Меня пригласили в холдинг. Больше двадцати компаний: две строительные, пять по металлу и сталелитейке, дистрибуция, автосалоны, ещё несколько производств. Разбросаны по всем областям, одна в соседней республике.
Службы безопасности не было вообще. Ни внутреннего контроля, ни антифрода, ни ревизии. Всё держалось на доверии к людям и к команде.
Пока компания маленькая, это работает. Но холдинг вырос очень быстро, людей стало много, площадок стало много — и доверие к конкретному человеку перестало покрывать периметр. Не потому, что люди испортились. Просто их стало столько, что собственник физически перестал их видеть.
Сели строить СБ и поняли, что опереться не на что. Ни истории, ни накопленных данных, ни оперативного наблюдения. Ни одного источника, который сказал бы, что вообще происходит внутри коллектива. Только установка от владельца. Видеонаблюдение есть, но не централизовано — каждый объект сам по себе, холдинг как раз переехал в новый офис и только начал это сводить.
А бюджет, как всегда, сжат.
Почему нельзя было просто нанять людей
Поставить СБшника на каждую бизнес-единицу не вышло по двум причинам.
- Деньги и партнёры. Компании разные, партнёры в них разные, бюджеты разные. Объяснить каждому партнёру, почему он это оплачивает, — разговор на полгода.
- Люди. Двадцать нормальных СБшников быстро не собрать, их столько нет. Наберёшь за месяц двадцать человек — работать будут пятеро, остальные будут писать отчёты о выездах.
Что было нужно
Важно, как мы сформулировали саму задачу. Нам нужен был не приёмник жалоб — его люди обходят стороной: написать страшно, а результата никто ни разу не видел.
Нужно было другое ощущение. Что человек на складе или в цехе может повлиять на то, как устроена его же работа. Что он понемногу строит себе того работодателя, у которого сам хочет работать. И что наверху есть кому это прочитать — учредители доступны и умеют слушать. Из этого вышли конкретные требования.
Доступ у любого — у директора, у продажника, у кладовщика, у грузчика, у водителя. Нарушение первым видит не директор, а тот, кто грузит машину.
Настоящая анонимность. Не ящик на стене: человек к нему подходит, над ним висит камера, и завтра начальник смены знает, кто подходил.
Быстро. Не «внедряем платформу за год», а «работает через неделю».
И канал не должен пугать. Писать можно про что угодно: и про приписку в накладной, и про то, что мастер третий месяц ставит смены как ему удобно, и про то, что на объекте нет питьевой воды. Мелочь мы принимали сознательно: человек, который написал про воду и через неделю увидел воду, в следующий раз напишет про откат. А тот, кому на воду не ответили, не напишет уже ничего.
Под эти условия подходил ровно один инструмент — Telegram.
Он уже стоит у всех: около 25 млн пользователей в стране, порядка 76% интернет-аудитории (Wunder Digital, 2025). Ничего не надо устанавливать, регистрироваться, искать адрес сайта. Человек, который решился сообщить о нарушении, и так на нервах — любое лишнее действие работает против него. Плюс фотография накладной прямо с места. И VPS за 5–10 долларов в месяц вместо годовой подписки на платформу.
Как сделали
Бота писали вдвоём с сыном: он программную часть, я логику и формулировки. Два-три вечера после работы.
Старт → приветственный посыл → список предприятий → выбираешь своё → отправляешь что угодно, хоть текст, хоть фото, хоть голосовое. Уходит в службу безопасности без отправителя.
Две детали, которые важнее остального кода.
Сообщение надо копировать, а не пересылать. Пересланное показывает получателю имя автора. Одна строчка в коде решает, анонимный у вас канал или список фамилий. И дата без времени в шапке. В маленьком коллективе точное время — это полшага к человеку: «в 14:44 на смене было четверо».
QR-коды: где вешать и где не вешать
Эту часть я считаю важнее кода. Большие заметные коды с коротким понятным текстом, развешанные по площадкам. И два правила.
- Вешать там, где нет камер. Раздевалка, курилка, коридор у склада — места, где человек спокойно достанет телефон. Если QR висит под камерой, это тот же ящик на стене, только современнее. Мы прошли по объектам и смотрели, что попадает в обзор.
- И часть QR-кодов повесили снаружи, на улице, не на территории. Осознанно — чтобы могли написать поставщики, подрядчики, контрагенты. О том, что в закупках берут откат, наш кладовщик может и не знать. Зато знает поставщик, которого слили с тендера, потому что он не занёс. Он расскажет, если есть куда. Заходить ради этого на территорию он не будет.
Почему это не заменяется живыми СБшниками
Внедрение любых правил с элементами автоматизации техническими средствами должно сокращать человеческий фактор. Когда контроль замкнут на одного человека, весь поток идёт через него. Он решает, что передать наверх, а что «сам разберусь». Иногда из лучших побуждений — не хочет грузить руководство мелочью. Иногда потому, что сигнал касается того, с кем он завтра обедает. Иногда потому, что сигнал касается его самого.
Получается фильтр. Собственник видит не то, что происходит, а то, что прошло через призму одного человека.
Анонимный канал этим не болеет: доступ вы даёте кому решите. Учредителю, департаменту контроля, директору, двоим сразу или только СБшнику. Канал не привязан к одной паре рук — и ценен он именно этим, а не тем, что бесплатный.
Учредители, кстати, отреагировали живее, чем я ожидал. Я готовился объяснять, зачем это нужно, — объяснять почти не пришлось. Одна из учредителей сказала, что готова сама выделять время и читать каждое обращение. Не «пусть СБ отфильтрует и принесёт важное», а каждое. Собственник, который читает обращения сам, за месяц узнаёт о своей компании больше, чем из квартальных отчётов.
Потом я прочитал ISO 37002
Читал по работе, а к середине поймал себя на том, что читаю про то, что уже делал руками. Часть решений совпала до деталей. Часть мест оказалась слабой — не потому, что не работала, а потому, что стандарт заставляет смотреть на это как на систему.
Стандарт описывает четыре процесса: приём обращения, оценка, рассмотрение, завершение с ответом заявителю. Наш бот закрывал первый. Закрывал хорошо — в наших условиях лучше, чем дорогие платформы. Дальше пусто: ни категорий и сроков, ни реестра дел, ни ответа заявителю, ни маршрута для обращения о самой СБ, ни показателей.
Получается процентов пятнадцать-двадцать того, что считается рабочей практикой. Формулировка, к которой я пришёл: канал не равно система.
Проверяется одним вопросом: покажите реестр обращений за год и сроки их рассмотрения. Если ответ «они в чате у начальника СБ» — разговор окончен, и неважно, что написано в отчёте.
И отдельно — то, что я сразу ставил на первое место. Бот привязан к номеру телефона, на который зарегистрирован профиль. Если профиль сделан на личный номер сотрудника, то канал принадлежит сотруднику: он уволится — уйдёт бот, уйдёт архив обращений. А если уйдёт нехорошо, заберёт ещё и доступ к тому, что люди писали, рассчитывая на анонимность.
Значит, профиль только на корпоративный номер, сим-карта физически в компании и передаётся под роспись. И до запуска, а не после, пишутся правила: на какой номер привязан бот, где лежит сим-карта, у кого доступ и как он передаётся при увольнении, сколько профилей видят обращения, где и сколько они хранятся, срок обработки, порядок отчётности.
Помпезно объявить о запуске канала доверия — проще всего. Чтобы через год он всё ещё работал, нужны вот эти скучные шесть пунктов. И ровно здесь начинают быть нужны стандарты: стандарт как раз про то, чтобы канал не держался на честном слове одного человека и на сим-карте у него в кармане.
Что ещё заложил бы сразу: номер обращения и ответ заявителю (без ответа канал умирает не от взлома, а от тишины); шифрование обратного адреса; отдельный маршрут для обращений о руководстве и СБ; реестр дел в своей базе; сроки с напоминаниями; чистку метаданных вложений; предупреждение о голосовых; и один показатель, который важнее всех, — сколько пришло сообщений о давлении за прошлое обращение.
О чём надо сказать собственнику прямо
Telegram знает, кто отправил сообщение. Всегда. Служба безопасности не знает, если сообщения копируются. Но администратор сервера и тот, у кого токен бота, видят идентификатор каждого заявителя.
Отсюда единственная честная формулировка: мы обещаем человеку конфиденциальность, а не абсолютную анонимность. Обещание, которое нельзя выполнить, убивает канал в первый же раз, когда оно не выполнится. А оно не выполнится.
И отсюда же правило: токен и доступ к серверу держит не тот, кто разбирает обращения.
Бот за два вечера и пачка QR-кодов закрыли задачу, на которую не было ни бюджета, ни людей. Но это вход в систему, а не система. Дальше идёт то, что не пишется на Python.
И последнее, ради чего я это описал. Когда садишься за стандарт после пары десятков лет в поле, ценны не новые знания. Ценно то, что видишь свою же работу и понимаешь: вот это сделал правильно интуитивно, а вот здесь недоделал, потому что некому было подсказать. Опыт даёт решения. Стандарт учит собирать из решений систему.
Если делать одну вещь — проверьте, куда приходит обращение о человеке, который читает обращения.
А у вас есть анонимный канал обращений? Его сделали ради стандарта или как реальный инструмент?