Zapytaj założyciela firmy fintech, co nie daje mu spać po nocach, a odpowiedzi rzadko odbiegają od znajomej listy: regulacje, oszustwa, finansowanie, rotacja klientów. Prawie nikt nie wspomni o laptopie, który nigdy nie wrócił od ostatniego odchodzącego pracownika. Tymczasem ten zapomniany sprzęt — leżący w szufladzie lub domowym biurze — może po cichu przerodzić się w jeden z najdroższych problemów, przed którymi stoi firma finansowa.

Fintech opiera się na zaufaniu. Klienci przekazują dane bankowe, dokumenty tożsamości i historie transakcji, ponieważ wierzą, że firma ich ochroni. Ta obietnica nie kończy się na chmurze. Obejmuje każdy telefon, laptop, klucz bezpieczeństwa i monitor, który ma styczność z wrażliwymi systemami. Jeśli firma nie potrafi dokładnie powiedzieć, gdzie znajdują się te urządzenia i kto je posiada, składa obietnicę, której nie może w pełni dotrzymać.

Ukryty rozrost rosnącego zespołu fintechowego

Startup dziesięcioosobowy zwykle wie, gdzie wszystko jest. Dyrektor techniczny pamięta, kto otrzymał który MacBook, a kierownik biura prowadzi gdzieś arkusz kalkulacyjny. Taki układ działa — dopóki nie przestanie.

Potem firma szybko się zatrudnia. Dołączają kontraktorzy. Połowa zespołu przechodzi na pracę zdalną, a w innym mieście otwiera się drugie biuro. Nagle jest 80 osób i kilkaset urządzeń: laptopy, telefony testowe, portfele sprzętowe, czytniki kart, stacje dokujące, zestawy słuchawkowe. Arkusz kalkulacyjny jest nieaktualny już w drugim tygodniu, a nikt nie chce być osobą, która się do tego przyzna.

To właśnie można nazwać rozprzestrzeniem się sprzętu. Nie przychodzi z hukiem. Narasta powoli — tu brakująca ładowarka, tam niezwrócony telefon — aż audyt lub incydent bezpieczeństwa zmusi wszystkich do zmierzenia się z bałaganem.

Dlaczego w finansach ma to większe znaczenie niż gdzie indziej

W większości branż zgubiony laptop to uciążliwy koszt. W fintechu może to być zdarzenie podlegające zgłoszeniu.

Regulatorzy i audytorzy oczekują, że firmy finansowe wykażą kontrolę nad systemami i urządzeniami przetwarzającymi dane klientów. Ramy takie jak SOC 2 i ISO 27001, a także wiele lokalnych regulacji finansowych, zadają wersje tego samego pytania: czy wiesz, co posiadasz, i czy potrafisz to udowodnić?

Kilka codziennych sytuacji czyni to boleśnie konkretnym:

• Pracownik odchodzi z dnia na dzień. Dostęp zostaje cofnięty, ale urządzenie pozostaje u niego przez tygodnie. Czy zostało wyczyszczone? Czy ktokolwiek ma pewność?
• Urządzenie znika. Bez jasnych zapisów firma nie może ustalić, czy zawierało dane klientów, czy było szyfrowane ani kto ostatni z niego korzystał.
• Audytor żąda inwentaryzacji. Jeśli zebranie odpowiedzi zajmuje trzy dni i cztery osoby, to już samo w sobie coś audytorowi mówi.
• Kończy się współpraca z kontraktorem. Pożyczony sprzęt zwykle cicho znika w świecie.

Żaden z tych scenariuszy nie jest egzotyczny. Zdarzają się co miesiąc w dobrze zarządzanych firmach. Różnica polega na tym, czy zespół potrafi odpowiedzieć faktami, czy domysłami.

Prawdziwy koszt myślenia „chyba ma je Sarah”

Mgliste poczucie, że śledzenie zasobów to „miły dodatek”, zasługuje na uczciwe liczby.

Weźmy średniej wielkości fintech zatrudniający 120 pracowników. Załóżmy, że średni laptop kosztuje około 1 500 dolarów, a firma gubi lub nie odzyskuje zaledwie pięć urządzeń rocznie. To 7 500 dolarów na samym sprzęcie — i to najmniejsza część rachunku.

Dodajmy godziny: ktoś w IT lub operacjach spędza czas na szukaniu urządzeń, dopisywaniu się byłych pracowników mailem i odbudowywaniu zapisów po każdej prywatce audytowej. Dodajmy czas wymiany i konfiguracji każdego nowego sprzętu. Dodajmy premię za ryzyko niepewności, czy zgubione urządzenie zawierało coś wrażliwego.

Jest też koszt miękki: ciągły, niskopoziomowy stres osób odpowiedzialnych. Kierownik operacyjny, który musi powied „nie jestem pewien” wobec zarządu lub regulatora, szybko traci wiarygodność — nawet gdy nie jest to jego wina.

Jak naprawdę wygląda dobre śledzenie zasobów

Naprawa tego nie wymaga korporacyjnego monstrum. Dobre zarządzanie zasobami sprowadza się do kilku prostych zasad:

• Jedno źródło prawdy. Każde urządzenie istnieje w jednym zapisie, a nie rozproszone między arkuszami, wiadomościami na czacie i czyjąś pamięcią. Gdy pojawia się pytanie, jest jedno miejsce, gdzie szukać.
• Jasna własność. Każdy zasób jest przypisany konkretnej osobie — nie „zespołowi projektowemu”, lecz nazwisku. Gdy coś idzie nie tak, nikt nie traci czasu na ustalanie, kogo zapytać.
• Widoczny cykl życia. Urządzenia są kupowane, przypisywane, przekazywane, naprawiane i ostatecznie wycofywane. Śledzenie całej tej podróży chroni sprzęt przed wpadnięciem w szczeliny między etapami.
• Szybki onboarding i offboarding. Nowi pracownicy otrzymują właściwy sprzęt pierwszego dnia. Odchodzący oddają go zgodnie ze zdefiniowanym procesem, a zapis aktualizuje się w tej samej chwili.
• Raportowanie, któremu można ufać. Gdy zarząd lub audytor chce liczb, pobiera się je w minuty, a nie składa ręcznie.

Narzędzia stworzone do tego zadania znacznie ułatwiają utrzymanie tych nawyków. Platformy takie jak Bluetally są zaprojektowane dokładnie wokół tego problemu: dają zespołom IT i operacyjnym jasny obraz tego, co firma posiada, kto to ma i gdzie to jest. Dla zespołu fintechowego, który already ma na głowie sto innych priorytetów, taka przejrzystość eliminuje całą kategorię codziennych tarć.

Praca zdalna pogorszyła problem, a nie go ułatwiła

Pięć lat temu większość urządzeń mieszkała w biurze. Jeśli coś znikało, można było przynajmniej przejść się i poszukać. Dla większości firm finansowych to już nieprawda.

Dziś deweloper może pracować z innego kraju, agent wsparcia z sypialni gościnnej, a analityk compliance z przestrzeni coworkingowej. Sprzęt wysyła się na adresy domowe, a zwroty zależą od kuriera i dobrej pamięci.

Ta zmiana czyni odpowiedni system śledzenia niemal obowiązkowym. Gdy sprzęt jest rozproszony po miastach, arkusz kalkulacyjny nie powie, co wysłano, co dotarło i co wciąż jest w obiegu. Potrzebny jest zapis, który aktualizuje się wraz z przemieszczaniem rzeczy — i który cały zespół operacyjny może widzieć.

Bezpieczeństwo i zarządzanie zasobami to ta sama rozmowa

Kuszące jest traktowanie śledzenia zasobów jako czysto administracyjnego zajęcia, a bezpieczeństwa jako osobnej poważniejszej sprawy. W praktyce nieustannie się one nakładają.

Nie można chronić urządzenia, o którego istnieniu nikt nie wie. Narzędzia bezpieczeństwa punktów końcowych, polityki szyfrowania dysków i kontrola dostępu wszystkie zależą od dokładnej listy urządzeń, do których można je zastosować. Jeśli inwentarz jest błędny, pokrycie bezpieczeństwa ma dziury — a firma nie wie, gdzie się one znajdują.

Dobre zapisy przyspieszają też reakcję na incydenty. Gdy urządzenie zostaje zgłoszone jako skradzione, pierwsze pytania są zawsze takie same: czyje było, co było na nim, kiedy ostatnio sprawdzano? Jeśli odpowiedzi są w jednym czystym zapisie, zespół może działać w ciągu minut. Jeśli są rozproszone, traci się godziny, których może nie da się odzyskać.

Prosty plan startowy dla szczupłych zespołów

Jeśli obecny proces sprowadza się do „arkusza i nadziei”, nie ma powodu do paniki. Poprawę można wprowadzać stopniowo, bez wielkiego projektu:

1. Wykonaj fizyczną inwentaryzację. Poproś każdego pracownika o potwierdzenie posiadanych urządzeń. Żmudne, ale otwierające oczy — daje prawdziwy punkt wyjścia.
2. Ustal, co liczy się jako zasób. Laptopy i telefony — z pewnością. Monitory, klucze bezpieczeństwa i portfele sprzętowe — prawdopodobnie też. Ustaw rozsądny próg i się go trzymaj.
3. Przypisz każdy przedmiot osobie. Żadnych osieroconych urządzeń.
4. Przenieś się do właściwego systemu. Gdy punkt odniesienia istnieje, umieść go w miejscu stworzonym do tego zadania, by pozostał aktualny.
5. Powiąż to ze zdarzeniami HR. Spraw, by zatrudnienie, zmiany roli i odejścia automatycznie uruchamiały kontrolę zasobów, zamiast traktować to po fakcie.
6. Przeglądaj kwartalnie. Krótka, regularna kontrola zapobiega ponownemu nawarstwianiu się rozbieżności.

Nic z tego nie jest efektowne — o to chodzi. Firmy, które dobrze radzą sobie z compliance i bezpieczeństwem, rzadko robią coś sprytnego. Po prostu są konsekwentne w podstawach.

W czym założyciele często się mylą

Kilka błędów powtarza się w kółko.

Pierwszy to czekanie na kryzys. Zespoły zwykle naprawiają śledzenie zasobów dopiero wtedy, gdy odkrycie audytowe lub zgubione urządzenie zrobią z tego pilną sprawę. Wtedy sprzątają pod presją, co jest wolniejsze i droższe niż spokojne działanie.

Drugi to traktowanie problemu jako prywatnego ciężaru IT. W fintechu zapisy zasobów dotykają finansów (amortyzacja i budżetowanie), HR (onboarding i offboarding), bezpieczeństwa i compliance. Gdy tylko jeden zespół jest ich właścicielem, pozostałe omijają je.\nTrzeci to nadmierne inżynierstwo. Niektóre zespoły budują-elaborowane procesy, których nikt nie przestrzega. Prosty system, którego ludzie faktycznie używają, bije doskonały, który jest ignorowany.

Szerszy obraz

Fintech konkuruje szybkością, ale przetrwa dzięki wiarygodności. Klienci, partnerzy i regulatorzy wszyscy chcą wierzyć, że porządek w firmie jest zachowany — a część tego porządku jest fizyczna. Urządzenia, których pracownicy używają codziennie, są frontowymi drzwiami do najbardziej wrażliwych systemów.

Wiedza o tym, gdzie się znajdują, nie jest ekscytującą pracą. Nie zrobi tytułu ani nie zachwyci inwestorów na demo day. Ale po cichu podpiera wszystko, co tak: czyste audyty, szybszą reakcję na incydenty, niższe koszty i zespół, który nie działa w panice za każdym razem, gdy ktoś składa wypowiedzenie.

Dla firmy, która urosła już poza punkt, w którym jedna osoba może pomieścić w głowie cały inwentarz, teraz jest dobry moment, by działać. Zacznijcie od małych kroków, uporządkujcie zapisy i zbudujcie nawyk, zanim następny audyt — albo następny zgubiony laptop — zdecyduje o terminie za was.

Źródło: FinTechZoom