Месяц: Апрель 2018

Рубрики
Business Internal Audit Internal control

Внутренний контроль. Часть 9.

Продолжение серии статей про внутренний контроль. Полный набор ссылок на мою теорию внутреннего контроля – вот здесь.

А мы пока делаем ещё один шаг вперёд в решении вечного вопроса внутренних аудиторов и контролёров: как отличить «хорошую» контрольную процедуру от «плохой»? Просто «аудиторское суждение», на которое так любят ссылаться аудиторы за неимением лучшего, давно уже не прокатывает. Сколько аудиторов, столько и суждений. – У вас одно мнение, а у меня другое – скажет любой менеджер. И будет прав.

И поэтому мы вводим набор объективных характеристик, которыми обязательно должна обладать контрольная процедура, чтобы быть хоть сколько-нибудь выполнять свои функции.

В предыдущих сериях мы говорили о двух характеристиках (свойствах) КП – «Достоверность» и «Доказательность». Сегодня настала очередь рассказать о третьем необходимом свойстве КП.

Назовём его «Повторяемость». Об этом небольшая сказка из реальной жизни. Имена и фамилии заменены вымышленными (при съёмках ни одно животное не пострадало):

— Вот как-то раз приходит внутренний аудитор проверять исполнение контрольной процедуры. Всё замечательно, под бодрую музыку из радиоточки труженик станка в новой спецовке исполняет все необходимые действия – засыпет куда надо сырье, проверит расчёт дозы на логарифмической линейке, подкинет ещё пару кусочков («Достоверность»), запишет время и дозу в амбарную книгу с большой фиолетовой печатью («Доказательность»). Душа аудитора возрадуется, и напишет он благостный отчёт о проверке – что в Багдаде всё спокойно, о великий халиф.

А назавтра наш незаменимый труженик станка, от пережитых душевных волнений при виде живого аудитора, нарушил спортивный режим, и не вышел на работу. Вместо него на трудовой подвиг бросили практиканта Васю, который давно тут ошивался без дела. Опыта у Васи не было, но были горящие глаза, умение работать в команде, креативность и безграничная уверенность в собственных силах. Логарифмической линейкой он пользоваться не умел, где лежит амбарная книга и что с ней делать, представлял смутно.

Креативному Васе по-быстрому объяснили, куда что и сколько бросать. Он всё понял и кивнул. Он даже сделал всё правильно, только нажал не на ту кнопку. Ценный агрегат, на котором держалась вся технологическая цепочка богоугодного заведения, приказал долго жить. Вася услышал о себе много интересного от начальника цеха, хотя и в несколько эмоциональной форме. А начальник цеха – от директора по производству. И далее со всеми остановками, хотя это уже ничего не меняло.

А всё почему? А потому,что у него велосипеда не было в этой контрольной процедуре не были предусмотрены меры, которые обеспечивали её непрерывное и правильное выполнение в самых разных обстоятельствах, не только вчера и сегодня, но и в будущем. Поэтому наш аудитор должен был оценить (кроме того, что он сделал) ещё и такую характеристику КП, как «Повторяемость».

«Повторяемость» — этокакими мерами обеспечивается исполнение контрольной процедуры заданным образом в будущем, и соответствии с задумками умных людей, которые её разрабатывали.

Например, наш внутренний аудитор мог бы задать вот такие вопросы, и попытаться получить на них ответы:

— где написано, как исполнять данную контрольную процедуру, причём языком, понятным даже практиканту Васе. Если надо – в форме мультфильма, потому что Вася русским письменным языком владеет очень условно, по причине своего появления на свет в эпоху соцсетей и смартфонов.

— существуют ли квалификационные требования к тому работнику, который будет исполнять КП, например, умение пользоваться логарифмической линейкой и амбарной книгой;

— проверяется ли квалификация сотрудников перед тем, как поставить их нажимать ту самую кнопку;

— проводятся ли периодические тренировки и обучение, чтобы знания не ослабевали;

— готовится ли кадровый резерв и в каком он, этот резерв, состоянии;

— знает ли работник, что делать, если… – и далее план действий в разных ситуациях, когда всё идёт не так.

и так далее…

Нетрудно разработать такой небольшой чек-лист, который поможет аудитору справиться с задачей оценки и получить результаты, меньше зависящее от «суждения» и других субъективных факторов.

Подводим итогина сегодня. На сегодня мы знаем уже о трёх свойствах контрольной процедуры, которые обязательно должны у неё быть. Они настолько важны, что с их оценки надо начинать оценку КП. И если они провалили тест, то дальше можно не терять время – надо прекращать аудит этой контрольной процедуры.

Вообще-то, этих свойств больше. Я рекомендую оценивать семь. Какие они? Поговорим об этом как-нибудь в другой раз, а пока попробуйте их угадать.

Практическое задание: посмотреть фрагмент видеозаписи (здесь). На нём обнаружить контрольную процедуру, и рассказать, как в этой контрольной процедуре реализована «достоверность», а как – «доказательность».

Рубрики
Business Intelligence Internal Audit Internal control Risk management

Космические корабли на просторах Большого театра

Стал сегодня искать в интернетах, что там есть нового в вопросе оценки риска хищений. По-ихнему это называется «Fraud risk assessment». И в первых пяти строках результатов поиска нашел интересный семинар на эту тему. Открываю ссылку – и вижу — свой, 2012 года. И стало даже как-то жутко – так быстро бежит время.

Я тогда рассказывал о том, что оценка рисков хищений должна стать неотъемлемой частью системы безопасности бизнеса — ещё пять лет назад. И это слушали примерно как про космические корабли, которые будут бороздить просторы Большого театра. И реакция со стороны большого бизнеса была примерно вот такая.

А сегодня, лет через пять-семь, идея, наконец, начала овладевать массами. То ли кризис прижал, и надо сокращать расходы. То ли просто её время пришло. Известно ведь, что «любая истина рождается как ересь, а умирает как предрассудок». И как-то резво пошли запросы на проведение тренингов и консультаций именно по этой теме. Поэтому решил выложить здесь примерную программу тренинга:

Внедрение системы оценки рисков хищений в компании. Аналитические методы выявления и расследования хищений

Программа:

Хищение: основные характеристики деяния. Состав преступления. Доказывание преступления и ограничения в коммерческой организации. Прямые, косвенные доказательства. Обоснованная уверенность.

Экспертиза и аналитика – роль и применимость для доказательства преступления. Юридические нормы.

Риск хищений как особый вид рисков. Специфика риска хищений. Характеристики риска хищений. Применение оценки риска хищений в коммерческой организации.

Система внутреннего контроля с точки зрения противодействия хищениям. Устойчивость контрольных процедур к хищениям. Оценка контрольных процедур.

Основные способы оценки рисков хищений. Статистика в оценке рисков хищений. Индикаторы в оценке риска хищений. Интеллидженс как инструмент сводной оценки факторов риска.

Создание системы оценки рисков хищений в компании. Основные вопросы, возникающие при внедрении системы.

Аналитические методы выявления хищений. Анализ финансовой отчётности и операций с целью выявления хищений. Концепция трансформации рисков в активы как универсальная модель анализа операций. Численные методы и статистика для выявления неестественных аномалий.

В общем, научу, как оценивать риски хищений (и прочих потерь), и как за счёт этого бизнесу жить долго и счастливо.

Кому интересно, пишите: info@acfe-rus.org, копия мне martynovsa@mac.com (Роскомнадзор как-то неаккуратно заблокировал миллионы ip адресов Амазона, и сегодня люди жаловались на недоступность нашего сайта – который, как выяснилось, WIX хостит на Амазоне). МГТС сделал понимающее лицо и только развёл руками.

Подсказка: только в период с 20 по 25 мая 2018 года проведение тренинга в корпоративном формате – со скидкой 50%.

 

 

 

Рубрики
Business Society

Учиться, учиться и учиться!

— как завещал агент германских спецслужб и американского империализма, В.И.Ленин. И вместо «импортозамещения» нужно развивать «мозгоупотребление». Без обидок.

Вот, например,  как должна работать розница. На примере голландцев. Так сказать, case-study.

Итак, у вас в доме сломалась неведомая фигня в отопительной машине (мне на них везет, от одного взгляда ломаются). Вылимши полведра воды на пол и как-то особенно жалостливо пискнув, скончался «circulatienpomp «. Он же, по-ихнему, «насос циркулярный».

Естественно, это произошло в пятницу вечером — по-другому в этой жизни просто не бывает. В результате открылись перспективы: в ближняя — жить без горячей воды, и дальняя — и без отопления тоже. Жена поднимает вас с дивана совершенно нечеловеческим усилием, которое у них генетически рассчитано на остановку коня на скаку. Ладно, пережили. Извлекаете эту помпу, изучаете, понимаете, что по ошибке вместо положенных 10 лет она отработала 12. То-то она последний год так жаловалась!

В 22:00 в пятницу (!) находите эту гадость на сайте голландского магазинчика, который обещает доставить вам всё в понедельник. Оплачиваете и, злорадно посмеиваясь (счас, в понедельник) отступаете обратно на позицию постоянного базирования (диван).

В воскресенье ближе к полуночи получаете мэйл, что всё отгружено, и доставку можно отслеживать по ссылке в интернете. Отмахиваетесь, как от спама, и заодно информируете супругу о способах, коими мылись наши предки в недалёком прошлом, а также намекаете на чистоту воды в ближайшем городском пруду.

В понедельник утром заходите по ссылке, чисто полюбопытствовать, вышли ли они на работу после выходных, и сколь глубоко их похмелье. Увидев картинку с трекера покупки (см.выше), понимаете, что чего-то в этой жизни не понимаете. А именно, как случилось, что:

— в воскресенье(!), в 14:43 ваша покупка где-то там зарегистрирована

— в воскресенье(!), в 23:31 отгрузка одобрена

— в понедельник, в 02:11 (!) утра она передана в офис отгрузки

— в понедельник , в 02:23 (!) утра она передана в офис отгрузки в Бельгии

— в понедельник, в 10:01 утра она вручена курьеру для доставки (кстати, бесплатной)

Я мысленно сравнил всё это безобразие с практикой работы лучших отечественных интернет-магазинов и понял, что нам, мягко говоря, ещё есть куда стремится. Было бы желание.

Рубрики
Business Events Intelligence Internal Audit Internal control Investigations Social Engineering

Доложу я вам…

OLYMPUS DIGITAL CAMERA

на нашей ежегодной конференции по противодействию хищениям, которая 10-11 октября пройдет в Москве. Кстати, 13-й год подряд.

В этом году мы планируем провести в день перед конференцией (9 октября) четырехчасовой семинар, на котором рассмотрим только одну тему, но подробно. Возможно, что это будет расширенный вариант моего доклада.  Проведём опрос, какая тема будет выбрана – ту и поставим.

Хочу рассказать на конференции про те новые явления, которые обозначились как серьёзные факторы безопасности бизнеса в 2018 году и будут усиливаться в будущем.

К ним относятся:

— Тема номер 1: Управление информационным пространством в компании.

Мы приходим к пониманию, что информационное пространство не менее важно для безопасности бизнеса, чем физическая окружающая среда. Поэтому явно назрела необходимость и неизбежность рассматривать явления в информационном пространстве как связанные между собой. Корпоративная культура явно связана с рисками утечек информации, а уязвимость информации компании зависит и от защиты персональных данных сотрудников. Например, рассмотрение ИБ (информационной безопасности) как самодостаточной дисциплины, связанной только с техническими и программными средствами защиты, не даёт результата.  Поэтому расскажу, как связаны между собой и влияют друг на друга все компоненты информационного пространства, и почему их надо рассматривать все вместе.

— Тема номер 2:  Защита персональных данных: война в киберпространстве.

Кто владеет персональными данными, тот манипулирует поведением людей. Вас подписывают на рекламные рассылки, которые вы не заказывали; в броузере вам показывают рекламу, ориентируясь на ваш пол, национальность, место проживания; поисковые машины выдают вам только те результаты поиска, которые позволят сформировать ваше мнение и убеждения в нужном кому-то направлении. Телевидение утрачивает своё влияние, и понимая это, государства начали борьбу за персональные данные своих граждан. Как это происходит, как влияет на наш бизнес и к чему надо быть готовым в ближайшем будущем?

— Тема номер 3: Управление личной информационной безопасностью.

С развитием технологий грань между личной и корпоративной информационной безопасностью становится всё более размытой. Пишите про новые разработки вашей компании своему другу в мессенджере? Фотографируете улицу и что на ней находится? Устанавливаете интернет-банк на смартфон?  Купили «умный» пылесос или телевизор? Вы становитесь источником информации для тех, кто хотел вы получить доступ к коммерческой тайне вашей компании. Как это делается? Как используется социальная инженерия для манипуляции вашими действиями и желаниями?

— Тема номер 4: GDPR – защита и уязвимости персональных данных.

В мае начинает исполняться закон о защите персональных данных ЕС – GDPR. Он предназначен ограничить распространение ваших персональных данных неопределённому кругу лиц. Как GDPR защищает персональные данные, какие у него есть уязвимости, и будут ли его исполнять американские операторы данных, например, Фэйсбук, или разработчики устройств интернета вещей?

— Тема номер 5: Безопасность критической инфраструктуры в случае международных конфликтов.

Сегодня мало кто задумывается о том, что в случае конфликта между Россией и США ваши роутеры Cisco в один момент превратятся в тыкву, а прекрасные компьютеры с Windows 10 – в серых мышей (см. сказку по Золушку). Насколько ваша инфраструктура готова к автономной работе без подключения к интернет? Какие основные меры надо принять, чтобы обеспечить непрерывность вашего бизнеса?

— Тема номер 6: Блокчейн: перспективы применения в обеспечении безопасности бизнеса.

Блокчейн – это структура данных для обработки и хранения информации об операциях, которая в некоторой мере обеспечивает гарантии от подделки этих данных. Может ли блокчейн технология применяться для обеспечения безопасности бизнеса? Чего это будет стоит? Нужно ли это делать, и если нужно, то в каких случаях?

— Тема номер 7: Основные направления повышения эффективности внутреннего контроля в 2019-2020 годах.

Выживает тот бизнес, который сможет обеспечить минимальные расходы на производство продукта. А на внутренний контроль, например, тратится в среднем 30% от общей суммы расходов на содержание персонала. Как перейти от выявления фактических потерь к их профилактике на основе оценки рисков и интеллидженс? Как унифицировать и удешевить разработку контрольных процедур? Как использовать технологии интернета вещей во внутреннем контроле?

Конечно, за полчаса доклада рассказать все эти интересные темы невозможно, даже в самых общих чертах. Дня за два управиться можно, пожалуй. Поэтому для тех, кто соберётся участвовать в конференции, проведу предварительно несколько вебинаров, на которых расскажу про каждую тему отдельно, поподробнее.

Подробнее программа конференции: www.acfe-rus.com

 

Рубрики
Business Internal Audit Internal control Risk management

Что такое внутренний контроль и как с ним бороться

Серия статей о том, что такое внутренний контроль, откуда он взялся и куда идёт, во сколько он обходится организации, что такое контрольные процедуры, как их оценивать и как их разрабатывать. Какие ошибки делают аудиторы и менеджеры, и как их избежать. Как снизить стоимость внутреннего контроля и внутреннего аудита, и много что ещё…

Кстати, это не пересказ того, что вы можете найти в интернетах. Это моя теория внутреннего контроля. Поэтому, при использовании материалов, смело ссылайтесь на меня. В порядке благодарности за полученную информацию.

Читать здесь:

Часть 1 – Откуда внутренний контроль пошёл быть. И что это такое. И почему COSO – это косо.

Часть 2 – Добровольно-принудительно. Какие виды внутреннего контроля бывают. «Когда я слышу слово культура…»

Часть 3 – Что такое «контрольная процедура». Как её отличить от всякой болтовни и профанации.

Часть 4 – Оценивать СВК надо умеючи. Почему сумма оценок контрольных процедур не даёт оценку системы внутреннего контроля.

Часть 5 – Как вообще строятся системы внутреннего контроля. Что такое оценка риска контрольной процедуры. И как с этим бороться

Часть 6 – Где живут реальные риски внутреннего контроля. Притча про белого бычка.

Часть 7 – Как оценить контрольную процедуру. Первый параметр для оценки. Достоверность.

Часть 8 — Как оценить контрольную процедуру. Второй параметр для оценки. Доказательность.

Часть 9. — Как оценить контрольную процедуру. Третий параметр для оценки. Повторяемость.

Часть 10. — Что такое область контроля.

Часть 11.  — Цикл непрерывных улучшений: зачем он нужен и как его оценить в области контроля.

… Продолжение следует — так что подписывайтесь на мой сайт и спрашивайте во всех аптеках города😊

А кому не терпится узнать сказку до конца, и как можно подробнее, то можно попытаться заказать корпоративный тренинг про всё про это. Пишите: info@acfe-rus.org

А ещё в октябре у нас будет самая лучшая конференция по безопасности бизнеса – там и про внутренний контроль, и про расследования, и про информационную безопасность. По-взрослому, без всякой рекламы. По поводу участия ищите здесь – www.acfe-rus.com или www.bs-news.ru

Рубрики
Future Society

Знание нескольких принципов

заменяет знание множества фактов. Это известно давно, со времени открытия законов элементарной физики. Говорят, что если вы хотите понять нацию, изучайте её фольклор. Я бы уточнил — изучайте её сатиру.  Изучайте её, и это лучшие уроки истории, которые только могут быть. Когда следующие правители переписывают историю, про сатиру забывают. Поэтому смотрите выпуски журнала «Фитиль» с 1962 по 1969 годы. Пока можно. Это доставит вам огромное удовольствие, хотя бы от игры самых лучших актёров. А ещё — понимание того, как жили люди в то время и откуда мы есть.

Рубрики
Business Society

Как умирают империи. Воскресное чтение.

«О чем не говорят, чему не учат в школе».

А вы никогда не задумывались, почему умирают империи? Есть одна причина, только одна-единственная, от которой умирают не только империи, но и корпорации – потому что они — империи современности.

Никто ведь не сомневается, что государства сегодня – это всего лишь сервисы при крупных монополиях? Если сомневаетесь — подумайте, почему Фэйсбук кладёт и на Госкомнадзор и на законы РФ. С прибором. И ГКН помалкивает в тряпочку. Потому что понимет, что будет, если Фэйсбук или Микрософт заблокировать. Хотя, может оказаться и так, что утрётся как раз народ, если таки заблокируют Фэйсбук. Посмотрим. Пока же тренируются на кошках – ЛинкедИн, Телеграм…

Но по большому счёту, в общемировой тенденции это ничего не меняет. Корпорации – это империи современности.

Кстати, сразу поясним, чем империя отличается от обычного государства. Для тех, кто не знал, да забыл. Империя живёт за счёт незаработанных денег. Например — эксплуатации других государств, колоний, народов, ресурсов. Римская империя собирала дань со всех покорённых народов. За счёт этого сами римляне неплохо жили, и римское гражданство означало возможность жить, не работая. За счёт рабского труда других народов. Ну, это как гражданство США сейчас.

Россия – империя, которая экспортирует природные богатства, продаёт нефть и газ и живёт на вырученные за них деньги. США – тоже империя, которую кормит исключительно печатный станок (погуглите госдолг США). Остальным, типа Буркина-Фасо (название означает «родина честных людей») и Словении, надо вкалывать – и не только на себя, но и на дядю из какой-нибудь империи.

Так вот, любая империя (или корпорация) со временем вырождается. Потому что постоянно работают два главных фактора:

— для выживания империи не нужно шибко трудиться – чтобы качать нефть или печатать доллары, много умных не надо.

— ещё у каждого конкретного человека есть инстинкт продолжения рода – это когда на пост министра обороны непременно попадёт не самый талантливый, а самый родной. Ведь трудиться (см. п.1) не надо, и даже кухарка или продавец мебельного магазина сможет управлять государством. И управляет.

Ещё при Советской власти было замечено, что «только сын секретаря райкома станет секретарём райкома». Помните – у Райкина

Поэтому любая империя вырождается. В третьем поколении, замечено на практике. И ничего с этим не сделаешь. В первом поколении власть захватывают самые талантливые, наглые, беспринципные, удачливые – а потом передают свои должности по наследству. Второе поколение может быть талантливым, может нет – но талантливых оказывается процентов 10. Ну, из талантливых Константина Райкина можно вспомнить,  – хотя это второе поколение. Так что, с этой фамилией ещё не вечер.

А третье поколение, к сожалению, за редчайшим исключением – нормальные люди. То есть старательные, ответственные, хорошие семьянины, комсомолки-спортсменки, но – не лидеры, не таланты. А часто просто тупые. Как Николай номер 2 или Егор Гайдар. Их интеллектуальный уровень – хорошего токаря, водителя трамвая, учителя труда в школе, наконец.

Но они вынуждены управлять империей. И империя под их управлением рушится. Империя может называться СССР, HP, IBM или США – это неважно. Всеми этими империями управляли (или управляют) в большинстве своём наследники местной элиты в третьем поколении.

Меня давно занимал один вопрос – как же так Российская империя могла сохраниться 300+ лет? Прочитал кучу исторических материалов, не только про Россию. Получилось так: выжили те империи, в которых существовал механизм конкурентного отбора – когда выживал и приходил к власти только сильнейший.

В России (да и не только) это был механизм дворцовых переворотов. Редкий российский царь умер своей смертью. И это сохраняло государство от полной деградации правящей элиты. И сохраняло его самое. А когда дворцовые перевороты в Российской империи прекратились, уже в третьем поколении мы получили это чудо — Николашу номер 2, который в основном увлекался охотой на кошек. И революцию – как результат.

Поэтому: цикличность развития общества – «эволюции сменяются революциями» – вызвана единственной причиной, которая называется «инстинкт размножения». Об этом вам не напишут ни в одном учебнике истории. По понятным причинам.

Хорошего вам воскресенья!

 

Рубрики
Business Investigations

Личная информационная безопасность. Урок 7

Про отпечатки пальцев. Цифровые. Чтобы вас вычислить через интернет, большого труда не надо. Вы можете использовать хоть TOR, хоть VPN (прошу прощения у тех, кто этих слов не знает). Но есть один способ вас идентифицировать. Это ваши “digital fingerprints”.

В начале 19 века преступникам жить было просто. Сравнительно. Украл, выпил, поймали. Спросили: — как зовут? – отвечает: Джон Смит. Посадили. Выпустили. Опять украл, выпил, в суд. Спрашивают, как зовут – отвечает Джон Кеннеди. Ранее не судим, не был, не состоял. Опять наказание по минимуму.

Так они и жили, пока Бертильон (который Альфонс) не придумал свою систему измерения основных параметров – длины рук, ног, объёма головы и т.д. У разных людей сочетание этих 9 параметров не совпадало. Тогда и появилась картотека, в которой один раз попавшийся преступник после измерений регистрировался, и потом – в следующий раз – получал по полной. С этого момента появился термин «forensic» – что дословно означет «использование научных методов для раскрытия преступлений».

Одна беда была – невозможно было исключить случайное совпадение антропометрических параметров. То есть, люди, у которых совпадали все параметры длины рук-ног-туловища, были не очень редким исключением (1:10000). А потом открыли, что на пальчиках у человека есть уникальные узоры, и они абслютно не повторяются. И вот свершилось. Теперь по отпечаткам пальцев можно было легко установить, кто тут кочегарил. Если, конечно, он оставил свои отпечатки на месте преступления и они есть в картотеке.

Шли годы и прогресс не стоял на месте. Придумали метод анализа DNA (у нас это называется ДНК). В каждой клетке организма человека зашит специальный код, который вас однозначно иденциицирует. Даже в той перхоти, которая непрерывно сыплется с нас, полно данных для анализа ДНК. Поэтому проблем с раскрытием преступлений стало меньше.

А потом наступила цифровая жизнь. Мы сидим и стучим по клавишам и двигаем мышкой. Где же отпечатки пальцев, как найти злобного хакера? Они на клавиатуре, которая находится неизвестно где.

Только не надо рассказывать про «я тебя найду по IP» и прочую ерунду. Чуть сноровки, TORа и VPNов, и накакие IP розыски вам не страшны. Но есть одна штука, про которую не все знают. А кто знает, молчит. А я вам расскажу.

Оказывается, каждый из нас имеет свой почерк работы на клавиатуре. Какие паузы вы делаете между нажатиями отдельных «буковок и клавишей», как корректируете ошибки, да много чего ещё. И где бы вы ни были, у вас сохраняется ваш собственный почерк. Раньше, в эпоху доисторического материализма, когда сообщения передавали азбукой морзе, у каждого радиста был свой почерк, по которому его узнавали. Какие паузы и где он делает, скорость передачи и прочее.

Сегодня вы сидите за компьютером. Ваш броузер бодро рапортует любому сайту, какое разрешение экрана на вашем компе, какая ОС установлена, какой браузер, в какой версии и многое-многое другое. Через какой VPN вы бы не работали, вас очень легко идентифицировать, потому что такое сочетание параметров может быть только у вас одного, любимого.

Вот это сейчас и называется “digital fingerprints”, или «цифровые отпечатки пальцев». Хотя по сути это реинкарнация системы Бертильона.

Это всё я рассказал просто для того, чтобы у вас не оставалось иллюзий про анонимность в сети. Могу также дать несколько советов, как отпечатки «стереть», или не оставлять. Но это как-нибудь в другой раз.

А на сегодня практическое упражнение, в результате которого ваша информационная безопасность резко повысится: — удалите браузер Crome со своего ноутбука и десктопа.

Всем замечательной погоды. Как во Франкфурте сегодня. Европейская конференция ACFE по противодействию хищениям и мошенничеству началась. А на нашу конференцию – которая будет в октябре – ещё есть скидки. www.acfe-rus.com

Рубрики
Business Internal Audit Internal control

Внутренний контроль. Часть 8.

«Аудитор – он как будильник. Бесит только в двух случаях – когда звонит, и когда не звонит.» — народная мудрость.

Итак, восьмая серия кина про внутренний контроль. Как же, всё-таки, оценивать контрольную процедуру? Наши любимые стандарты внутреннего аудита и практические рекомендации к ним содержат много чего, хорошего и разного, но по этому вопросу – молчат как убитые. А ведь людям нужно не только про объективность и независимость читать, им надо конкретную работу делать – оценивать конкретные контрольные процедуры. Поэтому, помучившись и поэкспериментировав лет 15 с оценкой контрольных процедур, рассказываю вам свой накопленный опыт. Всё как есть. Конечно, в коротких заметках всех ньюансов не опишешь, но начать понимать проблему и путь решения можно. А дальше, как всегда, есть два варианта: пройти всё самому путём проб и ошибок (побыстрее, чем я, лет пять хватит, ведь направление движения покажу), или купить готовое решение.

А мы тем временем продолжим обсуждать, какими свойствами должна обладать контрольная процедура (она же КП), чтобы быть хорошей, белой и пушистой. Фишка всего этого в том, что мы говорим о свойствах абсолютно любой контрольной процедуры, применяемой где угодно, в каких угодно бизнесах и процессах. Есть же наблюдение: «Знание некоторых принципов освобождает от необходимости знания многих фактов». Точно также, знание основных свойств КП освобождает аудитора и менеджера от броуновского движения при оценке контрольной процедуры. Краткое содержание предыдущих серий: в серии 7 мы рассказали о первом свойстве КП, которое назвали «Достоверность».

Свойство второе: «Доказательность»

Любая контрольная процедура, по сути своей, предназначена для регистрации производимой бизнес операции. На память. Чтобы потом можно было прийти и проверить. Начиная с сборщиков налогов в древнем Египте, которые записывали, у кого сколько чего есть, чтобы потом прийти и собрать налог. И кончая пропускной системой у вас на работе, когда вы прикладываете пропуск с RFID меткой к считывающему устройству. Информация о времени вашего прихода и ухода записывается где-то там, чтобы потом на стол вашему начальнику легла справочка с информацией, какой вы хороший и добросовестный сотрудник. Или наоборот.

Во всех этих случаях результаты контроля сохраняются. На папирусе-пергаменте, бумаге, на диске сервера, в распределённой базе данных, в сети интернета вещей  – неважно. А важно то, что они должны там храниться столько, сколько нужно для того, чтобы потом аудитор или вышестоящий менеджер убедился в том, что контрольная операция была выполнена. То есть доказать факт её исполнения в прошлом.

Вот поэтому и назовём это свойство КП «Доказательность».

И если уж оценивать контрольную процедуру, то обязательно надо убедиться, что она сохраняет результаты операции, и сохраняет хорошо. Вахтер на воротах не только записывает в журнальчик время заезда и выезда машин с территории, но и (к примеру):

— в этом журнальчике все страницы пронумерованы;

— все они прошиты и скреплены печатью;

— сам журнальчик заполняется ровно в тот момент, когда машина приезжает или уезжает;

— сохранность документа обеспечена – например, после окончания смены он проверяется начальником охраны, о чём он делает запись в нём;

— когда все странички кончились, журнальчик торжественно сдаётся в архив, где до него не могут дотянуться ничьи шаловливые ручки, чтобы сдать в макулатуру;

— и так далее.

То же самое – с любой другой информацией о проведении контроля – текстовыми файлами, записями в базе данных, изображениями. Аудитор должен быть натренирован (иметь чек-лист) с вопросами, которые он может задать, чтобы убедиться в сохранении и сохранности записей об операции, их полноте, защите от умышленного уничтожения и так далее.

В общем-то, любого, даже не очень выдающегося ментально аудитора можно за день научить задавать правильные вопросы для оценки свойства «Доказательность» контрольной процедуры. И он расцветёт, проверено!

Так что, успехов и до новых встреч!

Рубрики
Business Future Society

Личная информационная безопасность. Урок 6.

Опять про наших деток, да и про нас с вами тоже. Оказывается, очень многие и не слышали таких слов, как «синдром рассеянного внимания». Поэтому опять поговорим о том, «о чём не говорят, чему не учат в школе». Несколько интересных фактов.

Некоторые называют его СДВГ (синдром дефицита внимания и гиперактивности). Это когда ваш ребёнок не может даже пять минут сосредоточиться на решении задачи или чтении книги. А вас постоянно тянет проверит элпочту или смартфон на предмет наличия новых сообщений. Но я бы, всё-таки, отделил мух от котлет. Рассеянное внимание от гиперактивности. Бывает рассеянное внимание без гиперактивности, и очень часто.

Гиперактивность у детей – результат, главным образом, двух причин:

1) черезмерной развитости функций правого полушария и неразвитости левого в результате просмотра видеоконтента в огромных дозах (подробнее – здесь) и

2) загрязнения пищи различными искусственными добавками – сахаром, усилителем вкуса, красителями и консервантами. Об этом поговорим подробнее как-нибудь в другой раз.

А сегодня – о синдроме рассеянного внимания, или синдроме дефицита внимания (ADD – Attention Distraction Disorder, по-ихнему). Кому как нравится.

Много-много лет назад, когда трава была зеленее, а смартфонов и соцсетей не было, заметили странное явление, которое назвали «болезнь секретарей». Работа секретаря — контролировать сотни мелких, но важных дел, не требующих особенных знаний – например, напомнить, заказать, поставить в расписание, соединить и т.д. Кроме того, задания для исполнения поступают постоянно, в любое время. Секретарю приходится «жонглировать» кусочками информации, в страхе забыть что-либо сделать вовремя. У каждого секретаря на столе был огромный лист текущих дел, больше похожий на помесь таблицы Менделеева с табло вылетов-прилётов в аэропорте.

Всё было бы здорово, но через несколько лет такой работы человек становится неспособным долго концентрироваться на одной проблеме. Он привыкал решать короткие, несложные задачи, не требующие аналитического мышления. Исследования показали, что мозг секретаря изменялся необратимо.

Небольшое лирической отступление. Конструкция нашего мозга такова, что количество нейронов с возрастом может только уменьшатся. Они не образуются. В начале жизни мозг имеет 80-100 млрд нейронов, которые, если не используются, отмирают. Мозг потребляет кучу энергии, и логика энергосохраниения заставляет его убивать те энергозатратные части организма, которые не используются и не приносят пользы. Первое «массовое вымирание» нейронов происходит в возрасте 1 год, потом – в 3 года и, третий раз — в 9 лет. Плюс-минус 1 год. Именно по этому практически невозможно выучить иностранный язык как родной после 9 лет. Итак, их (нейронов) со временем становится всё меньше и меньше. Когда мы учимся, для запоминания информации строятся новые связи между имеющимися нейронами. Если нейронов мало (они вымерли), то способность к обучению утрачивается. Так, ребёнок, выросший в лесу, среди диких животных, навсегда останется животным. Потому что за ненадобностью его мозг избавился от ненужных нейронов. Научить его даже говорить не получится.  Реальные Маугли (не из мультика) были печальным зрелищем…

Поехали дальше. Когда мы приобретаем новые знания, то между нейронами (теми, которые таки выжили), устанавливаются новые связи. Способность к образованию этих связей тоже зависит от возраста  — она с возрастом утрачивается, поэтому мы  запоминаем новое с возрастом всё труднее. Но ещё больше утрата способностей к запоминанию зависит от того, используется ли эта возможность мозга человеком. Перестаньте что-либо изучать – и через год вам будет очень трудно выучить что-то новое, а через три-пять лет вы утратите эту способность вообще. Поэтому есть множество «стариков» уже в 35-40 лет, а отдельные люди (их, правда, немного) сохраняют способность учиться и мыслить до конца жизни.

Поэтому — учитесь! Всегда и везде. Неважно, чему. Изучайте языки, учитесь играть на музыкальных инструментах, рисуйте картины и так далее. Напрягайте свой мозг, ежедневно  – и у вас появится шанс его сохранить. Кстати, и Альцгеймер в гости не придёт. Вместо него, правда, придёт подагра, но это, всё-таки, чуть лучше.

Так вот, вернёмся к нашим секретарям. С ними происходило то же самое – атрофирование способностей к долгосрочной концентрации на одной проблеме, анализу информации. Ведь эти способности не нужены, чтобы заказать шефу билет на самолёт.

Со временем это явление у психологов получило название «синдром дефицита внимания», или «синдром рассеянного внимания». На самом деле, внимания-то не дефицит, просто долго удерживать его на одном объекте человек не может. Кстати, это заболевание, как и любая другая деградация мозга, не лечится. На последнюю фразу прошу обратить внимание.

Лет 30 назад СДВ (ADD) наблюдался у 5% детей. Но жизнь не стояла на месте. Информационные нагрузки на людей росли, вместе количеством отвлекающих внимание факторов. Например, вы углублённо смотрите какой-то фильм. Вдруг он прерывается рекламой. Ваше внимание рассеивается. Как обычно, к информационному загрязнению окружающей среды наиболее уязвимыми оказались дети. И процент СДВ у них вырос до 30%.

Но это были ещё цветочки. А ягодки начались, когда появились соцсети и смартфоны. И сразу посыпались сообщения. Их современный ребёнок получает в день в день в среднем сотню. А это значит, он 100 раз отвлекается на писк очередного пришедшего сообщения, бросает то, чем занимался и пишет в ответ: «Привет, а я завтракаю. А ты?» Оповестив весь мир о своём завтраке, настроении, погоде и планах, он не упускает возможности ознакомиться с аналогичной информацией от своих друзей, полудрузей и вообще неизвестно от кого. Мыслительная деятельность короткая и несложная. Способность мозга к обучению, концентрации внимания, анализу деградирует.

В результате, сегодня СДВ наблюдается у 80% детей. Проведите эксперимент. Попробуйте сесть рядом со своим ребенком и попросить его почитать книгу вслух. И обратите внимание, на какой минуте (секунде) он дернется куда-то в сторону, переключит своё внимание на что-то другое. Поспорьте с ним, что он не сможет читать пять минут непрерывно. И вы выиграете. Сегодня средний (а значит, нормальный) ребёнок не способен, не отвлекаясь, дочитать до конца даже одну страницу текста.

У психологов появился термин – «смс мышление», или «клиповое мышление». Это когда человек мыслит оторванными друг от друга короткими яркими образами, основанными на эмоциональном восприятии. У типичного современного ребёнка словарный запас – примерно активных 500 слов, и всё общение состоит из коротких, простых фраз: «Привет, как дела»; «Нормально» и так далее. Эллочка-людоедка как типаж становится преобладающим типом интеллекта. Это та же самая, давно известная «болезнь секретаря» (или ADD, если хотите), только в ещё более острой форме.. Как вы думаете, почему Стив Джобс запрещал детям использование гаджетов дома?

При клиповом мышлении мозг не в состоянии анализировать причинно-следсвенные связи, и часто допускает ошибку – считает события связанными, если они имеют временную близость. Пример: «Все люди, которые ели огурцы, умерли. Значит, огурец – смертельный яд». Это типичная ошибка логики. Но как мы говорили, способность логически мыслить при клиповом мышлении утрачивается. Такими людьми легко манипулировать.

Ещё важная деталь — соцсети исключают невербальное общение. Специалисты по проведению интервью (или допросов, неважно) знают, что только 10-15% информации (при личном общении) человек передаёт вербально, словами. Остальная информация передаётся невербально – позами, жестами, выражением лица, скоростью и тембром голоса и т.д. Так вот, при общении в соцсетях навыки анализа невербального поведения у детей не вырабатываются вообще. Дети, оказавшись в реальной жизни (которая почему-то стала называться “offline”), не умеют общаться между собой – вживую.

Чем это плохо? Да почти ничем. Кроме того, что в будущем некому будет разрабатывать новые машины, самолёты, микропроцессоры. Эти занятия почему-то требуют умения концентироваться по многу часов подряд.

Что же делать? Может, отказаться от соцсетей? Выкинуть смартфоны?

Звучит классно, но на практике невозможно. В нашем детстве мы бегали по дворам и играли с утра и до вечера, и родители только радовались, когда нас не было дома по три-четвре часа. Сегодня мир изменился настолько, что ребёнка 8-10 лет никто не рискнёт выпустить поиграть на улицу в большом городе. Да и в маленьком тоже.

У ребёнка сегодня главный канал для общения со сверстниками, как это ни печально – соцсети.  В бельгийской школе делают правильно – 50% времени детей заставляют общаться между собой. Для этого их заставляют делать совместные проекты, да можно хоть просто выгнать в парк на час. Чтобы было время и подраться, и поплакать, и помириться. В российской школе дают гораздо больше фактических знаний, но у детей нет времени на общение.

В общем, обрисовал вам проблемку для размышлений.

А вот и мои рекомендации по жизни в соцсетях, простые, как кирпич:

— измените свой стиль жизни в соцсетях. Концентрируйтесь только на одной проблеме в день — на той, которая вас интересует больше всего. Не обсуждайте ничего другого, не встревайте в не относящиеся к ней обсуждения и не лайкайте никаких других постов. Кроме тех, которые касаются интересующей вас сегодня проблеме.

— обсуждая и общаясь по этой проблеме, постарайтесь использовать время с пользой  — систематизировать свои знания в этом вопросе. И обязательно — в письменном виде. Вас ведь это интересует? А память человеческая слаба и убога. Копируйте в один файл интересные мысли, ссылки, контакты. Обязательно пригодится, потом.

И будет вам счастье!

Послесловие.

В этой статье я специально разместил кучу терминов – ключевых слов для поиска подробной информации. Попробуйте, кому интересно. DuckDuckGo в помощь. Кому неинтересно – главное я написал.

А вот как выглядит ребёнок, который до трех лет не видел телевизора. Он находит увлекательными самые простые и полезные занятия…