Kitobni o'qish: «ESBOK. Экономическая безопасность бизнеса. Свод практических знаний»

От автора

«Сделай, чтобы было хорошо и безопасно». Примерно с таким поручением нередко приходит в компанию руководитель безопасности. В этой фразе помещается многое: чтобы не воровали, не срывались поставки, сотрудники работали честно, а собственнику было спокойно. Только представление о том, как этого достичь и что считать результатом, у каждого своё.

У нашей профессии есть странная особенность. Людей нанимают, создают подразделения, выделяют бюджеты, ждут вполне реальной пользы. Но даже коллегам порой непросто договориться, что именно входит в экономическую безопасность. Для одного это проверки контрагентов, для другого — расследования, для третьего — согласование всего, что проходит через компанию. И каждый может привести примеры, почему его подход работает.

Я много раз возвращался к этому вопросу в работе, на форумах и на занятиях. Особенно когда у руководителя и его службы вроде бы всё благополучно, а бизнес не очень понимает, за что он платит. Проверки идут, заключения пишутся, нарушения выявляются. А что изменилось для компании? Этот вопрос быстро делает разговор предметным.

Мне самому понадобилось время, чтобы научиться на него отвечать.

Я пришёл в корпоративную безопасность из подразделений МВД, занимавшихся налоговыми и экономическими преступлениями и противодействием коррупции. Умение разбираться в обстоятельствах, проверять версии, находить документы и восстанавливать действия людей очень помогало. Но в компании пришлось учиться ещё и понимать сам бизнес: как возникает потребность, кто принимает решение, как движутся деньги и материалы, где появляется возможность для злоупотребления.

Потом были «Северсталь» и НЛМК. Предметная работа в логистике, проекты, развитие функции безопасности. В НЛМК я прошёл путь от главного специалиста до начальника управления, которое объединяло работу с рисками корпоративного мошенничества, бизнес-анализ, аналитику данных и управление проектами. Многие решения приходилось искать вместе со снабжением, производством, логистикой, ИТ и другими подразделениями. Именно в такой совместной работе становилось понятно, какие наши требования помогают, какие создают лишнюю нагрузку и чего мы вообще не замечали раньше.

Очень многое дали аудиты функций безопасности в разных компаниях. Приходишь в другую отрасль, видишь непривычные процессы, знакомишься с людьми — и снова встречаешь знакомые вопросы. За что отвечает безопасность? Почему выбран именно этот участок? Что происходит после проверки? Кто должен выполнить рекомендации? Иногда ресурсов немного, а работа организована толково. Иногда людей и инструментов достаточно, но значительная часть усилий уходит на действия, пользу которых трудно объяснить.

Я всё больше убеждался: отдельного удачного расследования, сильного сотрудника или дорогой системы недостаточно, чтобы работа стала устойчивой. Нужно связать между собой задачи бизнеса, существенные риски, возможности команды и конкретные действия. А потом ещё проверить, что получилось. Звучит просто. На практике именно эти связи часто и теряются.

Сейчас я консультирую компании по вопросам экономической безопасности, провожу аудиты функций безопасности и помогаю их развивать. Преподаю в НИИ психологии поведения человека и веду авторскую программу «Экономическая безопасность: практика управления рисками и противодействия мошенничеству». Также я вхожу в наблюдательный совет Международной ассоциации корпоративной безопасности (ICSA). Практическая работа, занятия и профессиональные обсуждения позволяют постоянно сопоставлять свой опыт с тем, как работают коллеги в других компаниях.

На занятиях часто звучит знакомый запрос: «А можете дать положение о службе безопасности? Или какой-нибудь регламент, чтобы взять за основу?» Поделиться документом несложно. Но за каждой его строчкой стоят чьи-то задачи, полномочия, системы и договорённости. Перенесёшь текст в другую компанию — и далеко не всё будет работать. Гораздо полезнее разобраться, почему решение устроено именно так и что из него подходит тебе.

Из этих разговоров и выросла книга. Мне не хватало собранных в одном месте практических знаний о том, как организовать экономическую безопасность и объяснить её работу бизнесу. Есть законодательные требования, профильное образование, методы смежных дисциплин, корпоративные документы. Но из них ещё нужно собрать понятный способ действовать в конкретной компании. Значительную часть этого пути каждый проходит заново: через собственные ошибки, опыт коллег и удачные находки.

В этой книге я собрал практический подход к работе экономической безопасности: как определить задачи функции, разобраться в рисках бизнеса, организовать контроль и использовать результаты проверок для изменений. В компании с несколькими специалистами и в большой группе будут разные возможности и разные решения. Важно понимать основания своего выбора и последствия для бизнеса.

С примерами из отдельных процессов та же история. В книге много промышленной практики, потому что это существенная часть моего опыта. Но я хотел показать ход мысли: от непонятного отклонения к проверяемой версии, от установленной причины к изменению процесса. Конкретный набор контролей читателю всё равно предстоит собирать под свою компанию.

Со мной можно и нужно спорить. Если какой-то тезис не сходится с вашим опытом, стоит разобраться, где различаются условия, что мы упустили и почему получили другой результат. Для меня это нормальный профессиональный разговор. Без него мы рискуем годами повторять привычные действия только потому, что когда-то нас так научили.

Мне хочется, чтобы эта книга помогла коллеге увереннее организовывать свою работу, а руководителю бизнеса — яснее понимать, чего ждать от безопасности и как с ней взаимодействовать. Чтобы привычное «мы обеспечиваем безопасность» можно было объяснить по существу: какой риск мы рассматриваем, что делаем и что в итоге меняется в компании.

Ради такого разговора и стоило собрать этот опыт в книгу.

Никита Лисенков

Как пользоваться книгой

Книга посвящена работе экономической безопасности компании. В центре внимания — корпоративное мошенничество: где возможны злоупотребления, как их предупредить и выявить, как проверить обстоятельства и что изменить по результатам работы. Этот подход требует знания бизнеса и совместной работы с владельцами процессов и профильными специалистами.

Книга прежде всего адресована руководителям и специалистам экономической безопасности.

• Руководителям безопасности — чтобы определить задачи и полномочия функции, выбрать приоритеты, организовать работу команды и оценивать её результат.

• Практикующим специалистам — чтобы разбираться в бизнес-процессах, проверять версии, оценивать контроли и готовить обоснованные предложения для бизнеса.

• Собственникам и руководителям бизнеса — чтобы понимать, каких результатов ждать от безопасности, какие условия ей нужны для работы и как оценивать её вклад.

Книгу можно читать последовательно или обращаться к отдельным главам по своей задаче.

• Выстраиваете или пересматриваете работу безопасности? Начните с глав 1–13: задачи, полномочия, приоритеты, команда и оценка результатов.

• Разбираетесь в конкретном бизнес-процессе? В главах 14–15 описан общий подход к анализу процесса и разработке контролей. В главах 16–25 — его применение в отдельных направлениях бизнеса.

• Проверяете информацию о возможном нарушении? Обратитесь к главам 26–30: получение информации, проверка гипотез, анализ данных, расследование и дальнейшие изменения. Само расследование разобрано в главе 29.

Примеры показывают профессиональный выбор в определённых условиях. Перед применением решения в своей компании важно разобраться в устройстве процесса и полномочиях участников, проверить, есть ли подходящие данные и необходимые ресурсы, оценить стоимость. Реальная практика и вымышленные учебные ситуации обозначаются отдельно. Приложения помогают перейти от поручения к сообщению о результате, от риска к контролям и от задач к профилям команды.

В этой версии книги каждая строка таблицы представлена отдельным блоком. В матрице рисков и контролей сначала выделено название поля, под ним даны подсказка по заполнению и учебный пример. В каталоге функций и профилях блок начинается с названия задачи, дальше идут действия и ожидаемый результат.

Часть I. Основания работы экономической безопасности

Глава 1. Экономическая безопасность как функция бизнеса

1.1. Назначение и область применения

Эта книга посвящена работе экономической безопасности в компании. В центре внимания — сценарии корпоративного мошенничества в бизнес-процессах: как обнаруживать возможности злоупотребления, предупреждать и выявлять их, проверять возникающие подозрения и менять условия, позволяющие нарушениям повторяться. Для этого безопасность разбирается в работе бизнеса, взаимодействует с владельцами бизнес-процессов и привлекает нужную экспертизу.

Когда руководитель компании спрашивает, зачем ему служба безопасности, перечень проверок и расследований объясняет только часть её работы. Ему нужно понимать, где возможны злоупотребления, что сделано для их предупреждения и выявления и где требуется его решение. Руководителю безопасности предстоит связать профессиональную работу своей команды с этими вопросами.

Эта глава помогает определить назначение функции экономической безопасности: какие интересы бизнеса она защищает, какие задачи выполняет и как взаимодействует с владельцами процессов. Её полезно открыть при создании или пересмотре функции, смене руководителя, изменении бизнеса и обсуждении ожиданий заказчика. Те же основания нужны специалисту, который уточняет своё участие в конкретной задаче, и HR, который подбирает людей под эту работу.

Экономические последствия возникают в любой части бизнеса. Однако падение продаж, неудачная инвестиция или поломка оборудования сами по себе ещё не определяют задачу безопасности. Для её постановки нужно назвать рассматриваемый риск, профессиональный вопрос и ожидаемый вклад функции. Это позволяет распределять работу между участниками и соотносить ответственность с полномочиями и компетенциями.

Кадровая безопасность, физическая защита, информационная безопасность и непрерывность деятельности рассматриваются в связи с этой задачей. Например, сведения о доступе и перемещении имущества могут помогать проверке обстоятельств, а ограничения доступа — предупреждать злоупотребления. Устройство инженерной защиты, технические методы ИБ и управление непрерывностью остаются предметом соответствующих дисциплин. Организационное объединение направлений зависит от компании: название службы не определяет состав задач специалиста.

Далее слова «безопасность» и «функция безопасности» используются как сокращение для функции экономической безопасности в описываемой задаче. Когда речь идёт о более широкой корпоративной функции или другом направлении защиты, это оговаривается отдельно.

1.2. Ожидаемые результаты

Применив положения главы, заказчик и руководитель функции смогут описать её назначение для своей компании, определить основные области участия и договориться о результатах. Такое описание связывает экономические интересы, риски, профессиональные задачи, полномочия и взаимодействие с другими участниками.

Договорённости закрепляют в согласованном документе: положении о функции, описании её назначения и ответственности или ином принятом в компании формате. Обсуждение с заказчиком помогает выработать договорённость; письменная фиксация делает её доступной участникам и сохраняет при смене руководителей. Качество этого документа определяется тем, помогает ли он распределить реальные задачи: что делает безопасность, кто принимает решение, кто меняет процесс и как проверяется результат. Общая формулировка «обеспечивать экономическую безопасность компании» оставляет эти вопросы открытыми.

1.3. Основные понятия и принципы

Безопасность как непрерывный процесс

Экономическая безопасность бизнеса в этой книге — непрерывный процесс работы с рисками, затрагивающими экономические интересы компании, направленный на поддержание этих рисков в пределах, приемлемых с учётом риск-аппетита компании.

Этот процесс требует совместной работы руководства, владельцев бизнес-процессов, безопасности и других профильных функций. Функция экономической безопасности выполняет в нём определённую профессиональную часть, прежде всего связанную со сценариями корпоративного мошенничества и контролями, которые ограничивают такие риски. Её предмет раскрывается ниже; общее определение не возлагает на службу безопасности управление всеми рисками, имеющими экономические последствия.

Бизнес меняет продукты, поставщиков, технологии и порядок работы. Вместе с ним меняются риски и условия применения контролей. Поэтому однажды провести проверку, утвердить регламент и считать задачу обеспечения безопасности завершённой невозможно.

На определённую дату можно оценить текущую ситуацию: какие риски выявлены, какие контроли действуют, насколько подтверждена их работа и какой риск остаётся. Вывод относится к известным условиям и доступным сведениям. При изменении этих условий его предстоит пересмотреть. Отсутствие выявленных нарушений также требует интерпретации: оно может быть связано с работающей профилактикой, ограниченным охватом наблюдения или недостаточностью данных.

Ключевая специализация функции экономической безопасности в этой книге — работа со сценариями корпоративного мошенничества в бизнес-процессах:

• выявлять возможности злоупотребления;

• проверять соответствующие версии;

• совместно с владельцами процессов разрабатывать и проверять меры предупреждения и выявления;

• проводить проверки и расследования;

• использовать их результаты для совершенствования контролей.

В этой книге «корпоративное мошенничество» обозначает профессиональную область работы с умышленным обманом и злоупотреблениями, причиняющими вред экономическим интересам компании. Так здесь обозначен предмет работы; это не заменяет правовую квалификацию конкретного действия.

Любой риск корпоративной матрицы полезно проверить на возможный сценарий корпоративного мошенничества: могут ли намеренные действия вызвать событие, увеличить его последствия или скрыть произошедшее? Ответ требует знания процесса. Такая постановка не означает, что каждый риск содержит мошенничество или каждый инцидент имеет умышленную причину. Экспертиза безопасности состоит в способности сформулировать содержательную версию и проверить её, сохраняя альтернативные объяснения.

По внешним признакам потери бывает трудно отличить злоупотребление от ошибки или системного недостатка процесса. Поэтому проверка может выявить организационную проблему без подтверждения корпоративного мошенничества. Её передают владельцу процесса и соответствующим специалистам для решения, сохраняя согласованные обязательства безопасности. Проверка может не подтвердить версию мошенничества. Если такой вывод обоснован, это тоже профессиональный результат.

Участие безопасности, бизнеса и контрольных функций требует согласованного распределения работы. Полномочия и ответственность участников раскрыты в главе 3.

Экономические интересы, риски и контроли

Экономический интерес задаёт предмет защиты. Например, компании нужно получить оплаченный объём поставки, сохранить имущество, обоснованно использовать ресурсы или принимать решения на достоверных данных. Описание интереса помогает перейти от общего пожелания «усилить безопасность» к конкретной работе.

Для работы с экономическим интересом определяют, что может помешать его достижению и какие контроли уже ограничивают соответствующий риск. Связь процесса, риска и контроля разобрана в главе 2; точные значения терминов и их происхождение приведены в глоссарии.

Контрольная среда включает условия, в которых эти действия выполняются: распределение ответственности, полномочия, компетенции, доступность информации и отношение руководителей к соблюдению установленного порядка. Даже правильно спроектированный контроль может не работать, если его исполнитель не получает данных или руководитель регулярно разрешает обход процедуры без разбора последствий.

Приемлемость риска

Риск-аппетит — величина и тип риска, которые организация готова принимать или сохранять. Это рабочая русская формулировка по ISO 31073:2022, п. 3.3.27; подробнее — в глоссарии. Он выражает готовность компании принимать риск при достижении своих целей. Для конкретных решений этот ориентир уточняется через ограничения, критерии и полномочия. Там, где они ещё не определены, руководитель безопасности помогает сформулировать вопрос и вынести его на соответствующий уровень управления.

Контроли не обнуляют риск автоматически. После их применения остаются ограничения охвата, неопределённость и возможность неблагоприятного события. Заказчику нужны основания, чтобы оценить приемлемость этого оставшегося риска: что проверено, какие контроли работают, чего мы пока не знаем и при каких обстоятельствах решение придётся пересмотреть.

Принятие риска происходит в пределах полномочий и применимых обязательных требований. Оно не подтверждает качество слабого контроля и не заменяет отсутствующую экспертизу. Если решение выходит за полномочия заказчика, вопрос передаётся тому, кто вправе его принять. Молчание в ответ на доклад не следует считать согласованным принятием риска.

Решение фиксируется в корпоративной матрице рисков либо в связанном с ней реестре решений: кто и когда принял риск, на каких основаниях, при каких действующих контролях и условиях, кто наблюдает за ним и когда требуется пересмотр. Если компания использует иной формат реестра рисков, сохраняется та же прослеживаемая связь. Принятый риск остаётся в матрице и под наблюдением. Такой порядок соответствует принципу мониторинга и пересмотра принятых рисков в ISO 31073:2022, п. 3.3.31; способ корпоративной фиксации предложен в этой книге.

Новый инцидент, связанный с этим риском, запускает его повторный анализ и оценку: что произошло, почему действующие контроли не предотвратили событие или не ограничили последствия и сохраняются ли основания прежнего решения. Ранее неучтённый сценарий описывают и включают в дальнейшую оценку риска. Переоценка не означает автоматического повышения уровня риска: вывод зависит от фактов, условий и фактической работы контролей. По её результату пересматриваются контроли или условия принятия риска, сведения в матрице и дальнейший мониторинг.

1.4. Содержание работы и профессиональные решения

Определить предмет участия

Работа начинается с понимания бизнеса: как создаётся продукт, движутся ресурсы, принимаются решения и исполняются обязательства. Затем совместно с владельцами процессов определяются риски и задачи, в которых требуется профессиональная работа безопасности.

Профилактическая работа возможна до первого инцидента. При запуске закупочной процедуры безопасность может вместе с бизнесом оценить возможности необоснованного ограничения конкуренции, подмены сведений или обхода согласований и предложить меры. Для такой задачи не требуется заранее найти нарушителя.

Участие безопасности в конкретной ситуации зависит от поставленных перед подразделением задач и предоставленных ему полномочий. При производственном отклонении безопасность может проверять достоверность сведений, соблюдение согласованного порядка и обстоятельства принятия решений. Техническую пригодность материала оценивают профильные специалисты. Их заключения используются в общей работе; профильные специалисты сохраняют ответственность за свои оценки.

Поддерживать цикл управления рисками

В книге используется последовательность «идентификация → анализ и оценка → управление → мониторинг и контроль». Слово «управление» внутри этой последовательности обозначает выбор и реализацию мер воздействия на риск. Весь цикл также относится к управлению рисками.

Идентификация

Основной профессиональный вопрос. Что может произойти в процессе, почему и с какими последствиями?

Рабочий результат. Описанные сценарии риска, связанные с операциями и интересами бизнеса

Анализ и оценка

Основной профессиональный вопрос. Насколько риск значим с учётом доступных данных и действующих мер?

Рабочий результат. Обоснованная оценка, ограничения вывода и приоритет работы

Управление

Основной профессиональный вопрос. Какое решение и какие действия нужны?

Рабочий результат. Выбранные меры либо обоснованное принятие риска; владельцы, ресурсы, сроки и условия проверки

Мониторинг и контроль

Основной профессиональный вопрос. Выполняются ли меры, дают ли результат и изменились ли исходные условия?

Рабочий результат. Подтверждённый результат либо основания пересмотреть оценку, меру или решение

Результаты мониторинга используют для уточнения сценариев риска и пересмотра их оценки. Внеплановый пересмотр может потребоваться после изменения процесса, отказа контроля, существенного инцидента или появления новых данных. Периодический пересмотр позволяет проверить вопросы, которые не проявились отдельным событием.

Этот цикл не требует заново согласовывать каждую штатную операцию. Повторяемые действия выполняются по установленному порядку. Существенная неопределённость, выход за согласованные условия или конфликт решений становятся основанием для дополнительного обсуждения.

Готовить результат, на основании которого можно принять решение

У работы безопасности есть исходные сведения, повторяемые операции, профессиональное суждение и результат. Повторяемость помогает сохранять качество; глубина анализа, методы и форма представления адаптируются к задаче.

Интеллектуальным продуктом могут быть установленные обстоятельства, оценка риска, проверенная гипотеза, варианты управленческого решения или разработанный способ контроля. Их ценность зависит от достаточности оснований и возможности использовать результат. Фраза «рекомендуется усилить контроль» мало помогает, если не объясняет, какое действие предлагается, кто его выполняет и что должно измениться.

В работе различают три результата:

• профессиональная работа выполнена;

• решение реализовано;

• изменение риска подтверждено.

Между ними могут пройти недели или месяцы. Если безопасности поручили реализовать мероприятие, подготовка справки ещё не означает выполнения поручения. Если внедрение поручено владельцу процесса, его ответственность и последующая проверка сохраняются отдельно от завершённой проверки безопасности.

Возвращать результаты расследования в процесс

Расследование позволяет установить обстоятельства случая и получить основания для дальнейших решений. Его результаты также помогают обнаружить ранее неизвестный сценарий риска, проверить аналогичные операции и понять, почему контроли не сработали.

Учебный пример. Все обстоятельства вымышлены. Компания установила, что сотрудник подтверждал поступление товара, который фактически не был принят. После кадрового решения работу передали другому человеку. Порядок приёмки и основания оплаты остались прежними: один сотрудник по-прежнему мог подтвердить поступление без сопоставления с независимыми сведениями. Разбирательство по этому случаю завершилось, но возможность повторения сохранилась.

При работе с процессом безопасность и его владелец выясняют, где и на каком основании подтверждается поступление, какие данные доступны для сопоставления и как рассматриваются расхождения. Затем выбирают подходящую меру: например, независимое подтверждение фактической приёмки перед оплатой с определённым порядком разрешения исключений. Конкретный способ зависит от процесса и доступных данных; дополнительная подпись без самостоятельной проверки проблему не решает.

После внедрения проверяют, подтверждают ли фактическую приёмку, принимают ли решения по обнаруженным расхождениям и не появился ли обходной путь. Также оценивают, как контроль влияет на сроки работы и обоснованные исключения. Только по этим сведениям можно судить об изменении риска. Само отсутствие нового выявленного случая для такого вывода недостаточно.

Задача развития функции — уменьшать возможности реализации рисков и повторения известных сценариев. Число расследований само по себе не показывает зрелость: рост может означать лучшее выявление, снижение — как результат профилактики, так и ухудшение выявления нарушений. Решение начать необходимое расследование принимается по обстоятельствам случая.

Перед применением опыта другой организации проверяют, как устроен бизнес-процесс, какие полномочия, данные и компетенции доступны и сколько будет стоить выполнение предложенных действий. Регламент конкретной компании показывает один вариант реализации. Книга помогает понять лежащий в его основе метод и определить, что нужно изменить для собственной задачи.

1.5. Роли, полномочия и компетенции

При выполнении каждой задачи полезно различать заказчика, владельца затронутого процесса, ответственного за профессиональную задачу и исполнителя мероприятия. Один человек может совмещать несколько ролей. Это не устраняет потребности понимать, какое решение он принимает в каждой из них.

Заказчик объясняет, какую бизнес-задачу нужно решить, и принимает решения в пределах своих полномочий. Владелец процесса участвует в анализе, объясняет фактическое устройство работы и организует согласованные изменения. Безопасность отвечает за порученную профессиональную часть: метод, проверяемость выводов, обозначение ограничений, своевременный доклад и выполнение порученных ей мероприятий и контролей.

Распределение конкретных действий с аудитом, рисками, комплаенсом, HR, юридической функцией и другими участниками зависит от компании. Чтобы избежать дублирования, согласуют предмет проверки, использование уже полученных сведений и ожидаемый результат каждого участника. При этом самостоятельная профессиональная или независимая оценка сохраняется там, где она необходима: совместный доступ к данным не делает выводы всех функций одинаковыми.

Работа строится в пределах согласованных полномочий и допустимых методов. Вопросы, требующие правовой или технической оценки, передаются соответствующим специалистам. Профессиональное суждение безопасности включает способность определить, где собственной экспертизы недостаточно.

Для выполнения описанной работы нужны умения разбирать бизнес-процесс, формулировать сценарий риска, оценивать сведения, проверять объяснения, проектировать и испытывать контроли и изменения процесса, обсуждать варианты с бизнесом и подтверждать результат. Круг принимаемых решений зависит от роли: специалист работает с конкретной задачей, руководитель организует работу команды, руководитель функции определяет приоритеты и взаимодействие на уровне компании. Подробные профили компетенций строятся на этих действиях, а не на названии должности или предыдущем месте службы.

1.6. Рабочие способы определения назначения функции

Первоначальный разговор можно построить на следующих вопросах:

1. Какие экономические интересы и процессы компании требуют нашего внимания?

2. Какие сценарии риска и неизвестные обстоятельства существенны для решений бизнеса?

3. Какую профессиональную работу выполняет безопасность и какой результат получает заказчик?

4. Кто принимает решения, реализует мероприятия и предоставляет необходимую экспертизу?

5. Как мы проверяем работу контролей и при каких изменениях возвращаемся к оценке?

Ответы позволяют подготовить краткое описание назначения функции. Оно уточняется по мере изучения бизнеса. Для каждого существенного направления важно связать задачу с доступными полномочиями, компетенциями и ресурсом.

Вымышленный пример фрагмента такого описания: «В процессе закупок функция экономической безопасности совместно с владельцем процесса выявляет и оценивает риски злоупотреблений, проверяет существенные обстоятельства выбора контрагентов и исполнения сделок, участвует в разработке контролей. Результаты — обоснованные выводы для решений, проверенные предложения по изменениям и сведения об их фактической работе. Владелец закупочного процесса организует согласованные изменения; безопасность выполняет закреплённые за ней мероприятия и проверки. При изменении процедуры или выявлении нового сценария оценка пересматривается».

Такой фрагмент задаёт содержание работы, но ещё не заменяет конкретного поручения. Для него уточняются охват, срок, результат, ресурс и способ представления — этому посвящена глава 9.

1.7. Проверка результатов применения

Проверять описание функции лучше на конкретных задачах. Заказчик и руководитель рассматривают несколько ситуаций и выясняют, позволяет ли согласованное назначение определить участие безопасности и ожидаемый результат.

Запускается новая закупочная процедура, инцидентов ещё нет

Читатель определяет профилактическую задачу, участников и результат до запуска

После изменения рынка снизилась маржа

Читатель не назначает безопасности всю задачу восстановления доходности; называет конкретный профессиональный вопрос, если её участие требуется

Материал передан в производство до окончания испытаний

Читатель различает проверку порядка принятия решения и техническую оценку пригодности; определяет, кто завершает контроль и реагирует на его результат

После завершённого расследования повторился тот же сценарий

Читатель проверяет назначение, исполнение и достаточность мер, а также изменения условий; не ограничивается поиском нового участника

Эти ситуации являются учебными. Ответ оценивается по связности рассуждения и распределению работы; разные компании могут обоснованно выбрать разные организационные решения.

Описание функции пригодно для применения, если по нему можно назвать предмет работы, результат, владельца решения и границы участия; отличить профессиональный вывод от предположения; определить дальнейшую проверку и условия пересмотра. Отдельно проверяется, не обещана ли ответственность за результат, для которого у функции нет необходимых полномочий, данных или ресурса. Такое несоответствие между ответственностью и возможностями функции обсуждают с заказчиком.

Это проверка ясности назначения функции. Для оценки фактического качества её работы нужны наблюдения за выполнением задач, работой контролей и результатами решений.

Глава 2. Процесс, риск, контроль и результат

2.1. Назначение и область применения

Глава помогает перевести общее поручение «обеспечить безопасность процесса» в предметную работу: определить, где компания может потерять деньги или другие значимые для бизнеса ресурсы, как может возникнуть такая ситуация, что ей препятствует и на каком основании можно судить о результате.

Этот способ нужен при разборе действующего процесса, участии в его изменении, подготовке проверки и выборе корректирующих мер после инцидента. Он применим и к отдельной операции, и к цепочке действий нескольких подразделений. Начинать удобнее с участка, на котором предстоит принять решение: подтвердить объём работ, выбрать контрагента, разрешить платёж, изменить условия сделки.

Основные читатели — специалисты и руководители безопасности, которые вместе с владельцами процессов определяют риски и разрабатывают контроли. Руководителю бизнеса глава позволяет понять, что именно предлагается изменить и какой результат он вправе ожидать.

Эта глава показывает общий ход работы с рисками со стороны экономической безопасности: от понимания бизнес-процесса и возможного сценария корпоративного мошенничества до выбора контроля, проверки результата и пересмотра оценки. При первом чтении важно увидеть связи между этими действиями и понять, какие вопросы предстоит решать. Подробные методы анализа, построения матрицы рисков и контролей, проведения проверок и расследований раскрываются в последующих главах; к общей схеме можно возвращаться при их изучении.

2.2. Ожидаемые результаты

Результат работы — согласованное описание связи между целью процесса, сценарием риска, действующим контролем и решением о дальнейших действиях. Его можно включить в корпоративную матрицу рисков и контролей, рабочую записку или материалы проекта по изменению бизнес-процесса. Если в компании уже ведётся матрица рисков и контролей, результаты анализа безопасности связывают с соответствующими записями в ней. Дополнительный рабочий разбор может раскрывать сценарии корпоративного мошенничества и основания выводов подробнее, но не должен создавать несогласованные оценки одного и того же риска.

По этому описанию читатель должен установить:

• какая операция рассматривается и какой результат бизнеса она обеспечивает;

• что может пойти не так, при каких условиях и с какими последствиями;

• какой сценарий корпоративного мошенничества проверяется и какие другие причины могут объяснить отклонение;

• как работает контроль и чем подтверждается его исполнение;

• что известно об оставшемся риске, какое решение принято и когда его пересмотрят.

На раннем этапе часть ответов может отсутствовать. Тогда указывают, что пока неизвестно, и согласуют, как получить недостающие сведения. Предположение о надёжности контроля не превращается в подтверждение из-за того, что его внесли в матрицу.

2.3. Основные понятия и принципы

Бизнес-процесс рассматривается здесь как связанные действия, которые приводят к результату для бизнеса. Для анализа выделяют конкретную операцию: кто её выполняет, какие сведения использует и какой результат получает. Далее используем вымышленный пример оплаты подрядных ремонтных работ; его карта приведена в разделе 2.6. Например, «ремонты» — слишком крупный объект для описания конкретного контроля; «подтверждение объёма выполненных подрядчиком работ перед оплатой» уже позволяет обсуждать способ проверки.

Риск раскрывают через возможное событие, его причины и последствия для цели процесса. Общее определение риска и понятие риск-аппетита приведены в глоссарии. Формулировка «потери при ремонтах» обозначает область внимания, но ещё не объясняет механизм. Для работы полезнее: «Компания может повторно оплатить один и тот же объём работ, если при согласовании нового акта не сопоставляют его с ранее принятыми объёмами».

Сценарий корпоративного мошенничества описывает, как участник может намеренно использовать возможности процесса в ущерб компании. Это профессиональная гипотеза, а не вывод о виновности человека. Повторное предъявление работ может быть умышленным; похожее расхождение может возникнуть из-за ошибки учёта, корректировки документа или законного разделения работ на этапы. Экспертиза безопасности помогает определить, какие сведения позволят подтвердить или опровергнуть каждое из этих объяснений.

Контроль — мера, которая поддерживает или изменяет риск. В этой главе основное внимание уделяется конкретным контрольным процедурам. ISO 31073:2022, п. 3.3.33, отдельно указывает, что наличие меры не гарантирует предполагаемого изменения риска. ISO 31073:2022. Risk management — Vocabulary — официальная карточка.

Подготовка регламента — мероприятие по организации работы. Сопоставление предъявленного объёма с ранее принятым перед каждым соответствующим платежом — контрольная процедура. У регламента может быть дата утверждения, а у процедуры — начало фактического исполнения, охват и результаты. Эти сведения не заменяют друг друга.

Контроль способен предупреждать отклонение, обнаруживать его или ограничивать последствия. Поздняя проверка может помочь вернуть средства и изменить процесс, но не обеспечивает предотвращение уже совершённого платежа. При выборе меры учитывают, в какой момент ещё можно повлиять на событие.

Оставшийся, или остаточный, риск — риск после применения мер по работе с ним; термин опирается на ISO 31073:2022, п. 3.3.38. В практической оценке следует отличать ожидаемый риск после запланированных изменений от текущего риска при фактически работающих контролях. ISO 31073:2022. Risk management — Vocabulary — официальная карточка.

2.4. Содержание работы и профессиональные решения

Установить фактический порядок действий

Сначала уточняют цель, начало и окончание рассматриваемого участка процесса. Затем прослеживают несколько операций по документам, данным и объяснениям исполнителей: кто принял решение, на основании чего, что было передано следующему участнику. Регламент задаёт предусмотренный порядок; проверка показывает, как он реализуется, включая исключения и ручные действия.

Границы анализа выбирают под предстоящее решение. Для конкретной задачи не всегда требуется исследовать весь бизнес-процесс, однако нужно установить, откуда поступают сведения для решения и какие действия следуют за ним. Если надёжность выбранной операции зависит от предыдущего этапа, проверяют и эту связь. Иначе можно подробно изучить согласование документа, оставив без внимания достоверность его исходных данных.

При этом отдельно устанавливают, кто выполняет операцию и кто выполняет контроль. Например, подготовка основания платежа и проверка этого основания — разные действия, даже если в компании их поручили одному человеку. Раздельное описание позволяет увидеть самопроверку, зависимость от сведений одного участника и возможный конфликт интересов. Оно не означает, что для каждого действия нужна отдельная должность: распределение выбирают с учётом риска и доступных ресурсов.

Для операции находят используемые документы и системы, а для контроля — сведения, с которыми работает проверяющий, и подтверждение его действий. Акт может показывать, какой объём предъявлен к оплате, но не подтверждать, что его сопоставили с ранее принятыми работами. Нужно понимать, где сохраняется результат такого сопоставления и можно ли восстановить основания решения.

Описать механизм риска и проверить версии

Для каждого значимого сценария выясняют: что может произойти, какие условия это допускают, на каком шаге возникает возможность и как это повлияет на результат бизнеса. Безопасность рассматривает, как эту возможность могут использовать намеренно: обход процедуры, подмену сведений, сговор участников или сокрытие следов операции.

При обнаружении отклонения ищут сведения, позволяющие проверить каждую версию и отличить её от других объяснений. Совпадение названий работ в двух актах само по себе недостаточно: могут совпадать типовые операции на разных объектах. Потребуются связь с заданием, объектом, периодом, фактически принятым объёмом и историей изменений документов. Техническую оценку выполнения ремонта даёт профильный специалист; безопасность проверяет обстоятельства и обоснованность решения в пределах своей компетенции.

Несколько отклонений могут указывать на один механизм. Повторный акт, дополнительное согласование и исправленная запись не становятся автоматически тремя независимыми рисками. Сначала устанавливают их связь. При этом у одной операции могут существовать разные сценарии, для которых нужны разные меры.

Оценить риск и действующий контроль

Оценку выполняют в принятой корпоративной методологии. Безопасность предоставляет сведения о сценариях корпоративного мошенничества, инцидентах, способах обхода и проверенных недостатках контроля. Общие шкалы и правила оценки согласуются с функцией управления рисками, если она выделена в компании.

Для вывода нужны основания: характер и объём операций, возможные последствия, история отклонений, полнота данных и результаты проверки контролей. Отсутствие зарегистрированных случаев может означать отсутствие событий, слабое выявление или неполный учёт. Само по себе оно не доказывает низкий риск.

Когда данных недостаточно, это отражают в выводе вместе с допущениями. Качественная оценка с понятным основанием полезнее точного на вид числа, происхождение которого никто не может объяснить. Приоритет также зависит от времени до решения и обратимости последствий: сведения для завтрашнего платежа и для годового пересмотра процесса нужны в разные сроки.

Оценка риска и оценка контроля отвечают на разные вопросы. Первая показывает значимость возможного события для бизнеса; вторая — насколько контроль соответствует рассматриваемому сценарию и как он исполняется. Изменение процедуры ещё не даёт основания автоматически снизить оценку риска. Сначала проверяют, что изменилось в её работе, затем — как это влияет на вероятность события или его последствия.

Выбрать и внедрить меру

Владелец процесса и профильные специалисты рассматривают варианты: изменить порядок действий, разделить несовместимые полномочия, улучшить исходные сведения, встроить проверку, организовать наблюдение за исключениями. Безопасность оценивает, какие возможности для злоупотреблений сохранятся и как может быть обойдена предложенная мера.

В описании контроля указывают:

• кто его выполняет;

• когда;

• с каким покрытием;

• на основе каких данных;

• как исполнитель действует при отклонении;

• чем подтверждает выполнение.

Формулировка «усилить контроль оплаты» не помогает ни организовать работу, ни проверить её результат. Лучше: «до разрешения платежа сопоставить предъявленный объём с принятыми объёмами по этому заданию; расхождения направить уполномоченному руководителю». Такое описание уже можно проверить на практике.

Выбранную меру проверяют в реальной работе: позволяет ли она обнаружить рассматриваемое искажение, успевают ли участники отреагировать и не создаёт ли она несоразмерных затруднений для бизнеса. Утверждение нового правила ещё не означает изменения риска. Выбор места контроля, его описание, испытание и дальнейший мониторинг подробно рассмотрены в главе 15.

Проверить изменение и вернуть выводы в матрицу

После внедрения проверяют фактическое исполнение и разбирают отклонения. Затем оценивают, изменились ли условия возникновения риска. Утверждение нового порядка подтверждает управленческое решение; результаты проведённых проверок и принятые решения по исключениям дают основания судить о работе контроля.

Принятый риск остаётся в корпоративной матрице или связанном с ней реестре решений. Сохраняются владелец, основания принятия, действующие меры и условия пересмотра. При новом инциденте пересматривают оценку соответствующего риска, работу контролей и исходные допущения. Если обнаружен иной механизм, его дополнительно идентифицируют. Оценку риска не изменяют автоматически: сначала устанавливают, что именно изменилось в понимании его вероятности, последствий и надёжности контролей.

При объединении сведений проверяют сопоставимость данных, местные исключения, обмен результатами и полномочия на изменение общего процесса. Единая форма отчёта ещё не подтверждает одинаковую практику. При совмещении ролей особенно важны проверяемые основания решений и порядок действий в ситуации личной заинтересованности.

2.5. Роли и компетенции

Владелец бизнес-процесса отвечает за его организацию и результат. Владелец риска определяется корпоративной моделью; эти роли могут совпадать, но совпадение не предполагается по умолчанию. Исполнитель контроля выполняет конкретную процедуру. Безопасность проверяет сценарии корпоративного мошенничества и способы обхода контролей, совместно с владельцем процесса предлагает изменения и оценивает, как они повлияют на риски корпоративного мошенничества. Если ей поручено исполнение самого контроля, это закрепляют отдельно. Решение об изменении процесса, ресурсах или принятии риска принимает уполномоченный руководитель. Подробное распределение работы между участниками раскрыто в главе 3.

2.6. Метод и рабочие материалы

Матрица рисков и контролей

Матрица рисков и контролей — рабочее представление связей между бизнес-процессами, рисками и контрольными процедурами. В ней можно проследить, какое событие способно повлиять на цель бизнеса, какие условия его допускают, кто владеет риском, какие контроли действуют и на чём основана текущая оценка. Это может быть таблица или связанные записи в корпоративной системе.

Названия документов в компаниях различаются. Термином «матрица рисков» также называют таблицу сочетаний вероятности и последствий, по которой определяют уровень риска. Она помогает оценивать и сопоставлять риски, но сама по себе не описывает сценарии, контроли и принятые решения. В этой главе под корпоративной матрицей понимается содержательная матрица рисков и контролей либо связанный с ней реестр; шкала оценки — отдельный инструмент.

Историю риска и историю контроля сохраняют раздельно, связывая их с операцией и сценарием. Для оценки должно быть видно, какая процедура действовала, чем подтверждено её исполнение и почему изменился вывод о риске. Утверждение нового порядка ещё не даёт основания учитывать снижение риска как достигнутый результат. Матрицу пересматривают при изменении процесса, существенных новых сведениях, инциденте и в плановом порядке.

Универсальной балльной шкалы здесь не задаётся. Используют принятую корпоративную методологию; при её отсутствии критерии вероятности, последствий и приемлемости согласуют с уполномоченными руководителями до сопоставления рисков. Безопасность даёт предметную экспертизу по корпоративному мошенничеству. Порядок заполнения, оценки контролей и сохранения истории разобран в приложении с закупочным примером.

Глубина описания зависит от существенности риска и задачи. Для разового решения достаточно короткого разбора; для повторяющихся операций нужно регулярно обновлять сведения в матрице, сохранять историю пересмотра и указывать исполнителей контролей. Смысл метода сохраняется при любом масштабе: понятен механизм риска, контроль можно проверить, известно, кто отвечает за решение, а выводы учитываются при следующей оценке риска.

Учебная карта одного сценария

Учебная карта показывает, как разобрать один сценарий. На практике этот алгоритм можно использовать при подготовке документов, принятых в компании.

Вымышленный пример. Компания оплачивает подрядные ремонтные работы по подтверждённым объёмам. При сопоставлении актов обнаружено похожее описание работ по одному объекту. Предстоит решить, можно ли оплачивать новый акт и нужно ли менять проверку объёмов. Ни факт двойной оплаты, ни умысел в исходной ситуации не установлены.

Цель и операция

Оплатить выполненные работы в согласованном объёме; участок — подтверждение объёма перед оплатой

Сценарий риска

Один и тот же объём повторно включён в основание платежа; возможное последствие — избыточная оплата

Возможное корпоративное мошенничество и альтернативы

Умышленное повторное предъявление, в том числе при участии сотрудника заказчика; ошибка переноса данных; корректировка акта; разные этапы со сходными названиями

Что уточнить

Идентичны ли объект, задание и фактические объёмы; что уже принято и оплачено; какие исправления и основания существуют

Участники и сведения

Установить, кто готовит основание платежа и кто проверяет его; где находятся задание, история принятых объёмов и сведения об оплате. Конкретное распределение в условии пока не задано

Действующий контроль

Установить, кто подтверждает объём, с какими сведениями его сравнивает и учитывает ли предыдущие акты. По исходному условию работа контроля ещё не проверена

Предлагаемая мера

До разрешения платежа сопоставлять совокупные принятые объёмы с заданием и подтверждениями выполнения; назначить исполнителя, способ разбора расхождений и полномочия на исключения

Подтверждение выполнения контроля

Связанные записи о сопоставлении, использованных документах, расхождениях и принятом по ним решении. Наличие акта само по себе не подтверждает проверку

Дополняющий мониторинг

Можно предложить анализ повторных предъявлений по объекту и заданию. Нужно определить периодичность, кто разбирает выявленное отклонение и какие действия может предпринять; такой анализ не заменяет проверку перед платежом

Что может сохраниться

Подложное подтверждение объёма, сговор, неполные данные или неправомерное исключение могут позволить провести повторную оплату несмотря на предложенную проверку; их существенность ещё предстоит оценить

Решение и следующая проверка

По акту — решение уполномоченного лица после уточнения фактов; по процессу — согласование меры и проверка её работы после накопления оговорённого объёма операций

В примере и контроль перед платежом, и дополняющий мониторинг только предложены. Нельзя записать снижение риска как состоявшийся результат. Дальнейшая проверка может подтвердить достаточность меры, потребовать её изменения или показать, что первоначальная версия повторного предъявления не подтвердилась.

Для нескольких сценариев карту разворачивают в матрицу. Связи сохраняют так, чтобы от риска можно было перейти к контролям, а от контроля — к операциям, которые он охватывает. Один контроль может работать против нескольких сценариев; одному сценарию могут противодействовать несколько контролей. Механическое правило «одна строка — один риск — одна проверка» здесь не помогает.

2.7. Проверка результатов

В рабочем обсуждении и в докладе руководителю различают следующие уровни результата.

Профессиональная работа выполнена

Что проверяем. Процесс и версии разобраны в согласованном объёме; ограничения названы

Основание вывода. Материалы анализа, источники сведений, проверенные версии и заключение

Решение принято

Что проверяем. Выбран вариант действия, определены полномочия, исполнители и сроки

Основание вывода. Зафиксированное решение и его связь с риском

Контроль внедрён и исполняется

Что проверяем. Процедура работает в нужный момент и с оговорённым охватом, по отклонениям принимаются решения

Основание вывода. Проверенные операции, записи исполнения, разбор исключений

Есть основания судить о влиянии на риск

Что проверяем. Возможность сценария или его последствия изменились; оставшиеся ограничения понятны

Основание вывода. Сопоставимые данные до и после изменения, проверка механизма, учёт иных причин изменений

Запись об исполнении должна позволять восстановить существенные действия. Подпись может подтверждать согласование, но сама по себе не показывает, какие объёмы сравнивались. При выборочной проверке указывают период, состав выборки и пределы вывода; отсутствие недостатков в ней не означает проверку каждой операции процесса.

Контроль оценивают и со стороны бизнеса: не создаёт ли он неприемлемых задержек, дублирования или зависимости от единственного исполнителя. Если из-за избыточного числа ложных тревог проверки начинают пропускать, это влияет на надёжность контроля.

Снижение числа выявленных отклонений требует объяснения: улучшился процесс, уменьшился объём операций или ухудшилось выявление. Сумма платежей, приостановленных до выяснения обстоятельств, также не равна предотвращённому ущербу. Денежный эффект требует отдельного обоснования; подробнее это рассматривается в главе об оценке работы и эффекта.

Глава 3. Полномочия и ответственность

3.1. Назначение и область применения

Глава помогает договориться о том, какую работу выполняет экономическая безопасность, какие полномочия ей для этого нужны и как распределяется ответственность между ней, бизнесом и другими контрольными функциями.

Общая формулировка «участвовать в обеспечении безопасности» не даёт ясного понимания, что именно вправе делать сотрудник для защиты активов. Может ли он запросить документы, привлечь специалиста другого подразделения, организовать расследование, предложить изменение контроля? Кто рассматривает его выводы и принимает решение? Если ответы появляются только при возникновении проблемы, даже обоснованную задачу могут отложить из-за спора о полномочиях.

Основные читатели главы — руководитель функции безопасности и руководитель бизнеса. Материал применим при создании функции, уточнении её задач, согласовании взаимодействия контрольных служб и распределении работы внутри команды. Специалисту он помогает понимать пределы поручения, а HR — связывать должность с реальными задачами и результатами.

3.2. Ожидаемые результаты

Результат — согласованное распределение работы, в котором для значимых задач определены исполнитель, ответственный за результат, необходимые участники и получатели информации. Оно закрепляется в положении о функции, регламенте бизнес-процесса, матрице взаимодействия и связанных с ними должностных документах. Необязательно создавать новый комплект документов: сначала следует проверить, какие ответы уже есть в действующих.

По этому распределению можно установить:

• какую часть работы с рисками корпоративного мошенничества выполняет безопасность;

• какие сведения, ресурсы и содействие она вправе получать;

• кто организует расследование, кто участвует в нём и кто рассматривает результат;

• кто вводит изменения в бизнес-процесс и кто проверяет работу контролей после изменений;

• кому передаётся вопрос, если участники не могут принять решение в пределах своих полномочий.

Для повторяющейся работы распределение сохраняется независимо от личных договорённостей конкретных сотрудников. При смене руководителя коллегам не приходится заново выяснять, кто предоставляет сведения и кто отвечает за выполнение принятых решений.

3.3. Разделение работы между бизнесом и контрольными функциями

Экономическая безопасность рассматривает бизнес-процессы прежде всего через возможность корпоративного мошенничества и защищённость от него. Её экспертиза нужна, чтобы выявлять соответствующие сценарии, проверять обстоятельства, оценивать достаточность и исполнение контролей, предлагать изменения и проводить расследования. Потери или отклонения сами по себе ещё не устанавливают мошенничество: при разборе проверяются и другие причины.

Эта работа входит в общий цикл управления рисками компании. В рассматриваемой модели функции разделены следующим образом.

Бизнес владеет бизнес-процессом и присущими ему рисками, организует работу и проводит самооценку контролей. Участие безопасности в анализе или расследовании сохраняет за бизнесом ответственность за управление своим бизнес-процессом.

Безопасность выполняет предметную работу с рисками корпоративного мошенничества, оценивает соответствующие контроли и предлагает их усиление. В расследовании, которое ведёт безопасность, она организует работу и отвечает за её результат.

Функция управления рисками и внутреннего контроля поддерживает общую методологию и матрицу рисков и контролей, участвует в изменении бизнес-процессов и оценивает ключевые контроли. Далее в таблице эта функция обозначена «Риски и ВК».

Внутренний аудит проводит независимую и объективную оценку, даёт рекомендации и предоставляет консультации по запросу. Его участие в отдельных задачах также отражено в матрице.

В матрице RACI ниже представлена авторская интерпретация распределения ролей, основанная на опыте работы в промышленных компаниях. Модель может корректироваться с учётом специфики компании и задач, возложенных на каждую функцию. Главный принцип — роли R, A, C и I явно распределены, обсуждены и понятны всем участникам. Договорённость закрепляется в согласованной матрице взаимодействия, регламенте или другом действующем документе, к которому участники могут обратиться при организации работы и разрешении разногласий.

Как читать обозначения

R — Responsible: выполняет соответствующую работу. A — Accountable: отвечает за результат указанной работы или этапа, утверждает либо проверяет его в пределах закреплённых полномочий. Сочетание A/R означает совмещение этих ролей.

C — Consulted: консультирует, предоставляет экспертизу по запросу. I — Informed: получает информацию.

R* обозначает исполнительское участие функции управления рисками и внутреннего контроля или внутреннего аудита в рамках годового плана либо отдельного поручения. Звёздочка уточняет основание участия; она не меняет значение R.

В некоторых ячейках указано несколько обозначений: например, R*/C/I. Матрица сохраняет предусмотренные формы участия. Для конкретной работы следует уточнить, какие действия поручены функции, по каким вопросам нужна её экспертиза и какие результаты ей направляются. Само сочетание букв такого задания не заменяет.

Распределение по циклу управления рисками

В таблице работа распределена по этапам цикла управления рисками. «Реагирование» раскрывает действия по управлению рисками, а «Мониторинг и пересмотр» — наблюдение за выполнением и результатом с последующей корректировкой.

Идентификация

Работа. Методология идентификации (единые шаблоны и опросники; реестр риск-факторов, событий, последствий и мероприятий)

Бизнес. I

Безопасность. I

Риски и ВК. A / R

Внутренний аудит. C

Идентификация

Работа. Идентификация рисков

Бизнес. A / R

Безопасность. R

Риски и ВК. R / C

Внутренний аудит. R* / C

Анализ и оценка

Работа. Методология анализа и оценки рисков (оценка вероятности и влияния, оценка эффекта существующих мероприятий)

Бизнес. I

Безопасность. I

Риски и ВК. A / R

Внутренний аудит. C

Анализ и оценка

Работа. Анализ и оценка рисков

Бизнес. A / R

Безопасность. R

Риски и ВК. R / C

Внутренний аудит. R* / C

Реагирование

Работа. Разработка и внедрение мероприятий и контролей

Бизнес. A / R

Безопасность. R

Риски и ВК. R* / C

Внутренний аудит. C / I

Реагирование

Работа. Расследование, проводимое функцией безопасности

Бизнес. R

Безопасность. A / R

Риски и ВК. R* / C / I

Внутренний аудит. R* / C / I

Реагирование

Работа. Формирование матрицы рисков и контролей

Бизнес. R

Безопасность. R

Риски и ВК. A

Внутренний аудит. I

Мониторинг и пересмотр

Работа. Мониторинг выполнения мероприятий, исполнения контролей и отчётность

Бизнес. A / R

Безопасность. R

Риски и ВК. R*

Внутренний аудит. R*

Мониторинг и пересмотр

Работа. Оценка эффективности контролей (достаточность и их исполнение в части риска корпоративного мошенничества), отслеживание исполнения мероприятий бизнесом, отчётность

Бизнес. I

Безопасность. A / R

Риски и ВК. I

Внутренний аудит. I

Мониторинг и пересмотр

Работа. Оценка эффективности контролей (достаточность и их исполнение в части ключевых контролей процесса), отслеживание исполнения мероприятий бизнесом, отчётность

Бизнес. I

Безопасность. I

Риски и ВК. A / R

Внутренний аудит. I

Мониторинг и пересмотр

Работа. Независимая оценка эффективности контролей, отслеживание мероприятий, отчётность

Бизнес. I

Безопасность. I

Риски и ВК. I

Внутренний аудит. A / R

Мониторинг и пересмотр

Работа. Совершенствование и пересмотр процессов

Бизнес. A / R

Безопасность. R

Риски и ВК. R / C

Внутренний аудит. C / I

3.4. Что стоит за строками матрицы

Единая методология и предметная работа

В строках методологии у функции рисков и внутреннего контроля стоит A/R. Она разрабатывает общие правила и отвечает за них. Бизнес и безопасность получают эти правила, аудит предоставляет консультации. Благодаря этому участники используют согласованные подходы к описанию рисков, оценке вероятности и последствий, учёту действующих контролей.

В строках идентификации и оценки распределение другое: бизнес — A/R, безопасность — R. Здесь безопасность уже выполняет работу. Она описывает сценарии корпоративного мошенничества, условия их возникновения и возможности обхода контроля. Это вклад в общую оценку риска бизнес-процесса, за который отвечает его владелец.

Различие хорошо видно и в строке формирования матрицы рисков и контролей: риски и ВК — A, бизнес и безопасность — R. Ответственность за общий инструмент и выполнение предметного анализа распределены между участниками. От безопасности ожидаются содержательные сведения для матрицы, а не ещё одна несогласованная версия оценки тех же рисков.

Расследование

В строке расследования безопасность имеет A/R: ведёт работу и отвечает за её результат. Бизнес имеет R: его участие предполагает исполнение необходимых действий, а не только возможность высказать мнение. Бизнес предоставляет документы, содействует рабочей группе и обеспечивает условия для её работы.

Риски и ВК, а также аудит имеют R*/C/I. Они могут выполнять предусмотренную планом или поручением часть работы, консультировать либо получать информацию. Их участие сохраняет ведущую роль безопасности в этом расследовании. Наличие нескольких исполнителей не означает нескольких независимых руководителей одной работы.

Матрица показывает распределение между функциями. Внутри функции ещё предстоит определить, кто вправе назначить расследование, кто руководит рабочей группой и кто проверяет подготовленные материалы. Буквы A/R не наделяют каждого сотрудника безопасности всем набором полномочий руководителя.

Три предмета оценки контролей

В матрице выделены три самостоятельные строки оценки. Безопасность отвечает за достаточность и исполнение контролей в части риска корпоративного мошенничества. Функция рисков и ВК — за оценку ключевых контролей бизнес-процесса. Внутренний аудит — за независимую оценку.

Такое разделение помогает согласовать предмет работы до начала проверки. Участники могут обращаться к одним документам и операциям, но должны понимать, какой вопрос исследует каждый и какой вывод готовит. Общие данные можно использовать совместно; за обоснованность каждого профессионального вывода отвечает подготовившая его функция.

Отдельно выделена самооценка бизнеса. Владелец бизнес-процесса продолжает следить за исполнением контролей и выполнением мероприятий. Наличие контрольных служб не освобождает его от этой работы.

Возврат к изменению бизнес-процесса

В строке совершенствования бизнес вновь имеет A/R, а безопасность — R. После установления причин нарушения требуется изменить условия, которые его позволили. Безопасность участвует в разработке изменений и оценивает их со стороны риска корпоративного мошенничества. За изменение самого бизнес-процесса отвечает его владелец.

Поэтому расследование и внедрение корректирующих действий — связанные работы с разным распределением ответственности. Заключение может быть подготовлено и принято, а изменение контроля ещё не выполнено. Эти результаты следует отслеживать отдельно.

3.5. Как связать задачу с полномочиями: расследование

На примере расследования можно определить, какие полномочия нужны функции для выполнения её роли и каких из них пока не хватает. Для этого определяют, кто принимает решение о начале работы, кто руководит группой, кто предоставляет сведения и экспертизу, кто рассматривает выводы и кто вводит корректирующие действия.

Здесь рассмотрена организация работы. Подробные методы описаны в главах 27 «Проверка информации и работа с гипотезами», 28 «Данные и аналитическая проверка» и 29 «Внутреннее расследование».

Начать расследование

Что требуется закрепить. Основание, лицо, принимающее решение, предмет и границы работы

Какой результат становится возможен. Понятно, какие обстоятельства исследуются и кто поручил работу

Организовать рабочую группу

Что требуется закрепить. Руководитель, участники, задачи, сроки, привлечение нужных специалистов и ограничения при конфликте интересов

Какой результат становится возможен. Назначен руководитель, задания распределены между участниками

Получить необходимые сведения

Что требуется закрепить. Порядок запроса документов и доступа к ним; обязанность подразделений содействовать в установленном объёме

Какой результат становится возможен. Выводы опираются на проверенные сведения, а ограничения доступа видны руководителю работы

Сформировать и проверить гипотезы, оценить собранную информацию

Что требуется закрепить. Кто определяет направления проверки, распределяет задания, запрашивает уточнения и привлекает профильную экспертизу; кто проверяет обоснованность выводов

Какой результат становится возможен. Различены подтверждённые обстоятельства, опровергнутые предположения и вопросы, которые пока не удалось разрешить

Подготовить заключение

Что требуется закрепить. Требования к фактам, причинам и условиям, обоснованию выводов и предлагаемым действиям

Какой результат становится возможен. Получатель понимает, что установлено и какие решения предлагаются

Рассмотреть результат

Что требуется закрепить. Согласование в пределах компетенций, фиксация разногласий, утверждение либо дополнительная проверка

Какой результат становится возможен. Разногласия рассмотрены, по заключению принято решение: утвердить его или провести дополнительную проверку

Изменить условия возникновения нарушения

Что требуется закрепить. Владелец корректирующих действий, порядок их введения и обратной связи безопасности

Какой результат становится возможен. Выводы расследования переходят в изменения бизнес-процесса и контролей

Руководитель расследования должен иметь право уточнять задания и получать дополнительные сведения. Он также обязан проверить, на чём основан итоговый вывод.

Право запросить сведения имеет практический смысл, когда с ним связана обязанность предоставить их по установленному порядку. Если подразделение не предоставляет нужные документы, руководитель расследования должен видеть, какие обстоятельства из-за этого остаются непроверенными и кому требуется передать вопрос. Формулировка «безопасность вправе запрашивать» сама по себе не решает проблему взаимодействия.

До подключения юристов, HR или других специалистов определяют, какие вопросы они будут решать в пределах своей компетенции. Порядок работы должен позволять зафиксировать особое мнение и рассмотреть необходимость дополнительной проверки. Неразрешённые разногласия сохраняют в материалах до рассмотрения уполномоченным руководителем.

В результате расследования важны не только обстоятельства произошедшего, но и причины, условия и предложения по изменению контрольной среды. В предлагаемой модели руководитель, в чьей области обнаружены нарушения, разрабатывает и вводит корректирующие действия, а безопасность вправе предложить дополнительные меры и получить ответ об их рассмотрении. Здесь непосредственно соединяются строка расследования и последующие строки матрицы.

В этой главе рассматривается организационное распределение работы. Способы получения сведений, обращения с материалами и специальные правовые требования требуют отдельного разбора в главе о расследованиях. Из наличия права организовать расследование нельзя вывести допустимость любого способа его проведения.

Проверка и расследование также не объединяются автоматически. Для них следует определить основания, порядок назначения и оформление результата с учётом назначения каждой процедуры. Матрица содержит строку расследования; распределение для конкретных видов проверок раскрывается соответствующими процедурами компании.

3.6. Как распределить работу внутри безопасности

Внутреннее устройство функции определяется задачами бизнеса и его рисками. Сначала выделяют направления работы, затем решают, какие из них целесообразно объединить, где нужна отдельная специализация и что следует выполнять на местах. Название подразделения само по себе такого распределения не объясняет.

Направления деятельности

Для экономической безопасности основой может стать работа с ключевыми бизнес-процессами: закупками, производством, логистикой, ремонтами, инвестициями и другими значимыми для компании направлениями. Такая специализация позволяет подробно разбираться в операциях, понимать сценарии корпоративного мошенничества и оценивать соответствующие контроли. Состав направлений зависит от бизнеса: одинаковая структура не требуется промышленной группе, торговой компании и небольшой организации.

Наряду с анализом бизнес-процессов выделяются кадровая безопасность, проверки и расследования, аналитика и развитие функции. Работа по этим направлениям может охватывать сразу несколько бизнес-процессов.

Экономическая безопасность ключевых бизнес-процессов

Кто изучает операции, выявляет сценарии корпоративного мошенничества, оценивает контроли и вместе с бизнесом прорабатывает изменения

Кадровая безопасность

Какие задачи закреплены за безопасностью, как они разделены с HR и другими участниками, кто готовит выводы для кадрового решения

Проверки и расследования

Кто принимает работу, организует её, привлекает экспертов, проверяет выводы и передаёт результаты для принятия решений

Аналитика и развитие функции

Кто обеспечивает анализ данных, разработку методологии, совершенствование инструментов и реализацию проектов развития

Эта таблица выделяет предметы работы, а не предписывает создавать четыре подразделения. Например, расследования могут быть отдельной специализацией либо входить в экономическую безопасность. При разделении нужно договориться, в какой момент и с какими материалами работа передаётся расследователям, кто продолжает взаимодействие с владельцем бизнес-процесса и кто сопровождает изменение контролей после завершения расследования.

Физическая и информационная безопасность могут входить в общую функцию безопасности компании. Здесь они учитываются как смежные направления взаимодействия; подробная структура этих направлений не определяет устройство экономической безопасности.

Централизованная экспертиза и работа на площадках

В крупной группе с управляемыми обществами полезно различать бэк-офис — централизованную экспертизу и общие инструменты — и фронт-офис — команды безопасности, работающие непосредственно на площадках. Эти названия описывают способ организации работы.

В центре могут сосредоточиваться методология, анализ ключевых бизнес-процессов, специализированные расследования, аналитика, цифровое развитие, отдельные виды проверки контрагентов и кандидатов. Это позволяет поддерживать общие подходы и использовать компетенции, которые нецелесообразно в полном составе дублировать на каждой площадке.

Команды на площадках взаимодействуют с местным руководством, знают фактическое исполнение операций и обеспечивают работу, требующую присутствия на месте. Они получают и проверяют сведения, проводят закреплённые за ними проверки, участвуют в реализации решений. Их состав зависит от задач конкретного предприятия.

При разделении работы между центром и площадками заранее договариваются о порядке их взаимодействия, зонах ответственности и необходимых полномочиях участников. Центру нужна достоверная информация о местной практике, а площадке — доступная экспертиза и решения, которые можно исполнить в её условиях. Для каждой совместной задачи определяют, кто её ведёт, что делает площадка, что обеспечивает центр и кто разрешает вопрос, выходящий за полномочия местного руководителя безопасности.

Например, централизованный анализ может выявить отклонение, которое невозможно объяснить по данным системы. Тогда команде безопасности на площадке поручают проверить фактические обстоятельства и передать результаты для дальнейшего анализа. В распределении работы следует обозначить и исполнителя этой проверки, и того, кто сопоставит её результат с исходными данными и подготовит итоговый вывод. Это пример применения модели, а не описание отдельного случая из практики.

Административное и функциональное подчинение также закрепляются явно. Работа с руководителем площадки и профессиональное руководство со стороны центра должны быть понятны сотруднику: от кого он получает задачи, кто устанавливает очерёдность, если задачи конкурируют за время и ресурсы, и кто рассматривает результат.

В более компактной компании эти задачи объединяются в одной централизованной функции. Создавать фронт- и бэк-офис ради названий не нужно. Сохраняется содержательное распределение: кто анализирует, кто проверяет обстоятельства, кто готовит вывод и кто организует последующие действия. Несколько задач могут выполняться одним сотрудником.

От направления к задачам сотрудника

За сотрудником закрепляют конкретную работу и ожидаемый результат. Роль в задаче, масштаб ответственности и должность различают: название должности само по себе не определяет, что человек выполняет самостоятельно и какие вопросы передаёт руководителю. Как на этой основе определить состав команды и требования к компетенциям, разобрано в главе 13; полные образцы приведены в каталоге функций и полных примерах профилей.

3.7. Проверка распределения и рабочие материалы

Чтобы проверить, как распределение обязанностей работает на практике, руководитель безопасности разбирает одну из выполненных задач: как она была поставлена, кто её выполнял, хватило ли полномочий и сведений, как проверялись выводы, кто принял решение и что произошло после его исполнения.

Для такой сверки достаточно действующего положения о функции, относящейся к задаче процедуры, матрицы взаимодействия и описания задач сотрудников. Расхождения между ними показывают, что именно предстоит уточнить. Например, если функция отвечает за результат, но не определён порядок получения необходимых сведений, следует согласовать этот порядок. Если несколько подразделений готовят одну оценку, нужно разобраться в предмете и результате каждого.

К завершению сверки должны быть понятны ответы на следующие вопросы:

• Кто отвечает за каждый результат и какие действия выполняют остальные участники?

• Совпадает ли фактический предмет работы с закреплёнными полномочиями?

• Можно ли получить нужные сведения и привлечь экспертизу без новой договорённости по каждому случаю?

• Как рассматриваются несогласие, конфликт интересов и вопросы вне полномочий участников?

• Кто после выводов безопасности меняет бизнес-процесс и как становится известно об исполнении и результате изменений?

Это вопросы для проверки организации работы. Они не требуют отдельного бланка для каждой задачи. Уточнения следует вносить в те документы и рабочие механизмы, которыми участники действительно пользуются.

3.8. Если отдельных контрольных функций нет

В компании могут отсутствовать отдельные подразделения рисков, внутреннего контроля или аудита. Тогда сначала выясняют, кому поручены соответствующие задачи и как устроена оценка их выполнения. Простое удаление столбца из матрицы оставляет часть работы без понятного исполнителя. При совмещении ролей отдельно рассматривают, кто сможет оценить результат работы, которую человек выполнял сам.

Отдельной службы безопасности в компании также может не быть. Тогда руководство распределяет задачи по работе с рисками корпоративного мошенничества между конкретными участниками: кто разбирает сообщения об отклонениях, организует проверку обстоятельств, привлекает необходимую экспертизу и представляет выводы для решения. Владельцы бизнес-процессов сохраняют ответственность за свои процессы и исполнение контролей. Если у назначенного сотрудника нет нужных знаний, определяют, кого привлечь к задаче; само поручение не заменяет профессиональной подготовки. Распределение работы закрепляют в действующих документах и проверяют, кому передаётся вопрос, если он касается действий самого ответственного сотрудника.

В группе компаний к распределению между функциями добавляется взаимодействие управляющей компании и площадок. Требуется определить, какие правила едины, какие решения принимаются на месте, кто осуществляет функциональное руководство и как обеспечивается замещение. Способ закрепления этих отношений выбирают с учётом устройства группы и полномочий её руководителей.

Глава 4. Профессиональное суждение и неопределённость

4.1. Назначение и область применения

Эта глава помогает отличать сведения от их объяснения, оценивать источники, проверять версии и готовить обоснованный профессиональный вывод. Подход нужен при разборе сообщения о возможном нарушении, анализе бизнес-процесса, оценке контроля, проверке и расследовании. Он применим и до инцидента, когда безопасность оценивает возможный сценарий корпоративного мошенничества и предлагает способ противодействия ему.

Заказчик опирается на профессиональное заключение безопасности и не всегда может самостоятельно проверить все его основания. Уверенное изложение и опыт проверяющего способны сделать вывод убедительным даже тогда, когда существенные обстоятельства остались без проверки. Если специалист недостаточно понимает бизнес-процесс, он может не увидеть допустимого объяснения отклонения и предложить кадровые решения или новые ограничения, которые не устраняют действительную причину проблемы. Поэтому качество суждения оценивают по основаниям вывода и проверке альтернативных объяснений.

Сквозной учебный пример: распределение заявок на транспорт. Все обстоятельства вымышлены. По выгрузке заявок за квартал основную часть заказов на специализированный транспорт получил один подрядчик. Его тариф выше тарифа другого допущенного подрядчика. Сведений о фактической доступности техники и причинах выбора в выгрузке нет. Нужно установить причины распределения и понять, требуется ли менять порядок выбора. По ходу главы на этом примере разберём постановку вопроса и основания вывода; в разделе 4.6 покажем, что позволяют утверждать исходные сведения и какие выводы требуют дополнительной проверки. Отсутствие сведений в выгрузке пока не означает, что их нет в других документах или системах компании.

Основные читатели — специалист, который проводит анализ, и руководитель, который проверяет его работу. Заказчику глава помогает понять, почему на один вопрос уже можно ответить, а по другому необходима дополнительная проверка. Подробные методы получения сведений и проведения расследования рассматриваются в профильных главах.

4.2. Ожидаемые результаты

Результат работы — обоснованный ответ на профессиональный вопрос. Из него должно быть понятно, что установлено, какие объяснения проверены, на каких сведениях основан вывод и что пока остаётся неизвестным.

Проверенные обстоятельства

Какие действия или события установлены, за какой период и чем подтверждены

Проверенные версии

Какие объяснения рассмотрены, что говорит в пользу каждого и что ему противоречит

Обоснованный вывод

Почему выбранное объяснение соответствует сведениям и какие ограничения сохраняются

Предложение дальнейших действий

Что можно решать сейчас, что нужно дополнительно проверить и кто уполномочен принять решение

Вывод о том, что версия мошенничества не подтвердилась, может быть полноценным результатом. Его ценность определяется качеством проверки. Заказчику представляют объективный вывод, подтверждённый результатами работы в пределах проверенного вопроса. Если данных не хватило, прямо указывают, что именно не удалось установить и почему. Недостаток сведений не позволяет утверждать ни наличие нарушения, ни его отсутствие. Одновременно предлагают, как получить недостающие сведения. Если необходимые сведения не формируются или не сохраняются в ходе бизнес-процесса, предлагают изменить порядок работы, чтобы последующие проверки не сталкивались с тем же ограничением.

4.3. Основные понятия и принципы

Профессиональное суждение в этой главе — обоснованная оценка ситуации, при которой специалист использует проверенные сведения, знание бизнес-процесса и свою предметную экспертизу, учитывает ограничения и объясняет, почему пришёл к выводу. Опыт помогает увидеть возможный сценарий и выбрать способ проверки. Сам по себе опыт не подтверждает, что этот сценарий реализовался в рассматриваемом случае.

Для работы полезно различать следующие понятия.

Сведения — Полученные записи, сообщения, документы, наблюдения и результаты расчётов, которые предстоит оценить

Установленный факт — Обстоятельство, подтверждённое проверкой в указанном объёме

Индикатор риска — Признак или показатель, по которому выделяют ситуацию для оценки риска или проверки

Гипотеза, или версия — Проверяемое предположение о том, что произошло или может произойти, почему и каким способом

Вывод — Ответ на исследуемый вопрос, основанный на оценке сведений и проверке версий

Неопределённость — То, чего мы пока не знаем или не можем надёжно установить и что может повлиять на вывод либо решение

Это различение помогает рассуждать, но не задаёт обязательных последовательных стадий. Подтверждённое отклонение может одновременно служить основанием для более глубокой проверки. И наоборот, проверка может показать, что исходный признак проблемы возник из-за ошибки выгрузки данных.

Наличие записи в системе и достоверность описанного в ней события — разные вопросы. Можно установить, что сотрудник подтвердил выполнение работ в системе. Для вывода о фактическом выполнении нужны сведения о самих работах. Так же факт получения сообщения о сговоре не подтверждает существование сговора.

Искать сведения как в пользу версии, так и против неё. Для существенного вывода нужны сведения, которые его поддерживают, и разбор обстоятельств, которые ему противоречат. Неудобное объяснение нельзя исключать только потому, что оно не совпадает с первоначальным ожиданием.

Соотносить вывод с объёмом проверки. Результат анализа одного периода, площадки или группы операций относится прежде всего к этому объёму. Распространение вывода на другие операции требует дополнительных оснований.

Отделять оценку от решения. Безопасность обосновывает профессиональный вывод и предлагает действия в пределах своей компетенции. Заказчик принимает управленческое решение в рамках полномочий. Его согласие не восполняет недостаток сведений и не делает гипотезу установленным фактом.

4.4. Содержание работы и профессиональные решения

Определить вопрос, на который предстоит ответить

Начинать следует с конкретного вопроса. В нашем примере вопрос «почему заявки распределяются преимущественно одному подрядчику» позволяет изучить порядок выбора и возможные причины. Поручение «доказать сговор» заранее предполагает ответ и создаёт риск подгонки сведений под него.

Для проверки уточняют бизнес-процесс, операции, период и ожидаемое решение. Вместе с владельцем процесса выясняют, как работа должна выполняться и как её выполняют фактически. Действующий регламент, условия договора и сведения участников помогают понять контекст. Ни один из этих источников не заменяет остальные автоматически.

Если исходный вопрос слишком широк, работу делят на этапы. Первый этап должен дать ответ, который определит дальнейшие действия. Сбор всех доступных документов без понимания, какую версию они позволят проверить, увеличивает объём работы и может отдалить решение.

Оценить сведения и их происхождение

Прежде чем использовать сведения в выводе, выясняют, откуда они получены, к какой операции и периоду относятся, кто их сформировал и как они могли измениться. В зависимости от источника уточняют:

• для выгрузки — правила отбора и полноту данных;

• для сообщения участника — что он наблюдал сам, что узнал от других и на каком основании делает выводы;

• для специального заключения — компетенцию эксперта и границы рассмотренного им вопроса.

Проверяют не только источник, но и конкретное сообщение. Надёжный источник может ошибиться, получить неполную информацию или описать ситуацию вне своей компетенции. Заинтересованность участника требует внимания к его объяснению, но сама по себе ещё не делает это объяснение ложным.

Число совпадающих сообщений не равно числу независимых подтверждений. Две справки, составленные по одной выгрузке, повторяют исходные данные. Несколько участников могут пересказывать одно и то же сообщение. Нужно понять, дают ли они самостоятельное подтверждение или лишь воспроизводят общий источник. Универсального правила «двух источников достаточно» здесь нет: важны содержание, происхождение и возможность проверки сведений.

Противоречие между источниками — отдельный вопрос для проверки. Например, документы могут отражать разные периоды, единицы измерения или версии одной операции. Сначала выясняют причину расхождения. Удалить неудобную запись из анализа только потому, что она мешает общей картине, — значит лишить вывод существенного основания.

Рассмотреть возможные объяснения

Версия должна объяснять наблюдаемое событие и допускать проверку. Вместо «сотрудник действует подозрительно» нужно назвать предполагаемое действие, возможность его совершения и сведения, по которым это можно установить.

Наряду с версией злоупотребления рассматривают другие объяснения: ошибку данных, изменение условий операции, недостаток организации работы, допустимое исключение. Альтернативы выбирают по обстоятельствам. Для профессионального вывода важно установить, какие объяснения проверены, какие исключены и какие пока остаются возможными. Последовательность построения версий и выбора проверочных действий подробно разобрана в главе 27.

По мере поступления сведений версии уточняют. Они могут относиться к разным операциям или сочетаться: недостаток контроля мог создавать возможность злоупотребления, а часть обнаруженных расхождений — возникнуть из-за ошибок учёта. Не нужно искусственно сводить весь бизнес-процесс к одной причине.

Проверить достаточность оснований

Объём собранных материалов сам по себе не показывает, можно ли делать вывод. Нужно проверить, подтверждены ли существенные обстоятельства, рассмотрены ли правдоподобные альтернативы и остаются ли противоречия, способные изменить ответ.

Результат проверки версии нужно описывать точно:

Подтверждена

Получены достаточные основания для сформулированного вывода в пределах проверенного вопроса

Опровергнута

Установлены обстоятельства, несовместимые с этой версией

Не подтверждена, но не исключена

Данных недостаточно либо существенное противоречие пока не разрешено

Требует уточнения

Новые сведения изменили предполагаемый механизм, круг операций или причины события

Это способ ясно изложить результат, а не обязательная корпоративная шкала. В заключении важно объяснить основания выбранной формулировки. Отсутствие найденных подтверждений не всегда опровергает версию: нужные данные могли не сохраняться или не входить в доступный объём. Но это также не даёт права представлять версию как доказанное нарушение.

Если дополнительная работа необходима, называют конкретный пробел и действие, которое поможет его устранить: получить недостающие документы, сопоставить записи в разных системах или привлечь профильного эксперта. Если сведения восстановить невозможно, объясняют причину и ограничения вывода. Слова «продолжить анализ» без указания нерешённого вопроса не объясняют заказчику, зачем нужны дополнительное время и ресурс.

Отдельно рассматривают причину нехватки данных. В примере с транспортом сначала выясняют, где могут храниться основания выбора подрядчика. Если проверка установит, что эти основания вообще не фиксируются, совместно с владельцем бизнес-процесса определяют, какие сведения нужно сохранять, кто будет это делать и как проверять исполнение. Изменение порядка работы не восстановит прошлые события, но создаст основу для последующего контроля. Для согласованных мероприятий определяют ответственных, сроки и способ проверки результата.

Подготовить вывод и варианты дальнейших действий

В выводе последовательно излагают установленные обстоятельства, их объяснение, существенные ограничения и предложение действий. Должно быть понятно, какие утверждения основаны на непосредственных наблюдениях и документах, какие — на расчётах, а какие остаются предположением. Существенные сведения, способные изменить понимание ситуации, сохраняют в заключении даже тогда, когда они не поддерживают первоначальную версию.

Иногда управленческое решение нужно раньше, чем завершится проверка. Тогда безопасность сообщает, что уже установлено, чего пока не хватает и какие последствия возможны при каждом варианте действий. В пределах полномочий можно предложить временный контроль, дополнительную проверку перед конкретной операцией или изменение очерёдности работ. Уполномоченный руководитель определяет дальнейшие действия и условия пересмотра решения. Такое решение не завершает автоматически проверку причин события.

Если версия мошенничества не подтвердилась, а недостаток бизнес-процесса установлен, он остаётся предметом работы с владельцем процесса. Для исправления подтверждённого недостатка контроля не требуется приписывать кому-либо умысел. Связь выводов с изменением контролей и пересмотром риска раскрыта в главе 2.

4.5. Роли и компетенции

Специалист отвечает за проверку сведений, работу с версиями и обоснованность подготовленного вывода. Он должен уметь объяснить ход рассуждения и показать материалы, на которых основаны существенные утверждения. Если собственных знаний недостаточно, он объясняет, по какому вопросу нужен профильный специалист. Личный опыт и интуиция могут подсказать вопрос или версию, но не заменяют специальных знаний, необходимых для выбора метода проверки и оценки её результатов. До привлечения компетентного специалиста соответствующий вопрос оставляют открытым; работу по остальным вопросам можно продолжать.

Руководитель проверяет не только полноту текста, но и логику работы: не был ли ответ предрешён, какие альтернативы рассмотрены, почему одних сведений достаточно, а другие требуют уточнения. Для существенного вывода полезна проверка коллегой или экспертом, который способен оценить метод и критически проверить первоначальную версию.

Владелец бизнес-процесса помогает восстановить фактический порядок операций и объяснить условия их выполнения. Технический, финансовый или иной профильный специалист оценивает вопросы своей компетенции. Безопасность сопоставляет эти сведения со сценариями корпоративного мошенничества. Распределение полномочий между функциями сохраняется таким, как описано в главе 3.

Заказчику нужна возможность принять решение по результату. Он может изменить задачу, срок или приоритет, но требование получить определённый ответ не заменяет проверки. Разногласие о выводе разбирают по сведениям и методу, а не по должностному старшинству участников.

4.6. Проверить обоснованность формулировок

Перед представлением результата следует сопоставить существенные утверждения с их основаниями. Что непосредственно видно в изученных материалах? Какое объяснение мы предлагаем? Каких сведений не хватает, чтобы его подтвердить?

Продолжение учебного примера из раздела 4.1. Все обстоятельства вымышлены. В выгрузке заявок за квартал основную часть заказов на специализированный транспорт получил один подрядчик. Его тариф выше тарифа другого допущенного подрядчика. Сведений о фактической доступности техники и причинах выбора в выгрузке нет.

Основная часть заявок приходится на одного подрядчика

Что можно сообщить. В изученных данных видна концентрация заявок

Какой вывод пока не обоснован. Заказы распределялись в его пользу без достаточных оснований

Что требуется уточнить. Полноту выгрузки, доступность техники и условия выполнения заявок

Тариф выбранного подрядчика выше тарифа другого допущенного участника

Что можно сообщить. В записях есть различие тарифов

Какой вывод пока не обоснован. Разница равна переплате или ущербу компании

Что требуется уточнить. Сопоставимость услуг и условий, фактическую возможность другого подрядчика выполнить заявку

В выгрузке нет причин выбора

Что можно сообщить. Использованный набор данных не объясняет основание решения

Какой вывод пока не обоснован. Оснований выбора не существовало

Что требуется уточнить. Где решения должны сохраняться и есть ли они в других документах или системах

Промежуточный вывод можно сформулировать следующим образом:

«В изученной выгрузке за квартал основная часть заявок распределена одному подрядчику, тариф которого выше указанного тарифа другого допущенного участника. Эти сведения позволяют выделить решения для проверки. Обоснованность выбора и размер возможных потерь пока не установлены: необходимо проверить сопоставимость услуг, доступность альтернатив и основания распределения конкретных заявок».

Такой вывод определяет предмет дальнейшей работы. Он показывает, какое отклонение обнаружено, почему оно требует внимания и чего пока недостаточно для оценки. При этом различие тарифов не объявляется ущербом, а концентрация заказов — подтверждением сговора.

После проверки формулировку пересматривают по полученным результатам. Если основания выбора подтвердились, это отражают в выводе. Если установлены необоснованные решения, описывают конкретные операции и последствия. Если необходимые сведения не сохранились, объясняют, какие вопросы из-за этого остались неразрешёнными.

4.7. Проверка качества профессионального суждения

Перед представлением результата исполнитель и руководитель проверяют:

1. Понятно ли, на какой вопрос дан ответ и какие операции рассмотрены?

2. Можно ли найти основания каждого существенного утверждения и восстановить способ их получения?

3. Проверены ли объяснения, которые могут изменить вывод, включая отсутствие злоупотребления?

4. Разобраны ли существенные противоречия, а не только сведения в пользу основной версии?

5. Различены ли опровергнутая версия и версия, для проверки которой не хватило данных?

6. Не распространяется ли вывод за пределы проверенного периода, операций и компетенций?

7. Понятно ли заказчику, что можно решать сейчас и что требует продолжения?

8. Если данных не хватило, предложены ли действия для восполнения пробелов и, при необходимости, изменения бизнес-процесса, чтобы нужные сведения формировались и сохранялись в дальнейшем?

Дополнительный вопрос к себе: «Что могло бы заставить меня изменить этот вывод?» Если новые сведения считают несущественными ещё до их оценки, стоит проверить, не превратилась ли рабочая версия в заранее принятое убеждение.

Удобный для заказчика ответ не является самостоятельным признаком качества. Обоснованный отказ от первоначальной версии может быть полезным результатом проверки. Однако ссылка на неопределённость не оправдывает пропущенные действия, которые можно и нужно было выполнить в рамках поручения.

Небольшая функция. Один сотрудник может собирать сведения, анализировать их и готовить вывод. Поэтому особенно важны самопроверка и помощь эксперта по вопросам, которые сотрудник не способен оценить самостоятельно.

Распределённая компания. До объединения данных проверяют, одинаково ли площадки понимают показатели, периоды и правила учёта. Общая форма отчёта не гарантирует сопоставимости сведений. Местные объяснения и ограничения сохраняют при подготовке общего вывода.

Срочная задача. Определяют первоочередной вопрос, доступные сведения и срок следующего доклада. Первый вывод может быть ограниченным, но его границы должны быть ясны. Срочность меняет последовательность действий, а не статус неподтверждённой версии.

Глава 5. Границы профессиональной деятельности и обращение с информацией

5.1. Назначение главы

Защищая экономические интересы компании, безопасность получает доступ к сведениям о её операциях, сотрудниках и контрагентах. Результаты этой работы влияют на деловые отношения, управленческие решения и положение конкретных людей. Поэтому качество работы зависит не только от того, что удалось установить, но и от того, как получены сведения, кому они переданы и для какого решения используются.

Эта глава помогает организовать работу так, чтобы поставленная задача, полномочия исполнителя и способы её выполнения соответствовали друг другу. Она нужна специалисту при выборе действий, руководителю направления — при организации проверок и аналитической работы, руководителю функции — при установлении правил и разрешении спорных ситуаций.

В главе 3 мы определяли, какие полномочия нужны безопасности и как распределяется ответственность. В главе 4 разбирали, как обосновать профессиональный вывод. Здесь рассматриваем условия, при которых этими полномочиями и сведениями можно пользоваться: допустимость действий, беспристрастность участников, конфиденциальность и порядок использования результата.

Проверки и расследования делают эти вопросы особенно заметными, поэтому на них построена значительная часть главы. Но те же вопросы возникают при проверке контрагентов, анализе закупок, кадровой безопасности и разработке аналитических контролей. Доступ к данным для одной задачи не следует автоматически распространять на любую другую задачу безопасности.

5.2. Ожидаемые результаты

При организации работы нужно прояснить следующее.

Определены допустимые действия

Кто вправе выполнять выбранные действия, с какими сведениями и при каких условиях

Обеспечена беспристрастность

Кто проверяет обстоятельства и принимает решения; нет ли у этих людей интереса в определённом исходе

Установлен порядок работы с информацией

Где хранятся материалы, кто имеет доступ, как сохраняются исходные сведения и как передаются результаты

Разделены решения по итогам работы

Что относится к исправлению бизнес-процесса, кадровым мерам и обращению в компетентные органы

Предусмотрено разрешение сомнений

К кому обратиться, если способ действия, доступ к сведениям или участие конкретного человека вызывает обоснованные вопросы

Для этого не обязательно вводить отдельный комплект документов. Значительная часть правил может уже содержаться в положениях о функции, обработке данных, конфликте интересов и внутренних проверках. Задача руководителя — убедиться, что эти правила согласованы и дают исполнителю понятный порядок действий. Устное поручение не восполняет отсутствующее право доступа и не отменяет установленные ограничения.

5.3. Основные понятия и принципы

Полномочия определяются содержанием действия. Сначала нужно понять, что именно предстоит сделать: получить документ, обратиться к сотруднику за пояснениями, выгрузить записи из системы, передать сведения другой организации. После этого определяют основание и условия действия. Общее поручение «разобраться» не отвечает на эти вопросы.

Профессиональная беспристрастность означает, что личная заинтересованность, отношения с участниками и ожидания заказчика не определяют ход проверки и её выводы. В главе 4 речь шла о проверке версий. Здесь важна организация самой работы: кто назначает исполнителей, кому они докладывают и что происходит при конфликте интересов.

Конфликт интересов в этой главе — ситуация, в которой личный интерес или связанные с человеком отношения могут повлиять на выполнение его профессиональной задачи. Наличие такой ситуации само по себе не доказывает мошенничество. Но её необходимо раскрыть и оценить до того, как заинтересованный участник повлияет на проверку или решение.

Сведения, полученные по работе, нельзя использовать для личной выгоды, давления на участников или передачи заинтересованным третьим лицам. Это ограничение относится и к сотруднику, который получил доступ правомерно.

Конфиденциальность предполагает обоснованный круг получателей и условия обращения со сведениями. Руководителю бизнес-процесса могут быть нужны выявленный недостаток контроля и необходимые изменения, но не все персональные сведения, собранные при проверке. При этом внутреннее ограничение доступа не заменяет оценки предусмотренных законом прав участников и обязанностей компании по предоставлению информации.

Соразмерность действий задаче означает, что объём собираемых сведений, круг вовлечённых людей и вмешательство в работу компании должны быть объяснимы поставленным вопросом. Желания узнать побольше «на всякий случай» недостаточно, чтобы обосновать сбор сведений.

Принципы независимости, беспристрастности, законности и конфиденциальности сформулированы и в ISO/TS 37008:2023, раздел 4. Здесь они рассматриваются применительно к нашей модели экономической безопасности. Международное руководство помогает организовать работу, но не предоставляет полномочий и не заменяет применимых правовых требований.

5.4. Содержание работы и профессиональные решения

Выбрать допустимый способ действия

При проверке возможного мошенничества безопасность выясняет обстоятельства, оценивает сведения и готовит основания для решений. Однако поручение руководителя не наделяет исполнителя полномочиями государственных органов. Право осуществлять оперативно-розыскную деятельность предоставлено определённым законом оперативным подразделениям; корпоративной службы безопасности в этом перечне нет.

Для практической работы предлагаем проверять не сходство названий, а содержание действия: какие сведения нужны, на каком основании они доступны, кто вправе их получить и каким способом. Например, до применения дисциплинарного взыскания работодатель должен запросить у работника письменное объяснение.

Само слово «объяснение» не превращает корпоративную процедуру в действие следователя. И наоборот: название «служебная проверка» не даёт безопасности права совершать действия, для которых у неё нет полномочий.

Ограничения не исчерпываются запретом самостоятельно проводить оперативно-розыскные мероприятия. При работе с персональными данными нужно учитывать Федеральный закон № 152-ФЗ «О персональных данных»: в частности, цель и правовое основание обработки, соответствие объёма сведений задаче и требования к их защите. Для персональных данных работников дополнительно применяются специальные требования трудового законодательства. Когда основанием обработки служит согласие человека, его оформляют отдельно от других документов и сведений, которые он подписывает или подтверждает.

Применимые требования определяют для конкретной задачи: чьи данные нужны, какие именно, откуда и каким способом их получают, кому передают и как хранят. Помимо названных законов могут действовать иные федеральные законы и принятые на их основании нормативные акты. Поэтому проверка допустимости работы с информацией нужна независимо от того, возникает ли вопрос об оперативно-розыскной деятельности.

Если допустимость метода вызывает сомнение, безопасность формулирует для юридической функции конкретный вопрос до его применения. Для оценки доступа к переписке, записи разговоров или использования средств мониторинга недостаточно назвать систему либо сослаться на принадлежность оборудования компании. Нужно описать цель, сведения, способ получения, круг лиц и предполагаемое использование результата. Этот порядок — предлагаемая профессиональная практика; разрешение на конкретный метод из него не следует.

Изменение системы, состава данных, способа проверки или получателя результата может потребовать повторной оценки условий работы. Однажды согласованный порядок не следует переносить на существенно отличающуюся ситуацию без проверки его применимости.

Проверить беспристрастность участников

До начала проверки руководителю нужно оценить, не связаны ли исполнители и получатели результата с рассматриваемой ситуацией. Имеет значение личная заинтересованность, отношения с участниками, а также собственное участие в решении, которое предстоит проверить. Сотрудник мог действовать добросовестно, но оценка своего прежнего решения всё равно требует особого внимания к беспристрастности.

Предлагаем следующий порядок: участник сообщает об обстоятельствах, уполномоченный руководитель оценивает их влияние и определяет условия дальнейшего участия. Возможны замена исполнителя, исключение из отдельного решения или независимая проверка подготовленного вывода. Решение и его основания фиксируют. Сообщить о конфликте интересов недостаточно, если человек по-прежнему может единолично определять результат в собственных интересах.

Если конфликт затрагивает руководителя проверки или функции, вопрос передают на уровень, который вправе назначить исполнителя и получателя результата без такого конфликта. Необходимый порядок лучше определить заранее. Сам заинтересованный руководитель не должен оставаться единственным лицом, решающим, мешает ли его заинтересованность объективной работе.

Заказчик вправе уточнить задачу и оспорить вывод по существу. Требование исключить подтверждённый факт или представить неподтверждённую версию как установленную — другая ситуация. Исполнитель сохраняет фактическую основу заключения, объясняет разногласие и передаёт вопрос уполномоченному руководителю. Для такой передачи в компании должен существовать рабочий порядок, включая случаи, когда давление исходит от непосредственного начальника.

Определить порядок получения и сохранения сведений

По каждому существенному источнику нужно понимать, какие сведения требуются, как они связаны с задачей, кто вправе предоставить доступ и какие ограничения действуют. Получение информации, её анализ и передача результата — разные действия; допустимость одного не означает автоматически допустимость остальных.

Практически это означает совместную работу безопасности с владельцем системы или документов, юридической функцией и специалистами, отвечающими за защиту информации и обработку персональных данных. Безопасность объясняет, какие сведения и зачем ей нужны; профильные специалисты помогают определить, как допустимо их получить и использовать. Запрос «выгрузить всё по сотруднику» следует заменить описанием нужных операций, периода и обстоятельств, которые предстоит проверить.

Исходные материалы и результаты анализа должны быть различимы. Для значимых документов и выгрузок фиксируют источник, дату получения и исполнителя; при преобразовании данных сохраняют возможность понять, какие действия выполнены. Расчёт, рабочая выборка или пояснение аналитика не должны незаметно подменять исходную запись. Конкретные способы сохранения электронных материалов рассматриваются в главе о расследованиях.

Риск утраты сведений оценивают в начале работы. Если записи могут быть удалены по обычному расписанию или доступ к ним изменится, безопасность совместно с ответственными специалистами определяет допустимый способ их своевременного сохранения. Это не основание самостоятельно расширять доступ или вводить ограничения для работника. Решения о сохранении материалов и мерах в отношении человека обосновывают отдельно.

Ограничить распространение и определить дальнейшее хранение

Получателю передают сведения, необходимые для его задачи, с учётом правовых оснований и принятого в компании порядка доступа. При совместной работе нескольких функций заранее определяют, кому нужны исходные материалы, кому — выводы, а кому — только поручение по исправлению контроля. Такая организация позволяет обмениваться результатами без рассылки полного досье всем участникам.

Рабочие материалы следует размещать в предусмотренном компанией месте хранения с установленным доступом. При передаче внешнему консультанту отдельно определяют состав информации, основание передачи, условия её защиты и порядок возврата или удаления. Сам факт привлечения консультанта не означает, что ему нужен весь накопленный массив.

После завершения задачи должен быть понятен дальнейший порядок обращения с материалами: кто отвечает за хранение, по каким основаниям и срокам оно продолжается, кто принимает решение об уничтожении. Эти условия согласуют с применимыми требованиями и корпоративными правилами. Хранение «на всякий случай» и удаление сразу после выдачи заключения одинаково требуют проверки оснований. При споре о дальнейшем хранении вопрос передают ответственным за эту область специалистам; исполнитель не решает его произвольно.

Обеспечить корректное взаимодействие с людьми

Участие человека в проверке не означает установленного нарушения с его стороны. Сотруднику нужно понятно объяснить цель обращения и предмет вопросов в пределах сведений, которые можно раскрыть. В материалах необходимо отличать его собственные пояснения от интерпретации проверяющего.

Давление, унижение и обещание заранее определённого исхода несовместимы с предлагаемой профессиональной практикой. Нельзя обещать полную тайну обращения, если компания не может её обеспечить, или гарантировать отсутствие последствий в обмен на нужное объяснение. Организация должна предусмотреть защиту участников от давления и возможность сообщить о нём лицу, способному принять меры. Этот подход распространяется на заявителя, проверяемого сотрудника и исполнителя проверки.

Вопросы об ознакомлении человека с материалами, участии представителя и предоставлении копий решают с юридической функцией применительно к конкретной процедуре. Общая отметка о конфиденциальности не даёт универсального ответа на такие вопросы.

Подготовить передачу материалов в правоохранительные органы

Безопасность совместно с юридической функцией готовит описание обстоятельств и систематизирует доступные материалы. Получатель должен понимать, что произошло, какие сведения это подтверждают, откуда они получены и какие вопросы остаются открытыми. Исходные документы сохраняют, происхождение передаваемых копий описывают, установленные обстоятельства отделяют от версий. Качество подготовки не позволяет заранее обещать результат рассмотрения.

Предварительная подготовка не должна задерживать необходимое срочное обращение или исполнение обязанности сообщить в компетентные органы: действуют своевременно и затем дополняют материалы. Требования к подготовке результатов расследования рассмотрены в главе 29, порядок дальнейшего сопровождения и ответа на запросы — в главе 34.

Разделить решения по результатам проверки

Результат проверки может использоваться для изменения контроля, устранения недостатка бизнес-процесса или подготовки кадрового решения. Эти решения нужно различать. Для исправления процесса не требуется заранее признать сотрудника виновным в мошенничестве. Для дисциплинарного взыскания необходимо установить соответствующий проступок и соблюсти предусмотренный порядок; заключение безопасности само по себе эту процедуру не заменяет.

Соглашение о прекращении трудового договора — самостоятельное основание, предполагающее договорённость сторон. Оно не является подтверждением совершённого мошенничества. Увольнение по собственному желанию также нельзя подменять требованием работодателя написать заявление: Верховный Суд указывает на добровольность волеизъявления работника.

В нашей методике предлагаем разделять выводы проверки, решение о трудовых отношениях и решение об обращении в компетентные органы. Одно не подменяет другое. Если сотрудник уходит, выявленный недостаток контроля остаётся: необходимо изменить условия, при которых аналогичная ситуация может повториться. Возможные обязательные основания для сообщения в органы оценивают отдельно применительно к обстоятельствам; увольнение само по себе этот вопрос не закрывает.

5.5. Роли и компетенции

Глава не меняет распределения ответственности между контрольными службами, описанного в главе 3. Она уточняет, что требуется от участников при реализации своих полномочий.

Специалист безопасности

Обосновать потребность в сведениях, соблюдать условия доступа, сохранять происхождение материалов, сообщать о собственном конфликте интересов и сомнениях в допустимости действий

Руководитель направления или проверки

Выбрать исполнителей, проверить достаточность полномочий, организовать хранение и передачу материалов, разрешить либо передать выше спорный вопрос

Руководитель функции

Установить согласованные правила, обеспечить возможность беспристрастной работы и разрешения конфликтов, организовать взаимодействие с профильными функциями

Юридическая функция

Оценить применимые ограничения, правовые основания действий и варианты использования результатов

Комплаенс, ответственные за персональные данные, ИБ и владельцы систем

Участвовать в решении вопросов своего предмета: конфликт интересов, обработка данных, защита информации, организация доступа и сохранения записей

Уполномоченный руководитель бизнеса

Принять управленческое решение в пределах полномочий, учитывая фактические выводы и правовые условия

Получатель должен располагать сведениями, необходимыми для своей задачи, с соблюдением установленных условий доступа. Выводы и их ограничения передают вместе; полный комплект чувствительных материалов нужен не каждому участнику. Распределение совместной работы рассмотрено в главе 6, использование результатов расследования другими контрольными функциями — в разделе 29.7.

От специалиста безопасности требуется умение вовремя увидеть вопрос за пределами своей компетенции и сформулировать его предметно. «Можно ли нам так делать?» — недостаточный запрос. Полезный запрос описывает цель, действие, сведения, участников и предполагаемый результат. От руководителя требуется не только найти ответ для одного случая, но и устранить повторяющийся пробел в порядке работы.

В крупной группе отдельные вопросы распределяются между безопасностью, юридической функцией, комплаенсом, ИБ и ответственными за обработку данных. В компактной компании несколько задач может выполнять один человек, а профильную экспертизу привлекают извне. При этом остаётся необходимость разрешать конфликт интересов и получать независимую оценку там, где собственная заинтересованность мешает объективной работе.

5.6. Рабочие инструменты и учебный пример

Для подготовки сложной задачи можно использовать следующие вопросы:

1. Какой вопрос проверяем и какое решение потребуется по результату?

2. Какие действия и сведения для этого необходимы, чем подтверждены полномочия и условия доступа?

3. Кто участвует в работе и есть ли обстоятельства, влияющие на беспристрастность?

4. Где будут сохранены исходные материалы и кто получит доступ?

5. Кому, в каком объёме и для чего будет передан результат?

6. Какие вопросы пока не разрешены, кто их решает и какие действия до этого выполнять нельзя?

Ответы можно включить в план проверки или рабочую переписку; отдельная форма для каждой текущей задачи не требуется.

Учебный пример: заинтересованность проверяющего и доступ к переписке

Вымышленный учебный пример.

Компания получила сообщение о возможной заинтересованности сотрудника в выборе поставщика. Руководитель поручил безопасности проверить обстоятельства. Один из предполагаемых исполнителей ранее участвовал в согласовании спорного выбора. Для проверки предложили сразу скопировать всю переписку сотрудника и передать её всем членам закупочной комиссии.

Первое решение касается состава исполнителей. Прежнее участие раскрывают, оценивают его значение и определяют, кто сможет проверить решение беспристрастно. Сам факт такого участия не доказывает нарушения.

Второе решение касается сведений. Безопасность уточняет операции, период и обстоятельства, которые необходимо установить. Прежде чем получить доступ к переписке, с профильными специалистами выясняют, допустимо ли это действие и на каких условиях. Одновременно можно изучать относящиеся к задаче документы, доступ к которым уже предоставлен в установленном порядке.

Третье решение касается получателей. Комиссии может быть достаточно заключения о проверенных обстоятельствах и предложений по порядку выбора поставщика. Необходимость передавать исходную переписку каждому участнику требует самостоятельного обоснования.

В этом примере результат проверки намеренно не задан. Его задача — показать решения, которые нужны до появления вывода о нарушении. Независимо от того, подтвердится ли версия заинтересованности, недостатки порядка выбора поставщика рассматривают отдельно и при наличии оснований исправляют.

5.7. Признаки качества работы

Качество организации работы можно проверить по следующим признакам:

• Исполнитель может объяснить основание существенных действий и доступа к сведениям; спорные методы не применены до разрешения вопроса.

• Обстоятельства, влияющие на беспристрастность, раскрыты, а решение по ним меняет условия участия там, где это необходимо.

• Существенный вывод можно связать с исходными материалами; преобразования данных и ограничения проверки понятны.

• Доступ и передача соответствуют задаче получателя, порядок дальнейшего хранения определён.

• Участники знают, как сообщить о давлении; желаемый заказчиком исход не заменяет фактический вывод.

• Кадровое решение, обращение в органы и исправление бизнес-процесса имеют собственные основания и ответственных исполнителей.

• Значимые результаты переданы участникам управления рисками и независимой оценки в необходимом объёме; при отсутствии таких функций определено, кто сохраняет знания и доводит выводы до уполномоченного руководителя.

Наличие положения или подписанного обязательства о конфиденциальности подтверждает оформление правила. Для оценки практики нужно проверить, как оно выполнялось в конкретной задаче. Полезно выбрать недавно завершённую проверку и проследить путь значимого материала: от получения до использования при принятии решения.

Методологические основания

Принципы организации расследований сопоставлены с ISO/TS 37008:2023, разделами 4, 6, 7 и пунктами 8.1, 8.4–8.5, и положениями ASIS INV-2025 Investigations, раздела 6.3.7, о законности, беспристрастности и обращении с информацией. Порядок практического применения изложен как авторская методика с учётом опыта корпоративных функций. Правовые ориентиры приведены в конце главы.

Правовые ориентиры

• Оперативно-розыскная деятельность: статья 13 Федерального закона № 144-ФЗ.

• Персональные данные и данные работников: 152-ФЗ: принципы и условия обработки; статья 19 о защите данных; статья 86 ТК РФ; статья 4 Федерального закона № 152-ФЗ; отдельное оформление согласия — статья 9 Закона № 152-ФЗ.

• Кадровые решения: статья 192 ТК РФ; статья 193 ТК РФ; пункты 20 и 22 постановления Пленума Верховного Суда РФ № 2.

Глава 6. Партнёрство с бизнесом и взаимодействие со смежными функциями

6.1. Назначение и область применения

Бизнесу нужно закупать сырьё, выпускать продукцию, выполнять обязательства и развивать компанию. В этих задачах возникают обстоятельства, для оценки которых нужна экспертиза экономической безопасности: уязвимый порядок выбора поставщика, возможность искажения данных о выполненных работах, заинтересованность участников решения. Полезность безопасности проявляется в том, помогает ли её работа принять обоснованное решение и защитить экономические интересы компании.

Эта глава раскрывает две связанные стороны взаимодействия. Партнёрство с бизнесом позволяет понять его задачи, вовремя применить экспертизу безопасности и совместно улучшить бизнес-процесс. Взаимодействие со смежными функциями помогает получить необходимые сведения, привлечь специальные знания и согласовать действия участников. Обе стороны нужны и при проверке конкретной ситуации, и при разработке решения до наступления потерь.

Основные читатели — руководитель функции безопасности и руководитель направления, который организует совместную работу. Специалисту глава помогает сформулировать запрос коллегам и подготовить полезный для них результат. Руководителю бизнеса — понять, какие решения остаются за ним и чего ожидать от участвующих функций.

Распределение полномочий и матрица RACI рассмотрены в главе 3. Здесь речь о том, как применять это распределение в ежедневной работе. Подробные процедуры расследования, кадровой безопасности и работы с цифровыми сведениями раскрываются в соответствующих профессиональных главах.

6.2. Ожидаемые результаты

Партнёрство становится рабочей практикой, когда бизнес понимает, с какими вопросами обращаться к безопасности, а безопасность связывает свои приоритеты с задачами бизнеса. Для каждой совместной задачи участники определяют свой вклад и дальнейшее использование результата.

Общие приоритеты

Какие проблемы и изменения бизнес-процессов требуют совместной работы, почему они важны и когда нужна безопасность

Согласованная задача

Какой бизнес-процесс рассматривается, что требуется установить или изменить и кто принимает решение

Распределённая работа

Кто ведёт задачу, что выполняет каждый участник, какие сведения и экспертиза необходимы

Пригодные для использования выводы

Что установлено, чем подтверждено, какие ограничения сохраняются и кому нужен результат

Согласованные дальнейшие действия

Кто реализует принятое решение, в какие сроки и как будет проверен результат

Обратная связь бизнеса

Помогла ли работа решить исходную задачу, какие затруднения остались и что следует изменить в дальнейшем взаимодействии

Для разовой консультации достаточно понятного вопроса и ответа на него. Для совместной проверки или изменения бизнес-процесса потребуется зафиксировать распределение работы и принятые решения. Формат выбирают из действующих в компании: поручение, рабочая переписка, план проверки, протокол или карточка задачи в действующей системе. Отдельный документ имеет смысл, если без него существенные договорённости теряются.

6.3. Основные понятия и принципы

Партнёрство с бизнесом в этой главе — организация работы безопасности вокруг задач и рисков бизнес-процессов, при которой стороны совместно ищут обоснованное решение и проверяют его результат. Владелец бизнес-процесса объясняет цель, ограничения и фактический порядок работы. Безопасность оценивает риски корпоративного мошенничества, проверяет значимые обстоятельства и участвует в разработке контролей.

Партнёрство не обязывает безопасность поддержать любое предложение заказчика. Если проверка выявила существенный риск, его нужно показать и объяснить. Доверие к безопасности строится в том числе на способности аргументировать неудобный вывод и предложить дальнейшие действия в пределах своей компетенции.

Совместная работа — участие нескольких функций в решении одной задачи с определённым вкладом каждой. Участники могут использовать общие сведения, но готовить разные профессиональные выводы. Например, безопасность проверяет версию корпоративного мошенничества, технический специалист оценивает соответствие работ заданию, юрист рассматривает основания для договорных требований. Один вывод не заменяет остальные.

Координация в этой главе означает согласование действий, сроков и обмена результатами. Она не передаёт координатору полномочия всех участников. Руководство расследованием со стороны безопасности не делает её владельцем проверяемого бизнес-процесса, а участие внутреннего аудита не превращает его в исполнителя корректирующих мероприятий бизнеса.

Обратная связь по результату показывает, что произошло после передачи заключения или рекомендации: какое решение принято, что изменено и достигнут ли ожидаемый эффект. Ответ «информация получена» подтверждает доставку, но ещё ничего не говорит об использовании результата.

Работа строится на общей методологии управления рисками. Безопасность вносит в неё экспертизу корпоративного мошенничества: возможные сценарии, условия их реализации, способы обхода контролей и результаты проверки этих предположений. Связь с конкретным этапом бизнес-процесса позволяет сопоставить эту информацию с другими рисками и действующими контролями.

В совместной работе у каждой функции сохраняются свои задачи. Согласовать фактические обстоятельства полезно всем участникам; требовать одинакового заключения от безопасности, юриста и аудитора бессмысленно, если они отвечают на разные вопросы. Существенное расхождение нужно объяснить, а не скрыть общей формулировкой.

6.4. Содержание работы и профессиональные решения

Понять задачу бизнеса и выбрать совместные приоритеты

Отправная точка — результат, который требуется владельцу бизнес-процесса. Руководителю закупок важно обеспечить поставку, руководителю производства — выполнение производственной программы, руководителю инвестиционного проекта — ввод объекта в согласованный срок. Безопасность уточняет, какие обстоятельства мешают этому результату и где требуется её экспертиза. Подозрение на злоупотребление — одна из возможных причин обращения. Повторяющиеся потери, непрозрачные решения и затруднения с проверкой фактического исполнения также дают основание разобраться в бизнес-процессе.

При таком обсуждении полезно установить, какие решения принимает руководитель, на какие сведения опирается, где возникают отклонения и какие контроли уже действуют. Это позволяет предложить конкретную работу: проверить обстоятельства спорной сделки, исследовать возможность обхода контроля или вместе с владельцем бизнес-процесса изменить порядок принятия решения. Безопасность не обещает решить любую производственную или коммерческую проблему; она объясняет, какую часть задачи может обоснованно взять на себя.

Если предложений много, руководители бизнеса и безопасности согласуют приоритеты с учётом значимости рисков, предстоящих решений и доступных ресурсов. В перечне совместных задач фиксируют ожидаемый результат, участников и сроки. Связь с текущими целями компании помогает обосновать, почему именно этой задаче сейчас уделяется внимание. При изменении обстоятельств приоритеты пересматривают вместе с заказчиком.

Подключиться, пока решение ещё можно изменить

Участие безопасности в последнем согласовании позволяет оценить уже подготовленное решение. При разработке нового бизнес-процесса, закупочной системы или инвестиционного проекта её экспертиза полезна раньше: когда выбирают порядок работы, определяют полномочия и требования к сведениям. На этом этапе можно предусмотреть контроль в самом бизнес-процессе и заранее понять, как проверять его исполнение.

В практике автора коммерческий блок привлекал безопасность к развитию закупочной системы. Совместная работа позволяла включать требования к проверке контрагентов в разрабатываемые решения. Здесь вклад безопасности состоит в объяснении проверяемых сценариев и необходимых контролей, а вклад бизнеса — в знании закупочной деятельности и требований к её выполнению. ИТ и аналитики помогают определить, как реализовать согласованные требования. Сам факт автоматизации ещё не доказывает полноту контроля или снижение потерь: результат требует отдельной оценки.

Для инвестиционного проекта безопасность может оценивать условия возникновения злоупотреблений и проверять соответствующие признаки, используя сведения проектной команды и технических специалистов. Она не подменяет техническую приёмку собственной уверенностью. Участники заранее определяют, где нужен специальный технический вывод, а где — проверка обстоятельств средствами и методами безопасности.

Порядок раннего подключения согласуют с владельцами бизнес-процессов. Основанием могут быть значимое изменение способа работы, крупный проект или нестандартное решение с существенными рисками. Не каждое действие требует участия безопасности. Важно определить, в каких ситуациях её позднее подключение оставит слишком мало возможностей для обоснованного выбора.

Определить, зачем нужна другая функция

Начинают с вопроса, который невозможно обоснованно решить имеющимися сведениями или компетенциями. Запрос «посмотрите со своей стороны» оставляет коллегам слишком много догадок. Полезнее назвать установленные обстоятельства, проверяемое предположение и ожидаемый вклад.

Например, аудит обнаружил отклонение при выборе поставщика. Он передаёт безопасности описание закупочной процедуры и конкретные обстоятельства, которые требуют проверки на возможную заинтересованность участников. Безопасность уточняет вопрос, проверяет соответствующую версию и сообщает, что удалось установить. Обращение возможно и в обратную сторону: безопасность выявила обстоятельства возможного злоупотребления и привлекает аудит к анализу условий бизнес-процесса, которые позволили ему произойти. Состав участников зависит от доступных компетенций: анализ бизнес-процесса не является исключительной задачей аудита.

Юридическую или техническую экспертизу стоит подключать до решения, для которого она необходима. Если условия изменения договора уже согласованы без юриста, позднее может выясниться, что выбранный способ оформления не обеспечивает ожидаемого результата. Если вывод о качестве работ сделан без профильного специалиста, сама уверенность безопасности не восполнит недостаток технического основания.

Согласовать вклад и объём участия

До начала совместной проверки участники уточняют предмет, период, уже полученные материалы, необходимые действия и сроки. Определяют, кто координирует работу и кому передаются результаты. Если вопрос возник в ходе аудита, важно понять, какая часть войдёт в аудиторское заключение, а какая требует самостоятельной проверки безопасности.

У коллег уже есть планы и обязательства. Дополнительная задача может потребовать перераспределения ресурсов или переноса другой работы. Такие изменения согласуют на том уровне, где есть соответствующие полномочия. Важность запроса безопасности не означает, что другая функция может немедленно выполнить его в полном объёме.

Для повторяющихся обращений полезно заранее определить ответственных и порядок подключения экспертов. Рабочие связи ускоряют решение вопросов, а зафиксированные договорённости помогают сохранить эту возможность при смене сотрудников.

Полномочия центра и площадок рассмотрены в разделе 3.6, выбор организационного решения — в разделе 13.4.1. Для совместной работы важно, чтобы местные обстоятельства были доступны участникам анализа, необходимая экспертиза — исполнителям на местах, а разногласия разрешались на соответствующем уровне. Применимость выявленного сценария к другим площадкам проверяют с учётом их условий; обнаружение на одном предприятии ещё не подтверждает его реализацию на остальных.

При совмещении ролей определяют, кто фактически выполняет нужную работу и у кого есть полномочия и знания. Отсутствие отдельного подразделения не передаёт его задачи безопасности автоматически; порядок распределения таких обязанностей раскрыт в разделе 3.8. Если экспертизы не хватает, её привлечение становится отдельной задачей.

Передать сведения, с которыми можно работать

Получателю нужен контекст: какой вопрос рассматривается, что уже проверено, почему передаются эти материалы и какого действия от него ожидают. Факты, предположения и ограничения должны оставаться различимыми при передаче.

Функции управления рисками недостаточно итоговой суммы потерь без связи с бизнес-процессом. Ей нужны сведения о событии или сценарии, условиях его возникновения, действовавших контролях и основаниях для пересмотра оценки. Эти сведения готовят в принятой корпоративной методологии, чтобы они могли использоваться в общей матрице рисков и контролей.

Аудиту результаты проверок безопасности могут помочь определить предмет предстоящей работы и учесть уже установленные обстоятельства. Если обмен происходит только после запроса, аудит может не знать, о какой проверке следует спросить. Поэтому руководителям функций полезно согласовать, о каких результатах они сообщают друг другу регулярно и как получают необходимые подробности. При передаче соблюдают ограничения доступа, рассмотренные в главе 5; весь материал расследования не требуется каждому участнику.

При обращении к аналитикам и ИТ безопасность формулирует содержательную задачу: какие операции нужно сопоставить, за какой период, что считается отклонением и какой результат позволит продолжить проверку. Вместе со специалистами уточняют источники данных и ограничения их использования. Название желаемого отчёта или системы само по себе такой постановки не заменяет.

Согласовать выводы и предложения для бизнеса

До представления итогового результата полезно сверить фактические обстоятельства и предлагаемые действия с теми функциями, чьей работы они касаются. Это позволяет обнаружить недостающие сведения, различия в понимании ситуации и меры, которые невозможно выполнить в предложенном виде.

Такая сверка не даёт заинтересованному подразделению права исключать неудобный обоснованный вывод. Как и при профессиональном суждении в главе 4, вывод изменяют при появлении достаточных оснований. Неразрешённое существенное расхождение сохраняют в материалах, чтобы лицо, принимающее решение, понимало его содержание и последствия.

Совпадение проверяемых документов ещё не означает дублирования. Безопасность может оценивать возможность обхода контроля, риски и внутренний контроль — его работу в бизнес-процессе, аудит — проводить независимую оценку. При согласовании планов и запросов следует выяснить, какие сведения уже есть и пригодны ли они для новой задачи. Это уменьшает повторный сбор данных, сохраняя самостоятельность профессиональных оценок.

Если участники не могут согласовать ресурс, предлагаемое изменение или дальнейшее действие в пределах своих полномочий, вопрос передают уполномоченному руководителю. Ему нужны предмет разногласия, основания позиций и последствия возможных решений. Конкретный порядок такой передачи определяется в компании.

Определить, кто и где принимает решение

Большую часть рабочих вопросов участники решают напрямую в пределах своих полномочий. Совместное рассмотрение руководителями требуется, когда нужно согласовать приоритеты, выделить ресурсы, устранить разногласие между подразделениями или принять решение по существенному риску. Для этого используют действующее совещание, комитет или иной установленный в компании порядок.

Комитет по безопасности может служить местом регулярного обсуждения с бизнесом значимых рисков, результатов совместной работы и препятствий, которые исполнители не могут устранить самостоятельно. Такой формат есть в авторской практике. Его полезность зависит от состава участников и права принимать необходимые решения. Создание ещё одного комитета не требуется, если эти вопросы уже рассматриваются в подходящем действующем органе.

При выборе порядка рассмотрения различают два уровня:

Рабочее взаимодействие и коллегиальные органы менеджмента

Подготовить и принять решения в пределах предоставленных полномочий, согласовать действия и ресурсы, организовать исполнение

Совет директоров и его комитеты

Рассматривать вопросы корпоративного надзора и готовить решения в соответствии с установленной компетенцией; комитеты совета не руководят повседневной работой исполнителей

Порядок рассмотрения вопросов и полномочия участников закрепляют с учётом применимых требований и устройства компании. Если действуют несколько коллегиальных органов, разграничивают их задачи и порядок обмена информацией, чтобы вопросы не терялись между ними и не рассматривались повторно без необходимости.

Для организации взаимодействия важны регулярное рассмотрение значимых рисков, участие руководителей с необходимыми полномочиями, фиксация решений и проверка исполнения. В небольшой компании эти задачи может выполнять совещание собственника с руководителями; в более крупной — действующий или специально созданный комитет. Формат выбирают по задачам и масштабу работы.

На рассмотрение руководителей выносят вопрос, требующий решения: что установлено, почему участники не могут завершить работу на своём уровне, какие варианты предлагаются и к каким последствиям они ведут. Итог фиксируют так, чтобы были понятны принятое решение, ответственные, сроки и порядок проверки результата. Порядок принятия риска и сохранения его в корпоративной матрице рассмотрен в главах 2 и 3.

Связать заключение с дальнейшей работой

Завершение проверки и выполнение мероприятий по её результатам — разные события. Для каждого принятого мероприятия назначают исполнителя, устанавливают срок и способ проверки результата. Владелец бизнес-процесса организует изменения в своей области, безопасность участвует в их проработке и контролирует достижение согласованного уровня защищённости процесса от корпоративного мошенничества. Передача заключения не заменяет определения ответственного за дальнейшие действия, а отметка о выполнении ещё не подтверждает результативности мероприятия. Подробно внедрение и проверка изменений рассмотрены в главе 30.

Обратная связь бизнеса нужна и для оценки самого взаимодействия. Руководитель безопасности выясняет, помог ли результат решить исходную задачу, своевременно ли подключились специалисты, понятны ли их выводы и что затруднило реализацию решения. Если бизнес не использовал рекомендацию, следует установить причину: могли измениться обстоятельства, не хватить ресурсов или оказаться непригодным предложенный способ действий. Эти причины требуют разных решений.

Одобрение заказчика не заменяет профессиональной проверки вывода. Вместе с тем обоснованное заключение должно быть понятно тем, кто будет его использовать. Результаты обсуждения помогают уточнить совместные приоритеты и порядок работы, а повторяющиеся проблемы — вернуться к устройству бизнес-процесса и его контролям.

6.5. Роли и компетенции

Матрица главы 3 определяет распределение ответственности. Для организации взаимодействия дополнительно важно понимать, какой вклад требуется в конкретной задаче.

Владелец бизнес-процесса

Определяет необходимый бизнес-результат и ограничения, объясняет фактический порядок работы, согласует приоритеты, принимает решения в пределах полномочий и организует изменения; даёт обратную связь по результату

Специалист безопасности

Формулирует проверяемый вопрос, готовит сведения в пределах своей компетенции, объясняет основания и ограничения вывода

Руководитель направления безопасности

Согласует состав работы, исполнителей и сроки; проверяет, достаточно ли полученных результатов для следующего действия

Руководитель функции безопасности

Связывает работу безопасности с целями бизнеса, согласует приоритеты, ресурсы и раннее участие в значимых изменениях; организует рассмотрение вопросов на соответствующем уровне

Риски и внутренний контроль

Обеспечивают применение общей методологии и использование сведений безопасности в оценке рисков и ключевых контролей

Внутренний аудит

Проводит независимую оценку; в предусмотренных планом или поручением случаях участвует в отдельных действиях либо предоставляет консультацию

Юридическая функция

Даёт правовую оценку по соответствующей специализации и помогает определить допустимые варианты действий и оформления решений

Аналитики, ИТ и ИБ

Участвуют в получении, обработке и защите сведений в пределах своих задач; уточняют технические возможности и ограничения

Профильные технические специалисты

Проверяют вопросы, для которых необходимы специальные знания, и объясняют пределы своей оценки

По кадровым вопросам подключают HR, по вопросам комплаенса — отвечающих за него специалистов. Физическая защита, охрана труда и промышленная безопасность участвуют там, где задача затрагивает их предмет. Наличие этих направлений в одной организационной структуре не делает их компетенции взаимозаменяемыми. Подробный порядок участия определяется предметом задачи и действующими правилами компании.

Для совместной работы сотруднику безопасности нужно уметь:

• понимать цели бизнес-процесса;

• объяснять, чем поможет предлагаемая работа;

• описывать бизнес-процесс;

• ставить вопрос другому специалисту;

• объяснять происхождение сведений;

• отличать разногласие по фактам от различия полномочий или профессиональных оценок.

Если собственных знаний недостаточно, сотрудник объясняет, какая экспертиза нужна, и организует её привлечение. Личного опыта недостаточно, чтобы продолжать проверку за пределами своих знаний.

6.6. Договорённости о совместной работе и практический пример

Постоянное взаимодействие требует договорённостей, которые действуют до возникновения очередной проблемы. Руководители бизнеса и безопасности определяют, когда подключать ЭБ, какие сведения предоставлять, какого результата ожидать и как разрешать затруднения. Это позволяет заранее учесть участие безопасности в работе подразделения.

При обсуждении можно использовать следующие вопросы.

Когда подключать безопасность

Какие решения и изменения требуют участия ЭБ до принятия обязательств: например, изменение порядка операций, существенный проект или выбор способа работы, создающего новые возможности злоупотреблений

Какие сведения предоставляет бизнес

Цель решения, рассматриваемые варианты, существенные ограничения и сроки; кто может объяснить фактический порядок работы и предоставить необходимые документы и данные

Какой результат возвращает безопасность

На какой вопрос она отвечает, какие основания и ограничения раскрывает, какие варианты действий предлагает; в какой срок представляет результат и как сообщает о препятствиях

Как разрешать разногласия

Какие вопросы участники решают самостоятельно, какие передают руководителю; кто вправе принять решение и как сохраняются его основания

Как сопровождать принятые решения

Кто реализует согласованные мероприятия, что делает безопасность, как проверяется результат и кому сообщают о задержках или невозможности выполнить решение

Как оценивать и улучшать взаимодействие

Помог ли результат решить задачу бизнеса, своевременно ли подключились участники, какие сведения или полномочия оказались недоступны и что нужно изменить в порядке совместной работы

Договорённости можно закрепить в действующем порядке взаимодействия, решении руководителей или другом принятом в компании документе. Отдельный регламент нужен, если без него участники не смогут одинаково понимать и выполнять свою работу.

При изменении процесса, состава участников или приоритетов договорённости пересматривают. Если безопасность регулярно получает документы перед самым сроком согласования, стоит выяснить, на каком этапе её участие действительно необходимо и почему сведения поступают поздно. Если бизнес не использует результаты работы ЭБ, выясняют причины: несвоевременность, непонятный вывод, непригодность предложенного решения или отсутствие ресурсов на его выполнение.

Для конкретного поручения на этой основе определяют предмет, ожидаемый результат, исполнителей и сроки. Подробно постановка отдельной задачи рассмотрена в главе 9.

Совместное рассмотрение особенно важно, когда первоначальное заключение не позволяет выбрать решение с учётом существенных для бизнеса обстоятельств. В главе 26 приведён авторский пример: отрицательное заключение по перевозчику потребовало дополнительного разбора, обсуждения с юристами и представления особого мнения. Это позволило открыто рассмотреть основания дальнейшей работы с контрагентом.

Посмотрим на другом примере, как несколько функций разбирают одно отклонение.

Учебный пример: проверка объёма ремонтных работ

Все обстоятельства вымышлены.

Аудит обнаружил расхождение между документами об использовании материалов и объёмом, указанным в акте подрядчика. Одних документов недостаточно, чтобы установить причину. Возможны ошибка учёта, изменение задания или завышение объёма.

Аудит передаёт безопасности конкретное расхождение и относящиеся к нему материалы. Технический специалист проверяет фактическое выполнение и изменения задания. Безопасность исследует версию намеренного искажения, действия участников и возможность обхода контроля. Юрист оценивает договорные основания дальнейших действий. Участники согласуют объём проверки, сроки и обмен результатами.

Допустим, подтвердилось, что часть работ выполнялась по изменённому заданию, но сведения об изменении не дошли до всех участников приёмки. Версия намеренного завышения не подтвердилась в пределах выполненной проверки. Владелец бизнес-процесса организует изменение порядка передачи и учёта заданий. Безопасность оценивает, можно ли использовать неполное информирование участников приёмки для злоупотребления. Последующая проверка показывает, получают ли участники приёмки актуальные сведения. Порядок отражения результата в оценке рисков согласуется с ответственным за корпоративную методологию.

В этом примере совместная работа позволила разобраться в причине и определить изменение бизнес-процесса. Ни технический вывод, ни подозрение безопасности сами по себе не давали полного ответа. Если бы существенные обстоятельства остались неустановленными, это ограничение следовало бы сохранить в заключении и определить дальнейшие действия.

6.7. Признаки качества работы

Качество взаимодействия можно проверить на одной завершённой задаче и при очередном обсуждении совместных приоритетов.

• Понятно, какой результат был нужен бизнесу и какую часть задачи решала безопасность.

• При разработке нового решения безопасность подключилась в момент, когда её выводы ещё могли повлиять на выбор.

• Из материалов понятно, почему подключили каждую функцию и какой результат от неё ожидали.

• Участники получили сведения, необходимые для своего вопроса, с объяснением их происхождения и ограничений.

• Существенные различия в выводах рассмотрены и объяснены; итоговое решение принято в пределах полномочий.

• Для принятых мероприятий определены ответственные, сроки и способ проверки результата.

• Результаты, значимые для оценки рисков и контролей, переданы тем, кто выполняет эту деятельность.

• Можно проследить, что изменилось после завершения задачи и потребовались ли дополнительные действия.

• Обратная связь заказчика использована для уточнения дальнейшей работы; удовлетворённость заказчика не подменяет обоснованность профессионального вывода.

Длительная переписка, большое число согласующих и наличие комитета сами по себе не показывают качество взаимодействия. Проверяемый результат — обоснованное решение и понятная дальнейшая работа участников.

Методологические основания

Глава основана на авторской модели взаимодействия бизнеса, безопасности и контрольных функций и на обобщении практики промышленных компаний. Она описывает способы организации работы; конкретные должности, состав подразделений, сроки и формы документов определяются с учётом устройства компании. В разделе 6.6 приведён вымышленный пример ремонта. Профильные рекомендации по комитетам используются в пределах их предмета и не задают обязательную организационную структуру для всех компаний.

Часть II. Организация и развитие функции

Глава 7. Вход в новую роль, подразделение или объект

7.1. Назначение и область применения

Принимая новую область ответственности, сотрудник безопасности попадает в уже действующий бизнес. В компании есть цели, сложившиеся способы работы, принятые решения и незавершённые обязательства. Чтобы приносить пользу, необходимо разобраться в этой деятельности и определить собственный вклад.

У руководителя и специалиста разные стартовые задачи. Руководитель сопоставляет ожидания заказчика с возможностями функции: какие люди, знания, полномочия, данные и средства доступны, что работает и что требует изменения. Специалист осваивает свой участок, учится понимать бизнес-процесс и подтверждает способность решать порученные задачи. При смене руководителя действующие сотрудники тоже участвуют в этом процессе: объясняют свою работу, показывают результаты и уточняют новые ожидания.

Глава помогает подготовить первоначальную оценку положения дел и согласовать первый план работы. Она применима при переходе в другую компанию, назначении на новую роль, принятии направления или объекта. Полное обследование функции и разработка стратегии могут продолжиться позднее. Вопросы, требующие срочного решения, рассматривают по мере обнаружения.

7.2. Ожидаемые результаты

Первый период работы должен дать руководителю и сотрудникам общее понимание задач и условий их выполнения. Первоначальную оценку и согласованные дальнейшие действия обобщают по вопросам раздела 7.6.

Срок первого обсуждения результатов согласуют с заказчиком. Он зависит от масштаба ответственности, доступности сведений и текущей ситуации. Само истечение месяца или завершение списка ознакомительных встреч ещё не означает, что человек разобрался в работе.

7.3. Основные понятия и принципы

Первоначальная оценка — обоснованное представление о принятой области ответственности, достаточное для первых решений и выбора дальнейших действий. В ней различимы установленные обстоятельства, предположения и вопросы, которые ещё предстоит проверить.

Предметная компетентность — понимание бизнес-процесса, позволяющее обсуждать его риски и предлагаемые контроли по существу. Сотрудник должен знать, какой результат нужен бизнесу, как он достигается и на что повлияет его рекомендация. Прежний опыт расследований, должность или уверенность в разговоре этого знания не заменяют. Задавать вопросы, чтобы разобраться в работе, нужно с первого дня; для обоснованного профессионального суждения сначала нужно изучить предмет.

Преемственность — сохранение необходимой работы, сведений и договорённостей при изменении состава участников. Она не требует поддерживать любой прежний порядок. Сначала устанавливают, какую задачу он решает и к чему приведёт изменение.

Новый руководитель может увидеть необходимость серьёзных преобразований. Но знакомая по прежней компании модель не становится подходящей только потому, что он умеет с ней работать. Основанием изменения служат задача бизнеса, выявленные ограничения и проверенные возможности функции.

Тот же принцип действует в отношении людей. Личное доверие облегчает совместную работу, однако не заменяет соответствия задаче. Действующим сотрудникам нужна возможность объяснить и показать свой вклад. Руководителю — основания отличить сильного специалиста, работа которого пока непонятна, от человека, который действительно не справляется.

7.4. Содержание работы и профессиональные решения

Руководитель: понять задачу и принятые обязательства

Первый разговор с заказчиком помогает установить, зачем потребовалось назначение и каких изменений от него ждут. Нужно понять приоритетные бизнес-задачи, причины недовольства или беспокойства, ожидаемый результат и доступные полномочия. Формулировка «наведите порядок» требует профессионального уточнения, как показано в главе 9.

Одновременно руководитель выясняет, что уже находится в работе: проверки и расследования, поручения, мероприятия по результатам аудитов, проекты развития, обязательства перед бизнес-подразделениями. Для существенных задач устанавливают текущее состояние, ответственного, срок, ожидаемое решение и место хранения материалов. Используют действующий учёт, если он позволяет получить эти сведения.

Если предшественник недоступен или переданных материалов недостаточно, картину восстанавливают с исполнителями, владельцами решений и смежными функциями. Неясность фиксируют как вопрос для проверки. Отсутствие сведений у нового руководителя само по себе не доказывает, что задача не выполнялась.

Важно проверить и рабочие связи. Кто участвует в совместных проверках, кому передают результаты, какие совещания действительно проводятся, кто контролирует выполнение решений? Положение о комитете подтверждает его формальное существование. Для понимания работы нужны сведения о рассмотренных вопросах и дальнейших действиях. При этом отдельный перерыв в работе комитета не означает, что все участники перестали сопровождать свои мероприятия.

Руководитель: разобраться в бизнесе и ресурсах функции

Документы задают исходные вопросы, а встречи и наблюдение помогают проверить ответы. Руководитель изучает значимые бизнес-процессы, решения их владельцев, используемые системы и сведения о результатах. Полезно сопоставить, как операция описана в регламенте, как её объясняет исполнитель и как она фактически отражается в документах и данных.

Такое изучение касается и самой безопасности. По каждому существенному направлению выясняют, какую задачу оно решает, кто выполняет работу, сколько времени и ресурсов она требует и кому нужен результат. Обязанность может быть записана, но не выполняться. Другая деятельность может занимать много времени без понятной пользы. А важная работа иногда поддерживается опытным сотрудником, хотя слабо отражена в документах. Эти ситуации требуют разных решений.

Ресурсы функции не ограничиваются численностью. Имеют значение компетенции команды, доступ к данным, работоспособность систем, бюджет, привлечённые специалисты и возможность получить помощь других подразделений. Нельзя объяснять любой недостаток работы слабостью сотрудников, если им недоступны необходимые сведения или они получили больше поручений, чем могут выполнить.

Первоначальная оценка помогает определить, что следует сохранить, где нужна дополнительная проверка и какое изменение уже обосновано. Переписывание положений и перестройка структуры должны опираться на этот разбор.

Руководитель: дать команде возможность показать результат

Встречи с сотрудниками нужны для понимания их опыта и действующей работы. Полезно обсуждать конкретные задачи: что требовалось установить или изменить, как человек действовал, на какие сведения опирался, что получил заказчик и какие затруднения остались. За общими словами о проверках и взаимодействии должны быть видны профессиональные действия.

Первое впечатление проверяют на реальной работе. Сотруднику поручают задачу, которая нужна подразделению, определяют ожидаемый результат, срок, полномочия и доступные ресурсы. Если задача требует новой компетенции, это обсуждают заранее: какая помощь доступна и что сотрудник должен освоить. Цель такого поручения — получить результат и понять возможности человека.

При неудовлетворительном результате руководитель разбирает причины:

• было ли понятно задание;

• хватало ли знаний и времени;

• получил ли сотрудник необходимые сведения;

• своевременно ли сообщил о затруднении;

• принял ли обратную связь и исправил ли недостаток.

Нехватку опыта, перегрузку и отказ выполнять согласованную работу оценивают по-разному.

Аргументированное возражение также следует рассматривать по существу. Сотрудник может лучше знать ограничения бизнес-процесса или последствия предлагаемого решения. Профессиональное несогласие не равно некомпетентности. Вместе с тем прежний опыт не освобождает от необходимости объяснять свою позицию и выполнять согласованные задачи в пределах полномочий.

По результатам работы становится понятнее, кому можно поручить более сложные задачи, где требуется обучение или поддержка, что следует перераспределить и каких компетенций не хватает. Если человек устойчиво не справляется при понятных требованиях и необходимых условиях либо не готов работать в согласованной модели, это становится предметом отдельного управленческого решения. Его основания обсуждают прямо. Создание заведомо невыполнимых условий ради ухода сотрудника не является оценкой профессиональной пригодности.

Связь выявленной потребности с профилями, компетенциями и развитием сотрудников подробно рассмотрена в главе 13.

Специалист: освоить бизнес-процесс

Для специалиста вход в роль начинается с понимания порученного участка. Недостаточно узнать названия подразделений и получить доступ к информационным системам. Нужно разобраться, что производит или обеспечивает бизнес-процесс, какие решения в нём принимаются, где передаются активы и сведения, как подтверждается исполнение и откуда возникают отклонения.

Осваивать бизнес-процесс удобнее с помощью коллеги, который знает его повседневную работу. Это может быть сотрудник безопасности или профильного подразделения. Вместе с ним полезно разобрать конкретную операцию: как возникла потребность, на каком основании передали активы или перечислили деньги, кто подтвердил результат. Регламенты, договоры и записи в системе помогают сопоставить объяснение с тем, что произошло в действительности.

На этом этапе нормально задавать простые вопросы и просить объяснить незнакомое действие понятными словами. Не стоит скрывать непонимание ради впечатления о своей компетентности. Сначала сотрудник учится объяснять, зачем эта операция нужна бизнесу; затем его профессиональный опыт помогает заметить возможность злоупотребления и задать более точные вопросы. История инцидентов на этом участке подсказывает, какие этапы стоит изучить внимательнее.

Признак продвижения — способность своими словами объяснить, как устроен рассматриваемый участок, почему участники действуют именно так и какие сведения нужны для проверки конкретного предположения. Затем можно предметно обсуждать уязвимость контроля и последствия его изменения. Если вопрос требует технической, юридической или иной специальной оценки, привлекают соответствующего эксперта.

Освоение предмета не завершается одной встречей. В начале полезнее признать недостаток знания и разобраться, чем давать уверенную рекомендацию, основанную на внешнем сходстве с прежними задачами.

Сведения об используемых системах и доступных данных накапливают по мере освоения процесса. Как организовать такую базу знаний и использовать её в аналитике, разобрано в разделе 32.2.

Специалист: показать вклад и выстроить рабочие отношения

Руководителю и коллегам нужно понимать, что сотрудник умеет делать и в каких задачах это полезно. Опыт проверки сведений, анализа разнородных данных или организации работы следует объяснять через действия и результаты. Само указание на прежнюю службу или должность не показывает, как человек поможет решить задачу компании.

При получении поручения специалист уточняет ожидаемый результат и условия работы. Если не хватает сведений или компетенции, он сообщает, что именно требуется и как предлагает восполнить пробел. Признание «пока не знаю» полезно, когда за ним следуют проверка, обращение к специалисту и возвращение с ответом.

В отношениях с бизнесом важно объяснить, с какими вопросами к сотруднику можно обращаться. Коллеги должны понимать, что сообщение о затруднении позволяет совместно разобраться в ситуации. При этом профессиональная проверка сохраняет самостоятельность: наличие доверительных отношений не отменяет необходимости установить обстоятельства возможного нарушения.

Заключение «не рекомендовано» требует понятных оснований. Когда допустимые варианты есть, безопасность помогает рассмотреть изменение условий, дополнительную проверку или контроль. Если оснований для положительного решения недостаточно, это ограничение объясняют. Задача сотрудника — подготовить обоснованный вывод, который заказчик сможет использовать.

Согласовать первые действия и следующий период

По мере изучения ситуации могут обнаружиться вопросы, которые нельзя оставлять до итогового доклада. Их передают тому, кто вправе принять решение, с объяснением известных обстоятельств, возможных последствий и предлагаемого действия. Временный контроль также требует определённого ответственного и условия пересмотра. Само назначение нового руководителя не расширяет его полномочия на остановку операций или изменение бизнес-процесса.

Небольшое обоснованное улучшение может показать пользу совместной работы уже на старте. Но необходимость произвести впечатление не должна определять выбор приоритета. Иногда главным результатом первого периода будет обнаруженный пробел в сведениях и организация его проверки, а не немедленно изменённая процедура.

На встрече с заказчиком руководитель представляет первоначальную оценку: что установлено, что работает, какие ограничения существенны, что уже потребовало решения и что предлагается дальше. Специалист делает то же в пределах своей задачи. Непроверенные предположения остаются явно обозначенными. План следующего периода связывают с задачами бизнеса, необходимыми ресурсами и ожидаемыми результатами.

Если первоначальная оценка показывает необходимость развития самой функции, к выбору её модели и направления изменений переходят по подходу главы 8.

7.5. Роли и компетенции

Заказчик, руководитель бизнеса

Объясняет цели и ожидания, определяет полномочия, рассматривает существенные ограничения и принимает решения своего уровня

Новый руководитель функции или направления

Организует первоначальную оценку, сохраняет необходимую текущую работу, оценивает ресурсы и возможности команды, согласует первый план

Специалист безопасности

Осваивает предмет задачи, показывает профессиональные действия и результаты, обозначает ограничения и потребность в поддержке

Действующая команда

Объясняет фактическую работу, передаёт сведения о задачах и договорённостях, участвует в проверке первоначальных выводов

Владельцы бизнес-процессов и профильные эксперты

Помогают понять деятельность и ограничения, проверяют вопросы своей компетенции, обсуждают предлагаемые изменения

От руководителя требуется умение связать задачу заказчика с работой и ресурсами команды, оценивать работу независимо от личных симпатий и принимать решения в условиях неопределённости. От специалиста — умение учиться, проверять данные, объяснять вывод и использовать обратную связь. Для обеих ролей важна способность заметить границу собственного знания.

7.6. Рабочие материалы и пример из авторского опыта

Первоначальную оценку можно подготовить в принятом компанией формате. Следующие вопросы помогают собрать её содержание и обсудить его с руководителем.

Какую задачу мы приняли?

Ожидаемый результат, область ответственности и полномочия

В чём уже разобрались?

Существенные бизнес-процессы, участники, решения и подтверждающие сведения

Что продолжается независимо от нашего назначения?

Незавершённые задачи, обязательства, сроки и ответственные

Чем располагаем?

Люди, компетенции, данные, системы, ресурсы и доступная поддержка

Что пока неясно?

Предположения, недостающие сведения и способ их проверки

Что требует решения сейчас?

Основания срочности, варианты действий и уполномоченный руководитель

О чём договорились на следующий период?

Задачи, исполнители, сроки, поддержка и способ проверки результата

Пример из авторского опыта: освоение логистического направления

После перехода из службы в корпоративную безопасность автору было поручено логистическое направление группы компаний. Изучение новой области началось с документов. В тот же период шли переговоры о пятилетнем сервисном контракте в железнодорожной логистике, и участие в них позволило наблюдать, какие вопросы имеют значение для бизнеса.

Сначала автор преимущественно слушал. Параллельно изучал регламенты, альтернативные договоры, бизнес-процессы и системы, знакомился с людьми и задавал вопросы. Примерно через месяц автор стал лучше понимать предмет и смог содержательно участвовать в обсуждении.

Этот эпизод показывает, за счёт чего появляется предметная компетентность. Документы объясняли правила, а реальная коммерческая задача — их значение для участников и результата. Месяц здесь описывает конкретный опыт. Он не задаёт срок обучения и не означает, что новичку следует откладывать вопросы до окончания этого периода.

Руководителю такой подход помогает организовать погружение сотрудника и увидеть развитие его понимания. Специалисту — связать обучение с реальной работой. Из участия в переговорах не следует, что безопасность принимала технические или коммерческие решения вместо профильных руководителей.

7.7. Признаки качества работы

Первый период работы дал результат, если:

• заказчик и исполнитель одинаково понимают принятую задачу и ожидаемый результат;

• первоначальные выводы опираются на документы, данные и изучение фактической работы, а существенные предположения обозначены;

• сотрудник способен объяснить рассматриваемый бизнес-процесс и границы своей компетенции;

• текущие задачи и обязательства имеют понятных исполнителей и не исчезли из внимания при переходе;

• оценка возможностей команды связана с конкретной работой и условиями её выполнения;

• вопросы, требующие срочного решения, рассмотрены в пределах полномочий;

• следующий план содержит задачи, необходимые ресурсы и способ проверки результата.

Количество встреч, переписанных документов или кадровых замен само по себе не показывает успеха входа в роль. Важнее, стали ли понятнее действующая работа, основания решений и дальнейшие действия.

7.8. Что должно проясниться за первый период

При переходе после службы могут потребоваться изменения привычного способа работы: изучение коммерческой логики, объяснение своей экспертизы заказчику и участие в формировании задачи при неясных вводных. Эти трудности не характеризуют каждого выходца из органов. Опыт корпоративной работы также не освобождает от изучения новой компании и её бизнес-процессов.

В действующей функции важно сохранить полезные знания и работающие связи. При создании нового направления больше внимания потребуется уточнению ожиданий, полномочий и доступной поддержки. На новом объекте изучение бизнес-процессов дополняется наблюдением за фактическими операциями и взаимодействием с местными специалистами; вопросы физической, технической и иной защиты рассматривают в пределах соответствующей компетенции.

В группе компаний часть решений и экспертизы сосредоточена в центре. Руководитель или специалист площадки выясняет, что решается на месте, какие сведения передаются руководителям группы и как получить необходимую помощь. В компактной компании несколько ролей могут совмещаться, но границы решений и потребность в специальных знаниях всё равно нужно определить.

К концу первого периода руководитель и сотрудник должны договориться о задачах и условиях работы. Руководитель знает, какую работу можно поручить человеку и какие условия ему необходимы. Сотрудник понимает задачу, ожидаемый результат и способ его оценки. Обоим известно, что требует развития или дополнительной проверки и когда они вернутся к обсуждению.

Методологические основания

Глава опирается на авторский опыт освоения корпоративной роли, лекционные материалы, обобщение практики оценки функций безопасности и адресный анализ подходов к началу работы на объекте. Порядок первоначальной оценки изложен как авторский методический подход. Пример в разделе 7.6 основан на рассказе автора; универсальный срок адаптации из него не выводится. Глава не устанавливает формальную процедуру передачи должности или самостоятельную методику кадровой диагностики.

Глава 8. Развитие операционной модели функции безопасности

8.1. Назначение и область применения

У любой действующей функции безопасности уже есть операционная модель — сложившийся способ работы. Сотрудники проверяют контрагентов, согласовывают документы, разбирают сообщения об отклонениях, проводят расследования, взаимодействуют с бизнесом. Задачи как-то распределены, данные откуда-то поступают, решения кем-то принимаются. Всё это существует независимо от того, описана ли модель в отдельном документе.

В авторской практике встречаются функции, у которых эта повседневная работа выстроена, а стратегия и программа развития не сформулированы. Руководитель решает текущие задачи, команда загружена, результаты есть. Однако со временем бизнес меняется, появляются новые риски и возможности контроля. Привычный способ работы может перестать соответствовать потребностям компании, даже если сотрудники добросовестно выполняют свои обязанности.

Отсюда возникает задача развития: понять, что в действующей модели нужно сохранить, что изменить и какой должна стать функция. Начать можно с нескольких обоснованных улучшений. Когда требуется определить направление на несколько лет, связать его со стратегическими целями компании и согласовать существенные изменения, результаты этой работы закрепляют в стратегии функции.

Глава показывает переход от оценки существующей работы к выбору её будущего устройства и последовательности изменений. Основной читатель — руководитель функции безопасности. Руководители направлений, специалисты, владельцы бизнес-процессов и смежные функции помогают разобраться в исходном положении и подготовить выполнимые решения.

8.2. Ожидаемые результаты

При согласовании развития функции заказчик и её руководитель должны одинаково понимать исходное положение, желаемые изменения и последовательность действий. Это относится и к стратегии на несколько лет, и к программе конкретных улучшений.

Исходная картина

Какие бизнес-процессы существенны, какие проблемы известны, что фактически контролируется и где информации недостаточно

Цели развития

Какие изменения нужны бизнесу, какой вклад в них вносит безопасность и какой функция должна стать к выбранному сроку

Устройство работы

Кто выполняет профессиональные задачи, как взаимодействуют участники и какая экспертиза им необходима

Программа изменений

Что предстоит проверить, разработать или изменить, в какой последовательности и с какими ресурсами

Порядок оценки и пересмотра

По каким результатам будет видно продвижение и какие обстоятельства потребуют изменить программу

Формат и объём документов зависят от компании. Важно, чтобы документы закрепляли согласованные решения о работе функции и позволяли проверить их исполнение и результат.

8.3. Основные понятия и принципы

Операционная модель описывает, как организована повседневная работа: кто выполняет задачи, как распределены полномочия, как взаимодействуют участники, какие данные, знания и инструменты используются. Организационная схема показывает подчинённость, но сама по себе не объясняет, как проверяется гипотеза, изменяется контроль или принимается решение по результатам расследования. Действующая модель отражает сегодняшнюю практику; целевая — то устройство работы, к которому функция намерена прийти.

Стратегия функции определяет её роль в достижении целей компании, собственные цели и желаемое состояние к концу выбранного периода. В ней объясняют, на каких направлениях сосредоточится безопасность, почему выбран именно такой путь и как изменятся её возможности. Если компания работает в пятилетнем стратегическом цикле, стратегию безопасности можно выстроить на тот же период, связав её с приоритетами бизнеса и рисками в этих областях.

Программа развития сосредоточена на конкретных улучшениях: что изменить, кто это сделает, в какие сроки и с какими ресурсами. Она может обеспечивать реализацию стратегии или быть самостоятельным планом действий, когда долгосрочная стратегия ещё не сформулирована. Например, программа может объединять упорядочение данных, проверку выбранных сценариев и изменение нескольких контрольных процедур.

Стратегию и программу развития различают по тому, какие решения в них закреплены, а не по названию документа. В практике цели, будущее устройство функции и мероприятия могут быть собраны в одном документе. Подготовка двух отдельных документов не является обязательным условием развития. При этом перечень улучшений ещё не объясняет, какой функция должна стать и как это связано с направлением развития компании.

Покрытие контролями показывает, какие сценарии риска, этапы и операции бизнес-процесса охвачены конкретными контрольными процедурами. Показатель имеет смысл, когда понятно, что именно посчитано: операции, их стоимость, отдельные категории или сценарии. Доля согласованных документов не говорит сама по себе о глубине проверки и работоспособности контроля.

При оценке защищённости от рассматриваемого сценария учитывают все относящиеся к нему действующие контроли. Если безопасность не участвует в операции, её может контролировать владелец бизнес-процесса или другая функция. Задача безопасности — оценить защищённость от сценариев корпоративного мошенничества в пределах своей ответственности и определить, какое участие требуется от функции, сохраняя распределение ответственности, рассмотренное в главе 3.

Решения о развитии опираются на сведения разной определённости. Подтверждённый случай показывает, что механизм потерь существует, но ещё не устанавливает его распространённость. Гипотеза указывает, что предстоит проверить. Недостаток информации тоже влияет на программу работы: без его устранения часть решений останется предположением.

8.4. Содержание работы и профессиональные решения

Понять задачи бизнеса и существенные изменения

Руководитель функции выясняет, какие результаты планирует компания и что меняется в её деятельности. Выход на новый рынок, инвестиционная программа, изменение поставок или сокращение затрат создают разные задачи для безопасности. Знакомый перечень проверок может перестать соответствовать этим задачам.

Если у компании есть оформленная стратегия, работу безопасности связывают с её целями и инициативами. Если такого документа нет, исходными основаниями становятся согласованные планы и приоритеты руководства. Отсутствие отдельной презентации со словом «стратегия» не мешает выяснить, куда движется бизнес.

Предметный вопрос к заказчику: какие решения и изменения бизнеса требуют нашей экспертизы, какие потери и ограничения наиболее существенны? Такой разговор помогает определить область работы до обсуждения численности и инструментов.

Составить честную картину действующей модели

Сначала сопоставляют формально закреплённые задачи с реальной работой: чем заняты сотрудники, какие результаты получает бизнес, где действия дублируются и от каких исполнителей зависит их выполнение. Это помогает увидеть, что следует сохранить, а что нуждается в изменении.

Отдельно оценивают, насколько сама функция видит свою работу: какие задачи выполняются, какие результаты подтверждены, где нарушаются сроки и какие мероприятия ещё не выполнены. Если для каждого такого вопроса приходится собирать разрозненные таблицы и заново согласовывать смысл показателей, упорядочение учёта становится задачей развития. Без этой основы трудно обосновать приоритеты и проверить, улучшилась ли работа после изменений.

Сначала согласуют порядок работы и определения, затем организуют учёт задач и результатов, после чего развивают интеграции и анализ накопленных данных. Для этого может подойти действующая корпоративная система. Результат изменения оценивают по тому, насколько быстрее и надёжнее руководитель получает сведения для решения, а не по факту установки программы. Связь учёта с отчётностью раскрывается в главе 11.

Диагностика соединяет три группы сведений: материальность бизнес-процессов, известные случаи потерь и фактическое покрытие контролями.

Материальность показывает экономическую значимость процесса: объём затрат, стоимость активов и операций, другие последствия для бизнеса. Если финансисты и владелец процесса дают разные суммы, сначала выясняют период, состав операций и правила расчёта. Несопоставимые цифры создадут ложную уверенность в точности приоритетов.

История проверок и расследований показывает известные механизмы, повторяемость и результаты принятых мер. Выявленные потери, возмещение и оценка предотвращённых потерь сохраняются как разные показатели. Отсутствие выявленных случаев не доказывает низкий риск: возможно, соответствующий участок почти не проверяли.

Далее устанавливают, какие действия действительно выполняются и что они позволяют обнаружить или предупредить. Например, в закупках отдельно рассматривают формирование потребности, выбор поставщика и заключение договора, исполнение и расчёты. Контроль выбора поставщика не отвечает на вопрос, нужен ли закупаемый объём и соответствует ли оплаченная работа фактической.

При ручной проверке учитывают доступное время и глубину работы. Если через сотрудников проходит большой поток документов, нужно разобраться, какие признаки они успевают проверить, как выбирают операции для углублённого анализа и что остаётся без внимания.

Полученная картина может оказаться неприятной. В ней будут видны существенные потоки, которые контролируются лишь частично, и процедуры, полезность которых трудно подтвердить. Возникает желание не показывать эти пробелы, особенно если прежде отчётность выглядела благополучно. Но именно здесь появляется предмет разговора о развитии: что известно, чего пока не видно и какие действия изменят положение.

Руководитель функции представляет эту картину вместе с предложениями. Обнаруженный пробел сам по себе ещё не обосновывает дополнительный штат или покупку системы. Он позволяет поставить конкретную задачу и обсудить варианты её решения.

Разделить известные сценарии и гипотезы

После диагностики формируется перечень вопросов для дальнейшей работы. В нём удобно различать два исходных состояния.

Механизм уже подтверждён на конкретном случае. Следующий вопрос — где ещё он может повторяться, каков масштаб затронутых операций и способны ли действующие контроли его обнаруживать или предупреждать. Для этого проверяют аналогичные операции, сопоставляют данные и оценивают причины. Вывод по одному расследованию нельзя автоматически распространить на весь бизнес-процесс.

Есть применимая гипотеза. Специалисты могут знать схему из собственного опыта или видеть сочетание признаков, которое требует проверки. Сначала выясняют, возможен ли этот механизм в условиях компании, какие сведения помогут отличить его от нормальной работы и какие объяснения следует проверить наряду с мошенничеством.

Индикатор помогает выбирать операции для проверки. Его срабатывание не является готовым выводом о нарушении. Частые срабатывания могут указывать на распространённую проблему, неудачно выбранный признак или недостатки данных. Поэтому в программу входит не только расчёт индикатора, но и проверка смысла полученных результатов.

Большой перечень сценариев — рабочая база для планирования. Он не означает, что все сценарии одинаково значимы или что каждый требует самостоятельного проекта автоматизации.

Определить направление развития и целевую модель

Перечень обнаруженных пробелов помогает поставить задачи, но для стратегии нужен следующий шаг: определить, как их устранение изменит возможности функции и поможет компании достичь её целей. Руководитель вместе с заказчиком выбирает, какие изменения принципиальны для выбранного периода, а какие могут оставаться локальными улучшениями.

Например, если компания планирует существенную инвестиционную программу, безопасности может потребоваться развить работу с рисками исполнения проектов: раньше подключаться к подготовке решений, обеспечить профильную экспертизу, наладить получение данных о ходе работ и проверку значимых отклонений. Это пример связи цели бизнеса с будущим устройством функции, а не основание переносить на безопасность техническое управление проектами.

Целевая модель объясняет, что изменится в повседневной практике:

• какие задачи будут выполняться регулярно;

• где экспертиза будет сосредоточена в центре, а где потребуется присутствие на площадке;

• какие повторяющиеся действия можно поддержать аналитикой;

• как результаты проверок будут использоваться для изменения бизнес-процессов.

Ответы должны быть достаточно конкретными, чтобы на их основе можно было составить программу действий и определить потребность в ресурсах.

В группе компаний требуется согласовать общую методологию с особенностями площадок. Общий индикатор может опираться на разные системы и процедуры; его применимость проверяют до распространения. Результаты отдельных площадок помогают развивать общую практику, но не доказывают, что контроль одинаково работает повсюду.

Выбор между стратегией и программой улучшений определяется масштабом требуемых изменений и устройством управления компанией. Небольшой компании может быть достаточно короткой программы по нескольким существенным бизнес-процессам; при существенном изменении бизнеса ей также полезно определить долгосрочное направление развития функции. При ограниченном ресурсе особенно важно договориться, что выполняется регулярно, что проверяется адресно и где нужна внешняя экспертиза. Отдельный аналитический отдел для этого не обязателен. По мере выполнения программы новые сведения могут дать основания для более широкого пересмотра модели. Начинать полезные изменения только после утверждения многолетней стратегии не требуется.

Определить последовательность проработки

При выборе очередности сопоставляют значимость риска, известные случаи, состояние контроля, доступность данных и требуемые усилия. Масштаб денежного потока помогает определить существенность, но не заменяет оценку возможного события и его последствий.

Для каждого выбранного направления нужно понимать ближайшее действие. Где-то достаточно проверить известный механизм на доступных данных. В другом случае сначала придётся разобраться в фактическом бизнес-процессе. Для третьего потребуется восстановить сведения, изменить порядок их регистрации или привлечь предметного эксперта.

Доступная аналитика позволяет начать быстрее, но не должна определять весь выбор. Иначе функция снова будет проверять удобное, оставляя существенные риски без внимания. Если по приоритетному вопросу данных нет, их получение или другой способ проверки становятся частью программы.

До затратного внедрения полезно проверить, даёт ли выбранный подход пригодный результат на ограниченном объёме операций. Такая проверка помогает уточнить признаки, оценить качество данных и понять, какую работу затем можно выполнять регулярно. Изменение порядка действий в самом бизнес-процессе иногда решает проблему лучше, чем дополнительный поиск отклонений после её возникновения.

Результатом становится последовательность работ с понятными основаниями. Подробные способы управления приоритетами и ресурсами рассматриваются в главе 10.

Пример поэтапного развития. В одной промышленной компании стратегию последовательно воплощали в связанных решениях: управлении допуском, учёте событий, проверке контрагентов и работе с документами. Сведения, полученные в одном процессе, становились доступны для других задач. Проверка контрагента связывалась с закупочным решением, а история событий помогала учитывать прежние проблемы во взаимодействии с ним. Так отдельные инструменты постепенно складывались в общий порядок работы.

Для такого развития недостаточно определить перечень систем. Каждый этап требует финансирования, участия владельцев процессов и людей, которые будут пользоваться результатом и сопровождать его. В программе нужно различать уже работающие решения, испытания и запланированные изменения. Это позволяет руководителю видеть, какая часть целевой модели действительно действует и что ещё необходимо обеспечить для следующего этапа.

При низкой доступности данных первая программа может включать значительную работу по их получению и упорядочению. При развитой аналитике внимание смещается к полезности аналитического отбора, разбору отобранных операций и изменению бизнес-процессов. В обоих случаях цель определяется задачей бизнеса.

Обеспечить выбранные изменения людьми и средствами

Сопоставление действующей и целевой модели показывает, каких профессиональных возможностей не хватает. Это могут быть знания конкретного бизнес-процесса, навыки анализа данных, компетенции расследования или способность разработать и проверить контроль совместно с владельцем процесса.

Руководитель функции определяет, кто будет выполнять эту работу. Часть задач можно перераспределить, часть — обеспечить обучением или взаимодействием с имеющимися подразделениями. Для отдельных задач потребуется внешняя экспертиза или дополнительный сотрудник. Запрос на ресурс объясняют через конкретную работу, её объём и ожидаемый результат.

При использовании аналитики предметные специалисты описывают механизм риска и проверяют смысл результатов. Аналитики помогают получить и подготовить данные, реализовать проверку и поддерживать инструмент. Владельцы бизнес-процессов объясняют, как устроена работа, и участвуют в изменении операций и контролей. Передача задачи аналитику не снимает с безопасности ответственности за профессиональный смысл проверки.

В распределённой компании часть экспертизы и разработки инструментов может быть сосредоточена в центре, а проверка фактических обстоятельств и взаимодействие с бизнесом — на площадках. В компактной компании эти задачи совмещают одни и те же сотрудники. Выбор зависит от содержания работы; наличие самостоятельного подразделения для каждой компетенции не является обязательным условием.

Помимо разработки новых решений нужно предусмотреть поддержку действующих, передачу знаний и замену ключевых исполнителей. Если инструмент способен сопровождать только его создатель, доступность такого инструмента зависит от одного человека.

Согласовать развитие и порядок пересмотра

При обсуждении развития заказчику показывают связь между исходным положением, целями и предлагаемыми изменениями: какая проблема известна, что планируется установить или изменить, кто выполнит работу и что для этого потребуется. Для стратегии дополнительно объясняют, какой вклад выбранное направление внесёт в достижение целей компании на её стратегическом горизонте.

Ожидаемый результат зависит от стадии. Для гипотезы им может быть обоснованный вывод о её применимости и масштабе проблемы. Для подтверждённого сценария — изменение контроля и проверка его работы. Для аналитического инструмента — пригодный отбор операций и понятный порядок реакции на выявленные отклонения. Запуск системы сам по себе не подтверждает снижение потерь.

Если требуемых ресурсов нет, с заказчиком обсуждают изменение сроков, объёма или способа работы и последствия выбранного варианта. Заказчику показывают, какие вопросы пока не будут охвачены работой. Решение о принятии риска принимает уполномоченное лицо; это решение фиксируют в корпоративной матрице рисков. Отсутствие финансирования не означает, что проблема исчезла.

Стратегию соотносят со стратегическим циклом компании и пересматривают при существенном изменении целей или исходных условий. Программу действий уточняют также по промежуточным результатам работы. Проверка может не подтвердить гипотезу; данные могут оказаться непригодными; новый инцидент — показать ранее неизвестный механизм. Эти результаты уточняют дальнейшие действия. Продолжение проекта только потому, что он уже включён в стратегию, не заменяет оценки его полезности.

8.5. Роли и компетенции

Заказчик со стороны бизнеса

Определяет ожидания, рассматривает варианты развития, принимает решения о приоритетах и ресурсах в пределах своих полномочий

Руководитель функции безопасности

Собирает исходную картину, формирует цели и программу, объясняет ограничения, организует работу и пересмотр решений

Руководители направлений и специалисты безопасности

Описывают сценарии, фактические процедуры и результаты, проверяют гипотезы, оценивают профессиональные потребности

Владельцы бизнес-процессов

Подтверждают хозяйственный контекст, участвуют в оценке рисков и изменениях; сохраняют ответственность за свои процессы

Функции управления рисками и внутреннего контроля

Обеспечивают согласованность с корпоративной методологией и распределением контрольной работы

Внутренний аудит

Предоставляет результаты независимой оценки в пределах своей роли; не становится исполнителем программы безопасности

Аналитики, ИТ и другие предметные эксперты

Оценивают реализуемость решений, данные и технические зависимости, выполняют согласованную часть работ

Если отдельных подразделений нет, определяют, кто выполняет соответствующие задачи. Для обоснования изменений нужны понимание бизнеса, экспертиза корпоративного мошенничества, способность работать с данными и умение обосновывать управленческие решения. Эти компетенции могут быть распределены между участниками.

8.6. Методы и рабочие материалы

Для подготовки решений можно использовать существующие матрицы рисков и контролей, сведения о проверках и расследованиях, бюджеты и программы проектов. Дополнительная форма нужна, если она помогает связать сведения, которые сейчас разобщены.

Ниже — рекомендуемый состав вопросов для проработки направления. Это вспомогательный материал руководителя функции, а не обязательный бланк для заказчика.

Какую задачу бизнеса рассматриваем?

Бизнес-процесс, его границы и значимость, связь с планами компании

На чём основана постановка проблемы?

Подтверждённый случай, повторяющиеся признаки или гипотеза; доступные сведения и ограничения

Что уже контролируется?

Сценарий, процедура, исполнитель, этап, фактический охват и сведения о работе контроля

Какой вопрос пока не решён?

Распространённость механизма, применимость гипотезы, отсутствие данных или недостаточность контроля

Как должна измениться работа функции?

Желаемое устройство работы, связь с целями компании и выбранный горизонт

Какое действие предлагается?

Проверка, анализ, изменение бизнес-процесса, испытание контроля или развитие компетенции

Что требуется для выполнения?

Исполнители, данные, доступ, экспертиза, время и другие ресурсы

Какое решение станет возможным?

Что можно будет подтвердить, изменить, внедрить, прекратить или передать другому участнику

Учебный пример: от отдельных проверок к постоянной работе с рисками ремонтов

Ситуация вымышленная. Предположим, надёжность производственных активов входит в стратегические приоритеты компании.

Диагностика показала, что безопасность участвует в выборе подрядчиков, но редко проверяет фактическое исполнение ремонта. Известен случай предъявления к оплате неподтверждённого объёма работ. Есть и гипотеза: часть повторных ремонтов могла относиться к гарантийным обязательствам подрядчика. Один подтверждённый механизм и ещё не проверенная гипотеза требуют разных первых действий.

Цель развития — организовать постоянную работу с рисками исполнения ремонтов. Для этого руководитель предлагает следующее устройство работы.

Предмет контроля

Как будет устроена работа. Наряду с выбором подрядчика рассматриваются исполнение ремонта и основания повторной оплаты

Что требуется выяснить или сделать сначала. Определить, где возможен уже известный механизм неподтверждённого объёма

Основания анализа

Как будет устроена работа. Ремонт связывается с оборудованием, предыдущими работами, договором и гарантией

Что требуется выяснить или сделать сначала. Проверить, существуют ли эти связи; при их отсутствии восстановить их для выбранных случаев и изменить регистрацию на будущее

Экспертиза и ответственность

Как будет устроена работа. Безопасность проверяет сценарий злоупотребления; технический специалист оценивает предмет работ; владелец процесса организует согласованные изменения

Что требуется выяснить или сделать сначала. Определить участников и доступный объём их участия; обосновать потребность в аналитической и технической помощи

Использование результатов

Как будет устроена работа. Повторяющиеся признаки становятся основанием адресной проверки; выявленные недостатки — задачами изменения контроля с последующей проверкой работы

Что требуется выяснить или сделать сначала. Проверить применимость признаков и выбрать изменения по результатам первого анализа

Программа первых действий теперь имеет понятное назначение: определить масштаб известной проблемы, проверить гарантийную гипотезу и подготовить переход к постоянной работе. Она ещё не подтверждает, что новая модель действует. Это станет видно, когда участники начнут регулярно получать пригодные сведения, рассматривать отклонения и проверять исполнение согласованных мероприятий.

До выяснения качества данных обещать автоматическую проверку всех ремонтов преждевременно. Если ресурсов недостаточно, руководитель предлагает ограниченный охват и объясняет, какие участки пока останутся вне работы. При отсутствии стратегической значимости направления те же первые действия могут остаться отдельной программой улучшений.

8.7. Признаки качества решений о развитии

Предложения подготовлены для управленческого решения, если:

• выбранные направления связаны с задачами бизнеса и существенными рисками; для стратегии определены желаемое состояние функции и его связь с целями компании на выбранном горизонте;

• исходная картина различает действующие контроли, известные пробелы и недостаток информации;

• подтверждённые случаи отделены от гипотез, а показатели имеют понятные границы расчёта;

• для приоритетных вопросов определены ближайшие действия, исполнители и зависимости;

• устройство работы соответствует требуемой экспертизе и доступным ресурсам;

• ожидаемые результаты позволяют проверить продвижение, а не только факт выполнения мероприятий;

• заказчику понятны ограничения выбранного варианта и основания пересмотра.

Полезная проверка — выбрать любое существенное мероприятие программы и пройти его обоснование в обратную сторону: какое изменение оно даёт, какую проблему решает и на каких сведениях эта проблема установлена. Если связь теряется, мероприятие требует уточнения.

Глава 9. Постановка задач функции безопасности и оценка результата

9.1. Назначение и область применения

Эта практика помогает перевести потребность бизнеса в выполнимое поручение и определить, отвечает ли полученный результат поставленной задаче. Она применяется к отдельной проверке, аналитическому заданию, разработке меры и регулярной работе безопасности.

Основные читатели — заказчик и руководитель функции. Специалист использует главу, чтобы уточнить поручение, организовать работу и предъявить её результат. Поручение может прийти одной строкой письма или прозвучать в коротком разговоре. Руководитель безопасности сам переводит его в профессиональную задачу: использует известный контекст, определяет, каких важных сведений не хватает, и уточняет у заказчика то, что влияет на результат. Метод выбирает и работу организует руководитель безопасности.

В главе разобрано, как уточнить поручение, организовать работу, согласовать изменения и представить результат, на основе которого заказчик сможет принять решение. Порядок расследования, проектирование конкретного контроля и расчёт эффекта раскрываются в соответствующих главах. Здесь определяется, что нужно поручить и по каким основаниям принять работу в каждой из этих областей.

9.2. Ожидаемые результаты

Практика помогает добиться пяти результатов:

Согласованная задача

Потребность бизнеса, предмет и границы работы, требуемое решение или поддерживаемое состояние

Выполнимые условия

Исполнитель, доступ, ресурс, срок, зависимости и границы полномочий

Понятные требования к качеству

Содержание результата, необходимые подтверждения, способ проверки и тот, кто оценивает результат

Управляемые изменения

Кто и на каком основании меняет объём, срок или условия; что происходит с исходным обязательством

Решение по предъявленной работе

Что принято, что требует доработки, какие вопросы остаются открытыми и кому переданы

Результат может состоять в обоснованном выводе, выполненном действии или поддерживаемом состоянии процесса. Документ сохраняет основания и решение, но сам факт его подготовки ещё не подтверждает достижение цели.

9.3. Основные понятия и принципы

Понятия

Потребность бизнеса — Решение, изменение или состояние, ради которого требуется работа безопасности

Задача — Согласованное поручение с предметом, границами, результатом и условиями выполнения

Действие — То, что делает исполнитель: запрашивает, сопоставляет, проверяет, испытывает, объясняет

Рабочий результат — То, что можно предъявить и проверить по итогам поручения или периода работы

Подтверждение — Сведение, запись, наблюдение или расчёт, позволяющие проверить существенный вывод либо исполнение

Критерий качества — Признак, по которому определяется достаточность результата для согласованного назначения

Оценка результата — Проверка того, отвечает ли работа на поставленный вопрос и достаточно ли её для решения заказчика

Например, разговор с бухгалтером — действие. Проверенная сумма расчётов по поставке — часть результата. Условия поставки и запись об оплате, на которых основан расчёт, — подтверждения. Результат можно считать обоснованным, если исполнитель способен объяснить итоговую сумму и указать, что пока не удалось проверить. Пример учебный.

Принципы работы с поручением

Начинать с деловой потребности. Запрос «проверить поставщиков» нуждается в уточнении: какое решение предстоит принять, какое последствие беспокоит заказчика и что уже известно. Объём мероприятий определяется этим вопросом.

Прояснять ожидания до выполнения. Безопасник уточняет, что заказчик хочет понять или решить и к какому моменту. Требования к методу и доказательности он определяет в пределах своей профессиональной ответственности. Изменение деловой цели, существенного объёма или срока обсуждается с заказчиком. Неудобный вывод сам по себе не является недостатком качества.

Соотносить обязательство с возможностями. Ожидаемый результат и срок соотносятся с доступом, компетенциями и ресурсом. Если предмет ещё неясен, можно согласовать предварительный этап с собственным результатом и сроком.

Сохранять проверяемость вывода. Факт, объяснение участника, гипотеза и профессиональный вывод имеют разный статус. Отсутствие подтверждения требует уточнения; само по себе оно не доказывает нарушение. Вывод о том, что нарушение не подтвердилось, может быть полноценным результатом, если он обоснован.

Различать выполнение работы, реализацию изменения и пользу для бизнеса. У каждой из этих оценок свои основания и момент проверки. Принятый отчёт не означает, что предложенное изменение реализовано, а реализованное изменение ещё не подтверждает экономию.

9.4. Содержание работы и профессиональные решения

9.4.1. Уточнить запрос и исходные сведения

Руководитель безопасности выясняет, какое решение требуется заказчику, в какой части процесса возник вопрос и какими фактами он располагает. Для начала обычно нужны сам запрос, доступные документы или сведения о событии, действующий порядок работы и перечень участников. Если без недостающих сведений невозможно определить основной объём работы, их получение включают в предварительный этап.

Если вопрос касается контроля, нужно выяснить, предусмотрен ли порядок, выполняется ли действие, чем подтверждается исполнение и как принимаются решения по отклонениям. Отдельный вопрос — способен ли этот контроль обнаруживать либо ограничивать рассматриваемый сценарий: формальное исполнение само по себе этого не подтверждает. Способы проверки разобраны в главе 15, распределение обязанностей между функциями — в главе 3. Повторные описания одного недостатка сопоставляют по операциям и последствиям, сохраняя источники сведений; они не обязательно означают несколько независимых проблем.

9.4.2. Определить предмет, результат и критерии

Для себя и команды руководитель определяет процесс или объекты, период и охват, профессиональный вопрос, содержание результата и существенные ограничения. Затем проверяет, какие сведения позволят обосновать ожидаемый вывод. Поручение «подготовить записку» не объясняет, что именно нужно выяснить и на какой вопрос заказчик ожидает ответ.

Учебный пример. Вместо неопределённого «разобраться с приёмкой» можно поручить установить, как разрешены три отмеченных расхождения: сопоставить условия поставки, документы приёмки и расчёт; по каждому случаю объяснить, что установлено и чем это подтверждается, либо указать, каких сведений не хватает и как это влияет на вывод. Для результата заранее определены охват и содержание. Срок и доступ согласуются отдельно.

Если этот этап предложен вместо первоначального запроса о проверке поставщиков, руководитель согласует изменение приоритета с заказчиком. Первоначальный вопрос остаётся в работе; стороны договариваются, когда к нему вернутся. Уточнение задачи не должно незаметно подменять потребность заказчика.

Содержание результата зависит от поручения. Сопоставим два учебных варианта; это вымышленные примеры применения общего подхода.

Установить причины расхождений при приёмке

Что предъявить по результату. Обоснованный вывод: какие обстоятельства подтверждены, какие объяснения проверены, что осталось неизвестным и какое решение предлагается

Что остаётся после представления результата. Заказчик решает, какие изменения поручить. Аналитический вывод сам по себе не означает, что контроль уже изменён

Совместно с владельцем бизнес-процесса разработать и внедрить контроль при изменении порядка приёмки

Что предъявить по результату. Описание сценария корпоративного мошенничества, способ противодействия ему, результаты испытания и подтверждение работы контроля в согласованном охвате

Что остаётся после представления результата. Определены исполнитель регулярного контроля, порядок мониторинга и условия пересмотра. Если внедрение входит в поручение, согласованное описание контроля закрывает только этап разработки

Если задача включает разработку и внедрение контроля, заранее определяют:

• кто разрабатывает контроль;

• кто вносит изменения в бизнес-процесс или систему;

• кто проверяет работоспособность контроля;

• кто отвечает за его дальнейшее применение.

Участие безопасности определяется её экспертизой и согласованными полномочиями. Само поручение «разработать контроль» не делает её исполнителем всех операций, необходимых для внедрения.

Регулярная работа. Поддерживаемое состояние здесь означает наблюдаемый результат конкретной работы за определённый период. Например, для регулярного контроля можно установить охват операций, срок проверки и порядок разрешения выявленных отклонений. Такой результат требует постоянного поддержания и пересмотра при изменении бизнес-процесса; он не означает, что компания достигла окончательного состояния безопасности. Согласуются периодичность, подтверждения, исключения и реакция. При подведении итогов периода проверяют, какие операции охвачены контролем, какие пропущены и что сделано по результатам контроля. Отсутствие событий само по себе не подтверждает способность контроля их обнаружить; её оценивают предусмотренной проверкой или испытанием.

Срочная задача. Фиксируются доступные сведения, первоочередной результат, временные границы полномочий и момент пересмотра. Срочность влияет на объём первого этапа и последовательность действий; в выводе прямо указывают, что пока не удалось установить.

9.4.3. Проверить выполнимость и распределить ответственность

До начала работы проверяют доступность источников, достаточность компетенций, трудоёмкость, календарный срок и зависимость от других участников. Два рабочих дня исполнителя и срок сдачи через неделю — разные условия: часть времени может потребоваться на получение сведений.

Руководитель распределяет выполнение и профессиональную проверку с учётом действующих полномочий. Также выясняет, кто принимает решение по предлагаемой мере и кому предстоит её исполнять. Для обычной задачи эти роли могут быть уже известны и не требуют нового согласования. Если безопасность сама отвечает за контроль или изменение, это обязательство включается в её задачу.

Участники определяют, какие действия исполнитель вправе выполнять самостоятельно, когда ему следует обратиться к руководителю и кому передать вопрос, выходящий за пределы его полномочий. Также определяют, к кому обращаться при конфликте интересов или отсутствии руководителя, который обычно принимает решение.

9.4.4. Управлять препятствиями и изменением задачи

Исполнитель сообщает о существенном препятствии до срока сдачи, чтобы осталось время выбрать дальнейшие действия. В сообщении полезно сразу объяснить, что выполнено, какой вывод пока нельзя обосновать и какое решение позволит продолжить работу.

Руководитель может обеспечить доступ, изменить срок или охват, привлечь эксперта либо вынести вопрос заказчику. В решении фиксируют, как изменилось поручение. Само предупреждение исполнителя не меняет согласованную задачу.

Новый факт может разрешить вопрос или потребовать расширения проверки. Выбор зависит от возможных последствий, надёжности сведений, повторяемости и ресурса. Если расширение проверки выходит за пределы согласованных полномочий, его согласуют с уполномоченным руководителем. Поздний запрос необходимых данных также разбирается как возможный недостаток организации работы: неполнота результата не становится приемлемой автоматически.

9.4.5. Представить результат и обсудить дальнейшие действия

Перед докладом исполнитель или руководитель проверяет, отвечает ли работа на вопрос поручения, достаточны ли подтверждения и рассмотрены ли существенные альтернативы. Заказчику он представляет вывод, объясняет его значение для бизнеса, ограничения и предлагаемые дальнейшие действия. Подробные материалы остаются доступными по ссылке или в приложении.

Результат можно сообщить письмом, устно на встрече или служебной запиской. Форма зависит от сложности вопроса и принятого способа работы. Сам доклад ещё не означает, что заказчик согласился с предложением: поручение продолжить работу, выбор меры, возражение или решение закрыть вопрос рассматриваются отдельно.

Фраза «данных недостаточно» требует объяснения: что пытались получить, какие действия выполнили, что препятствовало получению и когда вопрос передали руководителю. Отсутствие найденного нарушения не является основанием требовать доработку, если задача выполнена качественно.

Завершить задачу

Ответ достаточен для исходного вопроса; дальнейшие действия понятны

Дополнить или исправить работу

Конкретный недостаток, необходимое исправление, ответственный и срок

Использовать полученную часть и продолжить

Принятый охват, открытый вопрос, условия продолжения и принимающий решение

Изменить или прекратить поручение

Причина, сохраняемый результат, последствия и лицо, принявшее решение

Если проведение мероприятия поручают другому участнику, назначают ответственного за его исполнение и устанавливают срок последующей проверки. Поручение безопасности можно завершить, когда её работа принята, сохранив отдельное обязательство по внедрению меры. Если внедрение входило в исходную задачу безопасности, приёмка одной записки это обязательство не закрывает.

9.5. Роли в задаче и масштаб ответственности

Роль показывает, что человек делает в конкретной работе. Масштаб ответственности — какими решениями он управляет. Название должности показывает его место в штатной структуре компании. Эти признаки описываются отдельно.

Роли в конкретной задаче

Заказчик

Обозначает деловую потребность, отвечает на существенные уточнения, принимает решение по результату

Ответственный за задачу

Переводит запрос в план работы, организует выполнение, взаимодействует с заказчиком и представляет итог

Исполнитель

Получает и сопоставляет сведения, проверяет версии, готовит вывод и сообщает о препятствиях

Проверяющий профессиональную часть

Оценивает метод, достаточность оснований и границы вывода; при необходимости это предметный эксперт

Владелец затронутого процесса

Объясняет устройство процесса и принимает решения по его изменению в пределах своих полномочий

Исполнитель согласованного мероприятия

Реализует принятое изменение и сообщает о фактическом результате

В небольшом поручении ответственный за задачу сам выполняет анализ и докладывает заказчику. В крупной работе он распределяет исполнение и проверку. Заказчик может одновременно владеть процессом. Отдельные строки таблицы не предполагают отдельных штатных единиц.

Небольшая функция. Роли могут совмещаться. Сохраняются согласованная задача, проверяемые основания и явное решение. Для проверки вопросов, требующих специальных знаний, при необходимости привлекают эксперта.

Распределённая функция. Дополнительно определяются результаты по площадкам, зависимости, общий способ сопоставления и решения руководителя направления или всей функции. Общие требования допускают различия процессов, масштаба риска и доступных ресурсов.

Масштаб ответственности внутри функции

Выполнение отдельной задачи

Выбор действий в пределах поручения, оценка данных, подготовка обоснованного вывода

Руководство командой

Распределение задач и ресурса, проверка качества, помощь исполнителям и решение по препятствиям

Руководство направлением

Методология и приоритеты направления, связанные задачи нескольких команд или площадок, развитие компетенций

Руководство функцией безопасности

Полномочия и стратегия всей функции, отношения с высшим руководством, общий ресурс и межфункциональные решения

В книге используем название «руководитель функции безопасности». В компании эта ответственность может быть закреплена за директором, вице-президентом или руководителем с другим названием должности. «Начальник управления» остаётся примером корпоративной должности; её место определяется фактическими полномочиями.

Обозначения C-level и «минус один» можно использовать при описании конкретной организации, если определено, относительно кого считается уровень. В нашей модели ответственность за всю функцию и подчинённость генеральному директору — отдельные признаки. Поэтому сначала описываются решения и охват, затем при необходимости указывается место в иерархии. Четыре масштаба в таблице помогают сравнивать работу; компания может объединять их или иметь дополнительные ступени.

Компетенции связываются с действиями в задаче: прояснить запрос, выбрать способ проверки, оценить достаточность сведений, объяснить вывод и предложить решение. Руководство командой добавляет задачи распределения и проверки работы; руководство направлением и функцией — задачи соответствующего охвата. Корпоративная должность сама по себе не подтверждает эти умения.

Согласие бизнеса принять риск не устраняет невыполненное обязательство безопасности и не придаёт достоверность неподтверждённому выводу. Аналогично разрешение руководителя не заменяет техническое заключение, когда вопрос требует специальной экспертизы.

9.6. Диалог с заказчиком и представление результата

Уточнение поручения

Короткого разговора может быть достаточно для начала работы. Руководитель безопасности опирается на знание бизнеса и действующих правил, а у заказчика выясняет то, что нельзя надёжно восстановить из контекста: зачем нужен ответ, к какому решению и сроку, какие границы принципиальны. Разбор источников, выбор метода и распределение работы внутри команды он организует самостоятельно.

Вопросы для уточнения поручения помогают подготовиться к этому разговору и проверить собственное понимание после него. Это рабочая памятка безопасника. В конкретном поручении используются только нужные вопросы; заказчику не предлагается заполнять таблицу.

Короткий учебный пример. Генеральный директор пишет: «Посмотри, почему опять переплачиваем за перевозки». Получатель уточняет, нужно ли решение по предстоящему платежу или разбор расходов за период. От этого зависят срочность и первый результат. Если есть риск разного понимания, он кратко поясняет, как понял поручение: «К завтрашнему дню проверю основание текущего платежа. По причинам повторения вернусь после сравнения перевозок за месяц». Существенное изменение объёма или срока требует ответа уполномоченного руководителя; отсутствие ответа не считается согласием.

Фиксация помогает сохранить смысл разговора и принятые решения. Это может быть ответное письмо, заметка по итогам встречи или карточка задачи в действующей системе. Отдельный документ оправдан сложностью работы, количеством участников или установленным порядком компании.

Подготовка результата для заказчика

Заказчику сообщают ответ на исходный вопрос, существенные основания и ограничения, предлагаемые действия и необходимое решение. Подробность выбирают по задаче: обычное поручение можно завершить коротким сообщением, сложный вопрос требует записки с приложениями. В главе 11 показано, как представить один результат на разных уровнях управления; краткая структура сообщения приведена в памятке «Структура сообщения о результате».

Решение заказчика фиксируют там же, где учитывают поручение. Если ответ ещё не получен, результат представлен, но решение ожидается. Отдельная процедура формальной приёмки нужна там, где её предусматривает порядок работы, например для проекта или договора; для обычного поручения она не обязательна. Когда в поручение входят реализация мероприятия или регулярное выполнение контроля, отправка заключения закрывает лишь соответствующий этап.

Способы профессиональной работы

Короткий предварительный разбор

Исходных сведений недостаточно, чтобы определить предмет и объём основной задачи

Разбор последовательности операции вместе с её участниками

Нужно сопоставить предусмотренный порядок, фактическое исполнение и реакцию на отклонение

Сопоставление вопроса, подтверждения и вывода

Перед докладом нужно проверить, действительно ли получен ответ и где остаётся неопределённость

Проверка коллегой или предметным экспертом

Существенный вывод требует проверки метода или специальной компетенции

9.7. Проверка результатов применения практики

Эти вопросы помогают руководителю проверить, удалось ли понять поручение, выполнить работу и довести результат до решения. Отдельный отчёт по этой таблице не требуется. Предметные критерии расследования, анализа или контроля рассматриваются в соответствующих практиках.

Как проверить ожидаемые результаты из раздела 9.2

Согласованная задача

Заказчик и исполнитель одинаково называют предмет, ожидаемый результат и пределы работы; изменение первоначального запроса явно согласовано

Выполнимые условия

Указаны ресурс, срок, доступ, зависимости и полномочия; по известным препятствиям определены дальнейшие действия

Понятные требования к качеству

По каждому существенному требованию можно определить необходимое подтверждение и того, кто проверит достаточность

Управляемые изменения

Для существенных изменений сохранены основание, решение, уполномоченный участник и новое обязательство; исходная задача не исчезла без решения

Решение по работе

Понятно, какая часть работы принята, что осталось выполнить и кто отвечает за дальнейшие действия и сроки

При обсуждении результата сохраняются три отдельных уровня:

1. Качество работы: выполнено ли поручение и обоснован ли вывод.

2. Реализация: произошло ли принятое изменение и проверено ли его действие.

3. Польза для бизнеса: какие изменения наблюдаются, с чем их сравнивают и чем подтверждают вклад участников.

Например, разница между двумя счетами сама по себе не показывает экономию: могли измениться объём услуги, условия или основание расчёта. Для вывода об эффекте нужно установить сопоставимость условий, фактическое исполнение и связь изменения с выполненной работой. Это правило качества вывода; методика оценки эффекта относится к отдельной главе.

Глава 10. Приоритеты, портфель задач и ресурсы

10.1. Назначение и область применения

У безопасности редко бывает недостаток задач. Есть проверки, согласования, расследования, поручения руководства, сопровождение принятых мер. К ним добавляются вопросы, которые функция сама обнаружила при анализе бизнес-процессов, и изменения, предусмотренные программой развития. Всё это может быть полезно, но выполнить всё одновременно обычно невозможно.

Если выбор не сделан руководителем, он всё равно происходит: сотрудники занимаются тем, у чего ближе срок, настойчивее заказчик или понятнее способ выполнения. Сложные вопросы, для которых ещё нужно получить данные и собрать участников, откладываются. В результате функция может быть постоянно занята, а существенная для бизнеса проблема — месяцами оставаться без движения.

Глава помогает связать приоритеты с выполнимой работой: определить, что начать, что продолжить, где изменить способ выполнения и какие обязательства пересмотреть. Основной читатель — руководитель функции или направления безопасности. Для специалиста глава объясняет, какие сведения нужны руководителю, чтобы принять решение о сроке, объёме и ресурсах задачи.

В главе 8 определено направление развития функции, в главе 9 — содержание отдельного поручения. Здесь рассматривается совокупность работы: как выполнять текущие задачи и одновременно создавать возможности, которых у функции пока нет.

10.2. Ожидаемые результаты

Картина работы

Какие обязательства уже приняты, чем фактически заняты сотрудники и какие существенные вопросы пока не включены в план

Обоснованные приоритеты

Почему выбранные задачи важнее других и что произойдёт, если их отложить

Выполнимый план

Кто выполнит работу, какая экспертиза и данные нужны, от чего зависят сроки

Решения по ресурсам

Что можно изменить в действующей работе, каких специалистов и какие инструменты привлечь, каких компетенций и ресурсов пока недостаточно

Пересмотр обязательств

Кто вправе изменить очередь, объём или срок и как сохраняется внимание к отложенным вопросам

Результатом служит согласованный выбор. Длинный список мероприятий с одинаковой пометкой «высокий приоритет» такого выбора не показывает.

10.3. Основные понятия и принципы

Портфель задач в этой главе — совокупность задач и изменений, между которыми руководитель распределяет ресурсы функции. В него входят и регулярные действия, и отдельные проверки, и проекты развития. Это рабочее понятие для управления безопасностью; оно не требует оформлять каждую проверку как проект или переносить в функцию отдельную систему проектного управления.

Приоритет определяет относительную важность задачи и её место в последовательности действий. Его объясняют через возможные последствия для бизнеса, необходимость решения к определённому моменту, состояние контролей и сведения о проблеме. Настойчивое требование заказчика и хорошо знакомая схема мошенничества сами по себе не дают достаточного основания поставить вопрос первым.

Ресурсы включают время и компетенции людей, данные, доступ к ним, инструменты, финансирование и участие других подразделений. По каждой задаче выясняют, сможет ли нужный специалист выделить время для её выполнения. Для купленной системы проверяют, настроен ли в ней нужный контроль и кто будет разбирать тревоги.

Значимость вопроса и готовность приступить к работе оценивают отдельно. Если данные по существенному риску пока недоступны, вопрос не становится менее важным. Меняется ближайшая задача: получить сведения, привлечь эксперта или определить допустимый способ предварительной проверки.

Выбор приоритетов сохраняет распределение ответственности. Безопасность оценивает бизнес-процессы прежде всего через свою экспертизу корпоративного мошенничества, а решения об изменении процессов и принятии риска принимаются уполномоченными участниками. Недостаток людей или бюджета не отменяет обязательных требований и уже принятых обязательств.

10.4. Содержание работы и профессиональные решения

Увидеть, на что уже расходуются силы

Планирование начинается с фактической работы. Руководителю нужны сведения о регулярных процедурах, незавершённых проверках и расследованиях, поручениях, сопровождении мероприятий и задачах развития. Не обязательно перечислять каждое однотипное действие отдельной строкой: повторяющиеся проверки можно рассматривать как поток с понятным объёмом, составом процедур и требованиями к сроку.

Трудоёмкость задач с одинаковым названием может различаться. Проверка с доступными данными и понятным предметом отличается от случая, где приходится восстанавливать документы, искать участников и проверять несколько объяснений. Среднее время на одну проверку может скрыть эту разницу.

Сведения из карточек задач помогают увидеть, где накапливается очередь, сколько времени занимает исполнение и сколько — ожидание сведений или согласований, какие действия приходится повторять. Эти данные сопоставляют по направлениям и видам задач, чтобы решить, где изменить порядок работы, перераспределить нагрузку или привлечь необходимую экспертизу. Затраченное время рассматривают вместе со сложностью задачи и качеством результата: больше часов не означает лучшую работу, а меньше — более высокую эффективность. Для такого анализа нужен последовательный учёт причин задержек и повторных действий, а не только итоговый статус задачи.

Полезно сопоставить объём работы с тем, что сотрудники действительно успевают сделать. Если почти всё время уходит на несколько сложных решений, нужно выяснить, как рассматриваются остальные операции. Возможно, они проходят содержательную проверку по более короткому набору признаков. Возможно, остаётся только формальное согласование. Цифра «проверено 100%» не отвечает на этот вопрос.

До запроса дополнительных людей стоит разобраться с повторным вводом сведений, дублирующими запросами, ненужными согласованиями и действиями, результат которых никто не использует. Но прекращение такой работы требует решения: кто её заказчик, зачем она появилась и какая задача останется нерешённой после отмены. Освободить сотрудников от лишних действий и незаметно перестать выполнять обязательную процедуру — разные вещи.

Объяснить, почему выбран именно этот вопрос

Диагностика из главы 8 даёт основу для выбора: материальность бизнес-процессов, известные потери и фактическое покрытие контролями. При составлении плана также учитывают, когда потребуется решение и какие обстоятельства влияют на его срочность.

Нужно понять, продолжается ли проблема сейчас, может ли её повторение привести к существенным последствиям и есть ли момент, после которого повлиять на ситуацию станет сложнее. При этом крупный объём операций не равен ожидаемым потерям, а срабатывание индикатора не равно установленному нарушению. Руководителю показывают, на каких сведениях основан приоритет и что ещё предстоит проверить.

Приоритет может получить и вопрос с высокой неопределённостью. Например, существенный бизнес-процесс почти не охвачен проверками, поэтому отсутствие выявленных случаев ничего не говорит о его защищённости. Ближайшим результатом тогда будет обоснованная оценка положения, а не обещание найти заранее определённую сумму ущерба.

Для сопоставления задач можно использовать следующие вопросы:

• Насколько существенны возможные последствия?

• Почему действовать нужно сейчас?

• Что уже известно?

• Что изменится после работы?

• Что потребуется для её выполнения?

Если в компании применяются правила ранжирования, безопасность использует общую методологию. Дополнительные баллы имеют смысл только при понятных критериях; они не заменяют объяснения выбора.

Выбрать способ выполнения и необходимое усиление

Один и тот же вопрос можно решать разными способами. Команда может продолжать вручную просматривать документы, один раз сопоставить данные по выбранному сценарию или подготовить регулярно работающий аналитический контроль. Эти варианты требуют разных усилий и дают разные результаты.

В авторском подходе анализ данных помогает сначала проверить гипотезу. Одни предположения не подтверждаются, другие требуют уточнения, третьи показывают механизм, который стоит контролировать постоянно. Автоматизация становится следующим решением, когда понятно, какое правило полезно, на каких данных оно работает и кто будет реагировать на результат. Если купить систему до ответа на эти вопросы, её возможности могут остаться невостребованными.

Для такой работы безопасности нужны дополняющие компетенции. Бизнес-анализ помогает описать, как устроен бизнес-процесс и что в нём предстоит изменить. Анализ данных — проверить предположение и оценить распространённость признаков. Управление проектами — согласовать участников, требования, сроки и внедрение. Разработка — создать или доработать инструмент под понятную задачу.

Не все эти специалисты должны входить в штат безопасности. Можно согласовать участие коллег, привлечь внешнего исполнителя, развить навыки действующих сотрудников или сочетать эти варианты. Важна определённость: какой результат нужен, кто его обеспечит и когда специалист сможет приступить. Расчёт на то, что знакомый аналитик поможет между своими основными задачами, плохо подходит для обязательства с установленным сроком.

Отдельно привлекается экспертиза самого предмета проверки: строительства, проектирования, технологии производства и других областей. Знание схем мошенничества не делает безопасника специалистом по качеству строительных работ. При планировании учитывают и такое участие, сохраняя за безопасностью её профессиональную задачу.

Часть усиления можно получить за счёт другого распределения работы. Если сотрудники умеют подготовить данные, выполнить простое сопоставление и ясно сформулировать запрос, профильный аналитик меньше времени тратит на повторяющиеся операции. Сложная аналитика остаётся за ним, а возможности команды расширяются. Обучение в этом случае связано с конкретными задачами, которые сотрудники смогут выполнять самостоятельно.

Это не довод против увеличения штата. Дополнительный специалист может быть необходим. Но запрос становится предметным: какой объём работы не выполняется, какой компетенции не хватает, какие варианты рассмотрены и что изменится после усиления.

В небольшой компании руководитель и исполнитель могут быть одним человеком. Тогда особенно важно ограничить число одновременно выполняемых задач, согласовать доступ к внешней экспертизе и сохранить понятный учёт обязательств. Отдельный проектный офис для этого не нужен.

В группе компаний учитывают возможности центра и площадок. Общая аналитика может обслуживать несколько подразделений, но проверка местных обстоятельств и внедрение изменений потребуют участия площадок. Очередность определяется значимостью вопросов и готовностью участников; одинаковая численность подразделений не означает одинаковых возможностей выполнения задач.

Учесть всю работу, которую создаёт изменение

Новый аналитический отчёт нужно не только разработать. Потребуются проверка данных, испытание правил, обучение пользователей, разбор первых срабатываний и последующая поддержка. Если бизнес-процесс или информационная система изменятся, контроль придётся проверить снова.

Поэтому ресурс на развитие нельзя оценивать только по стоимости создания инструмента. В план включают освоение и сопровождение, а также текущую работу команды до того момента, когда новый способ действительно позволит её изменить. Пока сотрудники проверяют всё вручную и одновременно участвуют во внедрении, их нагрузка может увеличиться.

Особое внимание требуется к специалистам, от которых зависит сразу несколько направлений. Один аналитик может поддерживать действующие отчёты, выполнять срочные запросы и разрабатывать новые контроли. Добавление ещё одного проекта не создаёт ему дополнительного времени. Руководителю придётся выбрать последовательность, перераспределить простые задачи, привлечь помощь или обосновать усиление. Также нужно предусмотреть передачу знаний и возможность поддерживать работу при отсутствии ключевого сотрудника.

Не каждое улучшение требует большого проекта. В авторской практике применяются небольшие доработки с понятной задачей, согласованными ресурсами и проверяемым результатом. Такой подход позволяет раньше проверить полезность решения и уточнить дальнейшие действия. Однако границы доработки определяются правилами компании; небольшой размер задачи не отменяет требований к данным, согласованиям и эксплуатации.

При недостатке данных ближайшая задача может состоять в их получении и проверке. При развитой аналитике существенную часть ресурса занимают поддержка правил и работа по тревогам. Количество внедрённых инструментов без оценки этой нагрузки может создавать ложное представление о возможностях функции.

Составить план и договориться о том, что пока не выполняется

В план включают работу, для которой можно назвать ближайший результат, исполнителя и необходимые условия. Если задача зависит от получения данных или заключения эксперта, эта зависимость влияет на срок. Два дня работы специалиста не означают, что результат будет готов послезавтра.

Перечень инициатив полезно отличать от принятых обязательств. В нём могут находиться перспективные гипотезы и предложения, но они не должны создавать впечатление, что команда уже приступила ко всему сразу. По выбранным задачам определяют очередность и обеспечивают ресурс; по остальным сохраняют основание для возвращения к вопросу.

Если возможностей недостаточно, руководитель предлагает варианты: сузить ближайший этап, изменить срок, получить дополнительную экспертизу, передать задачу по компетенции или отложить её. Заказчику объясняют последствия каждого существенного изменения. Задача передана, когда понятно, какой руководитель принял её и что будет сделано дальше.

Отсрочка проверки не является автоматическим принятием риска. Существенный вопрос остаётся в корпоративной матрице рисков или связанном с ней учёте, а решение о допустимости риска принимается в установленном порядке. Для возвращения к отложенной работе определяют срок или условие: получение данных, завершение предшествующего этапа, изменение обстоятельств. Сама по себе резолюция «в работу» или «для исполнения» не определяет ни срок выполнения, ни момент возвращения к отложенному вопросу.

Пересматривать выбор по результатам, а не только по календарю

Результаты работы меняют исходную картину. Гипотеза может не подтвердиться, контроль — оказаться неработоспособным, новый инцидент — показать иной механизм. Регулярное обсуждение результатов с бизнесом также помогает понять, какие вопросы требуют другого решения. План уточняют с учётом этих сведений.

Для каждой существенной инициативы полезно заранее понимать, по какому результату будет принято решение о продолжении. Если анализ не подтверждает полезность задуманной автоматизации, руководитель может предложить изменить решение или остановить дальнейшие вложения. То, что инициатива уже попала в программу развития, не делает её бессрочным обязательством независимо от результата.

Срочное поручение рассматривают вместе с уже принятой работой. В пределах своих полномочий руководитель перераспределяет задачи; если меняется согласованный результат или срок, обсуждает это с соответствующим заказчиком. Здесь действует порядок изменения поручения из главы 9: предупреждение о нехватке времени само по себе не меняет обязательства, а молчание заказчика не означает согласия.

Если задачи развития постоянно переносятся из-за текущих запросов, стоит пересмотреть сам план. Возможно, он не обеспечен ресурсами, либо выбранные улучшения перестали быть приоритетными для заказчика. В обоих случаях требуется явное решение. Иначе функция продолжит обещать изменения, над которыми фактически никто не работает.

10.5. Роли и компетенции

Руководитель определяет приоритеты всей функции: связывает работу с приоритетами бизнеса, оценивает ограничения, согласует существенные изменения обязательств и обосновывает ресурсы. Он также определяет, кто организует развитие, чтобы эта работа не оставалась общей задачей без исполнителя.

Руководители направлений и специалисты дают предметное основание для планирования: сценарий, доступные сведения, требуемую глубину проверки, трудоёмкость и зависимость от других участников. О нехватке нужной компетенции сообщают до того, как обещают результат. Личный опыт не заменяет отсутствующую экспертизу.

Заказчик и владельцы бизнес-процессов помогают определить деловую значимость и сроки решений, обеспечивают согласованное участие своих сотрудников. Аналитики, ИТ, проектные и отраслевые специалисты оценивают свою часть работы и необходимые условия. Функции рисков и внутреннего контроля обеспечивают связь с корпоративной методологией; внутренний аудит сохраняет самостоятельность своей оценки и планирования. План безопасности не назначает им задачи односторонне.

Для руководителя особенно важна способность объяснить выбор: почему предлагается именно эта работа, что она позволит решить и чем придётся поступиться при изменении приоритета. Для специалиста — умение дать реалистичную оценку и своевременно сообщить, что меняет её.

10.6. Методы и рабочие материалы

Используются действующие планы, учёт поручений, сведения о проверках и расследованиях, программы развития и корпоративные матрицы рисков. Не нужно дублировать их ради отдельного «портфеля безопасности». Нужно связать сведения настолько, чтобы руководитель видел обязательства и мог сопоставить их с возможностями команды.

Организация такого учёта и получение из него сопоставимых сведений рассматриваются в главе 11. Здесь эти сведения нужны для выбора приоритетов и распределения ресурсов.

Учебный пример: один аналитик и несколько обоснованных запросов

Ситуация вымышленная.

Аналитик безопасности поддерживает действующие отчёты и выполняет запросы проверяющих. После диагностики предложено создать аналитический контроль дополнительных соглашений к договорам. Известен один случай необоснованного увеличения стоимости, но масштаб проблемы ещё не установлен. Одновременно требуется проверить основание предстоящего платежа по другому договору.

Все три работы имеют основания. Однако включить их в план недостаточно: поддержку, срочный анализ и разработку предлагают одному исполнителю. Руководитель готовит следующий вариант распределения работы.

Проверка предстоящего платежа

Предлагаемое решение. Первым получить вывод, необходимый до платежа. Специалист безопасности ведёт проверку; аналитик выполняет конкретное сопоставление данных

Что нужно согласовать или проверить. Какие сведения нужны к моменту решения и сколько времени займёт именно аналитическая часть

Поддержка действующих отчётов

Предлагаемое решение. Учесть её в загрузке до обещания новых сроков. Повторяющуюся подготовку данных передавать обученным сотрудникам только после проверки возможности такой передачи

Что нужно согласовать или проверить. Кто примет работу, какие действия сможет выполнять и кто останется ответственным за качество

Дополнительные соглашения

Предлагаемое решение. Сначала проверить гипотезу и пригодность данных; пока не обещать готовую систему. Если срочная проверка сдвигает первый анализ, предложить новый срок

Что нужно согласовать или проверить. Можно ли связать договор, изменения, основания и платежи; кто предоставит сведения и объяснит обоснованные изменения цены; согласен ли заказчик с изменением очередности

Владельцы данных участвуют в подготовке сведений, специалисты безопасности проверяют объяснения роста стоимости, аналитик оценивает техническую часть и выполняет согласованный анализ. Обоснованное изменение цены не становится нарушением из-за самого факта дополнительного соглашения.

После согласования у команды есть первоочередной результат, сохранённые текущие обязательства и ограниченный первый этап новой работы. Отложенный вопрос остаётся видимым. Если даже после передачи повторяющихся операций объём обоснованных задач превышает возможности команды, руководитель может показать потребность в усилении: какая работа не выполняется и какой ресурс необходим. Сопровождение будущего контроля включается в эту оценку заранее.

10.7. Признаки качества планирования

План пригоден для работы, если:

• приоритеты объясняются задачами бизнеса и сведениями о рисках, а не только настойчивостью заказчиков;

• текущие обязательства, поддержка инструментов и развитие учитываются вместе;

• объём работы соотнесён с доступным временем и компетенциями конкретных участников;

• ресурс других подразделений согласован, а существенные зависимости учтены в сроках;

• по отложенным вопросам понятны последствия и условия возвращения;

• результаты проверок и испытаний могут изменить дальнейший план;

• существенные изменения обязательств согласуются с теми, кто вправе их принять.

Практическая проверка — выбрать одну новую задачу и назвать, кто начнёт её выполнять, что этот человек делает сейчас и какое решение потребуется по его действующей работе. Если на последний вопрос нет ответа, выполнимость плана ещё не подтверждена.