ESBOK. Экономическая безопасность бизнеса. Свод практических знаний

2.7. Проверка результатов

В рабочем обсуждении и в докладе руководителю различают следующие уровни результата.

Профессиональная работа выполнена

Что проверяем. Процесс и версии разобраны в согласованном объёме; ограничения названы

Основание вывода. Материалы анализа, источники сведений, проверенные версии и заключение

Решение принято

Что проверяем. Выбран вариант действия, определены полномочия, исполнители и сроки

Основание вывода. Зафиксированное решение и его связь с риском

Контроль внедрён и исполняется

Что проверяем. Процедура работает в нужный момент и с оговорённым охватом, по отклонениям принимаются решения

Основание вывода. Проверенные операции, записи исполнения, разбор исключений

Есть основания судить о влиянии на риск

Что проверяем. Возможность сценария или его последствия изменились; оставшиеся ограничения понятны

Основание вывода. Сопоставимые данные до и после изменения, проверка механизма, учёт иных причин изменений

Запись об исполнении должна позволять восстановить существенные действия. Подпись может подтверждать согласование, но сама по себе не показывает, какие объёмы сравнивались. При выборочной проверке указывают период, состав выборки и пределы вывода; отсутствие недостатков в ней не означает проверку каждой операции процесса.

Контроль оценивают и со стороны бизнеса: не создаёт ли он неприемлемых задержек, дублирования или зависимости от единственного исполнителя. Если из-за избыточного числа ложных тревог проверки начинают пропускать, это влияет на надёжность контроля.

Снижение числа выявленных отклонений требует объяснения: улучшился процесс, уменьшился объём операций или ухудшилось выявление. Сумма платежей, приостановленных до выяснения обстоятельств, также не равна предотвращённому ущербу. Денежный эффект требует отдельного обоснования; подробнее это рассматривается в главе об оценке работы и эффекта.

Глава 3. Полномочия и ответственность

3.1. Назначение и область применения

Глава помогает договориться о том, какую работу выполняет экономическая безопасность, какие полномочия ей для этого нужны и как распределяется ответственность между ней, бизнесом и другими контрольными функциями.

Общая формулировка «участвовать в обеспечении безопасности» не даёт ясного понимания, что именно вправе делать сотрудник для защиты активов. Может ли он запросить документы, привлечь специалиста другого подразделения, организовать расследование, предложить изменение контроля? Кто рассматривает его выводы и принимает решение? Если ответы появляются только при возникновении проблемы, даже обоснованную задачу могут отложить из-за спора о полномочиях.

Основные читатели главы — руководитель функции безопасности и руководитель бизнеса. Материал применим при создании функции, уточнении её задач, согласовании взаимодействия контрольных служб и распределении работы внутри команды. Специалисту он помогает понимать пределы поручения, а HR — связывать должность с реальными задачами и результатами.

3.2. Ожидаемые результаты

Результат — согласованное распределение работы, в котором для значимых задач определены исполнитель, ответственный за результат, необходимые участники и получатели информации. Оно закрепляется в положении о функции, регламенте бизнес-процесса, матрице взаимодействия и связанных с ними должностных документах. Необязательно создавать новый комплект документов: сначала следует проверить, какие ответы уже есть в действующих.

По этому распределению можно установить:

• какую часть работы с рисками корпоративного мошенничества выполняет безопасность;

• какие сведения, ресурсы и содействие она вправе получать;

• кто организует расследование, кто участвует в нём и кто рассматривает результат;

• кто вводит изменения в бизнес-процесс и кто проверяет работу контролей после изменений;

• кому передаётся вопрос, если участники не могут принять решение в пределах своих полномочий.

Для повторяющейся работы распределение сохраняется независимо от личных договорённостей конкретных сотрудников. При смене руководителя коллегам не приходится заново выяснять, кто предоставляет сведения и кто отвечает за выполнение принятых решений.

3.3. Разделение работы между бизнесом и контрольными функциями

Экономическая безопасность рассматривает бизнес-процессы прежде всего через возможность корпоративного мошенничества и защищённость от него. Её экспертиза нужна, чтобы выявлять соответствующие сценарии, проверять обстоятельства, оценивать достаточность и исполнение контролей, предлагать изменения и проводить расследования. Потери или отклонения сами по себе ещё не устанавливают мошенничество: при разборе проверяются и другие причины.

Эта работа входит в общий цикл управления рисками компании. В рассматриваемой модели функции разделены следующим образом.

Бизнесвладеет бизнес-процессом и присущими ему рисками, организует работу и проводит самооценку контролей. Участие безопасности в анализе или расследовании сохраняет за бизнесом ответственность за управление своим бизнес-процессом.

Безопасностьвыполняет предметную работу с рисками корпоративного мошенничества, оценивает соответствующие контроли и предлагает их усиление. В расследовании, которое ведёт безопасность, она организует работу и отвечает за её результат.

Функция управления рисками и внутреннего контроляподдерживает общую методологию и матрицу рисков и контролей, участвует в изменении бизнес-процессов и оценивает ключевые контроли. Далее в таблице эта функция обозначена «Риски и ВК».

Внутренний аудитпроводит независимую и объективную оценку, даёт рекомендации и предоставляет консультации по запросу. Его участие в отдельных задачах также отражено в матрице.

В матрице RACI ниже представлена авторская интерпретация распределения ролей, основанная на опыте работы в промышленных компаниях. Модель может корректироваться с учётом специфики компании и задач, возложенных на каждую функцию. Главный принцип — роли R, A, C и I явно распределены, обсуждены и понятны всем участникам. Договорённость закрепляется в согласованной матрице взаимодействия, регламенте или другом действующем документе, к которому участники могут обратиться при организации работы и разрешении разногласий.

Как читать обозначения

R — Responsible:выполняет соответствующую работу. A — Accountable:отвечает за результат указанной работы или этапа, утверждает либо проверяет его в пределах закреплённых полномочий. Сочетание A/Rозначает совмещение этих ролей.

C — Consulted:консультирует, предоставляет экспертизу по запросу. I — Informed:получает информацию.

R* обозначает исполнительское участие функции управления рисками и внутреннего контроля или внутреннего аудита в рамках годового плана либо отдельного поручения. Звёздочка уточняет основание участия; она не меняет значение R.

В некоторых ячейках указано несколько обозначений: например, R*/C/I. Матрица сохраняет предусмотренные формы участия. Для конкретной работы следует уточнить, какие действия поручены функции, по каким вопросам нужна её экспертиза и какие результаты ей направляются. Само сочетание букв такого задания не заменяет.

Распределение по циклу управления рисками

В таблице работа распределена по этапам цикла управления рисками. «Реагирование» раскрывает действия по управлению рисками, а «Мониторинг и пересмотр» — наблюдение за выполнением и результатом с последующей корректировкой.

Идентификация

Работа. Методология идентификации (единые шаблоны и опросники; реестр риск-факторов, событий, последствий и мероприятий)

Бизнес. I

Безопасность. I

Риски и ВК. A / R

Внутренний аудит. C

Идентификация

Работа. Идентификация рисков

Бизнес. A / R

Безопасность. R

Риски и ВК. R / C

Внутренний аудит. R* / C

Анализ и оценка

Работа. Методология анализа и оценки рисков (оценка вероятности и влияния, оценка эффекта существующих мероприятий)

Бизнес. I

Безопасность. I

Риски и ВК. A / R

Внутренний аудит. C

Анализ и оценка

Работа. Анализ и оценка рисков

Бизнес. A / R

Безопасность. R

Риски и ВК. R / C

Внутренний аудит. R* / C

Реагирование

Работа. Разработка и внедрение мероприятий и контролей

Бизнес. A / R

Безопасность. R

Риски и ВК. R* / C

Внутренний аудит. C / I

Реагирование

Работа. Расследование, проводимое функцией безопасности

Бизнес. R

Безопасность. A / R

Риски и ВК. R* / C / I

Внутренний аудит. R* / C / I

Реагирование

Работа. Формирование матрицы рисков и контролей

Бизнес. R

Безопасность. R

Риски и ВК. A

Внутренний аудит. I

Мониторинг и пересмотр

Работа. Мониторинг выполнения мероприятий, исполнения контролей и отчётность

Бизнес. A / R

Безопасность. R

Риски и ВК. R*

Внутренний аудит. R*

Мониторинг и пересмотр

Работа. Оценка эффективности контролей (достаточность и их исполнение в части риска корпоративного мошенничества), отслеживание исполнения мероприятий бизнесом, отчётность

Бизнес. I

Безопасность. A / R

Риски и ВК. I

Внутренний аудит. I

Мониторинг и пересмотр

Работа. Оценка эффективности контролей (достаточность и их исполнение в части ключевых контролей процесса), отслеживание исполнения мероприятий бизнесом, отчётность

Бизнес. I

Безопасность. I

Риски и ВК. A / R

Внутренний аудит. I

Мониторинг и пересмотр

Работа. Независимая оценка эффективности контролей, отслеживание мероприятий, отчётность

Бизнес. I

Безопасность. I

Риски и ВК. I

Внутренний аудит. A / R

Мониторинг и пересмотр

Работа. Совершенствование и пересмотр процессов

Бизнес. A / R

Безопасность. R

Риски и ВК. R / C

Внутренний аудит. C / I

3.4. Что стоит за строками матрицыЕдиная методология и предметная работа

В строках методологии у функции рисков и внутреннего контроля стоит A/R. Она разрабатывает общие правила и отвечает за них. Бизнес и безопасность получают эти правила, аудит предоставляет консультации. Благодаря этому участники используют согласованные подходы к описанию рисков, оценке вероятности и последствий, учёту действующих контролей.

В строках идентификации и оценки распределение другое: бизнес — A/R, безопасность — R. Здесь безопасность уже выполняет работу. Она описывает сценарии корпоративного мошенничества, условия их возникновения и возможности обхода контроля. Это вклад в общую оценку риска бизнес-процесса, за который отвечает его владелец.

Различие хорошо видно и в строке формирования матрицы рисков и контролей: риски и ВК — A, бизнес и безопасность — R. Ответственность за общий инструмент и выполнение предметного анализа распределены между участниками. От безопасности ожидаются содержательные сведения для матрицы, а не ещё одна несогласованная версия оценки тех же рисков.

Расследование

В строке расследования безопасность имеет A/R: ведёт работу и отвечает за её результат. Бизнес имеет R: его участие предполагает исполнение необходимых действий, а не только возможность высказать мнение. Бизнес предоставляет документы, содействует рабочей группе и обеспечивает условия для её работы.

Риски и ВК, а также аудит имеют R*/C/I. Они могут выполнять предусмотренную планом или поручением часть работы, консультировать либо получать информацию. Их участие сохраняет ведущую роль безопасности в этом расследовании. Наличие нескольких исполнителей не означает нескольких независимых руководителей одной работы.

Матрица показывает распределение между функциями. Внутри функции ещё предстоит определить, кто вправе назначить расследование, кто руководит рабочей группой и кто проверяет подготовленные материалы. Буквы A/R не наделяют каждого сотрудника безопасности всем набором полномочий руководителя.

Три предмета оценки контролей

В матрице выделены три самостоятельные строки оценки. Безопасность отвечает за достаточность и исполнение контролей в части риска корпоративного мошенничества. Функция рисков и ВК — за оценку ключевых контролей бизнес-процесса. Внутренний аудит — за независимую оценку.

Такое разделение помогает согласовать предмет работы до начала проверки. Участники могут обращаться к одним документам и операциям, но должны понимать, какой вопрос исследует каждый и какой вывод готовит. Общие данные можно использовать совместно; за обоснованность каждого профессионального вывода отвечает подготовившая его функция.

Отдельно выделена самооценка бизнеса. Владелец бизнес-процесса продолжает следить за исполнением контролей и выполнением мероприятий. Наличие контрольных служб не освобождает его от этой работы.

Возврат к изменению бизнес-процесса

В строке совершенствования бизнес вновь имеет A/R, а безопасность — R. После установления причин нарушения требуется изменить условия, которые его позволили. Безопасность участвует в разработке изменений и оценивает их со стороны риска корпоративного мошенничества. За изменение самого бизнес-процесса отвечает его владелец.

Поэтому расследование и внедрение корректирующих действий — связанные работы с разным распределением ответственности. Заключение может быть подготовлено и принято, а изменение контроля ещё не выполнено. Эти результаты следует отслеживать отдельно.

3.5. Как связать задачу с полномочиями: расследование

На примере расследования можно определить, какие полномочия нужны функции для выполнения её роли и каких из них пока не хватает. Для этого определяют, кто принимает решение о начале работы, кто руководит группой, кто предоставляет сведения и экспертизу, кто рассматривает выводы и кто вводит корректирующие действия.

Здесь рассмотрена организация работы. Подробные методы описаны в главах 27 «Проверка информации и работа с гипотезами», 28 «Данные и аналитическая проверка» и 29 «Внутреннее расследование».

Начать расследование

Что требуется закрепить. Основание, лицо, принимающее решение, предмет и границы работы

Какой результат становится возможен. Понятно, какие обстоятельства исследуются и кто поручил работу

Организовать рабочую группу

Что требуется закрепить. Руководитель, участники, задачи, сроки, привлечение нужных специалистов и ограничения при конфликте интересов

Какой результат становится возможен. Назначен руководитель, задания распределены между участниками

Получить необходимые сведения

Что требуется закрепить. Порядок запроса документов и доступа к ним; обязанность подразделений содействовать в установленном объёме

Какой результат становится возможен. Выводы опираются на проверенные сведения, а ограничения доступа видны руководителю работы

Сформировать и проверить гипотезы, оценить собранную информацию

Что требуется закрепить. Кто определяет направления проверки, распределяет задания, запрашивает уточнения и привлекает профильную экспертизу; кто проверяет обоснованность выводов

Какой результат становится возможен. Различены подтверждённые обстоятельства, опровергнутые предположения и вопросы, которые пока не удалось разрешить

Подготовить заключение

Что требуется закрепить. Требования к фактам, причинам и условиям, обоснованию выводов и предлагаемым действиям

Какой результат становится возможен. Получатель понимает, что установлено и какие решения предлагаются

Рассмотреть результат

Что требуется закрепить. Согласование в пределах компетенций, фиксация разногласий, утверждение либо дополнительная проверка

Какой результат становится возможен. Разногласия рассмотрены, по заключению принято решение: утвердить его или провести дополнительную проверку

Изменить условия возникновения нарушения

Что требуется закрепить. Владелец корректирующих действий, порядок их введения и обратной связи безопасности

Какой результат становится возможен. Выводы расследования переходят в изменения бизнес-процесса и контролей

Руководитель расследования должен иметь право уточнять задания и получать дополнительные сведения. Он также обязан проверить, на чём основан итоговый вывод.

Право запросить сведения имеет практический смысл, когда с ним связана обязанность предоставить их по установленному порядку. Если подразделение не предоставляет нужные документы, руководитель расследования должен видеть, какие обстоятельства из-за этого остаются непроверенными и кому требуется передать вопрос. Формулировка «безопасность вправе запрашивать» сама по себе не решает проблему взаимодействия.

До подключения юристов, HR или других специалистов определяют, какие вопросы они будут решать в пределах своей компетенции. Порядок работы должен позволять зафиксировать особое мнение и рассмотреть необходимость дополнительной проверки. Неразрешённые разногласия сохраняют в материалах до рассмотрения уполномоченным руководителем.

В результате расследования важны не только обстоятельства произошедшего, но и причины, условия и предложения по изменению контрольной среды. В предлагаемой модели руководитель, в чьей области обнаружены нарушения, разрабатывает и вводит корректирующие действия, а безопасность вправе предложить дополнительные меры и получить ответ об их рассмотрении. Здесь непосредственно соединяются строка расследования и последующие строки матрицы.

В этой главе рассматривается организационное распределение работы. Способы получения сведений, обращения с материалами и специальные правовые требования требуют отдельного разбора в главе о расследованиях. Из наличия права организовать расследование нельзя вывести допустимость любого способа его проведения.

Проверка и расследование также не объединяются автоматически. Для них следует определить основания, порядок назначения и оформление результата с учётом назначения каждой процедуры. Матрица содержит строку расследования; распределение для конкретных видов проверок раскрывается соответствующими процедурами компании.

3.6. Как распределить работу внутри безопасности

Внутреннее устройство функции определяется задачами бизнеса и его рисками. Сначала выделяют направления работы, затем решают, какие из них целесообразно объединить, где нужна отдельная специализация и что следует выполнять на местах. Название подразделения само по себе такого распределения не объясняет.

Направления деятельности

Для экономической безопасности основой может стать работа с ключевыми бизнес-процессами: закупками, производством, логистикой, ремонтами, инвестициями и другими значимыми для компании направлениями. Такая специализация позволяет подробно разбираться в операциях, понимать сценарии корпоративного мошенничества и оценивать соответствующие контроли. Состав направлений зависит от бизнеса: одинаковая структура не требуется промышленной группе, торговой компании и небольшой организации.

Наряду с анализом бизнес-процессов выделяются кадровая безопасность, проверки и расследования, аналитика и развитие функции. Работа по этим направлениям может охватывать сразу несколько бизнес-процессов.

Экономическая безопасность ключевых бизнес-процессов

Кто изучает операции, выявляет сценарии корпоративного мошенничества, оценивает контроли и вместе с бизнесом прорабатывает изменения

Кадровая безопасность

Какие задачи закреплены за безопасностью, как они разделены с HR и другими участниками, кто готовит выводы для кадрового решения

Проверки и расследования

Кто принимает работу, организует её, привлекает экспертов, проверяет выводы и передаёт результаты для принятия решений

Аналитика и развитие функции

Кто обеспечивает анализ данных, разработку методологии, совершенствование инструментов и реализацию проектов развития

Эта таблица выделяет предметы работы, а не предписывает создавать четыре подразделения. Например, расследования могут быть отдельной специализацией либо входить в экономическую безопасность. При разделении нужно договориться, в какой момент и с какими материалами работа передаётся расследователям, кто продолжает взаимодействие с владельцем бизнес-процесса и кто сопровождает изменение контролей после завершения расследования.

Физическая и информационная безопасность могут входить в общую функцию безопасности компании. Здесь они учитываются как смежные направления взаимодействия; подробная структура этих направлений не определяет устройство экономической безопасности.

Централизованная экспертиза и работа на площадках

В крупной группе с управляемыми обществами полезно различать бэк-офис — централизованную экспертизу и общие инструменты — и фронт-офис — команды безопасности, работающие непосредственно на площадках. Эти названия описывают способ организации работы.

В центре могут сосредоточиваться методология, анализ ключевых бизнес-процессов, специализированные расследования, аналитика, цифровое развитие, отдельные виды проверки контрагентов и кандидатов. Это позволяет поддерживать общие подходы и использовать компетенции, которые нецелесообразно в полном составе дублировать на каждой площадке.

Команды на площадках взаимодействуют с местным руководством, знают фактическое исполнение операций и обеспечивают работу, требующую присутствия на месте. Они получают и проверяют сведения, проводят закреплённые за ними проверки, участвуют в реализации решений. Их состав зависит от задач конкретного предприятия.

При разделении работы между центром и площадками заранее договариваются о порядке их взаимодействия, зонах ответственности и необходимых полномочиях участников. Центру нужна достоверная информация о местной практике, а площадке — доступная экспертиза и решения, которые можно исполнить в её условиях. Для каждой совместной задачи определяют, кто её ведёт, что делает площадка, что обеспечивает центр и кто разрешает вопрос, выходящий за полномочия местного руководителя безопасности.

Например, централизованный анализ может выявить отклонение, которое невозможно объяснить по данным системы. Тогда команде безопасности на площадке поручают проверить фактические обстоятельства и передать результаты для дальнейшего анализа. В распределении работы следует обозначить и исполнителя этой проверки, и того, кто сопоставит её результат с исходными данными и подготовит итоговый вывод. Это пример применения модели, а не описание отдельного случая из практики.

Административное и функциональное подчинение также закрепляются явно. Работа с руководителем площадки и профессиональное руководство со стороны центра должны быть понятны сотруднику: от кого он получает задачи, кто устанавливает очерёдность, если задачи конкурируют за время и ресурсы, и кто рассматривает результат.