Управление рисками с учетом человеческого фактора

Управление рисками с учетом человеческого фактора
(Все чаще в последнее время прихожу выводам, которые, если бы они посетили меня лет эдак пять назад, сэкономили бы мне немало драгоценного времени. В надежде на то, что кому-то они окажутся полезными, начну-ка я этот бред потихонечку записывать. Итак...)

Единственный способ заставить человека следовать правилам -- создать условия, в которых не следовать правилам будет сложнее или менее выгодно.

Методы могут быть самыми разнообразными. Например, можно жестоко наказывать за нарушения, а каждый факт наказания широко освещать "в прессе". Скажем, таким электронным письмом на весь персонал: "Вася Пупкин будни напролет проводил на порносайтах, а так как наличие камеры видеонаблюдения за спиной к этому не очень-то располагает, теперь он будет это делать в более комфортной обстановке -- дома". На лицо ситуация, в которой нормальный человек сделает адекватный вывод -- нечего на работе дурака валять.

Наказание, а также коммуникация факта наказания на персонал, -- это самые действенные методы воздействия на нарушителей, в том числе и потенциальных. Уверяю, просто дать по рукам (сделать замечание, провести беседу, пообщаться с непосредственным руководителем проштрафившегося) помогает с очень небольшой вероятностью. В моем опыте (да и коллеги рассказывают) случалось, что после беседы с глазу на глаз человек сразу же изменял поведение и больше поводов для беседы не давал. Да, так бывает, но таких случаев -- минимум. Большинство вместо вывода "не надо нарушать" делают вывод "не надо попадаться" и в результате находят способ достичь желаемого другим, менее очевидным путем. С такими второй ваш шаг должен быть максимально жестким, потому что если не дошло с первого раза -- не дойдет вообще. И не важно, кто будет проводить вторую беседу, -- вы, его менеджер, начальник отдела кадров или генеральный директор, -- без наказания диалога не получится.

Поэтому, рекомендую следующую схему воздействия. При первом обнаружении незначительного нарушения, не повлекшего за собой существенного ущерба, делайте первое замечание и предупреждайте, что оно же и последнее. При малейшем нарушении после этого -- включайте механизм дисциплинарного взыскания. Естественно, этот механизм следует предварительно разработать, формализировать и утвердить на уровне отдела кадров и руководства компании.

Вариант второй: щедро поощрять выполнение правил, или построить схему калькуляции премии/бонуса на основе результатов их выполнения. Например, внедрить автоматическую систему учета рабочего времени с использованием данных о времени регистрации сотрудников в системе контроля доступа, журналирования действий пользователя в системе и логов посещений ресурсов Интернет. Что бы не думали по этому поводу друзья-эйчары, я верен убеждению, что наилучшая мотивация сотрудника -- материальная. Естественно, не единственная, но наиболее действенная.

Другой пример -- мотивировать процентами премии и отгулами участие в программе информационной безопасности. Обнаружил инцидент -- получи +5%; предотвратил инцидент -- +10% и отгул; и так далее. Разумеется, такой подход следует обсуждать с руководством и закладывать в бюджет нужные средства. (Признаюсь честно, такое я в своей жизни видел только однажды и, к сожалению, не в нашей стране).

С удовольствием выслушаю ваши дополнения и примеры из жизни. Заранее благодарен за комментарии.
Alt text

Цифровые следы - ваша слабость, и хакеры это знают.

Подпишитесь и узнайте, как их замести!

Vlad Styran

информационно. безопасно.*