5 уровней зрелости корпоративной безопасности: практическая карта для руководителя СБ

Введение: почему СБ застревает в режиме «пожарной команды»

Компания редко теряет деньги из-за одного громкого хищения. Чаще потери складываются из привычных исключений: срочного аванса «проверенному» поставщику, доступа бывшего сотрудника, товара без независимой сверки или договора, который служба безопасности увидела уже после подписания.

По отдельности это выглядит как рабочая мелочь. В совокупности - системные потери, которые бизнес оставляет без достаточной защиты.

В условиях санкций и разрывов цепочек поставок руководство хочет слышать от СБ не отчёты о проверках, а понятную риск‑информацию для решений.

Во многих компаниях службу безопасности по‑прежнему воспринимают как «пожарную команду»: её привлекают, когда инцидент уже произошёл. Эффективность измеряют количеством проверок, расследований, задержаний и выявленных нарушений. В результате СБ получает всё больше задач по устранению последствий, но не получает возможности влиять на процессы и решения до возникновения потерь.

Если ваша СБ исчезнет завтра, бизнес заметит это через неделю или через год? Если ответ «через год» - возможно, ваша СБ уже не нужна в текущем виде. Если «через неделю» - вопрос в том, заметит ли бизнес это как потерю или как облегчение.

Зрелость службы безопасности определяется не количеством регламентов, камер или проверок. Она определяется тем, насколько рано СБ включается в управленческое решение, насколько обоснованно оценивает риски и может ли руководство использовать эту информацию при выборе действий.

Эта модель помогает понять, на каком этапе развития находится конкретный контур безопасности и какой следующий шаг будет реалистичным.

Описанная ниже модель - результат обобщения практики, неудачных решений и опыта, а не нормативный стандарт. Она не претендует на универсальность, но хорошо работает как рамка для управленческого разговора: где мы находимся, куда двигаемся и чем это измерить.

Важная оговорка

Модель описывает не обязательные ступени развития всей службы, а разные режимы работы отдельных контуров. В одной компании расследования могут быть на уровне 4, а кадровая безопасность - на уровне 2. Кроме того, результат зависит от мандата СБ: её положения, доступа к руководству и закреплённых прав на запрос информации.

Как пользоваться моделью

Модель предназначена для первичной управленческой диагностики. Оценивать следует не службу безопасности «в целом», а отдельные контуры:

• проверку и мониторинг контрагентов;
• защиту товарно‑материальных ценностей;
• кадровую безопасность;
• физическую и объектовую безопасность;
• управление доступами;
• логистические риски;
• расследования и управление инцидентами;
• защиту коммерчески значимой информации.

Масштаб безопасности должен соответствовать масштабу бизнеса. Для многих организаций устойчивый уровень 2–3 уже является хорошим результатом.

Дорожная карта в статье ведёт к уровню 3. Переход на уровни 4–5 - это отдельный путь, который зависит от масштаба, отрасли и зрелости управления в компании.

Пять уровней зрелости

Ключевое различие: уровень 4 изменяет архитектуру конкретного проекта, уровень 5 меняет набор управленческих альтернатив, которые рассматривает руководство. Уровень 3 влияет на решение по отдельному риску или сделке, уровень 4 - на конструкцию процесса или проекта, уровень 5 - на стратегический выбор компании.

Уровень 1: реагирование

На этом уровне СБ узнаёт о проблеме после инцидента: пропал товар, сорвана поставка, выявлены махинации с документами, сотрудник ушёл с клиентской базой.

Расследование необходимо, но бизнес уже понёс потери. Основная логика - установить обстоятельства, выявить виновных, прекратить нарушение и устранить последствия.

Типичная ситуация

На складе выявлена недостача высоколиквидного товара. Компания увольняет сотрудников, усиливает охрану, устанавливает камеры и закрывает инцидент.

Но если один сотрудник может оформить перемещение, выдать товар и подтвердить операцию без независимой сверки - причина потерь сохраняется. Формальные меры приняты, система не изменилась.

Признаки уровня

На этом уровне потери чаще всего выявляются после инвентаризации или по внешнему сигналу. Службу безопасности привлекают преимущественно для расследований, а реакция сосредоточена на поиске виновных, а не на причинах. Повторные инциденты происходят по сходному сценарию, а руководство получает информацию уже после возникновения ущерба.

Переход к уровню 2 начинается, когда после каждого инцидента компания задаёт два вопроса: кто нарушил и какой процесс позволил этому произойти.

Уровень 2: контроль

На втором уровне компания создаёт базовые правила: разграничивает доступы, внедряет проверку контрагентов, проводит инвентаризации, устанавливает СКУД, регулирует списания и согласование договоров.

Это необходимый фундамент. Но есть риск превратить СБ в «отдел запретов»: добавлять визы и ограничения, которые формально существуют, но плохо работают в реальности.

Типичная ситуация

Компания внедрила СКУД и установила десятки зон доступа. Через месяц выяснилось, что сотрудники пользуются запасным выходом, потому что основной маршрут слишком удлиняет путь. Часть работников передаёт пропуска коллегам. Система установлена, фактический контроль не работает.

Признаки уровня

На этом уровне уже есть регламенты, процедуры и назначенные ответственные. Контрольные действия выполняются регулярно, нарушения фиксируются и устраняются. Исключения существуют, но не всегда анализируются. Результаты проверок есть, но они редко влияют на бизнес‑решения.

Переход к уровню 3 начинается, когда компания признаёт: не все риски одинаковы. Нужны приоритеты, оценка последствий и выбор экономически обоснованных мер.

Уровень 3: управление рисками

На этом уровне риск перестаёт быть только мнением СБ. Служба выделяет критичные риски, показывает последствия и предлагает варианты обработки.

СБ не просто говорит: «контрагент рискованный». Она объясняет, что может произойти, каков ущерб, какие меры доступны и какой остаточный риск останется.

Типичная ситуация

Компания готовит договор на поставку сырья на 60 млн рублей. У поставщика сменился собственник, есть судебные споры и нестабильные показатели. Закупки считают, что альтернативы нет.

СБ не ограничивается запретом. Она предлагает варианты:

• отказаться от сделки и искать альтернативу;
• начать с тестовой поставки на ограниченную сумму;
• потребовать финансовое обеспечение или гарантию;
• принять риск по решению уполномоченного руководителя.

Роль СБ - сделать риск понятным. Принять риск, изменить условия или отказаться должен руководитель или владелец процесса.

Важно: СБ является экспертом и координатором управления риском, но не владельцем всех рисков компании.

Признаки уровня

На этом уровне компания выделяет критичные риски, а не рассматривает все угрозы как одинаково важные. Для рисков определяются владелец, возможные потери и меры контроля. Служба безопасности предлагает несколько вариантов обработки риска, а не только запрет. Исключения фиксируются и согласуются, а руководство принимает решения с учётом риск‑информации.

Переход к уровню 4 начинается, когда СБ приглашают до определения схемы сделки, условий тендера или ключевых параметров проекта.

Уровень 4: партнёрство

На этом уровне СБ включается до запуска проекта или договора. Её задача - выявить контрольные разрывы и помочь заложить защитные механизмы в будущий процесс.

Типичная ситуация

Компания открывает распределительный центр. СБ подключается на этапе проектирования и оценивает:

• разделение потоков товара и персонала;
• доступ к зонам приёмки, хранения и отгрузки;
• контроль перемещений ТМЦ;
• риски привлечения персонала и подрядчиков;
• зависимость от одного перевозчика;
• условия ответственности за сохранность груза.

Контроли закладываются до запуска. Это эффективнее, чем устранять разрывы после первых недостач.

Признаки уровня

На этом уровне служба безопасности участвует в значимых проектах на ранней стадии. Требования СБ включаются в техзадания, договоры и процессы. Риски рассматриваются до выбора поставщика или схемы, а взаимодействие с бизнесом строится как сервис с понятными сроками. СБ может показать, какие риски снижены до запуска, и проводит постпроектную оценку: проверяет, сработали ли заложенные меры, и использует выводы в следующих проектах.

Переход к уровню 5 начинается, когда риск‑информация используется для выбора стратегического направления.

Уровень 5: стратегический актив

На пятом уровне СБ формирует риск‑информацию, которую руководство использует при решениях о сделках, инвестициях, новых регионах, крупных контрактах и модели развития.

СБ не принимает решения вместо руководства. Её роль - показать сценарии, ограничения и последствия до того, как решение станет необратимым.

Типичная ситуация

Компания рассматривает тендер на 900 млн рублей. Для победы важны устойчивость поставок, надёжность контрагентов и резервные сценарии.

СБ готовит карту рисков:

• критичные контрагенты и зависимости;
• сценарии срыва поставок;
• возможные потери;
• условия принятия риска;
• меры снижения;
• резервные варианты.

Руководство получает материал для выбора: участвовать, изменить условия, отложить или отказаться.

Признаки уровня

На этом уровне риск‑информация рассматривается до ключевых решений. Руководство фиксирует принятые риски и лимиты. Служба безопасности анализирует взаимосвязанные угрозы, для критичных рисков есть сценарии, а отчётность СБ связана с целями бизнеса. Риск‑анализ СБ хотя бы раз изменил состав бизнес‑альтернатив или условия сделки.

Для большинства компаний уровень 4 - уже высокий результат. Уровень 5 оправдан там, где стоимость ошибки велика: в цепочках поставок, многорегиональном бизнесе, инфраструктурных проектах.

Красные линии

Зрелость не означает компромисс в любой ситуации. Есть случаи, когда решение необходимо остановить - например, при признаках мошенничества, нарушении закона, санкционных ограничениях, угрозе жизни и здоровью, отсутствии обязательной лицензии или превышении риск‑лимита. Если риск выходит за пределы, задача СБ - не допустить неосознанного или незаконного решения.

Как определить уровень

Для каждого контура оцените шесть критериев:

1. Процедура работает регулярно;
2. Назначен владелец риска;
3. Результат контроля фиксируется;
4. Исключения согласуются в утверждённом порядке;
5. Повторные нарушения анализируются;
6. Руководство использует данные СБ.

Эти критерии показывают базовую устойчивость контура. Итоговый уровень необходимо подтверждать дополнительными признаками: для уровня 4 - фактом раннего участия и встроенными контролями, для уровня 5 - влиянием риск‑информации на стратегические альтернативы.

Результат:

Что делать, если вы «между» уровнями

На практике контуры редко перескакивают с уровня на уровень мгновенно. Чаще встречается промежуточное состояние: контур уже не уровень 2, но ещё не полноценный уровень 3.

Такое состояние можно узнать по сочетанию признаков:

• большинство критериев базовой устойчивости (4–5 из 6) уже выполняется: есть процедуры, ответственные, фиксируются результаты, есть согласованные исключения;
• появляется первая оценка последствий по отдельным рискам, но она ещё не системна: по одному‑двум критичным рискам СБ показывает ущерб и варианты, по остальным - работает как на уровне 2;
• единичные риски имеют назначенных владельцев, но большинство рисков всё ещё «висит» на СБ;
• руководство начинает запрашивать риск‑информацию по ключевым вопросам, но это ещё не регулярная практика.

Это нормальное рабочее состояние. Задача СБ на этом этапе - не пытаться «сразу стать уровнем 3» по всем направлениям, а выбрать 3–5 критичных рисков и последовательно отработать их по логике уровня 3: владелец, последствия, варианты, решение.

Что измерять руководителю СБ

Определив текущий уровень, полезно регулярно отслеживать несколько индикаторов по каждому уровню.

Количество проверок и задержаний полезно для операционного управления, но не должно быть главным доказательством ценности СБ.

Как меняется бюджет СБ от уровня к уровню

Важно: базовые расходы (охрана, СКУД, видеонаблюдение, проверка контрагентов) сохраняются на всех уровнях. С ростом зрелости к ним добавляются адресные меры под критичные риски, проектные расходы и аналитика для стратегических решений.

Уровень 1: реагирование

Бюджет формируется «по факту»: деньги выделяются после инцидентов или под конкретные расследования.

Структура расходов:

• экстренные усиления охраны;
• разовые проверки и аудиты;
• технические средства после краж (камеры, замки, сигнализации);
• услуги внешних специалистов под конкретный случай.

Логика: «Сначала потеря - потом деньги». Бюджет реактивный, плохо прогнозируемый, часто воспринимается как «непредвиденные расходы».

Уровень 2: контроль

Бюджет становится плановым, но остаётся затратным: компания финансирует правила, процедуры и технические средства контроля.

Структура расходов:

• системы контроля доступа, видеонаблюдения, периметра;
• содержание охраны и контролёров;
• регулярные инвентаризации и проверки;
• базовые системы проверки контрагентов;
• обучение сотрудников правилам безопасности.

Логика: «Нужно защитить периметр и обеспечить соблюдение правил». Бюджет предсказуем, но обосновывается через объём активности: количество камер, постов, проверок.

Уровень 3: управление рисками

Бюджет начинает привязываться к рискам и потерям. Появляется разделение на «базовый контур» и «рисковые проекты».

Структура расходов:

• базовый контур (охрана, СКУД, видеонаблюдение, проверка контрагентов);
• адресные меры под критичные риски (дополнительный контроль на проблемных участках, усиленная проверка ключевых контрагентов, целевые расследования);
• аналитика и оценка рисков (время сотрудников, инструменты, внешняя экспертиза).

Логика: «Деньги туда, где риск и потери наибольшие». Бюджет частично обосновывается через предотвращённый ущерб и приоритеты рисков.

Уровень 4: партнёрство

Бюджет СБ включается в бюджеты проектов и изменений. Часть расходов «растворяется» в инвестиционных и операционных бюджетах бизнеса.

Структура расходов:

• базовый контур безопасности;
• меры, заложенные в проекты (логистические схемы, новые объекты, IT‑системы, договоры);
• оценка и контроль рисков на этапе проектирования;
• постпроектная оценка эффективности контролей.

Логика: «Безопасность - часть стоимости процесса или проекта». Бюджет СБ становится менее заметным как отдельная статья, но более устойчивым, потому что встроен в процессы.

Уровень 5: стратегический актив

Бюджет СБ включает не только операционные расходы, но и ресурсы на риск‑анализ для стратегических решений.

Структура расходов:

• базовый контур и проектные меры;
• аналитика рисков для сделок, инвестиций, новых регионов;
• сценарное моделирование и стресс‑тесты критичных процессов;
• мониторинг макро‑ и отраслевых рисков, влияющих на стратегию.

Логика: «Риск‑информация - часть управленческого анализа». Бюджет обосновывается через влияние на ключевые решения и снижение неопределённости в стратегических вопросах.

Что это даёт руководителю СБ

Для руководителя СБ это означает три вещи. Появляется понимание, куда двигается бюджет: от реактивных трат к проектным и стратегическим. Возникают аргументы для разговора с руководством: не «нам нужно больше денег», а «на этом уровне бюджет выглядит так, потому что решает такие задачи». И появляется возможность показать эволюцию: от «пожарных» расходов к инвестициям в устойчивость бизнеса.

Дорожная карта: 6 шагов на 90 дней

Шаг 1. Оцените профиль

Определите уровень по ключевым направлениям. Не пытайтесь поднять все контуры одновременно. Выберите 2–3 наиболее уязвимых.

Шаг 2. Выберите 3–5 критичных рисков

Начните с рисков, способных привести к существенным потерям: хищениям, мошенничеству в закупках, срыву поставок, недобросовестности контрагентов.

Шаг 3. Назначьте владельцев

Владельцем должен быть руководитель процесса, который может изменить порядок работы. Роль СБ - выявить риск, обосновать последствия, предложить варианты.

Шаг 4. Согласуйте риск‑аппетит

Например: договоры с контрагентами повышенного риска - только при финансовом обеспечении, поэтапной оплате и письменном решении руководителя.

Шаг 5. Встройтесь в ключевые решения

Согласуйте ситуации обязательного участия СБ: критичные контрагенты, новые объекты, логистические схемы, инвестиционные проекты, сделки M&A.

Шаг 6. Показывайте результат

Для руководства важны не объём активности, а снижение неопределённости. Показывайте динамику рисков, повторяемость инцидентов, решения с учётом риск‑информации.

Вывод

Эта пятиуровневая модель - авторская рамка для первичной оценки роли СБ в отдельных бизнес‑контурах. Она не про то, чтобы достичь идеала, а про то, чтобы в каждом критичном контуре честно ответить на вопрос: на каком этапе управленческого решения мы реально влияем на исход и чем можем это подтвердить.

Зрелость определяется тем, насколько устойчиво работает контроль, кто отвечает за риск и используется ли информация СБ в решениях руководства. Высокий уровень не означает отсутствие инцидентов. Он означает, что риски выявляются раньше, решения принимаются осознанно, а повторяемость проблем снижается.

Важно понимать: не всем компаниям нужна СБ уровня 4–5. Для малого бизнеса (до 50–100 сотрудников, оборот до 300–500 млн руб.), проектов на стадии запуска или компаний с простой бизнес‑моделью (один продукт, один регион, несколько контрагентов) достаточно уровня 2–3: базовые правила, проверка контрагентов, расследование инцидентов. Для компаний среднего и крупного бизнеса уровень 4 - это уже высокий результат, а уровень 5 - опция для тех, где руководство готово использовать риск‑информацию в стратегических решениях. Зрелость СБ должна соответствовать масштабу и рискам компании, а не быть самоцелью.

Компании, которые игнорируют эту логику, обычно приходят к одному из двух сценариев. Либо СБ остаётся пожарной командой на аутсорсе у бизнеса - много активности, мало влияния. Либо пытается перепрыгнуть на уровень 5, не построив базовый контроль, - и тогда риск‑анализ становится красивой презентацией, которая не влияет на решения. Но даже на пятом уровне СБ обязана выявлять инциденты и проводить расследования - уровни 2–5 это надстройка, а не замена.

Зрелая СБ - это не та, которая тушит пожары. Это та, которая не даёт им начаться. Вопрос не в том, сколько уровней прошла ваша СБ. Вопрос в том, насколько рано ваш бизнес начинает слышать её голос.

Если вы готовы за 30 дней сделать три вещи - назвать три главных риска, назначить им владельцев и подключиться до одной крупной сделки - вы уже начали переход на уровень 3. Следующий шаг - превратить это из разовой акции в регулярную практику по ключевым процессам компании.

Статья подготовлена и создана по просьбе СБ Про Бизнес! Автор - Мамонтов Егор (https://t.me/Goreslaf), эксперт по корпоративной безопасности, ех Руководитель по безопасности крупного торгово-промышленного холдинга. Статья является эксклюзивом. От лица канала, благодарим Егора за полезный материал и ждем продолжения🤝
Не теряйте нас, мы есть тут👇
В ТГ канале https://t.me/sbprobiz
В канале MAX https://max.ru/join/179VrFstADYNL0QCwr9Lb633-PXTPLu50MyuYuw2VG8
Приходите и подписывайтесь 😉🤝