Копирование содержимого почты после увольнения.

Сотрудник был уволен. Но после увольнения заходил в рабочую почту. Затем бывший сотрудник и вовсе поменял пароль к почте. В результате доступ к почте у действующих сотрудников был потерян.

Организация обратилась в правоохранительные органы, которые установили, что сотрудник после увольнения копировал данные с рабочей почты, которые были сохранены в его телефоне. В итоге сотрудника привлекли к уголовной ответственности по ч. 1 ст. 272 УК РФ.

Апелляционное постановление Тамбовского областного суда от 03.09.2024 по делу N 22-1487/2023

Не все сотрудники осознают, к чему могут привести безобидные, по их мнению, поступки. И тут вопрос в математике. Например, сколько стоит проведение внутреннего расследования, если его проводить правильно. Сколько стоят судебные разбирательства и репутационные потери, какие могут быть убытки. С другой стороны, обучение сотрудников может снизить подобные риски, поэтому не стоит им пренебрегать.

📖 Осень время обучений. Желающие повысить свои навыки в области комплаенс могут присоединиться к тренингу: Эксперт в построении комплаенс-системы.

Участники тренинга получат большое количество практических материалов, которые переведены на русский язык. Например:

👉Руководства по FCPA и UK Bribery Act на русском языке.
👉Руководства США, Евросоюза, Великобритании, Франции и Италии по построению антимонопольной комплаенс-системы.

Статистика канала

👆Так выглядит статистика канала.

Максимальное количество просмотров возникает в день публикации поста.

Канал в день могут читать порядка 600 человек.

Интерес к постам показывают репосты. Некоторые посты репостят порядка 10 раз.

Количество репостов каждый день в среднем 3-4.

Такие результаты нашего небольшого канала.

Вебинар по внутренним расследования.

Коллеги, кто хочет принять участие в вебинаре по внутренним расследования, который будет сегодня с 11 до 12 часов, еще можете успеть зарегистрироваться.

Отрывок из одной книги по комплаенс

👉Меры контроля, применяемые к младшим сотрудникам, должны
применяться и к руководителям высшего звена.

👉Вице-президента по продажам, нужно проверять также, как и других продавцов.


Конечно, руководителям это может не понравиться. Скорее всего, им и в голову не приходит, что продавцам это тоже не нравится.

Вопрос в том, что комплаенс должен быть основан на степени риска, а на самом верху риски наиболее высоки.


Сопротивление может быть сильным. Это означает, что в конечном итоге в организации должен быть кто-то, кто знает, что происходит на руководящем уровне, и кто в состоянии сказать нет и добиться своего.

Этот человек - главный специалист по этике и соблюдению нормативных требований, который должен
уметь противостоять разгневанному руководителю, сказать «нет» и выжить.

Какой национальности автор этой книги ?)

Друзья, для тех, кто в выходные не отдыхает, а учится / тестирует современные подходы и/или имеет отношение к сфере сельского хоз-ва, предлагаю почитать новую статью Владимира Корф "Трактор, нейросеть и два болта": применение нейросетей в аудите ремонта сельскохозяйственной техники.

Владимир поделился наглядными примерами - как эффективно ставить задачи ИИ и чего можно добиться, если естественный интеллект взаимодействует с искусственным))

Спойлер: это пример на сфере с/х, но можно к себе адаптировать и получить аналогичный результат.

✏️Поделитесь, пожалуйста, по каким темам / бизнес-процессам ИИ уже помогал вам?

Я пока не решаюсь обрабатывать какие-то цифры (у нас очень чувствительная тема), а привлекаю иногда при составлении программ.

#статья #аудит_сх #отраслевой_аудит #ИИ_в_аудите

Оборотным штрафам за утечки персональных данных быть ?

Министр цифрового развития: решение о штрафах за утечку персональных данных примут до конца года

Статистика центра подачи жалоб на преступления в Интернете (подразделение FBR)

👉 В 2019 было получено 467 000 жалоб на интернет мошенничество. Ущерб от нарушений составил 3,5 млрд. дол.

👉 В 2023 было получено 880 000 жалоб на интернет мошенничество. Ущерб составил 12,5 млрд. дол.

👉 21 489 жалоб в 2023 получена на компрометацию корпоративной почты.

👉 2 825 жалоб получены на программы вымогатели - разновидность вредоносного ПО, которое шифрует данные на компьютере, делая их непригодными для использования. Помимо шифрования сети,
киберпреступники часто крадут данные из системы и удерживают их в до тех пор, пока не будет выплачен выкуп. Если выкуп не будет выплачен, данные организации останутся недоступными.

В своей практике я сталкивался с ситуацией, когда в компании, в которой я на тот момент работал, злоумышленники зашифровали чувствительный обьем данных.

Как обратная связь связана с девиантностью

Если человек, вследствие справедливой обратной связи, ощущает потерю своего влияния или считает, что под угрозой находится его профессионализм, он может перейти в предбоевое состояние, которое сначала разворачивается в его голове.

Враждебный настрой может перейти в открытый конфликт или проявиться напряжением мимических мышц, раздраженным голосом, но не перейти в открытое противостояние.

В любом случае, режим агрессии переводит мышление в первобытное состояние.

Если человек внутренне будет рассматривать обратную связь, как справедливую или идущую ему на пользу, развитие враждебности может остановиться или вообще не произойти.

Вопрос в том, что ни давать обратную связь ни получать ее, как правило, сотрудников не учат. Поэтому нередко враждебность, пускай скрытая, имеет место в коллективе.

Психика устроена так, что воспринимаемая человеком атака на его самооценку, даже, если ее в реальности не было, будет мотивировать человека восстановить свою самооценку.

Сделать это сотрудник сможет разными путями как продуктивными, так и деструктивными. Например, отточить свои навыки или саботировать проекты или не выполнять корпоративные правила.

В результате, если в компании работает 200 человек, 20 % не умеет давать обратную связь и 20% не умеет ее получать, мы имеем 80 человек каждый из которых считает себя правым, а другого нет.

Эта ситуация может привести к различным последствиям. Частично она может объяснять среднестатистические 5% потерь бизнеса от корпоративных нарушений.

Обратная связь в Amazon

Далее выдержка из курса по корпоративной этики на основе корпоративной культуры Amazon. На мой взгляд полезный курс для руководителей.

Один из действующих руководителей Amazon в далекие 2000-е возглавлял маркетинговую команду. Они подготовили презентацию для высшего руководства, которая состояла из 220 слайдов.

Когда он начал выступать с презентацией на совещании, примерно через 10 минут, кто-то его прервал и указал на ошибки в презентации. Оказалось, что это был Джефф Безос, который начал объяснять, почему цифры в презентации были неверными.

Руководитель понял, что Джефф был прав, и смутился. После чего он признал правоту Джеффа и извинился за путаницу, которую, возможно, вызвал.

Но Джефф сказал, что не может доверять презентации и ничему из того, что было сказано, если цифры в ней неверны.

Что в этот момент испытал руководитель?

👆Вот, как отреагировал руководитель на критику

В ответ на критику презентации руководитель заверил Джеффа Безоса, что в презентации не будет других ошибок. Совещание продолжилось.

Руководитель признал, что, хотя это был полезный опыт, он почувствовал облегчение, когда совещание закончилось. Также он признал, что почувствовал в моменте злость на Джеффа за то, что тот бросил ему вызов в присутствии других людей.

Но обратная связь преподала ему важный урок о том, как нужно тщательно готовить презентации, признавать свои ошибки и устранять их. Его следующая презентация для более широкой аудитории была успешной.

Как регулируют правила дарения подарков в договорах?

Например, стороны предусмотрели в договоре антикоррупционное условие о том, что в случае, если подрядчик предложит или передаст незаконный подарок, он будет обязан оплатить заказчику штраф в размере 10% от цены договора.

Суд первой инстанции взыскал с подрядчика 36 000 000 рублей за нарушение антикоррупционной оговорки. Истец просил 86 000 000 рублей.

Приглашаю на вебинар по подаркам. Разберем правовые и этические аспекты подарков. Конфликты интересов, которые могут возникнуть из-за подарков. Поделюсь с участниками интересной судебной практикой по подаркам. До встречи завтра в 11 часов. Регистрация по этой ссылке.

Изменения в законодательстве о персональных данных

Текст из пояснительной записки к законопроекту: "В настоящее время размер штрафа за утечки персональных данных в 300 тыс. руб. несоизмерим с возможными последствиями утечек. Персональные данные в руках злоумышленников - это спам-звонки, нежелательные рассылки, шантаж, мошенничество и более тяжкие преступления".

Для стимуляции организаций предлагаются новые штрафы:

Граждане до 800 тыс. руб.
Должностные лица до 5 млн.руб.
Юридические лица от 1/10 до 3 % совокупного размера выручки.

Как оценить риски?

По данным Data maturity index, 64 % организаций отмечают, что их сотрудникам не хватает
грамотности в работе с данными, поэтому обучение сотрудников должно быть в центре внимания компаний в ближайшие несколько лет.

По данным INFOWATCH в декабре 2023, специалисты ИБ и СБ крупных частных финансовых организаций (в России) назвали наибольшим риском за прошедший год внутренние угрозы — утечки данных по вине сотрудников (67%).

Что делать

Коллеги, если у вас есть желание подготовить своих сотрудников к новым рискам в области персональных данных и информационной безопасности, могу порекомендовать очень крутые курсы для линейных сотрудников, которые подготовлены ведущими специалистами в области персональных данных и информационной безопасности.

Темы курсов:

📍Как безопасно работать с персональными данными.
📍Вакцинация против фишинга.
📍Как избежать взлома: секреты создания паролей.
📍Информационная безопасность для удаленных работников.

Преимущества курсов:

👉Разработаны на простом языке.
👉Сделаны в формате мультиков - лучше один раз увидеть чем сто раз услышать.
👉Сотрудники сдают тесты и получают сертификат.
👉У организации есть образовательная лицензия.

В разработке курса по персональным данным принимал участие:

Арсений Топадзе - старший специалист практики защиты данных и кибербезопасности в Московском офисе одной из крупнейших российских юридических фирм ALRUD.

А еще над курсами работала целая команда дизайнеров, копирайтеров и экспертов по анимации.

Демо-доступ можно получить на сайте или в ЛС.

Ситуации, которое провели к утечки персональных данных.

Сотрудники Commonwealth Bank по ошибке отправили электронные письма, содержащие данные о 10 000 клиентов. Внутреннее электронное письмо отправили на адрес электронной почты с доменным именем cba.com, а не на фактический адрес банка cba.com.au.

Национальный австралийский банк по ошибке отправил реквизиты банковских счетов 60 000 клиентов на адрес электронной почты, контролируемый злоумышленником, незаконно захватившим доменное имя.

Работник переслал через мессенджер WhatsApp фотографии документа, который содержал персональные данные третьих лиц.

Источник: Решение Мировой судьи 5 судебного участка Новосибирского судебного района
по административному делу № 5-322/2023-23-4

Тренинг по конфликту интересов завершен!

Совместно с руководителем комплаенс-службы АО "Татспиртпром" и заместителем руководителя ФАС по республике Татарстан, провели обучение для сотрудников АО "Татспиртпром".

Обучение проходило в учебно-методическом центре ФАС России. Мой блок касался профилактики конфликта интересов.

Все больше компаний принимают реальные усилия для развития корпоративной культуры, что не может не радовать!

Уголовная ответственность за незаконный оборот персональных данных

Подписан ФЗ от 30.11.2024 № 421-ФЗ, криминализирующий, говоря в общем, незаконный оборот персональных данных.
У нас появляется новая статья 272.1 с длинным названием и двумя составами внутри.
Пробежимся по ней и оценим риски (дисклеймер: я не оспариваю, наверное, нужности криминализации, а хочу лишь посмотреть, не хватили ли через край).
🔹Итак, упрощая текст, незаконные использование, передача (распространение, предоставление, доступ), сбор, хранение ПД, полученных путём неправомерного доступа к компьютерам или (внимание!) иным незаконным путём.
Вот у меня интуитивное ощущение, что «иным незаконным путём» будет приравниваться на практике к неустановленному пути – точнее, будет такая логика: законным путём не мог получить? – не мог, значит, получил каким-то неустановленным незаконным путём. А наказуемо, напоминаю, даже хранение само по себе (ладно было бы хранение с целью распространения).
И напоминаю, что ПД – это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу. То есть даже не тайна как в 137 статье…
Так и звучит приговор: «…получив в неустановленное время в неустановленном месте неустановленным способом, то есть способом незаконным, при отсутствии на то законных оснований, хранил на своём компьютере (телефоне) данные об ИНН Иванова…». И Иванов такой: не-не, я согласия ему не давал, откуда он это взял, не знаю.
И сразу средняя тяжесть в составе.
Дальше идут квалифицирующие признаки, и всё закономерно вырастает до тяжкого состава.
В части 4, к слову, есть трансграничная передача ПД – привет, облачные сервисы и сервера на территории иностранных государств! До восьми лет, к слову…
В статье есть примечание. Действие нормы не распространяется на случаи обработки ПД физическими лицами исключительно для личных и семейных нужд. Так, ну допустим. Это, как я понимаю, чтобы друг друга не пересажать за вбивание данных паспорта при покупке авиабилетов на всю семью, если перед этим у членов семьи не взято письменное согласие на обработку ПД. Потому что незаконный же способ получения! Ибо где согласие в письменной форме, которое должно быть по закону конкретным, предметным, информированным, сознательным и однозначным. Я сознательно утрирую, но всё же… Да, к слову, про личные и семейные нужды – а вот если, например, нам ПД нужны для иной благой цели? Ну например – мы же юристы, понимаем о чём речь – нам надо иск подать, а адреса ответчика у нас нет. До сего дня многие, закрыв глаза, в тг-ботах всё узнавали. Теперь ай-ай-ай, это статья.
И что теперь со ст. 137 УК? Она вообще жива теперь будет? Напоминаю, что по практике:

К таким сведениям относятся: фамилия, имя, отчество, дата и место рождения, пол, адрес места жительства, сведения из документа, удостоверяющего личность, идентификационный (регистрационный, учетный) номер налогоплательщика (при наличии), семейное положение, социальное положение, образование, национальность, профессия, доходы, иные сведения, относящиеся к субъекту персональных данных (3КСОЮ, 23.03.2022, № 88а-4692/2022).

Что осталось для этой статьи? Рукописные заметки о частной жизни лица?
🔹Второй состав криминализирует создание или обеспечение функционирования программы, заведомо предназначенных для незаконных хранения, передачи ПД, полученных незаконным путём. То есть криминализируется в том числе деятельность разного рода тг-ботов, направленных на получение информации, других типов программ. Средняя тяжесть. Очень надеюсь, что есть разработки, как это выявлять / расследовать.
Давайте будем надеяться, что практика всю эту историю как-то скорректирует в сторону адекватности. А то опять получится абсурд как в случае с трекерами для слежения за коровами и младенцами…

Корпоративные ценности: откуда это слово?

Слово ценность имеет древние корни.
👉Слово value происходит от латинского valor, что означает силу или здоровье.
👉Примерно в 13 веке это слово появилось в старофранцузском языке как valoir - ценность или цена.
👉Уже в конце 14-го века английское слово value стало обозначало степень, в которой что-то является ценным или достойным оценки.

Некоторые исследователи (Рокич, 1973) считают, что люди обладают одинаковыми ценностями, но по-разному воплощают абстрактные ценности в реальной жизни. Если это так, то нужно ориентироваться не только на то, как ценности сформулированы, но еще и на на то, как они проявляются в корпоративной жизни.

Например, в японской корпоративной культуре уважение тесно связано с иерархией. Сотрудники строго соблюдают вертикальную структуру организации. Младшие по должности или возрасту выражают глубокое уважение к старшим. Уважении проявляется в поведении и манерах: поклоны, форма обращения.

В Европейской корпоративной культуре, напротив, если сотрудники начнут делать поклоны руководителю, чтобы продемонстрировать уважение - это, мягко говоря, будет воспринято странно.

Такие же различия в проявлении ценностей будут и на уровне сотрудников, которые работают в одной компании, что неплохо учитывать тем, кто отвечает за корпоративную культуру в компании.

Самые цитируемые телеграмм-каналы по комплаенс

Коллеги, вышло исследования телеграмм-каналов по комплаенс.

Мой канал по цитируемости занял 5 место. При этом обогнав каналы, на которые подписано 2900, 1700, 1225 человек.

Что ждет экспертов в области антикоррупционного комплаенса в 2025 году?

Фактически в 2025 году всех ожидает рост стоимости жизни, который будет оказывать дополнительное давление на сотрудников. Поехать в отпуск станет дороже, повышение заработной платы не сделает богаче, а прежняя заработная плата приведет к снижению уровня жизни, так как цены вырастут.

👉 Один из факторов корпоративного мошенничества - это давление, которое повышает мотивацию нарушать правила. В 2025 давления хватит на всех, что это значит для комплаенс ?

Три группы нарушений, которые могут быть в зоне внимания в 2025 году.

📌Закупки
📌Подбор персонала
📌Гранты

Что можно предпринять ? Пересмотреть/улучшить программу по борьбе с корпоративным мошенничеством и коррупцией.

Общая структура такой программы может быть такой:

Общие положения

📍Вступление
📍Определение мошенничества
📍Определение коррупции
📍Заявление об отношении организации к мошенничеству и коррупции
📍Ссылки на кодекс поведения и этические принципы организации
📍Взаимосвязь с другими планами организации по управлению рисками

Основы борьбы с мошенничеством и коррупцией

📍Роли и ответственность
📍Повышение осведомленности о рисках мошенничества и коррупции
📍Подотчетность бизнес-подразделений в борьбе с мошенничеством и коррупцией
📍Управление рисками мошенничества и коррупции
📍Сканирование внешней среды
📍Разработка и внедрение программы антикоррупции и противодействию мошенничеству
📍Использование функции внутреннего аудита
📍Использование функции внешнего аудита
📍Внедрение системы управления информационной безопасностью
📍Ведение учета и конфиденциальность информации

Предотвращение мошенничества и коррупции

📍Продвижение системы обеспечения добросовестности
📍Управление конфликтами интересов
📍Управление рисками, связанными с подарками, гостеприимством, пожертвованиями и другими выгодами
📍Внедрение и поддержание системы внутреннего контроля
📍Показатели эффективности
📍Проверка сотрудников
📍Проверка и постоянное управление деловыми партнерами
📍Предотвращение мошенничества с использованием технологий
📍Физическая безопасность и управление активами

Выявление случаев мошенничества и коррупции

📍Обзор транзакций
📍Анализ отчетов управленческого учета
📍Выявление признаков ранних нарушений
📍Анализ данных
📍Каналы связи
📍Защита информаторов
📍Привлечение деловых партнеров и других внешних сторон
📍Рассмотрение жалоб
📍Выездные собеседования

Реагирование на случаи мошенничества и коррупции

📍Немедленные действия при обнаружении фактов мошенничества или коррупции
📍Расследование выявленного факта мошенничества или коррупции
📍Дисциплинарные процедуры
📍Антикризисное управление после обнаружения факта мошенничества или коррупции
📍Внутренняя отчетность и эскалация
📍Внешняя отчетность
📍Восстановление похищенных средств или имущества
📍Реагирование на случаи мошенничества и коррупции с участием деловых партнеров
📍Оценка внутреннего контроля, систем и оборудования
📍Процессы, проводимые после обнаружения мошенничества или коррупции третьими сторонами
📍Борьба с мошенничеством и коррупцией

Планируете ли вы улучшать свои антикоррупционные программы в ответ на изменение внешней среды? Например, можно оценить эффективность системы и оцифровать ее.