ESBOK. Экономическая безопасность бизнеса. Свод практических знаний

Для разовой консультации достаточно понятного вопроса и ответа на него. Для совместной проверки или изменения бизнес-процесса потребуется зафиксировать распределение работы и принятые решения. Формат выбирают из действующих в компании: поручение, рабочая переписка, план проверки, протокол или карточка задачи в действующей системе. Отдельный документ имеет смысл, если без него существенные договорённости теряются.

6.3. Основные понятия и принципы

Партнёрство с бизнесомв этой главе — организация работы безопасности вокруг задач и рисков бизнес-процессов, при которой стороны совместно ищут обоснованное решение и проверяют его результат. Владелец бизнес-процесса объясняет цель, ограничения и фактический порядок работы. Безопасность оценивает риски корпоративного мошенничества, проверяет значимые обстоятельства и участвует в разработке контролей.

Партнёрство не обязывает безопасность поддержать любое предложение заказчика. Если проверка выявила существенный риск, его нужно показать и объяснить. Доверие к безопасности строится в том числе на способности аргументировать неудобный вывод и предложить дальнейшие действия в пределах своей компетенции.

Совместная работа— участие нескольких функций в решении одной задачи с определённым вкладом каждой. Участники могут использовать общие сведения, но готовить разные профессиональные выводы. Например, безопасность проверяет версию корпоративного мошенничества, технический специалист оценивает соответствие работ заданию, юрист рассматривает основания для договорных требований. Один вывод не заменяет остальные.

Координацияв этой главе означает согласование действий, сроков и обмена результатами. Она не передаёт координатору полномочия всех участников. Руководство расследованием со стороны безопасности не делает её владельцем проверяемого бизнес-процесса, а участие внутреннего аудита не превращает его в исполнителя корректирующих мероприятий бизнеса.

Обратная связь по результатупоказывает, что произошло после передачи заключения или рекомендации: какое решение принято, что изменено и достигнут ли ожидаемый эффект. Ответ «информация получена» подтверждает доставку, но ещё ничего не говорит об использовании результата.

Работа строится на общей методологии управления рисками. Безопасность вносит в неё экспертизу корпоративного мошенничества: возможные сценарии, условия их реализации, способы обхода контролей и результаты проверки этих предположений. Связь с конкретным этапом бизнес-процесса позволяет сопоставить эту информацию с другими рисками и действующими контролями.

В совместной работе у каждой функции сохраняются свои задачи. Согласовать фактические обстоятельства полезно всем участникам; требовать одинакового заключения от безопасности, юриста и аудитора бессмысленно, если они отвечают на разные вопросы. Существенное расхождение нужно объяснить, а не скрыть общей формулировкой.

6.4. Содержание работы и профессиональные решенияПонять задачу бизнеса и выбрать совместные приоритеты

Отправная точка — результат, который требуется владельцу бизнес-процесса. Руководителю закупок важно обеспечить поставку, руководителю производства — выполнение производственной программы, руководителю инвестиционного проекта — ввод объекта в согласованный срок. Безопасность уточняет, какие обстоятельства мешают этому результату и где требуется её экспертиза. Подозрение на злоупотребление — одна из возможных причин обращения. Повторяющиеся потери, непрозрачные решения и затруднения с проверкой фактического исполнения также дают основание разобраться в бизнес-процессе.

При таком обсуждении полезно установить, какие решения принимает руководитель, на какие сведения опирается, где возникают отклонения и какие контроли уже действуют. Это позволяет предложить конкретную работу: проверить обстоятельства спорной сделки, исследовать возможность обхода контроля или вместе с владельцем бизнес-процесса изменить порядок принятия решения. Безопасность не обещает решить любую производственную или коммерческую проблему; она объясняет, какую часть задачи может обоснованно взять на себя.

Если предложений много, руководители бизнеса и безопасности согласуют приоритеты с учётом значимости рисков, предстоящих решений и доступных ресурсов. В перечне совместных задач фиксируют ожидаемый результат, участников и сроки. Связь с текущими целями компании помогает обосновать, почему именно этой задаче сейчас уделяется внимание. При изменении обстоятельств приоритеты пересматривают вместе с заказчиком.

Подключиться, пока решение ещё можно изменить

Участие безопасности в последнем согласовании позволяет оценить уже подготовленное решение. При разработке нового бизнес-процесса, закупочной системы или инвестиционного проекта её экспертиза полезна раньше: когда выбирают порядок работы, определяют полномочия и требования к сведениям. На этом этапе можно предусмотреть контроль в самом бизнес-процессе и заранее понять, как проверять его исполнение.

В практике автора коммерческий блок привлекал безопасность к развитию закупочной системы. Совместная работа позволяла включать требования к проверке контрагентов в разрабатываемые решения. Здесь вклад безопасности состоит в объяснении проверяемых сценариев и необходимых контролей, а вклад бизнеса — в знании закупочной деятельности и требований к её выполнению. ИТ и аналитики помогают определить, как реализовать согласованные требования. Сам факт автоматизации ещё не доказывает полноту контроля или снижение потерь: результат требует отдельной оценки.

Для инвестиционного проекта безопасность может оценивать условия возникновения злоупотреблений и проверять соответствующие признаки, используя сведения проектной команды и технических специалистов. Она не подменяет техническую приёмку собственной уверенностью. Участники заранее определяют, где нужен специальный технический вывод, а где — проверка обстоятельств средствами и методами безопасности.

Порядок раннего подключения согласуют с владельцами бизнес-процессов. Основанием могут быть значимое изменение способа работы, крупный проект или нестандартное решение с существенными рисками. Не каждое действие требует участия безопасности. Важно определить, в каких ситуациях её позднее подключение оставит слишком мало возможностей для обоснованного выбора.

Определить, зачем нужна другая функция

Начинают с вопроса, который невозможно обоснованно решить имеющимися сведениями или компетенциями. Запрос «посмотрите со своей стороны» оставляет коллегам слишком много догадок. Полезнее назвать установленные обстоятельства, проверяемое предположение и ожидаемый вклад.

Например, аудит обнаружил отклонение при выборе поставщика. Он передаёт безопасности описание закупочной процедуры и конкретные обстоятельства, которые требуют проверки на возможную заинтересованность участников. Безопасность уточняет вопрос, проверяет соответствующую версию и сообщает, что удалось установить. Обращение возможно и в обратную сторону: безопасность выявила обстоятельства возможного злоупотребления и привлекает аудит к анализу условий бизнес-процесса, которые позволили ему произойти. Состав участников зависит от доступных компетенций: анализ бизнес-процесса не является исключительной задачей аудита.

Юридическую или техническую экспертизу стоит подключать до решения, для которого она необходима. Если условия изменения договора уже согласованы без юриста, позднее может выясниться, что выбранный способ оформления не обеспечивает ожидаемого результата. Если вывод о качестве работ сделан без профильного специалиста, сама уверенность безопасности не восполнит недостаток технического основания.

Согласовать вклад и объём участия

До начала совместной проверки участники уточняют предмет, период, уже полученные материалы, необходимые действия и сроки. Определяют, кто координирует работу и кому передаются результаты. Если вопрос возник в ходе аудита, важно понять, какая часть войдёт в аудиторское заключение, а какая требует самостоятельной проверки безопасности.

У коллег уже есть планы и обязательства. Дополнительная задача может потребовать перераспределения ресурсов или переноса другой работы. Такие изменения согласуют на том уровне, где есть соответствующие полномочия. Важность запроса безопасности не означает, что другая функция может немедленно выполнить его в полном объёме.

Для повторяющихся обращений полезно заранее определить ответственных и порядок подключения экспертов. Рабочие связи ускоряют решение вопросов, а зафиксированные договорённости помогают сохранить эту возможность при смене сотрудников.

Полномочия центра и площадок рассмотрены в разделе 3.6, выбор организационного решения — в разделе 13.4.1. Для совместной работы важно, чтобы местные обстоятельства были доступны участникам анализа, необходимая экспертиза — исполнителям на местах, а разногласия разрешались на соответствующем уровне. Применимость выявленного сценария к другим площадкам проверяют с учётом их условий; обнаружение на одном предприятии ещё не подтверждает его реализацию на остальных.

При совмещении ролей определяют, кто фактически выполняет нужную работу и у кого есть полномочия и знания. Отсутствие отдельного подразделения не передаёт его задачи безопасности автоматически; порядок распределения таких обязанностей раскрыт в разделе 3.8. Если экспертизы не хватает, её привлечение становится отдельной задачей.

Передать сведения, с которыми можно работать

Получателю нужен контекст: какой вопрос рассматривается, что уже проверено, почему передаются эти материалы и какого действия от него ожидают. Факты, предположения и ограничения должны оставаться различимыми при передаче.

Функции управления рисками недостаточно итоговой суммы потерь без связи с бизнес-процессом. Ей нужны сведения о событии или сценарии, условиях его возникновения, действовавших контролях и основаниях для пересмотра оценки. Эти сведения готовят в принятой корпоративной методологии, чтобы они могли использоваться в общей матрице рисков и контролей.

Аудиту результаты проверок безопасности могут помочь определить предмет предстоящей работы и учесть уже установленные обстоятельства. Если обмен происходит только после запроса, аудит может не знать, о какой проверке следует спросить. Поэтому руководителям функций полезно согласовать, о каких результатах они сообщают друг другу регулярно и как получают необходимые подробности. При передаче соблюдают ограничения доступа, рассмотренные в главе 5; весь материал расследования не требуется каждому участнику.

При обращении к аналитикам и ИТ безопасность формулирует содержательную задачу: какие операции нужно сопоставить, за какой период, что считается отклонением и какой результат позволит продолжить проверку. Вместе со специалистами уточняют источники данных и ограничения их использования. Название желаемого отчёта или системы само по себе такой постановки не заменяет.

Согласовать выводы и предложения для бизнеса

До представления итогового результата полезно сверить фактические обстоятельства и предлагаемые действия с теми функциями, чьей работы они касаются. Это позволяет обнаружить недостающие сведения, различия в понимании ситуации и меры, которые невозможно выполнить в предложенном виде.

Такая сверка не даёт заинтересованному подразделению права исключать неудобный обоснованный вывод. Как и при профессиональном суждении в главе 4, вывод изменяют при появлении достаточных оснований. Неразрешённое существенное расхождение сохраняют в материалах, чтобы лицо, принимающее решение, понимало его содержание и последствия.

Совпадение проверяемых документов ещё не означает дублирования. Безопасность может оценивать возможность обхода контроля, риски и внутренний контроль — его работу в бизнес-процессе, аудит — проводить независимую оценку. При согласовании планов и запросов следует выяснить, какие сведения уже есть и пригодны ли они для новой задачи. Это уменьшает повторный сбор данных, сохраняя самостоятельность профессиональных оценок.

Если участники не могут согласовать ресурс, предлагаемое изменение или дальнейшее действие в пределах своих полномочий, вопрос передают уполномоченному руководителю. Ему нужны предмет разногласия, основания позиций и последствия возможных решений. Конкретный порядок такой передачи определяется в компании.

Определить, кто и где принимает решение

Большую часть рабочих вопросов участники решают напрямую в пределах своих полномочий. Совместное рассмотрение руководителями требуется, когда нужно согласовать приоритеты, выделить ресурсы, устранить разногласие между подразделениями или принять решение по существенному риску. Для этого используют действующее совещание, комитет или иной установленный в компании порядок.

Комитет по безопасности может служить местом регулярного обсуждения с бизнесом значимых рисков, результатов совместной работы и препятствий, которые исполнители не могут устранить самостоятельно. Такой формат есть в авторской практике. Его полезность зависит от состава участников и права принимать необходимые решения. Создание ещё одного комитета не требуется, если эти вопросы уже рассматриваются в подходящем действующем органе.

При выборе порядка рассмотрения различают два уровня:

Рабочее взаимодействие и коллегиальные органы менеджмента

Подготовить и принять решения в пределах предоставленных полномочий, согласовать действия и ресурсы, организовать исполнение

Совет директоров и его комитеты

Рассматривать вопросы корпоративного надзора и готовить решения в соответствии с установленной компетенцией; комитеты совета не руководят повседневной работой исполнителей

Порядок рассмотрения вопросов и полномочия участников закрепляют с учётом применимых требований и устройства компании. Если действуют несколько коллегиальных органов, разграничивают их задачи и порядок обмена информацией, чтобы вопросы не терялись между ними и не рассматривались повторно без необходимости.

Для организации взаимодействия важны регулярное рассмотрение значимых рисков, участие руководителей с необходимыми полномочиями, фиксация решений и проверка исполнения. В небольшой компании эти задачи может выполнять совещание собственника с руководителями; в более крупной — действующий или специально созданный комитет. Формат выбирают по задачам и масштабу работы.

На рассмотрение руководителей выносят вопрос, требующий решения: что установлено, почему участники не могут завершить работу на своём уровне, какие варианты предлагаются и к каким последствиям они ведут. Итог фиксируют так, чтобы были понятны принятое решение, ответственные, сроки и порядок проверки результата. Порядок принятия риска и сохранения его в корпоративной матрице рассмотрен в главах 2 и 3.

Связать заключение с дальнейшей работой

Завершение проверки и выполнение мероприятий по её результатам — разные события. Для каждого принятого мероприятия назначают исполнителя, устанавливают срок и способ проверки результата. Владелец бизнес-процесса организует изменения в своей области, безопасность участвует в их проработке и контролирует достижение согласованного уровня защищённости процесса от корпоративного мошенничества. Передача заключения не заменяет определения ответственного за дальнейшие действия, а отметка о выполнении ещё не подтверждает результативности мероприятия. Подробно внедрение и проверка изменений рассмотрены в главе 30.

Обратная связь бизнеса нужна и для оценки самого взаимодействия. Руководитель безопасности выясняет, помог ли результат решить исходную задачу, своевременно ли подключились специалисты, понятны ли их выводы и что затруднило реализацию решения. Если бизнес не использовал рекомендацию, следует установить причину: могли измениться обстоятельства, не хватить ресурсов или оказаться непригодным предложенный способ действий. Эти причины требуют разных решений.

Одобрение заказчика не заменяет профессиональной проверки вывода. Вместе с тем обоснованное заключение должно быть понятно тем, кто будет его использовать. Результаты обсуждения помогают уточнить совместные приоритеты и порядок работы, а повторяющиеся проблемы — вернуться к устройству бизнес-процесса и его контролям.

6.5. Роли и компетенции

Матрица главы 3 определяет распределение ответственности. Для организации взаимодействия дополнительно важно понимать, какой вклад требуется в конкретной задаче.

Владелец бизнес-процесса

Определяет необходимый бизнес-результат и ограничения, объясняет фактический порядок работы, согласует приоритеты, принимает решения в пределах полномочий и организует изменения; даёт обратную связь по результату

Специалист безопасности

Формулирует проверяемый вопрос, готовит сведения в пределах своей компетенции, объясняет основания и ограничения вывода

Руководитель направления безопасности

Согласует состав работы, исполнителей и сроки; проверяет, достаточно ли полученных результатов для следующего действия

Руководитель функции безопасности

Связывает работу безопасности с целями бизнеса, согласует приоритеты, ресурсы и раннее участие в значимых изменениях; организует рассмотрение вопросов на соответствующем уровне

Риски и внутренний контроль

Обеспечивают применение общей методологии и использование сведений безопасности в оценке рисков и ключевых контролей

Внутренний аудит

Проводит независимую оценку; в предусмотренных планом или поручением случаях участвует в отдельных действиях либо предоставляет консультацию

Юридическая функция

Даёт правовую оценку по соответствующей специализации и помогает определить допустимые варианты действий и оформления решений

Аналитики, ИТ и ИБ

Участвуют в получении, обработке и защите сведений в пределах своих задач; уточняют технические возможности и ограничения

Профильные технические специалисты

Проверяют вопросы, для которых необходимы специальные знания, и объясняют пределы своей оценки

По кадровым вопросам подключают HR, по вопросам комплаенса — отвечающих за него специалистов. Физическая защита, охрана труда и промышленная безопасность участвуют там, где задача затрагивает их предмет. Наличие этих направлений в одной организационной структуре не делает их компетенции взаимозаменяемыми. Подробный порядок участия определяется предметом задачи и действующими правилами компании.

Для совместной работы сотруднику безопасности нужно уметь:

• понимать цели бизнес-процесса;

• объяснять, чем поможет предлагаемая работа;

• описывать бизнес-процесс;

• ставить вопрос другому специалисту;

• объяснять происхождение сведений;

• отличать разногласие по фактам от различия полномочий или профессиональных оценок.

Если собственных знаний недостаточно, сотрудник объясняет, какая экспертиза нужна, и организует её привлечение. Личного опыта недостаточно, чтобы продолжать проверку за пределами своих знаний.

6.6. Договорённости о совместной работе и практический пример

Постоянное взаимодействие требует договорённостей, которые действуют до возникновения очередной проблемы. Руководители бизнеса и безопасности определяют, когда подключать ЭБ, какие сведения предоставлять, какого результата ожидать и как разрешать затруднения. Это позволяет заранее учесть участие безопасности в работе подразделения.

При обсуждении можно использовать следующие вопросы.

Когда подключать безопасность

Какие решения и изменения требуют участия ЭБ до принятия обязательств: например, изменение порядка операций, существенный проект или выбор способа работы, создающего новые возможности злоупотреблений

Какие сведения предоставляет бизнес

Цель решения, рассматриваемые варианты, существенные ограничения и сроки; кто может объяснить фактический порядок работы и предоставить необходимые документы и данные

Какой результат возвращает безопасность

На какой вопрос она отвечает, какие основания и ограничения раскрывает, какие варианты действий предлагает; в какой срок представляет результат и как сообщает о препятствиях

Как разрешать разногласия

Какие вопросы участники решают самостоятельно, какие передают руководителю; кто вправе принять решение и как сохраняются его основания

Как сопровождать принятые решения

Кто реализует согласованные мероприятия, что делает безопасность, как проверяется результат и кому сообщают о задержках или невозможности выполнить решение

Как оценивать и улучшать взаимодействие

Помог ли результат решить задачу бизнеса, своевременно ли подключились участники, какие сведения или полномочия оказались недоступны и что нужно изменить в порядке совместной работы

Договорённости можно закрепить в действующем порядке взаимодействия, решении руководителей или другом принятом в компании документе. Отдельный регламент нужен, если без него участники не смогут одинаково понимать и выполнять свою работу.

При изменении процесса, состава участников или приоритетов договорённости пересматривают. Если безопасность регулярно получает документы перед самым сроком согласования, стоит выяснить, на каком этапе её участие действительно необходимо и почему сведения поступают поздно. Если бизнес не использует результаты работы ЭБ, выясняют причины: несвоевременность, непонятный вывод, непригодность предложенного решения или отсутствие ресурсов на его выполнение.

Для конкретного поручения на этой основе определяют предмет, ожидаемый результат, исполнителей и сроки. Подробно постановка отдельной задачи рассмотрена в главе 9.

Совместное рассмотрение особенно важно, когда первоначальное заключение не позволяет выбрать решение с учётом существенных для бизнеса обстоятельств. В главе 26 приведён авторский пример: отрицательное заключение по перевозчику потребовало дополнительного разбора, обсуждения с юристами и представления особого мнения. Это позволило открыто рассмотреть основания дальнейшей работы с контрагентом.

Посмотрим на другом примере, как несколько функций разбирают одно отклонение.

Учебный пример: проверка объёма ремонтных работ

Все обстоятельства вымышлены.

Аудит обнаружил расхождение между документами об использовании материалов и объёмом, указанным в акте подрядчика. Одних документов недостаточно, чтобы установить причину. Возможны ошибка учёта, изменение задания или завышение объёма.

Аудит передаёт безопасности конкретное расхождение и относящиеся к нему материалы. Технический специалист проверяет фактическое выполнение и изменения задания. Безопасность исследует версию намеренного искажения, действия участников и возможность обхода контроля. Юрист оценивает договорные основания дальнейших действий. Участники согласуют объём проверки, сроки и обмен результатами.

Допустим, подтвердилось, что часть работ выполнялась по изменённому заданию, но сведения об изменении не дошли до всех участников приёмки. Версия намеренного завышения не подтвердилась в пределах выполненной проверки. Владелец бизнес-процесса организует изменение порядка передачи и учёта заданий. Безопасность оценивает, можно ли использовать неполное информирование участников приёмки для злоупотребления. Последующая проверка показывает, получают ли участники приёмки актуальные сведения. Порядок отражения результата в оценке рисков согласуется с ответственным за корпоративную методологию.

В этом примере совместная работа позволила разобраться в причине и определить изменение бизнес-процесса. Ни технический вывод, ни подозрение безопасности сами по себе не давали полного ответа. Если бы существенные обстоятельства остались неустановленными, это ограничение следовало бы сохранить в заключении и определить дальнейшие действия.

6.7. Признаки качества работы

Качество взаимодействия можно проверить на одной завершённой задаче и при очередном обсуждении совместных приоритетов.

• Понятно, какой результат был нужен бизнесу и какую часть задачи решала безопасность.

• При разработке нового решения безопасность подключилась в момент, когда её выводы ещё могли повлиять на выбор.

• Из материалов понятно, почему подключили каждую функцию и какой результат от неё ожидали.

• Участники получили сведения, необходимые для своего вопроса, с объяснением их происхождения и ограничений.

• Существенные различия в выводах рассмотрены и объяснены; итоговое решение принято в пределах полномочий.

• Для принятых мероприятий определены ответственные, сроки и способ проверки результата.