Статьи бизнес-тренеров

Менеджмент безопасности

Автор статьи - Вячеслав Панкратьев

Что является объектами обеспечения безопасности?

К объектам обеспечения безопасности обычно относят:

• бизнес-процессы;
• руководство и персонал;
• активы;
• финансовые средства;
• материальные ценности;
• технологии;
• информационные ресурсы;
• репутация компании;
• иные объекты

Кто должен заниматься обеспечением безопасности в компании?

Возможные варианты субъектов обеспечения безопасности:

• 1 вариант – обеспечением безопасности занимается руководство компании;
• 2 вариант – обеспечением безопасности занимается сотрудник, у которого есть иные должностные обязанности (работа по совместительству);
• 3 вариант – обеспечением безопасности занимается сотрудник, у которого эта работа входит в основные должностные обязанности (отдельная должность);
• 4 вариант – обеспечением безопасности занимается Совет по безопасности (совещательный орган) и сотрудник, у которого эта работа входит в основные должностные обязанности;
• 5 вариант – обеспечением безопасности занимается внешняя организация (абонентское обслуживание по вопросам безопасности);
• 6 вариант – обеспечением безопасности занимается Служба безопасности;
• 7 вариант – смешанный вариант из вышеперечисленных

Какие задачи стоят перед системой безопасности компании?

Задачи построения системы корпоративной безопасности:

• обеспечение устойчивого функционирования компании;
• предотвращение угроз безопасности компании;
• защита законных интересов компании;
• проведение охранных мероприятий;
• защита информационных ресурсов компании;
• иные задачи, исходя из объектов безопасности

Какие основные угрозы интересам компании?

Под угрозой безопасности компании следует понимать потенциально или реально возможное событие, действие, процесс или явление, которое способно нарушить её устойчивость и развитие или привести к остановке её деятельности.

Угрозы классифицируются:

• постоянные/временные;
• внешние/внутренние.

В соответствии с общей теорией безопасности выделяют пять базовых угроз:

• угрозы, связанные с конкурентной борьбой;
• угрозы, связанные с человеческим фактором;
• угрозы, связанные с деятельностью государства (коррупция, несовершенство законодательства, административный ресурс, политика и т.д.);
• угрозы, связанные с организованной преступностью;
• угрозы, связанные с техногенными и природными факторами.

Основные виды угроз предпринимательской деятельности:

1. физические

• преднамеренные (кражи, нападения, взломы, проникновения на территорию и т.д.);
• непреднамеренные (природные и технические)
• информационные
• преднамеренные (внутренние и внешние угрозы);
• непреднамеренные (некомпетентность пользователя, ошибки при разработке программного обеспечения, халатность, отказы технических средств и т.д.)

2. экономические

• преднамеренные (недобросовестная конкуренция, демпинг, промышленный шпионаж, шантаж и т.д.);
• объективные (инфляция, конкуренция, экономические кризисы и т.д.)
• юридические
• целенаправленные (заведомо неправильное оформление договоров, документов и т.д.);
• субъективные (юридические ошибки)

Угрозу можно классифицировать по различным основаниям и измерить их в количественных параметрах. Например, возможный ущерб оценивается числом погибших людей, потерявших (ухудшивших) здоровье, денежной сумме экономических потерь и т.д.

По степени вероятности угроза оценивается как:

• реальная, где вероятность может быть подсчитана, например, исходя из статистики, экспертным методом, методикой группового SWOT анализа и т.д.;
• потенциальная

По степени развития угроза проходит четыре этапа:

• возникновение;
• экспансия;
• стабилизация;
• ликвидация

Отдаленность угрозы во времени определяется как:

• непосредственная;
• близкая (до 1 года);
• далекая (свыше 1 года)

Отдаленность угрозы в пространстве определяется как:

• территория компании;
• прилегающая к компании территория;
• территория региона;
• территория страны;
• зарубежная территория

Темпы нарастания угрозы измеряются по месяцам, кварталам, годам.

Угрозы делятся по природе их возникновения на два класса:

• естественные (объективные), т.е. вызванные стихийными природными явлениями, не зависящими от человека (наводнения, землетрясения, ураганы и т.п.);
• искусственные (субъективные), т.е. вызванные деятельностью человека непреднамеренные (неумышленные) и преднамеренные (умышленные) угрозы

К угрозам безопасности личности относятся:

• похищения и угрозы похищения руководства, сотрудников, членов их семей и близких родственников;
• убийства или насилие;
• психологический террор, угрозы, запугивание, шантаж, вымогательство;
• нападение с целью завладения денежными средствами, ценностями или документами

К угрозам в отношении помещений (в том числе и жилых) относятся:

• взрывы;
• обстрелы из огнестрельного оружия;
• минирование;
• поджоги;
• нападение, вторжение, захваты, пикетирование, блокирование;
• повреждения входных дверей, решеток, ограждений, витрин, мебели, а также транспортных средств;
• технологические аварии, пожары

К угрозам финансовым ресурсам относятся (применительно к инвестиционным компаниям или банкам):

• не возврат кредитов;
• мошенничество со счетами и вкладами клиентов, а также с финансовой или бухгалтерской отчетностью;
• подделка платежных документов и пластиковых карт;
• хищение финансовых средств из касс и инкассаторских машин

К угрозам информационным ресурсам относятся:

• разглашение конфиденциальной информации;
• утечка конфиденциальной информации через технические средства;
• несанкционированный доступ к охраняемым сведениям со стороны конкурентных организаций и преступных группировок;
• уничтожение или несанкционированное изменение информации;
• блокирование или разрушение технических средств приема, передачи, обработки и хранения информации

По всем выявленным угрозам необходимо определить уровень в материальном (денежном) выражении. Надо оценить возможные потери от реализации каждой угрозы. В общем случае таковыми потерями можно считать произведение суммы возможного ущерба и вероятности его наступления.

Кроме того, по всем выявленным угрозам желательно предвидеть сценарий развития событий, а также модель потенциального правонарушителя.

Процесс борьбы с угрозами можно разделить на три этапа:

• предотвращение угроз (меры профилактического характера, когда угроза еще не действует, но потенциально существует);
• обнаружение угроз (меры, призванные выявить угрозу в момент ее появления);
• ликвидация последствий угроз (меры, которые принимаются после прекращения действия угрозы)

При оценке угроз безопасности применяются:

• теория надежности для определения угроз, создаваемых техническими средствами (сбои, отказы, ошибки и т.д.);
• математическая статистика для описания естественных угроз (природные явления, стихийные бедствия и т.д.);
• теория вероятности для описания угроз, создаваемых людьми по небрежности, халатности и т.д.;
• экспертные методы для описания умышленных угроз

Какие принципы построения корпоративной безопасности?

Организация и функционирование системы безопасности компании должны осуществляться на основе следующих принципов:

• комплексность. Принцип комплексности предполагает обеспечение безопасности всех сторон деятельности компании (безопасность персонала, материальных и финансо­вых ресурсов, информационных ресурсов и т.д.);
• своевременность. Принцип своевременности предполагает упреждающий характер мер обеспечения безопасности. Своевременность также предполагает постановку задач по комплексной безопасности на ранних стадиях разработки системы безопасности на основе анализа и прогнозирования обстановки, угроз безопасности, а также разработку эффективных мер предупрежде­ния посягательств на интересы компании;
• непрерывность. Принцип непрерывности предполагает постоянное применение защитных мер. Наиболее эффективным считается непрерывный цикл «планирование – реализация –проверка – совершенствование - планирование-…»;
• активность. Принцип активности предполагает осуществление защиты интересов компании с необходимой и достаточной степенью настойчивости, широко используя маневр силами и средствами обеспечения безопасности и нестандартные меры защи­ты;
• законность. Принцип законности предполагает разработку системы безопасности на основе федерального законодательства в области предприниматель­ской деятельности, информатизации и защиты информации, частной охранной деятельности, а также других нормативных актов по бе­зопасности, утвержденных органами государственного управления в пределах их компетенции, с применением всех дозволенных методов обнаружения и пресечения правонарушений;
• системность и плановость Системность предполагает учет всех факторов, оказывающих влияние на безопасность компании, включение в деятельность по ее обеспечению всех сотрудников подразделений, использование в этой деятельности всех сил и средств. Деятельность по обеспечению безопасности должна также строиться на основе комплексной программы обеспечения безопасности компании, подпрограмм обеспечения безопасности по основным его видам (экономическая, научно-техническая, экологическая, технологическая и т.д.) и разрабатываемых для их исполнения планов работы подразделений компании и отдельных сотрудников;
• целесообразность. Принцип целесообразности предполагает экономическую целесообразность и сопоставимость возможного ущерба и затрат на обеспечение безопасности (критерий "эффектив­ность — стоимость");
• дублирования. Данный принцип предполагает дублирование средств защиты;
• специализация. Принцип специализации предполагает привлечение к разработке и внедрению мер и средств защиты специализированных организаций, наиболее подготовленных к конкретному виду деятельности по o6eспечению безопасности, имеющих опыт практической работы и государственную лицензию на право оказания услуг в этой области;
• взаимодействие и координация. Принцип взаимодействия и координации предполагает осуществление мер обеспечения безопасности на основе четкого взаимодействия всех заинтересованных подразделений и служб, сторонних специали­зированных организаций в этой области, координацию их усилий для достижения поставленных целей, а также интеграцию деятельности с органами государственного управления и правоохранительными орга­нами;
• совершенствование. Принцип совершенствования предусматривает совершенствование мер и средств защиты на основе собственного опыта, появления новых технических средств с учетом изменений в методах и средствах разведки и промышленного шпионажа, нормативно-технических требований, накопленного отечественного и зарубежного опыта;
• централизация управления. Принцип централизации управления предполагает самостоятельное функционирование системы безопасности по единым организацион­ным, функциональным и методологическим принципам с централизо­ванным управлением деятельностью системы безопасности;
• золотое сечение безопасности. Существуют три понятия: безопасность, скорость и дешевизна. Строя систему, можно выбрать только два из них. Система может быть безопасной и быстрой, но при этом она окажется очень дорогой. Она может быть безопасной и дешевой, но она будет медленной. Она может быть дешевой и быстрой, но небезопасной. Выбор оптимальной комбинации (золотого сечения) - прерогатива лиц, принимающих решения;
• персональная ответственность. В соответствии с этим принципом каждый сотрудник компании или ее партнер несет персональную ответственность за соблюдение режима безопасности в рамках своих полномочий или соответствующих инструкций. Ответственность за нарушение режима безопасности должна быть заранее конкретизирована и персонифицирована. При этом корпоративная безопасность должна строиться таким образом, чтобы при любом ее нарушении был четко известен или минимизирован круг лиц, могущих быть причастными к совершению правонарушения. Это не только облегчает расследование ЧП, но и служит эффективным средством добросовестного выполнения служебных обязанностей и удержания потенциальных нарушителей от противоправных действий;
• минимальное использование человеческого фактора. Старая сицилийская пословица гласит, что «человек, который играет один, никогда не проигрывает», поэтому системы безопасности, рассчитанные на использование многочисленного «человеческого фактора», как правило, являются ненадежными;
• ограничение полномочий. Данный принцип одновременно относится как к персоналу, так и средствам защиты и обработки информации. При этом он включает в себя и проблему доступа. Вероятность нарушения коммерческой тайны или нормального функционирования компании прямо пропорциональна количеству осведомленных лиц. Никому не следует знакомиться с конфиденциальной информацией, если это не требуется для выполнения его должностных обязанностей. Второй составляющей этого принципа является необходимость запрета физического доступа к особо уязвимым зонам для лиц, пребывание которых там не требуется по роду деятельности. Третья составляющая определяет минимизацию любых средств, с помощью которых выполняются функциональные обязанности персонала и действия клиентов. Например, при обработке информации в ПЭВМ необходимо иметь минимальный состав ПО, обеспечивающий функциональную деятельность сотрудника. В противном случае появляются дополнительные возможности для несанкционированных действий;
• многорубежность систем безопасности;
• равнопрочность. Необходимость равнопрочности рубежей защиты можно показать на примере. Если по периметру здания некоторые окна не будут оборудованы защитными металлическими решетками, то прочность и надежность остальных решеток не имеет значения;
• сочетание гласности с конспирацией;
• психологическое воздействия на правонарушителя.

Что включает в себя система безопасности компании?

Система безопасности компании включает в себя подсистемы:

• информационная безопасность;
• кадровая безопасность;
• экономическая безопасность;
• личная безопасность;
• инженерно-техническая безопасность;
• техническая безопасность;
• IT – безопасность;
• правовая защита бизнеса

Какие способы функционирования системы безопасности компании?

Способы функционирования системы безопасности:

• «одевание брони»;
• изменение местоположения;
• устранение угрозы;
• маскировка истинного положения дел

Что такое Служба безопасности компании?

Служба безопасности (СБ) – подразделение компании, обеспечивающее или организующее безопасность компании.

СБ, как и любое другое подразделение компании, должно иметь положение о подразделении, утвержденное руководителем компании. Под положением понимается правовой акт, определяющий свод правил, регулирующих деятельность СБ, её взаимоотношения с другими подразделениями компании и сотрудниками, права и обязанности в сфере её деятельности. В положении о СБ целесообразно включить следующие разделы:

• общие положения;
• основные задачи;
• функции;
• права и обязанности;
• руководство;
• взаимоотношения и связи;
• имущество и средства;
• контроль, проверка и ревизия деятельности;
• реорганизация и ликвидация.

К основным задачам СБ как правило относится:

• организация работ по созданию корпоративной безопасности;
• создание нормативно-правовой базы компании, регламентирующей безопасность компании и осуществление контроля за ее выполнением;
• координация действий сотрудников и подразделений компании по вопросам обеспечения безопасности;
• взаимодействие с государственными и правоохранительными органам по вопросам, затрагивающим безопасность компании;
• взаимодействие с аутсорсинговыми организациями, представляющими услуги по корпоративной безопасности;
• организация защиты конфиденциальной информации;
• информационно-аналитическая работа по обеспечению безопасности компании;
• анализ финансовой деятельности компании с целью предотвращения и вычисления противоправных действий, наносящих ущерб интересам компании (воровство, откаты, мошенничество, коммерческий подкуп и т.д.);
• проведение мероприятий, направленных на обеспечение кадровой безопасности компании;
• проведение внутрикорпоративных расследований по фактам совершения противоправных действий со стороны персонала компании;
• консультирование и предоставление рекомендаций руководству и персоналу компании по вопросам обеспечения безопасности;
• организация работ по охране имущества компании;
• организация работ по инженерно-техническому оборудованию компании с целью обеспечения ее безопасности.

Как проверять работу сотрудников Службы безопасности компании?

Методы проверки работы Службы безопасности могут быть следующие:

• метод «учебной тревоги». Данный метод хорошо зарекомендовал себя при проверки эффективности охранных мероприятий, разновидности этого метода – попытки несанкционированного проникновения на территорию, прохода по поддельным пропускам, имитация кражи или выноса материальных ценностей;
• метод соблюдения регламентов. Данный метод основан на контроле за выполнением регламентов по отдельным направлением деятельности (регламент проверки контрагента, регламент проверки кандидата на работу и т.д.);
• метод оценки по количеству раскрытых нарушений. Данный метод опасен тем, что сотрудники СБ могут начать искусственно создавать нарушения, чтобы показать свою значимость и эффективность;
• метод оценки по успехам - неудачам в деятельности компании. Эффективность данного метода тем выше, чем больше успех деятельности компании зависит от деятельности СБ;
• метод коэффициентов. Для того чтобы оценить эффективность СБ с помощью коэффициентов, следует определить сами коэффициенты. Необходимо, чтобы они были ориентированы на конечный результат в конкретном направлении. Например, коэффициент качества отбора кандидатов (Кк) — отношение количества сотрудников, уволенных за мошенничество (либо подозреваемых) из числа принятых за исследуемый период (У), к общему числу принятых на работу за этот же период (П): Кк = У/П. Очевидно, что идеальное состояние данного коэффициента равно нулю, а чем ближе его значение к единице, тем больше оснований говорить о полной некомпетентности СБ.
• экспертный метод. Суть этого метода сводится к тому, что в компании выделяют группу специалистов (обычно топ-менеджеров), так или иначе связанных с работой СБ. Они становятся экспертами. По окончании отчетного периода каждый из них оценивает работу СБ по некоторой условной шкале (например, от 0 до 5). Затем высчитывается средний показатель, который и является оценкой работы СБ за данный период.
• метод оценки о системе «BARS». Для применения этого метода необходимы эксперты (группа Б) и специалисты для подготовки методики (группа А). Лучше, если это будут люди, тесно связанные с работой СБ или даже принимающие в ней непосредственное участие. Эксперты группы А описывают специфические ситуации эффективного и неэффективного исполнения обязанностей либо каждого сотрудника СБ в отдельности, либо всей службы в целом. Далее полученные родственные (сходные) ситуации объединяют в небольшие группы, которые затем кратко характеризуются. Эти же специалисты ранжируют поведение, описанное в каждом случае, внутри группы с помощью 7–9-уровневых шкал. Эксперты группы Б с определенной периодичностью проводят оценку СБ по выведенным шкалам при помощи установленных критериев;
• метод оценки по совокупным показателям. Основу этого способа составляет разработанная в компании система показателей, которая может включать в себя объективные требования, знание теории и практики, общие результаты работы вверенного сектора компании, неплановые проверки и т.д.

Как происходит подготовка к созданию системы безопасности компании?

Подготовка к созданию системы безопасности компании осуществляется по следующей схеме:

• постановка проблемы;
• изучение вопроса (рассмотрение всех возможных угроз, определение вероятного противника);
• анализ существующей ситуации;
• прогноз развития событий;
• выработка рациональной политики исходя из уровня финансирования;
• принятие решений

При анализе существующей ситуации рекомендуется учитывать следующее:

• политическую и экономическую ситуацию в стране и регионе;
• предсказуемость поведения административных структур и направления проводимой ими политики;
• состояние правовой базы в области деятельности компании;
• наличие материально-сырьевых, товарных, трудовых и иных ресурсов в месте расположения компании;
• криминогенная ситуация в регионе;
• состояние рыночной среды, инфраструктуры рынка, в том числе рынка сбыта;
• конкурентоспособность продукции (услуг), выпускаемой компанией, определение уровня цен и платежеспособности населения;
• анализ возможностей по установлению деловых контактов, наличие реальных и потенциальных конкурентов;
• анализ партнеров по деловым связям, их платежеспособности;
• анализ состояния безопасности самой компании, в том числе оценка состояния обеспечения компании различными ресурсами, степень защищенности объектов безопасности, надежность кадрового потенциала, состояние финансовой, информационной, кадровой, технико-технологической, экономической, силовой составляющей безопасности, возможности компании по созданию, содержанию и оснащению собственной службы безопасности и т.д.

При определении уровня финансирования системы безопасности нужно учитывать:

• система безопасности является непроизводственной сферой, она не зарабатывает деньги, она способствует их сохранению;
• полноценная отдача от системы безопасности в целом может быть получена примерно через полгода после начала ее создания, хотя отдельные подсистемы могут начать активно функционировать и выполнять поставленные задачи с первых дней;
• обеспечение высокого уровня безопасности требует больших финансовых вложений

При определении уровня угроз компании ее руководитель должен учитывать

• насколько руководитель компании доверяет своим сотрудникам и как сильно они могут его «подвести»;
• в каком состоянии находится сектор рынка, в котором работает компания, есть ли в нем "монстры", как часто происходит передел сфер влияния, насколько остро идет борьба за клиента, как проявляется конкуренция, какие отношения с конкурентами и кто за этими конкурентами стоит;
• как складываются у руководства компании отношения с государственными органами, в особенности с правоохранительными и контролирующими;
• какие у руководства компании отношения с криминалом

Какие особенности построения безопасности в условиях экономического кризиса

Период экономического кризиса характеризуется:

• снижением финансирования мероприятий, направленных на обеспечение безопасности компании;
• снижением количества оборотных денег и сложности с получением кредитов;
• изменением направлений деятельности компании и организационной структуры компании;
• снижением заработной платы сотрудников и общего уровня жизни;
• отсутствием полной загрузки сотрудников работой с предоставлением вынужденных неоплачиваемых отпусков;
• массовыми увольнениями сотрудников;
• изменением законодательства, регламентирующее вопросы корпоративной безопасности (настоящее время);
• обострением отношений между акционерами (совладельцами) компании;
• увеличением случаев невыполнения договорных обязанностей контрагентов и увеличением задолженностей по платежам.

В период экономического кризиса построение системы безопасности имеет следующие особенности:

• определение направлений работы, выполнение которой надо оставить за сотрудниками СБ и направлений работы, которую можно отдать на аутсорсинг;
• реорганизация СБ исходя из снижения объема решаемых задач, в связи с передачей части функций на аутсорсинг;
• внесение изменений в концепцию обеспечения безопасности компании или создание новой концепции исходя из особенностей обеспечения безопасности компании в период проведения антикризисных мероприятий;
• привлечение СБ к проведению антикризисных мероприятий в компании;
• проведение активных мероприятий с увольняемыми сотрудниками с целью недопущения нанесения ими ущерба интересам компании после увольнения;
• увеличение количества мероприятий по проведению внутрикорпоративных расследований;
• увеличение количества проводимых мероприятий по предупреждению и раскрытию фактов воровства, мошенничества и иных противоправных действий;
• усиление информационно-аналитической работы, направленной на вычисление ненадежных партнеров и контрагентов;
• увеличение количества мероприятий, направленных на взыскание дебиторской задолженности.

Какой основной документ, регламентирующий построение системы корпоративной безопасности?

После проведения анализа ситуации переходят к созданию основного документа, регламентирующего деятельность по обеспечению безопасности компании. Этот документ обычно называется Концепция обеспечения безопасности компании или Политика безопасности компании. Он обязательно утверждается у руководства компании. Структурно он может состоять из следующих разделов:

Раздел 1. Описание ситуации в области безопасности компании

• определение состояния окружающей конкурентной среды;
• анализ экономического состояния компании, его ресурсного потенциала, степени защищенности объектов безопасности, надежности кадрового потенциала, состояния его функциональных составляющих: финансовой, кадровой и интеллектуальной, правовой, информационной, технико-технологической, экологической, силовой и т. д.;
• выявление потенциальных и реальных угроз и экономических рисков, их ранжирование по степени значимости или опасности по времени наступления или величине возможно нанесенного ущерба;
• определение причин и факторов зарождения угроз и экономических рисков;
• прогнозирование возможных негативных последствий отдельных угроз и экономических рисков, расчет возможного ущерба;
• формулировка проблемной ситуации

Раздел 2. Определение целевой установки обеспечения безопасности

• формулирование политики и стратегии безопасности;
• определение цели безопасности;
• постановка задач, способствующих достижению цели и реализации сформулированной политики и выбранного типа стратегии.

Раздел 3. Построение системы безопасности компании

• функций системы безопасности компании и выбор тех принципов, на которых она строится;
• определение объектов безопасности и анализ состояния их защищенности;
• создание органов (субъектов) обеспечения безопасности;
• разработка механизмов обеспечения безопасности;
• создание организационной структуры управления системой безопасности компании

Раздел 4. Разработка методов оценки состояния безопасности компании

• определение основополагающих критериев и показателей состояния безопасности компании;
• выбор методов оценки состояния безопасности компании;
• формирование системы методов анализа экономических рисков

Раздел 5. Расчет сил и средств, необходимых для обеспечения безопасности

• расчет необходимого количества материально-технических ресурсов, средств защиты и охраны объектов безопасности;
• определение необходимого количества людских ресурсов и затрат на их содержание и стимулирование труда;
• определение финансовых затрат, необходимых для обеспечения безопасности компании;
• сопоставление необходимых затрат с возможным ущербом от воздействия угроз и экономических рисков

Раздел 6. Разработка мер по реализации основных положений концепции безопасности компании

• определение условий, необходимых и достаточных для реализации концепции;
• нахождение источников ресурсного обеспечения концепции;
• выделение финансовых средств для реализации концепции;
• разработка стратегического плана (или программы), а также планов работы структурных подразделений службы безопасности по решению задач, определенных концепцией;
• подготовка профессиональных кадров для службы безопасности, а также обучение сотрудников компании (в части, их касающейся) вопросам соблюдения правил безопасности, действиям в чрезвычайных ситуациях, правилам пропускного режима, работы с документами, соблюдению коммерческой тайны и т. д.;
• создание определенного типа службы безопасности и организация ее управления;
• установление технических средств защиты;
• контроль за выполнением основных положений концепции безопасности;
• развитие системы безопасности компании, постоянная адаптация ее к изменяющимся условиям, совершенствование форм и методов ее работы