Безопасность бизнеса. Пришло время изменить стандартные подходы

Тенденция такова — сейчас перестают работать традиционные процедуры и необходимо менять сам подход к построению защиты всех процессов компании. Как это сделать?

На вопросы «кто отвечает за безопасность бизнеса?» подавляющее большинство владельцев бизнеса без колебаний скажет — директор службы безопасности. Однако не всегда ответ на этот вопрос столь очевиден. Кто отвечает за стратегические решения? Владелец скажет, что он, и будет прав. Путь, по которому выстраивается корпоративная безопасность — это стратегическое решение владельцев бизнеса. 

Современный уровень развития технологий дает бизнесу небывалую ранее динамику развития, но одновременно такая же динамика появляется и у злоумышленников. В такой ситуации перестают работать традиционные подходы к безопасности, и необходимо менять сам подход к построению защиты всех процессов компании. Служба безопасности должна завоевать место «за столом в бизнесе», чтобы своевременно реагировать на существующие и новые угрозы.

В Украине до недавнего времени отсутствовало понимание, что такое корпоративная безопасность, не говоря уже о возможности пройти обучение на предмет построения комплексной защиты бизнеса. О ряде подсистем корпоративной безопасности рассказывали узкопрофильные специалисты, которые делились своим опытом исключительно в рамках своей компетенции, не понимая, что эти подсистемы должны эффективно взаимодействовать и дополнять друг друга. На своих семинарах адвокаты и юристы рассказывают о правовой безопасности, HR-специалисты — частично о кадровой безопасности, финансовые аудиторы — о рисках финансово-экономической безопасности и так далее.

В 2018 году на базе Ассоциации профессионалов корпоративной безопасности Украины (АПКБУ), был запущен курс «Руководитель корпоративной безопасности», который позволил структурировать знания о корпоративной безопасности и на примере практических кейсов интегрировать процессы корпоративной безопасности в процессы корпоративного управления. Аудиторию курса составляют преимущественно члены наблюдательных советов и советов директоров, руководители служб безопасности и юридических департаментов, комплаенс-офицеры и, что стало самой большой неожиданностью, владельцы бизнесов. Также знаковым событием стало создание в Украине отделения Американского общества промышленной безопасности (ASIS International), что в дальнейшем будет способствовать имплементации лучших мировых стандартов в этой области, обмену опытом и применению лучших практик безопасности в Украине.

Это хорошо, что ситуация стала известна CSO, а если бы всех все устраивало, то неизвестно, когда и вообще стало бы известно о злоупотреблениях топ-менеджера. Это случилось из-за того, что в представительстве отсутствует система финансово-экономической и кадровой (внутренней) безопасности, антикоррупционный комплаенс.

В основном руководители служб безопасности украинских компаний — выходцы из силовых ведомств, при отсутствии понимания, как устроен бизнес, как он работает и взаимодействует с бизнес средой, строят безопасность по принципу работы Главка МВД, СБУ или ДФС. Учитывая отсутствие соответствующих знаний просто обеспечить беспроблемную, бесперебойную, бесконфликтную работу предприятия без потери активов и положения на рынке, еще и обеспечить стратегическое развитие бизнеса. Стоит отметить, что построение системы безопасности бизнеса фармацевтической компании отличается от агрохолдинга, производственной компании — от дистрибьюторской, ритейла — от финансового учреждения. Везде есть своя специфика, и без знаний, понимания и опыта работы в том или ином бизнесе существует вероятность не учесть риски, присущие конкретной отрасли. 

Выстроенная такими специалистами система безопасности компании не может гарантировать надлежащую защищенность бизнеса от базовых угроз. Поверхностные знания и отсутствие систематического обучения в сфере корпоративной безопасности ведут к тому, что система корпоративной безопасности не совершенствуется параллельно с развитием бизнеса. Важно понимать: «Безопасность — это постоянный процесс, а не конечный продукт».

И здесь возникает логичный вопрос: «Как обезопасить бизнес и оценить степень его защищенности, в том числе и при наличии службы безопасности?». Ответ очевиден — необходимо провести аудит безопасности. Важно также понимать, что систематическое проведение такого аудита имеет большое значение для поддержания системы корпоративной безопасности в соответствии с новыми потребностями, ростом самой компании, возникновением новых бизнес-процессов и изменений стандартов безопасности. И не менее важный момент — контроль собственной службы безопасности на соответствие всем требованиям.

Основой для проведения аудита корпоративной безопасности является выяснение того, насколько владелец бизнеса заинтересован в создании действительно работающей системы корпоративной безопасности, воплощена ли эта заинтересованность в четко сформулированные политики компании, осознает ли владелец необходимость осуществления существенных затрат на обеспечение надлежащего уровня безопасности. Если этого базового фундамента нет, то дальнейшие разговоры на тему безопасности бессмысленны, и компании можно только посочувствовать.

Из личной практики аудита и построения систем корпоративной безопасности можно сказать, что в основном компании имеют локальные нормативные акты, регулирующие ряд вопросов корпоративной безопасности — перечень инсайдерской информации, имеют систему внутреннего аудита и положение о ней. Также существует ряд утвержденных политик — дивидендная, информационная и др. В годовых отчетах компаний даже раскрывается их видение рисков, обязательные финансовые показатели, сведения об органах управления, крупные сделки и сделки с заинтересованностью.

В то же время пока можно отметить и ряд существенных недостатков систем корпоративной безопасности. Например, отсутствует собственный Кодекс корпоративного управления и Кодекс этики, отсутствует система урегулирования корпоративных конфликтов, урегулирования конфликта интересов как среди работников, так и среди акционеров, членов совета директоров, исполнительных органов, отсутствует антикоррупционная политика, деловая (корпоративная)разведка, владелец и ключевые топ-менеджеры не имеют физической защиты, отсутствует действующая кризисная группа и многое другое.

Сам аудит безопасности — это комплексное решение в сфере коммерческой безопасности, которое представляет собой всестороннее изучение состояния защищенности бизнеса на предмет выявления внешних и внутренних угроз. Выстроенная система корпоративной безопасности представляет собой инструмент, который позволяет избежать потерь, приумножить капитал и сохранить приобретенное для следующих поколений.

При проведении аудита корпоративной безопасности бизнеса я использую Global Security Assessment (GSA) — программным комплексом, позволяющим провести анализ зрелости системы корпоративной безопасности, разработанным на базе международных стандартов безопасности, научных работ и диссертаций по вопросам безопасности, профильной литературы отечественных и зарубежных авторов, а также практического опыта профессионалов корпоративной безопасности, адаптированного под украинский рынок. Аналитический модуль GSA консолидировал в себе check-list с более 1600 вопросов по структуре и подсистем корпоративной безопасности.

Результаты аудита максимально конкретны — он дает объективное представление об уязвимости и рисках, дает оценку текущего уровня защищенности бизнеса в соответствии с существующими стандартами в сфере антикоррупционного комплаенса, риск-менеджмента, менеджмента систем информационной безопасности, а также других международных стандартов и систем корпоративной безопасности и предоставляет четкие рекомендации по внедрению новых и повышению эффективности существующих механизмов безопасности.

Поэтому на вопрос: «кто отвечает за безопасность?» ответ один — собственник. И даже не только за безопасность бизнеса, но и за личную безопасность, безопасность своей семьи. Не стоит забывать и об обеспечении правопреемства собственности и бизнеса. Ответственность за организацию системы корпоративной безопасности и поддержании ее в надлежащем состоянии лежит уже на директоре службы безопасности.