Авторські блоги та коментарі до них відображають виключно точку зору їхніх авторів. Редакція ЛІГА.net може не поділяти думку авторів блогів.
04.06.2019 17:06
Безопасность бизнеса. Пришло время изменить стандартные подходы
Ігор ШевцовРадник з безпеки СЕО Корпорація "Біосфера"
Тенденция такова — сейчас перестают работать традиционные процедуры и необходимо менять сам подход к построению защиты всех процессов компании. Как это сделать?
На вопросы «кто отвечает за безопасность бизнеса?» подавляющее большинство владельцев бизнеса без колебаний скажет — директор службы безопасности. Однако не всегда ответ на этот вопрос столь очевиден. Кто отвечает за стратегические решения? Владелец скажет, что он, и будет прав. Путь, по которому выстраивается корпоративная безопасность — это стратегическое решение владельцев бизнеса.
Высшему руководству компании принадлежит ключевая роль в разработке концепции корпоративной безопасности, определении необходимого уровня защиты, предоставлении полномочий на проведение оперативных мероприятий, осуществление финансирования деятельности по поддержанию работоспособности системы корпоративной безопасности. И не важно, владеете вы структурированным холдингом или компанией, которая быстро развивается, если вы не уделяете внимание корпоративной безопасности — ваш бизнес обречен.
Современный уровень развития технологий дает бизнесу небывалую ранее динамику развития, но одновременно такая же динамика появляется и у злоумышленников. В такой ситуации перестают работать традиционные подходы к безопасности, и необходимо менять сам подход к построению защиты всех процессов компании. Служба безопасности должна завоевать место «за столом в бизнесе», чтобы своевременно реагировать на существующие и новые угрозы.
В Украине до недавнего времени отсутствовало понимание, что такое корпоративная безопасность, не говоря уже о возможности пройти обучение на предмет построения комплексной защиты бизнеса. О ряде подсистем корпоративной безопасности рассказывали узкопрофильные специалисты, которые делились своим опытом исключительно в рамках своей компетенции, не понимая, что эти подсистемы должны эффективно взаимодействовать и дополнять друг друга. На своих семинарах адвокаты и юристы рассказывают о правовой безопасности, HR-специалисты — частично о кадровой безопасности, финансовые аудиторы — о рисках финансово-экономической безопасности и так далее.
В 2018 году на базе Ассоциации профессионалов корпоративной безопасности Украины (АПКБУ), был запущен курс «Руководитель корпоративной безопасности», который позволил структурировать знания о корпоративной безопасности и на примере практических кейсов интегрировать процессы корпоративной безопасности в процессы корпоративного управления. Аудиторию курса составляют преимущественно члены наблюдательных советов и советов директоров, руководители служб безопасности и юридических департаментов, комплаенс-офицеры и, что стало самой большой неожиданностью, владельцы бизнесов. Также знаковым событием стало создание в Украине отделения Американского общества промышленной безопасности (ASIS International), что в дальнейшем будет способствовать имплементации лучших мировых стандартов в этой области, обмену опытом и применению лучших практик безопасности в Украине.
В моей практике был кейс, связанный со злоупотреблениями топ-менеджера, который работал в иностранном представительстве глобальной корпорации в Украине. Он сумел организовать параллельный бизнес, несмотря на соответствующий запрет в соответствии с политиками корпорации. Сформировал подконтрольную ему команду в представительстве и реализовывал продукцию этого холдинга своей компании, предоставляя ей лучшие условия и скидки, создав таким образом прокладку между производителем и потребителем. Эта схема работала несколько лет, и, наверное, существовала бы до сих пор, если бы не возникшая жадность к «бонусам» подчиненных работников. Один из них обиделся на руководителя из-за размера своего вознаграждения за участие в схеме и воспользовался случаем проверить, как работает «горячая линия». В главном офисе на обращение оперативно отреагировал Chief Security Officer (CSO). Было организовано и успешно проведено внутреннее расследование, а в дальнейшем — и кризисное увольнение указанного топ-менеджера с участием внешних украинских юристов и адвокатов, консультантов по форензик и безопасности. Даже руководители и владельцы иностранных компаний, которые открывают в Украине представительства, имея глобальные политики, прописанные бизнес процессы и процедуры, корпоративную культуру, систему бонусов, «белую» заработную плату и другие контрольно-стимулирующие механизмы, не понимают, что могут возникнуть другие риски, ведь управлять представительствами будут украинские топ-менеджеры. Объясняется это тем, что внутренние и внешние риски для бизнеса в Украине отличаются от западных.
Это хорошо, что ситуация стала известна CSO, а если бы всех все устраивало, то неизвестно, когда и вообще стало бы известно о злоупотреблениях топ-менеджера. Это случилось из-за того, что в представительстве отсутствует система финансово-экономической и кадровой (внутренней) безопасности, антикоррупционный комплаенс.
В основном руководители служб безопасности украинских компаний — выходцы из силовых ведомств, при отсутствии понимания, как устроен бизнес, как он работает и взаимодействует с бизнес средой, строят безопасность по принципу работы Главка МВД, СБУ или ДФС. Учитывая отсутствие соответствующих знаний просто обеспечить беспроблемную, бесперебойную, бесконфликтную работу предприятия без потери активов и положения на рынке, еще и обеспечить стратегическое развитие бизнеса. Стоит отметить, что построение системы безопасности бизнеса фармацевтической компании отличается от агрохолдинга, производственной компании — от дистрибьюторской, ритейла — от финансового учреждения. Везде есть своя специфика, и без знаний, понимания и опыта работы в том или ином бизнесе существует вероятность не учесть риски, присущие конкретной отрасли.
Выстроенная такими специалистами система безопасности компании не может гарантировать надлежащую защищенность бизнеса от базовых угроз. Поверхностные знания и отсутствие систематического обучения в сфере корпоративной безопасности ведут к тому, что система корпоративной безопасности не совершенствуется параллельно с развитием бизнеса. Важно понимать: «Безопасность — это постоянный процесс, а не конечный продукт».
И здесь возникает логичный вопрос: «Как обезопасить бизнес и оценить степень его защищенности, в том числе и при наличии службы безопасности?». Ответ очевиден — необходимо провести аудит безопасности. Важно также понимать, что систематическое проведение такого аудита имеет большое значение для поддержания системы корпоративной безопасности в соответствии с новыми потребностями, ростом самой компании, возникновением новых бизнес-процессов и изменений стандартов безопасности. И не менее важный момент — контроль собственной службы безопасности на соответствие всем требованиям.
Основой для проведения аудита корпоративной безопасности является выяснение того, насколько владелец бизнеса заинтересован в создании действительно работающей системы корпоративной безопасности, воплощена ли эта заинтересованность в четко сформулированные политики компании, осознает ли владелец необходимость осуществления существенных затрат на обеспечение надлежащего уровня безопасности. Если этого базового фундамента нет, то дальнейшие разговоры на тему безопасности бессмысленны, и компании можно только посочувствовать.
Из личной практики аудита и построения систем корпоративной безопасности можно сказать, что в основном компании имеют локальные нормативные акты, регулирующие ряд вопросов корпоративной безопасности — перечень инсайдерской информации, имеют систему внутреннего аудита и положение о ней. Также существует ряд утвержденных политик — дивидендная, информационная и др. В годовых отчетах компаний даже раскрывается их видение рисков, обязательные финансовые показатели, сведения об органах управления, крупные сделки и сделки с заинтересованностью.
В то же время пока можно отметить и ряд существенных недостатков систем корпоративной безопасности. Например, отсутствует собственный Кодекс корпоративного управления и Кодекс этики, отсутствует система урегулирования корпоративных конфликтов, урегулирования конфликта интересов как среди работников, так и среди акционеров, членов совета директоров, исполнительных органов, отсутствует антикоррупционная политика, деловая (корпоративная)разведка, владелец и ключевые топ-менеджеры не имеют физической защиты, отсутствует действующая кризисная группа и многое другое.
Сам аудит безопасности — это комплексное решение в сфере коммерческой безопасности, которое представляет собой всестороннее изучение состояния защищенности бизнеса на предмет выявления внешних и внутренних угроз. Выстроенная система корпоративной безопасности представляет собой инструмент, который позволяет избежать потерь, приумножить капитал и сохранить приобретенное для следующих поколений.
При проведении аудита корпоративной безопасности бизнеса я использую Global Security Assessment (GSA) — программным комплексом, позволяющим провести анализ зрелости системы корпоративной безопасности, разработанным на базе международных стандартов безопасности, научных работ и диссертаций по вопросам безопасности, профильной литературы отечественных и зарубежных авторов, а также практического опыта профессионалов корпоративной безопасности, адаптированного под украинский рынок. Аналитический модуль GSA консолидировал в себе check-list с более 1600 вопросов по структуре и подсистем корпоративной безопасности.
Результаты аудита максимально конкретны — он дает объективное представление об уязвимости и рисках, дает оценку текущего уровня защищенности бизнеса в соответствии с существующими стандартами в сфере антикоррупционного комплаенса, риск-менеджмента, менеджмента систем информационной безопасности, а также других международных стандартов и систем корпоративной безопасности и предоставляет четкие рекомендации по внедрению новых и повышению эффективности существующих механизмов безопасности.
Поэтому на вопрос: «кто отвечает за безопасность?» ответ один — собственник. И даже не только за безопасность бизнеса, но и за личную безопасность, безопасность своей семьи. Не стоит забывать и об обеспечении правопреемства собственности и бизнеса. Ответственность за организацию системы корпоративной безопасности и поддержании ее в надлежащем состоянии лежит уже на директоре службы безопасности.
