Как создать службу защиты активов в ПКО: пошаговая инструкция

Что такое служба защиты активов в ПКО и зачем она нужна

Профессиональная коллекторская организация (ПКО) — юридическое лицо, включенное в государственный реестр и осуществляющее деятельность по возврату просроченной задолженности в качестве основного вида деятельности (ст. 3 Федерального закона от 03.07.2016 № 230-ФЗ). Активы такой организации включают не только деньги и оборудование, но и портфель задолженности, программное обеспечение, базы данных, товарные знаки, деловую репутацию. Защита активов — это комплекс юридических, организационных и аналитических мер, направленных на сохранение стоимости бизнеса и предотвращение потерь.

Служба защиты активов не подменяет юридический департамент, комплаенс, службу взыскания или бухгалтерию. Ее задача — выявлять угрозы, координировать их отражение и обеспечивать единый периметр безопасности. В ПКО особенно важны защита персональных данных должников, контроль доступа к кредитной информации, проверка контрагентов, работа с утечками и взаимодействие с правоохранительными органами в установленном законом порядке.

Введение отдельной службы целесообразно, если ПКО растет, увеличивает портфель, работает с большим объемом персональных данных или сталкивается с недружественными действиями конкурентов, должников, бывших сотрудников. В небольших ПКО функции могут быть распределены между комплаенс-подразделением и юридической службой, но тогда важно закрепить ответственность документально.

Ключевые угрозы для активов ПКО можно разделить на несколько категорий:

1. Информационные утечки и кибератаки — потеря или хищение баз данных должников, программного обеспечения, коммерческой тайны. Это ведет к штрафам по 152-ФЗ, потере доверия клиентов и репутационным потерям.

2. Мошенничество сотрудников — хищение денежных средств, фальсификация документов, сговор с должниками, вывод активов через подконтрольные компании.

3. Недобросовестные контрагенты — неисполнение обязательств, поставка некачественных услуг, банкротство партнеров.

4. Правовые риски — претензии ФССП, Роскомнадзора, налоговых органов, блокировка счетов, оспаривание сделок в банкротстве.

5. Репутационные риски — негативные публикации, жалобы должников, включение в реестр недобросовестных контрагентов.

Служба защиты активов должна системно управлять этими рисками, а не реагировать на инциденты постфактум.

Правовые основания и пределы полномочий

Создание службы опирается на ГК РФ, Трудовой кодекс РФ, Федеральный закон от 08.02.1998 № 14-ФЗ «Об ООО», Федеральный закон от 26.12.1995 № 208-ФЗ «Об АО», 230-ФЗ, Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральный закон от 29.07.2004 № 98-ФЗ «О коммерческой тайне», Федеральный закон от 26.10.2002 № 127-ФЗ «О несостоятельности (банкротстве)». Для отдельных функций применяются Федеральный закон от 12.08.1995 № 144-ФЗ «Об оперативно-розыскной деятельности» и Закон РФ от 11.03.1992 № 2487-1 «О частной детективной и охранной деятельности в Российской Федерации».

Компетенция органов управления определяется уставом. В ООО вопросы создания подразделений и утверждения внутренних документов обычно относятся к компетенции общего собрания или совета директоров (ст. 32, 33, 40 14-ФЗ), в АО — к компетенции общего собрания или совета директоров (ст. 48, 65, 69 208-ФЗ). Если устав относит утверждение структуры и положений к компетенции единоличного исполнительного органа, достаточно приказа генерального директора. Внутренние документы не должны противоречить уставу и решениям вышестоящих органов.

Пределы полномочий жестко ограничены. Служба защиты активов не вправе проводить оперативно-розыскные мероприятия, негласно собирать информацию, использовать специальные технические средства негласного получения информации, если это не делает уполномоченный государственный орган. Частная детективная и охранная деятельность осуществляется только на основании лицензии в порядке, установленном 2487-1. Доступ к персональным данным предоставляется в объеме, необходимом для конкретных функций, с соблюдением ст. 6, 9, 18.1, 19 152-ФЗ. Банковская тайна охраняется ст. 26 Федерального закона от 02.12.1990 № 395-1.

Нарушение пределов влечет административную и уголовную ответственность. В частности, ст. 13.11 КоАП РФ устанавливает штрафы за нарушения обработки персональных данных, ст. 137 УК РФ — за нарушение неприкосновенности частной жизни, ст. 183 УК РФ — за незаконное получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну. Поэтому полномочия службы должны быть описаны точно, а сотрудники — ознакомлены под подпись.

Дополнительно следует учитывать требования Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», который устанавливает общие правила защиты информации и ответственность за неправомерный доступ. При обработке персональных данных ПКО обязана выполнять требования ст. 18.1, 19, 22 152-ФЗ: принимать меры организационного и технического характера, назначать ответственного за организацию обработки, вести учет машинных носителей, применять шифрование и разграничение доступа. Уведомление Роскомнадзора об обработке персональных данных подается до начала обработки, за исключением случаев, предусмотренных ст. 22 152-ФЗ.

Взаимодействие с правоохранительными органами строится исключительно в рамках УПК РФ, Закона об ОРД и других федеральных законов. Служба защиты активов может готовить и направлять официальные запросы, отвечать на запросы органов, предоставлять документы и сведения в установленном порядке. Любые негласные мероприятия силами службы недопустимы.

Пошаговая инструкция: 6 шагов

Шаг 1. Диагностика активов и рисков

Проведите инвентаризацию активов: дебиторская задолженность, денежные средства, оборудование, программное обеспечение, базы данных, товарные знаки, доли и акции. Оцените риски: утрата данных, мошенничество сотрудников, недобросовестные контрагенты, банкротство должников, блокировка счетов, претензии ФССП, Роскомнадзора, налоговых органов. Составьте карту рисков и определите, какие функции должна закрывать служба.

Для диагностики можно использовать следующие методы:

• Инвентаризация — полная проверка наличия и состояния активов, сверка с бухгалтерским учетом.
• Аудит информационной безопасности — оценка защищенности ИТ-инфраструктуры, прав доступа, журналов событий.
• Проверка контрагентов — анализ деловой репутации, судебных споров, финансового состояния.
• Анализ инцидентов — изучение прошлых утечек, мошенничеств, сбоев.
• Опрос сотрудников — выявление слабых мест в процессах.

Результатом должна стать карта рисков с оценкой вероятности и ущерба, а также перечень критичных активов, требующих первоочередной защиты.

Шаг 2. Решение о создании

Определите, создается ли отдельное подразделение или функции закрепляются за комплаенс-службой. Выберите орган, который вправе принять решение: общее собрание, совет директоров или генеральный директор. Оформите решение протоколом или приказом. Укажите цель, структуру, подчиненность и сроки разработки положения.

Варианты организационного оформления:

• Отдельное структурное подразделение — служба защиты активов с собственным руководителем и штатом.
• Распределение функций — закрепление обязанностей за существующими сотрудниками (комплаенс, юрист, ИТ-специалист) с назначением ответственного.
• Аутсорсинг — передача отдельных функций внешним подрядчикам (например, аудит информационной безопасности), но с сохранением ответственности внутри ПКО.

Решение должно быть принято в срок не более 1 недели после завершения диагностики.

Шаг 3. Разработка и утверждение положения

Положение о службе защиты активов — базовый документ. В нем нужно закрепить задачи, функции, права, обязанности, структуру, порядок взаимодействия с другими подразделениями, порядок отчетности и ответственность. Не дублируйте функции юридической службы и службы взыскания. Утвердите положение тем органом, к компетенции которого это отнесено уставом.

Примерная структура положения:

1. Общие положения (цель, задачи, правовые основания).
2. Структура и подчиненность.
3. Функции и права.
4. Обязанности и ответственность.
5. Порядок взаимодействия с другими подразделениями.
6. Порядок отчетности.
7. Заключительные положения.

Положение должно быть согласовано с юридическим департаментом, комплаенс-службой, HR и, при необходимости, с ИТ-подразделением. Срок разработки — 2–3 недели.

Шаг 4. Штат и назначения

Внесите изменения в штатное расписание, организационную структуру. Назначьте руководителя службы приказом, заключите трудовой договор, оформите должностную инструкцию и доверенности. Определите, какие сотрудники получают доступ к персональным данным и коммерческой тайне. Оформите соглашения о неразглашении и обязательства по соблюдению режима конфиденциальности.

Требования к руководителю службы:

• Высшее юридическое или экономическое образование.
• Опыт работы в области комплаенса, безопасности или управления рисками не менее 3 лет.
• Знание 230-ФЗ, 152-ФЗ, 98-ФЗ, основ уголовного и административного права.
• Отсутствие судимости.

Все сотрудники службы должны быть ознакомлены с внутренними документами под подпись. Доступ к персональным данным предоставляется на основании приказа и только в объеме, необходимом для выполнения трудовых обязанностей.

Шаг 5. Регламенты и обучение

Разработайте регламенты: проверка контрагентов, доступ к информационным системам, работа с инцидентами, взаимодействие с правоохранительными органами, обработка запросов должников, антикоррупционные процедуры, конфликт интересов. Обучите сотрудников, ознакомьте их под подпись. Настройте журналирование доступа и систему внутренних расследований.

Перечень обязательных регламентов:

• Регламент проверки контрагентов.
• Регламент управления доступом и парольной политики.
• Регламент реагирования на инциденты информационной безопасности.
• Регламент взаимодействия с правоохранительными органами.
• Регламент обработки запросов субъектов персональных данных.
• Антикоррупционная политика.
• Политика управления конфликтом интересов.

Обучение должно проводиться не реже одного раза в год, а также при приеме на работу и при изменении законодательства. Журналирование доступа позволяет отследить, кто и когда обращался к защищаемым данным.

Шаг 6. Запуск и мониторинг

Запустите службу, утвердите KPI и форму отчетности. Проводите регулярный аудит, анализируйте инциденты, корректируйте регламенты. Отчетность должна показывать сохранность активов, снижение потерь, выявленные угрозы и принятые меры.

Ключевые показатели эффективности (KPI):

• Количество выявленных и предотвращенных инцидентов.
• Снижение потерь от мошенничества и утечек.
• Соблюдение сроков реагирования на инциденты.
• Отсутствие предписаний регуляторов по итогам проверок.
• Доля сотрудников, прошедших обучение.

Отчетность представляется руководству ежеквартально, а при серьезных инцидентах — немедленно.

Документальное оформление

Комплект документов зависит от организационно-правовой формы и устава. Минимально необходимы: решение уполномоченного органа, приказ о создании службы, положение о службе, штатное расписание, приказы о назначении, трудовые договоры и должностные инструкции, доверенности, приказ о вводе режима коммерческой тайны, перечень сведений, составляющих коммерческую тайну, обязательства о неразглашении, политика обработки персональных данных, приказ о назначении ответственного за обработку персональных данных, журналы учета и доступа.

Если служба получает доступ к персональным данным должников, нужно оформить поручение на обработку, определить цели, объем, сроки, категории данных и меры защиты. Внутренние документы должны соответствовать 152-ФЗ и не расширять доступ без необходимости. Все сотрудники, допущенные к данным, знакомятся с локальными актами под подпись.

Для взаимодействия с правоохранительными органами разработайте отдельный регламент. Он должен описывать, кто подписывает запросы, как фиксируются входящие обращения, какие сведения можно передавать без нарушения тайны и прав должников. Не допускайте негласного сбора информации силами службы.

Дополнительно могут потребоваться:

• Приказ об утверждении перечня должностей, имеющих доступ к персональным данным.
• Соглашения о конфиденциальности с контрагентами.
• Акт об уничтожении персональных данных при достижении целей обработки.
• Журнал учета обращений субъектов персональных данных.
• Политика информационной безопасности.

Сроки и бюджет

Ориентировочный срок создания службы — от двух до четырех месяцев. Быстрее запустить можно в ПКО с уже существующим комплаенсом и юридической службой, где достаточно перераспределить функции и обновить положения. Дольше — если требуется подбор руководителя, внедрение информационных систем, лицензирование охранной деятельности или изменение устава.

Бюджет включает фонд оплаты труда, обучение, юридические и консультационные расходы, программное обеспечение для контроля доступа, защиту информации, аудит. Экономия на юридическом оформлении часто приводит к спорам с работниками, предписаниям регуляторов и утрате доказательств при инцидентах.

Примерный бюджет:

• ФОТ: от 150 000 руб. в месяц (в зависимости от региона и квалификации).
• Обучение: 50 000–100 000 руб. в год.
• Юридические услуги: 100 000–300 000 руб. единовременно.
• ПО для контроля доступа: от 100 000 руб.
• Аудит информационной безопасности: от 200 000 руб.

Типичные ошибки и риски

Ошибка первая — создание службы без решения уполномоченного органа. Это делает внутренние акты уязвимыми для оспаривания, а полномочия сотрудников — неопределенными. Вторая ошибка — дублирование функций: служба защиты активов начинает подменять взыскание, юридический департамент или бухгалтерию, что создает конфликты и снижает управляемость.

Третья ошибка — слишком широкий доступ к персональным данным. Это прямое нарушение 152-ФЗ и риск штрафов по ст. 13.11 КоАП РФ. Четвертая ошибка — попытки проводить оперативно-розыскные мероприятия, негласно опрашивать должников, получать банковскую тайну вне установленного порядка. Такие действия влекут уголовную ответственность и репутационные потери.

Пятая ошибка — отсутствие регламента инцидентов. Если сотрудник не знает, как действовать при утечке или мошенничестве, время теряется, доказательства уничтожаются, а ущерб растет. Шестая ошибка — отсутствие KPI и отчетности: служба существует формально, но не влияет на сохранность активов.

Седьмая ошибка — игнорирование требований о коммерческой тайне. Если не введен режим коммерческой тайны, невозможно привлечь виновных к ответственности за разглашение. Восьмая ошибка — отсутствие обучения сотрудников. Даже лучшие регламенты не работают, если персонал не знает их содержания.

Девятая ошибка — нежелание взаимодействовать с правоохранительными органами. Служба должна уметь правильно оформлять запросы и ответы, чтобы не нарушить закон и получить необходимую помощь. Десятая ошибка — экономия на юридической экспертизе. Это приводит к оспариванию внутренних актов и проигрышу в судах.

Риски при создании службы:

• Юридические — оспаривание приказов, предписания регуляторов, штрафы.
• Финансовые — дополнительные расходы на ФОТ и ПО.
• Репутационные — утечки информации, скандалы.
• Операционные — дублирование функций, конфликты между подразделениями.

Судебная практика и позиции регуляторов

Суды при оценке корпоративных и трудовых споров проверяют, были ли у органа полномочия на создание подразделения, соответствуют ли внутренние акты уставу, соблюдена ли процедура ознакомления работников. Если приказ издан неуполномоченным лицом, он может быть признан недействительным. В банкротных спорах суды также проверяют реальность полномочий лиц, действующих от имени должника, и наличие доверенностей.

Регуляторы в лице ФССП контролируют соблюдение 230-ФЗ, включая защиту персональных данных и взаимодействие с должниками. Роскомнадзор проверяет обработку персональных данных, законность передачи сведений третьим лицам, наличие согласий и мер защиты. Нарушения влекут предписания, штрафы и административную ответственность.

Важно учитывать позиции Верховного Суда РФ о пределах корпоративного контроля и защите прав участников. Служба защиты активов не должна использоваться для давления на участников, захвата управления или ограничения прав работников. Любые меры должны иметь законную цель и соразмерные средства.

Верховный Суд РФ в своих разъяснениях неоднократно подчеркивал, что решение органа управления, принятое с нарушением компетенции, может быть оспорено. Также суды проверяют соблюдение процедур обработки персональных данных и наличие согласий. Конкретные дела следует анализировать индивидуально с учетом всех обстоятельств.

Практические рекомендации

Начинайте с аудита и карты рисков, а не с приказа о создании. Определите, какие активы действительно нуждаются в защите и какие угрозы наиболее вероятны. Закрепите функции за конкретными сотрудниками, чтобы избежать размытой ответственности. Согласуйте положение с юристом, комплаенсом и HR.

Обучайте сотрудников регулярно, а не однократно. Проверяйте доступы, журналы, инциденты. Ведите доказательства законности действий: протоколы, приказы, уведомления, согласия. Если ПКО работает с большим объемом персональных данных, назначьте ответственного за организацию обработки и контролируйте поручения обработчикам.

Не пытайтесь заменить государственные органы. Служба защиты активов — это внутренний контроль, профилактика и координация, а не оперативно-розыскная деятельность. Соблюдение этого принципа снижает юридические риски и повышает доверие регуляторов.

Дополнительные рекомендации:

• Внедрите систему менеджмента информационной безопасности (СМИБ) на основе ISO/IEC 27001.
• Проводите регулярные стресс-тесты и учения по реагированию на инциденты.
• Ведите реестр рисков и обновляйте его ежеквартально.
• Назначьте ответственного за взаимодействие с регуляторами.
• Храните документы, подтверждающие законность обработки персональных данных, не менее 3 лет.
• Привлекайте внешних аудиторов для независимой оценки.

Соблюдение этих рекомендаций поможет создать эффективную службу защиты активов, которая будет реально защищать бизнес, а не существовать формально.

---

Нужна помощь по этому вопросу? Запишитесь на консультацию корпоративного юриста АО «Институт корпоративного управления».