ESBOK. Экономическая безопасность бизнеса. Свод практических знаний

Перед применением опыта другой организации проверяют, как устроен бизнес-процесс, какие полномочия, данные и компетенции доступны и сколько будет стоить выполнение предложенных действий. Регламент конкретной компании показывает один вариант реализации. Книга помогает понять лежащий в его основе метод и определить, что нужно изменить для собственной задачи.

1.5. Роли, полномочия и компетенции

При выполнении каждой задачи полезно различать заказчика, владельца затронутого процесса, ответственного за профессиональную задачу и исполнителя мероприятия. Один человек может совмещать несколько ролей. Это не устраняет потребности понимать, какое решение он принимает в каждой из них.

Заказчик объясняет, какую бизнес-задачу нужно решить, и принимает решения в пределах своих полномочий. Владелец процесса участвует в анализе, объясняет фактическое устройство работы и организует согласованные изменения. Безопасность отвечает за порученную профессиональную часть: метод, проверяемость выводов, обозначение ограничений, своевременный доклад и выполнение порученных ей мероприятий и контролей.

Распределение конкретных действий с аудитом, рисками, комплаенсом, HR, юридической функцией и другими участниками зависит от компании. Чтобы избежать дублирования, согласуют предмет проверки, использование уже полученных сведений и ожидаемый результат каждого участника. При этом самостоятельная профессиональная или независимая оценка сохраняется там, где она необходима: совместный доступ к данным не делает выводы всех функций одинаковыми.

Работа строится в пределах согласованных полномочий и допустимых методов. Вопросы, требующие правовой или технической оценки, передаются соответствующим специалистам. Профессиональное суждение безопасности включает способность определить, где собственной экспертизы недостаточно.

Для выполнения описанной работы нужны умения разбирать бизнес-процесс, формулировать сценарий риска, оценивать сведения, проверять объяснения, проектировать и испытывать контроли и изменения процесса, обсуждать варианты с бизнесом и подтверждать результат. Круг принимаемых решений зависит от роли: специалист работает с конкретной задачей, руководитель организует работу команды, руководитель функции определяет приоритеты и взаимодействие на уровне компании. Подробные профили компетенций строятся на этих действиях, а не на названии должности или предыдущем месте службы.

1.6. Рабочие способы определения назначения функции

Первоначальный разговор можно построить на следующих вопросах:

1. Какие экономические интересы и процессы компании требуют нашего внимания?

2. Какие сценарии риска и неизвестные обстоятельства существенны для решений бизнеса?

3. Какую профессиональную работу выполняет безопасность и какой результат получает заказчик?

4. Кто принимает решения, реализует мероприятия и предоставляет необходимую экспертизу?

5. Как мы проверяем работу контролей и при каких изменениях возвращаемся к оценке?

Ответы позволяют подготовить краткое описание назначения функции. Оно уточняется по мере изучения бизнеса. Для каждого существенного направления важно связать задачу с доступными полномочиями, компетенциями и ресурсом.

Вымышленный пример фрагмента такого описания:«В процессе закупок функция экономической безопасности совместно с владельцем процесса выявляет и оценивает риски злоупотреблений, проверяет существенные обстоятельства выбора контрагентов и исполнения сделок, участвует в разработке контролей. Результаты — обоснованные выводы для решений, проверенные предложения по изменениям и сведения об их фактической работе. Владелец закупочного процесса организует согласованные изменения; безопасность выполняет закреплённые за ней мероприятия и проверки. При изменении процедуры или выявлении нового сценария оценка пересматривается».

Такой фрагмент задаёт содержание работы, но ещё не заменяет конкретного поручения. Для него уточняются охват, срок, результат, ресурс и способ представления — этому посвящена глава 9.

1.7. Проверка результатов применения

Проверять описание функции лучше на конкретных задачах. Заказчик и руководитель рассматривают несколько ситуаций и выясняют, позволяет ли согласованное назначение определить участие безопасности и ожидаемый результат.

Запускается новая закупочная процедура, инцидентов ещё нет

Читатель определяет профилактическую задачу, участников и результат до запуска

После изменения рынка снизилась маржа

Читатель не назначает безопасности всю задачу восстановления доходности; называет конкретный профессиональный вопрос, если её участие требуется

Материал передан в производство до окончания испытаний

Читатель различает проверку порядка принятия решения и техническую оценку пригодности; определяет, кто завершает контроль и реагирует на его результат

После завершённого расследования повторился тот же сценарий

Читатель проверяет назначение, исполнение и достаточность мер, а также изменения условий; не ограничивается поиском нового участника

Эти ситуации являются учебными. Ответ оценивается по связности рассуждения и распределению работы; разные компании могут обоснованно выбрать разные организационные решения.

Описание функции пригодно для применения, если по нему можно назвать предмет работы, результат, владельца решения и границы участия; отличить профессиональный вывод от предположения; определить дальнейшую проверку и условия пересмотра. Отдельно проверяется, не обещана ли ответственность за результат, для которого у функции нет необходимых полномочий, данных или ресурса. Такое несоответствие между ответственностью и возможностями функции обсуждают с заказчиком.

Это проверка ясности назначения функции. Для оценки фактического качества её работы нужны наблюдения за выполнением задач, работой контролей и результатами решений.

Глава 2. Процесс, риск, контроль и результат

2.1. Назначение и область применения

Глава помогает перевести общее поручение «обеспечить безопасность процесса» в предметную работу: определить, где компания может потерять деньги или другие значимые для бизнеса ресурсы, как может возникнуть такая ситуация, что ей препятствует и на каком основании можно судить о результате.

Этот способ нужен при разборе действующего процесса, участии в его изменении, подготовке проверки и выборе корректирующих мер после инцидента. Он применим и к отдельной операции, и к цепочке действий нескольких подразделений. Начинать удобнее с участка, на котором предстоит принять решение: подтвердить объём работ, выбрать контрагента, разрешить платёж, изменить условия сделки.

Основные читатели — специалисты и руководители безопасности, которые вместе с владельцами процессов определяют риски и разрабатывают контроли. Руководителю бизнеса глава позволяет понять, что именно предлагается изменить и какой результат он вправе ожидать.

Эта глава показывает общий ход работы с рисками со стороны экономической безопасности: от понимания бизнес-процесса и возможного сценария корпоративного мошенничества до выбора контроля, проверки результата и пересмотра оценки. При первом чтении важно увидеть связи между этими действиями и понять, какие вопросы предстоит решать. Подробные методы анализа, построения матрицы рисков и контролей, проведения проверок и расследований раскрываются в последующих главах; к общей схеме можно возвращаться при их изучении.

2.2. Ожидаемые результаты

Результат работы — согласованное описание связи между целью процесса, сценарием риска, действующим контролем и решением о дальнейших действиях. Его можно включить в корпоративную матрицу рисков и контролей, рабочую записку или материалы проекта по изменению бизнес-процесса. Если в компании уже ведётся матрица рисков и контролей, результаты анализа безопасности связывают с соответствующими записями в ней. Дополнительный рабочий разбор может раскрывать сценарии корпоративного мошенничества и основания выводов подробнее, но не должен создавать несогласованные оценки одного и того же риска.

По этому описанию читатель должен установить:

• какая операция рассматривается и какой результат бизнеса она обеспечивает;

• что может пойти не так, при каких условиях и с какими последствиями;

• какой сценарий корпоративного мошенничества проверяется и какие другие причины могут объяснить отклонение;

• как работает контроль и чем подтверждается его исполнение;

• что известно об оставшемся риске, какое решение принято и когда его пересмотрят.

На раннем этапе часть ответов может отсутствовать. Тогда указывают, что пока неизвестно, и согласуют, как получить недостающие сведения. Предположение о надёжности контроля не превращается в подтверждение из-за того, что его внесли в матрицу.

2.3. Основные понятия и принципы

Бизнес-процессрассматривается здесь как связанные действия, которые приводят к результату для бизнеса. Для анализа выделяют конкретную операцию: кто её выполняет, какие сведения использует и какой результат получает. Далее используем вымышленный пример оплаты подрядных ремонтных работ; его карта приведена в разделе 2.6. Например, «ремонты» — слишком крупный объект для описания конкретного контроля; «подтверждение объёма выполненных подрядчиком работ перед оплатой» уже позволяет обсуждать способ проверки.

Рискраскрывают через возможное событие, его причины и последствия для цели процесса. Общее определение риска и понятие риск-аппетита приведены в глоссарии. Формулировка «потери при ремонтах» обозначает область внимания, но ещё не объясняет механизм. Для работы полезнее: «Компания может повторно оплатить один и тот же объём работ, если при согласовании нового акта не сопоставляют его с ранее принятыми объёмами».

Сценарий корпоративного мошенничестваописывает, как участник может намеренно использовать возможности процесса в ущерб компании. Это профессиональная гипотеза, а не вывод о виновности человека. Повторное предъявление работ может быть умышленным; похожее расхождение может возникнуть из-за ошибки учёта, корректировки документа или законного разделения работ на этапы. Экспертиза безопасности помогает определить, какие сведения позволят подтвердить или опровергнуть каждое из этих объяснений.

Контроль— мера, которая поддерживает или изменяет риск. В этой главе основное внимание уделяется конкретным контрольным процедурам. ISO 31073:2022, п. 3.3.33, отдельно указывает, что наличие меры не гарантирует предполагаемого изменения риска. ISO 31073:2022. Risk management — Vocabulary — официальная карточка.

Подготовка регламента — мероприятие по организации работы. Сопоставление предъявленного объёма с ранее принятым перед каждым соответствующим платежом — контрольная процедура. У регламента может быть дата утверждения, а у процедуры — начало фактического исполнения, охват и результаты. Эти сведения не заменяют друг друга.

Контроль способен предупреждать отклонение, обнаруживать его или ограничивать последствия. Поздняя проверка может помочь вернуть средства и изменить процесс, но не обеспечивает предотвращение уже совершённого платежа. При выборе меры учитывают, в какой момент ещё можно повлиять на событие.

Оставшийся, или остаточный, риск— риск после применения мер по работе с ним; термин опирается на ISO 31073:2022, п. 3.3.38. В практической оценке следует отличать ожидаемый риск после запланированных изменений от текущего риска при фактически работающих контролях. ISO 31073:2022. Risk management — Vocabulary — официальная карточка.

2.4. Содержание работы и профессиональные решенияУстановить фактический порядок действий

Сначала уточняют цель, начало и окончание рассматриваемого участка процесса. Затем прослеживают несколько операций по документам, данным и объяснениям исполнителей: кто принял решение, на основании чего, что было передано следующему участнику. Регламент задаёт предусмотренный порядок; проверка показывает, как он реализуется, включая исключения и ручные действия.

Границы анализа выбирают под предстоящее решение. Для конкретной задачи не всегда требуется исследовать весь бизнес-процесс, однако нужно установить, откуда поступают сведения для решения и какие действия следуют за ним. Если надёжность выбранной операции зависит от предыдущего этапа, проверяют и эту связь. Иначе можно подробно изучить согласование документа, оставив без внимания достоверность его исходных данных.

При этом отдельно устанавливают, кто выполняет операцию и кто выполняет контроль. Например, подготовка основания платежа и проверка этого основания — разные действия, даже если в компании их поручили одному человеку. Раздельное описание позволяет увидеть самопроверку, зависимость от сведений одного участника и возможный конфликт интересов. Оно не означает, что для каждого действия нужна отдельная должность: распределение выбирают с учётом риска и доступных ресурсов.

Для операции находят используемые документы и системы, а для контроля — сведения, с которыми работает проверяющий, и подтверждение его действий. Акт может показывать, какой объём предъявлен к оплате, но не подтверждать, что его сопоставили с ранее принятыми работами. Нужно понимать, где сохраняется результат такого сопоставления и можно ли восстановить основания решения.

Описать механизм риска и проверить версии

Для каждого значимого сценария выясняют: что может произойти, какие условия это допускают, на каком шаге возникает возможность и как это повлияет на результат бизнеса. Безопасность рассматривает, как эту возможность могут использовать намеренно: обход процедуры, подмену сведений, сговор участников или сокрытие следов операции.

При обнаружении отклонения ищут сведения, позволяющие проверить каждую версию и отличить её от других объяснений. Совпадение названий работ в двух актах само по себе недостаточно: могут совпадать типовые операции на разных объектах. Потребуются связь с заданием, объектом, периодом, фактически принятым объёмом и историей изменений документов. Техническую оценку выполнения ремонта даёт профильный специалист; безопасность проверяет обстоятельства и обоснованность решения в пределах своей компетенции.

Несколько отклонений могут указывать на один механизм. Повторный акт, дополнительное согласование и исправленная запись не становятся автоматически тремя независимыми рисками. Сначала устанавливают их связь. При этом у одной операции могут существовать разные сценарии, для которых нужны разные меры.

Оценить риск и действующий контроль

Оценку выполняют в принятой корпоративной методологии. Безопасность предоставляет сведения о сценариях корпоративного мошенничества, инцидентах, способах обхода и проверенных недостатках контроля. Общие шкалы и правила оценки согласуются с функцией управления рисками, если она выделена в компании.

Для вывода нужны основания: характер и объём операций, возможные последствия, история отклонений, полнота данных и результаты проверки контролей. Отсутствие зарегистрированных случаев может означать отсутствие событий, слабое выявление или неполный учёт. Само по себе оно не доказывает низкий риск.

Когда данных недостаточно, это отражают в выводе вместе с допущениями. Качественная оценка с понятным основанием полезнее точного на вид числа, происхождение которого никто не может объяснить. Приоритет также зависит от времени до решения и обратимости последствий: сведения для завтрашнего платежа и для годового пересмотра процесса нужны в разные сроки.

Оценка риска и оценка контроля отвечают на разные вопросы. Первая показывает значимость возможного события для бизнеса; вторая — насколько контроль соответствует рассматриваемому сценарию и как он исполняется. Изменение процедуры ещё не даёт основания автоматически снизить оценку риска. Сначала проверяют, что изменилось в её работе, затем — как это влияет на вероятность события или его последствия.

Выбрать и внедрить меру

Владелец процесса и профильные специалисты рассматривают варианты: изменить порядок действий, разделить несовместимые полномочия, улучшить исходные сведения, встроить проверку, организовать наблюдение за исключениями. Безопасность оценивает, какие возможности для злоупотреблений сохранятся и как может быть обойдена предложенная мера.

В описании контроля указывают:

• кто его выполняет;

• когда;

• с каким покрытием;

• на основе каких данных;

• как исполнитель действует при отклонении;

• чем подтверждает выполнение.

Формулировка «усилить контроль оплаты» не помогает ни организовать работу, ни проверить её результат. Лучше: «до разрешения платежа сопоставить предъявленный объём с принятыми объёмами по этому заданию; расхождения направить уполномоченному руководителю». Такое описание уже можно проверить на практике.

Выбранную меру проверяют в реальной работе: позволяет ли она обнаружить рассматриваемое искажение, успевают ли участники отреагировать и не создаёт ли она несоразмерных затруднений для бизнеса. Утверждение нового правила ещё не означает изменения риска. Выбор места контроля, его описание, испытание и дальнейший мониторинг подробно рассмотрены в главе 15.

Проверить изменение и вернуть выводы в матрицу

После внедрения проверяют фактическое исполнение и разбирают отклонения. Затем оценивают, изменились ли условия возникновения риска. Утверждение нового порядка подтверждает управленческое решение; результаты проведённых проверок и принятые решения по исключениям дают основания судить о работе контроля.

Принятый риск остаётся в корпоративной матрице или связанном с ней реестре решений. Сохраняются владелец, основания принятия, действующие меры и условия пересмотра. При новом инциденте пересматривают оценку соответствующего риска, работу контролей и исходные допущения. Если обнаружен иной механизм, его дополнительно идентифицируют. Оценку риска не изменяют автоматически: сначала устанавливают, что именно изменилось в понимании его вероятности, последствий и надёжности контролей.

При объединении сведений проверяют сопоставимость данных, местные исключения, обмен результатами и полномочия на изменение общего процесса. Единая форма отчёта ещё не подтверждает одинаковую практику. При совмещении ролей особенно важны проверяемые основания решений и порядок действий в ситуации личной заинтересованности.

2.5. Роли и компетенции

Владелец бизнес-процесса отвечает за его организацию и результат. Владелец риска определяется корпоративной моделью; эти роли могут совпадать, но совпадение не предполагается по умолчанию. Исполнитель контроля выполняет конкретную процедуру. Безопасность проверяет сценарии корпоративного мошенничества и способы обхода контролей, совместно с владельцем процесса предлагает изменения и оценивает, как они повлияют на риски корпоративного мошенничества. Если ей поручено исполнение самого контроля, это закрепляют отдельно. Решение об изменении процесса, ресурсах или принятии риска принимает уполномоченный руководитель. Подробное распределение работы между участниками раскрыто в главе 3.

2.6. Метод и рабочие материалыМатрица рисков и контролей

Матрица рисков и контролей — рабочее представление связей между бизнес-процессами, рисками и контрольными процедурами. В ней можно проследить, какое событие способно повлиять на цель бизнеса, какие условия его допускают, кто владеет риском, какие контроли действуют и на чём основана текущая оценка. Это может быть таблица или связанные записи в корпоративной системе.

Названия документов в компаниях различаются. Термином «матрица рисков» также называют таблицу сочетаний вероятности и последствий, по которой определяют уровень риска. Она помогает оценивать и сопоставлять риски, но сама по себе не описывает сценарии, контроли и принятые решения. В этой главе под корпоративной матрицей понимается содержательная матрица рисков и контролей либо связанный с ней реестр; шкала оценки — отдельный инструмент.

Историю риска и историю контроля сохраняют раздельно, связывая их с операцией и сценарием. Для оценки должно быть видно, какая процедура действовала, чем подтверждено её исполнение и почему изменился вывод о риске. Утверждение нового порядка ещё не даёт основания учитывать снижение риска как достигнутый результат. Матрицу пересматривают при изменении процесса, существенных новых сведениях, инциденте и в плановом порядке.

Универсальной балльной шкалы здесь не задаётся. Используют принятую корпоративную методологию; при её отсутствии критерии вероятности, последствий и приемлемости согласуют с уполномоченными руководителями до сопоставления рисков. Безопасность даёт предметную экспертизу по корпоративному мошенничеству. Порядок заполнения, оценки контролей и сохранения истории разобран в приложении с закупочным примером.

Глубина описания зависит от существенности риска и задачи. Для разового решения достаточно короткого разбора; для повторяющихся операций нужно регулярно обновлять сведения в матрице, сохранять историю пересмотра и указывать исполнителей контролей. Смысл метода сохраняется при любом масштабе: понятен механизм риска, контроль можно проверить, известно, кто отвечает за решение, а выводы учитываются при следующей оценке риска.

Учебная карта одного сценария

Учебная карта показывает, как разобрать один сценарий. На практике этот алгоритм можно использовать при подготовке документов, принятых в компании.

Вымышленный пример.Компания оплачивает подрядные ремонтные работы по подтверждённым объёмам. При сопоставлении актов обнаружено похожее описание работ по одному объекту. Предстоит решить, можно ли оплачивать новый акт и нужно ли менять проверку объёмов. Ни факт двойной оплаты, ни умысел в исходной ситуации не установлены.

Цель и операция

Оплатить выполненные работы в согласованном объёме; участок — подтверждение объёма перед оплатой

Сценарий риска

Один и тот же объём повторно включён в основание платежа; возможное последствие — избыточная оплата

Возможное корпоративное мошенничество и альтернативы

Умышленное повторное предъявление, в том числе при участии сотрудника заказчика; ошибка переноса данных; корректировка акта; разные этапы со сходными названиями

Что уточнить

Идентичны ли объект, задание и фактические объёмы; что уже принято и оплачено; какие исправления и основания существуют

Участники и сведения

Установить, кто готовит основание платежа и кто проверяет его; где находятся задание, история принятых объёмов и сведения об оплате. Конкретное распределение в условии пока не задано

Действующий контроль

Установить, кто подтверждает объём, с какими сведениями его сравнивает и учитывает ли предыдущие акты. По исходному условию работа контроля ещё не проверена

Предлагаемая мера

До разрешения платежа сопоставлять совокупные принятые объёмы с заданием и подтверждениями выполнения; назначить исполнителя, способ разбора расхождений и полномочия на исключения

Подтверждение выполнения контроля

Связанные записи о сопоставлении, использованных документах, расхождениях и принятом по ним решении. Наличие акта само по себе не подтверждает проверку

Дополняющий мониторинг

Можно предложить анализ повторных предъявлений по объекту и заданию. Нужно определить периодичность, кто разбирает выявленное отклонение и какие действия может предпринять; такой анализ не заменяет проверку перед платежом

Что может сохраниться

Подложное подтверждение объёма, сговор, неполные данные или неправомерное исключение могут позволить провести повторную оплату несмотря на предложенную проверку; их существенность ещё предстоит оценить

Решение и следующая проверка

По акту — решение уполномоченного лица после уточнения фактов; по процессу — согласование меры и проверка её работы после накопления оговорённого объёма операций

В примере и контроль перед платежом, и дополняющий мониторинг только предложены. Нельзя записать снижение риска как состоявшийся результат. Дальнейшая проверка может подтвердить достаточность меры, потребовать её изменения или показать, что первоначальная версия повторного предъявления не подтвердилась.

Для нескольких сценариев карту разворачивают в матрицу. Связи сохраняют так, чтобы от риска можно было перейти к контролям, а от контроля — к операциям, которые он охватывает. Один контроль может работать против нескольких сценариев; одному сценарию могут противодействовать несколько контролей. Механическое правило «одна строка — один риск — одна проверка» здесь не помогает.