Полная версия:
ESBOK. Экономическая безопасность бизнеса. Свод практических знаний
ESBOK. Экономическая безопасность бизнеса. Свод практических знаний
От автора
«Сделай, чтобы было хорошо и безопасно». Примерно с таким поручением нередко приходит в компанию руководитель безопасности. В этой фразе помещается многое: чтобы не воровали, не срывались поставки, сотрудники работали честно, а собственнику было спокойно. Только представление о том, как этого достичь и что считать результатом, у каждого своё.
У нашей профессии есть странная особенность. Людей нанимают, создают подразделения, выделяют бюджеты, ждут вполне реальной пользы. Но даже коллегам порой непросто договориться, что именно входит в экономическую безопасность. Для одного это проверки контрагентов, для другого — расследования, для третьего — согласование всего, что проходит через компанию. И каждый может привести примеры, почему его подход работает.
Я много раз возвращался к этому вопросу в работе, на форумах и на занятиях. Особенно когда у руководителя и его службы вроде бы всё благополучно, а бизнес не очень понимает, за что он платит. Проверки идут, заключения пишутся, нарушения выявляются. А что изменилось для компании? Этот вопрос быстро делает разговор предметным.
Мне самому понадобилось время, чтобы научиться на него отвечать.
Я пришёл в корпоративную безопасность из подразделений МВД, занимавшихся налоговыми и экономическими преступлениями и противодействием коррупции. Умение разбираться в обстоятельствах, проверять версии, находить документы и восстанавливать действия людей очень помогало. Но в компании пришлось учиться ещё и понимать сам бизнес: как возникает потребность, кто принимает решение, как движутся деньги и материалы, где появляется возможность для злоупотребления.
Потом были «Северсталь» и НЛМК. Предметная работа в логистике, проекты, развитие функции безопасности. В НЛМК я прошёл путь от главного специалиста до начальника управления, которое объединяло работу с рисками корпоративного мошенничества, бизнес-анализ, аналитику данных и управление проектами. Многие решения приходилось искать вместе со снабжением, производством, логистикой, ИТ и другими подразделениями. Именно в такой совместной работе становилось понятно, какие наши требования помогают, какие создают лишнюю нагрузку и чего мы вообще не замечали раньше.
Очень многое дали аудиты функций безопасности в разных компаниях. Приходишь в другую отрасль, видишь непривычные процессы, знакомишься с людьми — и снова встречаешь знакомые вопросы. За что отвечает безопасность? Почему выбран именно этот участок? Что происходит после проверки? Кто должен выполнить рекомендации? Иногда ресурсов немного, а работа организована толково. Иногда людей и инструментов достаточно, но значительная часть усилий уходит на действия, пользу которых трудно объяснить.
Я всё больше убеждался: отдельного удачного расследования, сильного сотрудника или дорогой системы недостаточно, чтобы работа стала устойчивой. Нужно связать между собой задачи бизнеса, существенные риски, возможности команды и конкретные действия. А потом ещё проверить, что получилось. Звучит просто. На практике именно эти связи часто и теряются.
Сейчас я консультирую компании по вопросам экономической безопасности, провожу аудиты функций безопасности и помогаю их развивать. Преподаю в НИИ психологии поведения человека и веду авторскую программу «Экономическая безопасность: практика управления рисками и противодействия мошенничеству». Также я вхожу в наблюдательный совет Международной ассоциации корпоративной безопасности (ICSA). Практическая работа, занятия и профессиональные обсуждения позволяют постоянно сопоставлять свой опыт с тем, как работают коллеги в других компаниях.
На занятиях часто звучит знакомый запрос: «А можете дать положение о службе безопасности? Или какой-нибудь регламент, чтобы взять за основу?» Поделиться документом несложно. Но за каждой его строчкой стоят чьи-то задачи, полномочия, системы и договорённости. Перенесёшь текст в другую компанию — и далеко не всё будет работать. Гораздо полезнее разобраться, почему решение устроено именно так и что из него подходит тебе.
Из этих разговоров и выросла книга. Мне не хватало собранных в одном месте практических знаний о том, как организовать экономическую безопасность и объяснить её работу бизнесу. Есть законодательные требования, профильное образование, методы смежных дисциплин, корпоративные документы. Но из них ещё нужно собрать понятный способ действовать в конкретной компании. Значительную часть этого пути каждый проходит заново: через собственные ошибки, опыт коллег и удачные находки.
В этой книге я собрал практический подход к работе экономической безопасности: как определить задачи функции, разобраться в рисках бизнеса, организовать контроль и использовать результаты проверок для изменений. В компании с несколькими специалистами и в большой группе будут разные возможности и разные решения. Важно понимать основания своего выбора и последствия для бизнеса.
С примерами из отдельных процессов та же история. В книге много промышленной практики, потому что это существенная часть моего опыта. Но я хотел показать ход мысли: от непонятного отклонения к проверяемой версии, от установленной причины к изменению процесса. Конкретный набор контролей читателю всё равно предстоит собирать под свою компанию.
Со мной можно и нужно спорить. Если какой-то тезис не сходится с вашим опытом, стоит разобраться, где различаются условия, что мы упустили и почему получили другой результат. Для меня это нормальный профессиональный разговор. Без него мы рискуем годами повторять привычные действия только потому, что когда-то нас так научили.
Мне хочется, чтобы эта книга помогла коллеге увереннее организовывать свою работу, а руководителю бизнеса — яснее понимать, чего ждать от безопасности и как с ней взаимодействовать. Чтобы привычное «мы обеспечиваем безопасность» можно было объяснить по существу: какой риск мы рассматриваем, что делаем и что в итоге меняется в компании.
Ради такого разговора и стоило собрать этот опыт в книгу.
Никита Лисенков
Как пользоваться книгой
Книга посвящена работе экономической безопасности компании. В центре внимания — корпоративное мошенничество: где возможны злоупотребления, как их предупредить и выявить, как проверить обстоятельства и что изменить по результатам работы. Этот подход требует знания бизнеса и совместной работы с владельцами процессов и профильными специалистами.
Книга прежде всего адресована руководителям и специалистам экономической безопасности.
• Руководителям безопасности— чтобы определить задачи и полномочия функции, выбрать приоритеты, организовать работу команды и оценивать её результат.
• Практикующим специалистам— чтобы разбираться в бизнес-процессах, проверять версии, оценивать контроли и готовить обоснованные предложения для бизнеса.
• Собственникам и руководителям бизнеса— чтобы понимать, каких результатов ждать от безопасности, какие условия ей нужны для работы и как оценивать её вклад.
Книгу можно читать последовательно или обращаться к отдельным главам по своей задаче.
• Выстраиваете или пересматриваете работу безопасности?Начните с глав 1–13: задачи, полномочия, приоритеты, команда и оценка результатов.
• Разбираетесь в конкретном бизнес-процессе?В главах 14–15 описан общий подход к анализу процесса и разработке контролей. В главах 16–25 — его применение в отдельных направлениях бизнеса.
• Проверяете информацию о возможном нарушении?Обратитесь к главам 26–30: получение информации, проверка гипотез, анализ данных, расследование и дальнейшие изменения. Само расследование разобрано в главе 29.
Примеры показывают профессиональный выбор в определённых условиях. Перед применением решения в своей компании важно разобраться в устройстве процесса и полномочиях участников, проверить, есть ли подходящие данные и необходимые ресурсы, оценить стоимость. Реальная практика и вымышленные учебные ситуации обозначаются отдельно. Приложения помогают перейти от поручения к сообщению о результате, от риска к контролям и от задач к профилям команды.
В этой версии книги каждая строка таблицы представлена отдельным блоком. В матрице рисков и контролей сначала выделено название поля, под ним даны подсказка по заполнению и учебный пример. В каталоге функций и профилях блок начинается с названия задачи, дальше идут действия и ожидаемый результат.
Часть I. Основания работы экономической безопасности
Глава 1. Экономическая безопасность как функция бизнеса
1.1. Назначение и область применения
Эта книга посвящена работе экономической безопасности в компании. В центре внимания — сценарии корпоративного мошенничества в бизнес-процессах: как обнаруживать возможности злоупотребления, предупреждать и выявлять их, проверять возникающие подозрения и менять условия, позволяющие нарушениям повторяться. Для этого безопасность разбирается в работе бизнеса, взаимодействует с владельцами бизнес-процессов и привлекает нужную экспертизу.
Когда руководитель компании спрашивает, зачем ему служба безопасности, перечень проверок и расследований объясняет только часть её работы. Ему нужно понимать, где возможны злоупотребления, что сделано для их предупреждения и выявления и где требуется его решение. Руководителю безопасности предстоит связать профессиональную работу своей команды с этими вопросами.
Эта глава помогает определить назначение функции экономической безопасности: какие интересы бизнеса она защищает, какие задачи выполняет и как взаимодействует с владельцами процессов. Её полезно открыть при создании или пересмотре функции, смене руководителя, изменении бизнеса и обсуждении ожиданий заказчика. Те же основания нужны специалисту, который уточняет своё участие в конкретной задаче, и HR, который подбирает людей под эту работу.
Экономические последствия возникают в любой части бизнеса. Однако падение продаж, неудачная инвестиция или поломка оборудования сами по себе ещё не определяют задачу безопасности. Для её постановки нужно назвать рассматриваемый риск, профессиональный вопрос и ожидаемый вклад функции. Это позволяет распределять работу между участниками и соотносить ответственность с полномочиями и компетенциями.
Кадровая безопасность, физическая защита, информационная безопасность и непрерывность деятельности рассматриваются в связи с этой задачей. Например, сведения о доступе и перемещении имущества могут помогать проверке обстоятельств, а ограничения доступа — предупреждать злоупотребления. Устройство инженерной защиты, технические методы ИБ и управление непрерывностью остаются предметом соответствующих дисциплин. Организационное объединение направлений зависит от компании: название службы не определяет состав задач специалиста.
Далее слова «безопасность» и «функция безопасности» используются как сокращение для функции экономической безопасности в описываемой задаче. Когда речь идёт о более широкой корпоративной функции или другом направлении защиты, это оговаривается отдельно.
1.2. Ожидаемые результаты
Применив положения главы, заказчик и руководитель функции смогут описать её назначение для своей компании, определить основные области участия и договориться о результатах. Такое описание связывает экономические интересы, риски, профессиональные задачи, полномочия и взаимодействие с другими участниками.
Договорённости закрепляют в согласованном документе: положении о функции, описании её назначения и ответственности или ином принятом в компании формате. Обсуждение с заказчиком помогает выработать договорённость; письменная фиксация делает её доступной участникам и сохраняет при смене руководителей. Качество этого документа определяется тем, помогает ли он распределить реальные задачи: что делает безопасность, кто принимает решение, кто меняет процесс и как проверяется результат. Общая формулировка «обеспечивать экономическую безопасность компании» оставляет эти вопросы открытыми.
1.3. Основные понятия и принципыБезопасность как непрерывный процесс
Экономическая безопасность бизнеса в этой книге — непрерывный процесс работы с рисками, затрагивающими экономические интересы компании, направленный на поддержание этих рисков в пределах, приемлемых с учётом риск-аппетита компании.
Этот процесс требует совместной работы руководства, владельцев бизнес-процессов, безопасности и других профильных функций. Функция экономической безопасности выполняет в нём определённую профессиональную часть, прежде всего связанную со сценариями корпоративного мошенничества и контролями, которые ограничивают такие риски. Её предмет раскрывается ниже; общее определение не возлагает на службу безопасности управление всеми рисками, имеющими экономические последствия.
Бизнес меняет продукты, поставщиков, технологии и порядок работы. Вместе с ним меняются риски и условия применения контролей. Поэтому однажды провести проверку, утвердить регламент и считать задачу обеспечения безопасности завершённой невозможно.
На определённую дату можно оценить текущую ситуацию: какие риски выявлены, какие контроли действуют, насколько подтверждена их работа и какой риск остаётся. Вывод относится к известным условиям и доступным сведениям. При изменении этих условий его предстоит пересмотреть. Отсутствие выявленных нарушений также требует интерпретации: оно может быть связано с работающей профилактикой, ограниченным охватом наблюдения или недостаточностью данных.
Ключевая специализация функции экономической безопасности в этой книге — работа со сценариями корпоративного мошенничества в бизнес-процессах:
• выявлять возможности злоупотребления;
• проверять соответствующие версии;
• совместно с владельцами процессов разрабатывать и проверять меры предупреждения и выявления;
• проводить проверки и расследования;
• использовать их результаты для совершенствования контролей.
В этой книге «корпоративное мошенничество» обозначает профессиональную область работы с умышленным обманом и злоупотреблениями, причиняющими вред экономическим интересам компании. Так здесь обозначен предмет работы; это не заменяет правовую квалификацию конкретного действия.
Любой риск корпоративной матрицы полезно проверить на возможный сценарий корпоративного мошенничества: могут ли намеренные действия вызвать событие, увеличить его последствия или скрыть произошедшее? Ответ требует знания процесса. Такая постановка не означает, что каждый риск содержит мошенничество или каждый инцидент имеет умышленную причину. Экспертиза безопасности состоит в способности сформулировать содержательную версию и проверить её, сохраняя альтернативные объяснения.
По внешним признакам потери бывает трудно отличить злоупотребление от ошибки или системного недостатка процесса. Поэтому проверка может выявить организационную проблему без подтверждения корпоративного мошенничества. Её передают владельцу процесса и соответствующим специалистам для решения, сохраняя согласованные обязательства безопасности. Проверка может не подтвердить версию мошенничества. Если такой вывод обоснован, это тоже профессиональный результат.
Участие безопасности, бизнеса и контрольных функций требует согласованного распределения работы. Полномочия и ответственность участников раскрыты в главе 3.
Экономические интересы, риски и контроли
Экономический интерес задаёт предмет защиты. Например, компании нужно получить оплаченный объём поставки, сохранить имущество, обоснованно использовать ресурсы или принимать решения на достоверных данных. Описание интереса помогает перейти от общего пожелания «усилить безопасность» к конкретной работе.
Для работы с экономическим интересом определяют, что может помешать его достижению и какие контроли уже ограничивают соответствующий риск. Связь процесса, риска и контроля разобрана в главе 2; точные значения терминов и их происхождение приведены в глоссарии.
Контрольная среда включает условия, в которых эти действия выполняются: распределение ответственности, полномочия, компетенции, доступность информации и отношение руководителей к соблюдению установленного порядка. Даже правильно спроектированный контроль может не работать, если его исполнитель не получает данных или руководитель регулярно разрешает обход процедуры без разбора последствий.
Приемлемость риска
Риск-аппетит — величина и тип риска, которые организация готова принимать или сохранять.Это рабочая русская формулировка по ISO 31073:2022, п. 3.3.27; подробнее — в глоссарии. Он выражает готовность компании принимать риск при достижении своих целей. Для конкретных решений этот ориентир уточняется через ограничения, критерии и полномочия. Там, где они ещё не определены, руководитель безопасности помогает сформулировать вопрос и вынести его на соответствующий уровень управления.
Контроли не обнуляют риск автоматически. После их применения остаются ограничения охвата, неопределённость и возможность неблагоприятного события. Заказчику нужны основания, чтобы оценить приемлемость этого оставшегося риска: что проверено, какие контроли работают, чего мы пока не знаем и при каких обстоятельствах решение придётся пересмотреть.
Принятие риска происходит в пределах полномочий и применимых обязательных требований. Оно не подтверждает качество слабого контроля и не заменяет отсутствующую экспертизу. Если решение выходит за полномочия заказчика, вопрос передаётся тому, кто вправе его принять. Молчание в ответ на доклад не следует считать согласованным принятием риска.
Решение фиксируется в корпоративной матрице рисков либо в связанном с ней реестре решений: кто и когда принял риск, на каких основаниях, при каких действующих контролях и условиях, кто наблюдает за ним и когда требуется пересмотр. Если компания использует иной формат реестра рисков, сохраняется та же прослеживаемая связь. Принятый риск остаётся в матрице и под наблюдением. Такой порядок соответствует принципу мониторинга и пересмотра принятых рисков в ISO 31073:2022, п. 3.3.31; способ корпоративной фиксации предложен в этой книге.
Новый инцидент, связанный с этим риском, запускает его повторный анализ и оценку: что произошло, почему действующие контроли не предотвратили событие или не ограничили последствия и сохраняются ли основания прежнего решения. Ранее неучтённый сценарий описывают и включают в дальнейшую оценку риска. Переоценка не означает автоматического повышения уровня риска: вывод зависит от фактов, условий и фактической работы контролей. По её результату пересматриваются контроли или условия принятия риска, сведения в матрице и дальнейший мониторинг.
1.4. Содержание работы и профессиональные решенияОпределить предмет участия
Работа начинается с понимания бизнеса: как создаётся продукт, движутся ресурсы, принимаются решения и исполняются обязательства. Затем совместно с владельцами процессов определяются риски и задачи, в которых требуется профессиональная работа безопасности.
Профилактическая работа возможна до первого инцидента. При запуске закупочной процедуры безопасность может вместе с бизнесом оценить возможности необоснованного ограничения конкуренции, подмены сведений или обхода согласований и предложить меры. Для такой задачи не требуется заранее найти нарушителя.
Участие безопасности в конкретной ситуации зависит от поставленных перед подразделением задач и предоставленных ему полномочий. При производственном отклонении безопасность может проверять достоверность сведений, соблюдение согласованного порядка и обстоятельства принятия решений. Техническую пригодность материала оценивают профильные специалисты. Их заключения используются в общей работе; профильные специалисты сохраняют ответственность за свои оценки.
Поддерживать цикл управления рисками
В книге используется последовательность «идентификация → анализ и оценка → управление → мониторинг и контроль». Слово «управление» внутри этой последовательности обозначает выбор и реализацию мер воздействия на риск. Весь цикл также относится к управлению рисками.
Идентификация
Основной профессиональный вопрос. Что может произойти в процессе, почему и с какими последствиями?
Рабочий результат. Описанные сценарии риска, связанные с операциями и интересами бизнеса
Анализ и оценка
Основной профессиональный вопрос. Насколько риск значим с учётом доступных данных и действующих мер?
Рабочий результат. Обоснованная оценка, ограничения вывода и приоритет работы
Управление
Основной профессиональный вопрос. Какое решение и какие действия нужны?
Рабочий результат. Выбранные меры либо обоснованное принятие риска; владельцы, ресурсы, сроки и условия проверки
Мониторинг и контроль
Основной профессиональный вопрос. Выполняются ли меры, дают ли результат и изменились ли исходные условия?
Рабочий результат. Подтверждённый результат либо основания пересмотреть оценку, меру или решение
Результаты мониторинга используют для уточнения сценариев риска и пересмотра их оценки. Внеплановый пересмотр может потребоваться после изменения процесса, отказа контроля, существенного инцидента или появления новых данных. Периодический пересмотр позволяет проверить вопросы, которые не проявились отдельным событием.
Этот цикл не требует заново согласовывать каждую штатную операцию. Повторяемые действия выполняются по установленному порядку. Существенная неопределённость, выход за согласованные условия или конфликт решений становятся основанием для дополнительного обсуждения.
Готовить результат, на основании которого можно принять решение
У работы безопасности есть исходные сведения, повторяемые операции, профессиональное суждение и результат. Повторяемость помогает сохранять качество; глубина анализа, методы и форма представления адаптируются к задаче.
Интеллектуальным продуктом могут быть установленные обстоятельства, оценка риска, проверенная гипотеза, варианты управленческого решения или разработанный способ контроля. Их ценность зависит от достаточности оснований и возможности использовать результат. Фраза «рекомендуется усилить контроль» мало помогает, если не объясняет, какое действие предлагается, кто его выполняет и что должно измениться.
В работе различают три результата:
• профессиональная работа выполнена;
• решение реализовано;
• изменение риска подтверждено.
Между ними могут пройти недели или месяцы. Если безопасности поручили реализовать мероприятие, подготовка справки ещё не означает выполнения поручения. Если внедрение поручено владельцу процесса, его ответственность и последующая проверка сохраняются отдельно от завершённой проверки безопасности.
Возвращать результаты расследования в процесс
Расследование позволяет установить обстоятельства случая и получить основания для дальнейших решений. Его результаты также помогают обнаружить ранее неизвестный сценарий риска, проверить аналогичные операции и понять, почему контроли не сработали.
Учебный пример. Все обстоятельства вымышлены.Компания установила, что сотрудник подтверждал поступление товара, который фактически не был принят. После кадрового решения работу передали другому человеку. Порядок приёмки и основания оплаты остались прежними: один сотрудник по-прежнему мог подтвердить поступление без сопоставления с независимыми сведениями. Разбирательство по этому случаю завершилось, но возможность повторения сохранилась.
При работе с процессом безопасность и его владелец выясняют, где и на каком основании подтверждается поступление, какие данные доступны для сопоставления и как рассматриваются расхождения. Затем выбирают подходящую меру: например, независимое подтверждение фактической приёмки перед оплатой с определённым порядком разрешения исключений. Конкретный способ зависит от процесса и доступных данных; дополнительная подпись без самостоятельной проверки проблему не решает.
После внедрения проверяют, подтверждают ли фактическую приёмку, принимают ли решения по обнаруженным расхождениям и не появился ли обходной путь. Также оценивают, как контроль влияет на сроки работы и обоснованные исключения. Только по этим сведениям можно судить об изменении риска. Само отсутствие нового выявленного случая для такого вывода недостаточно.
Задача развития функции — уменьшать возможности реализации рисков и повторения известных сценариев. Число расследований само по себе не показывает зрелость: рост может означать лучшее выявление, снижение — как результат профилактики, так и ухудшение выявления нарушений. Решение начать необходимое расследование принимается по обстоятельствам случая.
