Title here
Summary here
Комплаенс-аудит информационной безопасности: соответствие требованиям регуляторов
Юридическая сторона информационной безопасности. Штрафы за утечку персональных данных достигают миллионов рублей, приостановка деятельности за нарушение требований к КИИ может парализовать предприятие, а потеря репутации из-за несоответствия стандартам ISO может закрыть выход на международные рынки.
Комплаенс-аудит отвечает на вопрос: «Соответствует ли наша компания требованиям регуляторов и готова ли она к проверкам?»
ООО «Стратегия Ра» предлагает углубленный комплаенс-аудит, который не просто констатирует несоответствия, а формирует полную картину регуляторных требований, применимых к вашему бизнесу, и разрабатывает план приведения в соответствие.
Чем комплаенс-аудит отличается от технического аудита
Прежде чем углубляться в детали, важно понять разницу:
| Параметр | Технический аудит | Комплаенс-аудит |
|---|---|---|
| Фокус | Уязвимости, риски, техническая защита | Соответствие законам, приказам, стандартам |
| Объекты | Серверы, сети, приложения, АРМ | Процессы, документы, политики, юридическая чистота |
| Результат | Отчет об уязвимостях и рисках | Заключение о соответствии требованиям регуляторов |
| Цель | Защититься от реальных атак | Избежать штрафов и санкций, пройти проверки |
| Регуляторы | Косвенно | Прямо (ФСТЭК, ФСБ, РКН, ЦБ, прокуратура) |
Почему нужно выполнять комплаенс и аудит вместе
Технический аудит и комплаенс-аудит — это две стороны одной медали. Можно идеально соответствовать всем бумажным требованиям регулятора, но при этом иметь дырявый сервер, который взломают за день. И наоборот: можно выстроить мощную техническую защиту, но получить миллионный штраф за отсутствие подписанного согласия на обработку персональных данных. Только совместное выполнение дает полную картину.
1. Что проверяет комплаенс-аудит
Комплаенс-аудит исследует компанию с юридической и организационной точек зрения. Мы проверяем:
1.1. Нормативно-правовую базу компании
- Наличие и актуальность внутренних документов (политики, положения, инструкции).
- Соответствие документов требованиям законодательства.
- Наличие приказов о назначении ответственных за обработку данных и защиту информации.
1.2. Процессы работы с данными
- Как собираются, обрабатываются, хранятся и уничтожаются персональные данные.
- Есть ли согласия на обработку ПДн и соответствуют ли они требованиям 152-ФЗ.
- Как происходит взаимодействие с контрагентами с точки зрения передачи данных.
1.3. Соответствие отраслевым требованиям
- Для финансового сектора — требования ЦБ РФ (положения, стандарты).
- Для госорганов и КИИ — требования ФСТЭК, ФСБ.
- Для ритейла — требования к эквайрингу (PCI DSS), работа с ПДн.
- Для международных компаний — GDPR, SOX.
1.4. Готовность к проверкам регуляторов
- Есть ли понятный процесс взаимодействия с контролирующими органами.
- Назначены ли ответственные за взаимодействие.
- Готов ли пакет документов для предоставления по запросу.
2. Применяемые методики углубленного анализа
В отличие от поверхностной проверки “на глаз”, мы используем системные методики, признанные регуляторами и профессиональным сообществом.
2.1. Анализ расхождений
Это базовая методика комплаенс-аудита. Мы берем требования регулятора (например, Приказ ФСТЭК №21) и сравниваем с реальным состоянием дел в компании.
Как это работает на практике
Пример для 152-ФЗ (персональные данные):
| Требование закона | Что должно быть | Что есть в компании | Статус |
|---|---|---|---|
| Ст. 18.1 ч. 1 | Назначен ответственный за организацию обработки ПДн | Приказ №45 от 10.01.2025 | Соответствует |
| Ст. 18.1 ч. 2 | Опубликована политика обработки ПДн | Политика есть на сайте, но не подписана | ️ Частично |
| Ст. 19 ч. 1 | Приняты меры по обеспечению безопасности ПДн | Технические меры есть, документация отсутствует | Не соответствует |
Результат: Мы видим конкретные расхождения и можем составить план их устранения.
2.2. Методология классификации информационных систем
Для многих регуляторов (ФСТЭК, ФСБ, РКН) требуется классифицировать информационные системы по уровню защищенности. Мы применяем методики:
- Классификация ИСПДн (по Постановлению Правительства №1119) — определение уровня защищенности персональных данных.
- Категорирование объектов КИИ (по 187-ФЗ) — отнесение к объектам критической информационной инфраструктуры.
- Определение уровня значимости (УЗ) — для государственных информационных систем.
2.3. Анализ цепочек поставок
Современные требования (особенно для КИИ и госорганов) включают проверку контрагентов и поставщиков ПО. Мы анализируем:
- Есть ли в договорах с подрядчиками требования по ИБ.
- Имеют ли поставщики ПО необходимые лицензии ФСТЭК/ФСБ.
- Не попадает ли компания под санкционные риски из-за импортного ПО.
2.4. Юридическая комплексная проверка информационных активов
Мы проверяем юридическую чистоту использования ПО и данных:
- Есть ли лицензии на все используемое ПО.
- Соответствует ли сбор персональных данных целям, заявленным в политике.
- Нет ли незаконной трансграничной передачи данных.
2.5. Моделирование проверки регулятора
Мы имитируем визит проверяющего органа. Это стресс-тест для вашей компании, который позволяет:
- Увидеть, как реально реагируют сотрудники на запросы.
- Понять, где находятся “узкие места” в документах.
- Отработать взаимодействие с проверяющими до реальной проверки.
2.6. Оценка зрелости процессов по международным стандартам
Если компания выходит на международные рынки или работает с иностранными партнерами, мы применяем:
- ISO/IEC 27001 — оценка соответствия международному стандарту управления ИБ.
- COBIT — для оценки управления IT и ИБ.
- GDPR Readiness Assessment — для компаний, работающих с данными граждан ЕС.
3. Какие регуляторы и стандарты мы покрываем
Мы работаем со всеми регуляторами и стандартами, актуальными для российского бизнеса:
Российские регуляторы
| Регулятор | Основные нормативные акты | Для кого актуально |
|---|---|---|
| Роскомнадзор (РКН) | 152-ФЗ «О персональных данных», приказы РКН | Все компании, работающие с ПДн |
| ФСТЭК России | Приказы №17, №21, №31, №239; 187-ФЗ (КИИ) | Госорганы, КИИ, компании с гостайной |
| ФСБ России | Приказы по использованию криптографии, 149-ФЗ | Компании, использующие шифрование |
| Центральный Банк РФ | Положения №683-П, №757-П, стандарты СТО БР ИББС | Банки, НФО, страховые компании |
| Прокуратура и МВД | Общий надзор за соблюдением законов | Все компании при проверках |
Отраслевые и международные стандарты
| Стандарт | Область применения |
|---|---|
| PCI DSS | Компании, обрабатывающие платежные карты (ритейл, банки) |
| ISO 27001 | Международный стандарт управления ИБ |
| GDPR | Компании, работающие с данными граждан ЕС |
| SOC 2 | Для SaaS-провайдеров и облачных сервисов |
| HIPAA | Медицинские учреждения (для работы с США) |
| ГОСТ Р 57580 | Безопасность финансовых операций (для НФО) |
4. Итоговые документы
После завершения комплаенс-аудита мы предоставляем комплект документов, который становится основой для прохождения проверок и построения системы управления соответствием.
4.1. Карта соответствия требованиям
Документ в формате таблицы, где для каждого требования регулятора указан текущий статус, выявленные расхождения и рекомендации по устранению.
4.2. Заключение о соответствии / несоответствии
Юридически значимый документ, который можно предъявлять руководству, инвесторам или потенциальным партнерам. Содержит итоговую оценку уровня комплаенс-зрелости компании.
4.3. Пакет проектов недостающих документов
Мы не просто говорим “у вас нет политики обработки ПДн”. Мы готовим проект этой политики, который остается только утвердить. В пакет входят:
- Политики (обработки ПДн, информационной безопасности, использования интернета и т.д.)
- Положения (о защите ПДн, о коммерческой тайне)
- Инструкции (для пользователей, администраторов)
- Приказы (о назначении ответственных, о вводе документов в действие)
- Формы согласий на обработку ПДн
- Журналы (учета обращений, учета машинных носителей)
4.4. Модель угроз и нарушителя (юридическая часть)
Если в техническом аудите мы строим модель угроз с точки зрения хакера, то здесь — с точки зрения регулятора: какие риски несоответствия существуют, какова вероятность проверки и размер потенциальных санкций.
4.5. Дорожная карта приведения в соответствие
Поэтапный план с указанием:
- Что нужно сделать (разработать документы, внедрить процедуры, закупить средства защиты)
- Сроки выполнения
- Ответственные подразделения
- Приоритеты (критические для прохождения проверки)
4.6. Памятка по взаимодействию с регуляторами
Краткое руководство для первых лиц и юристов: как вести себя при проверке, какие документы предоставлять в первую очередь, какие права есть у компании.
5. Ценность услуги для бизнеса
5.1. Финансовая безопасность
Штрафы за нарушение 152-ФЗ достигают:
- Для должностных лиц — до 200 000 ₽
- Для ИП — до 800 000 ₽
- Для юридических лиц — до 18 000 000 ₽
За повторное нарушение — оборотные штрафы до 3% годовой выручки. Комплаенс-аудит в разы дешевле любого из этих штрафов.
5.2. Репутационная защита
Утечка данных клиентов из-за формального подхода к безопасности разрушает доверие. Комплаенс-аудит гарантирует, что формальная сторона защиты (документы, согласия, процедуры) не станет причиной скандала.
5.3. Готовность к проверкам
Мы не просто говорим “у вас все плохо”. Мы готовим компанию так, чтобы при визите любого регулятора (РКН, ФСТЭК, прокуратура) у вас был готовый пакет документов и понятный процесс взаимодействия.
5.4. Прозрачность для инвесторов и партнеров
Серьезные инвесторы и заказчики перед сделкой проводят комплексную проверку, включающий комплаенс. Наличие заключения о соответствии снижает риски и повышает стоимость компании.
5.5. Основа для сертификации
Если вы планируете получать сертификаты ISO 27001, PCI DSS или проходить аттестацию во ФСТЭК, комплаенс-аудит — это первый и необходимый этап. Он показывает, насколько вы готовы к сертификации и что нужно доработать.
6. Почему комплаенс-аудит нужно выполнять вместе с техническим аудитом
Комплексный подход
Только совместное выполнение технического и комплаенс-аудита дает полную картину защищенности компании.
6.1. Документы и Реальность
Можно идеально написать политики, но при этом не защитить сервер. Комплаенс-аудит без технического проверяет только “бумажную” сторону. Технический аудит без комплаенс-аудита может выявить дыры, но не гарантирует, что компания не попадет под штраф за формальные нарушения.
6.2. Экономия ресурсов
Дешевле и эффективнее провести один комплексный проект, чем два отдельных. Многие мероприятия пересекаются (например, инвентаризация активов нужна и для технарей, и для юристов).
6.3. Связанные риски
Техническая уязвимость может привести к юридическим последствиям (утечка ПДн), а юридическое несоответствие — к запрету использовать технически правильные решения (например, использование несертифицированного шифрования).
6.4. Единая дорожная карта
Только объединив выводы технического и комплаенс-аудита, можно составить реалистичный план, который одновременно закроет и технические дыры, и формальные нарушения.
7. Схема взаимодействия: как мы работаем
graph TD
%% Определение стилей для этапов
classDef stage1 fill:#e1f5fe,stroke:#01579b,stroke-width:2px
classDef stage2 fill:#fff3e0,stroke:#e65100,stroke-width:2px
classDef stage3 fill:#e8f5e8,stroke:#1b5e20,stroke-width:2px
classDef stage4 fill:#f3e5f5,stroke:#4a148c,stroke-width:2px
classDef stage5 fill:#fff0f0,stroke:#b71c1c,stroke-width:2px
classDef stage6 fill:#e0f2f1,stroke:#004d40,stroke-width:2px
A[Запрос на комплаенс-аудит] --> B[Этап 1: Анализ требований]
B --> C[Выявление всех
регуляторов и стандартов] C --> D[Этап 2: Сбор данных] D --> E[Анализ документов
и процессов] E --> F[Этап 3: GAP-анализ] F --> G[Сравнение: как есть / как надо] G --> H[Этап 4: Разработка решений] H --> I[Создание документов
и дорожной карты] I --> J[Этап 5: Передача результатов] J --> K[Защита выводов
перед руководством] K --> L[Этап 6: Пост-поддержка] L --> M[Консультации при проверках
и обновление документации] %% Применение стилей B:::stage1 C:::stage1 D:::stage2 E:::stage2 F:::stage3 G:::stage3 H:::stage4 I:::stage4 J:::stage5 K:::stage5 L:::stage6 M:::stage6
регуляторов и стандартов] C --> D[Этап 2: Сбор данных] D --> E[Анализ документов
и процессов] E --> F[Этап 3: GAP-анализ] F --> G[Сравнение: как есть / как надо] G --> H[Этап 4: Разработка решений] H --> I[Создание документов
и дорожной карты] I --> J[Этап 5: Передача результатов] J --> K[Защита выводов
перед руководством] K --> L[Этап 6: Пост-поддержка] L --> M[Консультации при проверках
и обновление документации] %% Применение стилей B:::stage1 C:::stage1 D:::stage2 E:::stage2 F:::stage3 G:::stage3 H:::stage4 I:::stage4 J:::stage5 K:::stage5 L:::stage6 M:::stage6
8. Часто задаваемые вопросы о комплаенс-аудите
Чем комплаенс-аудит отличается от технического аудита? Я же могу просто проверить безопасность и всё?
Это принципиально разные вещи, хотя они и связаны. Проведем аналогию с автомобилем:
Технический аудит — это проверка технического состояния: работают ли тормоза, не течет ли масло, не стучат ли подвеска. Это про безопасность движения.
Комплаенс-аудит — это проверка документов: есть ли у вас права, пройден ли техосмотр, застрахована ли ответственность, не просрочена ли регистрация. Это про законность нахождения на дороге.
Можно иметь идеально исправный автомобиль, но ездить без прав — и получить штраф (или даже конфискацию). А можно иметь все документы в порядке, но ездить на машине с отказавшими тормозами — и разбиться.
Вывод: безопасность (технический аудит) и законность (комплаенс-аудит) — две стороны одной медали. Они не заменяют, а дополняют друг друга.
Нас еще ни разу не проверяли. Зачем нам комплаенс, если регуляторы к нам не приходят?
Это распространенное, но опасное заблуждение. Вот почему комплаенс нужен даже при отсутствии проверок:
Проверка может прийти в любой момент. У Роскомнадзора, прокуратуры и других органов есть планы проверок. Ваша компания может попасть в них случайно или по жалобе клиента/конкурента. Готовиться нужно заранее.
Штрафы растут. За последние годы штрафы за нарушение 152-ФЗ выросли в десятки раз. Максимальный штраф для юрлиц — до 18 млн рублей. Для некоторых нарушений введена уголовная ответственность.
Утечки случаются неожиданно. Если произойдет утечка данных (а это может случиться с любой компанией), регулятор начнет расследование. Отсутствие документов и процедур будет отягчающим обстоятельством.
Бизнес-партнеры требуют. Крупные заказчики, банки, инвесторы все чаще запрашивают подтверждение compliance-статуса перед заключением договоров.
Стоимость профилактики ниже. Устранить нарушения до проверки в разы дешевле, чем платить штрафы и судиться после.
Аналогия: страховка нужна не потому, что вы планируете аварию, а потому что она может случиться. Комплаенс — это ваша страховка от регуляторных рисков.
Какие штрафы грозят за несоблюдение требований? Насколько это реально?
Штрафы вполне реальны. Вот только некоторые цифры по 152-ФЗ:
| Нарушение | Должностные лица | ИП | Юридические лица |
|---|---|---|---|
| Обработка без согласия | 10 000 - 20 000 ₽ | 15 000 - 30 000 ₽ | 30 000 - 150 000 ₽ |
| Невыполнение требований об уточнении/блокировании | 8 000 - 12 000 ₽ | 10 000 - 20 000 ₽ | 25 000 - 45 000 ₽ |
| Несоблюдение конфиденциальности | 4 000 - 10 000 ₽ | 10 000 - 20 000 ₽ | 15 000 - 30 000 ₽ |
| Неопубликование политики обработки ПДн | 3 000 - 6 000 ₽ | 5 000 - 10 000 ₽ | 15 000 - 30 000 ₽ |
| Неуведомление РКН об обработке ПДн | 3 000 - 5 000 ₽ | 5 000 - 10 000 ₽ | 15 000 - 25 000 ₽ |
С 2023 года действуют оборотные штрафы за утечки:
- До 3% годовой выручки (но не менее 1 млн ₽ и не более 15 млн ₽) — за первую утечку
- До 3% годовой выручки (но не менее 2 млн ₽ и не более 20 млн ₽) — за повторную
Другие регуляторы:
- ФСТЭК может приостановить действие лицензий
- ЦБ РФ — ограничить операции, отозвать лицензию у банка
- Прокуратура — административное приостановление деятельности до 90 суток
Это не абстрактные угрозы — мы видим такие штрафы в судебной практике регулярно.
У нас небольшая компания, 30 сотрудников. Неужели к нам применимы те же требования, что и к банкам?
И да, и нет. Требования масштабируются:
Что применимо к любой компании, работающей с ПДн:
- Наличие политики обработки персональных данных (опубликованной на сайте)
- Получение согласий на обработку ПДн (правильной формы)
- Назначение ответственного за обработку ПДн
- Принятие мер по защите ПДн (организационных и технических)
- Уведомление РКН о начале обработки ПДн
Что зависит от объема и типа данных:
- Уровень защищенности ИСПДн (УЗ-1, УЗ-2, УЗ-3, УЗ-4) — определяется по Постановлению №1119
- Необходимость аттестации или лицензирования
- Требования к криптографии (для определенных категорий данных)
Хорошая новость: для небольших компаний требования адекватны масштабу. Мы поможем определить именно ваш уровень и не требовать лишнего. Главное — не игнорировать требования совсем, а выполнить их в той мере, которая соответствует вашему бизнесу.
Мы работаем только с корпоративными клиентами, у нас нет персональных данных. 152-ФЗ нам не грозит?
Частое заблуждение. Давайте проверим, есть ли у вас ПДн:
Персональные данные — это любая информация, относящаяся к прямо или косвенно определенному физическому лицу (гражданину).
Проверьте себя:
- У вас есть база контактов сотрудников контрагентов? (ФИО, телефоны, email — это ПДн)
- Вы общаетесь с ИП? (Индивидуальный предприниматель — это физическое лицо)
- В вашей CRM хранятся контакты физлиц? (даже потенциальных клиентов)
- У вас есть сотрудники? (их данные — тоже ПДн)
- Вы используете файлы cookie на сайте? (мнение регулятора — это тоже работа с ПДн)
Скорее всего, ПДн есть у 99% компаний. Другое дело, что масштаб обработки может быть небольшим. Но полностью избежать 152-ФЗ удается единицам (например, компаниям, работающим исключительно с юрлицами по договорам, не содержащим данных физлиц, и не имеющим сотрудников).
Сколько времени занимает комплаенс-аудит?
Сроки зависят от размера компании и сложности нормативной базы:
| Тип компании | Срок аудита |
|---|---|
| Небольшая (до 50 сотрудников, простые процессы) | 2-3 недели |
| Средняя (50-200 сотрудников, типовые требования) | 3-4 недели |
| Крупная (200-1000 сотрудников, несколько регуляторов) | 4-6 недель |
| Холдинг / финансовая организация / КИИ | 6-8 недель |
В эти сроки входит:
- Сбор и анализ документов
- Интервью с ключевыми сотрудниками
- GAP-анализ
- Подготовка отчета и карты соответствия
- Разработка проектов недостающих документов
- Презентация результатов руководству
При необходимости можем провести экспресс-аудит (быстрая оценка за 5-7 дней), но он даст только поверхностную картину.
Вы будете общаться с нашими юристами? Или только с IT?
Комплаенс-аудит требует взаимодействия с разными подразделениями:
| Специалист | Зачем нужен на интервью |
|---|---|
| Юрист / договорной отдел | Проверка договоров, согласий, политик, соответствие законам |
| HR-директор / кадровик | Процессы приема/увольнения, работа с ПДн сотрудников, кадровые документы |
| Руководитель ИТ / системные администраторы | Технические меры защиты, настройки доступа, логирование |
| Бизнес-заказчики (руководители отделов) | Как реально используются данные в бизнес-процессах |
| Руководство | Стратегия, бюджет, готовность к проверкам |
Мы не просто “приходим к айтишникам”, а проводим комплексное интервьюирование всех причастных. Это единственный способ увидеть полную картину.
Что входит в итоговый отчет? Мы сможем сами исправить нарушения?
Итоговый отчет по комплаенс-аудиту содержит:
Заключение о соответствии — общая оценка по каждому регулятору (зеленый/желтый/красный)
Карта соответствия (GAP-анализ) — таблица с детализацией:
- Требование регулятора (со ссылкой на нормативный акт)
- Что должно быть (идеальное состояние)
- Что есть сейчас (реальное состояние)
- Расхождение
- Критичность (высокая/средняя/низкая)
- Рекомендация по устранению
Реестр рисков — какие последствия могут наступить, если не исправить
Пакет проектов недостающих документов — мы не просто говорим “у вас нет политики”, а даем готовый проект:
- Политики (обработки ПДн, информационной безопасности)
- Положения (о защите ПДн, о коммерческой тайне)
- Приказы (о назначении ответственных)
- Формы согласий
- Инструкции для сотрудников
Дорожная карта — пошаговый план приведения в соответствие с указанием:
- Что сделать
- Кто должен сделать (юрист, IT, HR, руководитель)
- Срок
- Приоритет
Да, этого достаточно, чтобы ваши специалисты (юрист, HR, IT) самостоятельно устранили нарушения. Если нужна помощь — мы можем взять внедрение на себя.
Вы помогаете только с российскими регуляторами или с международными тоже?
Мы работаем как с российскими, так и с ключевыми международными требованиями:
Российские регуляторы:
- Роскомнадзор (152-ФЗ, приказы)
- ФСТЭК (приказы №17, №21, №31, №239, 187-ФЗ)
- ФСБ (требования к криптографии)
- ЦБ РФ (положения 683-П, 757-П, стандарты СТО БР ИББС)
- Минцифры (приказы)
Международные стандарты:
- GDPR (для компаний с данными граждан ЕС)
- PCI DSS (для работающих с платежными картами)
- ISO 27001 (международный стандарт управления ИБ)
- SOC 2 (для SaaS-провайдеров)
- HIPAA (для медицинских данных, если работаете с США)
Если у вас специфические отраслевые требования — уточните, скорее всего, у нас есть экспертиза.
Что такое категорирование объектов КИИ и нам это нужно?
КИИ (критическая информационная инфраструктура) — это объекты, воздействие на которые может привести к катастрофическим последствиям для страны, региона или отрасли.
Попадают под 187-ФЗ, если ваша компания работает в сферах:
- Здравоохранение
- Наука, транспорт, связь
- Энергетика, атомная энергия
- Банковская деятельность
- Топливно-энергетический комплекс
- Оборонная промышленность
- Металлургическая, химическая промышленность
- И другие (полный список в ст. 7 187-ФЗ)
Категорирование — это процедура определения значимости объектов КИИ (1, 2 или 3 категория). Если вы попали под 187-ФЗ, категорирование обязательно.
В рамках комплаенс-аудита мы:
- Определяем, попадаете ли вы под действие 187-ФЗ
- Помогаем выделить объекты КИИ
- Проводим категорирование по методике ФСТЭК
- Готовим документы для направления во ФСТЭК
Штрафы за неисполнение требований к КИИ — до 1 млн рублей, а приостановка деятельности — до 90 суток.
Как часто нужно проводить комплаенс-аудит?
Рекомендуемая периодичность:
| Ситуация | Периодичность |
|---|---|
| Стабильная компания без изменений | 1 раз в год (плановый аудит) |
| При изменении законодательства | Внепланово, после выхода значимых поправок |
| При изменении бизнеса | После запуска новых продуктов, выхода на новые рынки |
| При подготовке к проверке | За 2-3 месяца до ожидаемой проверки |
| При смене руководства ИБ/юриста | Через 1-2 месяца после назначения |
| В рамках абонентского обслуживания | Непрерывный мониторинг |
Почему нельзя сделать один раз и забыть:
- Законы меняются (152-ФЗ правили уже 20+ раз)
- Бизнес меняется (новые процессы, новые данные)
- Регуляторы меняют требования (новые приказы, разъяснения)
- Штрафы растут (нужно быть в курсе)
Комплаенс — это не проект, а процесс.
Сколько стоит комплаенс-аудит?
Стоимость зависит от объема работ и сложности нормативной базы:
Факторы, влияющие на цену:
- Количество регуляторов (только 152-ФЗ или ФСТЭК+ЦБ+PCI DSS)
- Размер компании (количество сотрудников, процессов)
- Сложность организационной структуры (холдинг, филиалы)
- Текущее состояние (с нуля или актуализация)
Примерные ориентиры:
- Аудит по 152-ФЗ (базовый, до 100 сотрудников): от 250 000 ₽
- Аудит по 152-ФЗ (сложный, 100-500 сотрудников): от 400 000 ₽
- Аудит по требованиям ФСТЭК (КИИ, ГИС): от 500 000 ₽
- Аудит по требованиям ЦБ РФ: от 600 000 ₽
- Комплексный аудит (все регуляторы): от 800 000 ₽
- Разработка пакета документов под ключ: от 400 000 ₽
Точную стоимость называем после первичной консультации и понимания объема работ. Мы всегда предлагаем оптимальный, а не “максимальный” вариант.
Что если мы не хотим делать документы, а хотим только узнать, что у нас не так?
Можно заказать только аудиторскую часть без разработки документов. В этом случае вы получите:
- Карту соответствия (GAP-анализ) — что не так и что нужно сделать
- Реестр рисков — чем грозит неисполнение
- Дорожную карту — план действий
Но без разработки документов вы получите только диагноз, но не лекарство. Дальше ваши специалисты должны будут:
- Сами писать все недостающие документы (политики, положения, приказы)
- Разбираться в формулировках, которые требуют регуляторы
- Рисковать, что документы будут составлены неверно
Мы рекомендуем комплексный подход: аудит + разработка документов. Это дешевле, чем заказывать отдельно, и гарантирует, что документы будут правильными.
У нас уже есть юрист. Зачем нам внешний комплаенс-аудит?
Хороший юрист — это база. Но у внешнего аудита есть преимущества:
Узкая специализация. Ваш юрист занимается всеми вопросами (договоры, суды, кадры). Мы занимаемся только ИБ-комплаенсом и знаем все нюансы 152-ФЗ, приказов ФСТЭК, требований ЦБ.
Опыт разных компаний. Мы видим, как решают проблемы в разных отраслях, и приносим лучшие практики. Ваш юрист видит только вашу компанию.
Независимость. Внешний аудитор может указать на проблемы, которые внутренний юрист может не замечать или бояться озвучить руководству.
Техническая часть. Чисто юридическое образование часто не позволяет оценить технические меры защиты. Мы понимаем и юридическую, и техническую стороны.
Экономия времени. Ваш юрист может быть загружен текучкой. Мы берем на себя весь объем работ по комплаенс-аудиту, предоставляя готовые решения.
Лучший сценарий: ваш юрист работает с нами в связке — мы делаем аудит и проекты документов, он их адаптирует под специфику компании и утверждает.
Вы даете гарантии, что после вашего аудита нас не оштрафуют?
Мы не можем гарантировать, что вас не оштрафуют — это зависело бы от нас, а не от регулятора. Но мы гарантируем:
Полноту анализа — мы проверим все применимые требования и не пропустим значимых нарушений
Качество рекомендаций — наши рекомендации основаны на реальной практике регуляторов и проверены в десятках проектов
Актуальность — мы отслеживаем изменения в законодательстве и учитываем их в работе
Честность — мы не скроем найденные нарушения и не преуменьшим их серьезность
Что мы советуем клиентам:
- Выполните все рекомендации из дорожной карты (особенно с высоким приоритетом)
- Документируйте процесс исправления (приказы, акты, отчеты)
- При проверке предъявляйте не только документы, но и доказательства их исполнения
При таком подходе риск серьезных штрафов минимален. Даже если регулятор найдет какие-то недочеты, наличие системы комплаенса и добросовестных усилий по ее поддержанию будет смягчающим обстоятельством.
Комплаенс — это непрерывный процесс
Комплаенс-аудит — это не разовая акция. Законы меняются, появляются новые приказы, регуляторы меняют требования. Мы рекомендуем проводить комплаенс-аудит ежегодно или при существенных изменениях в бизнесе (новые направления, выход на новые рынки, смена юрисдикции).