Jak zamienić politykę firmy w szkolenie ze scenariuszem decyzyjnym?

W skrócie: szkolenie z polityki firmy nie musi kończyć się podpisem pod oświadczeniem. Polityka mówi, co wolno, a czego nie. Szkolenie ze scenariuszem decyzyjnym sprawdza, czy pracownik zastosuje te zasady, gdy sytuacja wygląda zwyczajnie, a czas nagli. Z dwustronicowego rozdziału polityki o poleceniach przelewu powstał w ten sposób krótki kurs: lekcja z zasadami, quiz z 4 pytaniami i scenariusz decyzyjny z 7 wyborami i 3 zakończeniami.

Piątek, 13:50. Do osoby z działu finansów przychodzi e-mail od prezesa, który jest w podróży służbowej. Potrzebny jest pilny przelew 48 600 zł dla nowego kontrahenta, jeszcze dziś. Sprawa jest poufna, a prezes jest na spotkaniu i prosi, żeby nie dzwonić.

Zapytaj kogokolwiek z księgowości, czy takie polecenie trzeba potwierdzić, a usłyszysz, że tak. Quiz to potwierdzi. Prawdziwy sprawdzian przychodzi jednak właśnie w piątek po południu, kiedy wiadomość wygląda wiarygodnie, a odmowa wykonania polecenia prezesa wydaje się ryzykowna.

W tym poradniku pokazujemy, jak zamienić rozdział polityki firmy w szkolenie ze scenariuszem decyzyjnym. Przykład jest demonstracyjny: politykę fikcyjnej firmy przygotowaliśmy na potrzeby poradnika, ale zasady są typowe dla polskich firm, łącznie ze sprawdzaniem rachunku na białej liście podatników VAT. Przepisy przewidują konsekwencje podatkowe dla określonych transakcji między przedsiębiorcami przekraczających 15 000 zł, w szczególności przy płatnościach na rzecz czynnych podatników VAT na rachunek spoza wykazu. Wewnętrzna polityka firmy może wymagać sprawdzania rachunku również w innych sytuacjach.

Polityka mówi, co wolno. Scenariusz sprawdza, co pracownik zrobi

Polityka bezpieczeństwa, ochrony danych czy przeciwdziałania nadużyciom jest pisana tak, żeby dało się ją sprawdzić podczas audytu. Zawiera obowiązki, wyjątki i odpowiedzialności. Pracownik czyta ją, podpisuje oświadczenie i wraca do pracy.

Kłopot w tym, że oszustwa nie wyglądają jak przykłady z polityki. Wyglądają jak zwykła prośba przełożonego, zwykła faktura od dostawcy albo zwykły telefon z działu IT. Pracownik nie łamie zasad celowo. Łamie je, bo w danej chwili nie rozpoznaje, że ta sytuacja jest właśnie tą, przed którą ostrzega dokument.

Dlatego samo zapoznanie się z polityką i test wiedzy nie wystarczą. Quiz sprawdza, czy ktoś pamięta zasadę. Scenariusz decyzyjny sprawdza, czy ją zastosuje.

Które zasady nadają się na scenariusz?

Nie każdy rozdział polityki potrzebuje scenariusza. Warto go przygotować, gdy:

• zasadę stosuje się w konkretnym momencie, często pod presją czasu: przy przelewie, przy prośbie o dane, przy wpuszczaniu gościa do biura;
• błędne działanie wygląda rozsądnie, na przykład odpisanie na e-mail z prośbą o potwierdzenie albo telefon na numer podany w stopce wiadomości;
• błąd jest kosztowny, więc firmie zależy na tym, żeby zobaczyć, jak pracownik decyduje w realistycznej sytuacji, a nie tylko na podpisie pod dokumentem.

Tak wygląda większość polityk bezpieczeństwa informacji, zasad ochrony danych osobowych, procedur płatności i przepisów BHP. Rozdziały, do których pracownik zagląda raz na jakiś czas, na przykład tabelę stawek delegacji, lepiej zostawić w dokumencie.

Przykład: rozdział o poleceniach przelewu

Źródłem jest rozdział polityki bezpieczeństwa informacji o podejrzanych wiadomościach i poleceniach przelewu, około 550 słów. Punkt 4.3 zawiera kilka jasnych zasad:

1. Polecenia przelewu otrzymanego e-mailem nie potwierdza się odpowiedzią na tę samą wiadomość ani przy użyciu danych kontaktowych z tej wiadomości, także wtedy, gdy ma ona pochodzić od prezesa.
2. Polecenie weryfikuje się telefonicznie, na numer z wewnętrznej książki telefonicznej.
3. Przelew na nowy rachunek wymaga drugiej akceptacji kierownika działu finansów. Polityka tej firmy każe też sprawdzić rachunek na białej liście podatników VAT, obowiązkowo przy płatnościach powyżej 15 000 zł.
4. Presja czasu i nacisk na poufność, na przykład „nie mów nikomu” albo „jestem na spotkaniu, nie dzwoń”, są samodzielnym sygnałem ostrzegawczym.
5. Podejrzaną wiadomość zgłasza się przyciskiem „Zgłoś phishing” albo zespołowi bezpieczeństwa IT.

Każdą z tych zasad da się zamienić w decyzję. To dobry test materiału na scenariusz: jeśli zasady nie można złamać wiarygodnym wyborem, jej miejsce jest w lekcji albo w quizie.

Od zasad do decyzji

Scenariusz zaczyna się w skrzynce odbiorczej, od e-maila „od prezesa”. Pierwsze pytanie brzmi: co robisz najpierw? Uczestnik ma trzy możliwości:

• potraktować wiadomość jako podejrzaną i sprawdzić adres nadawcy;
• odpisać na e-mail i poprosić o potwierdzenie;
• od razu przygotować przelew, skoro prezes prosi o pośpiech i poufność.

Punkt daje tylko pierwsza odpowiedź. Druga prowadzi w pułapkę, przed którą ostrzega polityka: oszust odpisuje po trzech minutach „Potwierdzam, proszę realizować”. Trzecia pomija weryfikację z powodu presji czasu, którą polityka wprost nazywa sygnałem ostrzegawczym.

W kolejnej scenie uczestnik porównuje adres nadawcy z wcześniejszą korespondencją. Prezes pisze zwykle z domeny northwind.example, a ta wiadomość przyszła z northwlnd.example, z literą „l” zamiast „i”. W stopce jest numer do „asystenta”. Teraz pytanie brzmi: jak zweryfikować polecenie? Telefonem na znany numer z książki telefonicznej, na numer ze stopki, czy wcale, skoro prezes prosi, żeby nie dzwonić?

O skuteczności takiego scenariusza decydują trzy rzeczy:

• Każda błędna odpowiedź kusi. Nikt nie wybierze opcji „zignoruj politykę”. Wiele osób wybierze „zadzwoń do asystenta”, bo wygląda to na weryfikację.
• Informacja zwrotna cytuje politykę. Pod każdą odpowiedzią uczestnik czyta, która zasada ma zastosowanie, słowami dokumentu, na przykład „Polityka 4.3.1: polecenie musi zostać zweryfikowane telefonicznie, na numer znany z wewnętrznej książki telefonicznej”.
• Zakończenia pokazują skutki. W przykładzie są trzy: „Pieniądze przepadły”, „Oszustwo zatrzymane” oraz „Przelew wstrzymany, ale nie wszystko zgodnie z polityką”, czyli przelew zatrzymany, ale z pominiętym krokiem, takim jak zgłoszenie wiadomości.

Co zobaczysz w platformie LMS?

Scenariusz decyzyjny może działać w dwóch trybach. W trybie konsekwencji uczestnik po prostu widzi, dokąd prowadzi każda ścieżka. W trybie punktowanym każdy dobry wybór jest wart punkt, a wynikiem jest procent dobrych decyzji na ścieżce, którą uczestnik przeszedł.

Tryb punktowany pozwala sprawdzić i udokumentować decyzje uczestnika w symulowanej sytuacji. To nie jest gwarancja zachowania podczas prawdziwego incydentu, ale szkolenie mówi wtedy znacznie więcej niż sam test znajomości zasad. Gdy opublikujesz kurs jako paczkę SCORM, platforma LMS dostaje ten procent jako wynik, a każdą decyzję z oznaczeniem: poprawna albo błędna. Widzisz więc nie tylko, kto ukończył szkolenie, ale też, w którym miejscu ktoś zapłacił oszustowi w symulacji. Ile z tych danych platforma pokazuje administratorowi, zależy od konkretnego systemu. Szczegóły opisuje artykuł co raportuje platforma LMS.

Jedna praktyczna uwaga: gdy kurs ma kilka punktowanych lekcji, wynikiem kursu jest wynik ostatnio ukończonej z nich. Jeśli to scenariusz ma być wynikiem w platformie, ustaw go na końcu, po quizie.

Jak przygotować taki kurs w LMSable

Cały przykład pokazuje film na górze strony. W skrócie:

1. Tworzysz nowy kurs, opisujesz, dla kogo jest szkolenie, i wklejasz rozdział polityki jako materiał źródłowy. Suwak dokładności ustawiasz tak, żeby kurs trzymał się wyłącznie Twojego materiału.
2. Kopiujesz polecenie do swojego czatu AI i importujesz odpowiedź: lekcję z zasadami i quiz.
3. Dodajesz lekcję typu scenariusz i opisujesz sytuację w jednym lub dwóch zdaniach. LMSable przygotowuje polecenie, które zawiera już tekst polityki. W czacie dopisujesz jedno zdanie: „Użyj trybu scored”, bo domyślnie scenariusz nie jest punktowany.
4. Wklejasz odpowiedź z powrotem, sprawdzasz, które odpowiedzi są warte punkt, i oglądasz wszystkie ścieżki na mapie scenariusza.
5. Przechodzisz scenariusz jak uczestnik, a potem publikujesz kurs jako paczkę SCORM, stronę HTML albo link.

Interfejs LMSable jest po angielsku, ale kurs i przyciski odtwarzacza są po polsku. Szczegóły kroków znajdziesz w polskim centrum pomocy: scenariusz rozgałęziony, tworzenie kursu i eksport SCORM. Więcej o samym narzędziu przeczytasz na stronie LMSable.

Gdzie pomaga AI, a gdzie potrzebny jest człowiek

AI dobrze radzi sobie z pracą warsztatową: zamienia listę zasad w sceny, pisze po trzy wiarygodne odpowiedzi do każdej decyzji i łączy informację zwrotną z właściwym punktem polityki. Pierwsza wersja scenariusza z siedmioma decyzjami powstaje w kilka minut, a nie w jedno popołudnie.

AI nie wie jednak, jak wyglądają próby oszustwa w Twojej firmie, który błąd zdarza się zespołowi najczęściej ani kto naprawdę akceptuje przelewy. Każdą scenę sprawdź z właścicielem polityki. Upewnij się, że punktowane odpowiedzi są zgodne z dokumentem, że żadna błędna odpowiedź nie jest przypadkiem poprawna i że zakończenia opisują skutki, które w firmie ktoś by rozpoznał.

Zanim wkleisz wewnętrzny dokument do jakiejkolwiek usługi AI, sprawdź zasady ochrony danych w firmie i ustawienia konta u dostawcy czatu.

Efekt

Materiał wejściowy: dwustronicowy rozdział polityki, który pracownicy mieli przeczytać i podpisać.

Liczby dotyczą tego przykładu. Do powtórzenia nadaje się sposób pracy: wybierz rozdział, w którym błędne działanie wygląda rozsądnie, zamień każdą zasadę w decyzję z kuszącymi alternatywami i pozwól, żeby informacja zwrotna cytowała politykę.

Jeśli chcesz zamienić w szkolenie dłuższy dokument, przeczytaj, jak zamienić procedurę w PDF w szkolenie dla pracowników. O tym, jak sprawić, żeby obowiązkowe szkolenia nie były nudne, piszemy we wpisie o angażujących szkoleniach compliance.

Zrób scenariusz z własnej polityki

Masz politykę, którą pracownicy podpisują, ale nie zawsze stosują? Nie musisz pisać scenariusza od zera. Zacznij od rozdziału, który już masz.

Chcesz przygotować szkolenie samodzielnie? Wypróbuj bezpłatnie LMSable. Z pomocą własnego czatu AI przygotujesz lekcje, quizy i scenariusze decyzyjne, a potem opublikujesz kurs w formacie SCORM. W planie bezpłatnym zbudujesz jeden kurs do 20 lekcji i wyeksportujesz go do SCORM 1.2. Firmy mogą kupić plan Pro z polską fakturą VAT.

Wolisz powierzyć to specjalistom? W eTechnologie projektujemy i wdrażamy szkolenia e-learningowe dla firm, także z polityk bezpieczeństwa i zasad compliance. Zobacz, jak projektujemy szkolenia dla firm. Zespoły HR i szkoleń znajdą więcej na stronie dla HR i L&D.