Карта рисков безопасности объекта: как определить слабые места предприятия

Решения по охране на большинстве объектов принимаются по остаточному принципу: поставили камеры там, где удобно тянуть кабель, выставили пост у главного входа, повесили тревожную кнопку рядом с кассой. Бюджет расходуется, а хищения, проникновения и конфликты продолжаются — потому что происходят они там, куда никто не смотрел.

Карта рисков переводит безопасность из области ощущений в перечень конкретных угроз, привязанных к зонам объекта, с оценкой вероятности и размера ущерба. Ниже — порядок обследования, метод оценки, структура итогового документа и переход от карты к мерам защиты.

Когда оценка рисков обязательна по закону

Существует два режима, и путать их не следует.

Обязательный режим касается объектов, подпадающих под требования антитеррористической защищённости. Правовая основа — Федеральный закон от 06.03.2006 № 35-ФЗ «О противодействии терроризму» и принятые в его развитие акты Правительства. Для мест массового пребывания людей и объектов, подлежащих обязательной охране войсками национальной гвардии, порядок установлен Постановлением Правительства Российской Федерации от 25.03.2015 № 272 «Об утверждении требований к антитеррористической защищенности мест массового пребывания людей и объектов (территорий), подлежащих обязательной охране войсками национальной гвардии Российской Федерации, и форм паспортов безопасности таких мест и объектов (территорий)». Обследование проводит межведомственная комиссия, результат оформляется актом, объекту присваивается категория, затем разрабатывается паспорт безопасности. Для отдельных сфер — образования, здравоохранения, культуры, спорта, промышленности — требования утверждены самостоятельными постановлениями Правительства, и применять нужно акт по профилю деятельности.

Добровольный режим касается всех остальных коммерческих объектов. Форма оценки законом не установлена, методику предприятие выбирает само.

Обязательная процедура внутреннюю карту рисков не заменяет. Комиссия оценивает объект с точки зрения террористической угрозы и возможных последствий теракта. Хищения со склада, сговор кладовщика с водителем, конфликт охранника с посетителем, вынос товара через зону отгрузки в категорирование не входят, хотя именно эти события формируют основную часть годовых потерь. Поэтому категорирование объекта для паспорта безопасности и внутренняя оценка рисков ведутся параллельно и используют общие данные обследования.

Аудит безопасности объекта: где искать слабые места

Осмотр ведётся по маршруту от внешней границы к внутренним зонам. В каждой точке фиксируется не общее впечатление, а конкретный признак.

Периметр и подходы к объекту

• разрывы, подкопы, участки пониженной высоты ограждения, повреждённые секции;

• деревья, навесы, контейнеры, поддоны и постройки вплотную к забору, облегчающие перелаз;

• неработающее или направленное внутрь освещение, тёмные участки в ночное время;

• технологические выезды, ворота для спецтехники и пожарные проезды, которые открываются без контроля;

• парковка автотранспорта вплотную к зданию, стоянка неопознанных машин у периметра;

• зоны, не просматриваемые ни камерами, ни маршрутом патруля.

Входные группы и пропускной режим

• совмещение потоков посетителей, персонала и грузов через один проход;

• пропуск по устной договорённости, «по звонку», по узнаванию в лицо;

• отсутствие учёта подрядчиков, курьеров, представителей сервисных служб;

• незапираемые служебные и эвакуационные выходы, двери, зафиксированные в открытом положении;

• свободный переход из зоны для посетителей в служебную зону, склад или административную часть;

• отсутствие досмотра вносимого и выносимого имущества там, где он предусмотрен режимом.

Внутренние зоны, хранилища и критические элементы

К критическим элементам относят кассовый узел, помещение хранения наличных, серверную, склад товарно-материальных ценностей, архив, узлы энергоснабжения и водоснабжения, помещения с документами ограниченного распространения.

Признаки уязвимости: хранение ценностей в проходном помещении, общие ключи без журнала выдачи, дубликаты у бывших сотрудников, доступ уборщиков и подрядчиков в серверную без сопровождения, отсутствие отдельного контура сигнализации на хранилище.

Технические средства охраны

Проверяется не только наличие оборудования, но и работоспособность и сценарий использования:

• реальная глубина архива видеозаписи и её соответствие срокам выявления недостач;

• разрешение и ракурс камер на входных группах — читается ли лицо и номер автомобиля, а не только силуэт;

• кто и в каком режиме просматривает видео, есть ли реакция в реальном времени;

• куда выводится сигнал тревожной кнопки и каково фактическое время прибытия группы реагирования;

• ведётся ли аудит событий СКУД, анализируются ли проходы в нерабочее время;

• исправность шлейфов сигнализации, наличие зон, снятых с охраны «временно» год назад.

Оборудование, которое работает без регламента реагирования, риск не снижает. По результатам обследования часть уязвимостей закрывается дооснащением, и техническая охрана объектов проектируется под выявленные сценарии, а не по типовому шаблону.

Организация службы охраны

• соответствие количества постов площади объекта, режиму работы и потоку посетителей;

• содержание постовых инструкций: описаны ли действия при нештатной ситуации или только общие обязанности;

• порядок связи с дежурной частью и правоохранительными органами;

• маршруты и периодичность патрулирования, наличие точек контроля;

• фактическое время прибытия группы быстрого реагирования;

• наличие подмены на время пересменки и приёма пищи — период, на который пост фактически остаётся пустым.

Персонал и внутренние угрозы

• сговор сотрудника с посетителем, водителем или подрядчиком;

• вынос через зону приёмки и отгрузки под видом возврата или брака;

• сохранение доступа у уволенных сотрудников — карты, ключи, учётные записи;

• отсутствие проверки персонала подрядных организаций, работающих на объекте;

• совмещение в одних руках функций учёта и физического доступа к ценностям.

Оценка риска: вероятность, ущерб, приоритет

Шкалы вероятности и последствий

Обе шкалы задаются от 1 до 5 с текстовыми критериями, зафиксированными письменно до начала оценки.

Вероятность:

• 1 — на объекте не фиксировалось и в отрасли редкость;

• 2 — единичные случаи за несколько лет;

• 3 — происходит примерно раз в год;

• 4 — несколько раз в год;

• 5 — фиксируется ежемесячно или чаще.

Ущерб:

• 1 — потери до 50 тыс. рублей, работа не прерывается;

• 2 — ощутимые потери, простой в пределах смены;

• 3 — существенные потери, простой до нескольких дней, претензии контрагентов;

• 4 — крупные потери, остановка направления деятельности, разбирательства с надзорными органами;

• 5 — остановка деятельности предприятия, вред жизни и здоровью людей, репутационные последствия.

Без письменных критериев оценки разных участников группы несопоставимы: для одного «часто» — это раз в квартал, для другого — раз в неделю.

Матрица рисков и уровни приемлемости

Уровень риска рассчитывается как произведение оценок вероятности и ущерба и попадает в одну из зон:

• 15–25 — неприемлемый: меры принимаются немедленно, при необходимости через временное усиление охраны;

• 8–14 — высокий: план мероприятий на ближайший квартал с бюджетом и ответственным;

• 4–7 — умеренный: наблюдение, пересмотр при изменении условий;

• 1–3 — низкий: риск принимается без дополнительных затрат.

Смысл матрицы — очерёдность вложений. Число в ячейке само по себе ничего не значит; значение имеет то, что риск с оценкой 20 закрывается раньше, чем риск с оценкой 6, даже если второй заметнее и обсуждается чаще.

Пример матрицы рисков безопасности объекта:

Зоны приоритета:

Неприемлемый (15–25) — меры принимаются немедленно, при необходимости через временное усиление охраны до внедрения постоянного решения.

Высокий (8–14) — план мероприятий на ближайший квартал с бюджетом, ответственным и сроком.

Умеренный (4–7) — наблюдение, пересмотр оценки при изменении режима работы объекта или после инцидента.

Низкий (1–3) — риск принимается, дополнительные затраты не требуются.

Карта утверждается руководителем организации. Документ содержит сведения о слабых местах защиты, поэтому ему присваивается статус документа ограниченного распространения, определяется круг допущенных лиц и порядок хранения. 

Также на сложных объектах составляют графическую карту. На поэтажный план и генплан наносятся зоны риска, точки выявленных уязвимостей и номера строк из таблицы. Обе части нужны одновременно: таблица используется в работе и при контроле исполнения, схема — на совещаниях и при постановке задач подрядчикам, где нужно за минуту показать, где именно проходит канал выноса.

Типичные ошибки при составлении карты рисков

• Оценка без выхода на объект. Работа по документам и телефонному опросу даёт красивую таблицу и нулевую практическую ценность: подпёртая дверь и дубликат ключа в схеме СКУД не отражаются.

• Перечень угроз без привязки к зонам. Строка «риск хищения» относится ко всему предприятию сразу, а значит ни к чему конкретно. Меру по такой строке назначить невозможно.

• Смешение с рисками охраны труда и пожарной безопасности. Разные объекты оценки, разные нормативные требования, разные ответственные. Попытка вести всё в одной таблице приводит к тому, что не работает ни один блок.

• Оценки без письменных критериев. Цифры, поставленные по ощущению, нельзя ни проверить, ни сравнить при следующем пересмотре.

• Меры без ответственного и срока. Формулировка «усилить контроль» не исполняется и не контролируется.

• Разовая работа. Карта, составленная один раз при запуске объекта, через год описывает предприятие, которого уже нет.

Вопросы и ответы

Нужно ли согласовывать карту рисков с надзорными органами?

Нет. Карта рисков — внутренний документ предприятия, форма и содержание определяются самой организацией, утверждает её руководитель. Согласованию в установленном порядке подлежит паспорт безопасности объекта, разрабатываемый в рамках требований по антитеррористической защищённости, и это другой документ с другой процедурой. Карту рисков можно предъявить проверяющим по собственной инициативе как подтверждение проведённой работы, но обязанности представлять её на согласование нет.

Кто отвечает за риски в арендованном здании — арендатор или собственник?

Распределение определяется договором аренды. Как правило, собственник отвечает за конструктив, периметр, инженерные системы и общие зоны — холлы, лифты, парковку, а арендатор — за безопасность внутри своих помещений и за собственный персонал. Проблемы возникают на стыке: входная группа, коридоры, зоны погрузки часто не закреплены ни за кем. При составлении карты такие участки выделяются отдельно, а по итогам инициируется письменное закрепление ответственности в договоре или в отдельном соглашении с управляющей компанией.

Влияет ли наличие карты рисков на страхование имущества?

Влияет на двух этапах. При заключении договора страховщик оценивает состояние защищённости объекта, и документально подтверждённая система мер обычно улучшает условия — от размера тарифа до перечня принимаемых на страхование рисков. При урегулировании убытка карта помогает доказать, что предприятие принимало разумные меры предосторожности, что снижает вероятность отказа со ссылкой на грубую неосторожность страхователя. Конкретные условия зависят от правил страхования конкретной компании и обсуждаются до подписания полиса.

Можно ли объединить карту рисков безопасности с реестром рисков охраны труда?

В одну таблицу — нет. У этих оценок разные объекты: охрана труда рассматривает опасности для работника в производственном процессе и опирается на собственные нормативные требования, безопасность объекта — на противоправные действия людей. Шкалы, методики и ответственные тоже разные. При этом на уровне предприятия допустим сводный реестр рисков верхнего уровня, куда из обеих систем выносятся только события высшей категории — для отчётности перед руководством и планирования бюджета.

Сколько времени занимает обследование объекта и подготовка карты?

Для отдельно стоящего объекта средней площади обследование занимает от нескольких часов до одного дня, подготовка документа — от двух до пяти рабочих дней с учётом анализа статистики инцидентов. Сроки увеличивают распределённые площадки с несколькими зданиями, круглосуточный режим работы, требующий наблюдения и в ночную смену, большое число арендаторов с раздельными зонами ответственности и необходимость согласования выводов с несколькими службами заказчика.