Статья начальника отдела ИБ ООО "IT-TEAM SERVICE" Антона Ракитского вышла в журнале «Управление предприятием», издаваемом Международным центром финансово-экономического развития - Узбекистан. Статья вышла в журнале №7 (157) за июль 2020 г.
Полную версию статьи можно прочитать на сайте издания, в электронной версии журнала. Она доступна на русском и узбекском языках. Ниже приводится авторская редакция статьи.
Любое современное сложное производство сильно регламентировано. Если контроль исполнения налогового законодательства давно и хорошо налажен, то множество технических регламентов, требований, стандартов и законов часто контролируется значительно хуже. Как же организовать контроль соответствия требованиям законодательства так, чтобы предприятие не тратилось на штрафы?
В профессиональной среде аудиторов и управленцев в последние годы закрепился термин комплаенс. Комплаенс - соответствие требованиям законодательства или регламентов. Скорее всего, распространение термина связано с тем, что всё большее число предприятий внедряет у себя те или иные стандарты управления, контроля качества продукции и услуг. Когда отслеживается соответствие требованиям, то говорят о контроле комплаенса. Пожалуй, комплаенс можно назвать «близким родственником» аудита.
Совсем необязательно чтобы предприятие внедряло у себя международные стандарты или проводились сертификационные аудиты. Руководство может определить для себя ценные практики и методики, отслеживать следование им. Например, правила внутреннего трудового распорядка, производственной и санитарной безопасности. Всё чаще в комплаенс включается антикоррупционные регламенты, правила получения подарков. Но основным побуждающим мотивом контроля соответствия являются штрафы, отзыв лицензии и другие последствия, которые возникнут, если нарушение регламентов выявят контролирующие и регулирующие органы.
Определение требования действующего законодательства и договоров.
Первым шагом при контроле соответствия является выявление всех требований, исполнение которых нужно контролировать. Т.е. буквально нужно составить перечень законов, инструкций, регламентов применимых к организации. Затем из всех них извлечь конкретные требования, как именно должны реализовываться требования, кто ответственный за исполнение. И отдельно, другим человеком, проводится проверка реализации требования, т.е. тот самый комплаенс. Ниже в качестве примера приведен простейший вариант листа контроля соответствия. В нашей практике мы часто консультируем коммерческие банки, поэтому за основу взяты несколько инструкций Центрального банка в сфере информационной безопасности.
| Ссылка на требование в регулирующем документе | Формулировка требования | Как реализовано требование на предприятии | Ответственный за реализацию требования, должность и Ф. И. О. | Проверка реализации проводена, дата проверки, должность и Ф. И. О. |
| п.5 полож. ЦБ РУз № 631 | Лица, ответственные за обеспечение информационной безопасности, должны быть назначены приказом | Издан приказ № 13 от 3.02.2020, ответственным за обеспечение ИБ назначен Абдуллаев С. Н. | Начальник отдела кадров, Штерн М. С. | 10.02.2020, старший аудитор Васиева Ш. Ш. |
| п.28 полож. ЦБ РУз № 631 | Система электропитания филиала должна быть оснащена источниками бесперебойного питания и дизель-генератором, обеспечен запасом топлива. | Установлен дизель-генератор KIPOR KDE19STA3, планово-профилактические работы проведены 15.01.2020, полностью заправлен, дополнительный запас дизельного топлива - 20 литров | Главный энергетик, Кувватов К. К. | 10.02.2020, главный инженер Рузиева Ш. Ш. |
| п.3.3 полож. ЦБ РУз № 461 | На компьютерах должно быть установлено лицензионное антвирусное ПО | Установлено ПО Avast Business Antivirus, приобретена лицензия на 50 компьютеров, срок лицензии до 25.03.2021 | Главный специалист по ИКТ Абдуллаев С. Н. | 10.02.2020, старший аудитор Васиева Ш. Ш. |
Документ контроля соответствия - «живой», в него постоянно вносятся исправления, информация о контроле реализации. Поэтому удобнее вести его в электронном виде. Для начала подойдёт файл Excel, а со временем можно автоматизировать этот процесс и внедрить эти формы в действующую на предприятии систему (ERP). Сопутствующей пользой ведения контроля является высокая готовность к проведению проверок контролирующими органами. Всё что могут спросить и проверить - уже под рукой. И наоборот, если будут замечания со стороны проверяющих, то механизмы контроля дорабатываются. Составление перечня контрольных точек очень помогает и в удалённом управлении. Например, головной офис компании может дистанционно отслеживать как филиалы выполняют требования законодательства. Современные технологии позволяют не только заполнять формы отчётности, но и фиксировать факты выполнения требований. Можно прикладывать к формам сканированные документы, фотографии оборудования и помещений. Эта практика широко применяется в крупных торговых сетях. Вы наверняка видели, как сотрудники магазина после раскладки товаров на полках делают их фотографии и отправляют своему руководителю в виде отчёта.
Само собой, при выходе нового закона, инструкций дорабатываются и внедряются новые точки контроля соответствия. А при выходе на новые рынки нужно учитывать требования страны и региона. Хрестоматийный пример - когда в Европе в 2018 году был принят регламент по защите персональных данных GDPR, все мировые компании-гиганты вынуждены были дорабатывать свои процессы и документы. Если компания оказывает услуги или в Евросоюзе, или его гражданам, нужно соответствовать регламенту, даже если штаб-квартира находится не в ЕС.
В случае Узбекистана, после выхода закона «О персональных данных» самой логичной мерой является составление списка обязательных к выполнению требований, выявление в самой организации баз данных, в которых хранятся персональные данные. Об этом мы писали в 11-ом номере журнала за ноябрь 2019 г.
Контроль по соответствию требованиям должен распространяется даже на такую творческую деятельность как журналистика, дизайн, музыка. Выпуская в свет журнал, газету, фильм - редакция должна убедится что имеет все права на издаваемые материалы или они имеют правовой статус, не препятствующий распространению (например - общественное достояние). Если редакция не проверит лицензионную чистоту используемых изображений или текстов, то существует риск получения иска к редакции от правообладателей. Типичный пример: организация по договору аутсорсинга привлекает компанию для выполнения задач пресс-службы. Если на официальном сайте организации будет размещён материал, нарушающий чьи-то авторские права (например, для иллюстрации будет использована случайная картинка из интернета), то ответчиком по иску будет сама организация, а не компания-аутсорсер. Подробнее об этом можно прочитать в п. 18.1.2 государственного стандарта O'z DSt ISO/IEC 27002:2016 . Со временем система комплаенс-контроля становится серьезным инструментом, при помощи которого можно отследить кто и как нарушает требования законодательства. Поэтому нужно с самого начала озаботиться безопасностью системы. Как школьник, получивший двойку, постарается или спрятать дневник от родителей, или «вытравить» отметку, так и нарушитель не заинтересован в существовании документа, доказывающего его нарушения.
Со временем, любая сколько-нибудь серьезная система управления требует проведения аудита. Хорошей практикой считается проведение независимого (внешнего) аудита, когда его проводят специалисты, не зависящие от области аудита, не включенные в изучаемые процессы. Это может быть и сторонняя компания. При внутреннем аудите его проводят сотрудники, не зависящие в административном плане от изучаемого подразделения. Например, один отдел может проводить аудит процессов другого. Но важно понимать, что внутренний аудитор (или исполняющий его роль) должен иметь опыт, квалификацию, только в этом случае результат аудита будет содержательным. Если на предприятии налажен контроль соответствия требованиям (комплаенс-контроль), то и аудит проходит значительно проще.
В качестве резюме. Аудит является более общим, сложным мероприятием, целью которого является оптимизация процессов, повышение эффективности. Поэтому и проводится он относительно нечасто. Крупные предприятия проводят финансовые аудиты ежегодно, внутренние в системах управления качества могут быть чаще - ежеквартально. Скорее всего комплаенс в зачаточном состоянии есть на любом крупном предприятии. Именно его проводят юристы, когда изучают договора с поставщиками, визируют тексты инструкций, приказов. Контроль соответствия (комплаенс) это постоянный процесс призванный поддерживать соблюдение базовых норм, определённых в документах. Его отсутствие неминуемо приводит к штрафам, санкциям и другим тяжелым последствиям.