KPI & Audit an ninh nhà máy: Đo lường hiệu quả bảo vệ

KPI & Audit an ninh nhà máy: Đo lường hiệu quả hệ thống bảo vệ như thế nào?

Một nhà máy có thể có hàng chục nhân viên bảo vệ, nhiều cổng kiểm soát, camera hoạt động liên tục và hàng trăm lượt tuần tra mỗi tháng.

Nhưng có một câu hỏi quan trọng:

Làm thế nào để biết hệ thống an ninh thực sự đang hoạt động hiệu quả?

Nếu câu trả lời chỉ là:

“Không có sự cố nghiêm trọng xảy ra.”

thì vẫn chưa đủ.

Bởi một hệ thống có thể chưa xảy ra sự cố đơn giản vì chưa phát hiện được điểm yếu.

Một cổng có thể được kiểm soát hàng ngày nhưng vẫn tồn tại lỗ hổng về quyền tiếp cận. Một tuyến tuần tra có thể được hoàn thành đầy đủ nhưng vẫn bỏ sót điểm mù. Một kho có thể chưa xảy ra thất thoát nhưng quyền tiếp cận lại đang quá rộng. Một nhà thầu có thể được đăng ký tại cổng nhưng sau đó di chuyển đến khu vực ngoài phạm vi công việc.

Vì vậy, khi quản trị an ninh nhà máy, doanh nghiệp không chỉ cần một hệ thống để vận hành.

Doanh nghiệp cần một hệ thống để đo lường, kiểm tra và cải tiến.

Đó chính là vai trò của KPI và Audit an ninh nhà máy.

Không thể quản lý tốt thứ mà doanh nghiệp không đo lường

Trong vận hành sản xuất, doanh nghiệp thường có rất nhiều chỉ số:

• sản lượng;
• chất lượng;
• tỷ lệ lỗi;
• thời gian dừng máy;
• năng suất;
• chi phí;
• tiến độ.

Nhưng với an ninh, nhiều doanh nghiệp lại chỉ nhìn vào một chỉ số:

Có xảy ra mất mát hay không?

Cách đánh giá này quá đơn giản. An ninh là một hệ thống phòng ngừa. Nếu chờ đến khi xảy ra mất tài sản mới đánh giá hiệu quả thì doanh nghiệp đã đánh giá quá muộn.

Một hệ thống KPI tốt phải giúp trả lời được những câu hỏi sớm hơn:

Cổng có được kiểm soát đúng không?

Quyền tiếp cận có được quản lý không?

Tuần tra có thực sự bao phủ điểm rủi ro không?

Nhà thầu có tuân thủ phạm vi được phê duyệt không?

Hàng hóa có được đối chiếu đầy đủ không?

Sự cố có được báo cáo đúng thời gian không?

Các điểm yếu phát hiện trước đó đã được khắc phục chưa?

Đó mới là những dữ liệu có giá trị quản trị.

KPI an ninh nhà máy không nên chỉ đo số lượng công việc

Một sai lầm phổ biến khi xây dựng KPI cho lực lượng bảo vệ là lấy số lượng hoạt động làm thước đo chính.

Ví dụ:

“Mỗi ca phải tuần tra 10 vòng.”

Con số này rất dễ kiểm tra.

Nhưng nó chưa trả lời được:

10 vòng đó có thực sự kiểm soát được rủi ro không?

Tương tự:

“Mỗi ca phải kiểm tra 100 lượt.”

100 lượt kiểm tra không đồng nghĩa với 100 lượt kiểm soát hiệu quả.

Một hệ thống KPI tốt cần chuyển từ:

Đo hoạt động

sang:

Đo chất lượng kiểm soát

và cao hơn nữa:

Đo kết quả kiểm soát rủi ro.

Đây là điểm rất quan trọng khi doanh nghiệp xây dựng KPI bảo vệ nhà máy.

Có thể chia KPI an ninh nhà máy thành 4 nhóm

Thay vì xây dựng một danh sách dài hàng chục chỉ số, doanh nghiệp có thể bắt đầu bằng 4 nhóm:

Cách phân nhóm này giúp KPI không biến thành một bảng chấm công.

KPI tuân thủ: Hệ thống có được vận hành đúng không?

Đây là lớp KPI cơ bản nhất.

Ví dụ:

Tỷ lệ hoàn thành ca trực

Tỷ lệ hoàn thành tuyến tuần tra

Tỷ lệ kiểm tra đúng thời gian

Tỷ lệ kiểm soát khách đúng quy trình

Tỷ lệ kiểm soát phương tiện đúng quy trình

Tỷ lệ kiểm tra hàng hóa có đầy đủ đối chiếu

Tỷ lệ hồ sơ nhà thầu đầy đủ

Tỷ lệ báo cáo ca trực hoàn thành

Những chỉ số này giúp doanh nghiệp phát hiện những vấn đề rất cơ bản.

Ví dụ:

Quy định yêu cầu kiểm tra cổng phụ mỗi giờ. Dữ liệu cho thấy trong tháng có 8% lượt kiểm tra bị bỏ qua. Đây là tín hiệu cần xem xét. Nhưng vẫn chưa đủ để kết luận rằng hệ thống an ninh kém.

Doanh nghiệp cần tìm hiểu:

Tại sao lượt kiểm tra bị bỏ qua?

Có thể do thiếu người. Có thể do tuyến quá dài. Có thể do thời gian giao ca. Có thể do quy trình chưa phù hợp.

Hoặc có thể do cách tổ chức lực lượng chưa hợp lý.

KPI phát hiện: Hệ thống có nhìn thấy rủi ro không?

Đây là nhóm KPI có giá trị cao hơn.

Một hệ thống an ninh tốt không chỉ “không có sự cố”.

Nó phải có khả năng phát hiện bất thường trước khi bất thường trở thành sự cố.

Có thể theo dõi:

Số điểm yếu được phát hiện

Số bất thường tại cổng

Số trường hợp quyền tiếp cận không phù hợp

Số sai lệch hàng hóa

Số phương tiện có thông tin không khớp

Số trường hợp nhà thầu vi phạm phạm vi được phê duyệt

Số điểm bất thường tại chu vi

Số thiết bị giám sát có vấn đề

Điều này tạo ra một cách nhìn khác.

Ví dụ:

Tháng trước hệ thống ghi nhận 3 bất thường.

Tháng này ghi nhận 12 bất thường.

Thoạt nhìn, con số 12 có vẻ xấu hơn.

Nhưng nếu 12 bất thường đều được phát hiện sớm và xử lý trước khi gây thiệt hại, thì có thể hệ thống đang phát hiện tốt hơn.

Do đó:

Số lượng bất thường không nên được đánh giá tách rời khỏi khả năng xử lý và kết quả cuối cùng.

KPI phản ứng: Khi có sự cố, hệ thống phản ứng nhanh đến đâu?

Không phải sự cố nào cũng có thể ngăn chặn hoàn toàn.

Vì vậy, doanh nghiệp cần đo khả năng phản ứng.

Một số chỉ số có thể gồm:

Thời gian từ phát hiện đến báo cáo

Thời gian từ báo cáo đến phản ứng

Thời gian kiểm soát khu vực

Thời gian huy động lực lượng liên quan

Tỷ lệ báo cáo đúng quy định

Tỷ lệ sự cố được xử lý đúng quy trình

Ví dụ:

Một sự cố xảy ra lúc 22:15.

Bảo vệ phát hiện lúc 22:17.

Báo cáo lúc 22:18.

Người có thẩm quyền tiếp nhận lúc 22:20.

Lực lượng liên quan có mặt lúc 22:24.

Chuỗi dữ liệu này có giá trị hơn nhiều so với một dòng:

“Sự cố đã được xử lý.”

Nó cho doanh nghiệp thấy nút thắt nằm ở đâu.

KPI cải tiến: Sau sự cố, hệ thống có tốt hơn không?

Đây là nhóm KPI thường bị bỏ quên nhất.

Giả sử một sự cố xảy ra vì:

camera không quan sát được một khu vực.

Doanh nghiệp xử lý sự cố. Nhưng ba tháng sau, camera vẫn không được bổ sung. Vậy hệ thống đã thực sự cải thiện chưa?

Một số chỉ số có thể theo dõi:

Tỷ lệ hoàn thành hành động khắc phục

Thời gian đóng hành động khắc phục

Số điểm yếu tái diễn

Tỷ lệ cập nhật quy trình sau sự cố

Tỷ lệ đào tạo lại sau thay đổi

Số kiến nghị Audit đã được xử lý

Đây chính là điểm kết nối giữa xử lý sự cố an ninh nhà máy và quản trị cải tiến.

Audit an ninh nhà máy khác KPI như thế nào?

Hai khái niệm này liên quan chặt chẽ nhưng không giống nhau.

KPI trả lời:

Hệ thống đang hoạt động như thế nào?

Audit trả lời:

Hệ thống có thực sự phù hợp và được kiểm soát đúng không?

Ví dụ:

KPI cho thấy:

98% lượt tuần tra được hoàn thành.

Đây là một kết quả rất tốt về mặt tuân thủ.

Nhưng Audit có thể phát hiện:

98% lượt tuần tra đều đi qua cùng một tuyến và bỏ sót một điểm mù phía sau kho.

Như vậy: KPI tốt nhưng kiểm soát thực tế chưa tốt. Đây là lý do không nên dùng KPI để thay thế Audit.

Audit không phải là đi tìm lỗi của nhân viên bảo vệ

Nếu Audit được hiểu là:

“Tìm xem nhân viên nào vi phạm để xử lý.”

thì doanh nghiệp đang bỏ lỡ giá trị lớn nhất của Audit.

Audit tốt phải đặt câu hỏi:

Hệ thống có đang tạo ra điều kiện để con người thực hiện đúng hay không?

Ví dụ:

Bảo vệ không kiểm tra đầy đủ nhà thầu.

Thay vì ngay lập tức kết luận:

“Bảo vệ làm sai.”

cần xem:

Quy trình có rõ không?

Danh sách nhà thầu có được cập nhật không?

Người phê duyệt có cung cấp thông tin kịp thời không?

Cổng có đủ nhân sự không?

Phần mềm hoặc sổ đăng ký có thuận tiện không?

Nhân viên đã được đào tạo chưa?

Đôi khi lỗi nằm ở hệ thống, không nằm ở cá nhân.

Audit nên kiểm tra những gì?

Một cuộc kiểm tra an ninh nhà máy có thể được xây dựng theo nhiều lớp.

Audit chu vi: Có điểm yếu nào đang bị bỏ qua?

Đối với chu vi, Audit nên kiểm tra:

Hàng rào

Cổng

Cổng phụ

Khóa

Chiếu sáng

Camera

Điểm mù

Tuyến tuần tra

Khu vực tiếp giáp

Nhật ký kiểm tra

Không chỉ hỏi:

“Có tuần tra không?”

mà cần hỏi:

“Tuyến tuần tra có thực sự đi qua những nơi có rủi ro cao không?”

Đây là khác biệt giữa tuần tra có hoạt động và tuần tra có hiệu quả.

Audit kho: Đừng chỉ kiểm tra số lượng bảo vệ

Kho thường là một trong những khu vực cần kiểm soát chặt.

Audit nên xem xét:

Quyền tiếp cận

Phân vùng

Nhập kho

Xuất kho

Di chuyển nội bộ

Chứng từ

Camera

Kiểm kê

Nhật ký

Xử lý sai lệch

Một câu hỏi rất quan trọng là:

Nếu một tài sản bị thiếu, doanh nghiệp có thể truy xuất được nó đã đi qua những đâu không?

Nếu câu trả lời là không, vấn đề không chỉ nằm ở bảo vệ. Đó có thể là vấn đề của hệ thống kiểm soát tài sản.

Audit kiểm soát phương tiện

Đối với phương tiện, có thể kiểm tra:

Đăng ký trước

Biển số

Tài xế

Mục đích

Lịch giao nhận

Khu vực

Tuyến di chuyển

Hàng hóa

Thời gian vào – ra

Đặc biệt cần kiểm tra chiều ra khỏi nhà máy.

Bởi:

Một phương tiện được phép vào không đồng nghĩa với việc mọi tài sản trên xe đều được phép rời nhà máy.

Đây là nơi KPI và Audit có thể phát hiện những khoảng trống mà hoạt động kiểm tra cổng thông thường không nhìn thấy.

Audit nhà thầu: Kiểm tra cả vòng đời quyền tiếp cận

Nhà thầu thường có quyền tiếp cận tạm thời.

Vì vậy, Audit cần kiểm tra:

Đăng ký → Phê duyệt → Cấp quyền → Vào khu vực → Thực hiện công việc → Giám sát → Rời nhà máy → Thu hồi quyền

Một lỗi rất thường gặp là:

Quyền được cấp đúng nhưng không được thu hồi đúng lúc.

Đây là một điểm yếu có thể tồn tại lâu mà doanh nghiệp không nhận ra nếu chỉ kiểm tra tại cổng.

Audit sự cố: Hệ thống có học được từ những gì đã xảy ra?

Sau mỗi sự cố đáng chú ý, nên xem xét:

Nguyên nhân là gì?

Điểm kiểm soát nào thất bại?

Ai phát hiện?

Báo cáo có kịp thời không?

Phản ứng có phù hợp không?

Thông tin có được bảo toàn không?

Hành động khắc phục là gì?

Đã hoàn thành chưa?

Sự cố có tái diễn không?

Nếu doanh nghiệp liên tục gặp cùng một loại sự cố thì đó là tín hiệu rõ ràng:

Hệ thống đang xử lý triệu chứng nhưng chưa xử lý nguyên nhân.

Một bảng KPI không thể thay thế khảo sát thực tế

Đây là điều doanh nghiệp cần đặc biệt lưu ý.

Một Dashboard có thể hiển thị:

98% tuần tra hoàn thành.

99% ca trực đủ người.

100% báo cáo được gửi.

Nhưng nếu mặt bằng nhà máy vừa thay đổi thì các KPI cũ có thể không còn phản ánh đúng rủi ro.

Ví dụ nhà máy vừa xây thêm một kho.

Khu vực mới chưa có trong tuyến tuần tra.

Nhưng KPI vẫn có thể đạt 100%.

Do đó:

KPI phải được đặt trong bối cảnh rủi ro thực tế.

Và đó là lý do Audit, khảo sát hiện trường và đánh giá rủi ro cần được thực hiện song song.

Nên xây dựng Dashboard an ninh nhà máy như thế nào?

Không cần bắt đầu bằng một Dashboard quá phức tạp.

Có thể bắt đầu với một bảng gồm 5 nhóm:

Sau đó có thể phân tích theo:

Ngày

Tuần

Tháng

Ca

Khu vực

Vị trí

Loại sự cố

Mức độ rủi ro

Điều quan trọng không phải là Dashboard đẹp.

Mà là:

Người quản lý nhìn vào Dashboard có biết mình cần hành động gì không?

KPI nào nên giao cho nhân viên bảo vệ?

Không nên giao cho nhân viên quá nhiều chỉ số.

Ở cấp vị trí, nên tập trung vào những thứ họ thực sự kiểm soát được:

Tuân thủ ca trực

Tuân thủ tuyến tuần tra

Kiểm soát cổng

Ghi nhận bất thường

Báo cáo sự cố

Tác phong và kỷ luật

Thời gian phản ứng

Nhưng với Chỉ huy mục tiêu, KPI phải cao hơn.

Có thể bao gồm:

Tỷ lệ tuân thủ toàn mục tiêu

Tỷ lệ sự cố

Tỷ lệ khắc phục điểm yếu

Chất lượng báo cáo

Kết quả Audit

Mức độ hài lòng của khách hàng

Tỷ lệ sự cố tái diễn

Như vậy, KPI được phân tầng theo trách nhiệm, thay vì dùng một bộ chỉ tiêu cho tất cả.

KPI của dịch vụ bảo vệ không nên chỉ đo “đủ quân”

Một nhà máy có thể yêu cầu:

20 vị trí bảo vệ.

Nhà cung cấp dịch vụ đáp ứng đủ 20 người.

Nhưng nếu:

Người mới chưa được đào tạo

Bàn giao ca kém

Tuần tra không hiệu quả

Báo cáo không đầy đủ

Chỉ huy mục tiêu không kiểm soát

thì việc “đủ quân” không thể đại diện cho chất lượng dịch vụ.

Do đó, khi đánh giá dịch vụ bảo vệ nhà máy, doanh nghiệp nên xem xét cả:

Đủ người

Đúng năng lực

Đúng quy trình

Đúng kết quả

Đây cũng là cách tiếp cận phù hợp khi doanh nghiệp lựa chọn và đánh giá một đơn vị cung cấp dịch vụ bảo vệ.

Audit nội bộ và Audit nhà cung cấp dịch vụ có gì khác nhau?

Nếu nhà máy sử dụng dịch vụ bảo vệ thuê ngoài, doanh nghiệp có thể có hai lớp kiểm tra.

Hai lớp này nên bổ trợ cho nhau.

Bởi nhà cung cấp có thể thực hiện đúng hợp đồng nhưng doanh nghiệp vẫn có thể tồn tại một rủi ro mới phát sinh từ thay đổi mặt bằng hoặc quy trình sản xuất.

Khi KPI và Audit kết hợp, doanh nghiệp có thể nhìn thấy “điểm mù”

Hãy hình dung:

KPI cho thấy:

Tuần tra: 100%

Audit phát hiện:

Tuyến tuần tra không đi qua khu vực có rủi ro cao mới phát sinh.

KPI:

Kiểm soát khách: 99%.

Audit:

Khách được kiểm soát tại cổng nhưng chưa có cơ chế kiểm soát khi di chuyển sang khu vực hạn chế.

KPI:

Xuất hàng: 100% có chứng từ.

Audit:

Chưa đối chiếu đầy đủ giữa chứng từ, phương tiện và thực tế hàng hóa.

Đây chính là giá trị của Audit.

KPI cho biết hệ thống đang làm gì. Audit giúp kiểm tra xem những việc đó có thực sự kiểm soát đúng rủi ro hay không.

Đừng biến KPI thành công cụ “phạt”

Nếu mọi KPI đều gắn với phạt, nhân sự có thể hình thành một hành vi rất nguy hiểm:

Không báo cáo thì không có sự cố.

Ví dụ:

Nếu một Chỉ huy mục tiêu bị đánh giá kém khi số sự cố tăng, họ có thể vô thức giảm số lượng báo cáo.

Điều đó làm Dashboard đẹp hơn.

Nhưng hệ thống thực tế lại nguy hiểm hơn.

KPI an ninh cần khuyến khích:

Phát hiện sớm

Báo cáo trung thực

Xử lý đúng

Khắc phục nhanh

Ngăn tái diễn

Thay vì chỉ khuyến khích:

Không có sự cố trên báo cáo.

Một hệ thống trưởng thành sẽ chuyển từ “đo sự cố” sang “đo khả năng kiểm soát”

Đây là bước phát triển quan trọng.

Ở cấp độ thấp, doanh nghiệp hỏi:

“Tháng này có mất gì không?”

Ở cấp độ tốt hơn:

“Tháng này có bao nhiêu sự cố?”

Ở cấp độ quản trị:

“Chúng ta đã phát hiện bao nhiêu điểm yếu trước khi chúng trở thành sự cố?”

Và ở cấp độ trưởng thành:

“Hệ thống có đang giảm dần mức độ rủi ro hay không?”

Đây mới là mục tiêu cuối cùng của KPI và Audit an ninh nhà máy.

Một chu trình quản trị an ninh hoàn chỉnh

Nếu kết nối toàn bộ những nội dung các bài viết được chúng tôi biên soạn tại Kiến Thức Nghiệp Vụ -> Nhà máy & Khu công nghiệp, doanh nghiệp có thể hình dung hệ thống như sau:

ĐÁNH GIÁ RỦI RO → PHÂN VÙNG → THIẾT LẬP KIỂM SOÁT → VẬN HÀNH → GIÁM SÁT → PHÁT HIỆN → XỬ LÝ SỰ CỐ → AUDIT → ĐO LƯỜNG KPI → KHẮC PHỤC → CẢI TIẾN → ĐÁNH GIÁ LẠI RỦI RO

Chu trình này tạo ra một hệ thống liên tục. Đánh giá rủi ro không phải làm một lần. Audit không phải làm để hoàn thành hồ sơ. KPI không phải để chấm điểm cho đẹp. Và xử lý sự cố không phải để đóng biên bản.

Tất cả đều phải quay trở lại một mục tiêu:

Làm cho hệ thống an ninh của nhà máy kiểm soát rủi ro tốt hơn theo thời gian.

Doanh nghiệp nên bắt đầu KPI & Audit an ninh từ đâu?

Nếu doanh nghiệp chưa có hệ thống, không nên bắt đầu bằng việc xây dựng một Dashboard 50 chỉ số.

Hãy bắt đầu đơn giản hơn.

Bước 1 — Xác định rủi ro trọng yếu

Nhà máy đang lo ngại điều gì nhất?

Xâm nhập?

Thất thoát?

Sai lệch hàng hóa?

Nhà thầu?

Phương tiện?

Kho?

Chu vi?

Bước 2 — Xác định lớp kiểm soát

Rủi ro đó đang được kiểm soát bằng:

Con người – Quy trình – Công nghệ

hay kết hợp cả ba?

Bước 3 — Xác định chỉ số

Chỉ số nào cho biết lớp kiểm soát đang hoạt động?

Bước 4 — Audit thực tế

Kiểm tra xem những gì báo cáo trên giấy có thực sự xảy ra ngoài hiện trường hay không.

Bước 5 — Khắc phục

Mỗi điểm yếu cần có:

Người phụ trách

Thời hạn

Biện pháp

Trạng thái

Bước 6 — Đo lại

Sau khi khắc phục, rủi ro có thực sự giảm không?

Nếu chưa, cần quay lại bước đánh giá.

Kết luận

Một hệ thống an ninh nhà máy tốt không thể chỉ được đánh giá bằng số lượng bảo vệ, số vòng tuần tra hay việc “không xảy ra mất mát”.

Doanh nghiệp cần biết:

Hệ thống đang kiểm soát những rủi ro nào?

Kiểm soát có được thực hiện đúng không?

Bất thường có được phát hiện sớm không?

Sự cố được phản ứng như thế nào?

Điểm yếu có được khắc phục không?

Sự cố có tái diễn không?

Rủi ro có giảm theo thời gian không?

Đó là lý do KPI và Audit an ninh nhà máy nên được xem là một phần của hệ thống quản trị, chứ không phải một bảng chấm điểm dành riêng cho lực lượng bảo vệ.

Khi doanh nghiệp kết nối đánh giá rủi ro, phân vùng an ninh, kiểm soát người, kiểm soát nhà thầu, kiểm soát phương tiện, kiểm soát hàng hóa, kiểm soát kho, kiểm soát chu vi và xử lý sự cố với KPI và Audit, hệ thống sẽ chuyển từ trạng thái:

“Có lực lượng bảo vệ.”

sang:

“Có một hệ thống an ninh có thể đo lường và cải tiến.”

Đây cũng là nền tảng để doanh nghiệp đánh giá một dịch vụ bảo vệ nhà máy không chỉ bằng số người được bố trí, mà bằng khả năng thực tế của hệ thống trong việc phòng ngừa, phát hiện, phản ứng và giảm thiểu rủi ro.

Nếu muốn đọc tiếp các nội dung liên quan, doanh nghiệp có thể tham khảo toàn bộ chuyên đề Kiến thức nghiệp vụ Nhà máy & Khu công nghiệp, nơi các bài về đánh giá rủi ro, phân vùng, kiểm soát người, nhà thầu, phương tiện, hàng hóa, kho, chu vi và xử lý sự cố được xây dựng thành một chuỗi liên kết.

An ninh chỉ có thể được cải tiến khi doanh nghiệp đo lường được nó.