы воплощаются в жизнь.

1. Реализация контролей (мер защиты). Внедрите выбранные меры на основе анализа рисков:

Технические: Фаерволы, антивирусы, DLP, системы шифрования, резервное копирование, СКУД, видеонаблюдение, технические средства охраны.

Организационные/Административные:

- Подпроцесс "Управление доступом": Процедуры выдачи/изъятия прав доступа при приеме/увольнении.

- Подпроцесс "Обучение и осведомленность": Регулярные тренинги для сотрудников, рассылка уведомлений, phishing-симуляции.

- Подпроцесс “Управление экономической безопасностью»: контроли безопасности при осуществлении закупок, отгрузок продукции, приемки работ, проверки на аффилированность сотрудников с контрагентами, проверка физ. и юр. лиц на риски взаимодействия (кандидаты на работу, действующие сотрудники, потенциальные и существующие контрагенты).

- Подпроцесс "Управление физической безопасностью": Порядок организации и поддержания пропускного и внутриобъектового режимов, подержание работоспособности систем видеонаблюдения, контроля доступа, пожарной сигнализации.

Правовые: Подписание NDA (соглашений о конфиденциальности) с сотрудниками и контрагентами, заключение договоров материальной ответственности (коллективной и/или индивидуальной), регулярная актуализации должностных инструкций и их соответствие фактическому функционалу работников.

2. Коммуникация и обучение. Донесите политики и процедуры до всех сотрудников. Объясните почему это важно, а не просто что нужно делать.

3. Операционная деятельность. Ежедневное выполнение задач: мониторинг, расследование инцидентов безопасности, внедрение митигирующих мероприятий, управление доступом, обновление систем.

Шаг 3: Мониторинг и контроль (Check)

Без этого шага процесс неуправляем. Вы не поймете, работает ли он.

1. Сбор метрик и KPI (Ключевые показатели эффективности). Примеры:

Количество успешно отраженных атак (сработавших средств защиты).

Время между обнаружением инцидента и его устранением (MTTD/MTTR).

Количество нарушений политик безопасности (например, срабатывания DLP, несоблюдения тендерных процедур, перемещения ТМЦ и т.д.).

Количество проведенных расследований инцидентов безопасности и выявленных в результате уязвимостей (рисков) с оценкой вероятности повторения и степени влияния на непрерывность бизнеса.

Суммы предотвращенного и возмещенного убытков.

Уровень риска (остаточного) после внедрения мер (эффективность внедрения мер митигации).

Количество сотрудников, прошедших обучение.

2. Аудит и тестирование.

Пентесты: Проверка эффективности технических мер.

Социальный инжиниринг: Проверка осведомленности сотрудников.

Внутренние и внешние аудиты: Проверка соответствия политикам и стандартам (ISO 27001).

3. Анализ инцидентов. Каждый инцидент безопасности должен быть расследован и проверен на признаки системного риска (возможно ли повторение подобного в другом месте, в другое время и другим составом участников). Его root-cause (коренная причина) укажет на слабые места в процессе. По результатам проведенных расследований, вырабатываются митигирующие мероприятия, направленные на закрытие выявленных уязвимостей (снижение/снятие риска).

Шаг 4: Совершенствование (Act)

Это этап обратной связи и закрытия цикла.

1. Анализ данных мониторинга. Регулярно (ежеквартально) анализируйте собранные метрики и отчеты об инцидентах. Что работает хорошо? Что нет?

2. Инициирование корректирующих действий.

Обновили политику, если она оказалась нерабочей?

Внедрили новый контроль, если старый не справляется?

Уволили сотрудника, который регулярно нарушает правила?

3. Стратегический пересмотр. Раз в год пересматривайте всю систему безопасности: изменились ли бизнес-процессы? Появились ли новые активы? Возникли ли новые угрозы? Обновите карту рисков.

Ключевые факторы успеха

1. Поддержка топ-менеджмента. Без понимания и финансирования со стороны руководства процесс не будет работать.

2. Интеграция в бизнес-процессы. Безопасность должна быть "вшита" в процессы разработки, найма сотрудников, закупок и т.д.

3. Баланс между безопасностью и удобством. Слишком строгие правила станут помехой бизнесу, слишком мягкие, создадут неприемлемые риски.

4. Измеряемость. Нельзя управлять тем, что нельзя измерить.

5. Адаптивность. Угрозы меняются, и ваша система безопасности должна меняться вместе с ними.

Внедряя процессный подход, мы создаем не статичную "крепость", а живую, дышащую и развивающуюся систему безопасности, которая реально защищает бизнес и создает его ценность.

Сложности внедрения

Сложности внедрения изменений являются обратной стороной предпосылок к ним.

Однако, прежде, чем приступать к трансформационным процессам, представляется целесообразным провести анализ среды в которой предстоит действовать, поскольку, внешние условия могут свести на нет любые усилия, не учитывающие их.

За время существования компании, в ней сложилась некая корпоративная культура, определяющая порядок выработки и принятия управленческих решений, аппаратный вес участников процесса (который не всегда соответствует должностям в штатном расписании), их фактический функционал (так же не всегда совпадающий с должностными инструкциями и т.п.

Отсутствие понимания целей и предназначения СБ

Как и любое другое начинание, перестройка функции обеспечения безопасности в бизнес-процесс на первом этапе неизбежно вызовет отторжение.

Причем, это может проявиться как со стороны сотрудников СБ, так и у заказчика сервиса – руководителя или акционеров Компании. Причиной тому стереотипы, привычки и инертность.

Порой, из тщеславия бизнесмены приглашают возглавить безопасность ушедшего на пенсию генерала или большого начальника из МВД, ФСБ, либо других подобных организаций. Как правило ценность таких кадров, заключается (и ограничивается) их административным ресурсом, а подчиненный аппарат создается, чтобы руководителю было кем управлять.

Соответственно, в таких случаях от СБ не требуют каких-либо конкретных действий или системной работы. Руководитель подразделения безопасности периодически докладывает Главе компании о своих успехах и такие встречи, скорее всего, не имеют четкой повестки, а результаты работы критериев успешности.

Если бизнес-заказчик привык к такому формату взаимодействия и считает его нормальным, формализация и упорядочивание работы Дирекции безопасности, а тем более, включение ее в качестве полноценного участника в коммерческие процессы покажется ему не целесообразной.

Так бывает в «подростковых» Компаниях, когда инициатором изменений становится вновь назначенный Директор по безопасности. Потребуется много сил и времени, чтобы убедить Генерального директора и/или акционеров в возможности и, главное, необходимости таких действий.

При этом, в случаях, когда они рассматривают «безопасников» исключительно, как цепных псов, готовых по первому требованию вцепиться в глотку тому, на кого укажут или «решал», взаимодействующих с правоохранительными и надзорными органами, то перспективы внедрения бизнес-ориентированного подхода обеспечения безопасности туманны, а «жизненный цикл» в Компании того, кто его предлагает короток.

Если Глава Компании или акционеры становятся инициаторами перенастройки функции безопасности по процессному принципу, может наблюдаться противоположная ситуация. Уже морально устаревший Директор по безопасности будет саботировать изменения, поскольку не в состоянии понять их смысл.

Инертность мышления

Необходимо учитывать, что подразделениями безопасности руководят выходцы из силовых структур (ФСБ, МВД, МО, СК и т.п.), обладающие богатым управленческим опытом, навыками организации и проведения расследований, а также охранных мероприятий. При этом, многолетняя служба в государственных структурах наложила на их мировосприятие определенный отпечаток и сформировала формат мышления, не всегда отвечающий потребностям бизнеса.

Даже сняв погоны, эти люди продолжают классифицировать все инциденты в соответствии со статьями уголовного кодекса: «взятка», «кража», «присвоение и растрата», «коммерческий подкуп» и т.д.

То есть безопасность обеспечивается постфактум, когда уже нежелательное событие произошло.

В качестве профилактической работы руководители СБ собирают сотрудников коммерческих подразделений и нахмурив брови рассказывают им о количестве возбужденных уголовных дел, осужденных и уволенных с позором лиц.

В этом случае скорее всего потребуется замена руководителя СБ, на того, кто понимает, что:

в отличие от государственных органов, служба безопасности коммерческой организации не преследует целей обеспечения торжества законности, социальной справедливости или неотвратимости наказания. Принцип «Вор должен сидеть в тюрьме», не лежит в основе ее философии.

задача негосударственной СБ - в пределах своих полномочий сделать бизнес эффективней.

препятствия к процветанию могут не иметь признаков уголовного правонарушения или дисциплинарного проступка, а заключаться в уязвимости бизнес-процессов.

Исторический контекст

Также можно выделить сложности трансформации дирекции безопасности, обусловленные историческим контекстом.

Приведу классический пример, который, к сожалению, встречается повсеместно. Представим себе некий крупный холдинг, в котором существует несколько юридических лиц. Эти бизнес-единицы, по традиции, возглавляют родственники или особо доверенные лица главного акционера. Вроде бы все свои, все в одной лодке.

В каждой такой бизнес-единице существует своя собственная, «карманная» служба безопасности. Руководитель этой локальной СБ административно подчиняется своему директору (родственнику акционера) и от него же получает зарплату, премии и прочие блага. При этом формально, на бумаге, существует и руководитель СБ всего холдинга. Он вроде бы является начальником для всех безопасников в группе компаний. Но дьявол кроется в деталях: реальных рычагов влияния он не имеет. У него нет власти над бюджетом, он не может лишить премии или уволить проштрафившегося «локального» безопасника.

Более того, любая его попытка фактически переподчинить местные службы безопасности себе или хотя бы получить объективную информацию «с земли» натыкается на жесткое, часто аппаратное, противодействие тех самых родственников и доверенных лиц. Почему? Потому что эти локальные царьки совершенно не заинтересованы в том, чтобы их патрон (главный акционер) имел независимый от них самих канал информации о реальном положении дел. А уж тем более, они не хотят, чтобы наверх просочились данные об их ошибках, потерях или, что случается нередко, банальных злоупотреблениях.

В результате такого управленческого хаоса возникает мультиконтурный, «лоскутный» формат обеспечения безопасности, где каждое подразделение живет своей жизнью, подстраиваясь исключительно под желания и настроения локального бизнес-лидера. Возникает опасная иллюзия контроля.

При этом, что самое страшное, в такой конфигурации все участники процесса могут быть абсолютно довольны:

· Нет конфликтов. Никаких жалоб от бизнеса, что СБ якобы «кошмарит» эффективных менеджеров.

· Свобода действий. Руководители дочерних обществ творят, что хотят, без лишнего надзора.

· Тишь да гладь. Местные безопасники не напрягаясь исполняют мелкие, часто бессмысленные поручения директора и получают за это хорошее вознаграждение.

· Формализм наверху. Руководитель СБ холдинга постепенно самоустраняется от реальных управленческих функций, превращаясь в «почтовый ящик», который просто ретранслирует поручения руководства вниз, а формальные отчеты об их исполнении — наверх.

· Иллюзия благополучия. Главный акционер пребывает в блаженной уверенности, что все в порядке и под контролем, поскольку безопасники не расстраивают его плохими новостями, а бизнес-лидеры на совещаниях неизменно хвалят СБ за помощь и эффективное взаимодействие.

Естественно, к реальному обеспечению безопасности бизнеса такой подход не имеет никакого отношения. Это имитация бурной деятельности, фикция, которая может в любой момент обернуться катастрофой.

Аксиома проста: кто платит, тот и заказывает музыку. Поэтому, пока руководитель СБ холдинга не завладеет бюджетом своей функции, включая фонд оплаты труда, пока он не будет лично принимать кадровые решения по своим сотрудникам, он ничего не сможет изменить. Ни-че-го. Все его умные идеи, благие поручения и попытки что-то исправить останутся лишь лозунгами и благими пожеланиями, разбивающимися о стену местнических интересов.

Трудовой подвиг или имитация бурной деятельности

В корпоративной мифологии образ «героя труда» занимает почетное место. Это тот самый сотрудник, который тушит пожары, работает по ночам, выходит на смену больным и спасает проекты в последнюю минуту. В компаниях таких людей ставят в пример, вешают их фотографии на доски почета и щедро раздают грамоты и звания в стиле «Лучший по профессии».

Но если присмотреться к этому героизму внимательнее, окажется, что он сродни подвигу пожарного, который тушит здание, построенное архитектором-самоучкой из горючих материалов. Потребность в сверх усилиях - это не признак высокой мотивации сотрудника или всего коллектива, а индикатор того, что фундаментальные процессы в организации просто не выстроены.

В здоровой, системной компании работа похожа на хорошо отлаженный конвейер. Роль каждого сотрудника рутинизирована и упорядочена: существуют процедуры, регламенты и инструкции, определены зоны ответственности, сроки реагирования (исполнения), порядок кросс-функционального взаимодействия и разрешения споров. Там нет места подвигам. В такой системе авралы если и случаются, то воспринимаются как форс-мажор, требующий разбора полетов, чтобы впредь исключить их повторение.

Но есть предприятия другого типа - те, где царит «пожарный менеджмент». Здесь процессы либо отсутствуют, либо настолько бюрократизированы, что работать по ним невозможно. И тогда в игру вступает человеческий фактор в его самой разрушительной ипостаси - подвижничества.

Как правило, такой подход используют руководители или собственники, начинавшие с малого: гаража, ларька, магазина, чей бизнес либо в результате их пробивных качеств, либо в следствие рыночной конъектуры или наличия нужных связей вырос и масштабировался. Они привыкли лично вникать во все вопросы и самостоятельно принимать решения. Но по мере роста компании и усложнения ее иерархической структуры, глубина погружения в детали становится меньше, а решения поспешней.

В таких организациях, как правило, отсутствуют метрики эффективности для менеджмента… То есть финансовые показатели есть, их смотрят, анализируют, сравнивают год к году и с бенчмарками, но успех руководитель (собственник) приписывает себе, а ответственных за неудачи назначает и наказывает, либо милует.

КЕЙС 1

Например, собственник одного холдинга – Михаил (имя изменено, все совпадения случайны), решил нарастить производственные мощности и построить новый цех. Место он выбрал лично, лично же провел переговоры с потенциальным подрядчиком, причем не с руководителем юридического лица, а собственником строительной организации. За деловым ужином они согласовали дизайн, сроки и стоимость работ.

О принятом решении Михаил проинформировал своего Директора по строительству посредством текстового сообщения в What’s app следующего содержания: «В понедельник зайдут люди от Семена, будут строить цех, место я тебе показывал».

Примерно в таком же ключе второй руководитель оповестил своего наемного менеджера.

В понедельник подрядчик прислал проект договора строительного подряда и счет на авансовый платеж.

Документы были представлены Михаилу, он проверил цену и срок, после чего завизировал их. Но поскольку формально не являлся должностным лицом в собственной организации, далее была запущена процедура электронного визирования и согласования.

Уже на втором шаге, проект договора «завернули» юристы, как не соответствующий установленной форме и содержащий рисковые положения. Так как владелец договора не был назначен (на визирование его запустила ассистент руководителя), документ перешел в статус «отложенные» и остался там навсегда.

Счет же попал к финансовому директору и был оплачен. Несколько миллионов рублей аванса улетели несостоявшемуся подрядчику.

Далее, события шли своим чередом, подрядчик вышел на объект и даже начал что-то строить. Через три месяца, Михаил приехал посмотреть, как идут дела и оказалось, что все происходит не так, как ему хотелось и виделось. Он распорядился провести с контрагентом претензионную работу и выставить штраф. Вот тут-то и выяснилось, что договора нет.

Михаил назначил виновным Директора по строительству и дал указание службе безопасности провести расследование, чтобы его изобличить и привлечь к уголовной (желательно) ответственности.

В результате оказалось:

- в Компании отсутствует документ, регламентирующий порядок проведения строительных работ;

- у Директора по строительству нет должностной инструкции;

- указаний принять в работу договор строительного подряда Директор по строительству не получал (сообщение в What’s app имело информационный характер);

- согласование проекта возводимого объекта Директор по строительству не осуществлял, ввиду отсутствия такового;

- в должностных обязанностях Финансового директора и всех его подчиненных отсутствует требование сверять соответствие осуществляемых платежей с условиями договоров, на основании которых они проводятся (виза Михаила – единственное и достаточное условие);

- юристы, отклонившие договор не обязаны отслеживать устранение указанных ими замечаний или иным образом способствовать заключению договора (пришлют исправленный – будем смотреть).

Выводы по расследованию (сокращенно и упрощенно):

системные

- бизнес-процесс по организации строительных работ не организован;

- бизнес-процесс оплаты контрагентам за поставленные товары и оказанные услуги имеет критические уязвимости.

частные

- оснований для привлечения должностных лиц к ответственности нет;

- возможность проведения претензионной работы с подрядчиком отсутствует ввиду отсутствия договора.

рекомендации

- разработать пакет локальных нормативных документов, регламентирующих порядок работ и должностных инструкций участников процесса.

- назначить владельца договора, который организует его подписание и дальнейшее исполнение;

- назначить ответственного за урегулирование разногласий с контрагентом путем переговоров.

Решение Михаила:

- Директора по строительству – УВОЛИТЬ;

- Руководителя СБ – УВОЛИТЬ.

Проблема данного кейса в том, что у Михаила – владельца бизнеса отсутствовало понимание системы управления, как процесса, где у каждого есть роль, полномочия и ответственность.

Если бы он, пусть даже самостоятельно выбрав место для строительства и подрядчика, поручил Директору по строительству взять в работу этот объект, проблем было бы на порядок меньше.

Даже в условиях отсутствия необходимой регламентации, у договора появляется владелец (тот же Директор по строительству), который обеспечивает его согласование и подписание номинальным руководителем юридического лица. Строительный проект, как приложение к контракту, предварительно изучается, проверяется и согласовывается профильным специалистом, строительный контроль и приемка работ, так же попадают в зону ответственности владельца договора.

Аналогично и с процессом оплаты. Возлагать ли на финансистов/казначеев/бухгалтеров задачу сверки условий договоров и платежей, вопрос дискуссионный. Но у каждого оплаченного счета должен быть хозяин - то должностное лицо, в интересах которого осуществляется транзакция и которое отвечает за срок, сумму и выполнение оплаченных работ (оказание услуг).

В данном случае, решение Михаила ничего не изменило. Через 2-3 месяца он уволил уже нового Директора по строительству (третьего за год) и поменял очередного руководителя СБ, который «недосмотрел».

Так причем здесь героизм и где трудовой подвиг? - спросит внимательный читатель и будет прав! Ничего такого тут нет. Но есть запрос владельца бизнеса на активность подчиненных вне рамок их полномочий и обязанностей.

Директор по строительству должен был догадаться, чего хочет собственник, а руководитель СБ наказать его за недогадливость.

Чтобы выжить в таких условиях, сотрудники перестраивают свое поведение, стараются приносить руководителю только хорошие новости и раньше других начинать перекладывать ответственность за провалы или неудачи на коллег (первый всегда информирует, остальные уже оправдываются).

Так, в одной достаточно крупной компании даже топ-менеджеры старались избежать встреч с акционером в последние две недели перед выплатой годового бонуса, потому что, попав под горячую руку, можно было лишиться премии. Никакие KPI в данном случае роли не играли, собственнику приносили проект ведомости и он ее лично правил исходя из собственного понимания вклада каждого.

В некоторых случаях страх стать «вестником беды» приводит к тому, что проблемы замалчиваются и маскируются.

В качестве иллюстрации еще раз обратимся к уже знакомому нам Михаилу и его строительным проектам.

КЕЙС 2

История начиналась очень похоже на ранее описанный пример, что указывает на устойчивый паттерн поведения собственника бизнеса.

Михаил принял решение о строительстве логистического комплекса. Снова лично провел переговоры. Потенциальный подрядчик показал эскиз строения и навскидку назвал стоимость его возведения.

В данном случае, ввиду масштаба проекта, был назначен ответственный за его реализацию – Директор по логистике (выбор не очевидный, но так как главного строителя уволили в прошлом кейсе, а нового еще не нашли, других вариантов видимо не было).

После проведения проектно-изыскательских работ, оказалось, что стоимость строительства вдвое больше, ранее озвученной.

Однако, никто не посмел сообщить Михаилу об изменении цены. Проблему спрятали – из договора строительного подряда исключили ряд работ, чтобы привести сумму к первоначальной, а оставшиеся объемы размыли по дополнительным соглашениям.

По окончанию строительства, правда всплыла наружу – Михаил узнал о фактической стоимости объекта, был возмущен и решил, что его обманули, а разницу между первоначальной ценой и финальной, украли.

Михаил назначил виновным Директора по логистике и дал указание службе безопасности провести расследование, чтобы его изобличить и привлечь к уголовной (желательно) ответственности.

В результате оказалось:

- в Компании отсутствует документ, регламентирующий порядок проведения строительных работ;

- у Директора по логистике нет должностной инструкции;

- у Директора по логистике отсутствуют компетенции для оценки проектной документации и качественной приемки работ;

- на Договоре строительного подряда, каждом Дополнительном соглашении и каждом счете имеется виза акционера (т.е. каждый раз ему предоставляли комментарии и пояснения, обосновывающие необходимость этих затрат и получали одобрение).

Выводы по расследованию (сокращенно и упрощенно):

системные

- бизнес-процесс по организации строительных работ не организован;

частные

- оснований для привлечения должностных лиц к ответственности нет;

- возможность проведения претензионной работы с подрядчиком отсутствует ввиду отсутствия отклонений от договорных условий.

рекомендации

- разработать пакет локальных нормативных документов, регламентирующих порядок работ и должностных инструкций участников процесса.

Решение Михаила:

- Директора по логистике – УВОЛИТЬ;

- Руководителя СБ (очередного) – УВОЛИТЬ.

В некоторых компаниях куль подвига, становится инструментом для манипулирования руководителем.

Ни для кого не секрет, что линейный менеджер больше погружен в детали проекта (сделки), чем функциональный руководитель, а последний, больше, чем Генеральный директор.

Это дает возможность, подчиненным максимально сгустив краски и применив тревожные интонации, создать у вышестоящего начальника ощущение неизбежно надвигающейся катастрофы. Когда руководитель проникся всем ужасом происходящего, появляется супергерой, готовый совершить подвиг. Естественно, для осуществления героического поступка придется пренебречь какими-то формальными процедурами и регламентами, ведь на кону стоит будущее предприятия! Таким способом недобросовестные сотрудники могут продвигать идеи и решения, необходимые именно им. При этом, даже если в результате дела у компании пойдут хуже, чем раньше, можно сказать, что удалось не допустить еще более неблагоприятного сценария.

Оставим в покое Михаила и рассмотрим описанную ситуацию на примере руководителя региональной розничной сети – Самуила (имя изменено, все совпадения случайны).

КЕЙС 3

Самуил руководил розничной торговой сетью из нескольких сотен магазинов-дискаунтеров. Своей должностью он безусловно был обязан исключительно своим выдающимся личным и деловым качествам, тот факт, что одновременно был сыном владельца-основателя компании не имел никакого значения.

Все ключевые решения Самуил принимал лично, предварительно обсудив их с профильными руководителями. Процедуры и регламенты он считал важным элементом системы корпоративного управления, но себя их соблюдением не утруждал.

Довольно быстро в окружении Самуила сформировалась некая группа в составе Финансового директора (авторитарной женщины 50+, умеющей при этом включать «материнские нотки»), Коммерческого директора (залетного московского коммерсанта, приглашенного в провинцию за очень большие деньги) и Административного директора (местного подхалима, который всегда и во всем поддерживал Финансового директора).

Эти ребята, руководствуясь соображениями личной выгоды, кулуарно собирались, вырабатывали удобное им (но не компании) решение и готовили проект распоряжения Генерального директора. Потом, один из них (в зависимости от того, в чьей зоне ответственности планировалась сомнительная операция) шел к Самуилу и предварительно запугав его возможными негативными последствиями, предлагал себя в качестве героической искупительной жертвы и, как правило, выходил с подписанным документом.

Если Генеральный директор не сдавался сразу, то обращался за советом к Финансовому или Коммерческому, которые с жаром поддерживали предлагаемое решение.

В ходе реализации Распоряжения, представители профильных и контрольных структур компании, указывали, что оно противоречит локальной нормативной базе и исключает мероприятия, направленные на защиту бизнеса. На это им указывали на подпись Самуила и спрашивали: «Это решение Генерального директора, Вы действительно отказываетесь его исполнять?»

Когда реализация таких распоряжений имела негативные последствия, вся ответственность ложилась на Самуила и уже он сам был вынужден защищать эти решения перед отцом.

То есть, в некоторых случаях под трудовым подвигом может скрываться корыстная или иная нежелательная заинтересованность «героя».

В общем случае, когда главной, а порой и единственной задачей руководителей функций и бизнес единиц, становится необходимость нравиться самому главному начальнику, они стремятся постоянно докладывать ему о собственных подвигах, не забывая упомянуть, что некоторые из них стали следствием провалов коллег и партнеров.

В такой системе те, кто делает работу тихо и эффективно оказываются невидимками.

Следовательно, корпоративный культ героизма - это диагноз плохого менеджмента.

Потребность в подвигах

Иногда, в условиях неопределенности, в стартаппах, при выходе на новые рынки или запуске новых продуктов, заранее создать нормативную обвязку и выстроить эффективные бизнес-процессы невозможно, да и не нужно - в нестабильной обстановке требуются скорость и гибкость. Тогда потребность в подвиге, как в выходе «за рамки», существует. Но такого рода «героизм» не должен оставаться нормой, на уже «завоеванных территориях».

Подвиги службы безопасности

Функционируя в условиях сформировавшегося культа подвигов, сотрудники подразделения безопасности также начинают стремиться их совершать. Учитывая мировоззренческие установки и предыдущий опыт, героизмом считаются возбуждение уголовных дел и осуждения сотрудников, желательно из числа руководителей среднего или суть выше звена (директор филиала, начальник смены/отдела и т.п.). На ТОПов покушаются редко, потому, что имеющиеся у сторон ресурсы несопоставимы и пока «безопасник» собирает материал, недобросовестный «ТОП» успевает создать у Генерального директора (владельца) его негативный образ и иногда даже добиться увольнения.

При этом, в погоне за «посадками», причины и условия, позволившие противоправному событию случиться, не рассматриваются и игнорируются.

С точки зрения культа подвига, сотруднику СБ проще и удобнее каждый год сажать условного начальника склада, чем один раз разобраться и закрыть уязвимость бизнес-процесса.

То есть, из работы подразделения безопасности начисто уходит превентивность, его негласным лозунгом становиться – «преступление должно свершиться».

Иногда, в качестве подвигов засчитывается урегулирование руководителем или сотрудником СБ проблем в государственных, правоохранительных или надзорных органах. Но это тоже скользкая дорожка – бизнес привыкает, что можно безнаказанно нарушать законы и правила и все с большей и большей легкостью переступает границу дозволенного. При этом, даже самые долговременные и устойчивые контакты имеют ограниченный ресурс и однажды подвиг не случится. Тогда компания понесет потери и хорошо если только финансовые. Руководителя по безопасности, конечно же, с позором выгонят, но это уже ничего не изменит.

Цена подвига

Чем же так вреден систематический «трудовой подвиг» для бизнеса и сотрудников?

1. Подвиг скрывает системные проблемы

Представьте завод, где каждый день прорывает трубу. Если там работает герой-сантехник, который виртуозно затыкает дыры, у руководства никогда не возникнет желания заменить трубу. Точно так же в офисе: если программист героически правит код по ночам, чтобы запустить сырой продукт, проблема плохого проектирования никогда не будет решена. Подвиг становится костылем, на котором вечно хромает бизнес.

2. Эмоциональное и физическое выгорание

Работа на пределе возможностей - это марафон со спринтерской скоростью. Невозможно находиться в режиме «спасения утопающих» годами. Рано или поздно ресурс истощается. Герои труда первыми пополняют ряды пациентов кардиологов и психотерапевтов. Более того, привыкая к выбросу адреналина при аврале, рутинная работа начинает казаться им пресной, и они бессознательно начинают создавать себе проблемы, чтобы потом их героически решать.

3. Демотивация коллектива

Культ героев разрушает команду. Когда в компании премируют «пожарных», остальные сотрудники быстро понимают: работать хорошо и в срок невыгодно. Выгодно дождаться кризиса и эффектно его разрулить (или хотя бы изобразить бурную деятельность). Те, кто просто качественно выполняет свои обязанности, остаются в тени и в конце концов либо увольняются, либо тоже начинают имитировать подвиги.

Процессы против героизма

Американский инженер и статистик Уильям Эдвардс Деминг, чьи идеи произвели революцию в японском менеджменте, говорил: «99 % проблем вызвано системой, а не людьми». Если система не работает, винить сотрудника в отсутствии подвига бессмысленно. Нужно менять систему.

Эффективный менеджмент стремится к тому, чтобы подвиг стал ненужным. Когда процессы выстроены:

Ресурсы планируются, а не добываются в последний момент

Риски просчитываются заранее

Коммуникация прозрачна и не требует героических усилий для поиска правды

Каждый знает свой манёвр

В такой системе нет места героям, потому что нет места пожарам.

Ошибки целеполагания

Мы живем в культуре достижений. Нас с детства учат ставить цели, составлять план, проявлять упорство и любой ценой добиваться своего. Книги по саморазвитию пестрят историями о том, как кто-то шел к своей мечте 10 лет и наконец достиг. Но эти истории часто умалчивают о самом главном: а та ли это была мечта? Стоила ли она 10 лет жизни? И что чувствует человек, взобравшись на вершину, которую он изначально выбрал по ошибке?

Оказывается, недостаточно просто достигнуть цели. Гораздо важнее и мудрее — правильно ее определить.

Один мой знакомый однажды сказал: «Если сел не в свой трамвай, все остановки не твои…»

Если немного перефразировать это изречение, то получится: достижение цели не приближает нас к желаемому, если сама цель определена неверно.

Так, на заглавной картинке, спецназовец продемонстрировал отличные навыки стрельбы, кучно поразив жизненно важные органы цели. Проблема в том, что в качестве таковой он выбрал не террориста, а заложника.

Так же в профессиональном сообществе живет мнение, что KPI себя изжили и не являются эффективным инструментом. Здесь ключевое слово «инструмент». Если Вы попытаетесь хирургическим скальпелем рубить дрова, то потерпите неудачу. Но означает ли это, что инструмент плох? Или все же дело в его неверном выборе?

В свое время, один известный телеком-оператор установил продавцам собственной розничной сети KPI по продаже новых SIM-карт. Идея заключалась в увеличении доли рынка и, соответственно, доходов от предоставления услуг связи. Но была нарушена логика, продажа новой SIM-карты не приводит автоматически к росту доходов. Прибыль возникает, когда новый пользователь потребляет и оплачивает услуги в течение длительного времени. Однако, поскольку продавцы получали премию только за факт продажи, они прибегали к фальсификации, когда новые SIM-карты регистрировались на существующих пользователей без их ведома, либо вовсе на вымышленные персональные данные. В итоге Компания несла издержки на «пластик» (изготовление бланков SIM-карт), премии продавцам, резервирование номерной емкости, которую приходилось докупать дополнительно. Тем не менее, все были довольны, в отчетах красиво – продажи, количество абонентов и доля Компании на рынке выросли… Вот только прибыль почему-то падала…

В данном случае цель (KPI) была установлена неверно и при формальном ее достижении (выполнении плана продаж), ожидаемый результат не достигнут.

Обнаружила проблему и предложила простое и элегантное решение, как ни странно, служба безопасности – выплачивать продавцу премию только за SIM-карты, сохранившие активность через четыре месяца (три месяца – порог окупаемости, далее прибыль). Все!!! Фальсификация продаж потеряла смысл.

И еще один пример. Акционеры региональной торговой сети (food-retail) поручили коммерческому директору увеличить трафик в магазинах и количество чеков. Казалось бы, что тут могло пойти не так?..

Поскольку поручение было «зашито» в цели коммерческого директора и влияло на его премию, он обнулил торговую маржу из-за чего стоимость товаров на полке снизилась на 20-25%. Конечно же это привело к притоку покупателей и росту конверсии (соотношения общего количества посетителей к числу осуществивших покупки). Все было хорошо, пока не выгрузили квартальную отчетность – вся сеть ушла в глубокий минус.

В ответ на претензии акционеров, коммерческий директор предъявил текст их поручения и потребовал выплатить бонус с учетом перевыполнения целевых значений. Поскрипев зубами и проконсультировавшись с юристами, премию выплатили, а ее счастливый обладатель с «золотым парашютом» перешел на работу к конкурентам.

Здесь, существовавшая в головах акционеров парадигма: больше покупателей - больше продаж - больше прибыли, не нашла отражение в формулировке цели, что и привело к печальному результату.

Применительно к корпоративной безопасности целеполагание и применение KPI не только возможно, но и необходимо.

Все, что делает служба безопасности (далее – СБ) можно уложить в три пункта:

Внедрение контролей безопасности во все бизнес-процессы (Руководитель СБ и его аппарат в штаб-квартире).

Выявление системных рисков и уязвимостей в бизнес-процессах в результате расследований инцидентов безопасности, выработка и реализация митигирующих мероприятий, направленных на их закрытие (Подразделение экономической безопасности штаб-квартиры, территориальные СБ).

Осуществление контролей безопасности в соответствии с установленным уровнем сервиса (Подразделения физической и информационной безопасности).

В зоне ответственности СБ находятся три периметра: информационный, физический и экономический.

Первые два обеспечиваются за счет установления правил обращения, соответственно, с информацией и товарно-материальными средствами и контроля их исполнения (административного и технического).

То есть, предполагается, что мы сформировали перечень условий, соблюдение которых, гарантирует безопасность активов.

Например, для перемещения груза через пункт пропуска, требуется выполнить шесть шагов и, если все сделано с надлежащим образом, рисков нет. Нарушение или неисполнение любого пункта блокирует операцию.

Задача СБ проконтролировать, что все требуемые действия совершены и на каждом этапе все сделано правильно. То есть, обеспечить установленный уровень сервиса. Исходя из этого и формулируется KPI – контролируется и нормируется количество отклонений от установленных требований, а также срок реагирования на них.

Безопасность экономического периметра оценивается через эффективность защитных процедур:

- какова сумма предотвращенного убытка (т.е. денег или иных активов, которые были бы неизбежно утрачены, если бы не действия СБ);

- какова сумма возмещенного убытка (сколько ранее утраченных денег или иных активов удалось возвратить);

- каковы результаты реализации митигирующих мероприятий по выявленным рискам и уязвимостям в бизнес-процессах (сравнение потерь до и после внедрения мер коррекции год к году).

То есть, любая задача, «зашиваемая» в KPI, будь то служба безопасности или коммерческая дирекция должна:

влиять на ключевые цели бизнеса (извлечение прибыли/сокращение потерь);

находиться в зоне ответственности исполнителя;

быть объективно измеряемой (по единым установленным правилам).

Правильно определенная цель — это не просто точка на карте, которую нужно покорить. Это верное направление движения. Это та цель, которая делает интересным и осмысленным уже сам процесс ее достижения. Даже если вы не дойдете до конца в запланированные сроки, путь itself будет наполнен ростом и удовлетворением.

Личные риски

Бизнес по понятиям

К сожалению, даже при наличие декларируемых акционерами или руководством Компании намерений выстроить систему безопасности, сами они не всегда внутренне готовы к таким изменениям или вкладывают в это понятие иное значение.

Обеспечение безопасности, как управление рисками, требует упорядоченных бизнес-процессов в коммерческих функциях и прозрачных правоотношений как внутри Компании (между структурными подразделениями и дочерними обществами), так и вне (с контрагентами). Ну, или, как минимум, стремления к этому.

В противном случае, ничего не получится. Нельзя создать зрелую функцию безопасности в незрелой Компании.

Бывает, что сотрудники одного и того же отдела оформлены на работу в разные организации или даже у ИП, бухгалтерия собрана в одном юридическом лице, гараж в другом, продавцы магазина в третьем, а закупщики в четвертом и формально эти структуры между собой никак не связаны, а головное подразделение «холдинга» юридически не существует вовсе.

В условиях отсутствия поддержки на самом верху, любые попытки навести порядок будут наталкиваться на сопротивление у «старой» команды, которая «всегда так работала» и «хорошо, ведь, было» … Собственнику со всех сторон посыплются жалобы от соратников, что новый «безопасник» пытается разрушить, то, что создавалось долгие годы.

В этом случае, Директор по безопасности, взявший на себя обязательства по трансформации, скорее всего не добьется успеха. По прошествии определенного периода времени, он будет обвинен в некомпетентности, неспособности к реальной работе и изгнан.

Догматизм

А еще случается, что руководители Компании являются адептами или в крайнем проявлении – догматиками, какой-то теории корпоративного управления. Тогда любые предложения будут рассматриваться через его призму, порой игнорируя здравый смысл или целесообразность.

Тут придется, не ввязываясь к длительные споры, изучить теоретические основы и представлять стратегию развития в контексте учения. В противном случае – обновлять резюме.

Самодержавность

Некоторым собственникам, особенно если они стояли у истоков Компании, трудно удержаться от ощущения себя как владетельного вельможи и, соответственно, к подчиненным, как к подданным.

Такой бизнесмен легко позволяет себе и ближайшему окружению делать исключения из своих же правил, будь то выбор поставщика, изменения закрепленных в договорах условий оплаты товаров и услуг, приема на работу родственника или любовницы.

Стоит ли говорить, что подобная практика создает риски убытков, так как любое исключение предполагает отмену одного или нескольких защитных механизмов, позволявших их избежать. Кроме того, подчиненные, неизбежно начинают копировать поведение топ-менеджмента, кто-то, необоснованно причислив себя к фаворитам, а кто-то просто так, по принципу прецедента.

При таком раскладе, дать какие-то действенные рекомендации по выживанию, затруднительно. Перспективы успеха призрачны, выживания – туманны. Лучше всего, идентифицировать специфику на входе и отказаться от трудоустройства в эту Компанию.

Родительские чувства

Частный бизнес – плоть от плоти своих создателей, это как ребенок, которого любят безотчетной родительской любовью.

Сообщая собственникам фирмы о системных проблемах, создающих риски убытков или даже прекращения дальнейшего функционирования Компании, а это основной функционал СБ в рамках управления рисками безопасности, тем самым говорится о пороках их детища.

В некоторых случаях, на начальном этапе аудитов или корпоративных расследований, собственники демонстрируют желание докопаться до сути проблем и готовность решать их. Но, к сожалению, ближе к финалу, когда становится понятна глубина и системный характер выявленных рисков, им бывает комфортнее примерять «вуаль неведения» - психологический прием, позволяющий человеку игнорировать факты, не вписывающиеся в его картину Мира.

Особенно болезненно воспринимаются истории, когда причиной материальных потерь становятся родственники предпринимателей или еще хуже наследники бизнес-империй.

Если такие новости приходят регулярно, то для акционеров их источник – Директор по безопасности, неизбежно будет окрашен негативом, которое со временем трансформируется в личное отношение к нему и может стать причиной конфликтов или, в крайнем проявлении, прекращения трудовых отношений.

Как выжить?

Как же существовать и, главное, действовать в этих условиях.

Решение, вероятно, лежит скорее в области психологии, чем менеджмента и корпоративного управления.

Многое зависит от личности и психотипа бизнес-заказчика, степени его готовности смотреть в глаза правде.

Чтобы перестроить бизнес из состояния «по понятиям» к работе «по процедурам», необходим «тон сверху», то есть осознанная поддержка акционеров. Если они внутренне не согласны или не видят ценности во внедряемых новшествах, то невольно будут транслировать нейтральное или даже негативное отношение «старой гвардии», сотрудникам с которыми когда-то начинали свой бизнес и к мнению которых до сих пор прислушиваются. А те, в свою очередь обеспечат качественный саботаж всех изменений.

Преодолеть это можно лишь одним способом - снова и снова информировать собственников о проблемах, вызванных отсутствием четко описанных правил принятия решений с упором на суммы убытков, вызванных таким подходом.

Таким же способом можно бороться с исключениями и «особыми случаями».

Если плохие новости воспринимаются болезненно, есть смысл дробить глобальные проблемы на более локальные и «заносить» их небольшими дозами, одновременно предлагая заранее согласованные с другими участниками процесса, решения.

Когда вина за провал лежит на родственнике акционера, целесообразно не упоминать его имени вовсе, а лишь назвать возглавляемое им подразделение или процесс в зоне ответственности, чтобы владелец завершил логическую цепочку самостоятельно…

И, пожалуй, самое главное – не стоит ждать быстрых побед. Можно за одну неделю переписать все регламенты и должностные инструкции, но потребуются месяцы, чтобы заставить их работать и годы, чтобы укоренить эти изменения.

Наверное, такая тактика менее эффективна с точки зрения скорости внедрения улучшений и снижения рисков, но она определённо продлит Ваш life time.

Аудит текущего состояния

Перед тем как приступить к решению амбициозной задачи построения системы безопасности необходимо понять какими силами и средствами мы располагаем, что хорошо, чего не хватает, какие участки следует трансформировать (создавать с нуля) немедленно, а какие можно сохранить в неизменном виде.

Скорее всего, Ваша Компания уже существует на рынке некоторое время, в ее структуре имеется какая-то служба безопасности, поэтому в первую очередь необходимо зафиксировать текущее положение (As Is), то есть провести мини-аудит функции.

В рамках этого мероприятия целесообразно исследовать следующие вопросы:

наличие и актуальность внутренних нормативных актов, регламентирующий деятельность Дирекции безопасности (в том числе, определяющих цели ее деятельности и критерии оценки результативности);

удовлетворенность работой функции со стороны бизнес-заказчика и внутренних клиентов (акционеров и руководителей бизнес-направлений, директоров филиалов и обособленных подразделений), посредством проведения интервью, опросов или анкетирования;

степень участия Дирекции безопасности в наиболее рисковых с точки зрения вероятности злоупотреблений и материальных потерь процессах (закупки, движение товарно-материальных средств, претензионная работа с контрагентами).

соответствие организационно-штатной структуры Дирекции безопасности решаемым задачам;

наличие, достаточность и уровень квалификации персонала СБ на каждом направлении деятельности;

текущее состояние организации работы по каждому направлению.

Правильнее всего сформулировать свои наблюдения в виде презентации.

При этом, выводную часть следует разместить вначале (не у каждого руководителя хватит терпения дождаться финала).

Форма и наполнение могут быть любыми, но лучше придерживаться описанной выше структуры.

Для наглядности здесь и далее, предлагаются варианты документов и управленческих решений, разработанных для гипотетического ООО холдингового типа «Рога и копыта»⁴:

Сводное резюме

Обеспечение физической безопасности

Обеспечение экономической безопасности

Ключевые наблюдения

Сводное резюме

Приоретность необходимых изменений

Получившуюся презентацию предъявляем работодателю (генеральному директору или акционерам, в зависимости от принятой в Компании системы управления).

Как правило, лица принимающие решения не слишком глубоко погружены в специфику работы подразделения безопасности, поэтому очень важно, чтобы руководитель направления представил свои наблюдения лично, сопроводив комментариями и попутно отвечая на вопросы.

Скорее всего, аудитория будет удивлена тому, что увидит и услышит так как, либо пребывала в неведении относительно реального положения дел или, что более вероятно, не задумывалась о наличии проблем на данном участке.

Однако, не стоит обольщаться, проведенный мини-аудит в первую очередь необходим руководителю функции безопасности для формирования ясной картины текущего состояния, а ценность предъявления руководству Компании заключается в синхронизации видения и уточнения направлений развития.

Концепция обеспечения безопасности

Оценив исходные данные (As Is), можно приступать к выработке понимания целей, которые мы намерены достичь в процессе обеспечения безопасности (To Be) и путей, ведущих к ним.

Но не мене важно провести самоидентификацию Дирекции безопасности, то есть ответить на вопросы: «Кто мы и зачем?».

Результат этих размышлении будет сильно зависеть от Вашего предыдущего опыта, специфики предприятия и ожиданий акционеров.

Если повезло и достигнут консенсус о необходимости выстраивания системной работы и современной бизнес-ориентированной функции безопасности, то видение образа и задач СБ, может выглядеть так…

Цель нашей Компании

– извлечение прибыли. Основной показатель ее эффективности EBITDA. Чем он больше, тем лучше. Значит, задача всех структурных подразделений компании, включая Безопасность, этому способствовать.

Роль Дирекции Безопасности

– сокращение расходов, влияющих на EBITDA, путем уменьшения потерь от противоправных посягательств и неэффективности.

Тогда, применительно к Дирекции безопасности:

Миссия

- мы являемся подразделением, обеспечивающим физическую и экономическую и информационную безопасность коммерческой деятельности Компании (акционеров, ТОП-менеджмента, дочерних и зависимых обществ).

Наша цель

– улучшение финансовых результатов Компании через сокращение потерь и неэффективных расходов, возникающих в следствие противоправных действий и/или несовершенства бизнес-процессов.

Наш продукт – технология по обработке, анализу и решению инцидентов безопасности, обеспечивающая возмещение убытков и, создающая условия для их предотвращения.

Видение будущего в горизонте 3-х лет

все подразделения безопасности перешли на единый формат активностей, гарантирующий прозрачность и объективность показателей результативности, а также позволяющий оценить эффективность затрат за это направление.

сформирована единая база инцидентов безопасности, позволяющая выявлять риски, оценивать их с точки зрения влияния на бизнес и вероятности реализации.

на основе анализа накопленных знаний, сформирован реестр рисков, выработаны и реализуются мероприятия по их снижению.

Индикаторы здоровья

максимизация экономического эффекта от деятельности подразделений безопасности (позитивного влияния СБ на финансовые результаты Компании) и его рост год к году.

максимизация соотношения экономического эффекта от деятельности функции к затратам на обеспечение безопасности.

минимизация потерь Компании от противоправных действий сотрудников и третьих лиц, а также неэффективности бизнес-процессов и несовершенства, регламентирующих их локальных нормативных актов.

Ответив на вопросы философские, самое время перейти в практическую плоскость и ответить на вопрос «как?».

Стратегические цели дирекции безопасности, тактика их достижения и образ желаемого результата представляются следующим образом:

При этом, под инцидентами мы понимаем события (в том числе возможные), связанные с нарушением внутренних нормативных документов, и/или риском/фактом коррупции, внутреннего фрода, информация о котором поступила в подразделение безопасности, требующая уточнения в ходе проверки.

То есть, в качестве инцидента можно рассматривать не только уже случившееся событие, но и то, которое может произойти в будущем так как к этому имеются предпосылки.

В этом случае технология обеспечения безопасности в разрезе направлений защиты может быть сформулирована так:

Физическая безопасность (ФБ). Контроль внешнего (территория) и внутреннего (здания, офисы, производственные и технические объекты) периметров осуществляется посредством постов физической охраны и техническими средствами в круглосуточном режиме, координацию обеспечивает оперативный дежурный Компании, которому подчинены оперативные дежурные на объектах (оперативно-дежурная служба). В случае нарушений, они пресекаются (локально купируются), инцидент регистрируется на специальном ИТ-ресурсе где, в последующем отражается его статус и результат отработки. Сложные инциденты (с признаками системных рисков) передаются в подразделения экономической безопасности для проведения расследования.

Информационная безопасность (ИБ). Контроль внешнего информационного периметра и внутреннего трафика осуществляется посредством технических средств и постов мониторинга (SOC-Security Operations Center). В случае нарушений, они пресекаются автоматически, либо нежелательная активность блокируется вручную администраторами сети (локально купируются), инцидент регистрируется на специальном ИТ-ресурсе где, в последующем отражается его статус и результат отработки. Сложные инциденты (с признаками системных рисков) передаются в подразделения экономической безопасности для проведения расследования.

Экономическая безопасность (ЭБ) – ключевое направление деятельности Дирекции. Все инцидент безопасности регистрируется на специальном ИТ-ресурсе (Базе данных) где, в последующем отражается его статус и результат отработки. По инцидентам, имеющим признаки системных рисков (в т.ч. выявленных другими подразделениями), проводятся корпоративные расследования для установления причин и условий произошедшего, виновных лиц, выявления уязвимости в бизнес-процессах и выработки рекомендаций по их митигации.

Все расследования и их результаты заносятся в Базу данных. По мере накопления информации осуществляется ее анализ, формируется реестр рисков с привязкой к бизнес-процессам, стоимостной и вероятностной оценкой. По результатам разрабатывается и реализуется План митигирующих мероприятий с постконтролем эффективности внедренных корректирующих мер.

Или тоже самое в виде цикличной модели:

Организационно-штатная структура Дирекции безопасности

формируется по линейно-территориальному принципу, когда в головном подразделении создаются Центры компетенций (ФБ, ЭБ, ИБ), организующие и координирующие работу профильных сотрудников в филиалах, производственных площадках и иных обособленных объектах по своим направлениям (линиям).

В результате получаем:

Учет, регистрацию и отработку абсолютно всех инцидентов безопасности⁵ по направлениям работы (ФБ, ИБ, ЭБ) и расследование наиболее сложных из них.

Корпоративные расследования, как единая унифицированная форма отработки сложных инцидентов безопасности и выработки предложений по внедрению корректирующих мер как в отношении виновных лиц, так и по изменению бизнес-процессов.

Накопление информации об инцидентах безопасности, их анализ, выявление системных рисков и уязвимостей в бизнес-процессах, выработка и реализация мер по их митигации.

Сквозное вертикальное функциональное управление по линиям работы (ФБ, ЭБ, ИБ).

Активности и контроли, вне процесса корпоративных расследовании, включая оценку контрагентов на риски взаимодействия, а также проверку кандидатов на работу и действующих сотрудников, рассматриваются как инструменты, направленные на поддержание установленных стандартов безопасности и выявление отклонений от их требований, которые в свою очередь становятся основаниями и поводами для расследований.

Сформированный таким (или иным, верным по вашему мнению) образом взгляд на концепцию обеспечения безопасности, представляем ее руководству Компании и/или акционерам. Для большей наглядности, целесообразно оформить его в виде слайдов. Получив одобрение и учтя замечания руководства, закрепляем предложенный подход в отдельном ВНД, то есть фиксируем образ результата и направление дальнейшего движения.

Оценка эффективности подразделения безопасности

В соответствии с предлагаемой концепцией, служба безопасности может и должна оказывать влияние на EBITDA, путем возмещения ущерба, предотвращения потерь, а также неэффективных расходов.

Поскольку EBITDA измеряется в деньгах, именно в них следует определять цели СБ и измерять эффективность ее работы.

Куда целиться

Обычная, принятая в большинстве компаний классификация, предусматривает три вида убытков: выявленный, возмещенный и предотвращенный.

Исходя из нее, верхнеуровневые цели Дирекции безопасности можно сформулировать, как:

Выявление ущерба, нанесенного в результате противоправной деятельности, неэффективности или уязвимости бизнес-процессов;

Возмещение уже нанесенного ущерба (убытка);

Предотвращение возможных потерь, включая упущенную выгоду и сохранение выручки.

С учетом специфики и сложившейся практики, показателям может быть присвоено количественное значение в абсолютных или относительных (сравнительных) величинах (деньги, %, соотношение год к году).

Желательно, чтобы все подразделения безопасности холдинга имели одинаковые цели. Если специфика дочерних обществ не позволяет этого, то как минимум, выраженные в одинаковых единицах измерения.

Как измерять

В результате проведения унификации и стандартизации, все подразделения безопасности подчинены единым требованиям по содержанию работы и ее учету, благодаря чему, мы имеем набор типовых показателей, рассчитанных по единым правилам. Теперь их можно сравнивать и анализировать.

При этом, важно учитывать некоторые особенности:

Выявленный ущерб (убыток) – потери, которые наступили фактически. Их очень легко посчитать и подтвердить (акт инвентаризации, справка об ущербе).

В части утрат материальных (физических) активов, этот показатель может служить косвенным критерием эффективности СБ, так как чем надежнее система безопасности, тем труднее совершить хищение. То есть, чем он меньше, тем лучше, особенно если наблюдается ниспадающая динамика год к году.

В части экономических правонарушений или неэффективных затрат, подобный анализ уже не работает, потому что такие потери не материальны и зачастую не очевидны, не отражены в бухгалтерский отчетности. Более того, для их обнаружения требуются значительные усилия и высочайшее профессиональное мастерство сотрудников СБ.

При этом, если в качестве цели установить снижение показателя «выявленный ущерб» год к году, то возникает риск, что работники будут стремиться не регистрировать «дорогие» инциденты, чтобы не портить свою отчетность.

Аналогично с целевым показателем «коэффициент покрытия ущерба», как соотношения выявленного убытка к возмещенному. Он отлично работает применительно к контрольно-ревизионной деятельности, но при обеспечении безопасности договорного взаимодействия, наоборот, может принести вред, так как инциденты, возмещение по которым невозможно или маловероятно, по той же причине не будут попадать в отчетность Дирекции безопасности.

Таким образом, с целеполаганием в этой части необходимо действовать крайне осмотрительно. Для формирования полной и объективной картины, важно, чтобы данные о происшествиях и потерях были достоверны.

Цели в части «выявленного ущерба» можно устанавливать только сотрудникам, контролирующим сохранность материальных (физических) активов, а для остальных использовать его значения только для аналитики.

Возмещенный – активы, утраченные фактически, но, благодаря усилиям СБ возвращенные владельцу. Подсчет и подтверждение бухгалтерскими документами так же не вызывает трудностей.

В части утрат материальных активов, сравнение выявленного и возмещенного убытков формирует коэффициент покрытия потерь. Чаще используется в рознице или логистике. Считается, что, если он превышает 0,6 (из каждых 100 потерянных рублей, возмещено 60 и более), это хорошо.

Предотвращенный – активы, которые были бы неизбежно утрачены, но сохранены в результате активностей службы безопасности.

Последний - самый сложный в расчете и неоднозначный в восприятии показатель. Потери не наступили, поэтому, масштаб убытка с точностью определить нельзя. Тем более мы достоверно не знаем, какова вероятность наступления самого факта утраты материальных ценностей. Может быть этого бы никогда и не случилось. А если и случилось, было бы потеряно все или только часть?

То есть, не только величина расчетная, но и вероятность события с точностью не установлена.

При этом, при оценке масштаба предотвращенного убытка, СБ стремиться сделать расчет на основании самого негативного сценария, чтобы повысить ценность своей работы. Бизнес-функция, потери которой сохранены, напротив, исходит из нулевой вероятности события, либо считает по минимуму, не желая подтверждать недостатки в своих процессах и контролях. Расхождения между такими оценками могут составлять десятки миллионов рублей.

В дальнейшем, при попытках СБ предъявлять свои расчетные значения предотвращенного убытка, бизнес относится к ним с недоверием, как к виртуальным показателям, не имеющим отношения к реальности, что обесценивает и всю остальную отчетность функции безопасности.

По этой причине некоторые компании вовсе отказались от учета предотвращенного убытка, но этот путь ошибочен, так как теперь сотрудники безопасности ожидают, пока убыток станет выявленным, чтобы иметь возможность его возместить (теряется профилактика и предиктивность).

Решением видится согласование с ключевыми бизнес-функциями и финансовой службой порядка расчета предотвращенного убытка, то есть формирование единых, признаваемых всеми участниками процесса, правил. Как вариант, через призму бюджета компании или функции.

Например, предприятие несло затраты, которые были забюджетированы. Дирекция безопасности доказала, что их можно сократить или обнулить. Разница между запланированными расходами и фактическими составят БЮДЖЕТНУЮ ЭКОНОМИЮ – то есть деньги, которые неизбежно утрачены (израсходованы), но сохранены в результате активностей службы безопасности.

Или, наоборот, в связи с некими обстоятельствами, возникает потребность в новых расходах, их размер рассчитывается, а выделение финансирование согласовывается. Функция безопасности в пределах своих полномочий проводит работу, которая помогает сократить или исключить сверхбюджетные затраты. Возникает экономия.

Расчет предотвращенного убытка через БЮДЖЕТНУЮ ЭКОНОМИЮ позволяет с точностью до копейки определить размер сохраненных активов и подтвердить эти суммы бухгалтерскими документами, что повышает прозрачность и достоверность показателей СБ.

После того, как порядок классификации убытков и определения их размера определены и признаются, как достоверные и прозрачные, можно ввести показатель, отражающий эффективность работы функции безопасности.

Как оценивать

В качестве ключевой метрики эффективности СБ, предлагается использовать «Экономический эффект» (ЭЭ), определяемый, как сумма возмещенного и предотвращенного убытков/бюджетной экономии.

В дальнейшем, это показатель можно сопоставлять:

с затратами на безопасность

с выявленным убытком:

Введение единого и объективного показателя (ЭЭ), кроме того, позволяет провести ранжирование сотрудников внутри подразделений безопасности (накопительным итогом за год):

… или в моменте (по состоянию на текущий месяц), а также индивидуальный вклад каждого в результаты службы:

Расчет затрат компании на текущий месяц определяется как отношение усредненного годового ФОТ на 1 сотрудника к количеству месяцев в году, умноженное на порядковый номер текущего месяца: ФОТ1 / 12 х N, где N – порядковый номер месяца (январь -1, февраль-2,.. ноябрь-11).

Например, специалист СБ получает на руки зарплату в размере 60 000 руб. Сумма налоговых, страховых и прочих отчислений составляет округленно 40 %. Итого работник стоит компании 100 000 руб. в месяц или 1 200 000 руб. в год. Чтобы определить затраты предприятия на его содержания по состоянию на июнь 1 200 000 /12 х 6 = 600 000 руб. Таким образом, для достижения Порога рентабельности показатель ЭЭ данного работника так же должен составлять 600 000 руб.

Если показатели сотрудника расположены левее Порога рентабельности, значит на сегодняшний день он получил от компании больше, чем принес ей пользы. Однако, чтобы принять решение о необходимости корректирующих мер, руководителю службы необходимо учитывать содержание и ожидаемый результат, проведенных этим специалистом мероприятий, так как эффект от его работы может быть отложенным во времени. Тем не менее уже к исходу первого полугодия, желательно, чтобы все члены команды показали, хотя бы нулевую рентабельность, а далее только положительную.

Текущее ранжирование целесообразно доводить до подчиненных хотя бы один раз в неделю.

Чтобы не перегружать коллектив управленческим воздействием, в некоторых компаниях используется формат еженедельного дайджеста службы безопасности, куда включаются новости службы, лучшие практики, указания и распоряжения общего характера и, конечно, результаты работы службы.

Так же по значению экономической эффективности можно анализировать динамику работы СБ год к году:

Для сравнения подразделений безопасности между собой можно использовать среднее значение ЭЭ на одного сотрудника:

В результате предлагаемых мер, образ результата должен выглядеть так:

Активности службы безопасности, не имеющие денежного выражения, такие как применение мер дисциплинарного воздействия, увольнения, подача заявлений в правоохранительные органы, возбуждение уголовных дел, осуждение сотрудников компании, либо третьих лиц, учитываются в статистике, но на ранжирование сотрудников и подразделений не влияют. Рассматриваются, как инструменты для достижения экономического эффекта.

Более того, их можно рассматривать как характеристику активности работника.

То есть, если у сотрудника высокие показатели в этом блоке при низком значении Экономического эффекта, это означает, что он активен и работоспособен, но неверно расставляет приоритеты. Необходимо оказать помощь и скорректировать его работу.

Если, и нематериальные результаты активностей, и экономический эффект низкие, то мы имеем дело с человеком, который не настроен на работу, лучше его заменить.

Для кейсов или расследований, в результате которых внесены изменения в нормативную базу, бизнес-процессы или митигирован системный риск, если при этом невозможно точно определить его стоимость или размер предотвращенного убытка, может быть введен дополнительный признак, проставляемый вручную, который также будет учитываться при ранжировании. Например, «Значимое расследование» решением Директора по безопасности по представлению руководителя направления ЭБ. Правила присвоения признака прописываются в «Регламенте проведения корпоративных проверок». Это, конечно, привнесет небольшой элемент субъективности, но станет меньшим из зол.

Выработанные правила оценки эффективности работы подразделений безопасности и отдельных сотрудников «зашиваем» в годовые цели и мотивацию. Далее этому будет посвящена отдельная глава.

Управление рисками безопасности

По мере накопления информации в Базе данных инцидентов безопасности, появляется возможность ее анализировать, выявлять наиболее проблемные бизнес-процессы, операции и подразделения, то есть идентифицировать риски. А увидев проблему, мы сможем и предложить ее решение – управлять рисками.

В отличие от классического управления рисками через математическое моделирование, в этой главе затрагиваются только вопросы, связанные с угрозами безопасности, выявляемыми в результате проведенных расследований по фактам материальных или финансовых потерь, а также предпосылкам к их возникновению. Предлагаемая модель основана на методе масштабирования: от частного случая к идентификации и решению системной проблемы.

Риски бывают разные и степень их влияния на бизнес не одинакова. В зависимости от характера угроз, их можно принять (согласиться с их существованием), передать (например, застраховать) или митигировать (устранить или понизить – часть устранить, остальное принять).

Как правило принимаются (то есть учитываются, без принятия мер) риски, вероятность реализации которых не значительна, либо стоимость внедрения защитных механизмов выше цены риска.

Например, при покупке (поглощении) одной компании другой, реципиент принимает риски, связанные с возможными проблемами интеграции оборудования или бизнес-процессов донора, так как это с лихвой компенсируется суммарным выигрышем от сделки.

Либо стоимость технических средств, гарантированно обеспечивающих безопасность груза при перевозке, кратно увеличивает логистические затраты, при том, что криминогенная обстановка на территории присутствия благоприятная. То есть вероятность утраты ценностей в результате противоправных действий минимальна, а перевозимое имущество не представляет интереса ни для кого, кроме получателя. В таком случае можно отказаться от вооруженной охраны, ограничившись пломбированием упаковок и контейнеров (принятие риска), либо переложить в договоре ответственность за сохранность груза на перевозчика или застраховать перемещаемое имущество (передача риска).

Не принимаются риски, создающие угрозы дальнейшему функционированию предприятия, либо неприемлемые с точки зрения комплаенса или этических норм, принятых в компании.

Так, некоторые западные корпорации покинули российский рынок, потеряв прибыть и обнулив достигнутые успехи по захвату его доли, опасаясь санкций США, применение которых могло привести к остановке всего бизнеса (риски функционирования).

Или компания может отказаться от осуществления коммерческой деятельности в стране, где это невозможно делать без передачи взяток местным чиновникам (этические и комплаенс-риски).

Если же вероятность возникновения риска средняя или выше, а стоимость защитных мер разумна, то такие риски митигируются. То есть реализуются мероприятия, направленные на создание условий, препятствующих их реализации, либо снижающие вероятность.

Степень влияния на бизнес определяется масштабом негативных последствий, наступающих вследствие реализации риска (по убыванию):

Невозможность дальнейшей деятельности

Несоблюдение требований регуляторов и/или законодательства

Финансовые потери

Сбои в оказании услуг (Value Added Services – VAS)

Отток клиентов (customer lifetime value – CLV)

Иные последствия

Для определения степени влияния выявленных угроз на бизнес, а также возможности митигации, все выявленные угрозы анализируются:

На основании полученных результатов формируется Карта рисков:

Если База данных инцидентов безопасности пока не содержит достаточного для анализа количества сведений, можно применить прогноз, в рамках которого самостоятельно, руководствуясь опытом, логикой и здравым смыслом, построить модель угроз безопасности.

Результаты будут менее точными и совершенно не подтвержденными статистикой, но в качестве отправной точки для старта процесса управления рисками, вполне подходящими.

Для этого, выделяем угрозы, которые на наш субъективный взгляд могут возникнуть и также предположительно присваиваем им признаки вероятности и определяем степень влияния на бизнес.

На примере food-retail сети, такая модель может иметь такой вид:

На ее основании, формируем тепловую карту рисков:

Как мы уже договорились ранее, построенная матрица не является научно обоснованной и абсолютно достоверной, но, тем не менее, этого достаточно, чтобы определить наиболее критичные для Вашего бизнеса риски и приступить к их снятию или снижению (митигации).

Для обеспечения контроля за текущим статусом работы по митигации рисков безопасности, ведется их Реестр с описанием угроз, разбитых по бизнес-процессам, с указанием дирекций-владельцев, ответственных сотрудников (от функции и от СБ), предложенных корректирующих мер и результата их внедрения. Для наглядности и правильной приоретизация, можно ранжировать список по степени влияния на бизнес.

Например, так:

Где,

Управление рисками взаимодействия

Частным случаем управления рисками безопасности, является оценка рисков взаимодействия с другими предприятиями, организациями и физическими лицами. Такие контакты потенциально могут привести к финансовым, материальным или репутационным потерям. В целях предотвращения возможных негативных последствий, используются различные методы и механизмы предварительной проверки контрагентов и соискателей работы на риски взаимодействия. Как правило, этим занимаются службы безопасности (далее – СБ).

Зачастую, по результатам проверки дается заключение в формате «согласовано/не согласовано» или «рекомендуем/не рекомендуем». То есть предполагается черно-белое мировосприятие без учета всего многообразия жизненных проявлений.

Такой подход блокирует нестандартные бизнес-инициативы, что закономерно приводит к конфликтам между коммерсантами и безопасниками.

При этом, правила игры, как понимание, что допустимо, а что неприемлемо определяются риск-аппетитом компании, формализованным в виде внутреннего нормативного документа, либо исторически сложившейся практики.

Однако, уровень риск-аппетита для разных направлений бизнеса и даже для отдельных кейсов может отличаться.

Так, терпимость к возможным рискам при возведении объекта капитального строительства и венчурных инвестициях различается на порядок, а заключение СБ этого не учитывает.

Получается с одной стороны служба безопасности оберегает предприятие от возможных потерь, но с другой мешает его развитию.

Проверка контрагентов в контексте бизнес задач

В случаях, когда решение о целесообразности взаимодействия с тем или иным контрагентом принимает служба безопасности, практически невозможно вписать правила оценки в бизнес-контекст, так как это породило бы огромное количество вариантов и исключений, но и оставлять «монохром» было бы неправильно.

Наиболее эффективным способом представляется корректировка ролей участников процесса, когда СБ, проверяя потенциального контрагента не дает разрешение на работу с ним, а выявляет потенциальные риски такого взаимодействия. Решение об их принятии принимает руководитель заинтересованной бизнес-функции в пределах своих полномочий.

Для этого, необходимо внутри компании договориться о правилах оценки и неприемлемых рисках, а затем закрепить их в соответствующем регламенте.

В качестве одного из возможных вариантов⁶:

Уровни риска: низкий, средний, высокий и стоп-фактор.

Описание признаков по каждому уровню риска.

Низкий риск – контрагенты:

представившие все необходимые для проверки документы (включая финансовую отчетность);

имеющие достаточные для исполнения договорных обязательств материальные и трудовые ресурсы, основные средства;

не имеющие признаков ликвидации и банкротства;

не имеющие задолженности по налогам;

финансово-хозяйственная деятельность которых имеет положительную динамику в течение трех последних лет;

имеющие низкие кредитную нагрузку и задолженность по платежам;

осуществляющие на регулярной основе экспортные операции, в том числе в Российскую Федерацию (для иностранных компаний);

в обзорной бизнес-справке по которым раскрыта вся необходимая информация, включая финансовые показатели деятельности, а также отсутствует какая-либо негативная информация.

Средний риск - контрагенты, без признаков низкого или высокого риска:

имеющие более 10 арбитражей за последние 2 года, где выступают ответчиком и/или есть арбитраж на крупную сумму (от 10% оборота по балансу) и/или имеются факты неисполнения договорных обязательств;

в отношении которых обнаружен негатив в СМИ и/или Интернете;

имеющие убытки (по данным финансовой отчетности, представленной в ФНС России).

внесённые в Реестр недобросовестных поставщиков⁷;

аффилированные с другими участниками закупочного мероприятия;

аффилированные с компаниями, включёнными в Реестр недобросовестных поставщиков;

имеющих задолженность по налогам и сборам, штрафы, недоимки и/или исполнительные производства;

у которых выявлена совокупность рисковых признаков (трех и более):

- существует непродолжительный период времени 1-2 года;

- минимальный уставной капитал;

- адрес массовой регистрации;

- отсутствие контактных данных в ФНС.

Высокий риск – контрагенты:

признанные банкротами (в отношении контрагента введено конкурсное производство), либо возбуждено дело о банкротстве;

находящиеся в стадии реорганизации;

имеющие действующие решения ФНС о приостановлении операций по счетам, либо имеется существенная (от 1 000 000 руб. и выше) задолженность по уплате налогов;

не обнаруженные по фактическому адресу при невозможности подтвердить их регистрационные данные (для иностранных контрагентов);

в отношении учредителей и/или руководителей которых имеется негативная информация, влияющая на исполнение контракта и/или создающая репутационные риски для Компании;

предоставившие недостоверные сведения о себе, что было выявлено в ходе проверки.

Стоп-фактор, контрагенты:

находящиеся в процессе ликвидации;

аффилированные с запрещенными (враждебными) организациями (внесенные в соответствующий реестр государственным органом).

паспорт руководителя/учредителя которого не действителен;

индекс должной осмотрительности СПАРК более 70.

Порядок принятия рисков

Низкий риск – взаимодействие с контрагентов возможно по стандартной процедуре.

Средний риск – требуется принятия риска руководителем подразделения, инициатора проверки (уровень не ниже CEO-2).

Высокий риск – требуется принятие риска руководителем бизнес-направления (уровень не ниже CEO-1).

Стоп-фактор – блокирующий уровень, принятие риска невозможно.

Примечание

Критерии, факторы, а также их распределение по уровням риска могут быть любыми, выбранными по усмотрению компании, исходя из специфики ее деятельности, особенности рынков сбыта и уровня угроз, которые принято считать приемлемыми. Главное, чтобы правила были определены и понятны участникам процесса, как осуществляющим оценку, так и выступающим в роли заказчиков.

При таком подходе, СБ не блокирует взаимодействие с потенциальными контрагентами (кроме случаев, когда выявлен стоп-фактор), а информирует бизнес-заказчика о потенциальных рисках и уже он принимает решение о целесообразности установления контрактных взаимоотношений.

Проверка кандидатов на работу

На этом участке обычно применяется дифференцированный подход, когда объем и глубина проверочных мероприятий зависит от иерархического уровня должности, на которую претендует соискатель.

Однако, заключение в формате «согласован/не согласован» также вызывает разногласия, особенно в отношении линейного персонала, нехватка которого ощущается очень остро.

Здесь, как и в случае с проверкой контрагентов, службе безопасности не следует выступать в роли неприступной стены. Очень хорошо, когда у нас работают кристально честные сотрудники с незапятнанной репутацией, но, когда работать просто некому, бизнес останавливается! Следовательно, наличие и доступность трудовых ресурсов на рынке напрямую влияет на риск-аппетит работодателя в этой части, а значит и подход СБ должен быть гибким.

При проверке кандидатов на работу также целесообразен риск-ориентированный подход.

Например, в формате светофора:

красный – не согласован;

желтый – согласован условно (требуется рассмотрение и принятие рисков);

зеленый – согласован.

Важно учитывать, что помимо дефицита рабочих рук, сложность заключается в том, что Закон прямо запрещает какую-либо дискриминацию при приеме на работу. Наличие судимостей, исполнительных производств, негативных отзывов от предыдущего работодателя и прочих печальных обстоятельств не могут стать основанием в отказе (за некоторыми исключениями, связанными с материальной ответственностью или допуском к гостайне).

Тем не менее, работодателю важно понимать, кого он допускает на свои объекты и к своим активам. В результате проверочных мероприятий, могут быть получены сведения негативного характера, которые необходимо учитывать при принятии решения о целесообразности трудовых отношений.

Как правило, критерии оценки кандидатов не вносятся во внутренние распорядительные документы по вышеуказанным причинам, но тем не менее они разрабатываются и согласовываются с заинтересованными подразделениями для формирования общего подхода и исключения недопонимания между участниками процесса.

В качестве иллюстрации, предлагается вариант, где кандидаты распределены по четырем категориям:

Топ-менеджеры (СЕО, СЕО-1);

Средний менеджмент (СЕО-2, СЕО-3);

Офисные работники (за исключением указанных в п.1, 2);

Рабочие специальности.

Перечень статей УК РФ и КоАП РФ, признаваемых стоп-факторами так же может быть определен и согласован внутри компании.

Если по результатам проверочных мероприятий кандидат рекомендован условно, принятие риском может быть оформлено в виде документального поручительства нанимающего менеджера, означающего, что руководитель оценил и принял риски, связанные с трудоустройством такого кандидата и готов нести ответственность за результаты своего решения.

Алгоритм действий по согласованию приема на работу такого соискателя может быть следующим:

Трансформация функции безопасности

Сравнив текущее состояние функции безопасности (As Is) и образ желаемого (To Be), пришло время понять, как из одной фазы перейти в другую (How).

Организационно-штатная структура

Вполне вероятно, что часть задач, которые, по нашему мнению, следовало бы решать Дирекции безопасности, в настоящее время не поддерживается вовсе, а реально проводимая работа не отражена в организационно-штатной структуре.

Чтобы внести ясность, целесообразно разложить все существующие и планируемые активности по направлениям работы.

В качестве иллюстрации мы будем по-прежнему использовать Дирекцию безопасности гипотетического ООО холдингового типа «Рога и копыта», которая организационно включает в себя:

Дирекцию безопасности Центрального офиса (ДБ ЦО);

Дирекцию безопасности производственного кластера (ДБ ПК);

Дирекцию безопасности региональной сети (ДБ РС).

Дирекция информационной безопасности (ДИТ) в рассматриваемом случае в структуру на входит, но в целях наглядности в функционограмме присутствует.

Получаем следующую картину:

Сокращения:

ОДС — оперативно-дежурная служба (ситуационный центр, куда поступает вся информация об инцидентах);

ПБ — пожарная безопасность;

ОТ – охрана труда;

СВН – система видеонаблюдения;

СКУД – система контроля и управления доступом;

ТСО и ПБ —технические средства охраны и пожарной безопасности.

Для большей наглядности, повторяем это упражнение снова, но уже в разрезе подразделений.

На примере ДБ Центрального офиса (штаб-квартира):

В результате проведенных манипуляций, у нас возникает понимание, каким образом изменить существующую или сформировать новую организационно-штатную структуру Дирекции безопасности, чтобы у каждой задачи (направления работы) был исполнитель.

В завершенном виде, организационно-штатная структура Дирекции безопасности ООО «Рога и копыта» может приобрести такой вид:

Функционал и зоны ответственности:

Директор по безопасности холдинга отвечает за физическую, экономическую и информационную безопасность объектов Компании, подчиняется Совету акционеров и является начальником для всех структурных подразделений безопасности холдинга, независимо от их организационно-правовых форм и юридической структуры.

Начальник Отдела экономической безопасности отвечает за отработку инцидентов безопасности, организацию процесса проведения корпоративных расследований, методологическое сопровождение проверочных мероприятий, обобщение и распространение лучших практик, выработку и реализацию митигирующих мер по выявленным системным рискам, а также проверку юридических и физических лиц на риски взаимодействия. Является функциональным руководителем для профильных сотрудников подчиненных подразделений безопасности.

Начальник Отдела физической безопасности обеспечивает физическую охрану всех объектов холдинга, пропускного, внутриобъектового и противопожарного режимов, оснащение их техническими средствами безопасности, эксплуатацию, ремонт и модернизацию этого оборудования. Является функциональным руководителем для профильных сотрудников подчиненных подразделений безопасности.

Начальник Отдела информационной безопасности отвечает за обеспечение герметичности информационного периметра холдинга и режима обращения с информацией ограниченного доступа, оснащение объектов инфраструктуры и организацию эксплуатации оборудования и программных средств для защиты данных от компрометации, модификации и утраты.

Начальник Отдела безопасности Центрального офиса – отвечает за физическую и экономическую безопасность головного подразделения холдинга. Подчиняется Директору по безопасности холдинга.

Директор по безопасности региональной сети/производственного контура отвечает физическую и экономическую безопасность объектов Компании в зоне ответственности, подчиняется Директору по безопасности холдинга.

При этом, полномочия между подразделениями распределяются следующим образом:

Для более зрелых Компаний, можно предложить такую структуру:

В данном варианте региональные подразделения безопасности подчинены руководителю направления ЭБ, так как основное содержание их работы – проведение расследований, а за этот процесс отвечает именно он. Но на практике чаще региональные (объектовые) подразделения замыкаются непосредственно на руководителя функции.

Состав подразделений информационной и физической безопасности с приведенной схеме не раскрывается, так как во многом зависит от территориальной и производственной специфики предприятия.

Функционал по защите коммерческой тайны, информации ограниченного пользования и обработке персональных данных может быть сосредоточен как в ДИТ, так ФБ или даже выделен в отдельное направление. Решение зависит от специфики предприятия, если охраняемые сведения преимущественно обрабатываются в электронном виде, то логично отдать их в ДИТ, если на бумажном – в ФБ.

На уровне макрорегиона (объекта) структура может быть такой:

Инцидент-менеджмент

В соответствии с предложенной концепцией обеспечения безопасности, все инциденты регистрируются и отрабатываются сотрудниками Дирекции по своим направлениям (участкам работы).

При этом, под инцидентом мы понимаем событие (в т.ч. возможное), связанное с нарушением требований внутренних нормативных документов, и/или риск/факт коррупции, внутреннего фрода, информация о котором поступила в подразделение безопасности, требующая уточнения в ходе проверки.

То есть, в качестве инцидента можно рассматривать не только уже случившееся событие, но и то, которое может произойти в будущем так как к этому имеются предпосылки, то есть гипотеза.

Наиболее сложные, имеющие признаки системных рисков, передаются в подразделение (специалистам) экономической безопасности для проведения корпоративного расследования. В филиалах или на объектах, где сотрудник СБ выступает в единственном лице и отвечает за все линии работы, он же проводит и корпоративные расследования, а профильные менеджеры по ЭБ оказывают ему методическую и при необходимости практическую помощь.

То есть, подразделения Дирекции безопасности, в рамках текущих активностей осуществляют контроли зон ответственности и выявляют отклонения (инциденты), которые необходимо учитывать, расследовать, накапливать и анализировать.

Ниже приведена возможная схема взаимодействия между структурными подразделениями Дирекции безопасности.

Оперативно-дежурная служба

Поскольку часть контролей осуществляется в круглосуточном режиме и может потребоваться реагирования в нерабочее время, представляется целесообразным создание «единого окна» для сбора такой информации, принятия мер по локализации происшествий и информирования о нем ответственных сотрудников и руководство организации. Обычно этот функционал возлагается на Оперативного дежурного Компании (Далее – ОДК) – старшего смены охраны, несущего службу круглосуточно в головном офисе.

При территориально-распределенном расположении объектов, полезно разработать единый формат представления информации о происшествиях и организовать автоматизированный сбор этих данных на дашборд ОДК.

В условиях недостатка ресурсов, это можно реализовать через возможности известного офисного приложение Microsoft Excel, разместив таблицы на сетевых дисках и связав их гиперссылками. С этой задачей справится даже неквалифицированный пользователь при нулевых затратах на создание и поддержку системы.

Оперативный дежурный (старший охраны) каждого объекта ежедневно заполняет свою таблицу, а значения автоматически подтягиваются ОДК и суммируются за холдинг. Подробности и описание происшествий добавляется в виде примечания.

В результате мы получим ежедневно обновляемые сведения об инцидентах с накопительным итогом за день, месяц или год.

Кроме того, это даст возможность мониторить исправность технических средств безопасности для целей оценки качества работы специалистов, поддерживающих их работоспособность.

Примерный перечень контролей ОДК:

Ситуационный центр

В больших организациях, excel-формата может оказаться недостаточно, поэтому для осуществления мониторинга, контроля ситуаций, анализа данных, информирования и принятия управленческих решений создается Ситуационный центр (Далее - СЦ).

Задачи СЦ:

обеспечить централизованный круглосуточный мониторинг состояния инфраструктуры объектов

обеспечить сбор, обработку и анализ информации с целью выявления отклонений и своевременного информирования об инцидентах

обеспечить руководство наиболее полной информацией для качественного принятия решений

организовать информационно-аналитическую поддержку принятия управленческих решений в сложных ситуациях, включая аварийные

оперативно реагировать и устранять проблемы, возникающие в процессе эксплуатации оборудования и систем

сократить сроки реагирования на инциденты.

В зависимости от специфики предприятия и особенностей организационно-штатной структуры, он может быть, как единым, так и разделенным, когда инциденты ИБ или ЭБ регистрируются и отрабатывается отдельно. Такое дублирование не выглядит критично, так как мониторинг киберугроз, возможно, уже осуществляется круглосуточно силами SOC⁸ , а инциденты ЭБ могут быть зарегистрированы и на следующий день без потери актуальности. Немедленного реагирования, как правило, требуют инциденты ФБ (кража, разбой) или происшествия техногенного характера (аварии на инженерных сетях и т.п.).

Если Ситуационный центр общий, то в целях обеспечения конфиденциальности, права доступа определяются ролями пользователей. А Оперативному дежурному Компании, поступает информация в формализованном виде. Например, «Инцидент ИБ 2 категории, планируемый срок решения 05.11 сегодня, ответственный Иванов О.П.».

Категорийность инцидентов закрепляется в ВНД и для каждой определяется срок решения, который ОДК берет на контроль.

Отдельно определяется перечень происшествий, доклад о которых руководству производится незамедлительно, а также тех, где оповещаются ответственные за проблемный участок. Формы информационных сообщений лучше шаблонизировать, что с одной стороны обеспечит полноту доклада, а с другой его связность (не все ОДК способны в критической обстановке внятно сформулировать суть возникшей проблемы).

Работа СЦ может быть автоматизирована на основе конструктора сценариев реагирования в зависимости от вида объекта, инцидента и ответственных лиц, участвующих устранении инцидента. В этом идеальном случае система сама направит информационные сообщения по заранее определенному маршруту.

Состав системы:

комплекс информационно-аналитических систем (система отображения, сбора и обработки информации, система поддержки принятия решений, система мониторинга)

система видеонаблюдения

система контроля и управления доступом

система охранной сигнализации

система охранно-пожарной безопасности

система оперативной связи и оповещения

рабочие места ОДК и его помощника

дополнительные системы, принятые на мониторинг.

В этом случае внутренние процессы Ситуационного центра могут иметь такой вид:

… а принципиальная схема построения СЦ такой:

В перспективе, на контроль Ситуационного центра могут быть поставлены и другие параметры (вход/выход и геолокация корпоративного автотранспорта, температурный режим в холодильных камерах и т.п.). При автоматизированной системе реагирования, это не приведет к перегрузке функционала ОДК и снижению эффективности управления инцидентами безопасности.

В качестве варианта, ниже приводиться возможный список контролируемых параметров.