Autor: radca prawny Robert Nogacki, Marek Ciecierski
Bezpieczna firma to taka, której zarząd i pracownicy są świadomi jakich aktywów i wrażliwych informacji są depozytariuszami, znają zagrożenia, jakie niesie walka konkurencyjna
Bezpieczna firma to taka, której zarząd i pracownicy są świadomi jakich aktywów i wrażliwych informacji są depozytariuszami, znają zagrożenia, jakie niesie walka konkurencyjna i w konsekwencji wdrożyli niezbędne środki chroniące w sposób skuteczny jej aktywa finansowe oraz inne zasoby materialne i niematerialne. Innymi słowy: to podmiot i ludzie o wysokiej kulturze informacyjnej (korporacyjnej) traktujący priorytetowo kwestie bezpieczeństwa. Jednym z ważnych elementów szeroko rozumianej polityki bezpieczeństwa jest kontrwywiad gospodarczy, który obok wywiadu jest swoistym fenomenem okresu globalizacji. Wywiad i kontrwywiad gospodarczy to współcześnie przedsięwzięcia, które winny się znaleźć w zestawie "narzędzi", służących skutecznemu zarządzaniu bezpieczeństwem firmy. Dla lepszego zrozumienia istoty zadań kontrwywiadowczych i znaczenie kontrwywiadu należy przyjrzeć się zasadniczym zagrożeniom, przed jakimi stoi współczesny biznes.
Zagrożenia współczesnego przedsiębiorstwa
Dzisiejsza firma stoi przed szeregiem poważnych zagrożeń, które mają charakter zarówno globalny, jak i sektorowy czy lokalny. Menedżerowie najczęściej obawiają się przeregulowanej gospodarki, niestabilnej polityki podatkowej, niepewnej sytuacji geopolitycznej, ograniczonego dostępu do kluczowych umiejętności, deficytu i zadłużenia, rosnącej cyberprzestępczości, tempa zmian technologicznych, zachowań konsumentów i wielu innych. Jeśli zagrożenie sprowadzić do poziomu codziennych zmagań konkurencyjnych, to przede wszystkim odczuwa się wzmożoną, ostrą walkę konkurencyjną w sektorze. Chodzi tu głównie o wywiad konkurenta, przestępczość gospodarczą, oszustwa i nadużycia pracownicze, szpiegostwo przemysłowe, cyberprzestępczość, naruszenie tajemnicy przedsiębiorstwa.
"Wirtualizacja biznesu, technologia cloud computingu, połączenie biznesu z mediami społecznościowymi, dynamiczny wzrost urządzeń mobilnych przetwarzających informacje, a nade wszystko zacierający się tradycyjny podział pomiędzy pracą w biurze i w domu - wszystko to składa się na szybkość i złożoność zmian, ale i wzrost poziomu zagrożeń. Wskazane czynniki w połączeniu z ciągle rosnącym zjawiskiem cyberprzestępczości powodują, że powiększa się luka między istniejącymi programami bezpieczeństwa informacji a nowymi wyzwaniami". Jest to refleksja płynąca z wielu prowadzonych badań.
Źródła zagrożeń można ująć w cztery główne kategorie:
- niedostosowanie wymogów bezpieczeństwa do specyfiki przedsiębiorstwa;
- niska świadomość pracowników, niedostateczny poziom lub brak szkoleń;
- brak spójnej, kompleksowej polityki bezpieczeństwa informacji;
- nowe, zaawansowane technologie komunikacyjne.
Dynamiczny wzrost znaczenia Internetu w komunikacji biznesowej zwiększa zagrożenia hackerstwem, cyberprzestępczością, bezpośrednią kradzieżą aktywów finansowych. Z pespektywy bezpieczeństwa finansów firmy warto zwrócić uwagę na kategorię przestępstw i nadużyć pracowniczych, które bezpośrednio, niekiedy natychmiast, wpływają na jej kondycję i wydolność.
Pracownicy firmy głównym zagrożeniem jej finansów
W kwietniu 2018 r. Międzynarodowe Stowarzyszenie Certyfikowanych Biegłych ds. Przestępstw Gospodarczych (ang. Association of Certified Fraud Examiners - ACFE) opublikowało kolejną, dziesiątą już edycję badań dotyczących nadużyć pracowniczych "Report to the Nations. 2018 Global Study on Occupational Fraud and Abuse". Wyniki są interesujące, ale zarazem niepokojące.
Łączna globalna wartość szkód wyrządzonych wskutek nadużyć i oszustw pracowniczych to kwota 7 mld USD, chociaż nie jest to wartość pełna, bowiem wiele przedsiębiorstw z różnych powodów nie zgłasza tego rodzaju przestępstw. 55 proc. badanych firm straciło mniej niż 200 tys. USD, 11 proc. w przedziale 200-400 tys. USD, 7 proc. w przedziale 400-600 USD, 3 proc. w przedziale 600-800 tys. USD, 2 proc. w przedziale 800 tys.-1 mln USD, natomiast aż 22 proc. - powyżej 1 mln USD. Warto odnotować, iż ponad 40 przypadków wykryto dzięki sygnalistom (whistleblowerom), zaś 14 proc. zgłosiły osoby chcące zachować anonimowość. W przedsiębiorstwach zatrudniających poniżej 100 osób średnia strata finansowa wyniosła 200 tys. USD, w nich sygnaliści zgłosili 29 proc. przypadków, natomiast brak wewnętrznej kontroli był przyczyną 42 proc. nadużyć. W przedsiębiorstwach zatrudniających ponad 100 osób średnia strata wynosiła 104 tys. USD, whistleblowerzy zgłosili 44 proc. przypadków nadużyć, a brak wewnętrznej kontroli był przyczyną 25 proc. tego rodzaju zdarzeń. Nadużycia pracownicze to zasadniczo trzy podstawowe kategorie przestępstw. Na pierwszym miejscu plasują się sprzeniewierzenia aktywów (89 proc. badanych), jednak były one najmniej dotkliwe, bo średnia strata w wyniku ich popełnienia wyniosła 114 tys. USD. Druga kategoria to korupcja (38 proc.), która była o wiele bardziej bolesna dla firmy; średnia strata z tego powodu wyniosła 250 tys. USD. Rzadszą, natomiast bardziej wyrafinowaną kategorię stanowiło fałszowanie sprawozdań finansowych (10 proc. badanych), z których każdy przypadek generował szkodę w wysokości 800 tys. USD. Istotna dla naszych rozważań jest również kwestia sprawców nadużyć i oszustw pracowniczych. Istnieje bowiem ścisła zależność pomiędzy szczeblem popełniającym przestępstwo, a wysokością szkody. Sprawcami 44 proc. nadużyć byli zwykli pracownicy, zaś średni koszt ich przestępstwa wynosił 50 tys. USD. Kadra menedżerska była sprawcą 34 proc. nadużyć, zaś średni koszt straty finansowej to już 150 tys,. USD. Sprawcami 19 proc. nadużyć byli właściciele lub członkowie zarządu firmy. Koszt ich przestępstwa to średnio 850 tys. USD. Trendy te potwierdzają również inne badania. Według najnowszego raportu PwC (Global Economic Crime Survey 2018) 49 proc. badanych firm było ofiarą nadużycia lub przestępstwa gospodarczego co stanowi wzrost w stosunku do 2016 r. - wówczas dotyczyło to 36 proc. firm. 52 proc. przypadków to sprawcy wewnątrz firmy, a 40 proc. sprawcy z zewnątrz. Sprawcami 24 proc. przypadków nadużyć i przestępstw gospodarczych była wyższa kadra kierownicza.
Z doświadczeń polskich przedsiębiorstw wynika, że nieco ponad połowa wszystkich przypadków nadużyć jest popełniana przez osoby spoza organizacji (57 proc.). Jednak aż 20 proc. wszystkich przestępstw zostało popełnionych przez przedstawicieli kadry menedżerskiej.
Kontrwywiad gospodarczy panaceum na straty aktywów finansowych?
Zaprezentowane wyniki badań są niepokojące, jeśli podejść do nich czysto matematycznie, ale można je również interpretować optymistycznie. Wskazują bowiem na wzrost skuteczności wykrywania nadużyć, większą świadomość i poziomu bezpieczeństwa w firmach. Duże firmy organizują specjalistyczne piony bezpieczeństwa bądź wprost komórki wywiadu i kontrwywiadu gospodarczego, których zadaniem jest nie tylko rozpoznanie i walka z konkurentem, ale szeroko rozumiana profilaktyka bezpieczeństwa wewnątrz organizacji. Kontrwywiadowczą ochronę traktować dzisiaj należy niemal tożsamo z polityką bezpieczeństwa, jakkolwiek dostrzegać należy również różnice. Duże firmy czy korporacje przejęły wprost metody z kontrwywiadu państwowego, wzbogaciły je, uczyniły bardziej skutecznymi, dysponują niejednokrotnie większymi środkami i nie dbają o ograniczenia, jakie kontrwywiadowi państwowemu narzucają przepisy. Zabezpieczenie kontrwywiadowcze obejmuje dwa elementy: ochronę i osłonę. Przez ochronę firm należy rozumieć system zabezpieczeń fizycznych, w tym IT, natomiast osłona to piecza nad ludźmi, którzy mogą być obiektem zainteresowania wywiadu konkurenta lub źródłem problemów. Współcześnie dla kontrwywiadu w firmach większym problemem są ludzie, aniżeli zabezpieczenia fizyczne. Kontrwywiad nie tylko reaguje na ataki wywiadu konkurencyjnego, ale jego działania obejmują również m.in. badania i zapobieganie przestępstwom, kradzieżom, postawom korupcyjnym. Pracownicy kontrwywiadu interesują się również sferą obyczajowości, bowiem obszary te potencjalnie stanowią cel dla penetracji wywiadowczych.
Możliwości kontrwywiadu gospodarczego są niezwykle szerokie. K. Turaliński specyfikuje takie, które mają kapitalne znaczenie dla ochrony zasobów finansowych firmy:
- utrudnianie przestępcom zdobywania informacji o potencjalnych ofiarach - m.in. o posiadanym kapitale, miejscach zamieszkania, powiązaniach kapitałowo-osobowych itp.;
- utrudnianie szpiegostwa przemysłowego i czynów nieuczciwej konkurencji opartych na pozyskaniu informacji poufnych;
- utrudnianie działalności windykatorów, wywiadu gospodarczego i prywatnych detektywów oraz innych osób postronnych;
- ukrycie struktury organizacyjnej podmiotów gospodarczych i holdingów;
- ukrycie tożsamości inwestorów, organizatorów przedsięwzięć gospodarczych i ich beneficjentów;
- zablokowanie egzekucji z majątku przy jednoczesnym zachowaniu swobody operacyjnej.
Sprawdzanie pracowników
Ważnym profilaktycznym zadaniem kontrwywiadu w obszarze bezpieczeństwa finansowego jest sprawdzanie pracowników przed zatrudnieniem oraz w jego trakcie, jeśli w ich zachowaniach pojawiają się niepokojące symptomy. Są to niekiedy działania wręcz nieodzowne, prowadzone pod kątem wiarygodności przedstawionych dokumentów, zaświadczeń itp., a także ewentualnej podatności na kradzież, korupcję, zwerbowanie przez firmy konkurencyjne.
Oczywiście sprawdzeniu nie podlega wszystko i wszyscy; kontrwywiad precyzyjnie określa cele w tym zakresie. Inny jest przypadek świeżo upieczonego absolwenta z CV mieszczącym się na kartce papieru, który podejmuje pierwszą w życiu pracy, a zgoła odmienny przypadek człowieka z kilkunasto- lub kilkudziesięcioletnim doświadczeniem, który aplikuje na kierownicze stanowisko w wielkiej korporacji.
Kontrwywiad może sprawdzać tych pracowników firmy, którzy będą mieli szeroki dostęp do tajemnicy przedsiębiorstwa, w tym zwłaszcza członków zarządu, menedżerów wyższego szczebla, decydujących w ramach swoich kompetencji o polityce kadrowej i wykorzystaniu poważnych środków finansowych. Zazwyczaj nie "odpuszcza" osobom zarządzającym systemami informatycznymi firmy, pracownikom z dostępem do R&D, zwłaszcza do wyników, które mogą zmienić krajobraz konkurencyjny na rynku. Sprawdza się również tych, których dokumenty budzą uzasadnione wątpliwości. Reasumując, kontrwywiad wkracza tam, gdzie potencjalne straty finansowe, jakie zatrudniani pracownicy mogą spowodować na wskutek zaniedbań, zaniechań, ignorancji czy świadomych szkodliwych działań, wpłyną negatywnie na pozycję konkurencyjną firmy i wielokrotnie przewyższą koszty włożone w procedury weryfikacyjne.
Pracownicy kontrwywiadu, przy udziale pracodawcy, określają zakres sprawdzenia. Ujmując w uproszczeniu, należy badać spójność deklaracji z faktami, zgodność dokumentów z rzeczywistością. Sprawdzane są formalne kwalifikacje (miejsca zatrudnienia, zajmowane stanowiska, wykształcenie, kursy itp.), dotychczasowe osiągnięcia zawodowe (co robił w poprzedniej pracy, realizowane projekty, efekty), ewentualny konflikt interesów (czy ma jakieś związki z byłymi pracodawcami bądź rodzinne z konkurencją , gdzie jest zatrudniona rodzina) czy wreszcie osobowość, a więc wiarygodność, lojalność, podatność na nałogi, cechy charakteru, w tym konfliktowość.
Kontrwywiad pracuje również nad grupą pracowników zwalnianych Jak pokazują badania amerykańskie ma ona istotny wpływ na bezpieczeństwo firmy. Ponad 50 proc. zwalniających się lub tracących posadę pracowników było w posiadaniu poufnych informacji przedsiębiorstwa, 40 proc. z nich zamierzało wykorzystać te dane w nowym miejscu pracy, a 52 proc. uważało, iż wykorzystanie tajemnicy w nowej pracy dla konkurencji nie jest przestępstwem.
Bezpieczne finanse zależą od wiarygodnych, sprawdzonych partnerów
Potencjalnym i aktualnym partnerom (kontrahentom) należy ufać w ograniczonym stopniu i ich sprawdzać. To również ważny obszar działania kontrwywiadu. Zasada jest taka, iż obligatoryjnie sprawdza się partnerów, z którymi do tej pory nie robiło się interesów, zaś okresowo tych, z którymi określone projekty były realizowane w przeszłości. Sprawdzania dokonuje się wyłącznie legalnymi metodami i środkami. Można realizować je w dwojaki sposób: za pomocą outsourcingu wywiadowczego czyli siłami wynajętej firmy wywiadowczej, lub we własnym zakresie, jeśli komórka kontrwywiadowcza w firmie jest dostatecznie silna i kompetentna. Jednak na ten drugi sposób, w warunkach polskich, stać niewiele przedsiębiorstw. Nawet te większe, które posiadają wyspecjalizowane komórki wywiadu i kontrwywiadu gospodarczego, nie zawsze mają ludzi przygotowanych niekiedy do działań detektywistycznych. A takie należy również podejmować przy weryfikacji określonego podmiotu.
Kontrwywiadowców przede wszystkim interesują bądź winny interesować następujące kwestie:
- czy partner jest wiarygodny, a więc czy jest tym, za kogo się podaje, czy jest realny a nie wirtualny;
- aktywność partnera lub jej brak w stowarzyszeniach gospodarczych, organizacjach i zrzeszeniach branżowych, co może świadczyć o dobrym "ukorzenieniu" w środowisku gospodarczym;
- analiza powiązań personalnych osób zasiadających w zarządzie i organach nadzorczych. Istotne są informacje o ich udziale i formach tego udziału w innych podmiotach;
- charakterystyki personalne menedżerów w firmach partnerskich czy konkurencyjnych. W wielu przypadkach osobowość menedżera, jego styl zachowań mogą zwiastować podejmowanie takich, a nie innych decyzji;
- sytuacja finansowa - ważne jest ustalenie na ile jest wiarygodny finansowo, ile posiada zobowiązań, jakie to są zobowiązania, czy je terminowo obsługuje, jakie jest prawdopodobieństwo spłaty kredytu;
- dbałość partnera o tajemnice przedsiębiorstwa, handlowe lub inne informacje wrażliwe.
Wszystkie te obszary mają duże znacznie przy zawieraniu kontraktów, w konsekwencji decydują o kondycji finansowej i przyszłości firmy.
Podsumowanie
Wszystkie podmioty gospodarcze funkcjonujące na rynku, są obiektami działań lub co najmniej zainteresowania wywiadu, ale tylko wobec niektórych prowadzi się działania szpiegowskie. Ochrona kontrwywiadowcza winna być paradygmatem każdej organizacji dysponującej wrażliwymi informacjami, zasobami materialnymi, zwłaszcza aktywami finansowymi. Poziom i podjęte środki kontrwywiadowczego zabezpieczania muszą być adekwatne tzn. dostosowane do zasobów informacyjnych i zagrożeń. Każda polityka bezpieczeństwa to znalezienie złotego środka pomiędzy dwiema filozofiami: potrzebą dzielenia się wiedzą (need to share), a zasadą wiedzy niezbędnej (need to know). System bezpieczeństwa firmy, w tym również bezpieczeństwa finansów, nie może opierać się na zaufaniu, ale na procedurach (wydzielone zasoby, zakres kompetencji, szkolenia, sprawdzanie osób, dostęp, ciągłość, kontrola itp.). Inwestycje w bezpieczeństwo, w ustrukturyzowane piony kontrwywiadu bądź wywiadu gospodarczego, najczęściej nie przynoszą wymiernych, widocznych rezultatów, ale ich brak zawsze przynosi straty materialne i wizerunkowe.
