Система безопасности в крупных компаниях: как устроена

Система безопасности в крупных компаниях складывается не из одной службы с вахтёром на входе, а из нескольких направлений, которые закрывают разные типы рисков: деньги, люди, данные, имущество, репутация. Разберём, как устроена корпоративная безопасность в больших организациях, какие подразделения за что отвечают, что и на каком основании проверяет служба безопасности при найме, где проходит граница законного контроля по 152-ФЗ и ст. 64-65 ТК РФ. Это часть большого материала про проверку сотрудников службой безопасности, где собран весь цикл от анкеты кандидата до заключения по итогам проверки.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Из чего складывается система безопасности крупной компании

Безопасность в большом бизнесе — это не отдел, а функция, разбитая на направления. В классической структуре их пять-шесть, и каждое отвечает за свой контур риска. Экономическая безопасность смотрит за деньгами и бизнес-процессами, где деньги теряются. Коммерческая — за сохранностью товара и маржи (в ритейле это отдельная песня, к ней вернёмся). Кадровая безопасность, она же HR-безопасность, — это проверка людей: кого пускаем внутрь и с какими рисками. Информационная закрывает данные, коммерческую тайну и киберугрозы. Физическая, или режимная, — это доступ на объект, пропускной режим, охрана. И где-то рядом всегда крутится юридическая обвязка, потому что любое действие безопасника должно укладываться в закон.

В крупной федеральной компании эти направления разнесены по разным управлениям и уровням. Возьмём для примера структуру безопасности большой розничной сети — там это видно нагляднее всего. На вершине сидит директор по безопасности дивизиона, топовая должность. Под ним — региональные менеджеры по безопасности, каждый ведёт свой кластер магазинов. Внутри — специалисты по экономической безопасности, аналитики, отдельная группа кассового контроля (кэш-контроля). Когда речь про сеть в 1200-1300 магазинов и штат до 10 тысяч человек, без такой вертикали процесс просто не управляется.

Названия подразделений в разных компаниях путаются, и это нормально. Где-то это отдел собственной безопасности (ОСБ), где-то управление собственной безопасности (УСБ), где-то служба экономической безопасности (СЭБ). Функции пересекаются, но не совпадают — разница в подчинении и зоне ответственности. Если хотите понять, чем отличаются ОСБ, УСБ и СЭБ, это отдельный разбор, потому что от буквы в аббревиатуре зависит, кто вас будет проверять и по каким полномочиям.

Мария Ж, судебный эксперт в сфере корпоративной безопасности:
«Главная ошибка в восприятии — думать, что безопасность это про то, чтобы держать и не пускать. В нормальной крупной компании безопасник давно не сторож. Он аудитор, который показывает, где у бизнеса течёт: где списания, где утечка, где менеджер по развитию нарисовал красивый план, а на местности там развалившаяся хибара. Задача не поймать и наказать, а посчитать потери в деньгах и закрыть эту дыру.»

Экономическая и коммерческая безопасность: борьба с потерями

Цель любого бизнеса — прибыль. Роль экономической и коммерческой безопасности в этом простая: сделать так, чтобы прибыль не утекала. В рознице потери есть всегда, это данность — скоропорт, человеческий фактор, воровство внутреннее и внешнее, ошибки заказа. Заказали больше, чем продали, товар испортился — потеря. Директор криво выставил матрицу, завёз в магазин у завода дорогой коньяк, который там никто не купит, — товар зависает, деньги заморожены. Всё это считается в рублях, и суммы по сети идут на десятки и сотни миллионов.

Экономическая безопасность ловит сбои в бизнес-процессах. Классический пример — масло, которое хорошо продаётся в одном регионе и висит мёртвым грузом в другом, а логистика гонит его туда, где оно не берётся. Безопасник должен подсветить это продажникам и маркетингу: ребята, вот этот товар дублирует ассортимент, вот эта позиция не идёт, вы её списываете. То есть работа идёт на стыке функций — через кросс-функциональное взаимодействие с закупками, логистикой, маркетингом и развитием.

Коммерческая безопасность заходит и в стройку, когда сеть открывает новые точки. Тут безопасник проверяет проекты менеджеров по развитию: не завышены ли объёмы, не приписаны ли работы, соответствует ли смета реальности. Условно, в документах стоят светодиодные светильники по 100 рублей, а на объекте висит что-то за 20. На разнице зарабатывают и подрядчики, и те, кто подписывает акты. Один человек тут мало что сделает — нужен инженерно-технический специалист или экспертиза, поэтому крупные СБ привлекают профильных экспертов под конкретные проверки.

Мария Ж, HR-эксперт с 13-летним стажем:
«В ритейле показатель безопасника — это не количество пойманных воришек, а динамика потерь. Я видела вакансии, где борьба с хищениями стоит десятым пунктом из десяти. И правильно: основная функция — минимизировать потери и защитить деньги. Всё остальное — приложение к бизнес-процессу. Кто этого не понимает, тот бегает с шашкой и рубит головы, а потери как были, так и остаются.»

Кадровая безопасность: что и как проверяет служба безопасности

Кадровая безопасность в крупной компании начинается на входе — с проверки кандидата. Смысл в том, чтобы до подписания трудового договора понять, какие риски человек несёт для компании, особенно если он получит доступ к деньгам, товару, данным или материальной ответственности. Онлайн-этап проверки на одного человека у профильного специалиста занимает в среднем около часа, если делать детализированный отчёт с анализом разных источников.

Что смотрят в базовой проверке кандидата:

• судимость и административные правонарушения;
• финансовые и кредитные задолженности, долги по налогам, проблемы с банками, нахождение в стоп-листах;
• исполнительные производства через ФССП;
• нахождение в розыске по линии МВД;
• действительность паспорта и водительского удостоверения;
• аффилированность кандидата и его родственников с другими бизнесами — один из ключевых экономических аспектов при найме.

Сама проверка в крупных структурах идёт в два этапа. Первый — онлайн, когда безопасность получает данные кандидата от эйчара и прогоняет их по источникам без участия человека, иногда даже не ставя его в известность о деталях. Второй — офлайн-собеседование, но выборочно: если по онлайн-проверке возникли вопросы, кандидата зовут и уточняют спорные моменты лично. По итогу СБ не ставит штамп «да» или «нет», а выдаёт экспертное заключение со стоп-факторами и рекомендацией. Решение принимает заказчик — руководитель или лицо, отвечающее за найм.

В сервисе Добыто мы видим кадровую безопасность с другой стороны — со стороны документов. Согласие кандидата на проверку и на обработку персональных данных, анкета, ознакомление с положением о проверке — всё это оформляется электронно и хранится с отметкой времени. Это снимает у эйчара головняк с бумажными подписями и защищает компанию, если человек потом заявит, что согласия не давал.

Как пройти проверку службы безопасности: пошаговая инструкция

Проверка сотрудника онлайн — сервис Добыто

Информационная безопасность и коммерческая тайна

Информационная безопасность в крупной компании закрывает два фронта: внешние киберугрозы и внутренние утечки. Второе часто дороже. Простой пример из закупок: сотрудница, которая ведёт переговоры с поставщиком, знает закупочную цену и маржу по сделке. Сливает эту цифру конкуренту — тот ставит цену чуть ниже, и компания теряет и сделку, и часть рынка. Посчитать такую утечку в деньгах можно, и это прямые потери. А есть ещё имиджевые потери, которые не считаются в принципе, но бьют больно: неудачная реклама, скандал, вирусное видео из магазина. Две недели негатива для крупной сети — это огромная дыра в бюджете, хотя через месяц об этом уже никто не помнит.

Отдельная тема — OSINT, разведка по открытым источникам. Работает в обе стороны. Компания использует открытые данные, чтобы проверять кандидатов и контрагентов законными методами. Но ровно те же методы работают против самой компании и её людей. Человек сам выкладывает в соцсети маршруты, интересы, круг общения, фото детей с привязкой к школе. По этим крохам выстраивается психологический профиль, точки давления, уязвимости. В корпоративной безопасности это учитывают: топ-менеджеров и сотрудников с доступом к критичным данным проверяют не только на входе, но и на предмет того, что о них можно собрать снаружи.

Мария Ж, специалист по информационной безопасности и КЭДО:
«Люди недооценивают, сколько о них лежит в открытом доступе. Мои личные данные, ваши личные данные уже в интернете, и удалить их оттуда нельзя. Поэтому режим коммерческой тайны в компании — это не бумажка для галочки. Это когда сотрудник понимает, что можно выкладывать, а что нет, и какая информация уходит наружу вместе с безобидным постом в ленте.»

Образцы документов для службы безопасности и проверки кандидатов

Физическая и режимная безопасность

Физическая безопасность — самый видимый контур: пропускной режим, СКУД, охрана, видеонаблюдение, тревожная кнопка. В крупной компании это чаще всего ЧОП плюс собственные режимники. Здесь важна не сила, а регламент. Персоналу магазина или склада прямо запрещают применять физическую силу к предполагаемому нарушителю: есть тревожная кнопка, приедут сотрудники полиции или ЧОП, у которых есть полномочия задержать и досмотреть. Продавец, который сам вяжет вора, — это готовое вирусное видео и имиджевая потеря.

Взаимодействие с правоохранительными органами — тоже часть работы. Но зрелая корпоративная безопасность строит его не на том, чтобы кого-то посадить, а на защите бизнеса от давления. Крупные компании закладывают в регламенты сценарии кризисных коммуникаций: что делает каждый сотрудник, если пришли с проверкой, кому звонить, кто выходит с публичным заявлением. Время в такой ситуации решает всё, и когда у всех прописан алгоритм, ситуация проходит быстрее и с меньшими потерями.

Как служба безопасности взаимодействует с другими подразделениями

Хороший безопасник в крупной компании — дока во всём. Нет ни одного отдела в центральном офисе, с которым СБ не должна работать. С кадрами — потому что люди это главный источник и потерь, и прибыли. С маркетингом — чтобы вовремя увидеть имиджевые риски. С закупками и логистикой — там, где реально теряется маржа. С развитием — чтобы проверять адекватность проектов открытия новых точек.

Отдельно стоит внутренний контроль над самой безопасностью. Логика простая: подразделение, которое проверяет всех, должно и само работать прозрачно. Был кейс, когда служба безопасности сидела на самоокупаемости от штрафов, которые выписывала за текучку кадров под 60% в год. Понятно, что при такой мотивации они находили любой предлог оштрафовать — это была их зарплата. В нормально выстроенной системе показатели безопасности завязаны на снижение потерь, а не на количество наказанных.

Мария Ж, юрист со стажем более 20 лет:
«Когда безопасность встроена в бизнес, а не сидит в углу отдельной башней, она реально приносит деньги. Это видно на цифрах: снизили потери на складе, поймали утечку в закупках, отсеяли на входе человека, который через месяц устроил бы недостачу. А когда СБ живёт своей жизнью и меряет успех палками, компания получает текучку, конфликты и грабли на ровном месте.»

Правовые рамки: что проверять можно, а что нельзя

Любая проверка сотрудника упирается в закон о персональных данных. Компания, которая собирает и обрабатывает данные кандидатов, обязана состоять в реестре операторов персональных данных и уведомить Роскомнадзор. Проверить статус оператора можно в реестре операторов персональных данных Роскомнадзора — это касается и самой компании, и любого аутсорсера, которому она передаёт данные кандидатов.

Ключевое требование — письменное согласие человека на обработку персональных данных и на проверку. Без него любая проверка незаконна, даже если данные брались из открытых источников. Отдельное согласие нужно на запрос кредитной истории. При этом закон ограничивает, что вообще можно требовать: ст. 65 ТК РФ задаёт закрытый перечень документов при приёме, а справку об отсутствии судимости работодатель вправе требовать только для должностей, где это прямо предусмотрено законом.

Ещё одна юридическая ловушка — отказ в приёме. По ст. 64 ТК РФ необоснованный отказ запрещён, а по требованию кандидата работодатель обязан сообщить причину отказа в письменной форме. Поэтому нельзя написать «не прошёл службу безопасности» и умыть руки. Формулировка отказа должна опираться на деловые качества, иначе это прямой риск иска. Кстати, разбор того, почему служба безопасности не пропускает на работу, показывает, что большая часть отказов упирается именно в стоп-факторы вроде судимости и долгов, а не в личную неприязнь.

Типичные ошибки при построении системы безопасности

Первая ошибка — брать в безопасность только бывших силовиков и строить всё на устрашении. Логика «поймать и наказать» осталась в прошлом. Человек в погонах привык к власти удостоверения, а в бизнесе этой власти нет — нужно перестраиваться, думать, учиться, работать с бизнес-процессами. Цена ошибки: СБ превращается в карательный орган, генерит конфликты и текучку, а потери не снижаются. Компании выгоднее смешанная команда, где есть и опытные безопасники, и люди из самой отрасли, которые знают процесс изнутри.

Вторая ошибка — проверять людей только на входе и забывать про них дальше. Риск не исчезает после приёма: доступы, материальная ответственность, внешнее давление появляются в процессе работы. Периодическая проверка сотрудников на критичных должностях — норма для крупных компаний. Цена экономии на этом — инсайдер, который спокойно работает годами.

Третья ошибка — игнорировать юридическую сторону. Проверки без согласий, отказы без мотивировки, хранение персональных данных в мессенджерах и на флешках. Цена ошибки здесь считается в штрафах по 152-ФЗ и в исках по ст. 64 ТК РФ. Именно эту часть в Добыто мы закрываем через электронное оформление и хранение документов проверки: согласия, анкеты, уведомления об отказе лежат в системе с юридической значимостью, а не в личной переписке кадровика.

Стоимость цифровизации кадровой безопасности в компании

Само построение службы безопасности — это про штат и регламенты, тут единого прайса не бывает. А вот документарную часть кадровой безопасности — согласия на проверку и обработку данных, анкеты, положения, уведомления об отказе, хранение результатов — можно перевести в электронный вид и посчитать. Стоимость зависит от численности штата, выбранного тарифа и набора функций.

Для крупной компании с распределённым штатом обычно подходит тариф Бизнес или Корпорация — там есть электронный архив, интеграция с 1С и выделенная инфраструктура под требования информационной безопасности. Итоговая сумма зависит от численности персонала и набора модулей, поэтому актуальные тарифы сервиса Добыто помогут сориентироваться точнее под ваш штат.

Выводы: как устроена система безопасности в крупных компаниях

Система безопасности крупной компании — это не одна служба, а несколько направлений: экономическая, коммерческая, кадровая, информационная, физическая безопасность плюс юридическая обвязка. В больших организациях они разнесены по управлениям и уровням, а главная метрика зрелой СБ — не количество пойманных нарушителей, а снижение потерь, посчитанное в деньгах. Безопасность работает на стыке функций: с кадрами, закупками, логистикой, маркетингом и развитием.

Проверка сотрудника — это ядро кадровой безопасности. Базово смотрят судимость, административные нарушения, долги и исполнительные производства через ФССП, действительность паспорта, аффилированность кандидата и родственников. Проверка идёт в два этапа — онлайн по базам и выборочное офлайн-собеседование, а по итогу СБ выдаёт заключение со стоп-факторами. Любая проверка законна только при письменном согласии человека и соблюдении 152-ФЗ, а отказ по ст. 64 ТК РФ должен опираться на деловые качества.

На практике крупные компании всё больше уходят от модели устрашения к аналитической, встроенной в бизнес безопасности, где важны и OSINT, и режим коммерческой тайны, и корректное юридическое оформление каждого шага. Документарную часть — согласия, анкеты, положения, хранение результатов — стоит переводить в электронный вид: это снижает и юридические риски, и нагрузку на кадровую службу.

Часто задаваемые вопросы