Главная» Новости» Кто в компании является носителями культуры безопасности.
«Мы работаем над тем, чтобы культуру безопасности сделать модной»
Тем не менее нередко оказывается, что культура безопасности, выстроенная в компании, в своей основе противоречит внедряемым инициативам. повышение безопасности, гигиены труда и общих условий работы в компаниях. Как оценивать и контролировать уровень культуры безопасности в компании? Культура безопасности пронизывает все уровни компании и должна исходить не только от руководителей предприятия, но и от рядовых сотрудников и подрядчиков на всех уровнях коммуникации.
Каков уровень культуры безопасности в российских компаниях?
Но ей не удалось изменить его в других учетных записях, в том числе в важной для этой истории. Это ее вина. Уязвимость номер два: мы должны были требовать двухфакторной аутентификации в социальных сетях от всех администраторов. Это означает, что для входа в систему им понадобилось бы ввести не только правильный пароль, но и одноразовый код, отправленный, например, на телефон. Если не ввести код в течение нескольких секунд или минут после попытки входа, вы не попадете в систему. Существует несколько версий этого типа аутентификации, и я, конечно, все упрощаю — но в целом все понятно. Это наша вина. Уязвимость номер три: мы проводили проверку аккаунта недостаточно часто и не поняли вовремя, кому больше не нужен доступ. Джули работала на нас, но мы должны были исключить ее из списка администраторов после окончания проекта. Нас могли взломать и пока она активно сотрудничала с нами, но отсутствие «гигиены» только усугубило ситуацию. Это точно на нашей совести.
Все эти действия могли значительно снизить вероятность взлома. Но, допустим, каким-то невероятным образом достаточно мотивированный, везучий и даровитый хакер смог проникнуть в нашу учетную запись в соцсети. Давайте разберемся, как превентивные меры помогли бы нам после обнаружения взлома. Мы могли разработать процедуру блокировки действий всех администраторов страницы, не позволяющую хакерам узнать, что мы в курсе атаки. Удалением бессмысленных постов мы только привлекли их внимание. А когда они увидели, как мы закрываем доступ администраторам, они стали работать на опережение. Нам повезло, что Гэвин оказался на взломанной странице в пасхальное воскресенье. В противном случае мы могли бы не узнать об атаке так быстро. Теперь у нас есть инструмент, который использует средства машинного обучения для обнаружения необычных изображений, ненормативной лексики, оскорблений и других аномальных материалов на страницах социальных сетей. Он немедленно предупреждает нескольких членов нашей команды о такой необычной активности.
Я не буду называть конкретный инструмент по двум причинам. Во-первых, программы приходят и уходят, у каждой из них свой уровень эффективности и каждой из них — свое время. Иными словами, в период запуска инструмент может быть очень эффективным — до тех пор пока хакеры не найдут способ его обойти. Я не знаю, когда вы будете читать эту книгу, а потому не стану хвалить то, что, возможно, больше не использую. Вторая причина, по которой я скрою название этого инструмента, заключается в том, что McAfee является важной мишенью для хакеров по всему миру. Оставляя их теряться в догадках, какие именно средства мы используем, мы помогаем снижать угрозу. Поискав описания инструментов в сети, вы быстро найдете то, что можно опробовать. Вернемся к урокам, которые мы вынесли. Мы не были знакомы с протоколом действий службы поддержки соцсети в подобных ситуациях. И очень зря.
Только постфактум мы узнали о том, что их политика требует блокировки аккаунта на много часов, вне зависимости от того, насколько велики изменения на странице. Теперь мы узнаем о подобных процедурах заранее — до размещения корпоративных страниц на других сайтах. Мы на собственном горьком опыте убедились, как много значат деньги. Поскольку мы тратили приличную сумму на продвижение в социальной сети через агентства, самой платформе мы казались менее значимым аккаунтом, чем были на самом деле. Это могло повлиять на быстроту реакции. Теперь мы оплачиваем продвижение напрямую на платформах социальных сетей — чтобы наши инвестиции были на виду и приносили нам уровень сервиса, которого мы заслуживаем. Кроме того, мы узнали, что сторонние компании, с которыми мы ведем бизнес, могут не иметь надежных методов обеспечения безопасности. Это особенно важно, если это ваши филиалы или у них есть доступ к вашим системам. В частности, у небольших сторонних компаний, с которыми вы поддерживаете отношения, может не быть подразделений ИТ и безопасности, не говоря уже о строгой политике киберзащиты. И наконец, последний удар под дых.
Как показало вскрытие, McAfee даже не был изначальной целью атаки. Когда хакер получил доступ к личным данным Джули, он понятия не имел о том, что она администратор корпоративной страницы компании. Он не знал, кто такая Джули: ему было все равно. Он просто охотился за паролями, стремился определить, к чему они откроют доступ, — к личному банковскому счету, сети компании или чему-то еще. Как только он нашел тот, который случайно подошел к странице McAfee в этой социальной сети, он вывалил на всех, кого мог, целый ушат оскорблений, унизив при этом компанию. Даже для хакеров удача иногда важнее мастерства. Еще несколько важных уроков Составьте список людей, с которыми вы можете связаться в такой ситуации. Держите их контакты под рукой — там, где вы и ваша команда легко сможете их найти. Эти списки должны быть не только у ваших людей, но и у сотрудников, обслуживающих сайт компании, ее социальные сети, облачное хранилище и так далее. В чьи-то рабочие обязанности должна быть включена регулярная проверка доступа к аккаунту, а помимо этого — удаление из списка администраторов людей, чья работа больше не связана с текущими проектами.
Используйте многофакторную аутентификацию. Некоторые наши системы автоматически определяют, когда пользователи входят в них, а когда выходят — даже если выключение произошло всего на несколько минут, например, для смены компьютера. При работе в системах с меньшим уровнем прямого контроля — таких как облачные сервисы, например, — мы просим сотрудников присылать скриншоты, показывающие, что многофакторная аутентификация включена. Можете себе представить, как тщательно мы теперь изучаем социальные сети, прежде чем разместить там свою страницу. На основе ответов мы проводим оценку уязвимости. Чья это вина? Безусловно, провайдер социальной сети сможет доказать, что мы сами не сделали несколько очевидных шагов — не свели к минимуму количество администраторов, регулярно проверяя их список, не настояли на использовании уникальных надежных паролей и так далее. Но решению проблемы не способствовала и его жесткая политика, в рамках которой очевидно взломанная грубейшим образом страница должна была оставаться неизменной до окончания проверки. И, конечно, сотруднице агентства не стоило использовать одинаковый пароль для нескольких учетных записей. Но обратите внимание: главу я назвала «Как я испортила Пасху».
Нет, я не взламывала корпоративную страницу McAfee. Не я предоставила такую возможность злоумышленнику. И в то пасхальное воскресенье я меньше всего хотела разбираться с ситуацией, возникшей в результате цепи нелепых ошибок. С учетом всего сказанного я могу лишь взять на себя ответственность за все произошедшее. Ведь, в конце концов, эта корпоративная страница находилась в ведении моей команды. И мы не выполнили свой долг — не приняли разумных мер для ее сохранности. Личная ответственность — вещь неприятная. Немногим из нас доставляет удовольствие обдумывать, что можно было сделать лучше или иначе для предотвращения несчастного случая. Уклонение — гораздо более нормальная человеческая реакция. Тем не менее именно наша тяга к отказу от личной ответственности остается ключевым оружием в арсенале хакерского сообщества.
Слишком долго кибербезопасность была «чьей-то там» проблемой. Слишком многие считают кибербезопасность мутной темой, не заслуживающей их личного времени, не говоря уже об ответственности. Эта книга ставит целью изменить данную парадигму, хотя бы помочь сделать скромный шаг к признанию ответственности, которую мы все разделяем как сотрудники — и, в конечном итоге, защитники — наших организаций. Если наша компания не может рассчитывать, что мы примем разумные меры предосторожности, чтобы уберечь ее драгоценные цифровые активы, то кому она вообще может доверять? Однако позвольте мне отвлечься от своей «мелодрамы» и обозначить настоящую проблему. Дело не в том, что сотрудники в большинстве своем не хотят поступать правильно. Гораздо чаще они просто не знают, как это делать. Кибербезопасность — это командный спорт, в котором каждый должен играть на своей позиции в любую минуту.
Не думаю, что это глобально изменило или изменит основные ценности нашей корпоративной культуры.
Но некоторые изменения в том, как сейчас эти ценности проявляются на практике, как изменилось наше поведение и правила работы, уже можно наблюдать. Несмотря на то, что прошло достаточно времени, чтобы адаптироваться к удаленной работе, есть те, кто ощущают на себе скорее негативное влияние такого формата. В привычной культуре управления руководитель регулярно общается со своими сотрудниками в формате «один на один». По отзывам сотрудников, с переходом на удаленку, с одной стороны, стало проще, исчезло какое-то напряжение, на проблемные темы теперь легче высказываться, а возможно — это «легче», потому что ты дома и «чувствуешь себя в безопасности». С другой стороны, руководители отмечают, что необходимо усилие и дисциплина, чтобы не «съехать» с регулярного общения, что в условиях удаленки достаточно легко происходит. С сокращением общения руководители отмечают «потерю контакта», вследствие чего возникают «недопонимания по зонам ответственности» и т. Также сотрудники отмечают пусть небольшое, но все же увеличение некоторой напряженности и раздраженности во время общения. Сначала все были рады тому, что нет необходимости тратить время на дорогу, сейчас же сотрудники отмечают, что границы рабочего дня размылись не нужно вставать с рабочего места, одеваться и выходить из офиса , и это фактически «съедает» весь плюс от экономии времени на дорогу.
Но как? Именно поэтому, мы, имея достаточно богатый опыт по построению систем управления охраной труда и промышленной безопасностью, попытаемся ниже систематически изложить основные принципы и моменты создания и поддержания «культуры безопасности», требуемые для эффективного достижения и более широкой «культуры производства». Общие принципы культуры безопасности Основные черты высокой «культуры безопасности», имеющей существенное значение для системы управления охраной труда и предотвращения профессиональных рисков, состоит в «автоматическом», «привычном», «незаметном» для исполнителя выполнении всех мер и требований безопасности в процессе любой производственной и трудовой деятельности, при принятии решений выработке мероприятий и их выполнении. Это и естественная способность «подать руку», «открыть дверь», «пропустить вперед» и т. И в этом отношении «культура безопасности», «культура производства» ничем не выделяются из «культуры» вообще. Но это не означает, что у них нет специфики, что они аморфны и неизменно и чрезмерно общи. Они тесно связаны с производственной деятельностью, ее характером и спецификой, со спецификой организации управления выполнением работ. Они — элементы реальной деятельности и ее специфичности на каждом конкретной предприятии. И они конкретны для каждого предприятия. Заметим, что культура безопасности и культура производства легко вписываются в концепции систем качества и безопасности. При этом культура, как технология успеха, должна пронизывать каждое действие, каждое событие, каждое мероприятие, присутствовать везде и всюду. Поэтому «зону бескультурья» нужно окружать красными флажками со всех сторон. В оболочке «безопасности» воздушного шара «производства» в его полете к успеху не должно быть дыр, даже залатанных. Мы можем иметь великолепные технологии и оборудование, но плохую организацию труда — и в итоге ничего хорошего. Мы можем иметь великолепные технологические регламенты, но плохой контроль за их соблюдением… И вновь ничего хорошего. Мы можем иметь прекрасные документы системы управления охраной труда, но не выполнять их … И вновь ничего хорошего. Причем, культура производства и культура безопасности на конкретном предприятии вытекают из общей культуры деятельности в стране, принятых не только умом, но сердцем норм и правил. Такая культура воспитываются у людей с детства. Однако и на предприятии можно подправить те внутренние нормы, которыми руководствуется человек в повседневной жизни, хотя бы в целях и рамках успешной производственной деятельности. Системный подход к культуре безопасности и культуре производства был выработан давно и заключается в подборе персонала, помощи в адаптации применительно к конкретному рабочему месту и конкретному предприятию, развитию компетентности через различные формы обучения, включая проверку компетентности через механизмы аттестации персонала, и, наконец, самое главное, развитие внутренней мотивации персонала на безопасный, производительный и качественный труд через позитивное преимущественно и негативное по мере неизбежности стимулирование персонала. Наиболее часто термин «культура безопасности» употребляется именно в той сфере, где он и возник - в атомной энергетике, однако это не означает, что культура безопасности не нужна на предприятиях других отраслей. Рассматривая различные аспекты культуры безопасности, основной упор следует сделать на квалификационную и психологическую подготовленность всех работников, при которой обеспечение безопасности является в чем-то их приоритетной целью и внутренней потребностью. Культуру охраны труда следует рассматривать как широкое понятие, включающее в себя отношение к охране труда, поведение в данной производственной системе, а также организацию труда на рабочем месте с точки зрения безопасности. Закоренелые производственники частенько задают вопрос, является ли культура безопасности труда лишь новым словосочетанием для обозначения старых понятий или оно несет в себе новое содержание, которое может улучшить наше понимание того, как должна функционировать охрана труда на предприятии? Ответ состоит в том, что это новое содержание связано не столько с формализмом СУОТ и СУПБ, сколько с внутренним отношением к этим проблемам со стороны и простых работников и топ-менеджеров. Есть такое выражение, мастерство не пропьешь… Так вот, культура безопасности в чем-то похожа на мастерство, дополняет его, входит в него… Она — внутреннее богатство человека, его неотъемлемая часть… Хотя концепция культуры безопасности труда не является на сегодняшний день в России четко сформулированной и рассматривает широкий спектр различных явлений в обеспечении безопасности, она, несомненно, затрагивает самое существенное в обеспечении безопасности — человеческий фактор. Вот почему внедрение и поддержание культуры безопасности — наилучший метод управления человеческим фактором, поведением персонала. А все остальные моменты обеспечение безопасности производства этот внутренне мотивированный и компетентно подготовленный персонал выполнит сам, в том числе по собственной инициативе, это и есть успех! Мы неоднократно писали, что изменение технологии, средства коллективной защиты, организация выполнения работ, средства индивидуальной защиты, профилактические прививки и медикаменты, умение работать безопасно, все это останется мертвым грузом без стимулирования персонала на безопасный труд. Другого нет!!! И сразу становится ясным ответ на другой распространенный вопрос: Является ли культура безопасности одним из факторов обеспечения эффективности в сфере охраны труда и если является, то, что будет наиболее успешным для достижения желаемого результата? Конечно, является, если рассматривать культуру безопасности не с позиции «цветочки и лампочки», а с позиции «делай, как сказано». И успех связан с мотивацией и компетентностью, умением! С нашей точки зрения, культура охраны труда включает в себя систему практических процедур и поведенческих шаблонов, которые не только разделяются работниками, но и выступают в качестве первоисточника мотивированной и координированной деятельности в сфере охраны труда. Высшее руководство является ключевым звеном в обеспечении «культуры безопасности» всей системы управления производством, и именно принципы и действия представителей высшего менеджмента сильно влияют на становление корпоративной культуры безопасности труда. Анализ показывает, что там, где руководители высшего звена уделяют внимание охране труда и лидерству, это незамедлительно сказывается на качестве работы и безопасности. Более того, основная часть исследований свидетельствует: в компаниях с низкими показателями травматизма, личное участие высшего руководства в охране труда, по меньшей мере, так же существенно, как и деятельность руководства по структурированию системы охраны труда подразделения, предусматривающие использование финансовых и профессиональных ресурсов, создание политики и программ охраны труда и т. Активное вовлечение руководителей высшего звена воздействует как мотивирующая сила на остальные уровни управления, стимулируя заинтересованность менеджеров, и одновременно служит демонстрацией заботы администрации о благополучии рабочих.
Службой информационно-управляющих систем Общества была разработана и запущена в опытно-промышленную эксплуатацию АСУПП, а также разработаны операционные инструкции для всех участников процесса. В настоящее время каждый работник Общества при обнаружении потенциального происшествия имеет возможность внести информацию об указанном событии в АСУПП как самостоятельно, так и через уполномоченного по охране труда в своем коллективе. Система позволяет регистрировать и оперативно реагировать на все потенциальные происшествия, выявленные работниками, тем самым способствует усилению вовлечения работников в систему управления производственной безопасностью. Обучение персонала Прямой способ приобретения новых компетенций — это обучение персонала по вопросам культуры безопасности. Оно проводится по специальным программам, разработанным Учебно-производственным центром Общества. Для повышения эффективности процесса приглашаются тренеры-преподаватели Корпоративного института ПАО «Газпром». В Обществе действует Институт внутренних тренеров и наставничества. Решением совещания ПАО «Газпром» на тему «Состояние реализации проектов культуры производственной безопасности. Создание общекорпоративного подхода к формированию культуры производственной безопасности в дочерних обществах», ООО «Газпром добыча Оренбург» было определено ответственным за реализацию пилотных проектов в области развития культуры производственной безопасности.
Как изменить культуру безопасности в компании. Часть 2
От принудительного исполнения стандартов под жестким контролем перейти к искреннему принятию людьми новых ценностей в сфере их же собственной безопасности. Лишь отчасти. Евгений Прокопьев сам работал прежде на другом предприятии данной отрасли, типичном для нашей производственной практики — со сдельной оплатой труда, с минимальными условиями быта и с «авось» вместо безопасности. Раньше это казалось удобным, привыкать к новым строгим нормам было трудно.
Но со временем огромная польза такой жёсткой системы стала очевидной, появилось искреннее желание передавать такой подход новым работникам. Позднее, благодаря такому стремлению, накопленным компетенциям и успехам, Евгений был назначен на должность менеджера EHS. Алгоритм формирования культуры максимальной безопасности на производстве приблизительно следующий: 1 Формирование ведущей лидерской позиции руководителей.
Каждый должен являть собой безупречный пример соблюдения стандартов безопасности и быть внимательным наставником для остальных. Все начинается с подбора и перевоспитания команды топ-менеджмента, затем управленцы среднего звена и так далее. По мнению «Сен-Гобен», такой мотивацией является сдельная оплата труда — ради наращивания объемов работники пренебрегают соблюдением стандартов и технологий.
Поэтому на предприятиях группы применяется только окладная система. Работников поддерживают, поощряют, регулярно учат, им помогают и разъясняют.
По словам эксперта, большое внимание уделяется развитию компетенций сотрудников. Спикер представил несколько кейсов. Один из них — внедрение оценочных сессий в образовательный процесс. Далее выступил Александр Чеботкевич.
Эксперт подчеркнул, что культура безопасности зависит от поведенческих моделей людей, которые работают в компании. При оценке использовались такие методы, как анализ документации по охране труда, структурированные интервью с высшим руководством предприятий, рабочими и линейными руководителями, а также дистанционная диагностика сотрудников с целью определения уровня развития культуры безопасности и индивидуальных факторов риска HALP. Спикер также отметил, что по итогам оценки культуры безопасности формируется план развития, включающий развитие safety skills у всего персонала, управление высоко-рискованным персоналом, развитие навыков управления персоналом у линейных руководителей и другие аспекты. Дмитрий Смирнов продолжил тему культуры безопасности и развития персонала. В своем докладе он подчеркнул, что целью обучения сотрудников обязательным программам является конечный результат действия — выполнение рабочей операции безопасно. Однако, по мнению спикера, существует риск, что знания, полученные сотрудником в ходе обучения, могут иначе им интерпретироваться из-за личностных особенностей — в итоге работодатель получит не те навыки и умения, на которые рассчитывал, отправляя работника на обучение приемам безопасного выполнения работ.
В первую очередь, это отношение к людям,- делится опытом технический директор компании «3M» Россия Сергей Дмитрук. Это когда руководитель компании своим собственным примером демонстрирует культуру безопасности во всем». Сергей Дмитрук рассказал об опыте компании в подборе для работников СИЗ органов дыхания. Так, каждому сотруднику 3М подбирают СИЗ индивидуально, примеряют на хорошее прилегание и только после того, как сотрудник будет уверен, что именно в этом респираторе или маске он чувствует себя хорошо и комфортно, он получает этот СИЗ. Мало, кто из российских компаний позволяет себе такой индивидуальный подход. Но в компании 3М уверены, что это и есть часть культуры безопасности, в основе которой забота о людях. Также в компании стараются применить всевозможные наглядные инструменты, позволяющие увидеть уровень опасности.
Так, к примеру, на рабочих местах установлены счетчики пыли, которые дают возможность работнику увидеть, в какой среде он работает, какой процент частиц может попасть в его легкие, если он не будет использовать СИЗ. И тогда человек готов менять свое поведение. Рабочий тоже человек, или Каждый должен нести ответственность Эксперты сходятся во мнении, что в основе внедрения культуры безопасности — система ответственного менеджмента, которая строится на принципах персональной ответственности. Я бы стремился уменьшить уровни менеджмента внутри компании. Опыт подсказывает, что во многих российских компаниях существует слишком много уровней управления и слишком много контролирующих людей. Поэтому происходит аутсорсинг процесса ответственности. Важно воспитывать в людях их персональную ответственность».
Штефан Хенш привел примеры японских компаний, где в последние 40 лет произошли кардинальные изменения в сфере передачи полномочий и повышении личной ответственности рабочего. Обычный менеджер или рабочий, обнаруживший неполадку на конвейере и предугадывающий тем самым риски, в результате которых может произойти несчастный случай, наделен полномочиями остановить производственную линию. В японских компаниях такой уровень доверия является стимулом к росту специалистов. Воспитание личной ответственности Штефан Хенш сравнил с воспитанием ребенка. Никто и никогда не предоставляет родителям никаких стандартов и ГОСтов по воспитанию. Если ребенок воспитывается в среде постоянного контроля и надзора, то из такого ребенка вряд ли получится ответственный лидер. Но если родители предоставляют ребенку больше личной ответственности и выбор, то тем самым они закладывают «зерна» более ответственного поведения.
В качестве положительного примера реализации принципа «больше ответственности плюс осведомленность» г-н Хенш привел пивоваренную компанию Efes в Молдове, которая в свое время испытывала проблемы в сфере охраны труда.
Существует высокая потребность и полезность в семинарах, конференциях, рабочих встречах. Цитирую высказывания работников: «единственная эффективная практика — это спросить «по-быстрому у своих» как устранить или исправить проблему». Связь системы поощрений работников с безопасным поведением. В Обществе не прослеживается связь системы поощрения материальной и нематериальной с безопасным поведением работника, наряду с высоким уровнем системы наказаний. Для примера процитирую работников: руководители говорят: «отсутствие наказания и есть ваше поощрение», «не хочешь, не нравится — за забором другие стоят, они за тебя сделают». Наличие и доступность системы сообщений о проблемах безопасности. Работники отметили, что такой системы в Обществе нет, что готовы сообщать руководству о проблемах и ошибках.
Но есть случаи, когда руководители игнорируют сообщения о проблемах безопасности, не транслируют работникам свои ожидания. Страх наказания и страх неизвестности, что это может быть воспринято негативно руководителями и последствия могут быть неадекватны, снижают качество и количество обращений. Цитирую работников: «есть программа — добиться меньше нарушений». Как итог— «не все фиксируем, чтобы не попасть под подозрение и не портить статистику», «самому разбираться, если что-то идёт не так легче, чем обратиться к руководителю, но, если сложно, всё-таки обращаемся хотя помощи не будет , делаем дальше сами». Проектные запасы. Работники отметили низкую степень оснащения необходимыми инструментами и оборудованием для повседневной работы, а также в случае непредвиденных ситуаций. Также отмечены проблемы, связанные с эксплуатацией оборудования и поддержания его состояния в пределах проектных запасов. Цитирую: «Плохие вытяжки в цехах, стеснённые условия работы и рядом опасное оборудование»; «устаревшее изношенное оборудование, вышел срок эксплуатации — все равно используем и по бумагам пишем, что все в порядке».
Как изменить культуру безопасности в компании. Часть 2
Выведите свое обучение технике безопасности за пределы традиционных методов и развивайте процветающую культуру безопасности на своем рабочем месте! Развитие культуры безопасности сотрудников — одна из необходимых мер для предотвращения внутренних инцидентов ИБ и противостояния кибератакам. ять на восприятие безопасности работником организации. Например, чтобы в организации была позитивная культура безопасности, руководители должны четко заявлять о недопустимости компромиссов между безопасностью и производительностью. В этой статье расскажу, как компаниям взращивать культуру безопасности и чему обучать сотрудников. ять на восприятие безопасности работником организации.
"Влияние корпоративной культуры на безопасность организации"
Для продвижения культуры безопасной разработки и улучшения понимания проблем безопасности разработчиками, мы внедрили следующие практики. Как руководители и сотрудники влияют на культуру безопасности в компании. Развитие и совершенствование культуры безопасности является приоритетным направлением деятельности Топливной компании Росатома «ТВЭЛ» и рассматривается в качестве одного из ресурсов обеспечения безопасности на предприятиях. Но бывают предприятия, которые действительно ищут способы мотивации своих сотрудников к активному участию в устойчивых инициативах. Организации, в которых есть психологическая безопасность, реже совершают ошибки и порождают больше инноваций. Для продвижения культуры безопасной разработки и улучшения понимания проблем безопасности разработчиками, мы внедрили следующие практики.
Для продолжения работы вам необходимо ввести капчу
- Как корпоративная культура влияет на бизнес в пандемию
- Один за всех и все за одного
- Как привить сотрудникам культуру кибербезопасности
- Особенности культуры безопасности
Как изменить культуру безопасности в компании. Часть 2
Как оценивать и контролировать уровень культуры безопасности в компании? Культура безопасности – это такой набор характеристик и особенностей деятельности организаций и поведения отдельных лиц, который устанавливает, что проблемам безопасности АС, как обладающим высшим приоритетом, уделяется внимание. Один из выводов: управление подрядчиками — важный фактор культуры безопасности, на который предприятиям сложно влиять, на это в своем выступлении указал гендиректор НЗХК Алексей Жиганин.
Как начать внедрять культуру безопасности?
Если раз в год «для галочки» напоминать основы кибербезопасности, велик риск, что очень скоро о них забудут, поскольку рядовых сотрудников не слишком волнует эта тема. Чтобы изменить ситуацию, следует проводить обучение на постоянной основе. Однако не стоит забывать, что конечная цель — не повышение уровня осведомленности, а формирование культуры, поэтому люди должны понимать, зачем им эти знания и уметь их применять. Мотивация персонала.
Внедряя полезные привычки по соблюдению правил кибербезопасности, не стоит забывать о базовой вещи — комфортных условиях труда. Именно проблемы с ними часто провоцируют сотрудников на намеренные нарушения или безразличное отношение к обязанностям. Говорить о целостной культуре безопасности можно только в том случае, если большинство сотрудников внедряет ее принципы на практике.
Убедиться в этом поможет, например, DLP-система с функцией анализа поведения пользователей. Культура безопасности данных требует обучения и развития всех сотрудников важности защиты конфиденциальной информации. Внедрение DLP-системы помогает устанавливать контроль над данными и предотвращать их утечку.
В то же время, технологии UBA обеспечивают мониторинг и анализ активности пользователей, помогая выявить подозрительные действия и потенциальные угрозы безопасности данных.
С 1995 года атомщики несколько лет тесно сотрудничали с ЦУПом Центр управления полетами. Кроме того, для детального изучения опыта противоаварийного планирования и аварийного реагирования они посетили все ведущие мировые центры атомной энергетики. Сегодня в группу ОПАС входят 145 сотрудников оперативного состава и 240 экспертов.
Они являются специалистами высочайшей квалификации, представляют 19 государственных министерств и ведомств. Дни безопасности Дивизиональный проект по развитию института уполномоченных в 2021 году приобрел статус отраслевого мероприятия. Серия еженедельных мероприятий в рамках подготовки к IV отраслевому форуму-диалогу «День безопасности атомной энергетики и промышленности»дала импульс открытому разговору и обсуждению практик по развитию культуры безопасного поведения. В слете приняли участие руководители госкорпорации «Росатом», Концерна «Росэнергоатом», АО «ТВЭЛ» и других дивизионов Росатома; представители отраслевого профсоюза РПРАЭП ; уполномоченные по культуре безопасности и охране труда; представители функции охраны труда и промышленной безопасности организаций отрасли; линейные руководители; представители молодежных организаций отрасли и лидеры изменений; а также сотрудники, вовлеченные в реализацию проекта по развитию культуры безопасного поведения.
Спикеры рассказали о внедрении рискориентированного управления, амбассадорах безопасности, роли подготовки уполномоченных по охране труда в СУОТ, практиках вовлечения уполномоченных. В мероприятии приняли участие 850 сотрудников отрасли. Охота на риски С 22 ноября по 3 декабря 2021 года в электроэнергетическом дивизионе прошел онлайн-марафон «Охота на риски». Марафон проводился впервые с целью акцентирования внимания сотрудников на вопросах безопасности и способах обнаружения опасных ситуаций, а также с целью привлечения более широкого круга лиц к вопросам культуры безопасности.
За две недели проведения марафона было получено 8250 ответов на 10 заданий, в мероприятии приняли участие 1713 человек, в числе которых сотрудники дивизиона и их семьи, студенты ключевых вузов. Важно было не просто формально донести информацию о существующих рисках и способах их устранения, а в игровой форме заинтересовать людей, вызвать искреннее участие и желание сделать работу безопаснее, включить понимание, что это действительно важно и требует внимания каждого. Для большего интереса был добавлен соревновательный аспект с призами самым активным охотникам за рисками. Результаты были хорошо видны — люди подключались, проходили задания, делились эмоциями.
Перед тем, как начинать практически любое действие, важно уметь оценить риски для здоровья и жизни, а уже потом приступать к действиям. Оценка рисков должна стать повседневным инструментом, который автоматически включается в сознании и помогает делать жизнь более безопасной», — отмечает руководитель группы управления изменениями корпоративной культуры Концерна «Росэнергоатом» Ирина Косарева. Онлайн-марафон признан успешной практикой и вновь будет проводиться этой осенью. Победителями онлайн-марафона «Охота на риски» в трех категориях стали: 1.
АЭС — Ленинградская атомная станция. Вузы — Волгодонский инженерно-технический институт. Подробности Выбираем лучших Выбирать лучшие организации в области культуры безопасности — ежегодная практика в электроэнергетическом дивизионе. Прошлой осенью были подведены итоги работы атомных станций России по поддержанию и развитию культуры безопасности за период с 1 октября 2020 года по 30 сентября 2021 года.
В состав комиссии вошли представители профильных департаментов Концерна «Росэнергоатом» и главные инженеры всех российских атомных станций, они определили сразу два предприятия, которые добились наиболее значимых результатов в развитии культуры безопасности: ими стали Кольская и Балаковская атомные станции. При подведении итогов конкурса «Лучшая АЭС по культуре безопасности» учитываются не только стабильность и надежность эксплуатации производственных объектов АЭС, но и исполнение природоохранного законодательства, норм и правил безопасности, охраны труда, а также недопущение пожаров и возгораний, эффективность работы по предотвращению негативных событий на АЭС в целом и ряд других критериев. В этом году конкурс продолжится, и «Росэнергоатом» вновь выберет лучшие организации в области культуры безопасности. Конкурс плакатов и проектов Для поддержания уровня вовлеченности работников электроэнергетического дивизиона в развитие культуры безопасности были организованы конкурсы на лучший плакат и лучший реализованный проект по совершенствованию культуры безопасности.
Организации представили на конкурс 14 проектов и 24 плаката. Лучшими проектами признаны: 1 место — «Развитие лидерских качеств линейных руководителей основных подразделений станции» Ленинградская АЭС. По результатам голосования среди сотрудников электроэнергетического дивизиона лучшими плакатами признаны: 1 место — плакат «Надежность в действиях» Ростовская АЭС.
Но никто не знает, действительно ли он в полной мере осознает грозящую опасность. Гораздо эффективнее инструктировать людей в формате диалога, когда мастер задает вопросы «Какой самый большой риск вы видите? Поначалу мастера компании «Газпром нефть» отнеслись к идее скептически — мол, нашим сотрудникам такое не подойдет. Но все же по заданию преподавателя сформулировали плюсы и минусы нового подхода, а затем разделились на тройки для работы по группам, где каждый по очереди выступил в роли мастера, оператора и наблюдателя. Оказалось, никаких минусов у новой формы инструктажа нет — сложность лишь в том, чтобы начать задавать вопросы и вести беседу, а не выдавать готовый текст. Сотрудники получили «домашнее задание»: опробовать новшество на рабочем месте. Почти все отметили, что с молодыми операторами все получилось легко, а вот опытные кадры привыкли получать инструктаж по-старому — молча, и заставить их говорить оказалось непросто.
Что делать в таком случае? Возвращаться к прежнему формату нельзя — так новую культуру не построишь. Выход нашелся: надо проводить смешанные инструктажи. Опытные операторы наблюдают, как отвечают молодые, поправляют их — и незаметно для себя подключаются к беседе. В итоге число сторонников нового формата проведения инструктажей в компании растет, а вместе с ним растет уровень осознанности в действиях сотрудников, т. Кейс 3. Как HR-служба может научить персонал безопасному поведению на примере компании Itella Логистическая компания Itella время от времени сталкивалась со случаями травматизма. Чаще других в зоне повышенного риска оказывались кладовщики, специалисты склада, комплектовщики, водители погрузчиков. Например, в ходе разгрузки фуры на складе никто не заметил, как шофер забрался в кузов — и в результате погрузчик случайно зацепил его. До недавнего времени за травматизм на производстве отвечала исключительно служба охраны труда.
Фактически она занималась поиском и наказанием виновных, а не устранением системных причин. Сотрудники не были вовлечены в систему и процессы безопасности, инструктажи проводились формально. После того как в компании реорганизовали службу охраны труда и перевели эти вопросы в ведение HR-подразделения, начались изменения. Как перейти от реактивной культуры безопасности к вовлекающей? Вместе с компанией Itella мы разработали комплексную программу обучения и вовлечения сотрудников. Все люди выполнили тест, оценивающий склонность к рисковому поведению, а затем прошли тренинг «Развитие культуры безопасного поведения». Инструктаж стали проводить в формате деловой игры с отработкой навыков например, сотрудников спрашивали, какие риски они видят в рабочей зоне и что можно сделать для предотвращения этих рисков. Для начальников складов провели групповые сессии с целью обмена опытом и поиска решения конкретных проблем. Всех менеджеров при выходе в опасную зону обязали надевать СИЗ средства индивидуальной защиты — спецодежда, специальная обувь , чтобы подавать пример рядовым сотрудникам. Новый руководитель службы охраны труда наладил учет всех инцидентов, а не только несчастных случаев, факты нарушения техники безопасности стали учитываться в КПЭ руководителей.
Наконец, вопросы безопасности труда в компании вошли в повестку заседаний совета директоров. Кейс 4. Как повысить осознанность в вопросах охраны труда с помощью обучения на примере энергетической компании Менеджеров энергетической компании не устраивала ситуация с безопасностью на производстве: отдел HSE не справлялся с контрольными функциями. Нужно было обучить весь персонал безопасному поведению, повысить осознанность поведения людей в опасных или потенциально опасных ситуациях. Для этого мы разработали масштабную программу для разных групп сотрудников. Первая группа — это методологи, которые контролируют выполнение правил безопасности. Им требуется в первую очередь развивать навыки работы с людьми и умение влиять на других. Очень важно, чтобы «контролеры» и «инструкторы» как их всегда воспринимали в коллективе стали внутренними лидерами и консультантами по безопасности. Руководителям производственных коллективов важно показать, что факторами, которые приводят к несчастным случаям, реально можно управлять, если не отмахиваться от них. А с рабочими полезно разговаривать о том, почему люди часто недооценивают риски, научить их критически оценивать свою склонность к рискованному поведению, осознавать мотивы собственных поступков.
На страже безопасности Одним из ключевых факторов в формировании культуры безопасности являются действия и поступки самих сотрудников отделов HSE: то, как они себя позиционируют, выступают ли носителями правильного отношения к безопасности, умеют ли быть лидерами изменений.
Исторический опыт подсказывает, что, безусловно, национальный менталитет влияет на модели поведения человека на рабочем месте, но главное - это те нормы и стандарты поведения, культура, принятые на конкретном предприятии и конкретном производстве. И если работник хочет остаться на этом предприятии, то он рано или поздно начнет подчиняться этой системе установленных правил безопасного поведения, начнет принимать сердцем и душой эти принципы. Таким образом, национальные особенности не являются чем-то определяющим для человека при выборе той или иной модели поведения, особенно в ситуации опасности. К примеру, национальный состав рабочих на угольных карьерах и шахтах Германии самый разнообразный, от словаков до румын, и они работают, жестко придерживаясь правил охраны труда.
Подобные ценности должны пронизывать все уровни управления, включая средний уровень, среднее звено. Я могу - и на этом получать прибыль, повышать производительность, сокращая травматизм - такова логика успешных работодателей. Я, конечно, могу выжать из людей все, а могу удержать людей на ближайшие 5-10 лет. В этом заключается стратегическая задача. Эта философия должна пронизывать всю систему управления и менеджмента».
Культура — это не стандарты Как начать внедрять культуру безопасности? Есть ли конкретные инструменты, приемы и практики. Что эффективнее нормативы или культура? Контроль или внутренние установки человека? В первую очередь, это отношение к людям,- делится опытом технический директор компании «3M» Россия Сергей Дмитрук.
Это когда руководитель компании своим собственным примером демонстрирует культуру безопасности во всем». Сергей Дмитрук рассказал об опыте компании в подборе для работников СИЗ органов дыхания. Так, каждому сотруднику 3М подбирают СИЗ индивидуально, примеряют на хорошее прилегание и только после того, как сотрудник будет уверен, что именно в этом респираторе или маске он чувствует себя хорошо и комфортно, он получает этот СИЗ. Мало, кто из российских компаний позволяет себе такой индивидуальный подход. Но в компании 3М уверены, что это и есть часть культуры безопасности, в основе которой забота о людях.
Также в компании стараются применить всевозможные наглядные инструменты, позволяющие увидеть уровень опасности. Так, к примеру, на рабочих местах установлены счетчики пыли, которые дают возможность работнику увидеть, в какой среде он работает, какой процент частиц может попасть в его легкие, если он не будет использовать СИЗ. И тогда человек готов менять свое поведение.
Хочешь уникальную работу?
- В России борются с несчастными случаями на производстве
- Культура безопасности в организации | блог Новая Эпоха Управления
- Новая книга Марка Розина «Восхождение по спирали»
- Культура кибербезопасности - стратегии для повышения уровня безопасности | вАЙТИ
- Вы точно человек?
- У руля безопасности
Как развивается культура безопасности на предприятиях: взгляд ГИТ и сотен специалистов по ОТ
А для того, чтобы нулевой травматизм стал нормой, необходимо не только дорабатывать инструкции, но и изменять менталитет персонала. Новые приоритеты — поиск не виновных, а коренных причин опасных производственных факторов и изменение отношения к охране труда. Обучение на базе Корпоративного университета «ЕвроСибЭнерго» проводит компания Abiroy Technical Training, специализирующаяся на международных сертифицированных технических программах и курсах по охране труда и технике безопасности для нефтегазовых и энергетических компаний Казахстана, России, Азербайджана и Узбекистана. Тренером выступает Асхат Ералиев, консультант в области культуры безопасности и лидерства, инструктор по охране труда и технике безопасности, обладатель международного диплома NEBOSH, а также один из тех, кто адаптировал проводимую им британскую программу обучения для российских специалистов. Об истории термина «Культура безопасности» говорит консультант NEBOSH Асхат ЕРАЛИЕВ: — Отправной точкой для развития культуры безопасности как отдельного направления стала Чернобыльская авария, во всем мире это событие считается «днем рождения» данного направления сферы охраны труда и техники безопасности. С тех пор делается очень много, чтобы влиять на умы работников вместо того, чтобы надзирать за ними. Сейчас такое направление деятельности, как культура безопасности, — номер один во всем мире: есть значительные методологические и технические наработки. И мировое сообщество понимает: важнее все-таки достучаться до умов и сделать так, чтобы люди осознанно соблюдали правила безопасности, это сейчас очень и очень важный инструмент дисциплины. Программа обучения состоит из двух модулей — теории в области изучения таких международно-признанных стандартов в области техники безопасности, как ISO 9000, OHSAS 18001, ILO-OSH 2001, а также ознакомления с конкретными опасными факторами производства; после прохождения этих двух модулей слушатели выполнят самостоятельную практическую работу и сдадут письменные экзамены на получение международного сертификата. Помимо получения теоретических знаний и практических навыков успешно сдавшие экзамены слушатели смогут претендовать на вступление в Общественный институт охраны труда и техники безопасности IOSH в качестве ассоциированного или технического члена, что дает доступ к большому количеству профильной информации и круглосуточной горячей линии по любым вопросам охраны труда. Это первый шаг в достижении статуса дипломированного члена CMIOSH , который показывает высшую ступень профессионального развития в области охраны труда и техники безопасности.
Показательно, что обучение технических директоров началось с инструктажа по технике безопасности: присутствующим подробно рассказали о путях эвакуации в случае пожара, пунктах сбора и местах получения первой медицинской помощи. Об обучении на международных курсах директор филиала ПАО «Иркутскэнерго» ТЭЦ-11 Лев ЛУКАНИН заключает следующее: — Безусловно, мероприятие полезно, потому что на обычное положение вещей и привычные темы из области охраны труда новый преподаватель дает немного другой взгляд и формирует другое отношение к охране труда. В первую очередь он подробно объясняет, почему на предприятии система культуры безопасности должна быть внедрена, должна постоянно развиваться и улучшаться. Второй важный момент состоит в том, что в любом происшествии больше виноват работодатель, а не работник. Нет неправильных работников. Значит, что-то кардинально не сделали, не обучили, не обеспечили, не проконтролировали, то есть подвели к ситуации, когда инцидент на предприятии произошел.
При этом нужно вводить не систему штрафов, а систему поощрений за культуру производства, возрождать традиции «соцсоревнований», конкурсы «лучший специалист» и т. И вкладывать средства в культуру производства, покупая и обеспечивая рабочих качественными спецодеждой, спецобувью, инструментом. Известно, что предприятия, которые ввели не систему штрафов как это принято во многих организациях , а систему поощрений, процветают, ибо это дает им преимущество на рынке труда, так как квалифицированные работники отдают предпочтения этим предприятиям не в последнюю очередь благодаря этой системе.
Есть такое понятие как саморегуляция социальных групп, и это не так заметно в коллективе служащих, но очень четко работает рабочем коллективе, особенно при соревновательной системе лучшая бригада по итогам квартала материально вознаграждается. Если человек попадет в сильную бригаду, имеющую костяк, он или дотянетесь до их уровня, или будет вынужден расстаться с этим коллективом. Это как «дворовая» команда, если Вы отличаетесь от ее уровня, Вас просто выдавят из этого двора. Поэтому нужно умело создать костяк, а это зависит от неформального и формального лидеров группы. Лучше, если их роли совпадают. Известно, что каждый руководитель выбирает для себя стратегию работы с персоналом. Я считаю, что искусство менеджера - это не категоричные решения, а разумное чередование кнута и пряника. Вот и получается, что в США есть хорошая продукция и низкий травматизм, а в России — есть высокий травматизм и нет хорошей продукции экспорт сырья и вооружений не в счет. Это печально.
Всем известно, что люди должны работать правильно, руководители должны руководить правильно, должны организовать безопасность. Людей надо учить, чтобы они умели безопасно работать и автоматически соблюдать правила. Но пока этого нет, есть желание жить по принципу «авось» пронесет. Вот почему, критерии организации культуры безопасности должны соответствовать современным идеям системного управления. Обязательно должны быть в организации люди, которые этим бы занимались профессионально. Среди высшего руководства должен быть человек, на которого можно было возложить обязанности организации соблюдения культуры безопасности. Надо учитывать, что безопасность производства состоит нескольких аспектов: защита собственности о кражи, от пожара, защита от аварий, защита качества продукции, защита окружающей среды, защита труда работников охрана труда и многие другие виды безопасности. Каждый руководитель должен знать, что он должен делать и что он отвечает, каждый рабочий также должен это знать. Часто не хватает правильно составленных инструкций, и по рабочему месту, и по профессии, и по должностным обязанностям.
К сожалению, только огромная эпоха капитализма, которую Россия ранее пропустила, может нас научить культуре безопасности. Если руководитель будет увольнять работников, которые не следуют правилам безопасности, нанося таким образом ущерб, культура безопасности начнет соблюдаться, но их нужно увольнять! Культура безопасности это часть корпоративной культуры. Корпоративная культура не может существовать без культуры безопасности. Общество сегодня заинтересовано в сохранении безопасности. Общество в лице государства сегодня заставляет работодателя следовать определенным критериям. Законы пишут, чтобы их выполняли. Культура безопасности изнутри никогда не вырастет сама по себе. Ее надо прививать.
Работодатель формирует ее под угрозой увольнения, либо другого наказания работника, а государство под угрозой штрафов и наказания работодателя и его должностных лиц. Что касается распространения культуры безопасности за рамки корпорации, то на западе есть интересное правило, связанное с транспортной безопасностью. Соблюдение транспортной безопасности сотрудниками при всех поездках на личном транспорте и на работе и дома корпорация поощряет, например, практику пристегивания ремнями. И это очень важно. Некоторые говорят, а зачем это делать, это личное дело каждого. Я уже дома, я не работе, что хочу, то и ворочу. Но это не так… Если что—то случится, погибнет гражданин, но для предприятии погибнет работник, специалист. В России было бы очень важно соблюдение такой безопасности, особенно для тех, кто часто в дороге.
Безопасное поведение должно быть основано на общих целях и ценностях, заботе о других членах команды. Кривая Брэдли. Эволюция культуры безопасности Проанализировав культуру безопасности в АО «ОДК», можно сказать, что на сегодняшний день Корпорация уже ушла от реактивного уровня, на котором управление безопасностью заключается только в обеспечении минимальных законодательных требований, и скорее, находится на зависимом уровне см. Однако нулевой уровень травматизма, при котором безопасность является задачей каждого работника, по-прежнему остается недостижим. Развитие культуры безопасности на уровне Корпорации началось в 2017 году с реорганизации подходов в области безопасности на производстве. Первым шагом стало издание первого базового стандарта СТО ОДК 055 «Порядок реализации информационно-профилактических мер по предупреждению производственного травматизма». Данный документ был разработан с целью установления единых требований к порядку оперативного информирования о происшествиях, форм отчетов, а также разработки планов корректирующих мероприятий. Целью любого расследования происшествия является предотвращение подобных происшествий в будущем путем выявления и исправления недостатков в системе управления безопасностью на производстве. Расследование должно показать, какие положения, правила, процедуры необходимо пересмотреть или изменить, какие методы управления безопасностью необходимо улучшить и какие опасные условия необходимо устранить или исправить. Для этого была представлена методика выявления корневых причин происшествий. Удобной формой для визуализации отчета была выбрана форма формата А3, которая позволяет проследить причинно-следственные связи несчастного случая и мероприятия по их устранению. Для оперативного информирования о несчастных случаях на производстве с тяжелым или смертельным исходом в АО «ОДК» была разработана форма информационного листка «Молния».
Группы успели проработать в течение одного тренинг-дня четыре сложных кейса, основу которых составляли реальные ситуации трудовых будней. В ходе совместного обсуждения из решений команд были выделены некоторые общие закономерности, которые войдут в дальнейшую работу по совершенствованию культуры безопасности в компании. Формула успеха По итогам совместной работы участники неожиданно для себя открыли формулу успеха для совершенствования культуры безопасности. То, что транслирует и реализует руководитель, влияет на убеждения работников компании, меняет поведение и воздействует на систему ценностей. Это способствует совершенствованию культуры безопасности и повышает ее показатели. Можно сказать, что кейс-клуб показал себя не только площадкой для получения новых знаний и обмена опытом. Это была возможность разобрать реальные и потенциальные проблемы, подсветить участникам зоны роста, наладить неформальное общение и создать профессиональное сообщество, в котором каждому небезразличен как личный прогресс, так и развитие своей команды и компании в целом. Анна Титиевская, начальник управления по работе с персоналом ООО «Газпром газификация» Инсайты Вот какими впечатлениями в пользу проведенного кейс-клуба поделились участники встречи. Цель — оптимизация и повышение качества бизнес-процессов для достижения стратегических целей организации». Планируем продолжить работу в этом направлении, а также вовлекать руководителей подрядных организаций, осуществляющих строительство объектов газификации».
Развитие культуры безопасности на промышленном предприятии
Один из наиболее ярких визуальных образов, демонстрирующих необходимость проактивного подхода, — пирамида происшествий Герберта Хенриха. В ее основании лежат опасные условия труда и опасные действия работников. Далее по уменьшению частоты встречаемости следуют предпосылки происшествий, за ними — травмы регистрируемые и тяжелые и смертельные случаи. Именно о таком распределении говорит статистика причин происшествий, анализируемая на протяжении многих лет. Проактивный подход к охране труда — это работа с основанием пирамиды, то есть профилактика и предупреждение опасных условий и действий. Только за счет их исключения мы сможем искоренить травматизм. Чтобы профилактика была эффективной, в организации должна существовать подходящая идейная основа, инфраструктура и методология. Идейной основой проактивного подхода к охране труда в Росатоме является международная концепция нулевого травматизма Vision Zero, к которой Госкорпорация присоединилась два года назад. В Росатоме уже ведется большая и эффективная работа по обеспечению безопасности.
Особенности культуры безопасности В исследовании АО ДРТ приняли участие руководители и специалисты служб охраны труда и промышленной безопасности ОТиПБ из различных отраслей промышленности, включая горнодобывающую, энергетическую, нефтегазовую, химическую отрасли, а также машиностроение, строительство и транспортный сектор. Сбор данных для исследования проводился методом телефонного опроса и онлайн-анкетирования осенью 2021 года. Общее количество участников исследования — 47 Респонденты выделили нижеследующие недостатки, присущие текущему уровню зрелости культуры безопасности в их компаниях. Количество респондентов, для которых актуальна заявленная проблема из 47 опрошенных : Выводы На основании ответов респондентов мы выделили следующие особенности, характеризующие текущий уровень зрелости культуры безопасности в российских компаниях производственного сектора. Безопасность не воспринимается как высшая ценность: респонденты отмечают, что достижение производственных показателей превалирует над соблюдением требований ОТиПБ. Эта тенденция также находит отражение в роли службы ОТиПБ — работники воспринимают ее скорее как «помеху в работе». Культура обвинения: респонденты отметили, что «культура обвинения», то есть ситуация, когда выяснение истинных причин проблем заменяется на поиск «виновного», все еще встречается в компаниях. Это отражается как на эффективности расследования происшествий — так как смещается акцент с выявления корневых причин происшествия для устранения их в будущем, — так и на качестве проведения проверок, подрывая доверие работников к проверяющим. Низкая вовлеченность персонала: среди участников исследования прослеживается проблема низкой вовлеченности персонала в формировании зрелой культуры безопасности. Согласно результатам опроса, работники не обращают внимания на небезопасное поведение своих коллег и недооценивают риск получения травмы на рабочем месте. Одна из российских производственных компаний пыталась внедрить инструмент повышения видимой приверженности руководителей среднего и низшего звена. Инструмент предполагал, что лидер должен обладать определенными качествами, например, готовностью предоставлять обратную связь или проявлять открытость. Чтобы подтвердить наличие этих качеств, руководителям предлагалось, к примеру, проводить поведенческие аудиты безопасности. Вместо ожидаемого повышения уровня лидерства руководители формально собирали подтверждение реализованных аудитов. К причинам неудачи внедрения инструмента можно отнести текущий уровень зрелости культуры безопасности в организации. Ориентированная в первую очередь на формальные процедуры, компания при разработке очередной инициативы сосредоточила внимание на отчетности, упустив суть изменения — развитие приверженности руководителей повышению уровня безопасности. Выводы Проанализировав практики, применяемые российскими компаниями для повышения текущего уровня зрелости культуры безопасности, мы выделили нижеследующие наиболее распространенные решения. Политики и процедуры Наиболее часто респонденты называли инициативы, направленные на соблюдение работниками требований в области ОТиПБ.
У них есть высокий уровень доступа и большая ответственность за итоговый результат. То, что они пишут, может увидеть весь мир — или хотя бы компании, которые покупают этот софт. Поэтому ошибки здесь очень критичны, а значит, именно с безопасной разработки начинается вся культура кибербезопасности. Чтобы развить культуру, сначала нужно обучить разработчиков писать безопасный код: рассказать, как нужно делать правильно, на что обращать внимание, показать, какие уязвимости существуют. Например, почему не нужно держать токены в коде и почему их нужно выносить куда-то в сторону — в идеале в систему специального хранения, чтобы даже на тесте они неожиданно не попали во внешние источники. Задача компании — объяснить разработчикам, почему это важно. И при этом построить систему контроля, которая будет говорить о том, что нужно исправить. Самое важное — воспринимать ее не как «надсмотрщика», а как помощника, который будет подсвечивать ошибки. Не нужно говорить программистам, как следует писать код, — они сами знают, как делать свою работу. Нужно только показать, что вот здесь уязвимость, вот тут небезопасный метод, а здесь небезопасная работа с данными. Или что ты забыл убрать то, чего тут быть не должно. Безопасная разработка — это, по сути, страховка для разработчиков и бизнеса. Мы внедряем средства, которые указывают на потенциальные проблемы, а затем, когда все замечания будут отработаны, передаем код на постобработку, в продакшен и так далее. При этом обычному программисту не обязательно знать всю специфику безопасной разработки, достаточно только понимать, какие типы уязвимостей существуют в его сфере и зоне ответственности. Этих уязвимостей много, но совершенно новые появляются не так часто. Поэтому нужно один раз разобраться во всех типах, чтобы было базовое понимание, а дальше будут тонкости, разбираться в которых разработчику совершенно не обязательно — этим уже займутся специалисты по кибербезопасности. Отдельно хочется еще упомянуть про работу со сторонними библиотеками. Сейчас очень популярна тема безопасности с внешними пакетами — теми, что разработчики используют в своей работе, чтобы не писать функционал с нуля. Ожидаемо, эти библиотеки не всегда безопасны. Когда компания выстраивает безопасную разработку, она зачастую делает безопасное хранилище, или репозиторий. Всё, что попадает в этот репозиторий, нужно тщательно проверять на уязвимости и убеждаться, что с пакетами всё в порядке. Для разработчиков это часто очень неудобно, потому что нужно ждать, пока закончится проверка. Но это важный элемент защиты. Крупные компании поступают следующим образом: дают разработчикам полную свободу действий в тестовой среде, а затем проверяют все нужные библиотеки перед выпуском в продакшен. Так программисты могут использовать вообще всё что угодно, потому что среда изолирована. Там нет настоящих данных клиентов, и оттуда нельзя попасть в полноценную внутреннюю сеть компании. Но когда нужно будет перейти в продуктовую среду, начнутся проверки на безопасность. На этом этапе разработчикам говорят: «Ты использовал эту библиотеку, теперь нам нужно время ее проверить». И если проверка пройдет успешно, то можно загружать обновления в продакшен. Так создается баланс между свободой и защитой. Как обучить сотрудников безопасно работать с данными Культура безопасности строится не только на технических специалистах, но и на всех остальных сотрудниках — бухгалтерах, менеджерах, охранниках. Поэтому обучать нужно каждого, или это всё будет бессмысленно. Но тут есть свои нюансы.
Исследование культуры безопасности состояло из проведения: интервью с руководителями всех уровней производственной вертикали; фокус-групповых исследований в общей сложности было проведено 5 фокус-групп, в котором приняло участие более 50 работников анкетирования, в котором приняли участие около 100 работников. Остановимся на показателях культуры безопасности с низким уровнем. По базовой составляющей «Система управления» отмечены следующие показатели с низким уровнем [3]: 1. Обмен опытом по актуальным вопросам культуры безопасности. В настоящий момент отмечается недостаток обмена опытом по вопросам эксплуатации оборудования и безопасного производства работ как внутри Общества между структурными подразделениями, так и за его пределами с другими предприятиями. Существует высокая потребность и полезность в семинарах, конференциях, рабочих встречах. Цитирую высказывания работников: «единственная эффективная практика — это спросить «по-быстрому у своих» как устранить или исправить проблему». Связь системы поощрений работников с безопасным поведением. В Обществе не прослеживается связь системы поощрения материальной и нематериальной с безопасным поведением работника, наряду с высоким уровнем системы наказаний. Для примера процитирую работников: руководители говорят: «отсутствие наказания и есть ваше поощрение», «не хочешь, не нравится — за забором другие стоят, они за тебя сделают». Наличие и доступность системы сообщений о проблемах безопасности. Работники отметили, что такой системы в Обществе нет, что готовы сообщать руководству о проблемах и ошибках. Но есть случаи, когда руководители игнорируют сообщения о проблемах безопасности, не транслируют работникам свои ожидания. Страх наказания и страх неизвестности, что это может быть воспринято негативно руководителями и последствия могут быть неадекватны, снижают качество и количество обращений. Цитирую работников: «есть программа — добиться меньше нарушений».