Većina vlasnika i direktora preduzeća razmišlja o bezbednosti tek kada se dogodi problem – nestane važna dokumentacija, dođe do neovlašćenog plaćanja, zaposleni odnese poslovne podatke, izgubi se pristup važnom nalogu ili poverljiva informacija završi kod konkurencije.
Međutim, korporativna bezbednost ne počinje nakon incidenta. Njena osnovna svrha je da se rizici prepoznaju pre nego što prouzrokuju finansijsku, pravnu ili reputacionu štetu.
Posebno kod malih i srednjih preduzeća postoji česta zabluda da su ozbiljne bezbednosne procedure potrebne samo velikim kompanijama. U praksi, upravo manje firme često zavise od nekoliko ključnih ljudi, koriste veliki broj digitalnih servisa i nemaju jasno razdvojena ovlašćenja.
Zato predlažemo jednostavan test.
Odgovorite na sledećih 15 pitanja i razmislite koliko zaista poznajete bezbednosne rizike u sopstvenoj kompaniji.
1. Znate li tačno ko ima pristup poslovnom računu i elektronskom bankarstvu?
Pristup poslovnom računu predstavlja jedno od najosetljivijih ovlašćenja u kompaniji.
Potrebno je jasno definisati ko može da priprema naloge, ko ih odobrava, ko ima pristup tokenima i aplikacijama i šta se događa kada osoba sa tim ovlašćenjima napusti kompaniju.
Gde god je moguće, priprema i konačno odobravanje transakcije ne bi trebalo da zavise samo od jedne osobe.
2. Ko može da menja podatke dobavljača i njihove brojeve računa?
Promena broja računa dobavljača naizgled je rutinska administrativna radnja, ali može predstavljati ozbiljan finansijski rizik.
Promenu podataka za plaćanje treba proveravati nezavisnim kanalom, posebno kada se zahtev dostavlja elektronskom poštom.
Jedan telefonski poziv poznatom kontaktu dobavljača može sprečiti uplatu na pogrešan ili lažni račun.
3. Da li zaposleni imaju pristup samo informacijama koje su im potrebne za posao?
Nije svakom zaposlenom potreban pristup svim podacima kompanije.
Finansijski izveštaji, ugovori, zarade, baze kupaca, cenovnici, kalkulacije, poslovni planovi i druga poverljiva dokumentacija treba da budu dostupni u skladu sa poslovnim potrebama i ovlašćenjima.
Princip je jednostavan: pristup informacijama treba da postoji zato što je potreban za obavljanje posla, a ne samo zato što je tehnički moguć.
4. Znate li ko poseduje administratorske lozinke kompanije?
Web sajt, poslovni email, cloud servisi, računovodstveni programi, društvene mreže i druge aplikacije često predstavljaju važnu digitalnu imovinu kompanije.
Problem nastaje kada administratorsku lozinku zna samo jedna osoba ili kada se ista lozinka koristi na više mesta.
Kompanija mora imati kontrolu nad sopstvenim digitalnim identitetom i pristupima.
5. Šta se događa sa pristupima kada zaposleni napusti firmu?
Prestanak radnog odnosa ne završava se samo potpisivanjem dokumentacije i vraćanjem opreme.
Potrebno je proveriti i ukinuti pristup poslovnom emailu, aplikacijama, bazama podataka, cloud servisima, elektronskom bankarstvu, poslovnim profilima i drugim sistemima koje je zaposleni koristio.
To bi trebalo da bude standardna procedura, a ne odluka koja zavisi od toga da li se neko toga setio.
6. Ko može da iznese dokumentaciju iz poslovnih prostorija?
Originalni ugovori, personalna dokumentacija, finansijski podaci i druga poslovna dokumenta ne bi trebalo da napuštaju kompaniju bez jasnog razloga i evidencije.
Isto važi za elektronske kopije.
Fotografisanje dokumenta mobilnim telefonom ili njegovo slanje na privatnu email adresu takođe predstavlja iznošenje informacije iz kontrolisanog poslovnog okruženja.
7. Da li znate gde se nalazi svaki važan originalni dokument?
Dobra arhiva nije samo zakonska obaveza.
Ona je deo sistema bezbednosti kompanije.
Za važnu poslovnu dokumentaciju mora biti jasno gde se nalazi, ko joj može pristupiti, koliko dugo se čuva i ko je odgovoran za njeno izdavanje i vraćanje.
8. Da li jedna osoba kontroliše previše poslovnih procesa?
Dugogodišnji i pouzdani zaposleni predstavljaju veliku vrednost kompanije.
Ali sistem ne bi trebalo da zavisi isključivo od poverenja.
Ako ista osoba može da kreira dobavljača, primi fakturu, pripremi plaćanje i kontroliše dokumentaciju, postoji koncentracija ovlašćenja koja povećava poslovni rizik.
Dobra interna kontrola štiti i kompaniju i zaposlene.
9. Ko kontroliše službene kartice, gotovinu i troškove?
Službene kartice i gotovinska plaćanja zahtevaju jasna pravila.
Za svaki trošak treba da postoji poslovna svrha, odgovarajuća dokumentacija i mogućnost naknadne kontrole.
Veliki broj pojedinačno malih i nekontrolisanih troškova može tokom godine predstavljati značajan finansijski gubitak.
10. Imate li rezervnu kopiju ključnih poslovnih podataka?
Računar može da se pokvari. Telefon može da bude izgubljen. Podaci mogu biti slučajno obrisani, a informacioni sistem može postati meta sajber incidenta.
Zato nije dovoljno samo praviti rezervne kopije.
Potrebno je znati šta se kopira, gde se kopija nalazi, ko joj može pristupiti i da li je moguće podatke zaista vratiti kada budu potrebni.
11. Kako proveravate zahtev za hitno plaćanje koji navodno šalje direktor?
Poruka može izgledati potpuno legitimno.
Ime direktora, potpis, fotografija, pa čak i način komunikacije mogu biti veoma uverljivi.
Zbog toga „hitno“ ne sme da znači „bez provere“.
Za vanredna i neuobičajena plaćanja kompanija treba da ima unapred definisan način dodatne potvrde.
12. Da li su ključevi, kartice i pristup poslovnim prostorijama evidentirani?
Ko ima ključ od kancelarije?
Ko ima rezervni ključ?
Ko može da uđe u arhivu, server sobu ili prostor u kojem se nalazi poverljiva dokumentacija?
Fizička bezbednost često se podrazumeva sve dok se ne dogodi incident.
Jednostavna evidencija zaduženih ključeva i pristupnih kartica može značajno povećati nivo kontrole.
13. Šta bi se dogodilo kada ključni zaposleni sutra ne bi došao na posao?
Ovo pitanje nije usmereno protiv zaposlenog.
To je pitanje kontinuiteta poslovanja.
Ako samo jedna osoba zna određenu lozinku, proceduru, kontakt sa važnim kupcem ili način funkcionisanja ključnog procesa, kompanija ima ozbiljnu tačku zavisnosti.
Važni procesi moraju biti dokumentovani tako da poslovanje može da se nastavi i u slučaju dužeg odsustva ključne osobe.
14. Znaju li zaposleni kome prijavljuju sumnjivu situaciju?
Zaposleni može prvi primetiti neobičnu fakturu, sumnjiv email, nestanak dokumentacije ili neuobičajen zahtev za pristup informacijama.
Ali ako ne zna kome treba da se obrati, dragoceno vreme može biti izgubljeno.
Kompanija treba da ima jednostavan i poznat način prijavljivanja bezbednosnih incidenata.
15. Kada ste poslednji put napravili procenu poslovnih i bezbednosnih rizika?
Kompanija se menja.
Dolaze novi zaposleni, uvode se novi programi, menjaju dobavljači, otvaraju novi poslovni prostori i povećava količina podataka kojima organizacija raspolaže.
Zato procena rizika ne bi trebalo da bude jednokratan dokument koji nakon izrade ostaje u fascikli.
Ona treba da bude alat za donošenje poslovnih odluka.
Koliko ste odgovora zaista znali?
Ako ste na svih 15 pitanja mogli odmah da date precizan odgovor – vaša kompanija već ima značajan nivo kontrole nad sopstvenim procesima.
Ako ste kod nekoliko pitanja morali da zastanete, to ne znači automatski da postoji problem.
Ali znači da postoji prostor koji treba proveriti.
Najveći poslovni rizici često nisu oni koje vidimo svakog dana, već oni za koje pretpostavljamo da ih je neko drugi već rešio.
Korporativna bezbednost nije trošak – ona štiti poslovanje
Savremena korporativna bezbednost nije samo fizičko obezbeđenje objekta.
Ona obuhvata zaštitu ljudi, finansija, poslovnih informacija, dokumentacije, digitalnih resursa, poslovnih procesa i reputacije kompanije.
Posebno kod malih i srednjih preduzeća cilj nije stvaranje komplikovanog sistema procedura.
Cilj je uspostavljanje jednostavnih, jasnih i proverljivih kontrola tamo gde bi eventualni propust mogao kompaniju najviše da košta.
Bilanscontrol kroz finansijski konsalting, kontroling i korporativnu bezbednost posmatra poslovanje kao celinu – sa ciljem da se rizici prepoznaju pre nego što postanu problem.
Bilanscontrol doo Novi Sad
Ovaj tekst je informativnog karaktera i ne predstavlja individualnu pravnu, poresku ili bezbednosnu procenu konkretnog privrednog subjekta.
