2.2. Служебная проверка или расследование
Организация поисковых и аналитических мероприятий при проведении служебной проверки или расследования предполагает наличие всего спектра инструментов, о которых упоминалось ранее. Прежде всего это наличие интегрированной системы безопасности, доступ к информационной системе предприятия для формирования запросов и получения отчетов, развитая система индексирования различных типов данных. В автоматическом режиме должны генерироваться следующие потоки данных:
– распознавание номеров автотранспорта на всех входных группах (в идеале зонирование предприятия и получение возможности идентификации транспортного средства по зонам),
– данные со средств весового контроля (если таковые имеются),
– данные СКУД,
– индексация видеоряда и снимков.
На последнем пункте остановимся более подробно. Мы обещали вернуться к теме увеличения архива без увеличения емкости накопителей. Естественно, в первую очередь необходимо использовать возможности, предоставляемые производителями оборудования:
– использование современных кодеков в т. ч. H.265+;
– использование записи только по детектору движения (подходит для ограниченного количества контролируемых зон, используется только в случае крайней необходимости, когда глубина архива важнее потенциальной возможности «пропустить» нужную сцену);
– возможность снижать качество видеозаписи по истечении основного срока хранения или изменять частоту кадров архива.
Более интересен подход, связанный с фиксацией события в виде индексированного снимка (фрагмента видеозаписи), который может храниться практически неограниченное количество времени. Как мы уже отмечали – система видеонаблюдения является в т. ч. средством верификации, причем как оперативной, так и для подтверждения ранее произошедших событий. Дополнение «основного» видеоархива с ограниченной глубиной архивом снимков и коротких видеофрагментов с глубиной в несколько лет как раз и является эффективным средством для расширения функционала интегрированной системы безопасности. Примерами могут являться снимки всех въезжающих транспортных средств, причем одновременно можно делать снимок фронтальный с возможностью идентификации номерного знака и обзорный с верхнего сектора. Второй пример – снимок с видеокамеры, логически связанной с системой охранной сигнализации при срабатывании периметрового извещателя.
Таким образом, используя вышеуказанную модель организации хранения данных, мы можем анализировать данные за достаточно большой период времени.
Ключевой особенностью сбора и анализа информации, осуществляемых специалистом-экспертом в рамках служебного расследования, является отсутствие конкретной информации о дате и месте наступления событий, которые могут явиться основой для верификации нарушения и формирования доказательной базы.
Некоторые авторы работ по теории корпоративного мошенничества используют термин «матрица расследования»5.
Действительно, только при анализе значительного количества на первый взгляд разрозненной информации, полученной из различных источников, возможно как установить сам факт совершения противоправных действий, так и сформировать доказательную базу.
В отношении важности компонента системы видеонаблюдения как источника информации для формирования доказательств было отмечено: «Аудио- и видеозаписи представляют собой особый источник сведений, требующий дополнительного теоретического осмысления. При этом совершенно очевидно, что технические возможности, существующие в настоящее время в распоряжении не только государства, но и частных лиц, выводят этот источник сведений на беспрецедентный по информативности и потенциалу познания уровень»6.
Возвращаясь к термину «матрица расследования» следует пояснить, что источником информации при проведении служебной проверки являются не только технические средства, входящие в состав интегрированной системы безопасности, но и информация, полученная в ходе опроса должностных лиц, материалы, полученные в ходе ревизий, инвентаризаций, выгрузки из учетных систем предприятия и т. д.
Иногда именно изучение первичных документов (материалов конкурсных отборов, проведенных тендеров, полученных коммерческих предложений) является первым этапом для получения информации о возможных нарушениях, связанных с корпоративным мошенничеством.
В сложных случаях для проведения служебного расследования целесообразно формировать экспертную группу или комиссию, в которую, кроме сотрудников подразделения безопасности, входят профильные специалисты по аудиту, технические специалисты и юристы.
В этом случае основными задачами специалиста-эксперта будут:
– верификация информации в рамках «матрицы расследования»;
– формирование доказательной базы в соответствии с критериями относимости, допустимости и достоверности;
– выявление потребности в получении дополнительных сведений, формирование запросов в информационные базы предприятия и (или) запросов должностным лицам предприятия;
– передача информации руководителю экспертной группы (комиссии) информации для формирования заключения оп результатам служебной проверки.
2.3. Анализ информации. Поиск аномалий
Кардинально отличается методология действий специалиста-эксперта при анализе информации в рамках проведения мероприятий по поиску аномалий. Главное – он проводит работу не от выявленного факта совершения противоправных действий (или выявленных случаев недостачи материальных ценностей), а самостоятельно проверяет гипотезу о наличии причин и условий, которые не были идентифицированы на этапе оценки рисков при описании основных бизнес-процессов и создании системы контроля.
Естественно, квалификация специалиста-эксперта для проведения подобных мероприятий должна включать в себя глубокие знания бизнес-процессов предприятия.
В ряде случаев «заказчиком» таких мероприятий выступает подразделение, отвечающее за внедрение системы менеджмента качества (СМК) в рамках проводимого аудита или актуализации документации, регламентирующих выполнение требований СМК. При этом максимальный эффект достигается за счет того, что, имея «инструментальные» источники информации, специалист-эксперт выявляет реальные угрозы для предприятия, которые могут быть подтверждены документально.
На этом этапе снова хотелось бы вернуться к выражению «матрица расследования», т. к. оно наиболее емко характеризует суть работы специалиста-эксперта по анализу многомерных данных и сопоставления информации, которая на первый взгляд не является значимой.
В качестве примера можно привести следующую схему анализа – от обобщенной к целевой, которая на ряде предприятий была успешно реализована и способствовала предотвращению реального ущерба в цепочке поставок материалов:
– из всего массива данных о заезжающем на предприятие транспорте (дата, время, государственной номер) выявляются аномальные (в данном случае были выявлены транспортные средства, которые заезжали на предприятие только в выходные и праздничные дни), естественно, речь идет о предприятии, которое работает в круглосуточном режиме;
– после фильтрации данных и анализа времени заезда получаем еще один демаскирующий признак – эти транспортные средства иногда заезжали и в будние дни, но только в ночное время;
– далее проводится анализ режима работы основных подразделений предприятия, связанных с осуществлением деятельности в области логистики и контроля, которое иногда называют «день / ночь 48», и сравниваем со списком ранее выявленных транспортных средств, после чего получаем информацию о том, что контролируемые транспортные средства заезжали только в период работы одной и той же смены;
– следующий этап – верификация и выявление с использованием системы видеонаблюдения аномалий на этапах весового контроля, контроля качества поставляемых материалов, разгрузки в местах хранения материалов, для выявления нарушений в части осуществления функции контроля над качеством поставляемых материалов;
– формирование доказательной базы, инициализация служебной проверки по выявленным фактам, привлечение виновных лиц к ответственности.
Из приведенного примера понятно, что речь шла о нарушениях со стороны персонала предприятия, связанного с приемом материалов ненадлежащего качества в сговоре с поставщиками.
Этот пример выбран в связи с тем, что первый, самый важный этап по выявлению аномалий был приведен обезличенно, или, используя терминологию специалистов-профайлеров, без учета «криминального знания», т. к. сам факт заезда на территорию предприятия в определенные дни не может быть идентифицирован как угроза или риск. Еще раз акцентируем внимание на этом моменте с точки зрения психологии мошенника – он тоже просчитывает риски быть разоблаченным, поэтому заведомо старается исключить все демаскирующие признаки, и в первую очередь связанные с оформлением документов.
О психологии мошенничества будет более подробно рассказано в следующих разделах, пока отметим только тот факт, что, как правило, мошеннические действия планируют квалифицированные специалисты, работающие на предприятии не один год, хорошо знающие специфику работы предприятия, осуществляемые контрольные и режимные мероприятия, места установки технических средств охраны. Именно поэтому возможность анализа данных, на которые потенциальный мошенник не обращает внимания или которые не может контролировать, не только важна, но в ряде случаев является единственно возможной для выявления аномалий.