Controale interne
Segregarea atribuțiilor: cum identificați și rezolvați conflictele din sisteme
Segregarea atribuțiilor este cel mai important control preventiv — și cel mai des erodat de creștere și de sistemele noi. Un ghid practic pentru a o face corect.
Segregarea atribuțiilor (SoD — segregation of duties) înseamnă că nicio persoană nu controlează o tranzacție de la început până la sfârșit. Este cea mai simplă și cea mai eficientă apărare atât împotriva erorilor, cât și a fraudei — pentru că a comite și a ascunde o fraudă devine mult mai greu atunci când este nevoie de două persoane.
Cele patru funcții care trebuie separate
Pentru orice proces semnificativ, separați:
- Autorizarea — aprobarea tranzacției
- Custodia — gestionarea activului (numerar, stocuri, acces la bancă)
- Înregistrarea — introducerea tranzacției în contabilitate sau în sistem
- Reconcilierea / revizuirea — verificarea concordanței dintre înregistrări și realitate
Conflicte clasice
| Conflict | Risc |
|---|---|
| Creare furnizor + aprobare plată | Plăți către furnizori fictivi |
| Creare comandă + recepție marfă | Plata unor bunuri care nu au fost livrate |
| Gestionare date angajați + rulare salarii | Angajați-fantomă, salarii umflate |
| Înregistrare note contabile + aprobarea lor | Ascunderea deturnărilor |
| Dezvoltare cod + migrare în producție | Modificări neautorizate în sistem |
| Emitere note de credit + gestionarea creanțelor | Deturnarea încasărilor de la clienți |
Cum identificați conflictele SoD
- Construiți un set de reguli SoD. Listați activitățile sensibile pe procese și combinațiile nepermise.
- Extrageți datele de acces. Preluați utilizatorii, rolurile și drepturile din ERP, HR, banking și celelalte sisteme-cheie.
- Analizați. Comparați ce pot face utilizatorii cu setul de reguli. Majoritatea instrumentelor ERP și GRC permit acest lucru; pentru medii mai mici funcționează și o analiză structurată în Excel.
- Verificați utilizarea efectivă. Un utilizator cu drepturi conflictuale care a executat efectiv ambele operațiuni este o prioritate de investigat.
Cum le rezolvați
- Reproiectați rolurile astfel încât rolurile standard să nu conțină conflicte prin construcție.
- Eliminați accesul inutil — conflictele apar adesea la persoane care și-au schimbat postul și au păstrat drepturile vechi.
- Folosiți controale compensatorii acolo unde echipa este prea mică: o revizuire independentă a modificărilor de furnizori, a plăților sau a notelor contabile, făcută de cineva din afara procesului.
- Controlați accesul de urgență (conturi „firefighter”) prin jurnalizare și revizuire ulterioară.
Mențineți ordinea
SoD nu este o curățenie făcută o singură dată. Integrați-o în procesele de angajare, mutare și plecare a personalului, revizuiți accesul sensibil cel puțin trimestrial și includeți proiectarea SoD în fiecare implementare de sistem — remedierea după go-live este întotdeauna mai scumpă.
Aveți nevoie de ajutor? Evaluarea controalelor interne include analiza SoD și a drepturilor de acces, iar practica noastră de management al proiectelor IT integrează SoD în sistemele noi încă din prima zi.