«Когда речь идёт о затратах на безопасность данных, правление видит не систему защиты, а статью расходов. Задача — перевернуть эту картину, показав, что compliance, это не просто защита от потерь, а инструмент для прямой экономии, роста выручки и увеличения фундаментальной стоимости всего бизнеса.»
Почему запугивание штрафами и «лучшими практиками» не работает
Правление ежедневно оценивает проекты через призму возврата на инвестиции. Аргументы о штрафах по 152-ФЗ или отзыве лицензии для них — фоновая угроза, которая уже заложена в операционные риски. Эта тема звучит часто, но не конвертируется в понятные цифры отчётности.
Аналогично не срабатывают абстрактные ссылки на стандарты или репутационные риски. Такие формулировки не оставляют следа в финансовых моделях, на основе которых принимаются решения. Язык «снижения рисков» и «обеспечения функционирования» воспринимается как обязательная, но не приносящая дохода административная нагрузка.
Три уровня аргументации: от прямых затрат до стоимости бизнеса
Убедительное обоснование требует выстроить пирамиду аргументов, где каждый следующий уровень говорит с правлением на более стратегическом языке.
Уровень 1: Прямая экономия и предотвращение потерь
Это основа для разговора: конкретные суммы, которые либо экономятся, либо не уходят из компании. Цифры должны быть привязаны к статьям бюджета.
- Расчёт стоимости инцидента вместо оценки рисков. Вместо абстрактного «риска утечки» покажите модель одного инцидента. Включите в расчёт: стоимость привлечённых экспертов для расследования, внутренние человеко-часы на исправление, штрафы регулятора, компенсации клиентам, обязательные проверки ФСТЭК после инцидента, потерю контрактов из-за утраты доверия. Сравните итоговую сумму с годовым бюджетом на средства защиты информации (СЗИ) и обучение — разрыв обычно кратный.
- Автоматизация как экономия фонда оплаты труда. Переведите ручные compliance-процессы в цифру. Например, автоматизация сбора согласий на обработку персональных данных или ведения реестра обработчиков ПДн. Посчитайте, сколько часов в месяц на это тратят сотрудники юридического департамента, кадровой службы и администраторы. Умножьте на среднюю стоимость часа работы, это прямая экономия, которую можно перенаправить на профильные задачи.
- Снижение стоимости страхования. Сертифицированная система защиты персональных данных (СЗПДн), это не просто документ для проверки. Для страховых компаний это показатель снижения риска, что может привести к уменьшению ежегодной премии по полису киберстрахования или страхования ответственности. Получается, что расходы на аттестацию частично компенсируются в статье страховых платежей.
Уровень 2: Инвестиции в рост и новые рынки
На этой ступени compliance перестаёт быть обороной и становится пропуском к новым возможностям для заработка.
- Допуск к прибыльным контрактам. Для участия в тендерах крупных государственных заказчиков или корпораций (особенно из регулируемых отраслей: финансы, топливо, энергетика) наличие выполненного 152-ФЗ и сертифицированной СЗПДн часто становится обязательным формальным критерием. Отсутствие этих решений автоматически закрывает доступ к целым сегментам рынка. Можно показать конкретный пример: «Без выполнения требований мы не сможем участвовать в тендерах компании N, где годовой объём закупок в нашей категории составляет X миллионов рублей».
- Ускорение due diligence для крупных сделок. При выходе на сотрудничество с серьёзным партнёром его служба безопасности почти наверняка запросит аудит ваших процессов защиты информации. Наличие готовой, задокументированной и работающей системы резко сокращает сроки проверки, снижает нагрузку на ваших специалистов и повышает вероятность успешного заключения договора. Это прямая экономия времени, которая ускоряет денежный поток.
- Легализация данных для новых продуктов. Грамотно выстроенная система учёта и обезличивания данных, это не только защита, но и актив. Она позволяет в рамках закона использовать агрегированные данные для аналитики, улучшения сервисов или создания новых продуктов. Например, телеком-оператор с надёжной системой может предлагать обезличенные данные о трафике для маркетинговых исследований.
Уровни 3: Фундаментальная устойчивость и капитализация
Высший пилотаж — связать расходы на информационную безопасность со стоимостью компании в глазах инвесторов или потенциальных покупателей.
- Защита ключевых активов. В современном бизнесе данные (клиентская база, аналитика, ноу-хау) — один из главных активов. Слабая система их защиты создаёт дисконт ко всей стоимости компании при оценке. Инвесторы всё чаще включают зрелость процессов ИБ в due diligence. Таким образом, вложения в compliance работают на повышение капитализации.
- Страховка репутации. В случае инцидента компания, которая может документально доказать регулятору и общественности, что предприняла все разумные меры предосторожности (имеет аттестаты, проводила обучение), сталкивается с менее жёсткими последствиями. Это защищает не только операционную деятельность, но и рыночную стоимость акций, если компания публична.
- Обеспечение операционной непрерывности. Требования регуляторов по резервному копированию, планам восстановления после сбоев и управлению инцидентами, это по сути каркас для обеспечения непрерывности бизнеса. Инвестиции в эти процессы минимизируют упущенную выгоду от простоев, что напрямую влияет на финансовые результаты.
Как оформить предложение для правления: отчёт, а не докладная
Форма подачи определяет восприятие сути. Документ должен выглядеть как бизнес-кейс.
- Итог в начале. Первый слайд презентации или страница отчёта — три ключевых финансовых тезиса. Например: «Внедрение системы X позволит: 1) снизить операционные расходы на 1.8 млн рублей ежегодно за счёт автоматизации, 2) открыть доступ к тендерам на сумму от 40 млн рублей, 3) сократить страховую премию на 12%».
- Перевод технических решений в бизнес-результаты.
- Вместо «внедрение SIEM» — «внедрение системы оперативного обнаружения аномалий, сокращающей среднее время реагирования на инцидент с 48 до 6 часов и потенциальные финансовые потери на 65%».
- Вместо «обучение по фишингу» — «снижение успешности фишинговых атак на сотрудников с 8% до 1.5%, что предотвращает потенциальные убытки от мошеннических операций».
- Сценарное моделирование «было — стало». Подготовьте два простых финансовых прогноза на ближайшие два года. Первый — сценарий «как есть»: рост ручных операционных затрат, риск единовременного крупного штрафа, потеря потенциальных контрактов. Второй — сценарий «с инвестициями»: экономия ФОТ, новые доходные контракты, снижение страховых взносов. Визуальное сравнение этих двух колонок работает лучше любых дискуссий.
- Привязка к утверждённым бизнес-целям. Узнайте ключевые цели компании на год (например, «выход на региональный рынок», «повышение маржинальности основных продуктов», «подготовка к привлечению инвестора»). Чётко продемонстрируйте, как предлагаемые compliance-меры напрямую способствуют достижению именно этих целей.
Если ответ всё равно отрицательный: тактика малых шагов
Отказ часто означает не отрицание ценности, а неготовность к крупным неочевидным расходам. В этом случае нужна смена тактики.
- Предложите пилот с быстрым ROI. Выберите один самый болезненный и измеримый ручной процесс. Например, автоматизацию составления и актуализации отчётов для регулятора. Реализуйте его за один квартал с минимальным бюджетом и зафиксируйте результат в сэкономленных человеко-часах. Успешный пилот станет лучшим аргументом для расширения финансирования.
- Распределите затраты по зонам ответственности. Используйте модель разделённой ответственности. Если централизованный бюджет недоступен, покажите, какую выгоду от внедрения получает каждый департамент, и предложите разделить финансирование. Например, расходы на защиту клиентских данных может частично взять на себя коммерческий блок, так как это защищает его выручку и отношения с клиентами.
- Задокументируйте принятый риск. Если решение об отказе от критически важных, по вашему профессиональному мнению, мер принято, оформите свою позицию в виде служебной записки. Чётко опишите идентифицированные риски, потенциальный ущерб и рекомендации. Это не угроза, а фиксация ответственности, которая часто заставляет пересмотреть поверхностное решение.
Итог не в том, чтобы пугать последствиями, а в том, чтобы проектировать устойчивость. Когда правление начинает видеть в руководителе направления информационной безопасности не контролёра, а архитектора бизнес-устойчивости, защищающего и приумножающего активы, язык общения меняется сам собой.