Безопасность в магазине леруа мерлен

Снятие ограничений, введенных в связи с пандемией, пошло на пользу не только бизнесу и обычным гражданам, но и преступникам. Параллельно с поэтапным смягчением режима, в первые летние месяцы набирала обороты статистика транспортных краж. По данным сервиса Impact.ru, в июне объем краж в области грузоперевозок в финансовом выражении достиг показателя в 44 млн 807 тыс. рублей — чуть меньше, чем в мае, но на 32% выше, чем в аналогичном периоде прошлого года. Эксперты прогнозируют скачкообразное ухудшение криминогенной обстановки в ближайшие месяцы.

Эти вопросы «Логирус» задал Андрею Кочневу, руководителю проектов по безопасности цепочек поставок «Леруа Мерлен».

«Жулики хотят выйти на нормальный режим работы»

— Эксперты считают, что, вместе с отменой ограничений, страну захлестнет волна транспортных хищений: у преступников, как и обычных граждан, существует явление «отложенного спроса». Вы согласны с таким мнением?
— Да, такой сценарий вполне вероятен. За время пандемии количество перевозок сократилось — соответственно, сократилось и количество хищений. Жулики, как и все, хотят нагнать упущенную выгоду и выйти потом на «нормальный режим работы».

— Насколько, по вашим оценкам, вырастет количество преступлений? И какими они будут?
— Думаю, в августе-сентябре рост составит 20-30%. Это коснется всех типов преступлений, в том числе мошенничества с «доверчивыми перевозчиками».

— Как служба безопасности «Леруа Мерлен» готовилась к пиковому дачному сезону?
— Мы не готовимся к пиковому сезону. Мы всегда в боевой готовности. Если говорить об общих мерах, то в свое время мы обратили внимание на отсутствие требований безопасности к транспортной компании с нашей стороны. Доработали тендерное задание, транспортный договор, включили туда ряд новых условий. Теперь, после подписания договора, следим за тем, как выполняются эти условия.

— Стоит ли грузовладельцу самостоятельно контролировать безопасность перевозки? Или достаточно доверить этот вопрос транспортной компании?
— Я всегда говорил, что партнеру необходимо делегировать непрофильные функции. Мы не должны контролировать транспортные компании. Мы должны организовать совместную работу, чтобы не допустить хищения груза. Это обоюдная выгода, так как транспортные компании несут материальную ответственность перед грузовладельцем, а мы в любом случае остаемся в минусе, поскольку несем убытки в виде упущенной прибыли и репутационых рисков.

Поэтому мы должны помогать транспортным компаниям обеспечивать безопасность в тех областях, где у них меньше возможностей и полномочий. Например, при проверке личных документов водителей и транспортных средств перед загрузкой. Потому что многие транспортные компании не видят вживую эти документы — только сканы.

«Мы не должны контролировать транспортные компании. Мы должны организовать совместную работу»

Нет экспедитора — нет доказательств

— Большинство экспертов сходятся во мнении, что основной проблемой отрасли является не столько кражи, сколько мошенничество при перевозках. Приведу показательный пример: в феврале было зафиксировано 13 эпизодов мошенничества с грузом. В эпизодах фигурировали одни и те же «доверчивые водители». Обнаружить удалось только один груз из пропавших тринадцати. Почему «доверчивые водители» пользуются таким «успехом»?
— Схему с «добросовестным водителем» очень сложно доказать. У таких мошенников все документы в порядке, их невозможно привлечь к уголовной ответственности до тех пор, пока полиция не докажет сговор с перевозчиком или экспедитором этого водителя. Но это практически невыполнимо. Да и вообще полиция крайне редко берется за такие дела.

Соль схемы в том, что вся ответственность, согласно законодательству, лежит на экспедиторе. Нет экспедитора — некому отвечать. Водитель остается добросовестным гражданином с нормальной репутацией и отсутствием уголовного прошлого. Такие «добросовестные» водители приходят в органы полиции, дают показания. Но привлечь к ответственности их все равно нельзя. Получается, что они нигде не засвечиваются, а когда их проверяют на благонадежность, без проблем проходят проверку. В этом причина феномена. За короткий срок такие мошенники умудряются совершить несколько хищений — и не попасться.

— Как бороться с такими мошенниками? Обмениваться данными?
— Да. Сейчас есть площадки, форумы, где выкладывается информация, касающаяся «доверчивых водителей». Когда мы столкнулись с таким мошенничеством, я просто зашел в Яндекс, ввел фамилию и имя — и сразу увидел информацию о водителе, о том, что он три раза фигурировал в подобных эпизодах.

Есть телеграм-каналы, чаты, где транспортные компании обмениваются данными о мошенниках. Пока что единственный способ бороться с такими схемами — создать информационную базу. Хотя даже такой подход имеет множество нюансов: например, водитель попадет в такую базу уже после того, как совершил первое мошенничество. И то при условии, что грузовладелец захочет поделиться информацией. Также необходимо помнить о ФЗ -152 «О персональных данных».

— А какие правовые инструменты необходимы для того, чтобы привлечь преступника к ответственности?
— Сложность не в том, чтобы поймать водителя, а в том, чтобы доказать вину. Для этого нужно «заходить с тыла». В правоохранительных органах должны быть сотрудники, способные выявлять и находить потенциальных жуликов в онлайн-пространстве.

Схема с «доверчивым перевозчиком» начинается так. Лже-экспедитор покупает или крадет аккаунт на бирже грузоперевозок и заключает договор с транспортной компаний и водителем. При этом водитель может быть вполне добросовестным, может не знать, с кем он связался. Были и такие случаи.

Дальше этот экспедитор в нужный момент отдает водителю распоряжение произвести выгрузку в другом месте — и пропадает. Но теоретически квалифицированные сотрудники полиции могут выследить этого человека, лже-экспедитора, по цифровому следу. Только в наших органах пока мало таких сотрудников.

Тендерное задание 80 lvl

— Правда ли, что в 2018 году «Леруа Мерлен» потеряла из-за «доверчивых водителей» 5 грузовиков?
— Была утеря пяти машин, но не все они были связаны со схемой «доверчивого водителя». Все случаи совершенно разные и произошли в высокий сезон. Везде злую шутку сыграл человеческий фактор в транспортных компаниях. Где-то не досмотрели, что-то не проверили, а где-то отсутствовал подготовленный сотрудник по безопасности, а его заменял обычный диспетчер.

— Каков был объем понесенных убытков? Какие выводы компания сделала из этих эпизодов?
— Убытки в размере около 4 млн рублей. Добавили новые требования, начали совершенствовать договор транспортной экспедиции, усилили систему контроля на распределительном центре.

Был целый перечень мероприятий, который мы постепенно вводили. Например, в договоре транспортной логистики мы расширили раздел, посвященный безопасности. Ввели новое понятие «благонадежность» и дали ему определение: «Благонадежность – это соответствие действующему законодательству и лояльность по отношению к заказчику и перевозимому грузу».

Кроме того, мы изменили требования к транспортным компаниям по безопасности. Запретили выставлять заявки на перевозку нашего груза и искать перевозчиков на открытых площадках. Разработали инструкции и усилили контроль по проверке документов на распределительных центрах. У нас сейчас инструкция по проверке паспорта водителя есть. Она, как в банке, примерно из 30 листов состоит. Любой оператор перед тем, как заступить на работу, изучает, как проверить паспорт водителя на предмет подделки.

— А каким образом были доработаны тендерные условия?
— Мы сразу запретили выставлять наши заказы на грузовых биржах. Запрашиваем нужные документы у поставщика для проверки безопасности: проверяем финансовое благополучие, состояние компании, сколько лет компания работает на рынке. Тендерное задание в результате теперь занимает 12 листов.

— Проводит ли «Леруа» аудит транспортных компаний, которых привлекает на тендер?
— Мы проводим аудит новых компаний, которым достались какие-то отдельные направления после тендера. Комиссионно выезжаем в офис и точечно изучаем деятельность этих подрядчиков. Полный аудит каждого участника — это утопия, в тендере более 200 компаний участвует. Проверить каждую физически просто невозможно.

— Какими характеристиками должна обладать транспортно-логистическая компания, чтобы пройти службу безопасности и благополучно работать с «Леруа Мерлен»?
— Помимо проверки, которую инициирует служба безопасности, в процедуре контроля также участвует отдел экономической безопасности. Он проверяет транспортную компанию на финансовую стабильность, прозрачность, отсутствие проблем с налоговыми и судебными органами.

Кроме того, в 2019 году мы установили минимальные требования к компаниям: не менее 20 транспортных средств в собственном парке, наличие собственной службы безопасности и обязательная проверка каждого водителя на предмет компетентности и лояльности к перевозимому грузу.

Помимо этого, транспортная компания должна быть готова к тому, что мы можем запросить отчет по любому сотруднику или водителю. И подрядчик должен в течение двух часов с момента запроса предоставить результат.

— В феврале-марте вы отгружали по 300-400 машин. Каковы объемы отгрузки сейчас, в пиковый сезон? Удалось ли восстановиться после апрельского падения товарооборота?
— В апреле отгрузки упали на 50%. В мае примерно на 25%. В июне, в связи с тем, что магазины открылись не 1 числа, а 19, мы не дотягиваем 20% до плана. К концу июля мы вышли на плановые показатели в 400 машин.

«В вооруженных силах ничего не крадётся, а только теряется»

— Расскажите о вашем профессиональном пути в сфере безопасности?
— Я закончил Рязанский институт ВДВ. Затем получил второе высшее образование по специальности «юрист, уголовно-правовая специализация» в Костромском педагогическом институте им. Некрасова Н.А.: защитил дипломную работу на тему «Хищение с использованием служебного положения».

Помимо этого, у меня есть третья специальность. Я закончил курсы Военно-Воздушной Академии имени Н.Е. Жуковского И Ю.А. Гагарина «Управление персоналом». Я считаю, что руководителям по безопасности обязательно нужно иметь юридическое образование, чтобы грамотно общаться с сотрудниками правоохранительных органов, а также отстаивать интересы работодателей в судах и других инстанциях.

— Андрей, вы служили в ВДВ. Можете сравнить логистику воздушных войск и логистику «Леруа Мерлен»? Что эффективнее?
— Провокационный вопрос, но я отвечу. Все военнослужащие знают, что в вооруженных силах ничего не крадётся, а только теряется. В «Леруа Мерлен» на данный момент ничего не теряется и не крадётся. А если эксцессы случаются, то мы минимизируем потери. И в результате, «как-будто ничего и не было».

«Все военнослужащие знают, что в вооруженных силах ничего не крадётся, а только теряется. В «Леруа Мерлен» на данный момент ничего не теряется и не крадётся» 

— Как выглядит структура отдела службы безопасности? Сколько человек работает в отделе? Какие качества вы в них цените?
— У нас матричная система подчинения. Я являюсь функциональным руководителем у 14 сотрудников разного уровня. Что касается качеств: каждый специалист определенного уровня обладает своими уникальными качествами. Я могу взять менеджера вообще без опыта, если увижу желание и стремление работать. Мне иногда даже больше нравится развивать человека в области безопасности, чем брать готового. Готового сложнее перестроить, чем человека с нуля. А обучить – не проблема. Самое главное, чтобы сотрудник был активный, наблюдательный, работоспособный. Сейчас мало специалистов, именно по безопасности цепочек поставок. И они сейчас нарасхват.

— Давайте резюмируем. Как должна быть утроена система безопасности ретейлера, чтобы компании не приходилось усиливать свою безопасность в пиковые периоды?
Служба безопасности – это отдел, который обеспечивает беспрерывную работу бизнеса, СБ не должно мешать работать, мы должны помогать и искать такие пути решения проблем, которые выгодны бизнесу.

Если под системой риск-менеджмента понимать оптимизацию процессов, отладку системы проверки водителей, тендерных соглашений, то такими задачами в «Леруа Мерлен» занимается весь отдел транспортной логистики. Они ищут оптимальные варианты по перевозкам, я даю свои рекомендации по безопасности, и мы это все реализуем. Все вместе мы стоим на страже транспортной логистики.

Кибератаки — издержки цифровизации

Все мы периодически сталкиваемся с кибератаками — начиная от звонков телефонных мошенников, которые представляются сотрудниками банка, до взлома учетной записи в социальной сети с просьбой перекинуть 1000 рублей срочно до зарплаты. Мир меняется, технологии развиваются, и вопрос информационной безопасности встает все более остро. При этом совсем не хочется каждый раз задумываться о том, насколько наши действия безопасны, например, когда делаем онлайн-покупку через маркетплейс или переводим деньги в мобильном банке. Мы хотим доверять системе по умолчанию.

Если посмотреть на истории больших утечек данных, то станет понятно, что бизнесу гораздо дороже потом восстанавливать репутацию и компенсировать финансовые издержки, связанные с этой утечкой, чем изначально вложиться в безопасность продукта.

Откуда берется технический долг?

Любая компания стремится, чтобы ее продукты работали должным образом и были стабильны. В это вкладываются инвестиции, производится наем, приобретаются или разрабатываются технологии. Любой инвестор хочет, чтобы созданные на его деньги продукты были надежными и приносили стабильный доход.

Когда продукт передается клиенту, мы должны быть уверены в том, что он удобен, понятен и, безусловно, безопасен. Если посмотреть на текущие реалии, то практически ни одна крупная компания в мире не рассматривает безопасность как нечто отдельное. Это то, что должно быть по умолчанию зашито в любое создаваемое решение или продукт.

Проблема в том, что крайне редко команда, занимающаяся информационной безопасностью, может реально влиять на то, что происходит в продуктах компании. Безусловно, теоретически мы можем прийти к руководителю и все сделать правильно с точки зрения ИБ. Но для этого, во-первых, нужно много людей, причем с очень разными компетенциями, т. к. продукты и используемые в них технологии довольно разные. Во-вторых, просто взять и внести исправления в продукт извне мы не можем — есть риск вызвать нестабильность и даже поломку. То есть практически невозможно сделать безопасным продукт без участия команды, которая отвечает непосредственно за поддержку и развитие продуктивного решения.

Технический долг выражает несоответствие продуктов компании принципам, подходам и стандартам, которые в ней приняты. Это расхождение между тем, куда мы идем, и тем, что у нас по факту имеется. Если же говорить о долге ИБ, то, например, в продукте могут быть уязвимости, связанные с информационной безопасностью, которые при стечении некоторых обстоятельств будут стоить компании денег и репутации. Сколько денег? Именно этот параметр и определяет наш продукт — во сколько бизнесу обойдутся «дыры» в ИБ. Это и есть долг ИБ, который сокращается по мере устранения проблем, связанных с информационной безопасностью в продукте.

Как мы анимируем технический долг?

Все больше процессов в «Леруа Мерлен» переходит в цифровую среду. И если раньше многое происходило на бумаге и несильно зависело от используемых продуктов, которые мы создаем, то сейчас таких процессов практически не осталось. Самая обычная продажа в офлайн-магазине завязана на цифровые операции. И если не обеспечить их надежность и безопасность, путь клиента может прерваться в любой момент.

Смоделируем ситуацию. Клиент приходит в магазин сделать покупку, идет к консультанту, чтобы выписать товар, а приложение, которое отвечает за формирование заказов, не работает. Или еще хуже — клиент все оформил, нагрузил полную тележку товаров, пошел оплачивать, а ему кассир говорит: «Извините, у нас кассовая система сегодня не работает, вы можете подождать? Или лучше вообще приходите завтра». Очевидно, что подобные ситуации крайне негативно влияют на репутацию магазина и бренда в целом.

Наша команда отвечает за информационную безопасность компании — то есть перед нами в том числе стоит задача по снижению любых потенциальных рисков, связанных с информационной безопасностью наших продуктов. Полтора года назад у нас появилось понимание, что для достижения результата хорошо бы анимировать продуктовым командам ситуацию, связанную с проблемами информационной безопасности на разных этапах эксплуатации продукта.

Мы начали с базовых и очень простых вещей, подсвечивая эту информацию. Сначала это были просто цифры — что вот в таком продукте, к примеру, три критические проблемы. Мы демонстрировали их продуктовым лидерам, но те не понимали, что с этим делать. Тогда мы осознали, что гораздо более конструктивно это дело монетизировать, т.е. представить проблемы (потенциальные угрозы) в виде некоторой суммы денег, которую бизнес потеряет на восстановительные процессы в случае возникновения реального кейса.

Мы взяли мировую статистику по тому, сколько примерно стоит компании та или иная «дыра» в ИБ. В результате математического анализа были добавлены коэффициенты, от которых зависит конкретный долг. Таким образом определился следующий подход. Мы говорим, что у продукта есть долг, например, в 10 млн рублей. Это потенциальные потери для компании. Это не значит, что завтра мы потеряем 10 млн рублей, но и не значит, что мы их не потеряем прямо сегодня. Неизвестно, когда произойдет событие, которое повлечет за собой потерю. При этом мы понимаем, что это теоретические убытки, которые компания почти наверняка понесет в случае эксплуатации злоумышленником тех или иных проблем.

Благодаря такому подходу состояние информационной безопасности продуктов для каждого продуктового лидера стало гораздо прозрачнее. И теперь, когда выбор стоит между внедрением несрочной фичи, которая принесет профит только через год, и доработкой фрагмента скрипта, чтобы устранить уязвимость и снизить технический долг, предпочтение зачастую отдается второму.

Мы получили выражение долга ИБ в виде денежного эквивалента по каждому из продуктов. Затем начали создавать дополнительные контроли, которые позволяют углублять видение того, какие еще есть проблемы или несоответствия нашим принципам и стандартам.

Как выглядит продукт сейчас?

Сейчас продукт сильно отличается от того, с чего мы начинали. Это дашборд, где отображается информация для каждого направления (домена). Продуктовый лидер домена может в любой момент зайти, посмотреть ситуацию и в реальном времени понять, какой у него долг, что на него влияет, из чего этот долг состоит и что сделать, чтобы его снизить/устранить.

Есть визуализация для каждой продуктовой команды, т. е. лидер может зайти и увидеть картину по своей команде. Так же происходит и с другими уровнями — в любой момент стейкхолдеры могут посмотреть на ситуацию и проследить динамику по компании в целом.

Для наглядности приведу реальный пример. Мы начали год с долга в 10 млрд рублей (видно на графике). В течение года эта цифра доходила до 15 млрд, потому что появлялись новые продукты, а с ними неизбежно и новые уязвимости. Сейчас мы остановились на 8 млрд, т. е. удалось снизить совокупный долг на 20%. И это уже довольно заметный результат, учитывая, что мы не только справились с появлением новых несоответствий, но и смогли сократить долг относительно того, с чего начинали.

Развитие и перспективы

За год мы добавили порядка 10 новых контролей. Если смотреть с точки зрения продукта, то это 10 новых интеграций, которые поставляют нам данные о потенциальных проблемах в различных сферах деятельности компании. Они могут быть связаны с продуктом, с разработкой или с операционными системами. С 1 января 2022 года новые контроли также будут монетизированы, и сумма общего долга увеличится. Далее планируем продолжать добавлять новые контроли, исходя из новых потенциальных угроз и наших возможностей.

С точки зрения управления продуктом есть три составляющих в работе над ним:

• новый функционал (реализация потребностей бизнеса),
• операционная деятельность (инциденты, запросы пользователей, которые касаются работоспособности),
• работа по уменьшению долга.

Все три элемента одинаково важны. Просто есть сиюминутная выгода, когда нужно быстро внедрить новую фичу, чтобы получить профит, а есть долгосрочные потребности, о которых тоже не стоит забывать. Потому что если не уделять внимания технологическому долгу, то в какой-то момент это становится снежным комом и продукт перестает быть управляемым. Если в команде есть правильная, сбалансированная система ценностей, то для нее этот подход очевиден.

Продукт может быть полезен практически любой компании, отрасль здесь совершенно не важна, имеет значение только сам подход. Меняются процессы, появляются новые продукты, а вместе с ними — новые уязвимости и бреши в ИБ. Поэтому любое решение, которое помогает эту проблему хоть в какой-то степени снять, уже очень полезно.

Ответы на вопрос:

До весны 2022 года на российской территории можно было встретить огромное множество различных самых разных брендов, продающих свою продукцию напрямую. Но с целью поддержки антироссийских санкций, в том числе под давлением правительств «недружественных стран», свыше тысячи иностранных компаний ушли с российского рынка, поэтому теперь купить их продукцию в стране невозможно, либо возможно по куда более высокой цене вследствие того, что она ввозятся третьими лицами. Уходить с российского рынка сеть крупнейших строительных магазинов «Леруа Мерлен» не планировала, но все неожиданно изменилось весной 2023 года, когда бренд объявил о намерении полностью покинуть Россию. Это случится уже совсем скоро.

Французская компания Leroy Merlin объявила о том, что в ближайшее время она продаст весь свой бизнес в России. К слову, российский рынок является вторым по степени важности для компании, то есть уйдя из страны она тем самым нанесет по себе огромный финансовый удар, лишив себя огромных доходов. Новыми владельцами бизнеса компании станет ее нынешнее руководство. Из-за грядущего ухода с российского рынка открытие новых торговых точек остановлено, но при этом все имеющиеся в настоящее время продолжат и дальше работать в полной мере, то есть россияне по-прежнему смогут такие посещать и покупать себе какие-либо товары, делая это максимально легко и просто. Также продолжит работать онлайн-магазина, в рамках которого покупатели смогут приобретать товары с доставкой на дом или в другое необходимое место.

Однако все россияне должны понимать, что Leroy Merlin не просто так уходит из России. После того как бренд официально уйдет с российского рынка, все названия, вывески и эмблемы «Леруа Мерлен» придется ликвидировать и демонтировать. Проще говоря, в будущем данная сеть строительных магазинов будет работать уже под каким-то другим названием, поэтому прежнее прекратит существование в юридическом плане. Пускай сами магазины и не закроются, а никто из сотрудников не потеряет рабочее место, но наименование бренда изменится и, вероятно, изменятся какие-то правила. Если сейчас российское подразделение компании Leroy Merlin придерживается правил, которые были придуманы во Франции, то новые владельцы смогут корректировать такие по своему усмотрению, например отказавшись от принципа возврата в течение 365 дней.

Все российское подразделение Leroy Merlin уже совсем скоро станет полностью автономным и независимым. Проще говоря, никакого отношения к французской компании иметь оно более уже не будет. Если вдруг возникнут какие-то проблемы, например из-за убытков, компания не сможет запросить помощь от головной компании. Все эти вопросы, в том числе с финансированием, российской компании придется решать в полной мере самостоятельно, не рассчитывая даже и близко на то, что ей кто-то как-то поможет. Остается верить и надеяться на то, что ассортимент доступных для покупки товаров в магазинах «Леруа Мерлен» не изменится, а цены не вырастут. Во многом это будет зависеть от той бизнес-модели, которой захочет придерживаться новое руководство компании.

Ранее сообщалось о том, что компания «Леруа Мерлен» сделала важное заявление для всех, кто покупаю стройматериалы и инструменты.

Присоединяйтесь к нам в Google News, Twitter, Facebook*, Instagram* (*площадки признаны в России экстремистскими), ВКонтакте, YouTube и RSS чтобы следить за новостями и оперативно получать интересные материалы.

Узнать больше о работе «специалист службы безопасности» в России вы можете в разделе Карьера — специалист службы безопасности. Также там представлена информация по другим профессиям, уровню зарплаты, работодателям и многое другое.