Rambler's Top100
 
Блоги Евгений ЦАРЕВ

Как привлечь к ответственности сотрудника, который нанес ущерб компании?

  11 ноября 2016 Страница персоны
Опубликовали мою новую статью на anti-malware.ru

Полный текст:

Как привлечь к ответственности сотрудника, который нанес ущерб компании? Предварительная экспертиза инцидента информационной безопасности.

Сложно оценить насколько часто службы информационной безопасности фиксируют инциденты, связанные с действиями сотрудников, в своих информационных системах. Даже небольшие компании регулярно оказываются в ситуации, когда нерадивый сотрудник использует ошибки в ERP-системах или несовершенство бизнес-процессов компании в своих корыстных целях.

Разберем пример, есть компания, которая занимается производством и реализацией, например, пластиковых окон. Компания внедрила и постоянно улучшает ERP-систему. Система автоматизировала большинство значимых для компании процессов, в частности, процессы закупки, отгрузки и учета товара.

Сотрудники, которые многие годы работают с такой системой, знают об уязвимостях, которые есть в системе. Более того, в системах ERP часто имеются известные дыры, про которые некоторые сотрудники знают, но не спешат сообщать об этом руководству или разработчикам, т.к. используют их для решения текущих задач.

В какой-то момент происходит инцидент, например, отгружается готовая продукции на крупную сумму представителям неизвестной компании без фактической оплаты, при этом в системе появляется информация, что оплата есть. Выяснить этот факт удается только после аудита или при подготовке отчета за очередной налоговый период.

В итоге, продукции нет, оплаты нет.

Компания, которая оказалась в такой ситуации, может обратиться в правоохранительные органы, искать пропавший товар и пытаться наказать виновных в соответствии с законом. Однако не все так просто.

Инициация уголовного дела и доведение его до приговора суда – дело чрезвычайно сложное и затратное. Фактические затраты компании могут превышать сумму причиненного ущерба на порядок. Исходя из этого, компании неохотно обращаются в правоохранительные органы и работают со следствием. Дешевле спустить все на тормозах. Конечно, работа в направлении уголовного преследования виновных может быть делом принципа. В этом случае вопрос экономической целесообразности уходит на дальний план.

Есть и другие способы реагирования. Например, провести собственное расследование и предпринять попытки возместить сумму ущерба с виновных лиц в досудебном порядке. Эта задача вполне реализуема. В частности ущерб можно возместить в рамках переговоров с виновными сотрудниками.

Конечно, здесь есть свои нюансы. Люди, которые проводят мошеннические операции, готовятся к ним загодя, анализируют вероятность, что их вычислят, а также заранее оценивают перспективы судебного разбирательства.

Поэтому к моменту общения с нерадивым сотрудником, представителям служб безопасности и руководству нужно быть подговоленным.

Во-первых, нужно четко понимать всю схему инцидента. Во-вторых, нужно понимать место сотрудника в этой схеме, и требуется понять, что именно нарушил сотрудник (если нарушение было). В-третьих, нужно провести корректное расследование инцидента.

С последним пунктом есть сложности. Практика показывает, что проведение внутреннего расследования, сбор необходимых доказательств, не всегда устраивают суд. Даже если все доказательства собраны корректно, по таким делам суды часто отказывают в исках. У суда есть весомые основания не доверять результатам работы комиссии, состоящей из сотрудников компании. Также, есть основания не доверять сведениям из ERP-систем, на которые будет опираться комиссия при проведении внутреннего расследования.

Рабочим вариантом будет привлечение третьей стороны на самом раннем этапе.

У суда нет оснований не доверять мнению эксперта, который может быть привлечен компанией для проведения предварительного расследования инцидента. Эксперт может подтвердить или опровергнуть для руководителя организации обстоятельства инцидента, описать и задокументировать, еще до проведения внутреннего расследования, записи ERP-системы. Все это оформляется в виде отчета, который в дальнейшем может быть использован для проведения внутреннего расследования или в беседе с нерадивым сотрудником. К этой работе также можно привлечь нотариуса.

Если предварительное расследование инцидента проведено корректно, то по моей практике, в тех случаях, когда вина сотрудника подтверждается, 4 из 5 сотрудников идут на мировое соглашение и возмещают сумму ущерба в полном объеме. Это происходит даже без проведения внутреннего расследования.

Предварительное расследование инцидента информационной безопасности проходит в два этапа:

  1. Сбор и документирование свидетельств;
  2. Подготовка заключения по событию информационной безопасности.

Для корректного сбора значимых свидетельств необходимо соблюсти целый ряд процедур. Например, нужно заранее определить внутреннего заказчика экспертизы, определить цели и задачи и т.д.

Что может содержать заключение по событию информационной безопасности?

Предварительный перечень разделов выглядит следующим образом:

1)      Время, место, основание и реквизиты исследования

2)      Сведения об эксперте

3)      Используемые документы

4)      Описание доступа в информационные системы

5)      Последовательность и методика исследования

6)      Содержание логов и их интерпретация

7)      Выводы, включая ответы на вопросы

8)      ? Оценка перспектив судебного разбирательства

9)      ? Рекомендации по дальнейшим действиям

После получения результатов такого исследования, компания может проводить внутреннее расследование, а служба безопасности – работать с провинившимися сотрудниками.

В итоге компания имеет возможность не доводить дело до суда и решить вопрос в досудебном порядке. Либо, получить дополнительные доказательства еще до проведения внутреннего расследования, что существенно повышает шансы позитивного разрешения ситуации в суде.

Источник

Поделиться:

Оставить свой комментарий:

Для комментирования необходимо авторизоваться!

Комментарии по материалу

Данный материал еще не комментировался.