Необходимость оптимизации инфраструктуры безопасности компаний становится весьма насущной особенно при их слиянии и поглощении. Не менее актуальна она и для служб безопасности (СБ) коммерческих предприятий, поскольку изменения, внесенные в действующее законодательство РФ, требуют существенных корректировок устоявшейся инфраструктуры СБ. Лицензии, выданные ранее службам безопасности, уже не продлеваются, и, как следствие, охрана объектов должна осуществляться частными охранными предприятиями или ведомственной охраной. Так что перестройка деятельности неминуема.
К сожалению, бюджет системы безопасности организации формируется, как правило, исходя из сложившихся затрат, а зачастую — по остаточному принципу. Оправданно ли это, и как быть в современной экономической ситуации?
Здесь необходим здравый, рациональный подход. Во многих хозяйствующих субъектах структуры безопасности зародились значительно раньше других служб, однако как только они заработали на полную мощь, о них забыли. Финансовые службы, службы маркетинга появились позже, но за это время значительно развились и неоднократно перестраивались. Деятельность СБ, конечно же, более консервативна, но своевременная перестройка сделает их более эффективным и мощным инструментом бизнес — процессов, а задержка может привести к катастрофическим последствиям для предприятий.
Связь бизнес-процесса закупок с другими процессами на предприятии
Проблемы большинства систем безопасности, в принципе, довольно типичны:
1. Несоответствие системы безопасности новым направлениям бизнеса и новым условиям рынка;
2. Отсутствие четко выработанной политики предприятия в вопросах безопасности (концепции безопасности);
3. Несоответствие квалификации персонала новым условиям;
4. Несоответствие должностного положения руководителя СБ в компании;
5. Старение материальной базы системы безопасности и т.д.
Эти проблемы тормозят работу подразделений безопасности, делают бизнес — процессы более дорогими, повышают возможность принятия ошибочных решений.
Необходимо в максимально сжатые сроки провести процесс оптимизации деятельности СБ. Работу предприятия нельзя остановить, а обеспечение безопасности является неотъемлемой частью всех бизнес — процессов фирмы.
Безусловно, чтобы произвести перестройку в кратчайшие сроки и добиться максимально возможного улучшения функционирования системы, разумнее всего применить хорошо отработанный экспресс-метод, иначе называемый в литературе как метод «Fast» (express-подход, концепция «Rapet» и др.). Впервые экспресс-метод был применен компанией IBM в 1980-х гг., а спустя десять лет его усовершенствовали специалисты General Electric и Ford Motor. Сегодня он используется многими отечественными и зарубежными предприятиями, в том числе и в области обеспечения безопасности.
Для оптимизации СБ предстоит выяснить, насколько современна имеющаяся инфраструктура, а если нет, то какой именно элемент системы «состарился». Как это сделать быстро и эффективно? Рассмотрим основные этапы, через которые должна пройти вся инфраструктура безопасности в процессе экспресс-метода
Простые нотации описания бизнес-процессов, которые читают и используют сотрудники
Как оптимизировать деятельность СБ?
Для экстренной оптимизации формируется так называемая «команда улучшения», в которую должны войти ведущие специалисты подразделений (служб). В нашем случае желательно участие «свежих мозгов» — специалистов по безопасности высокого уровня, принятых на работу с целью реанимации СБ, или сторонних специалистов, привлекаемых к проведению экспресс-метода на договорной основе. Возглавить группу должен один из руководителей компании, наделенный полномочиями отдавать распоряжения, которые обязательны для исполнения практически всеми сотрудниками предприятия.
Анализ всех процессов внутри компании и в ее внешнем окружении возможен только при полной открытости информации для «команды улучшения». Иначе ее работа окажется бесполезной. Процесс доступа к информации, процедура защиты и гарантия ее нераспространения — это те вопросы, которые следует решить на этапе формирования команды.
«Команда улучшения» в начале своей работы должна четко знать сложившуюся схему деятельности компании на всех уровнях — от процедуры принятия решений руководством до низовых звеньев их исполнения. В схеме должны быть отражены все происходящие бизнес-процессы; процессы управления и обслуживания; взаимосвязь между ними (как обязательная, вероятно-прогнозируемая, так и случайная); ключевые функции всех сотрудников и подразделений структуры безопасности; организационная схема инфраструктуры безопасности компании.
Перед началом работы команда должна найти ответы на следующие вопросы:
Сколько юридических лиц (бизнес-юнитов) включает в себя компания;
Какие конкретные ключевые задачи стоят перед бизнес-юнитами;
Как организована инфраструктура безопасности компании и бизнес-юнитов;
Как и кем принимаются решения по безопасности;
Каков объем и состояние технических средств безопасности;
Насколько квалифицирован персонал.
Таким образом, «команде улучшения» предстоит исследовать актуальное состояние существующей экономической системы компании и комплекс взаимодействия между ее субъектами, исходя из задачи обеспечения максимального уровня безопасности. Причем сам анализ, разработка путей решения проблемы и прогноз дальнейшего развития ситуации, то есть весь цикл анализа, должен осуществляться одними и теми же экспертами.
Полноценный ситуационный анализ возможен только при проведении «вертикального» и «горизонтального» анализа ситуации (при изображении структуры хозяйствующего субъекта в виде овала)
Вертикальный тип общего анализа ситуации пронизывает всю структуру компании и выходит далеко за ее пределы, предполагая детальное исследование состояния экономической и политической системы, в которой находится хозяйствующий субъект. Исследование внешней среды при «вертикальном» анализе предполагает вычленение из всей политической и экономической системы отдельных институтов, способных оказать нежелательное воздействие на протекающие бизнес-процессы компании.
При изучении внутренней структуры должна быть выстроена вся иерархия управления бизнесом компании, проанализирована межличностная конкуренция среди ее топ-менеджеров, противоречия среди владельцев бизнеса и т.д.
Горизонтальный тип общего анализа при исследовании внешней среды предполагает детальное исследование состояния экономической среды, в которой находится хозяйствующий субъект. Этот анализ предусматривает, прежде всего, изучение конкурентов и контрагентов, их очевидных и скрытых связей и интересов, исследование криминогенной ситуации как в отрасли в целом, так и на территории где расположено предприятие. Однако при «горизонтальном» исследовании внутренней структуры «команде улучшения» придется сделать несколько горизонтальных срезов, которые должны отразить состояние бизнес-процессов, взаимосвязей и групповых интересов на различных иерархических уровнях.
Если компания однопрофильная и территориально обособленная, то процедура анализа будет достаточно проста. Но если бизнес многопрофильный, развит по вертикали и (или) горизонтали, то количество угроз, особенно внешних, значительно возрастает. Нельзя игнорировать и внутреннюю конкуренцию между бизнес-юнитами, входящими в структуру компании. Чем более разобщен бизнес по территориальному или отраслевому признаку, тем более сложным будет процедура структурного анализа. Именно поэтому процесс анализа становится значительно более трудоемким.
Попытаемся хотя бы в общем виде определить те виды рисков, которые угрожают современному предприятию на различных этапах его деятельности.
Для рассмотрения факторов угроз в научный обиход введены различные принципы их систематизации, например, по уровням экономик, по отраслям, по природе явления, по направленности или источнику. Каждая из них может быть исчерпывающей в своем конкретном случае. В основном же, для упрощения подхода, принимается классификация по источнику опасности и природе явления, то есть рассматриваются две основные группы угроз: внешние и внутренние.
Источники внешних угроз бизнеса лежат вне юрисдикции хозяйствующего субъекта. Это и природно-климатические факторы, политические, экономические и законодательные новации как федеральных, так и муниципальных властей, действия конкурентов и противников, в том числе террористов, криминал и др.
Внутренние источники угроз — это, как правило, люди и их вольные или невольные действия. К сожалению, люди, как индивидуумы, не так легко предсказуемы, как социальные системы, а уж тем более техника. Здесь необходимо иметь в виду, что кроме наиболее часто упоминаемых в литературе таких внутренних угроз, как нелояльность сотрудников, пьянство, хищение материальных ценностей, разглашение конфиденциальной информации, нарушение техники безопасности и эксплуатации оборудования, правил пожарной безопасности и пр., существует очень значимая группа внутренних угроз, основанная на столкновении различных интересов. Эти угрозы можно условно разделить на конфликты в коллективе, и среди владельцев компании. Для простоты дальнейшего анализа сформулируем их следующим образом:
Изменение личных отношений между руководителями (владельцами), конфликты собственников, менеджеров, коллектива, в том числе с участием третьей стороны;
Столкновение интересов различных личностей, групп внутри трудового коллектива.
Чтобы быть до конца объективными, необходимо предусматривать и третью группу (переменные угрозы) , которой при рассмотрении конкретной ситуации может и не быть, а отдельные ее факторы будут отнесены к внешним или внутренним угрозам. Прежде всего, это группа некоторых криминальных угроз, включающая в себя такие факторы, как повреждение оборудования и техники, систем жизнеобеспечения предприятия, преднамеренное похищение или уничтожение информации, лжебанкротство и преднамеренное банкротство предприятий.
Оговоримся сразу, что здесь мы не приводим конкретную матрицу угроз, так как она не может быть универсальной, исчерпывающей и единственно верной. В конечном счете, каждое предприятие будет самостоятельно определять существующие опасности, и оценивать их уровень.
После того как станут очевидными все горизонтальные и вертикальные связи как внутри компании, так и вне ее, выяснится, насколько полноценна имеющаяся инфраструктура безопасности, способна ли она контролировать и пресекать возникновение внутренних и внешних угроз безопасности бизнеса. Именно на этом этапе «команда улучшения» сможет обнаружить причины неэффективной деятельности СБ.
Чтобы выявить все ошибки и недостатки, необходимо оценить возможность оперативного получения информации, эффективного контроля и противодействия по всем источникам внешних угроз и безопасности всех бизнес-процессов, протекающих внутри компании. Выпадение хоть одного объекта контроля, процесса или работника из поля зрения, а также невозможность влияния на какие-либо управленческие решения однозначно указывают на ошибки в построенной на предприятии СБ.
Наиболее типичные крупные проблемы и недостатки СБ мы уже рассмотрели раньше. Однако, на первый взгляд, более мелкие недочеты могут оказаться не менее значимыми угрозами безопасности и привести к большим потерям.
Выявив все возможные проблемы, «команда улучшения» (исходя из структуры компании, ключевых бизнес-процессов, тактических и стратегических планов развития бизнеса) должна сформулировать задачи, которые необходимо решить в процессе оптимизации. Они же определят и наиболее оптимальную модель инфраструктуры безопасности.
И вот теперь, когда определена рациональная и эффективная структура СБ, получены все необходимые исходные данные, можно перейти непосредственно к прорисовке структуры бюджета и его формированию.
Некоторые расчеты, которые могут понадобиться при формировании бюджета
Расписывать структуру бюджета в рамках данной статьи дело неблагодарное и бесполезное, любой грамотный финансист успешно справится с этой задачей. Наша задача значительно более скромная — обосновать затраты при формировании бюджета.
Для облегчения продвижения проекта бюджета и обоснования расходов попробуйте разделить все ваши расходы на три уровня:
1. Обеспечение нужд высшего руководства (процессов управления);
2. Обеспечение бизнес-процессов;
3. Собственно обеспечение СБ.
Расходы по большинству статей бюджета не вызовут спора. А вот затраты на поиск и добывание информации, на приобретение новых технических средств и охранных систем необходимо грамотно обосновать. Порой достаточно эмоций, возникших у первых лиц компании и ее владельцев под воздействием внешних угроз. Но эмоции и испуг проходят быстро, а риски в бизнесе просто так не исчезают, а, как правило, возрастают. Именно стоимостная оценка рисков и вероятности угроз станет отправной точкой обоснования затрат.
Риск может быть определен, как стоимостное выражение вероятного события, ведущего к потерям. Риск потенциально вреден и опасен, но гораздо хуже — неопределенность, то есть состояние незнания угрозы, невозможность ее оценить и измерить.
Для наших целей необходима оценка уровней риска в абсолютных величинах, так как мы должны рассмотреть определенные виды потерь от конкретного вида угроз. При рассмотрении должны учитываться все виды потерь в стоимостном выражении: экономические, экологические, социальные и морально-психологические.
Максимальный предел допустимого риска может оцениваться по объему абсолютно ликвидных активов, включающих сумму денежных средств и ценных бумаг, находящихся в распоряжении компании. Этот предел ограничивает область абсолютной устойчивости (безрисковая зона) и область нормальной устойчивости (минимальный уровень риска) и соответствует примерно нижней границе области неустойчивого предприятия, определенной по методу анализа целесообразности затрат.
Порог банкротства, то есть критический уровень риска для большинства хозяйствующих субъектов может определяться по уровню капитализации бизнеса либо общей сумме оборотного капитала.
Используя объем абсолютно ликвидных активов как предельное значение допустимого риска (W) и планируя определенные издержки при благоприятном исходе (P), на основании метода комплексной оценки экономического риска мы можем определить плановое значение степени риска (b), которое понадобится в дальнейших расчетах:
Но беда не приходит одна. Эта народная мудрость абсолютна правильна и в нашем случае, а значит, показатели «b» от различных рисков должны суммироваться. Однако сама по себе суммарная оценка уровней риска и, следовательно, оценка суммы потерь будут недостаточно корректны без учета возможности наступления угрозы, ведь практически исключается их совпадение в один момент, даже самый неблагоприятный. Поэтому параллельно должна производиться оценка вероятности наступления угроз.
Важно понимать, что не всегда возможно оценить вероятность проявления той или иной угрозы, однако для большинства из них такая оценка реальна.
Естественные природно-климатические угрозы поддаются достаточно объективной оценке на основании накопленного массива данных о сроках и периодах их наступления. Но, как показали события последних лет на Кубани, в Сибири, на Северном Кавказе, нельзя исключать и возрастающую угрозу подобных катастроф, вызванных как природными факторами, так и деятельностью, а зачастую — бездеятельностью человека. В этом случае статистическая оценка прошлых лет должна быть скорректирована эмпирическим путем с поправкой на возможную динамику событий.
Внешние политические и экономические угрозы также поддаются оценке специалистов, но с меньшей вероятностью. В этом случае погрешность необходимо учитывать в той или иной степени, в зависимости от направления бизнеса.
Внешние и внутренние угрозы, вызванные деятельностью конкретных людей, поддаются непосредственной оценке и регистрации их систематичности. Здесь при работе специалистов погрешность оценки вероятности их проявления минимальна.
Частота проявления угроз может быть оценена соответствующими коэффициентами по специальной таблице:
Частота проявления — Коэффициент
Более одного раза в день — 1
Один раз в день – 0,9
Один раз в три дня – 0,8
Один раз в неделю – 0,7
В две недели – 0,6
В четыре месяца – 0,4
Менее одного раза в три года – 0,1
Допуская вероятность и даже необходимость эмпирического метода оценки, для уменьшения погрешности расчетов до допустимого предела необходимо оценивать весь возможный комплекс угроз в целом.
Получив коэффициент вероятности наступления различных угроз (z) и применив его в расчетах оценки уровней риска, мы корректируем рассмотренные нами формулы и получаем значение Bz — суммы рисков для существования бизнеса при неблагоприятных условиях с учетом вероятности их наступления:
Это позволит нам получить наиболее объективный показатель Pz, определяющий возможную сумму потерь при неблагоприятных условиях с учетом вероятности их наступления угроз:
Определив на конкретных финансовых показателях, насколько возможные убытки превышают предел допустимого риска (то есть угрожают самому бизнесу), мы поймем, что при наступлении комплекса угроз не так уж далеко и до банкротства. Вот теперь можно определить необходимый уровень комплекса мер по безопасности и избрать оптимальные средства и методы защиты интересов.
Казалось бы, существует прямая зависимость между размерами выделяемых средств на защиту и ее эффективностью. Однако это не всегда так. Грамотно построенные системы зачастую значительно дешевле и на порядок эффективнее.
Выбору средств и методов защиты посвящено немало книг и публикаций. Мы же остановимся на ключевых принципах, которые должны лежать в основе этого выбора:
2. Системность, динамичность и опережающее развитие;
3. Приоритетность задачи обеспечения безопасности;
4. Структурная оптимизация, комплексность подхода и интеграция систем;
5. Максимально достижимый уровень защиты при предельно допустимых затратах;
6. Абсолютная практическая и экономическая эффективность.
Прежде всего, необходимо понимать, что СБ хозяйствующего субъекта — это совокупность сил и средств, направленных на создание атмосферы безопасности, с учетом правового, финансового, информационного и физического обеспечения.
Как необходимый шаг оптимизации общего процесса обеспечения безопасности должно рассматриваться построение комплексной системы управления и мотивации. Средства на материальное стимулирование обязательно должны быть заложены в бюджете компании. Грамотно построенная система мотивации и управления персоналом позволит в значительной мере обеспечить благонадежность работников в отношении собственной компании.
Для того чтобы при представлении окончательного варианта весь проект не «зарубили», должны быть соотнесены ресурсы компании и потребности на реализацию проекта. Именно здесь нужна личность руководителя «команды улучшения», имеющего соответствующие полномочия и владеющего необходимой информацией.
В завершение уместно обратить внимание читателей на то, что если ситуационный анализ и необходимая оптимизация деятельности не будут проводиться постоянно, то возврат СБ предприятия в свое прежнее состояние произойдет столь же быстро, как вам удалось добиться полученных результатов в первый раз. И не стоит обольщаться, что первый раз оптимизация была проведена быстро и успешно — во второй раз времени может и не хватить.
Именно регулярность и цикличность процедуры формирования и контроля бюджета определяет тот оптимальный рубеж, при котором необходимо проводить ситуационный анализ СБ хозяйствующего субъекта в целом.
Источник: www.s-director.ru
«Золотое сечение» безопасности, оценка работы СБ и другие секреты
Созданием системы безопасности компании руководители зачастую начинают заниматься, когда уже возникли реальные угрозы бизнесу. Это может привести к поспешной организации соответствующего подразделения или невнимательному выбору аутсорсинговой компании.
30.03.2017 00:00 7149
- метод «учебной тревоги». Данный метод хорошо зарекомендовал себя при проверке эффективности охранных мероприятий, разновидности этого метода – попытки несанкционированного проникновения на территорию, прохода по поддельным пропускам, имитация кражи или выноса материальных ценностей;
- метод соблюдения регламентов. Данный метод основан на контроле за выполнением регламентов по отдельным направлением деятельности (регламент проверки контрагента, регламент проверки кандидата на работу и т.д.);
- выполнение требований законодательства в области корпоративной безопасности;
- оценка на основе абсолютных и относительных показателей, которые можно подсчитать (процент краж, сумма предотвращенных хищений, выявленные нарушения в бизнес-процессах, взысканные долги и т.д.);
- метод оценки по количеству раскрытых нарушений. Данный метод опасен тем, что сотрудники СБ могут начать искусственно создавать нарушения, чтобы показать свою значимость и эффективность;
- метод оценки выполнения поставленных задач и планов;
- метод оценки по успехам — неудачам в деятельности компании. Эффективность данного метода тем выше, чем больше успех деятельности компании зависит от деятельности СБ;
- метод KPI (коэффициенты участия);
- экспертные оценки;
- метод оценки по совокупным показателям. Основу этого способа составляет разработанная в компании система показателей, которая может включать в себя объективные требования, знание теории и практики, общие результаты работы вверенного сектора компании, неплановые проверки и т.д.
Подчинение Службы безопасности:
- владельцу бизнеса (учредителю);
- генеральному директору (руководителю организации);
- акционерам.
Структура Службы безопасности:
- начальник;
- экономист;
- оперативник;
- аналитик;
- технарь;
- кибербезопасник;
- режимщик;
- контролер (аудитор).
Взаимодействие Службы безопасности:
- служба персонала;
- ИТ подразделение;
- юридическая служба;
- контрольно-ревизионное подразделение;
- маркетинговое подразделение;
- финансовое подразделение;
- основные бизнес подразделения.
При создании и функционировании Службы безопасности следует иметь в виду:
- в законодательстве отсутствует понятие «Служба безопасности». Поэтому это подразделение может носить разное название. Также отсутствует профессия «безопасник» и профессиональные стандарты по работе безопасника (за исключением информационной безопасности);
- нет четких должностных обязанностей у безопасника, в разных компаниях сотрудники Службы безопасности могут иметь разные должностные обязанности;
- идет тенденция к сокращению штата Службы безопасности. Многие задачи, решаемые безопасниками в 90-х, переданы на аутсорсинг или распределены между подразделениями. Безопасников используют там, где недостаточно текущего профессионализма сотрудника или профессиональные навыки нельзя было получить (например, умение вести визуальное наблюдение, расследовать инциденты и т.д.), а также там, где требуется осуществлять более жесткие контрольные или информационно-аналитические функции;
- в связи с сокращением штатов Службы безопасности безопасники переквалифицируются в риск-менеджеров или в комплаенс-менеджеров.
Особенности построения корпоративной безопасности в иностранных компаниях:
- слабое понимание иностранцами — как защищать бизнес в России;
- стремление соблюдать законодательство как в бизнесе, так и в мероприятиях по безопасности;
- угрозы имиджевых потерь оценивать сильнее, чем материальные потери;
- пытаются построить корпоративную безопасность на основе стандартов и взглядов, применяемых в их странах.
Начальник СБ должен отвечать следующим требованиям:
- быть лояльным к компании и его руководителю;
- уметь видеть и строить корпоративную безопасность как систему;
- быть специалистом в основной задаче, которая стоит перед безопасностью;
- понимать, что нужно бизнесу от безопасности
Задачи построения системы корпоративной безопасности:
- обеспечение устойчивого функционирования компании;
- предотвращение угроз безопасности компании;
- защита законных интересов компании;
- организация охранных мероприятий;
- защита информационных ресурсов компании;
- иные задачи, исходя из объектов безопасности
Законодательство в области корпоративной безопасности
- международное законодательство, включая международные стандарты;
- Конституция РФ
- Федеральные законы в форме кодексов (УК, КОАП, ГК, ТК, НК);
- Федеральные законы (о частной детективной и охранной деятельности, об ОРД, о коммерческой тайне, о персональных данных, об информации, информатизации и защите информации, о государственной тайне и т.д.);
- Указы Президента РФ и постановления Правительства РФ.
- ведомственные акты и стандарты (банковские стандарты, приказы Минфина, Минтруда, ФНС и т.д.);
- корпоративные акты и стандарты (например приказы госкорпораций или иностранных компаний);
- локальные акты предприятия в части обеспечения безопасности
Целью системы безопасности является своевременное выявление и предотвращение опасностей и угроз, обеспечение защищенности деятельности компании и достижения ей целей бизнеса.
Организация и функционирование системы безопасности компании должны осуществляться на основе следующих принципов.
- комплексность;
- своевременность;
- непрерывность;
- активность;
- законность;
- системность и плановость;
- целесообразность;
- дублирования;
- специализация;
- взаимодействие и координация;
- совершенствование;
- «не навредить бизнесу»;
- централизация управления;
- «золотое сечение» безопасности. Существуют три понятия: безопасность, скорость и дешевизна. Строя систему, можно выбрать только два из них. Система может быть безопасной и быстрой, но при этом она окажется очень дорогой. Она может быть безопасной и дешевой, но она будет медленной. Она может быть дешевой и быстрой, но небезопасной. Выбор оптимальной комбинации («золотого сечения») — прерогатива лиц, принимающих решения;
- персональная ответственность;
- минимальное использование человеческого фактора.
- ограничение полномочий;
- многорубежность систем безопасности;
- равнопрочность;
- сочетание гласности с конспирацией;
- психологическое воздействия на правонарушителя.
Средства обеспечения безопасности
- технические средства;
- организационные средства;
- информационные средства;
- финансовые средства;
- правовые средства;
- кадровые средства;
- интеллектуальные средства
Корпоративная безопасность достигается:
- созданием организационно защищенной структуры бизнеса;
- проведением мероприятий по защите компании
Организационно защищенная структура бизнеса:
- регистрация компании в оффшоре;
- разделение бизнеса на владеющие (активы) и операционные компании (договора); создание холдинга;
- использованием заемного капитала;
- отсутствием собственности (аренда помещений, лизинг оборудования и т.д.);
- обременение активов (например, использование залоговых схем);
- наличие филиалов и представительств;
- диверсификация бизнеса;
- установление защищенности принятия решения (распределение акций, выстраивание отношений с инвесторами, и т.д.);
- защищенная организационно-правовая форма (например, хозяйственное партнерство или непубличное акционерное общество);
- создание защищенных учредительных документов (в первую очередь Устав);
- выстраивание отношений с государством (не нарушать законы, выполнение социальных проектов, участие в политической жизни, поставка товаров и услуг для нужд государства, включение интересов государства и конкретных госчиновников в бизнес, финансирование госпроектов, создание лобби, благотворительность и т.д.);
- возможностью быстро вывести активы и уехать в другую страну.
Источник: uprav.ru
Стратегия экономической безопасности компании
Экономическая безопасность бизнеса НЕ научная дисциплина и не имеет общепринятых стандартов и определений. Однако многие пытаются облачить «экономическую безопасность» в рамки каких-то определений и стандартов: это и практические работники, занятые в области обеспечения безопасности бизнеса, и теоретики, преподающие эту дисциплину в учебных заведениях и авторы различных «авторских» курсов по безопасности бизнеса. Одни склоняются к определению что это «состояние защищенности» компании от внешних и внутренних угроз, которое состоит из баланса «Угрозы-Действия, минимизирующие угрозы». Другие считают, что экономическая безопасность – это «процесс обеспечивающий защиту компании от влияния внешних и внутренних угроз». И поскольку нет единого определения, нет универсальных решений то оба подходы в общем то верны и дополняют друг друга в части понимания предмета экономической безопасности. Теоретичность в экономической безопасности все же присутствует в части сущности явления и способов ее реализации. Когда мы говорим про Экономическую безопасность бизнеса, то в первую очередь мы говорим про предотвращение угроз, которые несут в себе материальные убытки для компании и являются умышленными деяниями самих сотрудников предприятий или сопряженных с предприятием физическихюридических лиц . Существует так называемый «Треугольник хищения» , иногда его называют «Треугольник мошенничества», который описывает саму суть совершения хищения в компаниях. Согласно модели этого треугольника, три сущности влияют на человека, провоцируя его совершить хищение в компании: наличие Возможности совершения хищения, то есть сотрудник имеет неконтролируемый доступ к материальным ценностям или чему-то иному, имеющему стоимость; наличие Давления каких-либо обстоятельств, при которых у сотрудника не остается иного выбора, как совершить хищение, и наличие Оправдания своего проступка чем либо, например, действиями других сотрудников или руководителей. И главная задача процесса «Экономическая безопасность» — это выявление этих Возможностей, описание их и формирование системы контролей для управления этими «возможностями». То есть по своей сути, Возможности – это те самые риски, которые выглядят не в виде ответа на вопрос ЧТО? А в виде ответа на вопрос КАК? может быть совершено хищение. Давление и Оправдание управляются в компаниях здоровой и действующей корпоративной культурой, которая скорее всего про идеологию, сознание, вовлеченность и любовь к компании, нежели про правила и ограничения. И для того, чтобы эта оценка «возможностей» была качественной и действительно эффективной, существуют Три эшелонированных линии защиты бизнеса:
- 1-я Линия защиты – сами бизнес функции.
- 2-я Линия защиты – функция безопасности, риски и комплаенс.
- 3-я Линия защиты – Внутренний аудит компании.
Как это работает?
1-я Линия защиты, это владельцы самих бизнес процессов, сами оценивают риски, присущие их процессам и самостоятельно пробуют управлять ими, поскольку никто кроме самих владельцев процессов лучше не знает свои проблемы и что с ними делать
2-я Линия защиты, помогает владельцам процессов с описанием их проблем, то есть с описанием рисков и угроз и выступают как эксперты в этой части. Функция безопасность, как участник 2-й Линии защиты, кроме того является так же активным помощником бизнес функциям по управлению их рисками и выступает в качестве сервисного подразделения
3-я Линия защиты, в лице подразделений внутреннего аудита является верификатором для советов директоров того, что бОльшая часть рисков понятна и действующая система контроля обеспечивает их управление. Кроме того, подразделения внутреннего аудита исследуя бизнес процессы, выявляют слабости контрольной среды и новые риски для управления ими, после чего совместно с обеими Линиями защиты разрабатывают комплекс мероприятий по формированию эффективной контрольной среды.
Стратегия развития Экономической безопасности бизнеса-это сопряженный с бизнесом и Стратегией развития бизнеса процесс и в общем то сам по себе документ «Стратегия безопасности». Стратегия безопасности не рождается сама по себе, она является органичным продолжением корпоративной Стратегии, которая описывает риски компании, стратегические цели в виде новых рынков сбыта, новых продуктов, новых производств, целевых показателей EBITDA и так далее. И целью Стратегии безопасности является помощь компании в достижении стратегических целей бизнеса.
Парадокс, но от того насколько правильно владельцы компаний задают вопрос генеральным директорам или советам директоров об эффективности безопасности, настолько они получают точный и верифицированный ответ. Если вопрос звучит как «а что у нас с безопасностью в компании», то и ответ получают такой же беспредметный «все хорошо, безопасность решает все наши проблемы». Насколько после такого ответа владельцы компаний остаются в комфорте, большой вопрос. Но если вопрос сформулировать иначе, например, «какие у нас в компании есть риски и какими контролями мы их закрываем», то в ответ уже получаем более предметную картину «вот такая карта рисков у нас в компании, вот этими контролями мы ими управляем (с подробным описанием рисков, контролей и ролевой модели функции безопасности». В данном случае владелец бизнеса может четко оценить насколько широта управляемых рисков совпадает с его понимаем бизнеса и насколько роль безопасности и их активности (контроли) адекватны его логики рассуждения.
В экономической безопасности, как и в любом ином бизнес процессе задействованы не только люди и правила, но и технологии . Самой главной технологией в процессе экономической безопасности является технология контролей. В общем сам процесс экономической безопасности состоит из контролей, суть которых – мониторинг бизнес процесса и выявление отклонений от нормы, либо индикация признаков, предшествующих отклонению от нормы. Технологии, используемые в процессе экономической безопасности, могут состоять из ручных контролей (например, инвентаризации, верификации договоров и результатов тендеров) так и из автоматизированных контролей (например, различные аналитические системы антифрод выявляющие отклонения в процессах, автоматизированные системы проверок партнеров, системы управления контролем доступа, системы видеоаналитики и машинного зрения и так далее). Все технологии в настоящее время развиваются достаточно интенсивно и очень тесно сопряжены с бизнес процессами, являясь сервисным инструментом для безопасности.
Определенным этапом развития каждой компании является этап формирования своей защиты от угроз, то есть формирование модели безопасности. И самый первый вопрос, который задают себе владельцы, генеральные директора и советы директоров, это «я хочу внедрить экономическую безопасность, с чего мне начать? ». Существуют два понятных, параллельных пути в ответе на этот вопрос:
- Необходимо провести аудит деятельности текущей моделисистемы безопасности предприятия: как она выглядит, какими рисками управляет, с помощью каких технологий, каким ресурсом, с каким эффектом.
- Необходимо провести аудит ключевых бизнес процессов с целью выявления достаточного набора рисков, которые несут в себе очевидную материальность и определенную вероятность реализации. И далее сформировать контроли по управлению этими рисками.
В итоге, под общую картину рисков и контролей формируется целевая модель функции безопасность с четко определенными ролями по видовым признакам рисков.
В заключении отмечу важный тезис: эффективный процесс экономической безопасности — это процесс работы на упреждение проблем, а не на реагирование в результате возникшей проблемы
Материал подготовлен на основании выступлений представителей ICSA на Межрегиональной научно-практической конференции «Актуальные вопросы региональной безопасности. Проблемы, решения, перспективы.» На площадке Союз «Липецкая Торгово-промышленная палата». 27 апреля 2023г.
От редакции:
В настоящее время проведение таких конференций очень актуально и дает хороший эффект внедрения новых технологий обеспечения безопасности. Это обусловлено выступлением профессионалов данного направления, в частности выступления специалистов из ICSA. Если Торгово-промышленные палаты регионов будут чаще проводить такие мероприятия, то от этого выиграю все.
Источник: www.sec-company.ru
