ESBOK. Экономическая безопасность бизнеса. Свод практических знаний

Проверки и расследования делают эти вопросы особенно заметными, поэтому на них построена значительная часть главы. Но те же вопросы возникают при проверке контрагентов, анализе закупок, кадровой безопасности и разработке аналитических контролей. Доступ к данным для одной задачи не следует автоматически распространять на любую другую задачу безопасности.

5.2. Ожидаемые результаты

При организации работы нужно прояснить следующее.

Определены допустимые действия

Кто вправе выполнять выбранные действия, с какими сведениями и при каких условиях

Обеспечена беспристрастность

Кто проверяет обстоятельства и принимает решения; нет ли у этих людей интереса в определённом исходе

Установлен порядок работы с информацией

Где хранятся материалы, кто имеет доступ, как сохраняются исходные сведения и как передаются результаты

Разделены решения по итогам работы

Что относится к исправлению бизнес-процесса, кадровым мерам и обращению в компетентные органы

Предусмотрено разрешение сомнений

К кому обратиться, если способ действия, доступ к сведениям или участие конкретного человека вызывает обоснованные вопросы

Для этого не обязательно вводить отдельный комплект документов. Значительная часть правил может уже содержаться в положениях о функции, обработке данных, конфликте интересов и внутренних проверках. Задача руководителя — убедиться, что эти правила согласованы и дают исполнителю понятный порядок действий. Устное поручение не восполняет отсутствующее право доступа и не отменяет установленные ограничения.

5.3. Основные понятия и принципы

Полномочия определяются содержанием действия.Сначала нужно понять, что именно предстоит сделать: получить документ, обратиться к сотруднику за пояснениями, выгрузить записи из системы, передать сведения другой организации. После этого определяют основание и условия действия. Общее поручение «разобраться» не отвечает на эти вопросы.

Профессиональная беспристрастностьозначает, что личная заинтересованность, отношения с участниками и ожидания заказчика не определяют ход проверки и её выводы. В главе 4 речь шла о проверке версий. Здесь важна организация самой работы: кто назначает исполнителей, кому они докладывают и что происходит при конфликте интересов.

Конфликт интересовв этой главе — ситуация, в которой личный интерес или связанные с человеком отношения могут повлиять на выполнение его профессиональной задачи. Наличие такой ситуации само по себе не доказывает мошенничество. Но её необходимо раскрыть и оценить до того, как заинтересованный участник повлияет на проверку или решение.

Сведения, полученные по работе, нельзя использовать для личной выгоды, давления на участников или передачи заинтересованным третьим лицам. Это ограничение относится и к сотруднику, который получил доступ правомерно.

Конфиденциальностьпредполагает обоснованный круг получателей и условия обращения со сведениями. Руководителю бизнес-процесса могут быть нужны выявленный недостаток контроля и необходимые изменения, но не все персональные сведения, собранные при проверке. При этом внутреннее ограничение доступа не заменяет оценки предусмотренных законом прав участников и обязанностей компании по предоставлению информации.

Соразмерность действий задачеозначает, что объём собираемых сведений, круг вовлечённых людей и вмешательство в работу компании должны быть объяснимы поставленным вопросом. Желания узнать побольше «на всякий случай» недостаточно, чтобы обосновать сбор сведений.

Принципы независимости, беспристрастности, законности и конфиденциальности сформулированы и в ISO/TS 37008:2023, раздел 4. Здесь они рассматриваются применительно к нашей модели экономической безопасности. Международное руководство помогает организовать работу, но не предоставляет полномочий и не заменяет применимых правовых требований.

5.4. Содержание работы и профессиональные решенияВыбрать допустимый способ действия

При проверке возможного мошенничества безопасность выясняет обстоятельства, оценивает сведения и готовит основания для решений. Однако поручение руководителя не наделяет исполнителя полномочиями государственных органов. Право осуществлять оперативно-розыскную деятельность предоставлено определённым законом оперативным подразделениям; корпоративной службы безопасности в этом перечне нет.

Для практической работы предлагаем проверять не сходство названий, а содержание действия: какие сведения нужны, на каком основании они доступны, кто вправе их получить и каким способом. Например, до применения дисциплинарного взыскания работодатель должен запросить у работника письменное объяснение.

Само слово «объяснение» не превращает корпоративную процедуру в действие следователя. И наоборот: название «служебная проверка» не даёт безопасности права совершать действия, для которых у неё нет полномочий.

Ограничения не исчерпываются запретом самостоятельно проводить оперативно-розыскные мероприятия. При работе с персональными данными нужно учитывать Федеральный закон № 152-ФЗ «О персональных данных»: в частности, цель и правовое основание обработки, соответствие объёма сведений задаче и требования к их защите. Для персональных данных работников дополнительно применяются специальные требования трудового законодательства. Когда основанием обработки служит согласие человека, его оформляют отдельно от других документов и сведений, которые он подписывает или подтверждает.

Применимые требования определяют для конкретной задачи: чьи данные нужны, какие именно, откуда и каким способом их получают, кому передают и как хранят. Помимо названных законов могут действовать иные федеральные законы и принятые на их основании нормативные акты. Поэтому проверка допустимости работы с информацией нужна независимо от того, возникает ли вопрос об оперативно-розыскной деятельности.

Если допустимость метода вызывает сомнение, безопасность формулирует для юридической функции конкретный вопрос до его применения. Для оценки доступа к переписке, записи разговоров или использования средств мониторинга недостаточно назвать систему либо сослаться на принадлежность оборудования компании. Нужно описать цель, сведения, способ получения, круг лиц и предполагаемое использование результата. Этот порядок — предлагаемая профессиональная практика; разрешение на конкретный метод из него не следует.

Изменение системы, состава данных, способа проверки или получателя результата может потребовать повторной оценки условий работы. Однажды согласованный порядок не следует переносить на существенно отличающуюся ситуацию без проверки его применимости.

Проверить беспристрастность участников

До начала проверки руководителю нужно оценить, не связаны ли исполнители и получатели результата с рассматриваемой ситуацией. Имеет значение личная заинтересованность, отношения с участниками, а также собственное участие в решении, которое предстоит проверить. Сотрудник мог действовать добросовестно, но оценка своего прежнего решения всё равно требует особого внимания к беспристрастности.

Предлагаем следующий порядок: участник сообщает об обстоятельствах, уполномоченный руководитель оценивает их влияние и определяет условия дальнейшего участия. Возможны замена исполнителя, исключение из отдельного решения или независимая проверка подготовленного вывода. Решение и его основания фиксируют. Сообщить о конфликте интересов недостаточно, если человек по-прежнему может единолично определять результат в собственных интересах.

Если конфликт затрагивает руководителя проверки или функции, вопрос передают на уровень, который вправе назначить исполнителя и получателя результата без такого конфликта. Необходимый порядок лучше определить заранее. Сам заинтересованный руководитель не должен оставаться единственным лицом, решающим, мешает ли его заинтересованность объективной работе.

Заказчик вправе уточнить задачу и оспорить вывод по существу. Требование исключить подтверждённый факт или представить неподтверждённую версию как установленную — другая ситуация. Исполнитель сохраняет фактическую основу заключения, объясняет разногласие и передаёт вопрос уполномоченному руководителю. Для такой передачи в компании должен существовать рабочий порядок, включая случаи, когда давление исходит от непосредственного начальника.

Определить порядок получения и сохранения сведений

По каждому существенному источнику нужно понимать, какие сведения требуются, как они связаны с задачей, кто вправе предоставить доступ и какие ограничения действуют. Получение информации, её анализ и передача результата — разные действия; допустимость одного не означает автоматически допустимость остальных.

Практически это означает совместную работу безопасности с владельцем системы или документов, юридической функцией и специалистами, отвечающими за защиту информации и обработку персональных данных. Безопасность объясняет, какие сведения и зачем ей нужны; профильные специалисты помогают определить, как допустимо их получить и использовать. Запрос «выгрузить всё по сотруднику» следует заменить описанием нужных операций, периода и обстоятельств, которые предстоит проверить.

Исходные материалы и результаты анализа должны быть различимы. Для значимых документов и выгрузок фиксируют источник, дату получения и исполнителя; при преобразовании данных сохраняют возможность понять, какие действия выполнены. Расчёт, рабочая выборка или пояснение аналитика не должны незаметно подменять исходную запись. Конкретные способы сохранения электронных материалов рассматриваются в главе о расследованиях.

Риск утраты сведений оценивают в начале работы. Если записи могут быть удалены по обычному расписанию или доступ к ним изменится, безопасность совместно с ответственными специалистами определяет допустимый способ их своевременного сохранения. Это не основание самостоятельно расширять доступ или вводить ограничения для работника. Решения о сохранении материалов и мерах в отношении человека обосновывают отдельно.

Ограничить распространение и определить дальнейшее хранение

Получателю передают сведения, необходимые для его задачи, с учётом правовых оснований и принятого в компании порядка доступа. При совместной работе нескольких функций заранее определяют, кому нужны исходные материалы, кому — выводы, а кому — только поручение по исправлению контроля. Такая организация позволяет обмениваться результатами без рассылки полного досье всем участникам.

Рабочие материалы следует размещать в предусмотренном компанией месте хранения с установленным доступом. При передаче внешнему консультанту отдельно определяют состав информации, основание передачи, условия её защиты и порядок возврата или удаления. Сам факт привлечения консультанта не означает, что ему нужен весь накопленный массив.

После завершения задачи должен быть понятен дальнейший порядок обращения с материалами: кто отвечает за хранение, по каким основаниям и срокам оно продолжается, кто принимает решение об уничтожении. Эти условия согласуют с применимыми требованиями и корпоративными правилами. Хранение «на всякий случай» и удаление сразу после выдачи заключения одинаково требуют проверки оснований. При споре о дальнейшем хранении вопрос передают ответственным за эту область специалистам; исполнитель не решает его произвольно.

Обеспечить корректное взаимодействие с людьми

Участие человека в проверке не означает установленного нарушения с его стороны. Сотруднику нужно понятно объяснить цель обращения и предмет вопросов в пределах сведений, которые можно раскрыть. В материалах необходимо отличать его собственные пояснения от интерпретации проверяющего.

Давление, унижение и обещание заранее определённого исхода несовместимы с предлагаемой профессиональной практикой. Нельзя обещать полную тайну обращения, если компания не может её обеспечить, или гарантировать отсутствие последствий в обмен на нужное объяснение. Организация должна предусмотреть защиту участников от давления и возможность сообщить о нём лицу, способному принять меры. Этот подход распространяется на заявителя, проверяемого сотрудника и исполнителя проверки.

Вопросы об ознакомлении человека с материалами, участии представителя и предоставлении копий решают с юридической функцией применительно к конкретной процедуре. Общая отметка о конфиденциальности не даёт универсального ответа на такие вопросы.

Подготовить передачу материалов в правоохранительные органы

Безопасность совместно с юридической функцией готовит описание обстоятельств и систематизирует доступные материалы. Получатель должен понимать, что произошло, какие сведения это подтверждают, откуда они получены и какие вопросы остаются открытыми. Исходные документы сохраняют, происхождение передаваемых копий описывают, установленные обстоятельства отделяют от версий. Качество подготовки не позволяет заранее обещать результат рассмотрения.

Предварительная подготовка не должна задерживать необходимое срочное обращение или исполнение обязанности сообщить в компетентные органы: действуют своевременно и затем дополняют материалы. Требования к подготовке результатов расследования рассмотрены в главе 29, порядок дальнейшего сопровождения и ответа на запросы — в главе 34.

Разделить решения по результатам проверки

Результат проверки может использоваться для изменения контроля, устранения недостатка бизнес-процесса или подготовки кадрового решения. Эти решения нужно различать. Для исправления процесса не требуется заранее признать сотрудника виновным в мошенничестве. Для дисциплинарного взыскания необходимо установить соответствующий проступок и соблюсти предусмотренный порядок; заключение безопасности само по себе эту процедуру не заменяет.

Соглашение о прекращении трудового договора — самостоятельное основание, предполагающее договорённость сторон. Оно не является подтверждением совершённого мошенничества. Увольнение по собственному желанию также нельзя подменять требованием работодателя написать заявление: Верховный Суд указывает на добровольность волеизъявления работника.

В нашей методике предлагаем разделять выводы проверки, решение о трудовых отношениях и решение об обращении в компетентные органы. Одно не подменяет другое. Если сотрудник уходит, выявленный недостаток контроля остаётся: необходимо изменить условия, при которых аналогичная ситуация может повториться. Возможные обязательные основания для сообщения в органы оценивают отдельно применительно к обстоятельствам; увольнение само по себе этот вопрос не закрывает.

5.5. Роли и компетенции

Глава не меняет распределения ответственности между контрольными службами, описанного в главе 3. Она уточняет, что требуется от участников при реализации своих полномочий.

Специалист безопасности

Обосновать потребность в сведениях, соблюдать условия доступа, сохранять происхождение материалов, сообщать о собственном конфликте интересов и сомнениях в допустимости действий

Руководитель направления или проверки

Выбрать исполнителей, проверить достаточность полномочий, организовать хранение и передачу материалов, разрешить либо передать выше спорный вопрос

Руководитель функции

Установить согласованные правила, обеспечить возможность беспристрастной работы и разрешения конфликтов, организовать взаимодействие с профильными функциями

Юридическая функция

Оценить применимые ограничения, правовые основания действий и варианты использования результатов

Комплаенс, ответственные за персональные данные, ИБ и владельцы систем

Участвовать в решении вопросов своего предмета: конфликт интересов, обработка данных, защита информации, организация доступа и сохранения записей

Уполномоченный руководитель бизнеса

Принять управленческое решение в пределах полномочий, учитывая фактические выводы и правовые условия

Получатель должен располагать сведениями, необходимыми для своей задачи, с соблюдением установленных условий доступа. Выводы и их ограничения передают вместе; полный комплект чувствительных материалов нужен не каждому участнику. Распределение совместной работы рассмотрено в главе 6, использование результатов расследования другими контрольными функциями — в разделе 29.7.

От специалиста безопасности требуется умение вовремя увидеть вопрос за пределами своей компетенции и сформулировать его предметно. «Можно ли нам так делать?» — недостаточный запрос. Полезный запрос описывает цель, действие, сведения, участников и предполагаемый результат. От руководителя требуется не только найти ответ для одного случая, но и устранить повторяющийся пробел в порядке работы.

В крупной группе отдельные вопросы распределяются между безопасностью, юридической функцией, комплаенсом, ИБ и ответственными за обработку данных. В компактной компании несколько задач может выполнять один человек, а профильную экспертизу привлекают извне. При этом остаётся необходимость разрешать конфликт интересов и получать независимую оценку там, где собственная заинтересованность мешает объективной работе.

5.6. Рабочие инструменты и учебный пример

Для подготовки сложной задачи можно использовать следующие вопросы:

1. Какой вопрос проверяем и какое решение потребуется по результату?

2. Какие действия и сведения для этого необходимы, чем подтверждены полномочия и условия доступа?

3. Кто участвует в работе и есть ли обстоятельства, влияющие на беспристрастность?

4. Где будут сохранены исходные материалы и кто получит доступ?

5. Кому, в каком объёме и для чего будет передан результат?

6. Какие вопросы пока не разрешены, кто их решает и какие действия до этого выполнять нельзя?

Ответы можно включить в план проверки или рабочую переписку; отдельная форма для каждой текущей задачи не требуется.

Учебный пример: заинтересованность проверяющего и доступ к переписке

Вымышленный учебный пример.

Компания получила сообщение о возможной заинтересованности сотрудника в выборе поставщика. Руководитель поручил безопасности проверить обстоятельства. Один из предполагаемых исполнителей ранее участвовал в согласовании спорного выбора. Для проверки предложили сразу скопировать всю переписку сотрудника и передать её всем членам закупочной комиссии.

Первое решение касается состава исполнителей. Прежнее участие раскрывают, оценивают его значение и определяют, кто сможет проверить решение беспристрастно. Сам факт такого участия не доказывает нарушения.

Второе решение касается сведений. Безопасность уточняет операции, период и обстоятельства, которые необходимо установить. Прежде чем получить доступ к переписке, с профильными специалистами выясняют, допустимо ли это действие и на каких условиях. Одновременно можно изучать относящиеся к задаче документы, доступ к которым уже предоставлен в установленном порядке.

Третье решение касается получателей. Комиссии может быть достаточно заключения о проверенных обстоятельствах и предложений по порядку выбора поставщика. Необходимость передавать исходную переписку каждому участнику требует самостоятельного обоснования.

В этом примере результат проверки намеренно не задан. Его задача — показать решения, которые нужны до появления вывода о нарушении. Независимо от того, подтвердится ли версия заинтересованности, недостатки порядка выбора поставщика рассматривают отдельно и при наличии оснований исправляют.

5.7. Признаки качества работы

Качество организации работы можно проверить по следующим признакам:

• Исполнитель может объяснить основание существенных действий и доступа к сведениям; спорные методы не применены до разрешения вопроса.

• Обстоятельства, влияющие на беспристрастность, раскрыты, а решение по ним меняет условия участия там, где это необходимо.

• Существенный вывод можно связать с исходными материалами; преобразования данных и ограничения проверки понятны.

• Доступ и передача соответствуют задаче получателя, порядок дальнейшего хранения определён.

• Участники знают, как сообщить о давлении; желаемый заказчиком исход не заменяет фактический вывод.

• Кадровое решение, обращение в органы и исправление бизнес-процесса имеют собственные основания и ответственных исполнителей.

• Значимые результаты переданы участникам управления рисками и независимой оценки в необходимом объёме; при отсутствии таких функций определено, кто сохраняет знания и доводит выводы до уполномоченного руководителя.

Наличие положения или подписанного обязательства о конфиденциальности подтверждает оформление правила. Для оценки практики нужно проверить, как оно выполнялось в конкретной задаче. Полезно выбрать недавно завершённую проверку и проследить путь значимого материала: от получения до использования при принятии решения.

Методологические основания

Принципы организации расследований сопоставлены с ISO/TS 37008:2023, разделами 4, 6, 7 и пунктами 8.1, 8.4–8.5, и положениями ASIS INV-2025 Investigations, раздела 6.3.7, о законности, беспристрастности и обращении с информацией. Порядок практического применения изложен как авторская методика с учётом опыта корпоративных функций. Правовые ориентиры приведены в конце главы.

Правовые ориентиры

• Оперативно-розыскная деятельность:статья 13 Федерального закона № 144-ФЗ.

• Персональные данные и данные работников:152-ФЗ: принципы и условия обработки; статья 19 о защите данных; статья 86 ТК РФ; статья 4 Федерального закона № 152-ФЗ; отдельное оформление согласия — статья 9 Закона № 152-ФЗ.

• Кадровые решения:статья 192 ТК РФ; статья 193 ТК РФ; пункты 20 и 22 постановления Пленума Верховного Суда РФ № 2.

Глава 6. Партнёрство с бизнесом и взаимодействие со смежными функциями

6.1. Назначение и область применения

Бизнесу нужно закупать сырьё, выпускать продукцию, выполнять обязательства и развивать компанию. В этих задачах возникают обстоятельства, для оценки которых нужна экспертиза экономической безопасности: уязвимый порядок выбора поставщика, возможность искажения данных о выполненных работах, заинтересованность участников решения. Полезность безопасности проявляется в том, помогает ли её работа принять обоснованное решение и защитить экономические интересы компании.

Эта глава раскрывает две связанные стороны взаимодействия. Партнёрство с бизнесом позволяет понять его задачи, вовремя применить экспертизу безопасности и совместно улучшить бизнес-процесс. Взаимодействие со смежными функциями помогает получить необходимые сведения, привлечь специальные знания и согласовать действия участников. Обе стороны нужны и при проверке конкретной ситуации, и при разработке решения до наступления потерь.

Основные читатели — руководитель функции безопасности и руководитель направления, который организует совместную работу. Специалисту глава помогает сформулировать запрос коллегам и подготовить полезный для них результат. Руководителю бизнеса — понять, какие решения остаются за ним и чего ожидать от участвующих функций.

Распределение полномочий и матрица RACI рассмотрены в главе 3. Здесь речь о том, как применять это распределение в ежедневной работе. Подробные процедуры расследования, кадровой безопасности и работы с цифровыми сведениями раскрываются в соответствующих профессиональных главах.

6.2. Ожидаемые результаты

Партнёрство становится рабочей практикой, когда бизнес понимает, с какими вопросами обращаться к безопасности, а безопасность связывает свои приоритеты с задачами бизнеса. Для каждой совместной задачи участники определяют свой вклад и дальнейшее использование результата.

Общие приоритеты

Какие проблемы и изменения бизнес-процессов требуют совместной работы, почему они важны и когда нужна безопасность

Согласованная задача

Какой бизнес-процесс рассматривается, что требуется установить или изменить и кто принимает решение

Распределённая работа

Кто ведёт задачу, что выполняет каждый участник, какие сведения и экспертиза необходимы

Пригодные для использования выводы

Что установлено, чем подтверждено, какие ограничения сохраняются и кому нужен результат

Согласованные дальнейшие действия

Кто реализует принятое решение, в какие сроки и как будет проверен результат

Обратная связь бизнеса

Помогла ли работа решить исходную задачу, какие затруднения остались и что следует изменить в дальнейшем взаимодействии