Hogyan válasszunk utazási kockázatkezelő platformot: 10 kérdés, amit minden biztonsági vezetőnek fel kell tennie

A vállalatának van krízisterve. A jogi csapat átnézte a gondoskodási kötelezettségeket. Van utazási politikája. Ami viszont hiányozhat, az egy olyan platform, amely mindezt működőképessé teszi, amikor valami ténylegesen rosszul sül el.

Az utazási kockázatkezelő szoftverek piaca zsúfolt, és minden szállító azt állítja, hogy a platformja mindent tud. Valós idejű riasztások. Globális lefedettség. Zökkenőmentes integrációk. Gondoskodási kötelezettségnek való megfelelés. A harmadik demó után már minden ugyanúgy hangzik.

Ez az útmutató átvágja a ködöt. Bemutatja, hogy mit csinál valójában egy TRM platform, azt a 10 kérdést, amit minden szállítónak fel kell tennie, azokat a figyelmeztető jeleket, amelyek többet mondanak, mint bármelyik értékesítési prezentáció, és azt, hogy mi különbözteti meg azokat a platformokat, amelyek nyomás alatt is teljesítenek, azoktól, amelyek csak a PowerPointban mutatnak jól.

Akár a HAAVYN-t választja, akár nem, ennek az útmutatónak a végére pontosan tudnia kell, hogyan kell lefolytatni egy olyan értékelést, amely megvédi az embereit és a szervezetét.

Mit csinál valójában egy utazási kockázatkezelő platform?

Mielőtt értékelni tudna egyet, tisztában kell lennie azzal, hogy mit vásárol.

Egy utazási kockázatkezelő platform nem csupán egy nyomkövető eszköz. Az alapverzió – annak ismerete, hogy hol tartózkodnak az utazók – csak az alapkövetelmény. A valódi feladat az, hogy a fenyegetettségi hírszerzést a megfelelő emberekhez juttassa el a megfelelő pillanatban, lehetővé tegye az összehangolt reagálást, és létrehozza azokat a dokumentumokat, amelyek bizonyítják, hogy a szervezet teljesítette a jogi kötelezettségeit.

Ez azt jelenti, hogy egy működőképes TRM platform több dolgot párhuzamosan végez:

Fenyegetettségi hírszerzést gyűjt több száz forrásból (hírek, kormányzati figyelmeztetések, OSINT, partneri hírcsatornák), és strukturált kockázati adatokká alakítja
Valós idejű képet tart fenn az utazók tartózkodási helyéről, útvonalairól és foglalásairól
Riasztásokat küld az utazóknak és a biztonsági csapatoknak, amikor egy kockázati esemény metszi az utazók tartózkodási helyét
Kommunikációs eszközöket biztosít – kétirányú bejelentkezéseket, tömeges értesítéseket, vészhelyzeti hívásokat
Integrálódik a TMC-hez, a HR-rendszerhez és a foglalási eszközökhöz, hogy az utazói adatok naprakészek maradjanak
Jelentéseket és auditnaplókat generál az incidens utáni felülvizsgálathoz és a jogi megfeleléshez
Ideális esetben biztosítást és vészhelyzeti asszisztencia-szolgáltatásokat csomagol a hírszerzési réteg köré

A szakadék azok között a platformok között, amelyek ezt jól csinálják, és azok között, amelyek csak úgy néznek ki, mintha jól csinálnák, óriási. Ezt a szakadékot nem fogja látni demó környezetben.

A 10 kérdés, amit fel kell tenni minden TRM-szállítónak

1. Milyen gyorsan jut el egy riasztás az utazóhoz egy esemény bekövetkezte után?

Ez a legfontosabb kérdés, és a legtöbb szállító homályos választ ad. Kérjen konkrétumokat: mennyi az átlagos idő az esemény észlelésétől az utazó értesítéséig? Ezt percekben vagy órákban mérik? Változik-e eseménytípusonként, régiónként vagy súlyossági szintenként?

Egy utazási kockázatkezelő platform, amelynek 45 percbe telik riasztani egy utazót egy gyorsan mozgó eseményről – egy robbantásról, egy hirtelen repülőtér-lezárásról, egy polgári zavargás kitöréséről –, nem véd meg senkit. A 2019-es Srí Lanka-i húsvét vasárnapi robbantások 269 embert öltek meg. Sok szervezet, amelynek munkatársai aznap reggel Colombóban tartózkodtak, órákig nem rendelkezett rálátással. Az esemény és az értesítés közötti időrésben történik a kár.

Kérje meg a szállítókat, hogy mutassanak egy történelmi példát: válasszon egy valós incidenst, és vezessék végig a riasztási idővonalukon az esemény észlelésétől az utazóhoz való eljuttatásig.

2. Támogatja a platform az ISO 31030 megfelelőségi dokumentációt?

Az ISO 31030 szabvány az utazási kockázatkezelésre a legtöbb jogrendszerben nem kötelező jogilag – de de facto viszonyítási ponttá vált arra vonatkozóan, hogyan néz ki egy hiteles gondoskodási kötelezettség program. Amikor felelősségi kérdések merülnek fel, a bíróságok, a biztosítók és a szabályozó hatóságok egyre gyakrabban kérdezik, hogy a folyamatai összhangban voltak-e vele.

A TRM-piacról szóló Everbridge-elemzésben idézett kutatás szerint a szervezeteknek csak 24%-a rendelkezik erős TRM-programmal az ISO 31030 által meghatározottak szerint, és csak 21% érzi úgy, hogy megfelelő intézkedésekkel rendelkezik a szabvány kulcsfontosságú utazásbiztonsági követelményeinek teljesítéséhez. Ebben a résben él a pereskedés.

Kérdezze meg konkrétan a szállítókat: generál-e a platform dokumentációt az utazás előtti kockázatértékelésekről? Naplózza-e, hogy az utazók mikor kapták meg a kockázati információkat, és hogy elismerték-e azokat? Exportálható-e egy adott út kockázati értesítéseinek auditnaplója?

Ha a válasz nem, vagy „együtt tudunk dolgozni a csapatával ezen”, az egy figyelmeztető jel.

3. Hogyan néz ki valójában az API-integrációs ökoszisztéma?

Minden szállító állít API-integrációkat. Amit tudnia kell, az az, hogy ezek az integrációk valódiak, karbantartottak és kétirányúak-e.

A legfontosabb integrációk:

Az utazásszervező cége (TMC) vagy foglalási eszköze – hogy az útvonaladatok automatikusan, manuális feltöltés nélkül áramoljanak a TRM-platformba
A HR-rendszere – hogy a munkavállalói nyilvántartások, osztálykódok és vészhelyzeti kapcsolatok mindig naprakészek legyenek
A globális monitoring- vagy biztonsági műveleti központ eszközei – hogy a riasztások beépülhessenek a meglévő munkafolyamatba

Kérjen műszaki adatlapot. Kérdezze meg, mely integrációk natívak és melyek egyedi fejlesztésűek. Kérdezze meg, ki tartja karban őket, amikor a harmadik féltől származó eszköz API-frissítést ad ki. Kérdezze meg, hogy a csapatának IT-erőforrásokra van-e szüksége a bevezetéshez, vagy plug-and-play megoldásról van szó.

Egy platform, amely hat hónapos integrációs projektet igényel a Concur-telepítéshez való csatlakozáshoz, nem az a zökkenőmentes megoldás, amit ígértek.

4. Milyen jó a mobilalkalmazás – és tesztelték-e már az utazói?

A mobilalkalmazás az utolsó mérföld. Itt kapja meg az utazó a riasztást, itt erősíti meg a biztonságát, vagy itt hív segítséget hajnali 2-kor egy olyan városban, ahol soha nem járt.

Kérjen hozzáférést a szállító tényleges fogyasztói alkalmazásához, nem demó környezethez. Töltse le. Ellenőrizze, hogy működik-e offline vagy gyenge kapcsolattal – mert a krízisesemények gyakran egybeesnek az infrastruktúra zavaraival. Ellenőrizze az SOS-folyamatot: hány érintés kell a vészhelyzeti reagáló központhoz? VoIP-on vagy valódi telefonszámon keresztül működik? Mi történik, ha az alkalmazás összeomlik?

A legjobb platformok folyamatos háttérhelymeghatározást tartanak fenn, amely nem meríti le az akkumulátort, és akkor is működik, ha az adatkapcsolat szakadozott. Egyes platformok arra támaszkodnak, hogy az utazók aktívan megnyitják az alkalmazást a hely megosztásához – ami pontosan az a helyzet, amikor lehet, hogy nem teszik meg.

Kérdezze meg azt is: a meglévő ügyfelek hány százalékánál haladja meg az utazói alkalmazás-elfogadottság a 80%-ot? Az alacsony elfogadottsági arány többet mond a használhatóságról, mint bármely funkciólista.

5. Milyen vészhelyzeti asszisztencia- és kártérítési támogatás jár hozzá?

Alapvető különbség van egy olyan platform között, amely közli, hogy probléma van, és egy olyan között, amely segít megoldani.

Egyes TRM-eszközök tisztán hírszerzési és riasztási jellegűek – azonosítják a kockázatot és értesítik az embereket, de a tényleges vészhelyzeti asszisztenciát (orvosi evakuálás, jogi tanácsadás, helyszíni támogatás) egy külön asszisztenciacég kezeli, amellyel külön szerződése van. Mások beépített asszisztencia-szolgáltatásokkal vagy szoros partnerségekkel rendelkeznek.

Azoknak a szervezeteknek, amelyek valóban magas kockázatú helyszínekre küldenek munkatársakat – kitermelőipari létesítmények, NGO-terepműveletek, gyógyszeripari kutatások feltörekvő piacokon –, az a kérdés, hogy ki veszi fel a telefont, amikor az utazónak evakuálásra van szüksége, nem elméleti.

Kérdezze meg konkrétan a szállítókat: mi történik a riasztás után? Van-e 24/7-es vészhelyzeti reagáló központ emberi munkatársakkal? Mi az SLA egy bajba jutott utazó esetkezelőhöz való kapcsolására? Az orvosi evakuálás koordinációja a szolgáltatás része, vagy külön szerződés? Ha egy utazó kártérítési igényt nyújt be egy incidens után, ki kezeli azt?

Az integrált biztosítás és asszisztencia – ahol a hírszerzés, a riasztás, a reagálás és a biztosítási igény mind egyetlen kapcsolaton keresztül zajlik – lényegesen különbözik attól, mintha az egyes összetevőket külön vásárolná meg, és reménykedne abban, hogy a váltások nyomás alatt működnek.

6. Mik az SLA-k, és mi történik, ha nem teljesítik azokat?

Minden platformnak vannak szolgáltatási szintű megállapodásai. Kevesen tárgyalják meg azokat proaktívan. Kérdezzen rá közvetlenül:

Mi a rendelkezésre állási SLA? (A 99,9% jól hangzik, amíg ki nem számolja, hogy ez évi 8,7 óra állásidőt engedélyez)
Mi az SLA a kritikus riasztások kézbesítésére?
Mi történik egy tömeges áldozatokkal járó esemény során, amikor több száz szervezet egyszerre pingeli a platformot? Tesztelték-e a terhelhetőséget nagy léptékben?
Milyen jogorvoslati lehetőségek vannak, ha megsértik az SLA-t? Van-e tényleges pénzügyi kártérítés, vagy csak jóváírás a jövőbeli számlákra?

Az SLA-beszélgetés azt is felfedi, hogyan gondolkodik a szállító az elszámoltathatóságról. Egy szállító, amely kitérősen válaszol az SLA-részletekre, vagy „nagyon magas megbízhatóságunk van” válasszal hárít, fontos dolgot árul el.

7. Hogyan kezeli a platform az utazói adatokat, és milyen adatrezidencia-opciók vannak?

Ez a kérdés megkerülhetetlenné vált minden olyan szervezet számára, amely a GDPR hatálya alá tartozik, vagy olyan jogrendszerekben foglalkoztat munkatársakat, ahol szigorú adatvédelmi előírások vannak.

Egy TRM-szállítóval megosztja az alkalmazottai valós idejű tartózkodási helyére vonatkozó adatokat. Ez érzékeny személyes adat, komoly megfelelőségi vonzatokkal. Kérdezze meg:

Hol tárolják az utazói adatokat? Mely felhő-régiókban?
Milyen adatrezidencia-opciók állnak rendelkezésre? Az EU-s utazói adatok maradhatnak-e EU-s infrastruktúrában?
Mi az adatmegőrzési szabályzat? Meddig őrzik a helyelőzményeket, és törölhetők-e?
Megosztják-e az utazói adatokat harmadik felekkel, és ha igen, milyen körülmények között?
Mi az adatszivárgás-bejelentési folyamat és határidő?

Kérdezzen az utazói hozzájárulási munkafolyamatról is. Hogyan kezeli a platform azokat a munkavállalókat, akik kihagyják a helymeghatározást? Mi a protokoll, ha egy utazó adatait jogi eljárás keretében kérik ki egy harmadik országban?

A rossz válaszok itt nem csak megfelelőségi kockázatok – jelzések arról, hogy a szállító mennyire veszi komolyan a biztonságot összességében.

8. Mi a tényleges földrajzi lefedettség, és honnan származik a hírszerzés?

A „220 ország” vagy a „globális lefedettség” nem mond semmit. Amit tudnia kell, az az, hogyan szerzik a hírszerzést, és hogyan teljesít azokban a régiókban, ahol az utazói kitettsége van.

Kérje meg a szállítókat, hogy vezessék végig a hírszerzési forrásaikon egy olyan régión keresztül, amelyet aktívan használ – Nyugat-Afrika, Közép-Ázsia, Délkelet-Ázsia, bárhol. Hány forrás táplálja a fenyegetettségi képet az adott régióban? Milyen nyelveken vannak ezek a források? Hogyan kerülnek be a helyi incidensek – egy tüntetés egy másodlagos városban, egy útlezárás egy bányatelep közelében – a nagyobb nemzetközi eseményekhez képest?

A különbség egy olyan platform között, amely globális angol nyelvű híreket aggregál, és egy olyan között, amely valódi helyi nyelvű forráshálózatokkal és helyszíni elemzői lefedettséggel rendelkezik, jelentős. Csak akkor fogja megtudni, melyik van, ha valami olyan helyen történik, ami nincs a címlapokon.

Kérdezze meg, hogy emberi elemzők felülvizsgálják-e a mesterséges intelligencia által generált fenyegetettségi értékeléseket, vagy a hírszerzési csővezeték teljesen automatizált. Mindkét megközelítésnek vannak kompromisszumai – az automatizálás sebességet ad, az emberi felülvizsgálat kontextust és alacsonyabb téves riasztási arányt.

9. Milyen jelentési és auditképességet biztosít a platform?

Amikor a jogi tanácsadó egy incidens után hív, és rekonstruálnia kell, hogy pontosan mit tudott a biztonsági csapat, mikor tudta, és mit kommunikált az érintett utazónak – mit tud a platform előállítani?

Ez a gondoskodási kötelezettség papírnyoma. Tartalmaznia kell:

Időbélyegzett naplókat a generált és kézbesített kockázati riasztásokról
Az utazói visszaigazolások vagy bejelentkezési válaszok nyilvántartásait
Az utazás előtti kockázatértékelési dokumentációt
A biztonsági csapat és az érintett utazók közötti kommunikációs naplókat
Az incidensreagálási idővonalakat

A megfelelésen túl a szilárd jelentéskészítés lehetővé teszi a fejlődést. Mely úti célok generálták a legtöbb riasztást az elmúlt negyedévben? Mely osztályokon a legalacsonyabb az alkalmazás-elfogadottság? Hol csúsznak le az utazás előtti tájékoztatók kitöltési arányai? Egy platform, amely nem tud válaszolni ezekre a kérdésekre, fekete doboz, nem kockázatkezelő eszköz.

Kérjen mintajelentést. Kérdezze meg, hogy a jelentések testre szabhatók-e és exportálhatók-e olyan formátumokban, amelyeket a jogi és HR-csapatok ténylegesen használni tudnak.

10. Mit tartalmaz valójában az árazási modell – és hol nőnek a költségek?

A TRM-platformok árazása hírhedten átláthatatlan. A szállítók jellemzően az utazók száma, a vállalati létszám vagy ezek kombinációja alapján áraznak. A listaár ritkán tükrözi, amit valójában fizetni fog, miután hozzáadja az integrációkat, a vészhelyzeti asszisztencia-szintet, a prémium országlefedettséget vagy az API-hozzáférést, amelyre az IT-csapatnak szüksége van.

Kérjen teljes körű árajánlatot, amely tartalmazza:

Az alap platformlicencet
Az összes szükséges integrációt (TMC, HR, SIEM)
A vészhelyzeti asszisztencia-szolgáltatásokat – benne van vagy felár?
A bevezetési és onboarding költségeket
A képzési díjakat
Az éves áremelési feltételeket

Kérdezze meg azt is: mi történik, ha az utazók száma megduplázódik egy felvásárlás után? Ha a költségek lineárisan nőnek a létszámmal, egy gyors terjeszkedés jelentős, nem tervezett kiadást okozhat. Szereztesse meg írásban a skálázási feltételeket, mielőtt aláír.

Figyelmeztető jelek, amelyek többet mondanak, mint az értékesítési prezentációk

Az értékelési folyamatban néhány minta megbízhatóan előre jelzi a későbbi problémákat.

Nem tudnak megnevezni egy incidenst, ahol a platformjuk teljesített. Minden platformszállítónak tudnia kell leírni egy valós kríziseseményt – puccsot, földrengést, terrortámadást –, és végigvezetni, hogyan észlelte a platform, hogyan riasztotta az érintett utazókat, és hogyan támogatta a reagálást. Ha csak elvontan tudják leírni a képességeket, az aggasztó.

A demó tökéletes adatokra épül. A TRM-platformok remekül működnek demókban, ahol az útvonaladatok tiszták, az utazónál telepítve van az alkalmazás, a kapcsolat tökéletes, és a krízis egy szépen kategorizált eseménytípus. Kérdezze meg, mi történik, ha a foglalások olyan formátumban vannak, amelyet a platform nem ismer fel, ha az utazónak nincs alkalmazása, vagy ha az esemény nem egyértelmű. A valós működési körülmények kaotikusak.

A támogatás nem érhető el az Ön krízisidőablakában. Ha az utazói az ázsiai-csendes-óceáni térségben dolgoznak, és a szállító SOC-ja csak amerikai keleti parti idő szerint működik, ez a rés számít. Kérdezzen konkrétan a kulcsfontosságú időzónáinak lefedettségéről.

A referenciák mind nagyvállalatok. Ha középvállalat, kérjen referenciákat hasonló méretű és összetettségű szervezetektől. A Fortune 100-as biztonsági csapatokra épített platformok, amelyeknek dedikált munkatársaik vannak, nem mindig megfelelőek egy olyan kockázatkezelőnek, aki más feladatai mellett viszi a programot.

Az adatvédelmi és jogi válaszok az értékesítőtől jönnek. Az adatrezidenciára, a GDPR-megfelelésre és a jogi zárolásokra vonatkozó kérdésekre műszaki vagy jogi kapcsolattartónak kell válaszolnia, nem egy értékesítőnek, aki beszédpontokból olvas fel. Ha nem tud eljutni ezekhez az emberekhez, az sokat elárul arról, hogyan kezeli a cég a megfelelést belsőleg.

Mit keressen egy rövid értékelési időszak alatt

Egy teljes RFP-folyamat lefuttatása hónapokig tart. Ha sűrített idővonalon dolgozik – igazgatótanácsi kérés, új program indítása, egy éppen megtörtént incidens –, itt egy gyors értékelési keretrendszer:

Pilot egy valós forgatókönyvvel. Válasszon egy incidenst az elmúlt 90 napból egy, a működése szempontjából releváns régióban, és kérje meg minden szállítót, hogy mutassa meg a riasztási archívumát és az elemzői kommentárját az adott eseményről.
Tesztelje a mobilalkalmazást saját maga. Hozzon létre egy tesztfiókot, és szimulálja az utazói élményt. Hány lépés a segítségkérés? Hogyan néz ki az SOS-folyamat?
Kérjen három ügyfélreferenciát az iparágából vagy hasonló méretű szervezetektől. Hívja fel őket.
Nézetesse át a szerződési feltételeket a jogi csapattal, mielőtt a funkciókról tárgyalna. Az adatrezidencia, a felelősségkorlátok és az adatszivárgás-bejelentési követelmények olyan nem tárgyalható feltételek, amelyeket könnyebb rendezni, mielőtt bezárná magát.
Kérdezze meg a szállítót a legrosszabb incidenséről. Nem a legjobb esettanulmányáról. Egy szállító, amely képes beszélni a kudarcokról, arról, hogy mi ment rosszul, és mit változtattak, valódi működési érettséggel rendelkező szállító.

Hol illeszkedik a HAAVYN

A HAAVYN-t arra építették, hogy áthidalja a szakadékot, amely elválasztja a tisztán hírszerzési platformokat a valódi gondoskodási kötelezettség infrastruktúrától. A platform egyesíti a 220+ országban működő, több mint 1 200 figyelt forrásból származó valós idejű fenyegetettségi hírszerzést az integrált rosszindulatú kockázati biztosítással – amely kiterjed az emberrablásra váltságdíjért, a terrorizmusra, a politikai erőszakra és a CBRN-kitettségre –, valamint a mobil-first biztonsági eszközökkel, beleértve az SOS-t, a kétirányú bejelentkezéseket és a telemedicinát.

A gyakorlati különbség: amikor egy utazó SOS-t aktivál a HAAVYN alkalmazáson keresztül, egy olyan csapathoz jut, amely képes koordinálni az orvosi evakuálást, bevonni a helyszíni biztonsági erőforrásokat, kezelni a biztosítási igényt és dokumentálni a reagálást – mindezt egyetlen kapcsolaton keresztül, nem pedig három külön szállítói szerződésen át.

Az ISO 31030 megfelelés felé építkező szervezetek számára a HAAVYN biztosítja az utazás előtti kockázatértékelési eszközöket, az utazói kommunikációs naplókat és az auditnyomot, amelyet a megfelelőségi dokumentáció megkövetel.

Ha formális értékelést folytat, a HAAVYN-t úgy tervezték, hogy megállja a helyét a fenti kérdéseknél. Foglaljon műszaki bemutatót, amely tartalmaz egy élő incidens-bemutatót – válasszon bármely valós eseményt az elmúlt 12 hónapból, és megmutatjuk, mit állított elő a platformunk akkor.

GYIK

Mi az az utazási kockázatkezelő platform?

Az utazási kockázatkezelő (TRM) platform olyan szoftver, amely egyesíti a globális fenyegetettségi hírszerzést, az utazónyomon követést és a vészhelyzeti kommunikációs eszközöket, hogy segítse a szervezeteket a munkavégzés céljából utazó alkalmazottaik iránti gondoskodási kötelezettség teljesítésében. A platformok az egyszerű riasztóeszközöktől az átfogó rendszerekig terjednek, amelyek magukban foglalják az utazás előtti kockázatértékeléseket, a kétirányú utazói bejelentkezéseket, a vészhelyzeti reagálás koordinációját és a megfelelőségi dokumentációt.

Miben különbözik egy TRM-platform a szokványos vállalati utasbiztosítástól?

A szokványos vállalati utasbiztosítás egy incidens után meghatározott pénzügyi veszteségeket fedez – orvosi költségeket, utazáslemondást, elveszett poggyászt. Egy TRM-platform proaktív: figyeli a körülményeket az utazás előtt és alatt, riasztja az utazókat és a biztonsági csapatokat, amikor kockázatok merülnek fel, és lehetővé teszi az összehangolt reagálást. Sok incidens, amely pénzügyi vagy fizikai kárt okoz az utazóknak, vagy nem fedezett a szokványos biztosításban (politikai erőszak, emberrablás, aktív konfliktusövezetek), vagy késedelmet okoz, mert a szervezet nem rendelkezett a gyors reagáláshoz szükséges helyzetfelismeréssel. A két termék kiegészíti egymást, nem helyettesíti.

Az ISO 31030 jogi követelmény?

Az ISO 31030 a legtöbb jogrendszerben nem kötelező jogilag – önkéntes nemzetközi szabvány. Ugyanakkor referencia-keretrendszerré vált, amelyet a szabályozó hatóságok, a bíróságok és a biztosítók arra használnak, hogy felmérjék, rendelkezett-e a szervezet hiteles utazási kockázatkezelő programmal. Az ISO 31030 követése nem garantál jogi védelmet, de védhető nyilvántartást hoz létre arról, hogy észszerű óvint