Porozmawiajmy o trójkątach

Trójkąty pojawiają się w różnych obszarach życia, od matematyki po muzykę. W bezpieczeństwie też mamy swój trójkąt i wcale nie myślę o tym trzymanym w bagażniku. Gdy rozmawiamy o trójkątach w kontekście bezpieczeństwa, mówimy o trójkącie bezpieczeństwa Cresseya.

Donald Cressey był publikującym w drugiej połowie XX wieku kryminologiem. Koncepcja trójkąta nadużyć pojawia się w jego publikacji zatytułowanej „Other People’s Money”. Cressey stwierdził, że do wystąpienia nadużycia potrzebne są trzy elementy: presja, okazja i racjonalizacja. W książce nie znajdziemy formy graficznej tego problemu, trójkąt powstał później. Cressey w swojej publikacji opisał problem nadużyć, w których sprawcy wykorzystywali posiadane zaufanie. Analizował podstawy działania, motywację i przyjęty sposób tłumaczenia się w momencie, gdy sprawca został zatrzymany.

Zacznijmy od presji. Wg Cresseya, podstawą działania sprawcy jest presja finansowa. Co więcej, osoba będąca pod wpływem presji, ma przeświadczenie, że nie uzyska pomocy w sytuacji, w której się znalazła. Jedną z definicji presji finansowej przedstawił Steve Albrechta: „bezpośrednie problemy, jakich doświadczają jednostki w swoim środowisku, z których najbardziej przytłaczające są wysokie długi osobiste lub straty finansowe”. Z punktu widzenia bezpieczeństwa, istotnym jest, w jaki sposób przeciwdziałać nadużyciom mając świadomość istnienia presji.

Podstawą jest stworzenie warunków zapobiegających powstaniu presji finansowej, poprzez adekwatne wynagrodzenie pracownika. Wyższy poziom dostępu do aktywów, czyli środków finansowych, mienia i informacji, powinien być adekwatnie wynagradzany. Istnienie funduszu pomocowego może stanowić dodatkowe zabezpieczenie. Pracownik w trudnej sytuacji finansowej, wiedząc, że może liczyć na wsparcie firmy, będzie mniej skłonny do podejmowania nielegalnych działań. Presja może wynikać nie tylko z kłopotów finansowych, a może być związana z naciskiem środowiska do wyższego standardu życia. Bazując na tej podstawie, nagłe zmiany poziomu życia pracownika są sygnałem do podjęcia chociażby powierzchownego badania, czy procesy są realizowane prawidłowo.

Oczywiście największe „pole do popisu”, działy bezpieczeństwa mają w ograniczaniu drugiego elementu trójkąta: okazji do popełnienia przestępstwa. Nie bez przyczyny, mówi się, że „okazja czyni złodzieja„. Do ograniczenia „okazji” służą mechanizmy kontroli wewnętrznej, obecnie często już zautomatyzowane. Ich liczba jest na tyle duża, że nie porzucę pomysł opisywania ich w tym momencie, poza jedną kluczową i najważniejszą: SoD (Segregation of Duties), czyli podział obowiązków. Jest jednym z najprostszych i najskuteczniejszych mechanizmów kontroli. Procesy kluczowe nie powinny być pozostawione jednej osobie, w szczególności, gdy mamy do czynienia ze środkami finansowymi. Mikro i mali przedsiębiorcy dość często powierzają proces fakturowania i płatności jednej osobie. Jak może skończyć się brak jakiejkolwiek kontroli w tym zakresie, pokazują pojawiające się raz na jakiś czas wiadomości o księgowej, która wyprowadziła z firmy X miliony złotych. Zazwyczaj proceder nie jest skomplikowany. Przykładowo, przelewy zamiast na konto kontrahenta, przekazywane są na konto pracownika. Co nie oznacza, że nie istnieją procedery bardziej skomplikowane i cięższe do wykrycia. Jak pokazuje historia, również CBA może paść ofiarą nadmiernego zaufania:

„Jak to możliwe, że przez tak długi okres nikt nie zauważył, że z CBA znikają pieniądze? Katarzyna G. twierdzi, że sporządzała protokoły, które były podpisywane przez nią, dyrektora Biura Finansów Daniela A. i jeszcze trzecią osobę wyznaczoną przez naczelnika lub dyrektora. Ale nikt oprócz niej tak naprawdę nie sprawdzał faktycznego stanu środków.¹”

Ostatnim elementem trójkąta jest racjonalizacja. Tutaj wpływ pracodawcy jest o wiele mniejszy, co nie znaczy, że nic nie można zrobić. Istotnym jest, że sprawca nie racjonalizuje swych działań po fakcie,
a przed. Usprawiedliwienie ma miejsce przed podjęciem ostatecznej decyzji. Dobór pracownika, ale także wysoki standard zasad w firmie, atmosfera pracy, menadżerowie reprezentujący wysoki poziom zarządzania, te wszystkie elementy utrudniają ewentualną racjonalizację własnych działań zmierzających do popełnienia nadużycia.

Wyobraźmy sobie pracownika z problemami finansowymi, który samodzielnie realizuje zamówienia towarów i usług w firmie, a później odbiera towar lub usługę od dostawcy (oby jeszcze nie rozliczał faktur….). Dwa elementy „trójkąta” mamy spełnione, walczymy jedynie o trzeci element. O wiele łatwiej, będzie sprawcy wytłumaczyć się przed swoim sumieniem, jeśli będzie działał w firmie nie liczącej się z klientami, nadużywającej swojej pozycji, gdzie zasady etyki zawodowej leżą głęboko w szafie, przykryte warstwą kurzu. Odwrotna sytuacja, będzie w firmie rodzinnej, wspierającej lokalną społeczność, gdzie pracownicy traktowani będą z szacunkiem i ewentualny sprawca będzie czuł bliski związek w firmą. Dlatego dbając o ograniczenie okazji skutecznymi mechanizmami kontroli, pamiętajmy o ograniczeniu możliwości wystąpienia presji i racjonalizacji.