Procedury bezpieczeństwa w firmie – czym są, co powinny obejmować i jak je wdrożyć?

Najważniejsze informacje;

• Procedury bezpieczeństwa określają sposób działania w konkretnych sytuacjach, np. przy naruszeniu dostępu, awarii zabezpieczenia czy konieczności ewakuacji.
• Powinny jasno wskazywać kto reaguje, co robi, komu przekazuje informację i kto podejmuje decyzję o dalszych działaniach.
• Ich zakres trzeba dopasować do konkretnego obiektu, organizacji pracy i realnych zagrożeń.
• Procedury warto nie tylko opracować, ale też przekazać właściwym osobom, testować i aktualizować, gdy zmieniają się warunki działania firmy.

Z tego artykułu dowiesz się:

• czym są procedury bezpieczeństwa w firmie,
• jakie elementy powinny zawierać,
• dla jakich zdarzeń warto opracować osobne scenariusze reagowania,
• jak dopasować procedury do konkretnego obiektu,
• jak ustalić role, odpowiedzialności i sposób przekazywania informacji,
• jak powiązać procedury z systemami bezpieczeństwa,
• jak wdrożyć i testować ustalone zasady,
• kiedy przeglądać i aktualizować procedury.

Czym są procedury bezpieczeństwa w firmie?

Procedura bezpieczeństwa opisuje ustalony sposób działania w określonej sytuacji. Jej zadaniem jest uporządkowanie reakcji tak, aby osoby zaangażowane wiedziały, co powinny zrobić, komu przekazać informację i kto odpowiada za dalsze decyzje.

Procedura powinna pozwalać odpowiedzieć na pytania:

• co zrobić,
• kto odpowiada za dane działanie,
• kto podejmuje decyzję,
• komu przekazywana jest informacja,
• kiedy sprawę należy przekazać osobie o większych uprawnieniach lub uruchomić kolejny etap reakcji.

Przykładowo pracownik może odpowiadać za zgłoszenie zdarzenia, recepcja za przekazanie informacji właściwej osobie, a kierownik lub osoba odpowiedzialna za obiekt za decyzję o dalszych działaniach. Zakres odpowiedzialności zależy jednak od organizacji konkretnej firmy i obiektu.

W tym artykule procedury bezpieczeństwa rozumiemy przede wszystkim jako zasady organizacyjne związane z ochroną ludzi, mienia i obiektu oraz reagowaniem na incydenty. Nie chodzi więc o jeden uniwersalny dokument, który można zastosować bez zmian w każdej firmie.

Procedura to nie tylko dokument

Samo spisanie zasad nie przesądza jeszcze o tym, czy będą użyteczne w praktyce. Procedura powinna odpowiadać rzeczywistemu sposobowi działania organizacji i być zrozumiała dla osób, które mają z niej korzystać.

Pracownik powinien wiedzieć, jak rozpocząć reakcję i komu przekazać informację. Recepcja może mieć własne zadania związane z obsługą wejść lub powiadamianiem. Ochrona i osoby funkcyjne mogą odpowiadać za kolejne etapy działania. Nie każdy musi przy tym znać całą dokumentację w takim samym zakresie.

Dlaczego procedury trzeba dopasować do konkretnego obiektu?

Gotowy wzór może pomóc uporządkować pracę nad dokumentacją, ale nie uwzględni wszystkich cech konkretnego miejsca.

• Na terenach magazynowych kluczowe są zasady ruchu kierowców, dostawców i pracowników pomiędzy strefami.
• W biurowcu większe znaczenie ma obsługa gości, praca recepcji i organizacja wejść.
• W zakładzie produkcyjnym trzeba uwzględnić m.in. organizację zmian, dostęp do określonych obszarów oraz współpracę personelu, administracji i ochrony.

Dlatego przeanalizuj sposób użytkowania obiektu, strukturę organizacyjną, strefy dostępu, ruch osób, stosowane zabezpieczenia i zdarzenia, które realnie mogą wymagać reakcji. Na tej podstawie łatwiej określić, jakie procedury są potrzebne i kogo powinny obejmować.

Co powinny obejmować procedury bezpieczeństwa?

Zakres pojedynczej procedury zależy od scenariusza. Są jednak elementy, które pomagają przełożyć ogólne zasady bezpieczeństwa na czytelny sposób działania.

Sekcja 1. Role i odpowiedzialności

Procedura powinna jasno wskazywać, kto pierwszy reaguje na zdarzenie, kto odpowiada za określony obszar, kto otrzymuje informację i kto może podjąć decyzję o kolejnych działaniach.

W zależności od organizacji mogą to być pracownicy ochrony, recepcji, administracji, kierownicy zmian, osoby odpowiedzialne za obiekt albo inne osoby funkcyjne.

Istotny jest jasny podział odpowiedzialności. Jeżeli ten sam etap został przypisany kilku osobom bez określenia, która z nich faktycznie odpowiada za jego realizację, w sytuacji incydentu może pojawić się niepotrzebna zwłoka lub niepewność co do dalszego działania.

Sekcja 2. Alarmowanie, komunikacja i eskalacja

W sytuacji zagrożenia trzeba wiedzieć nie tylko, co się wydarzyło, ale także kto powinien otrzymać tę informację i co ma się wydarzyć później.

Dlatego ustal:

• kogo powiadamia osoba, która zauważyła zdarzenie,
• w jakiej kolejności przekazywana jest informacja,
• jakie podstawowe informacje powinien zawierać komunikat,
• kiedy sytuacja wymaga eskalacji,
• kto przejmuje odpowiedzialność za dalsze decyzje,
• w jakich sytuacjach uruchamiana jest współpraca z odpowiednimi służbami.

Czytelna ścieżka komunikacji ogranicza ryzyko sytuacji, w której kilka osób zakłada, że zgłoszenie zostało już przekazane dalej albo osoba decyzyjna otrzymuje niepełną informację.

Sekcja 3. Kontrola dostępu i zasady poruszania się po obiekcie

Jeżeli w firmie występują strefy o różnym poziomie dostępu, procedury powinny określać zasady wejścia i przemieszczania się pracowników, gości, dostawców oraz podwykonawców.

Trzeba też ustalić sposób reakcji na odstępstwa od tych zasad. Co powinien zrobić pracownik, gdy zauważy osobę bez wymaganych uprawnień? Kogo informuje recepcja, gdy pojawia się niezgłoszony gość? Kto podejmuje decyzję w przypadku próby wejścia do strefy ograniczonego dostępu?

Organizację dostępu może wspierać system kontroli dostępu. W rozwiązaniach oferowanych przez Solid Security system służy m.in. do kontrolowania, które osoby mogą uzyskać dostęp do określonych pomieszczeń lub stref. Procedura określa natomiast sposób postępowania w sytuacjach, które wymagają reakcji człowieka.

Sekcja 4. Reagowanie na incydent i zabezpieczenie miejsca zdarzenia

Procedura reagowania na incydent powinna porządkować kolejne fazy działania, bez próby tworzenia jednej instrukcji odpowiedniej dla każdego rodzaju zdarzenia.

Pierwszy etap obejmuje rozpoznanie sytuacji, przekazanie zgłoszenia i podjęcie działań przypisanych danej roli. Następnie może pojawić się potrzeba ograniczenia dostępu do określonego miejsca, przekazania odpowiedzialności właściwym osobom albo współpracy z ochroną czy odpowiednimi służbami.

Po zakończeniu bezpośredniej reakcji przychodzi czas na uporządkowanie informacji o zdarzeniu. Ustal, kto je dokumentuje, kto powinien otrzymać raport i kto analizuje, czy incydent ujawnił lukę wymagającą zmiany procedury lub zabezpieczeń.

Takie rozdzielenie pomaga odróżnić działania podejmowane w pierwszych chwilach od późniejszej analizy zdarzenia.

Sekcja 5. Ewakuacja i działania w sytuacji zagrożenia

Niektóre sytuacje mogą wymagać opuszczenia części albo całości obiektu. Zasady działania powinny wtedy odpowiadać organizacji konkretnego miejsca oraz właściwej dla niego dokumentacji.

Procedura powinna jasno określać role personelu, sposób przekazywania komunikatów i ścieżkę uruchamiania kolejnych działań.

Znaczenie mają również sygnały pochodzące z zastosowanych zabezpieczeń technicznych. Oferowany przez Solid Security alarm pożarowy wykorzystuje urządzenia służące do wykrywania zagrożenia i jego sygnalizowania osobom znajdującym się na terenie przedsiębiorstwa. Strona usługi wprost łączy taki sygnał z rozpoczęciem działań zgodnie z ustalonymi procedurami.

Sekcja 6. Instrukcje, checklisty i krótkie listy działań

Obszerna procedura nie zawsze jest najwygodniejszym materiałem do wykorzystania podczas zdarzenia. Możesz więc uzupełnić ją krótkimi instrukcjami przeznaczonymi dla konkretnych ról.

Recepcja może potrzebować listy czynności na wypadek próby wejścia osoby nieuprawnionej. Kierownik zmiany – czytelnej ścieżki powiadamiania osób funkcyjnych. Inny zestaw informacji może być potrzebny ochronie czy administracji.

Takie materiały pomocnicze ułatwiają szybkie odnalezienie właściwych działań bez konieczności przeglądania całej dokumentacji.

Jakie sytuacje powinny mieć własne procedury reagowania?

Nie ma jednej listy scenariuszy odpowiedniej dla wszystkich przedsiębiorstw. Zakres procedur powinien wynikać z charakteru działalności, organizacji obiektu i analizy realnych zagrożeń.

Można jednak wskazać grupy zdarzeń, które często wymagają wcześniejszego uporządkowania sposobu reakcji.

Naruszenie dostępu, wtargnięcie i agresja

Pierwszą grupą są zdarzenia związane z nieuprawnionym dostępem lub zachowaniem osoby znajdującej się na terenie firmy.

Może to być próba wejścia do chronionej strefy, wtargnięcie do obiektu, pojawienie się nieuprawnionego gościa albo podwykonawcy czy agresywne zachowanie wobec personelu.

Zakres działań trzeba dopasować do warunków obiektu i kompetencji osób, którym przypisujesz określone zadania. Pracownik powinien wiedzieć przede wszystkim, jak rozpocząć właściwą ścieżkę powiadamiania i do kogo skierować informację, bez podejmowania działań wykraczających poza jego rolę.

Zdarzenia wymagające ewakuacji lub izolacji części obiektu

Oddzielnych zasad mogą wymagać zdarzenia prowadzące do konieczności opuszczenia obiektu albo czasowego ograniczenia dostępu do określonej strefy.

Przykładem jest pożar, podejrzany pakunek lub inne zdarzenie wymagające zabezpieczenia części obiektu i współpracy z odpowiednimi służbami.

Szczegółowe instrukcje w takich sytuacjach powinny wynikać z aktualnych wytycznych oraz dokumentacji właściwej dla danego przypadku. Dotyczy to również zagrożeń o charakterze terrorystycznym. Ich uwzględnienie powinno wynikać z profilu ryzyka konkretnego obiektu, a nie z założenia, że ten sam katalog zagrożeń dotyczy każdej firmy.

Awarie i zakłócenia działania systemów

Własnego scenariusza może wymagać również awaria zabezpieczenia, na którym opiera się codzienna organizacja obiektu.

Przykładem jest czasowa niedostępność systemu kontroli dostępu. Jeżeli podstawowy sposób wejścia do określonej strefy przestaje działać, trzeba wcześniej ustalić, kto podejmuje decyzję o tymczasowej organizacji wejść, w jaki sposób jest ona komunikowana i kiedy można wrócić do normalnego modelu pracy.

Taki scenariusz jest znacznie łatwiejszy do zastosowania niż ogólne zalecenie „postępowania w przypadku awarii systemu”, które nie wskazuje konkretnych odpowiedzialności.

Jak opracować procedury bezpieczeństwa dla konkretnego obiektu?

Pracę nad procedurą zacznij od poznania sposobu funkcjonowania miejsca, którego ma dotyczyć. Dopiero na tej podstawie określ scenariusze i przełóż je na konkretne działania.

Etap 1: Zacznij od analizy ryzyka i obecnych zabezpieczeń

Przeanalizuj sposób użytkowania obiektu. Sprawdź ruch osób, podział na strefy, organizację wejść, obecną ochronę, stosowane zabezpieczenia techniczne oraz istniejące instrukcje.

Weź pod uwagę także wcześniejsze incydenty. Mogą wskazać sytuacje, które rzeczywiście występowały, oraz miejsca, w których dotychczasowy sposób działania wymaga doprecyzowania.

Jednym z narzędzi diagnozy może być audyt bezpieczeństwa. W ramach audytów oferowanych przez Solid Security sprawdzane są m.in. system ochrony fizycznej obiektu, wewnętrzne procesy i procedury bezpieczeństwa oraz zabezpieczenia elektroniczne i techniczne. Taka analiza może pomóc wskazać obszary wymagające dalszej weryfikacji lub zmian.

Etap 2: Ustal role, odpowiedzialności i ścieżki decyzyjne

Na tym etapie nie wystarczy ponownie wypisać ról w dokumencie. Trzeba sprawdzić, czy zaprojektowany sposób działania da się rzeczywiście wykonać.

Zweryfikuj więc, czy wskazana osoba jest dostępna w czasie, w którym może dojść do zdarzenia. Ustal zastępstwo na wypadek jej nieobecności. Sprawdź, czy ma dostęp do informacji, pomieszczeń i narzędzi potrzebnych do wykonania zadania oraz czy przypisana decyzja rzeczywiście należy do jej kompetencji.

Przeanalizuj też sytuacje poza standardowymi godzinami pracy. Procedura oparta wyłącznie na osobach obecnych od poniedziałku do piątku w godzinach biurowych nie będzie użyteczna, jeśli zdarzenie może wystąpić również nocą albo w weekend.

Takie uzgodnienia pozwalają wychwycić problemy jeszcze przed wdrożeniem procedury.

Etap 3: Przełóż scenariusz na czytelną sekwencję działań

Gdy role są już uzgodnione, opisz przebieg konkretnego scenariusza.

Procedura powinna odpowiadać na praktyczne pytania:

• co uruchamia dany sposób działania,
• co należy zrobić jako pierwsze,
• komu przekazać informację,
• kiedy eskalować sprawę,
• kto podejmuje kolejną decyzję,
• kiedy procedura się kończy albo przechodzi do następnego etapu.

Jeżeli przebieg zależy od rozwoju sytuacji, rozpisz odpowiednie warianty. Zadbaj przy tym, aby osoba korzystająca z procedury nie musiała interpretować niejasnych sformułowań pod presją zdarzenia.

Etap 4: Przeanalizuj procedurę z osobami, których dotyczy

Gotowy projekt skonfrontuj z ludźmi, którzy mają wykonywać opisane działania. Na tym etapie nie chodzi już o ponowne ustalanie ról, lecz o wychwycenie praktycznych przeszkód.

Pracownik recepcji może zwrócić uwagę, że nie ma dostępu do numeru wskazanego w procedurze. Ochrona może zauważyć, że określonego działania nie da się wykonać z danego stanowiska. Kierownik zmiany może wskazać, że ścieżka akceptacji jest zbyt długa.

Takie uwagi pozwalają skorygować procedurę przed szkoleniem i testami.

Jak połączyć procedury z systemami bezpieczeństwa?

Zabezpieczenia techniczne dostarczają informacji, sygnalizują określone zdarzenia albo wspierają kontrolę nad obiektem. Procedura określa, co powinno wydarzyć się w organizacji po otrzymaniu takiego sygnału.

Dlatego przy projektowaniu zasad działania sprawdź, jakie informacje są dostępne z poszczególnych systemów i do kogo faktycznie trafiają.

Wykrycie zdarzenia i przekazanie informacji

Praktyczny ciąg może wyglądać następująco: dochodzi do zdarzenia, system przekazuje sygnał lub inną informację, następuje jej obsługa zgodnie z przyjętym modelem, a odpowiednie osoby uruchamiają dalsze działania.

Oferowane przez Solid Security systemy alarmowe wykorzystują czujki przeznaczone do wykrywania określonych zdarzeń, m.in. włamania, dymu, gazu czy zalania. Oferta przewiduje również możliwość połączenia systemu z usługą monitorowania sygnałów alarmowych.

Z kolei monitoring CCTV pozwala prowadzić obserwację obrazu z kamer. W rozwiązaniach Solid Security obraz i sygnały alarmowe mogą być także przekazywane do Stacji Monitorowania, gdzie pracownicy analizują obraz i podejmują ustalone działania.

Przy opracowywaniu procedury trzeba więc ustalić, kto otrzymuje konkretną informację, co robi z nią dalej i jaka ścieżka postępowania obowiązuje dla danego rodzaju zdarzenia.

Kontrola ruchu osób i stref

Podobną zależność widać przy organizacji dostępu do pomieszczeń. System może egzekwować określone uprawnienia, ale procedura jest potrzebna w sytuacjach odbiegających od standardowego modelu.

Co zrobić po utracie identyfikatora? Kto zatwierdza niestandardowy dostęp podwykonawcy? Jak zorganizować wejścia podczas awarii? Kto powinien otrzymać informację o próbie dostępu do strefy przez osobę bez odpowiednich uprawnień?

Odpowiedzi na te pytania powinny być spójne z rzeczywistym sposobem konfiguracji i obsługi systemu w Twoim obiekcie.

Alarmowanie w sytuacjach pożarowych i ewakuacja

Przy zabezpieczeniach przeciwpożarowych szczególnie ważne jest powiązanie sygnału technicznego z zasadami obowiązującymi ludzi.

Jeżeli system sygnalizuje zagrożenie, personel powinien znać przypisane mu działania i sposób przekazywania informacji. Procedura musi przy tym odpowiadać dokumentacji i rozwiązaniom zastosowanym w konkretnym obiekcie.

Dzięki temu sygnał techniczny i organizacyjny sposób reakcji tworzą jeden czytelny ciąg działań.

Jak wdrożyć procedury, żeby działały w praktyce?

Po przygotowaniu procedury trzeba przekazać odpowiednie informacje osobom, które będą z nich korzystać, a następnie sprawdzić ich zastosowanie w praktyce.

Krok 1: Przekaż zasady odpowiednim pracownikom

Podziel informacje według ról. Osoba, której zadaniem jest zgłoszenie zdarzenia, potrzebuje innego zakresu wiedzy niż osoba podejmująca decyzję o dalszych działaniach.

Zamiast przekazywać wszystkim jednakowy, obszerny dokument, możesz przygotować krótkie instrukcje dla wybranych stanowisk i wskazać, gdzie znajduje się pełna wersja procedury.

Ułatwia to skupienie się na działaniach, które dana osoba ma rzeczywiście wykonać.

Krok 2: Wykorzystaj szkolenia i ćwiczenia scenariuszy

Szkolenie pozwala wyjaśnić zasady, a ćwiczenie pokazuje, czy można je sprawnie zastosować.

W czasie testu możesz sprawdzić na przykład, czy pracownik wybiera właściwą ścieżkę powiadamiania, czy komunikat zawiera potrzebne informacje oraz czy osoby funkcyjne przejmują działanie w założonym momencie.

Ćwiczenia scenariuszowe powinny odnosić się do zagrożeń istotnych dla danego obiektu. Ich celem jest znalezienie słabych punktów przed sytuacją, w której procedura będzie potrzebna w rzeczywistym zdarzeniu.

Krok 3: Wyciągaj wnioski z testów i incydentów

Po ćwiczeniu lub rzeczywistym incydencie zbierz informacje od uczestników i porównaj przebieg zdarzenia z założeniami.

Może się okazać, że komunikat był niejednoznaczny, numer kontaktowy nieaktualny, decyzja wymagała zbyt wielu akceptacji albo jeden z kroków był niewykonalny w danych warunkach.

Każdy taki wniosek powinien prowadzić do konkretnej korekty: zmiany zapisu, listy kontaktowej, materiału dla pracowników albo sposobu organizacji danego etapu.

Kiedy przeglądać i aktualizować procedury bezpieczeństwa?

Nie ma jednej częstotliwości aktualizacji odpowiedniej dla wszystkich procedur i przedsiębiorstw. Do przeglądu powinny skłaniać przede wszystkim zmiany wpływające na sposób działania organizacji lub zabezpieczenie obiektu.

Sprawdź procedury m.in.:

• po istotnym incydencie,
• po ćwiczeniu, które ujawniło problem,
• po audycie bezpieczeństwa,
• po zmianach organizacyjnych,
• po zmianie układu lub sposobu użytkowania obiektu,
• po zmianie stref i zasad dostępu,
• po zmianie modelu ochrony albo istotnych zabezpieczeń,
• po zmianie osób odpowiedzialnych i ścieżek komunikacji.

Podczas przeglądu zadaj kilka prostych pytań. Czy osoba na recepcji wie, kogo powiadomić? Czy pracownik zna sposób zgłoszenia naruszenia dostępu? Czy w razie nieobecności osoby odpowiedzialnej wiadomo, kto ją zastępuje? Czy dane kontaktowe są aktualne? Czy konfiguracja systemów technicznych jest spójna ze sposobem obsługi zdarzenia opisanym w procedurach?

Ważne

Procedury, które leżą w segregatorze, nie chronią Twojego biznesu. Chronią go ludzie, którzy dokładnie wiedzą, jak zareagować w ułamku sekundy. Brakuje Ci pewności, że Twój zespół jest na to gotowy? Sprawdźmy to. Nasi eksperci pomogą Ci zintegrować systemy techniczne Solid Security z precyzyjnymi instrukcjami dla Twojego personelu.

Zadzwoń do nas i porozmawiaj z ekspertem o bezpieczeństwie Twojej firmy.