298

Глава VII. Отражение безопасности деятельности предприятия в системе управления персоналом

7.1. Исходные позиции в определении безопасности деятельности предприятия

Работа предприятий в системе рыночных отношений нуждается не только в анализе возникающих правовых, организационных, экономических и информационных рисков, но и в обеспечении всего спектра деятельной безопасности.

В деятельной безопасности работы предприятия выделяются следующие направления:

−физическая безопасность объектов производственноэкономической. деятельности: зданий, сооружений, машин, механизмов, товарных запасов, сырья, финансовых ресурсов;

−информационная безопасность, защита информационных сетей, ресурсов, программных средств, а также объектов интеллектуальной собственности и иных нематериальных активов, включая имущественные интересы участников предпринимательской деятельности;

−юридическая безопасность, под которой понимается грамотное и корректное оформление прав, порядка и условий осуществления деятельности (устава, регистрационных документов, прав собственности на имущество, патентов, лицензий, арендных и контрагентских договоров, соглашений, бухгалтерской документации,

др.);

−безопасность персонала, техника безопасности, личная безопасность работника, топ-менеджмента, безопасность деловых отношений.

Особую роль играет защита интересов организации на рынке, т. е. защита бизнес-пространства. Здесь объектом защиты косвенно выступает имидж организации, торговая марка (бренд).

Сущность безопасности реализуется в системе критериев и параметров, т. е. оценочных состояний экономики хозяйствующих субъектов и государства в целом с позиции безопасного осуществления важнейших со- циально-экономических процессов. Это касается, в первую очередь:

−ресурсного потенциала и характера его использования;

−конкурентоспособности экономики;

−научно-технического потенциала и возможностей его развития;

−социальной стабильности и условий разрешения социальных конфликтов.

299

Указанные критерии формируют систему показателей экономической безопасности, в числе которых: показатели уровня жизни, темпов экономического роста, инфляции. Для экономической безопасности значение имеют пороговые величины этих показателей. Так, на уровне государства:

−темпы экономического роста (рост ВВП) должны быть не ниже 7% в год, что гарантирует функционирование экономики в режиме расширенного воспроизводства;

−уровень платежеспособности, определяемый отношением суммы золотовалютных резервов ЦБ РФ к сумме внешнего долга страны, должен быть не ниже 0.2, что гарантирует устойчивость финансо-

вой системы.

Максимальный уровень безопасности достигается при условии, когда все показатели находятся в пределах допустимых границ своих пороговых значений. При этом пороговые значения одного показателя не должны достигаться в ущерб другим.

Критерии и показатели экономической безопасности предприятия с одной стороны, должны корреспондировать с показателями экономической безопасности государства, с другой – отражать индивидуальные особенности предприятия как хозяйствующего субъекта.

Важнейшими критериями экономической безопасности предприятия являются:

−уровень эффективности работы, обеспечивающий реализацию стратегии развития;

−характер юридической и социальной ответственности предприятия, позволяющий формировать стабильные экономические отношения с государством, партнерами, персоналом;

−имидж предприятия как успешного, финансово устойчивого парт-

нера, определяющий стратегию поведения на рынке.

Критерии экономической безопасности могут быть конкретизированы в виде групп показателей. Достаточно известны показатели, характеризующие результаты хозяйственной деятельности организации, ее платежеспособности и финансовой устойчивости.

Вторую группу показателей составляют показатели кадровой статистики, учета и отчетности по труду: уровень текучести, выработка, средняя зарплата и др.

Третью группу показателей составляют социальные показатели, характеризующие уровень социального развития организации, состояние социально-психологического климата в коллективе. К числу таких показателей относятся демографические и профессионально-квалификационные параметры персонала.

300

Четвертая группа показателей обусловлена составом, структурой, техническим состоянием основного и вспомогательного оборудования, применяемыми технологиями в производстве товаров и услуг.

Безопасность предприятия определяет состояние объекта защиты, при котором организовано максимально возможное противодействие угрозам на этапах предупреждения, пресечения, ликвидации последствий деятельности персонала.

Алгоритм формирования концепции безопасности может быть представлен следующим образом:

Шаг 1. Определение объектов защиты.

Объект защиты - пассивная системная составляющая, к которой применяется методика обеспечения безопасности. Защите подлежат ресурсы:

−материальные - от порчи, кражи, замены, уничтожения;

−финансовые - от потери, невозврата, обесценения, кражи;

−информационные - от утечки, порчи, кражи, фальсификации;

−трудовые - защита жизни, здоровья, чести персонала.

Защите подлежат направления деятельности, обеспечивающие большую часть прибыли:

−производственная - снижение риска невыполнения договоров (планы запуска, выпуска, поставки);

−экономическая - снижение экономических рисков (отношения с дебиторами и кредиторами);

−юридическая - снижение законодательных рисков (оформление документов, защита интересов в судебных инстанциях);

−инновационная - снижение инновационных рисков (оценка рынка,

участие в проектах, оценка гарантийных обязательств). Шаг 2. Определение перечня угроз.

Угроза - это возможное несанкционированное воздействие на объект защиты, причиняющее ущерб. Источниками угроз служат:

−человеческий фактор: криминальная и некриминальная деятельность;

−природная среда: стихийные бедствия, климатические условия;

−техногенная среда: техногенные катастрофы, отказы оборудования.

Шаг 3. Определение спектра угроз.

На этом этапе осуществляется расчет рисков, т. е. вероятности реализации угроз по объектам защиты. Далее производится ранжирование угроз по степени их реализации и возможному ущербу. На основе этого делаются расчеты вероятных потерь от реализации угроз и ресурсного обеспечения для предупреждения, пресечения и ликвидации последствий.

301

Шаг 4. Определение способов защиты от угроз.

Различают следующие виды и способы защиты от угроз предпринимательской деятельности:

−организационные: административный контроль, методы экономического стимулирования, правовая защита;

−технические: монтаж сигнализации, средств контроля доступа, использование интегрированных систем и др.;

−физические: организация охраны объекта, использование службы инкассации, использование служебных собак;

−оперативные: применение специальных оперативно-технических средств и методов.

На практике разработку концепции экономической безопасности целесообразно начинать с анализа документов, позволяющих дать комплексную характеристику хозяйственной и финансовой деятельности организации. Так, на первом этапе необходим доступ к следующим документам:

−устав, структура управления, штатное расписание, положения об оплате труда, премировании, коллективный договор, положения о хозяйственном расчете (финансовой самостоятельности) отдельных структурных подразделений;

−отчетные материалы (баланс с приложениями) за последние два года;

−материалы учета и оперативной отчетности о результатах хозяйственной деятельности (технико-экономические показатели) за последние два года (годовые и квартальные), в т. ч. отчеты по труду и заработной плате, о движении персонала, использовании рабочего времени, трудовой дисциплине (в целом по предприятию и по подразделениям);

−материалы аудиторских проверок за последние два года. Предварительный анализ указанных документов позволяет:

−дать оценку эффективности работы предприятия и его структурных подразделений;

−дать оценку финансовой устойчивости предприятия и самостоятельных структурных подразделений;

−дать оценку платежеспособности предприятия;

−оценить степень эффективности рычагов управления;

−выявить проблемные зоны в структуре управления предприятием. На следующем этапе необходимо:

−получение сведений о структуре, составе и состоянии основных фондов;

−получение сведений о планировании и использовании средств

302

предприятия за последние два года;

−получение организующих документов: кодекс корпоративной культуры, правила внутреннего распорядка, положение об аттестации персонала, положение о документообороте конфиденциальной информации;

−получение сведений о проблемных точках «генерального плана предприятия»;

−получение развернутых отчетов о движении денежных средств, взаимоотношениях с поставщиками, подрядчиками, потребителями, посредниками;

−получение сведений, касающихся порядка контроля использова-

ния и хранения ресурсов, в т. ч. информационных. Предварительный анализ этих материалов, являющихся в основе

своей конфиденциальными, позволяет в общем виде сформулировать основные направления концепции безопасности деятельности предприятия.

В ходе третьего этапа осуществляется разработка и предварительное согласование оценочных параметров, дерева целей и собственно концепции безопасности предприятия.

Структура безопасности предприятия может быть представлена в следующем виде:

Раздел 1. Проблемная ситуация в сфере безопасности предприятия: перечень реальных и потенциальных угроз; причины и факторы угроз; источники и носители угроз; возможные последствия угроз.

Раздел 2. Механизм обеспечения безопасности: описание объектов защиты; цели обеспечения безопасности: критерии и показатели безопасности; организационная структура управления системой безопасности.

Раздел 3. Мероприятия по реализации мер безопасности: структура системы безопасности предприятия; роли (функции, права, обязанности, ответственность) субъектов безопасности; характеристика методов и мер обеспечения безопасности; расчет ресурсного обеспечения безопасности; система контроля и оценки процесса реализации концепции.

Построение системы безопасности деятельности предприятия целесообразно осуществлять на программной основе.

Стандартная программа безопасности предприятия включает разде-

лы:

−защита бизнес-пространства: деловой мониторинг, мониторинг внутренней среды, активные методы формирования имиджа организации; целевые социологические опросы, маркетинг, РR-акции;

−охрана информационных ресурсов: защита коммерческой тайны, охрана интеллектуальной собственности, лицензирование деятельности;

303

−охрана материально-технических ресурсов: физическая охрана, пропускной режим, пожарная охрана, техника безопасности;

−защита финансовой независимости: аудит, ревизии, страхование, правовая защита;

−защита персонала: проверка, аттестация, кадровый аудит, юриди-

ческая и социальная защита Безопасность деятельности предприятия, во многом, зависит и от

поведения персонала, то есть последовательности профессиональных и непрофессиональных действий, приводящих к определенным рискам.

Типы поведения персонала зависят:

−от уровня развития коллектива: неосознанное невыполнение, осознанное невыполнение, осознанное выполнение, неосознанное выполнение (высшая стадия);

−от типа ценностных ориентаций работников: нормативное (в рамках правовых норм), девиантное (отклоняющееся от принятых в обществе норм), противоправное (несоблюдение норм права);

−от стереотипа личности: ригористический (подчинение служебному долгу), автономный (свобода организационного выбора), мобилизационный (психологическая готовность к работе), прессинговый (подчиненность рабочим операциям во времени и пространст-

ве).

Угрозы, исходящие от сотрудников:

−нарушение установленного порядка использования технических средств, создающих условия для несанкционированного доступа к конфиденциальной информации;

−нарушение установленного режима сохранности сведений конфиденциального характера;

−нарушение установленного в организации режима безопасности;

−нарушение установленного порядка финансовой отчетности в организации;

−преступные и иные противоправные действия по личным мотивам

или в интересах третьих лиц.

Источниками кадровых рисков выступают: экономическое поведение, организационное поведение, инновационное поведение, деструктивное поведение работников.

Экономическое поведение - это поведение, связанное с перебором экономических альтернатив с целью рационального выбора, т. е. выбора, в котором минимизируются издержки и максимизируется чистая выгода.

В основе экономического поведения лежат ценностные ориентации людей (деньги, статус, роль, идеалы).

Стратегии экономического поведения:

304

−минимум труда - минимум дохода;

−минимум труда - максимум дохода;

−максимум труда - гарантированный доход;

−максимум труда - максимум дохода. Закономерности экономического поведения:

−поведение человека в рамках одной стратегии регулируется исключительно его мотивами;

−переход от одной стратегии к другой регулируется системой стимулов;

−стратегия «минимум труда - минимум дохода», возникая, как вынужденная реакция человека на ситуацию, формирует у работника чувства «внутреннего увольнения», подавленности, способствует

становлению терминаторного поведения.

Организационное поведение - это поведение работников, вовлеченных в определенные управленческие процессы, т. е. управляемое поведение.

В основе организационного поведения лежат установки и мотивы работника по выполнению возложенных на него и (или) делегированных ему функций в рамках принятых в организации норм и правил. Характер рисков здесь зависит от способа делегирования функций работнику:

−полное делегирование, когда подчиненный выполняет работу и несет за нее полную ответственность;

−ограниченное делегирование, когда подчиненный выполняет работу, а ответственность разделяет с начальником;

−нулевое делегирование, когда подчиненный выполняет работу, а ответственность за нее несет начальник;

−делегирование наоборот, когда подчиненный перекладывает рабо-

ту на начальника.

Для нейтрализации возможных рисков при делегировании полномочий необходимо соблюдать следующие условия:

−соответствие передаваемых сотруднику полномочий характеру решаемых задач;

−возможность реализации делегируемых полномочий данным сотрудником;

−соответствие масштаба ответственности индивидуальным возможностям сотрудника;

−контролируемая ответственность за выполнение задания;

−корректировка полномочий и ответственность сотрудника в соответствии с изменением задания;

−мотивирование расширения прав и ответственности повышением оплаты труда, ростом влияния или лидерства.

305

Причины, тормозящие распространение делегирования полномочий: а) со стороны руководителя:

−отсутствие доверия к подчиненным;

−боязнь риска;

−трудность осуществления контроля;

−ощущение угрозы от сильной личности;

−усложнение процесса принятия решений;

-недостаточность коммуникаций с подчиненными; б) со стороны подчиненных:

−проще спрашивать руководителя, чем самому делать;

−боязнь критики со стороны начальства;

−отсутствие прав и ресурсов;

−перегруженность работой;

−отсутствие уверенности в себе;

−отсутствие стимулов для дополнительной ответственности. Инновационное поведение - реакция работников на организационно-

экономические и технологические нововведения в организации. В основе реакций психологические барьеры к нововведениям, проявляющиеся в сознании и поведении работников.

Мотивы сопротивления работников нововведениям:

−они вынуждены рисковать, а это противоречит их натуре;

−они чувствуют, что в результате изменений могут оказаться лишними;

−они чувствуют неспособность выполнять новую роль;

−они чувствуют, что потеряют лицо в глазах руководителя;

−они не способны или не желают учиться.

Стадии перехода работника от исполнительности к сопротивлению:

−отрицание и недоверие как неуверенность в себе;

−злость и поиск виновных в собственных бедах;

−выгадывание времени и диагностика ситуации;

−отступление на другие позиции;

−осознание реальности и подготовка новой программы;

−реализация программы и изменение поведения.

Поведение руководителя сводится к нейтрализации психологических барьеров неприятия нововведений работниками. Здесь возможны следующие ошибки руководителя:

−не объяснены цели перемен - боязнь и враждебность подчиненных;

−работники отстранены от планирования перемен – чужим рекомендациям не верят;

306

−не учтены традиции и стереотипы поведения - боязнь изменения стандартов поведения;

−нарушены межличностные отношения - боязнь потерять привычных собеседников;

−произведены перемещения работников - переводы воспринимаются болезненно;

−инициатор не пользуется уважением - естественное недоверие со-

трудников.

Поведение в кризисных ситуациях во многом определяет уровень безопасности в организации. Наиболее вероятна реализация угроз в ситуациях, определяемых как кризисные. Любая кризисная ситуация характеризуется наличием угроз, дефицитом времени для принятия решения, давлением окружающих на лиц, принимающих решение.

Поведение персонала в кризисной ситуации определяют следующие основные факторы:

−неопределенность, внезапность, быстротечность события;

−нехватка времени на анализ ситуации;

−отсутствие или высокий темп поступления информации;

−степень подготовленности персонала и руководства;

−соответствие (отсутствие) инструкций, регламентирующих действия в кризисной ситуации;

−функциональное состояние персонала в данный момент. Восприятие кризисной ситуации может инициировать следующие

варианты поведения лица, принимающего решение:

−неосознание ситуации как кризисной, а, следовательно, отсутствие необходимости немедленного реагирования;

−обнаружение симптомов кризисной ситуации, которая воспринимается как контролируемая;

−осознание кризисной ситуации, неконтролирование ситуации аде-

кватными действиями.

Управление в условиях кризисной ситуации, чтобы быть эффективным, должно учитывать следующие рекомендации:

−в случае возникновения кризисной ситуации должна начать работать особая сеть связей, обеспечивающая скорость, одновременность передачи информации и ее фильтрацию;

−в среде топ-менеджмента вводится кардинальное перераспределение функций: одна группа обеспечивает контроль морального климата в организации, другая - поддерживает обычную работу с минимальным уровнем срывов, третья особая группа организует выход из кризисной ситуации;

−особая группа, подготовленная заранее, должна состоять из не-

307

скольких специализированных звеньев, руководимых штабом во главе с руководителем предприятия.

При разработке оперативных мер по нейтрализации кадровых рисков используется прием формирования модели нарушителя. Здесь учитываются следующие параметры:

−численность нарушителей в группе;

−категории лиц, к которым может принадлежать нарушитель;

−цели нарушителя;

−способы достижения целей;

−возможные исходные положения нарушителя;

−сведения, необходимые нарушителю, период их актуальности;

−профессиональная подготовка нарушителя;

−оснащенность техническими средствами и инструментом;

−полномочия для внутренних нарушителей;

−характер действий нарушителя и возможный наносимый ущерб. Объектом нападения в первую очередь являются конфиденциальная

информация, а также сотрудники предприятия. Объектом диверсий может являться технологическое оборудование, готовая продукция.

Модель нарушителя включает следующие группы:

1. Персонал, ответственный за хранение материальных ценностей. Эта группа потенциальных нарушителей является весьма опасной,

несмотря на свою малочисленность, ввиду их высоких полномочий и специфики выполнения задач. Они наиболее информированы о системе хранения, организации и способах охраны материальных ценностей предприятия.

Целью действий нарушителей данного типа является обогащение за счет организации, хищений, незаконного использования служебных возможностей.

2. Отдельные рабочие, неквалифицированные расхитители.

Эта группа потенциальных нарушителей многочисленна. В рамках трудовых обязанностей рабочие могут обладать достаточно высокими полномочиями по доступу к технологическому оборудованию и материальным ценностям.

Целью действий данной категории нарушителей может являться личное обогащение. Причиной неправомерных действий может являться незнание правил обеспечения сохранности материальных ценностей, неопытность, безответственность.

3. Организованные группы.

Эта группа потенциальных нарушителей, ввиду своей достаточной квалификации, несет в себе трудно распознаваемые угрозы. В частности может:

308

−в случае доступа к инженерно-техническим средствам защиты вносить в них неконтролируемые изменения;

−встраивать в используемые механизмы безопасности средства несанкционированного доступа и просто блокировать работу инже- нерно-технических средств защиты.

Последствия от воздействия нарушителей данного типа характеризуются как наносящие значительный материальный ущерб, а в отдельных случаях могут носить катастрофический характер.

4.Сотрудники, имеющие доступ к управлению технологическими процессами и конфиденциальной информации.

Отличительной особенностью их является большая информированность и большие права по доступу на технические объекты. Они, как правило, в силу занятости не придерживаются рекомендуемого службой безопасности порядка деятельности, что может позволить недобросовестному рабочему совершить какие-либо незаконные действия от их лица.

Для нейтрализации угроз данной группы нарушителей необходимо применять жесткие меры административной ответственности за нарушение режима безопасности.

5.Администраторы автоматизированных систем.

Большинство неправомерных действий администраторов поддается прогнозированию. Администраторы в большинстве случаев имеют прямой доступ к информации обслуживаемых систем. Ими могут быть воспроизведены все ситуации, препятствующие функционированию сети (останов, сбой серверов; изменение топологии сети; создание незарегистрированных узлов сети; создание незарегистрированных точек входа и выхода из локальной сети; уничтожение и/или модификация программного обеспечения; создание множественных, ложных информационных сообщений). Кроме того, указанной группе доступен несанкционированный съем информации, блокирование работы отдельных пользователей, перестройка планов маршрутизации и политики доступа в сеть.

Эту группу можно проконтролировать, введя должность администратора безопасности, передав ему функции контроля изменения структуры и внутренней политики сети, а также оснастив анализаторами сети и блокировав изменения с помощью установки активного оборудования оснащенного средствами разграничения доступа.

6. Программисты.

Эта группа потенциальных нарушителей, ввиду своей достаточной квалификации, несет в себе трудно распознаваемые угрозы. В частности, может:

−в случае доступа к реальным базам данных вносить неконтролируемые изменения в базы данных;

309

−встраивать в используемые информационные системы средства несанкционированного доступа и системы блокировки работы по условному ключу или команде.

В качестве объекта нападения может использоваться любая информация служебного характера. В случае если технический специалист действует в интересах третьих лиц, служебная информация ограниченного распространения может стать достоянием этих лиц.

Указанную группу можно проконтролировать, введя должность администратора безопасности.

7. Руководители.

Их отличительной особенностью является информированность и большие права по доступу в системы. Руководители обычно не ведут должного учета использования своих прав доступа в систему, в силу занятости не придерживаются рекомендуемых рамок при смене пароля, что может позволить постороннему пользователю, подобрав пароль, совершить какие-либо действия от их лица.

8. Сотрудники, уволенные с работы, имевшие доступ к автоматизированным системам.

Их отличительная особенность - мотивы совершения преступлений, связанные с обидами, желанием отомстить за увольнение с работы.

Указанная группа потенциальных нарушителей может обладать специфическими возможностями, которые в первую очередь зависят от бывших прав нарушителя при работе в системе. Из наиболее часто встречающихся ситуаций следует отметить продажу информации о внутренней организации дел, распорядке делопроизводства. В случае если уволен технический сотрудник, предмет продажи - информация о топологии сети, построении информационных систем, его именах и паролях в системе.

Последствия от воздействия нарушителей данного типа характеризуются как наносящие значительный материальный ущерб.

Наиболее слабым звеном в определении безопасности деятельности предприятия являются межличностные коммуникации в системе управления персоналом.