Спросите у основателя финтех-компании, что не даёт ему спать по ночам, и ответы не выйдут далеко за рамки привычного списка: регулирование, мошенничество, финансирование, отток клиентов. Почти никто не упомянет ноутбук, который так и не вернулся от последнего ушедшего сотрудника. И всё же это забытое устройство — лежащее в ящике стола или в домашнем офисе — может незаметно превратиться в одну из самых дорогих проблем финансовой компании.

Финтех держится на доверии. Клиенты передают банковские реквизиты, документы, удостоверяющие личность, и историю транзакций, потому что верят, что компания их защитит. Это обещание не ограничивается облаком. Оно распространяется на каждый телефон, ноутбук, ключ безопасности и монитор, которые соприкасаются с чувствительными системами. Если компания не может точно сказать, где находятся эти устройства и у кого они, она даёт обещание, которое не в состоянии выполнить.

Скрытый хаос растущей финтех-команды

В стартапе из десяти человек обычно знают, где что находится. Технический директор помнит, кому выдали какой MacBook, а офис-менеджер ведёт где-то таблицу. Это работает — до поры до времени.

Затем компания начинает быстро нанимать сотрудников. Приходят подрядчики. Половина команды уходит на удалёнку, в другом городе открывается второй офис. Внезапно в компании 80 человек и несколько сотен устройств: ноутбуки, тестовые телефоны, аппаратные кошельки, кардридеры, док-станции, гарнитуры. К исходу второй недели таблица уже устарела, и никто не хочет быть тем, кто в этом признается.

Это то, что можно назвать «расползанием оборудования». Оно не приходит с грохотом. Оно нарастает медленно — то пропавший зарядник, то невозвращённый телефон — пока аудит или инцидент безопасности не заставит всех взглянуть на этот беспорядок.

Почему в финансах это важнее, чем где-либо ещё

В большинстве отраслей потерянный ноутбук — досадная статья расходов. В финтехе это может стать событием, о котором нужно официально отчитываться.

Регуляторы и аудиторы ожи от финансовых компаний демонстрации контроля над системами и устройствами, обрабатывающими клиентские данные. Такие стандарты, как SOC 2 и ISO 27001, а также множество местных финансовых норм, задают вариации одного и того же вопроса: вы знаете, чем владеете, и можете это доказать?

Несколько типичных ситуаций делают это болезненно конкретным:

• Сотрудник увольняется в короткий срок. Доступ отзывают, но устройство остаётся у него неделями. Данные с него стёрли? Кто-нибудь уверен в этом?
• Устройство пропадает. Без чётких записей невозможно установить, хранились ли на нём клиентские данные, было ли оно зашифровано и кто пользовался им последним.
• Аудитор запрашивает инвентаризацию. Если сбор ответа занимает три дня и четырёх человек, это уже само по себе говорит аудитору о многом.
• Заканчивается контракт с подрядчиком. Заимствованное оборудование, как правило, тихо исчезает в неизвестном направлении.

Ничего экзотического в этих сценариях нет. Они случаются в хорошо управляемых компаниях каждый месяц. Разница лишь в том, может ли команда ответить фактами или догадками.

Реальная цена фразы «кажется, он у Сары»

Расплывчатое ощущение, что учёт активов — это «приятное дополнение», заслуживает честных цифр.

Возьмём финтех среднего размера со 120 сотрудниками. Предположим, средний ноутбук стоит около $1,500, а компания теряет или не может вернуть всего пять устройств в год. Это $7,500 только на железе — и это самая малая часть счёта.

Добавьте часы: кто-то из IT или операционного отдела тратит время на поиски устройств, переписку с бывшими сотрудниками по почте и восстановление записей после каждой аудиторской тревоги. Добавьте время на закупку и настройку каждой новой машины. Добавьте рисковую премию за неизвестность: было ли на потерянном устройстве что-то чувствительное.

Есть и менее ощутимая цена: постоянный фоновый стресс у ответственных людей. Операционный менеджер, которому приходится говорить «я не уверен» перед руководством или регулятором, быстро теряет доверие — даже если это не его вина.

Как выглядит хороший учёт активов на самом деле

Для решения этой проблемы не нужен корпоративный монстр. Хорошее управление активами сводится к нескольким простым принципам:

• Единый источник правды. Каждое устройство живёт в одной записи, а не разбросано по таблицам, чатам и чьей-то памяти. Когда возникает вопрос, есть одно место, куда можно заглянуть.
• Ясная ответственность. Каждый актив закреплён за конкретным человеком — не за «дизайн-командой», а за именем. Когда что-то идёт не так, никто не тратит время на поиски того, у кого спросить.
• Видимый жизненный цикл. Устройства покупаются, выдаются, передаются, ремонтируются и в итоге списываются. Отслеживание всего этого пути не даёт железу проваливаться в щели между этапами.
• Быстрый онбординг и оффбординг. Новые сотрудники получают нужное оборудование в первый же день. Уходящие сдают его по определённому процессу, и запись обновляется в тот же момент.
• Отчётность, которой можно доверять. Когда руководству или аудитору нужны цифры, они выгружаются за минуты, а не собираются вручную.

Инструменты, созданные специально для этой задачи, значительно упрощают соблюдение этих привычек. Платы вроде Bluetally спроектированы именно вокруг этой проблемы: они дают IT- и операционным командам чёткую картину того, чем владеет компания, у кого что находится и где оно есть. Для финтех-команды, у которой и без того сотня других приоритетов, такая ясность устраняет целую категорию ежедневных сложностей.

Удалённая работа усугубила проблему, а не упростила её

Пять лет назад большинство устройств находилось в офисе. Если что-то пропадало, можно было хотя бы пройтись и посмотреть. Для большинства финансовых компаний это уже не так.

Сегодня разработчик может работать из другой страны, агент поддержки — из гостиной, а комплаенс-аналитик — из коворкинга. Оборудование отправляется на домашние адреса, а его возврат зависит от курьера и хорошей памяти.

Этот сдвиг делает полноценную систему учёта практически обязательной. Когда оборудование разбросано по городам, таблица не скажет вам, что отправлено, что доставлено и что всё ещё где-то гуляет. Нужна запись, которая обновляется по мере перемещения устройств, — и доступная всей операционной команде.

Безопасность и управление активами — один и тот же разговор

Соблазнительно считать учёт активов сугубо административной задачей, а безопасность — отдельным, более серьёзным делом. На практике они постоянно пересекаются.

Невозможно защитить устройство, о существовании которого никто не знает. Инструменты защиты конечных точек, политики шифрования дисков и контроль доступа — всё это опирается на точный список устройств. Если инвентаризация неверна, в покрытии безопасности есть дыры — и компания не знает, где именно.

Хорошие записи также ускоряют реагирование на инциденты. Когда сообщается о краже устройства, первые вопросы всегда одни и те же: чьё оно было, что на нём находилось, когда его в последний раз проверяли? Если ответы собраны в одной чистой записи, команда может действовать в течение минут. Если они разбросаны, теряются часы, которых может и не быть.

Простой стартовый план для компактных команд

Если ваш текущий процесс — это «таблица и надежда», паниковать не нужно. Улучшения возможны постепенно, без масштабного проекта:

1. Проведите физическую инвентаризацию. Попросите каждого сотрудника подтвердить, какие устройства у него есть. Утомительно, но открывает глаза — и даёт реальную отправную точку.
2. Определите, что считается активом. Ноутбуки и телефоны — безусловно. Мониторы, ключи безопасности и аппаратные кошельки — вероятно, тоже. Установите разумный порог и придерживайтесь его.
3. Закрепите каждый предмет за человеком. Никаких «осиротевших» устройств.
4. Перенесите данные в полноценную систему. Когда база есть, поместите её туда, где для этого созданы условия, чтобы записи оставались актуальными.
5. Свяжите с HR-событиями. Пусть найм, смена роли и увольнения автоматически запускают проверку активов, а не остаются поводом для неё постфактум.
6. Проверяйте ежеквартально. Короткая регулярнаяка не даёт расхождением накапливаться снова.

Ничего из этого не блещет — в этом и суть. Компании, которые хорошо справляются с комплаенсом и безопасностью, редко делают что-то хитроумное. Они просто последовательны в основах.

В чём основатели часто ошибаются

Несколько ошибок повторяются снова и снова.

Первая — ожидание кризиса. Команды, как правило, наводят порядок в учёте активов только после аудиторского замечания или пропавшего устройства, когда это становится срочным. К этому моменту они устраняют последствия под давлением, что медленнее и дороже, чем спокойная работа заранее.

Вторая — восприятие проблемы как личной вотчины IT. В финтехе записи об активах касаются финансов (амортизация и бюджетирование), HR (онбординг и оффбординг), безопасности и комплаенса. Когда владеет записями только одна команда, остальные обходят её стороной.

Третья — чрезмерное усложнение. Некоторые команды строят замысловатые процессы, которых никто не придерживается. Простая система, которой люди действительно пользуются, лучше идеальной, которую игнорируют.

Более широкая картина

Финтех соревнуется в скорости, но выживает за счёт репутации. Клиенты, партнёры и регуляторы хотят верить, что в компании порядок — и часть этого порядка физическая. Устройства, которыми сотрудники пользуются каждый день, — это входная дверь в самые чувствительные системы.

Знать, где они находятся, — работа не из захватывающих. Она не попадёт в заголовки и не впечатлит инвесторов на demo day. Но она незаметно поддерживает всё то, что делает: чистые аудиты, более быстрое реагирование на инциденты, снижение затрат и команду, которая не мечется каждый раз, когда кто-то увольняется.

Если ваша компания выросла до масштабов, при которых один человек уже не может удержать всю инвентаризацию в голове, сейчас самое время это исправить. Начните с малого, наведите порядок в записях и выработайте привычку до того, как следующий аудит — или следующий пропавший ноутбук — определит сроки за вас.

Источник: FinTechZoom